- 贝贝
-
微信小程序检测隐藏摄像头的方法:
1.进入微信小程序页面,前提是已连接酒店无线网,找到摄像头扫描,点击进入;
2.进入摄像头扫描页面,功能简洁,点击安全检测开始扫描;
3.等待扫描的过程,可点击下方的摄像头扫描科普了解扫描原理;还可以肉眼检查,相机很可能在哪里,卫生间或卧室,可以冲到床前或墙脚。比如电视、烟雾报警、集成浴霸、淋浴等位置,甚至一颗螺丝。因为非法摄像机可以装扮成别的东西。
强光手电筒,高亮度闪光灯的原理是利用眼镜的反射面,检查时必须关灯,使其处于黑暗状态,但这种方法并不完全有效!智能机前摄像头打开手机前摄像头,调暗灯光效果,看看界面是否有小红色,这个可以快速找到红外摄像头。
ro隐藏进程原理
ro隐藏进程原理是通过HOOK路径。根据查询相关资料信息,ro程序通过HOOK函数来实现进程隐藏,修改指定进程环境块中的进程路径HOOK以及命令信息,从而达到进程隐藏的效果。ro隐藏进程是通过应用层和内核层两种模式实现。2023-08-13 02:05:251
木马会隐藏进程?原理
还有一种,系统进程插入2023-08-13 02:05:343
隐藏进程的原理是什么?要求隐藏到那种ICesowrd里显示红色那种
拦截API调用,灰鸽子就是这样的!2023-08-13 02:05:442
什么叫木马的通信隐藏
本地隐藏是指木马为防止被本地用户发现而采取的隐藏手段, 主要包括启动隐藏、文件隐藏、进程隐藏、内核模块隐藏、原始分发隐藏等。基本上如果开启腾讯电脑管家的安全防护,就可以防止病毒木马入侵的推荐你是使用2023-08-13 02:05:555
vb 在任务管理器-进程隐藏
DNF双开。。。。。。。。。 方法一:第一步:复制DNF游戏目录到另一个盘,文件名换成别的。比如你原来的DNF安装在D盘,那么就要复制到E,F任意一个盘都可以,记住是整个游戏目录,目录名文件名换成别的,乱写都行。 第二步:点“开始”→“控制面板”→“用户账号”,在里面在创建一个用户(PS:要设好管理员权限和密码 ) 第三步:打开控制面板--用户账户--更改用户登陆或注销方式--勾选“使用欢迎屏幕”,“使用快速用户切换”,点击“应用选项”按钮。 第四步:去掉屏保。开启Fast User Switching Compatibility服务 (PS:如果无法开启,请先开启Terminal Services服务) 第五步:全部设好后,先进入在D盘的游戏,连上游戏后。再按“WINDOWS”键就是CTRL和ALT之间的那个有图的按键 +“L”,进行切换用户,进入了另一个用户,在里面也进入游戏,注意不能用原来D盘的,用新复制到E盘的 这样就实现了一机双开了,可以组队,也可以交易(用“WIN”键+“L”切换用户),麻烦,但比虚拟机简单多了。 这样双开游戏,机子垃圾的话就会很卡很卡- -。加大内存吧。。补充: 如果还是不能出现欢迎界面,估计是NetWare协议导致 右键单击“网上邻居”--属性--右键“本地连接”--属性--在“常规”选项卡上,“此连接使用下列项目”中找到“NetWare协议”并用鼠标单击选中,然后点击“卸载”按钮即可 方法二:道理很简单,双用户,双代理.工具有2个,PrProxy(又名专业代理公布器),easy2game.. PrProxy天空有下载. easy2game建议用0.8版,3.0pro对防火墙的穿透不好(kis7.0) 步骤 第一个用户,PrProxy找代理,用e2g代理dnf.exe. 