- 再也不做稀饭了
-
这是一个木马程序,近来很多网友反映他们的机器中了一种叫做灰鸽子的木马病毒,这种病毒很是顽劣,在不同杀软上有不同名称比如:Gpigeon、Huigezi、Feutel,在计算机中清除它很是费事,特别是其刚刚开发出的2005,通过截取windows系统的API实现了程序文件隐藏、进程隐藏,服务隐藏三个隐藏,一般杀软在正常模式下根本就找不到其病毒文件,更别提查杀了的事情了,连杀软都很难对付,对用户而言更是头痛了,本文简单介绍了灰鸽子病毒的运行原理,手工检测方法、手工清除方法、防止感染的注意事项等内容,大部分内容都来自网络,由我搜集、整理、加工而成,如果侵犯了你的利益请指出我立刻纠正。
一、灰鸽子病毒简介
灰鸽子是国内一款著名后门。比起前辈冰河、黑洞来,灰鸽子可以说是国内后门的集大成者。其丰富而强大的功能、灵活多变的操作、良好的隐藏性使其他后门都相形见绌。客户端简易便捷的操作使刚入门的初学者都能充当黑客。当使用在合法情况下时,灰鸽子是一款优秀的远程控制软件。但如果拿它做一些非法的事,灰鸽子就成了很强大的黑客工具。这就好比火药,用在不同的场合,给人类带来不同的影响。对灰鸽子完整的介绍也许只有灰鸽子作者本人能够说清楚,在此我们只能进行简要介绍。
灰鸽子客户端和服务端都是采用Delphi编写。黑客利用客户端程序配置出服务端程序。可配置的信息主要包括上线类型(如等待连接还是主动连接)、主动连接时使用的公网IP(域名)、连接密码、使用的端口、启动项名称、服务名称,进程隐藏方式,使用的壳,代理,图标等等。
服务端对客户端连接方式有多种,使得处于各种网络环境的用户都可能中毒,包括局域网用户(通过代理上网)、公网用户和ADSL拨号用户等。
下面介绍服务端:
配置出来的服务端文件文件名为G_Server.exe(这是默认的,当然也可以改洌H缓蠛诳屠靡磺邪旆ㄓ掌没г诵蠫_Server.exe程序。具体采用什么办法,读者可以充分发挥想象力,这里就不赘述。
G_Server.exe运行后将自己拷贝到Windows目录下(98/xp下为系统盘的windows目录,2k/NT下为系统盘的Winnt目录),然后再从体内释放G_Server.dll和G_Server_Hook.dll到windows目录下。G_Server.exe、G_Server.dll和G_Server_Hook.dll三个文件相互配合组成了灰鸽子服务端, G_Server_Hook.dll负责隐藏灰鸽子。通过截获进程的API调用隐藏灰鸽子的文件、服务的注册表项,甚至是进程中的模块名。截获的函数主要是用来遍历文件、遍历注册表项和遍历进程模块的一些函数。所以,有些时候用户感觉种了毒,但仔细检查却又发现不了什么异常。有些灰鸽子会多释放出一个名为G_ServerKey.dll的文件用来记录键盘操作。注意,G_Server.exe这个名称并不固定,它是可以定制的,比如当定制服务端文件名为A.exe时,生成的文件就是A.exe、A.dll和A_Hook.dll。
Windows目录下的G_Server.exe文件将自己注册成服务(9X系统写注册表启动项),每次开机都能自动运行,运行后启动G_Server.dll和G_Server_Hook.dll并自动退出。G_Server.dll文件实现后门功能,与控制端客户端进行通信;G_Server_Hook.dll则通过拦截API调用来隐藏病毒。因此,中毒后,我们看不到病毒文件,也看不到病毒注册的服务项。随着灰鸽子服务端文件的设置不同,G_Server_Hook.dll有时候附在Explorer.exe的进程空间中,有时候则是附在所有进程中。
灰鸽子的作者对于如何逃过杀毒软件的查杀花了很大力气。由于一些API函数被截获,正常模式下难以遍历到灰鸽子的文件和模块,造成查杀上的困难。要卸载灰鸽子动态库而且保证系统进程不崩溃也很麻烦,因此造成了近期灰鸽子在互联网上泛滥的局面。
二、灰鸽子的手工检测
由于灰鸽子拦截了API调用,在正常模式下服务端程序文件和它注册的服务项均被隐藏,也就是说你即使设置了“显示所有隐藏文件”也看不到它们。此外,灰鸽子服务端的文件名也是可以自定义的,这都给手工检测带来了一定的困难。
但是,通过仔细观察我们发现,对于灰鸽子的检测仍然是有规律可循的。从上面的运行原理分析可以看出,无论自定义的服务器端文件名是什么,一般都会在操作系统的安装目录下生成一个以“_hook.dll”结尾的文件。通过这一点,我们可以较为准确手工检测出灰鸽子 服务端。
由于正常模式下灰鸽子会隐藏自身,因此检测灰鸽子的操作一定要在安全模式下进行。进入安全模式的方法是:启动计算机,在系统进入Windows启动画面前,按下F8键(或者在启动计算机时按住Ctrl键不放),在出现的启动选项菜单中,选择“Safe Mode”或“安全模式”。
1、由于灰鸽子的文件本身具有隐藏属性,因此要设置Windows显示所有文件。打开“我的电脑”,选择菜单“工具”—》“文件夹选项”,点击“查看”,取消“隐藏受保护的操作系统文件”前的对勾,并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”,然后点击“确定”。
2、打开Windows的“搜索文件”,文件名称输入“_hook.dll”,搜索位置选择Windows的安装目录(默认98/xp为C:windows,2k/NT为C:Winnt)。
3、经过搜索,我们在Windows目录(不包含子目录)下发现了一个名为Game_Hook.dll的文件。
4、根据灰鸽子原理分析我们知道,如果Game_Hook.DLL是灰鸽子的文件,则在操作系统安装目录下还会有Game.exe和Game.dll文件。打开Windows目录,果然有这两个文件,同时还有一个用于记录键盘操作的GameKey.dll文件。
- gitcloud
-
1.进安全模式用360安全卫士或超级兔子卸载插件清除垃圾.
2.运行容量较大的程序或大型游戏时,要重启一下微机,及时释放内存.
3. 如果计算机系统不小心感染了病毒或者发生了误删除操作,那么与系统内存读写操作有关的系统文件很可能受到损坏,而这些系统文件一旦受到损坏,就容易遭遇内存读写故障提示。你可以按照如下步骤修复一下系统,看看系统是否存在损坏的文件:
首先对系统进行彻底地病毒查杀,因为系统一旦感染了病毒而不进行清除的话,即使修复了系统文件,病毒仍然有可能会继续破坏系统文件,所以及时使用杀毒软件来将病毒全部清除干净,可以确保系统文件不会继续受到病毒的威胁。
其次使用系统自带的“sfc”命令,将受到损坏的系统文件修复到正常状态。在修复受损系统文件时,单击“开始”/“运行”命令,在弹出的系统运行对话框中,输入字符串命令“sfc(空格) /scannow”,单击回车键后,该命令程序就会对系统每个角落处的系统文件进行搜索扫描,一旦发现系统文件的版本不正确或者系统文件已经损坏的话,它就能自动弹出提示界面,要求你插入Windows系统的安装光盘,以便从中提取正常的系统文件来替代不正常的系统文件,从而达到修复系统文件的目的。要是系统修复操作成功的话,重新启动计算机系统时,就不会看到有什么不正常的现象了。(系统盘最好找张专业版的)
注:第1.2项不能解决时再用第三项。
- 左迁
-
iexplore.exe是Microsoft Internet Explorer的主程序。这个微软Windows应用程序让你在网上冲浪,和访问本地Interanet网络。这不是纯粹的系统程序,但是如果终止它,可能会导致不可知的问题。
iexplore.exe同时也是Avant网络浏览器的一部分,这是一个免费的基于Internet Explorer的浏览器。注意iexplore.exe也有可能是Trojan.KillAV.B病毒,该病毒会终止你的反病毒软件,和一些Windows系统工具,该进程的安全等级是建议删除。
这个东西可以说是病毒,也可以说不是病毒。
因为微软的浏览器就是IEXPLORE.EXE,但是它一般情况随系统被安装在C:Program FilesInternet Explorer下面。那么,如果发现这个文件是在这个目录下面的,一般情况不是病毒,当然,不包括已经被感染了的情况;还有一种情况,就是IEXPLORE.EXE在C:WINDOWSsystem32下面,那么这个十有八九都是病毒。
系统进程--伪装的病毒 iexplore.exe
Trojan.PowerSpider.ac 破坏方法:密码解霸V8.10。又称“密码结巴”。偷用户各种密码,包含:游戏密码、局域网密码、腾讯QQ账号和密码、POP3 密码、Win9x缓存密码及拨号账号等等。这个木马所偷密码的范围很广,对广大互联网用户的潜在威胁也巨大。
现象:
1、系统进程中有iexplore.exe运行,注意,是小写字母;
2、搜索该程序iexplore.exe,不是位于C盘下的PROGRAMME文件夹,而是WINDOWS32文件夹。
解决办法:
1、到C:\WINDOWS\system32下找到ixplore.exe 和 psinthk.dll 完全删除之。
2、到注册表中,找到HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion \Run “mssysint”= iexplore.exe,删除其键值
- coco
-
你的属于进程管理信息出错:
1.系统资源不足。