登陆第一个帐号的时候请使用第二个用户- 进入选择人物界面请切换到自己经常使用的用户进行操作, 切换用户(开始菜单->注销->切换用户)到另一个用户上面. RPrProxy找另外一个和前面不同的代理,用e2g再次代理dnf.exe. 经过几次测试,当2个DNF程序关闭时,会造成电脑重启,不知道什么原因.而且每次都是这样 本人电脑配置,AMD速龙3300+,6500GT,1G双通道物理内存over 友情提示: 两次代理的端口尽量不要用相同的.容易造成网络堵塞. 1 o) t! v% t2 B屡次不成功请关闭防火墙和杀毒软件再试一次. 代理IP请选用最适合您的.额,基本就这么多了. P.S,此法请用在正常范围之内,PVP效果非常不好,除非您家为独享光纤.经过测试,已经成功.)原理: IP和进程的两次欺骗.骗过服务器和程序本身的防双开系统. P.S.2,本来想通过hex qqlogin.exe改变程序的指向,达到检测进程的欺骗目的,结果发现DNF每次启动都要检测程序完整性,改变过的程序直接被54,从官网上重新下载.... 不得已,用了双用户这种极度损坏硬盘的方法 方法三: DNF双开好处多多,可以开店挂东西卖的同时,一边又在升级。自己拖自己小号等等。今天要说的是多用户双开法,和双开过程中遇到的特殊情况。双开理论:控制面版 用户帐户 内 创建2个XP用户,每个用户下开启一个游戏,达到一机双开的目的。对电脑的基础要求不是很高 普通配置都能双开多用户双开会遇到的实际情况:1。多用户切换,导致ADSL断线。解决办法是 开始.运行regedit打开注册表.进入[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon]新建一个KeepRasConnections的字符串值. 将其数值数据改为1保存重起就OK了2。双用户还是无法双开?情况1 请在分别D盘和 E盘下 分别安装1次游戏,用户A 下开D盘DNF,用户B下开E盘的DNF。情况2 在2个用户2个盘都装了游戏怎么还是不能双开呢?请重起电脑,然后把2个用户全部登入好切换过了,然后再在不同帐户内分别打开游戏。3。如何快速的多用户切换?请使用 按键 WIN徽标键+L ,就可以快速在2个用户内切换了。4。是不是可以3开4开?完全可以,本人2测曾经4开组队升级。5。 我创建了一个用户后?原来的用户消失了,桌面的东西都没了?这是怎么回事?这个很正常,你原来使用的Administrator 登入,XP默认的管理员Administrator权限太高,一旦创建一个用户后默认的XP帐户就会自动隐藏,可以在开机登陆的时间` 到选用户时候, CTRL+ALT+DELETE 二次输入你的用户名Administrator和密码 回车就OK啦,怎么解决这个消失的问题呢?下载一个XP自动登入器,放在C盘呢-,-以后开机自动帮你登入最高权限的默认XP帐户,然后再切换拉。(XP自动登入器百度搜索下载吧,这里就不提供下载了)6。 双开切换后平凡蓝屏怎么解决? 请设置电脑的虚拟内存为你硬件内存的2倍, 详细设置方法,桌面点我的电脑右键,属性,高级,设置,高级,更改, 如果你电脑内存512 请改成1000 1G改2000 2G改4000 这样设置会减少蓝频的几率-,-2023-08-13 02:06:131
求进程隐藏工具(能在vista下运行)!!
http://www.cngr.cn/dir/softdown.asp?softid=325102023-08-13 02:06:212
用VB实现隐藏进程
加油啦 OK!2023-08-13 02:06:315
求助英语高手帮忙翻译一段话——————谢谢啦!