2.系统文件损坏。可运行sfc/scannow扫描系统文件。若Explorer.exe程序本身损坏,可以从别的机器上拷贝一个explorer.exe文件到本机,调用任务管理器,接入explorer.exe进程,然后新建任务拷贝新的文件到系统盘WINNT(2000)或WINDOWS(XP)目录下。
3.软件冲突,譬如输入法,清华紫光输入法3.0版本有的时候会出现explorer.exe出错,取消清华紫光输入法,用其他输入法输入会没有问题。清华紫光输入法4.0版本未发现类似问题。
4.病毒。
5.其他原因。计算机运行某个程序等待时间过长,比如读取数据,尤其是光盘或者外界设备的数据的时候,也会出现explorer.exe出错。
6.系统内核错误。重新安装系统。换系统盘装
- 南yi
-
explorer.exe出错,重新刷新桌面
相信有很多人都碰到过这个故障,使用windows的时候,无故弹出“explorer.exe出错,重新刷新桌面”的抱错窗口,点击“确定 ”后重新生成桌面,虽然还可以继续使用,但是很多程序都不能正常运行,会出现这样那样的错误。很多人都选择重新安装系统,但是这样做 很费时间。实际上通过重新生成用户配置文件夹可以解决这个问题。
1、假设你登录的用户名为ralph,首先注销,然后以administrator帐户登录,进入系统后,将C:Documents and Settings(C为安装系统盘符)下的ralph文件夹改名,这里改成ralph1。这个ralph文件夹就是用户配置文件夹。
2、接着注销administrator,再以ralph这个帐号登录,进入系统后在C:Documents and Settings文件夹下你会发现系统重新生成了一个ralph文件夹,现在这个问题就已经解决了,但是你会发现收藏夹,邮件都不见了,不要急。我 们再继续恢复。
3、将C:Documents and Settings alph1下的Favorites文件夹复制到ralph文件夹下覆盖同名文件夹,这样就把收藏夹找回来了。然后将“C:Documents and Settings alph1桌面”这个文件夹下的内容复制到ralph文件夹下的同名目录中,这样桌面上的东西也找回来了。
4、最后是恢复邮件。如果你使用的是outlook,将C:Documents and Settings alph1Local SettingsApplication DataMicrosoftOutlook下的文件复制到ralph文件夹下的同名目录中,如果你使用的是outlook express,那么将C:Documents and Settings alph1LocalSettingsApplication DataIdentities{A8032BBE-8068-431D-8355-83449AE5CC38}MicrosoftOutlook Express下的文件复制到ralph文件夹下的同名目录中即可。
注意,这里{A8032BBE-8068-431D-8355-83449AE5CC38}这个文件夹的名 字称为IdentityNumber,是随机生成的,只要进入到C:Documents and SettingsAdministratorLocalSettingsApplication DataIdentities,就只有这一个文件夹,所以不会搞错的。
这样就可以找回所有的邮件了。将C:Documents and Settings alph1Application DataMicrosoftAddress Book下的文件复制到ralph文件夹下的同名目录下可以恢复联系人名单。如果你建立过邮件规则的话,那么单击“开始—运行”,输入regedit 并按回车,在注册表中找到HKEY_CURRENT_USERIdentities{IdentityNumber},将IdentityNumber改为C:Documents and Settings alphLocalSettingsApplication DataIdentities下的那个文件夹的名字即可。
以上步骤看似较为繁琐,其实实际操作起来很简单,一般10分钟之内即可搞定,比重新安装系统,在安装软件的过程快多了,而且 所有的数据都不会丢失。
- 大鱼炖火锅
-
drwtsn32错误
开放分类: 系统程序、电脑故障
关于drwtsn32.exe错误问题
简言之既是:drwtsn32.exe故障转储文件默认权限设置不当,可能导致敏感信息泄漏。
影响系统:
当前所有Windows版本
详细:
drwtsn32.exe(Dr. Watson)是一个Windows系统内置的程序错误调试器。默认状态下,出现程序错误时,Dr. Watson 将自动启动,除非系统上安装了VC等其他具有调试功能的软件更改了默认值。注册表项:
[HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionAeDebug]下的Debugger 项的值指定了调试器及使用的命令;Auto 项决定是否自动诊断错误,并记录相应的诊断信息。
[HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionAeDebug]
在Windows 2000中drwtsn32.exe默认会将故障转储文件user.dmp存放在目录“Documents and SettingsAll UsersDocumentsDrWatson”下。权限为Everyone 完全控制。在Windows NT中被存储在“WINNT”中,everyone组至少有读取权限。
由于user.dmp中存储的内容是当前用户的部分内存镜像,所以可能导致各种敏感信息泄漏,例如帐号、口令、邮件、浏览过的网页、正在编辑的文件等等,具体取决于崩溃的应用程序和在此之前用户进行了那些操作。
因为Windows程序是如此易于崩溃,所以不能排除恶意用户利用此弱点获取非授权信息的可能。例如:利用IE5.0以上的畸形注释漏洞就可以使浏览包含恶意代码的iexplore.exe 和查看包含恶意代码的邮件程序崩溃.
解决方案:
采取以下任一措施皆可解决此问题:
1、键入不带参数的drwtsn32,更改故障转储文件到一个特权路径,如:Documents and SettingsAdministratorDrWatson 或取消“建立故障转储文件”选项。
2、删除注册表项
[HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionAeDebug] 下的相关键值。
3、使用其它调试工具。并在注册表中正确设置。
键入不带参数的drwtsn32,即在开始→运行→键入drwtsn32→回车,在打开的窗口中,取消“创建故障转储文件”选项这。
- 黑桃云
-
我的情况和你一样!提问也没人回答得出来 ,郁闷~我劝你还是装系统吧!不是格式化在装~~我是在重新装了个萝卜系统 在网上下载的 用虚光驱镜象安装的 ~把机子的原来装系统的盘里在装个网上下的系统 装之钱把原来系统的注册表辈分下。 让一个系统盘里有两个系统 这样就不会影响双系统的运行 ~原来有问题的那个系统也不要管他 就那样 每次机子启动时启动新装的系统 我也搞不懂这是怎么回事 原来跟你的情况差不多点击我的电脑的时候就出现explorer.exe遇到问题 需要关闭 点调试 或关闭 桌面闪一下就没了 而且我的电脑 网上领居 我的文档都打不开。不过一些程序还可以运行的。
祝你好运 我想应该不是病毒的缘故。
- clou
-
* 回复内容中包含的链接未经审核,可能存在风险,暂不予完整展示!你好!
这个我很多同学都遇到过
首先试试用“360安全卫士”“超级兔子”交替进行优化,记得重启。
推荐使用360安全卫士下载地址http://www.3*****.com/
超级兔子魔法设置下载地址http://www.o********.net/soft/2636.htm
有关IE错误的问题,
出现这种问题应排除其他的原因如病毒和硬件的故障,
还有浏览器损坏或文件丢失,
其次主要是IE核心的某些DLL文件在注册表中的条目丢失或有错。
这类问题一般由于安装了某些软件引起的。特别是一些设计的不规范的软件,要解决应使用REGSYR 32命令,
需要重置IE:
1 在"开始"菜单中打开"运行"窗口,在其中输入"regsvr32 actxprxy.dll",然后"确定",接着会出现一个信息对话 框"DllRegisterServer in actxprxy.dll succeeded",再次点击"确定"。
2 再次打开"运行"窗口,输入"regsvr32 shdocvw.dll
3 再次打开"运行"窗口,输入"regsvr32 oleaut32.dll
4 再次打开"运行"窗口,输入"regsvr32 actxprxy.dll
5 再次打开"运行"窗口,输入"regsvr32 mshtml.dll
6 再次打开"运行"窗口,输入"regsvr32 msjava.dll
7 再次打开"运行"窗口,输入"regsvr32 browseui.dll
8 再次打开"运行"窗口,输入"regsvr32 urlmon.dll
- 马老四
-
也许你会非常郁闷为何出现这个情况。其实这是由于病毒导致,即使病毒已经被杀了,可是后遗症还是留下了,主要原因可能是Explorer程序出错了,通过下面的方法可以解决相关故障.
一、打开记事本,将以下内容添加到记事本中,并保存为AAA.bat文件,然后打开,依次点确定即可(如还不可以请试下第二种方法);
regsvr32 appwiz.cpl
regsvr32 mshtml.dll
regsvr32 jscript.dll
regsvr32 msi.dll
regsvr32 "C:Program FilesCommon FilesSystemOle DBOledb32.dll"
regsvr32 "C:Program FilesCommon FilesSystemAdoMsado15.dll"
regsvr32 mshtmled.dll
regsvr32 /i shdocvw.dll
regsvr32 /i shell32.dll
二、如果以上还不能修复,请将下面内容复制到记事本中,并保存为yezi.reg文件 然后打开;
Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOTexefileshellOpencommand]
@=""%1" %*"
- S笔记
-
首先:
关闭华生医生Dr.Watson
单击“开始”--“运行”--输入“drwtsn32”命令,或者“开始”--“所有程序”--“附件”--“系统工具”--“系统信息”--“工具/Dr Watson”,调出系统里的华生医生Dr.Watson ,只保留“转储全部线程上下文”选项,否则一旦程序出错,硬盘会读很久,并占用大量空间。
留这玩意真是没用。
另外,多注意清理一下IE的页面文件,和系统、个人文件夹下的TEMP(最好转移到非系统盘)。
最后,如果你对各个文件夹不是那么熟悉。
360安全卫士,恶意软件清理助手,超级兔子,优化大师,选一个装上吧。
排名"分先后"。
最后有兴趣看看我空间
- wpBeta
-
* 回复内容中包含的链接未经审核,可能存在风险,暂不予完整展示!ntdll.dll是windows的内核,shell32.dll是windows的32位子系统~~这两个都是绝对系统的东西,若不是explorer被破坏的话就只可能是系统不行了。
还有你那个drtwsn32打错了,这个叫drwtsn32,是一个系统自带的错误报告程序,你打开system32能看到一个人拿这个听诊器的图标,就是这个。
http://www.d****.com/drwtsn32/是进程信息,懒得复制
到(X):Documents and SettingsAll UsersApplication DataMicrosoftDr Watson里找找看应该有错误信息
先把盘挂到其他机子上复制一个explore.exe和explorer.scf,这个扩展名平时是看不到的,要用其他的浏览工具比如RAR才能看到。重启看看如果还是同样的问题你就只有重做系统了!
总之是某个系统文件错误~~
注意不要再用原来的盘,最好用新的。(这种软故障既难查也难解决)
- Chen
-
explorer.exe这个进程是资源管理器进程。
不过我觉得根本原因肯定不是那个压缩软件的问题。我安装 卸载那个软件好多次了(原因都是试用期到了),应该是缺少了windows系统文件了,你找到C盘的windows文件夹下你找下那些出错时候提示你的那些文件有没有?
然后找那些文件复制到里面就行
- 瑞瑞爱吃桃
-
我感觉并不是病毒.
drtwsn32.exe就是报错程序文件;explorer是进程管理器。 可能是有其他的进程要注入系统文件中,引起Windows自我保护关闭.
可以试试用"恶意软件清理助手",查找下恶意软件,
也可以试试开始-运行-cmd-确定,然后sfc /scannow然后修复
- 我不懂运营
-
重做的3遍系统是否都用的同一张碟?
做完系统后有没有连网?有没有双击了其它的非系统磁盘?
如果用的都是同一张碟的话,可能是你碟上的文件有错误,换张碟试试
如果你连网了,很有可能会中毒
做系统的时候一般只是格式化了原来的系统磁盘,而其它盘原分未动,做完系统后又双击了其它的非系统磁盘,也就打开了残留的auto病毒
不知楼主是否属于以上情况!..
- snjk
-
是不是打开特定的文件夹或是文件,才会出现这种情况,比如说下载的一些较大视频什么的,我以前也有这种情况,把那个文件删掉,或是不碰他就没事了
个人感觉最好不在迅雷上下载软件,病毒什么的比较多,还是去口碑比较好的网站吧,比如霏凡、多特什么的