Just take a look and get 2 points.2023-08-13 02:06:4715
怎么从进程中找出病毒和木马
任何病毒和木马存在于系统中,都无法彻底和进程脱离关系,即使采用了隐藏技术,也还是能够从进程中找到蛛丝马迹,因此,查看系统中活动的进程成为我们检测病毒木马最直接的方法。 但是系统中同时运行的进程那么多,哪些是正常的系统进程,哪些是木马的进程,而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢?请看本文。 一、病毒进程隐藏三法 当我们确认系统中存在病毒,但是通过“任务管理器”查看系统中的进程时又找不出异样的进程,这说明病毒采用了一些隐藏措施,总结出来有三法: 1.1 以假乱真 系统中的正常进程有:svchost.exe、explorer.exe、iexplore.exe、winlogon.exe等,可能你发现 过系统中存在这样的进程:svch0st.exe、explore.exe、iexplorer.exe、winlogin.exe。对比一下,发现区别 了么?这是病毒经常使用的伎俩,目的就是迷惑用户的眼睛。通常它们会将系统中正常进程名的o改为0,l改为i,i改为j,然后成为自己的进程名,仅仅一字 之差,意义却完全不同。又或者多一个字母或少一个字母,例如explorer.exe和iexplore.exe本来就容易搞混,再出现个 iexplorer.exe就更加混乱了。如果用户不仔细,一般就忽略了,病毒的进程就逃过了一劫。 1.2 偷梁换柱 如果用户比较心细,那么上面这招就没用了,病毒会被就地正法。于是乎,病毒也学聪明了,懂得了偷梁换柱这一招。如果一个进程的名字为 svchost.exe,和正常的系统进程名分毫不差。那么这个进程是不是就安全了呢?非也,其实它只是利用了“任务管理器”无法查看进程对应可执行文件 这一缺陷。我们知道svchost.exe进程对应的可执行文件位于“C:WINDOWSsystem32”目录下(Windows2000则是 C:WINNTsystem32目录),如果病毒将自身复制到“C:WINDOWS”中,并改名为svchost.exe,运行后,我们在“任务管理器” 中看到的也是svchost.exe,和正常的系统进程无异。你能辨别出其中哪一个是病毒的进程吗? 1.3 借尸还魂 除了上文中的两种方法外,病毒还有一招终极********借尸还魂。所谓的借尸还魂就是病毒采用了进程插入技术,将病毒运行所需的dll文件 插入正常的系统进程中,表面上看无任何可疑情况,实质上系统进程已经被病毒控制了,除非我们借助专业的进程检测工具,否则要想发现隐藏在其中的病毒是很困 难的。 二、系统进程解惑 上文中提到了很多系统进程,这些系统进程到底有何作用,其运行原理又是什么?下面我们将对这些系统进程进行逐一讲解,相信在熟知这些系统进程后,就能成功破解病毒的“以假乱真”和“偷梁换柱”了。 2.1 svchost.exe 常被病毒冒充的进程名有:svch0st.exe、schvost.exe、scvhost.exe。随着Windows系统服务不断增多,为 了节省系统资源,微软把很多服务做成共享方式,交由svchost.exe进程来启动。而系统服务是以动态链接库(DLL)形式实现的,它们把可执行程序 指向scvhost,由cvhost调用相应服务的动态链接库来启动服务。我们可以打开“控制面板”→“管理工具”→服务,双击其中“ClipBook” 服务,在其属性面板中可以发现对应的可执行文件路径为“C:WINDOWSsystem32clipsrv.exe”。再双击“Alerter”服务,可 以发现其可执行文件路径为“C:WINDOWSsystem32svchost.exe -k LocalService”,而“Server”服务的可执行文件路径为“C:WINDOWSsystem32svchost.exe -k netsvcs”。正是通过这种调用,可以省下不少系统资源,因此系统中出现多个svchost.exe,其实只是系统的服务而已。 在Windows2000系统中一般存在2个svchost.exe进程,一个是RPCSS(RemoteProcedureCall)服务进 程,另外一个则是由很多服务共享的一个svchost.exe;而在WindowsXP中,则一般有4个以上的svchost.exe服务进程。如果 svchost.exe进程的数量多于5个,就要小心了,很可能是病毒假冒的,检测方法也很简单,使用一些进程管理工具,例如Windows优化大师的进 程管理功能,查看svchost.exe的可执行文件路径,如果在“C:WINDOWSsystem32”目录外,那么就可以判定是病毒了。 2.2 explorer.exe 常被病毒冒充的进程名有:iexplorer.exe、expiorer.exe、explore.exe。explorer.exe就是我们 经常会用到的“资源管理器”。如果在“任务管理器”中将explorer.exe进程结束,那么包括任务栏、桌面、以及打开的文件都会统统消失,单击“任 务管理器”→“文件”→“新建任务”,输入“explorer.exe”后,消失的东西又重新回来了。explorer.exe进程的作用就是让我们管理 计算机中的资源。 explorer.exe进程默认是和系统一起启动的,其对应可执行文件的路径为“C:Windows”目录,除此之外则为病毒。2023-08-13 02:07:301
修改神途哪个文件夹可以多开
到不是游戏客户端所在的文件夹里打开。全面分析游戏防止多开的原理,与游戏实现多开的方法。进程隐藏,窗口标题修改,端口隐藏,多个游戏目录,多个操作系统账号,互斥体,内存映射文件,DLL全局共享等方法实现游戏多开。游戏防止多开的方法有时候并不是只用一个方法的,多数游戏都会用多种方法一起来防止多开的,只要大家都懂得这几个游戏多开的原理,灵活运行,一个一个分析排查,基本上都能解决各种游戏多开了其实要实现游戏多开也不是一件很难的事情,只要大家懂得游戏防止多开的原理,然后根据其对应游戏多开的方法便可以做出游戏多开器来了。下面为大家总结一下游戏多开的原理与方法。第一,进程隐藏部分游戏通过探测游戏客户端进程是否已经存在来防止重复打开,如游戏:英雄美人游戏多开的办法为启动一个游戏客户端后,将该游戏的进程隐藏,只保留一个或多个。第二,窗口标题修改(使用FindWindow API函数)部分游戏通过探测游戏客户端的窗口是否已经存在来防止重复打开。游戏多开的办法为将游戏的窗口修改为任意字符。第三,端口隐藏部分游戏通过默认打开TCP或者UDP端口监听,开第二个游戏的时候会打开端口失败从而判断游戏是否多开。游戏多开的方法为此类需要采用netstat _a _n _o 命令查看端口即可实现游戏多开。第四,多个游戏目录部分游戏通过独占文件访问来防止重复打开。游戏多开的方法为复制游戏客户端到另外的文件夹,在另外的文件夹打开即可。第五,多个操作系统账号(仅限XP系统)部分游戏通过限制一个用户只能打开一个游戏来防止重复打开。2023-08-13 02:07:381
Delphi在windows XP下实现进程隐藏
可以做成服务,这样可以在任务管理器里隐藏。不过,不管用什么办法,只要联网,在防火墙里都能看到。2023-08-13 02:07:584
为什么有的程序运行的时候在进程里看不到?完了加20
如果做成服务,就看不到了~~2023-08-13 02:08:052
explorer.exe遇到问题 需要关闭
是不是打开特定的文件夹或是文件,才会出现这种情况,比如说下载的一些较大视频什么的,我以前也有这种情况,把那个文件删掉,或是不碰他就没事了个人感觉最好不在迅雷上下载软件,病毒什么的比较多,还是去口碑比较好的网站吧,比如霏凡、多特什么的2023-08-13 02:08:1515
你好,你刚才给我的程序,我建立的模块,但是如何执行代码啊,谢谢
在EXCEL窗口中,按“工具-宏-宏”,在弹出的窗口中选择“cz”这个宏,确定即可执行,当然你也可在这个窗口中给此宏指定一个快捷键。 给你做一自定义函数吧,用起来要方便的多Function cz(a As Range, b As String, c As String)If a.Columns.Count <> 3 Then cz = "错误": Exit FunctionFor i = 1 To a.Rows.Count If b = a.Cells(i, 1) And c = a.Cells(i, 2) Then cz = a.Cells(i, 3): Exit Function End IfNextcz = "没找到"End Function在新表的A1与B1输入数据后,在新表的C1输入公式 =cz(Sheet1!A1:C4,Sheet2!A1,Sheet2!B1) 马上就能显示正确结果。2023-08-13 02:08:402
一个神奇的加载驱动的软件,可以多开dnf,请问是什么原理?
下个 虚拟机 程序即可已实现多开,方法http://dnf.duowan.com/0805/74597838671.html http://www.aipai.com/c16/PzomIyYmJSRqJWQhLg.html2023-08-13 02:08:483
一开机用冰刃发现一个标记为红色的进程,是IEXPLORE.EXE,但用系统的任务管理器则看不到,如何
iexplore.exe是windows系列的一个进程 一般病毒会改大小写 比如:Iexplore.exe、iexplore.EXE、IEXPLORE.exe…… 怀疑你中的是灰鸽子病毒 灰鸽子的特点是“三个隐藏”——隐藏进程、隐藏服务、隐藏病毒文件。灰鸽子2005感染系统后,将自身注册为系统服务,并在同一目录下生成一组(3个)隐藏的病毒文件;病毒文件名可变,但有一定规律。 清除灰鸽子仍然要在安全模式下操作,主要有两步:1、清除灰鸽子的服务;2删除灰鸽子程序文件。 注意:为防止误操作,清除前一定要做好备份。 由于正常模式下灰鸽子会隐藏自身,因此检测灰鸽子的操作一定要在安全模式下进行。进入安全模式的方法是:启动计算机,在系统进入Windows启动画面前,按下F8键(或者在启动计算机时按住Ctrl键不放),在出现的启动选项菜单中,选择“Safe Mode”或“安全模式”。 1、由于灰鸽子的文件本身具有隐藏属性,因此要设置Windows显示所有文件。打开“我的电脑”,选择菜单“工具”—》“文件夹选项”,点击“查看”,取消 “隐藏受保护的操作系统文件”前的对勾,并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”,然后点击“确定”。 2、打开Windows的“搜索文件”,文件名称输入“_hook.dll”,搜索位置选择Windows的安装目录(默认98/xp为C:\windows,2k/NT为C:\Winnt)。 3、经过搜索,我们在Windows目录(不包含子目录)下看是否有一个名为IEXPLORE_Hook.dll(也可能是其他名称,但基本结构都是_hook.dll的)的文件。 4、根据灰鸽子原理分析我们知道,如果IEXPLORE_Hook.DLL是灰鸽子的文件,则在操作系统安装目录下还会有IEXPLORE.exe和 IEXPLORE.dll文件。打开Windows目录,应该还有一个用于记录键盘操作的IEXPLOREKey.dll文件。 经过这几步操作我们基本就可以确定这些文件是灰鸽子木马了,下面就可以进行手动清除 灰鸽子的手工清除 一、清除灰鸽子的服务 2000/XP系统: 1、打开注册表编辑器(点击“开始”-》“运行”,输入“Regedit.exe”,确定。),打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表项。 2、点击菜单“编辑”-》“查找”,“查找目标”输入“IEXPLORE.exe”,点击确定,我们就可以找到灰鸽子的服务项(此例为IEXPLORE_Server)。 3、删除整个IEXPLORE_Server项。 98/me系统: 在9X 下,灰鸽子启动项只有一个,因此清除更为简单。运行注册表编辑器,打开HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Run项,我们立即看到名为IEXPLORE.exe的一项,将IEXPLORE.exe项删除即可。 二、删除灰鸽子程序文件 删除灰鸽子程序文件非常简单,只需要在安全模式下删除Windows目录下的IEXPLORE.exe、IEXPLORE.dll、IEXPLORE_Hook.dll以及IEXPLORE.dll文件,然后重新启动计算机。至此,灰鸽子已经被清除干净。或者请下载ravgpk专杀工具或则冰仞 希望对你有帮助~2023-08-13 02:08:561
vb隐藏进程
在进程中隐藏的PublicDeclareFunctionGetCurrentProcessIdLib"kernel32"()AsLongPublicDeclareFunctionRegisterServiceProcessLib"kernel32"(ByValdwProcessIDAsLong,ByValdwTypeAsLong)AsLongPublicConstRSP_SIMPLE_SERVICE=1PublicConstRSP_UNREGISTER_SERVICE=0下面代码为隐藏PublicSubMakeMeService()DimpidAsLongDimreservAsLongpid=GetCurrentProcessId()"取的当前运行的程序Idregserv=RegisterServiceProcess(pid,RSP_SIMPLE_SERVICE)对当前的程序传入RSP_SIMPLE_SERVICE消息,使此程序从任务列表中隐藏EndSub"恢复隐藏PublicSubUnMakeMeService()DimpidAsLongDimreservAsLongpid=GetCurrentProcessId()regserv=RegisterServiceProcess(pid,RSP_UNREGISTER_SERVICE)原理同上EndSubPrivateSubCommand1_Click()CallMakeMeServiceEndSubPrivateSubCommand2_Click()CallUnMakeMeServiceEndSubPrivateSubForm_Load()Form1.Left=Screen.Width/2-Form1.Width/2Form1.Top=Screen.Height/2-Form1.Height/2EndSub开机自动启动"使用下面这三个API与两个常数(标记部份为快捷键方式增加到开始下的启动)PrivateDeclareFunctionRegSetValueLib"advapi32.dll"Alias"RegSetValueA"(ByValhKeyAsLong,ByVallpSubKeyAsString,ByValdwTypeAsLong,ByVallpDataAsString,ByValcbDataAsLong)AsLongPrivateDeclareFunctionRegCreateKeyLib"advapi32.dll"Alias"RegCreateKeyA"(ByValhKeyAsLong,ByVallpSubKeyAsString,phkResultAsLong)AsLongPrivateDeclareFunctionRegCloseKeyLib"advapi32.dll"(ByValhKeyAsLong)AsLongConstHKEY_LOCAL_MACHINE=&H80000002ConstREG_SZ=1PrivateSubCommand1_Click()DimRet2AsLong"打开HKEY_LOCAL_MACHINE下的softwaremicrosoftwindowscurrentVersion unRegCreateKeyHKEY_LOCAL_MACHINE,"softwaremicrosoftwindowscurrentVersion un",Ret2"将此主键下的"默认"值改为你的exe全路径"RegSetValueRet2,vbNullString,REG_SZ,"c:windowsabc.exe",4"关闭对主键的操作RegCloseKeyRet2EndSub窗口总是在最前面OptionExplicit"【VB声明】"PrivateDeclareFunctionSetWindowPosLib"user32"(ByValhwndAsLong,ByValhWndInsertAfterAsLong,ByValxAsLong,ByValyAsLong,ByValcxAsLong,ByValcyAsLong,ByValwFlagsAsLong)AsLongPrivateDeclareFunctionSetWindowPosLib"user32"(_ByValhwndAsLong,_ByValhWndInsertAfterAsLong,_ByValxAsLong,ByValyAsLong,_ByValcxAsLong,ByValcyAsLong,_ByValwFlagsAsLong_)AsLongConstHWND_TOPMOST=-1ConstSWP_SHOWWINDOW=&H40PrivateSubForm_load()DimretValueAsLong"将窗体设置为处于所有窗口的顶层,注意在VB中运行时,"可能不行,但编译成EXE后就可以了retValue=SetWindowPos(Me.hwnd,HWND_TOPMOST,Me.CurrentX,Me.CurrentY,300,300,SWP_SHOWWINDOW)EndSub2023-08-13 02:09:054
病毒进程为什么无法结束?以及相关问题
您好,很高兴为您解答。这种情况很有可能是病毒被隐藏了,这样的情况建议使用腾讯电脑管家进行全盘杀毒。2023-08-13 02:09:162
rundll32.exe
RUNDLL32.EXE RUNDLL32.EXE是什么程序Rundll32.exe是什么?顾名思意,“执行32位的DLL文件”。它的作用是执行DLL文件中的内部函数,这样在进程当中,只会有Rundll32.exe,而不会有DLL后门的进程,这样,就实现了进程上的隐藏。如果看到系统中有多个Rundll32.exe,不必惊慌,这证明用Rundll32.exe启动了多少个的DLL文件。当然,这些Rundll32.exe执行的DLL文件是什么,我们都可以从系统自动加载的地方找到。现在,我来介绍一下Rundll32.exe这个文件,意思上边已经说过,功能就是以命令行的方式调用动态链接程序库。系统中还有一个Rundll.exe文件,他的意思是“执行16位的DLL文件”,这里要注意一下。在来看看Rundll32.exe使用的函数原型:VoidCALLBACKFunctionName(HWNDhwnd,HINSTANCEhinst,LPTSTRlpCmdLine,IntnCmdShow);其命令行下的使用方法为:Rundll32.exeDLLname,Functionname[Arguments]DLLname为需要执行的DLL文件名;Functionname为前边需要执行的DLL文件的具体引出函数;[Arguments]为引出函数的具体参数。略谈Rundll32.exe的作用(我是菜鸟)常用Windows9x的朋友一定对Rundll32.exe和Rundll.exe这两个档案不会陌生吧,不过,由於这两个程式的功能原先只限於在微软内部使用,因而真正知道如何使用它们的朋友想必不多。那么好,如果你还不清楚的话,那么就让我来告诉你吧。首先,请你做个小实验(请事先保存好你正在执行的程式的结果,否则...):点击“开始-程式-Ms-Dos方式”,进入Dos视窗,然后键入rundll32.exeuser.exe,restartwindows,再按下回车键,这时你将看到,机器被重启了!怎么样,是不是很有趣?当然,Rundll的功能绝不仅仅是重启你的机器。其实,Rundll者,顾名思义,执行Dll也,它的功能就是以命令列的方式呼叫Windows的动态链结库,Rundll32.exe与Rundll.exe的区别就在於前者是呼叫32位的链结库,而后者是运用於16位的链结库,它们的命令格式是:RUNDLL.EXE,,这里要注意三点:1.Dll档案名中不能含有空格,比如该档案位於c:ProgramFiles目录,你要把这个路径改成c:Progra~1;2.Dll档案名与Dll入口点间的逗号不能少,否则程式将出错并且不会给出任何资讯!3.这是最重要的一点:Rundll不能用来呼叫含返回值参数的Dll,例如Win32API中的GetUserName(),GetTextFace()等。在VisualBasic中,提供了一条执行外部程式的指令Shell,格式为:Shell“命令列”如果能配合Rundll32.exe用好Shell指令,会使您的VB程式拥有用其他方法难以甚至无法实现的效果:仍以重启为例,传统的方法需要你在VB工程中先建立一个模组,然后写入WinAPI的声明,最后才能在程式中呼叫。而现在只需一句:Shell“rundll32.exeuser.exe,restartwindows”就搞定了!是不是方便多了?实际上,Rundll32.exe在呼叫各种Windows控制面板和系统选项方面有著独特的优势。下面,我就将本人在因特网上收集的有关Rundll的指令列举如下(很有用的,能省去你很多呼叫WindowsAPI的时间!!),供大家在程式设计中引用:命令列:rundll32.exeshell32.dll,Control_RunDLL功能:显示控制面板命令列:rundll32.exeshell32.dll,Control_RunDLLaccess.cpl,,1功能:显示“控制面板-辅助选项-键盘”选项视窗命令列:rundll32.exeshell32.dll,Control_RunDLLaccess.cpl,,2功能:显示“控制面板-辅助选项-声音”选项视窗命令列:rundll32.exeshell32.dll,Control_RunDLLaccess.cpl,,3功能:显示“控制面板-辅助选项-显示”选项视窗命令列:rundll32.exeshell32.dll,Control_RunDLLaccess.cpl,,4功能:显示“控制面板-辅助选项-滑鼠”选项视窗命令列:rundll32.exeshell32.dll,Control_RunDLLaccess.cpl,,5功能:显示“控制面板-辅助选项-传统”选项视窗命令列:rundll32.exeshell32.dll,Control_RunDLLsysdm.cpl@1功能:执行“控制面板-添加新硬体”向导。命令列:rundll32.exeshell32.dll,SHHelpShortcuts_RunDLLAddPrinter功能:执行“控制面板-添加新印表机”向导。命令列:rundll32.exeshell32.dll,Control_RunDLLappwiz.cpl,,1功能:显示“控制面板-添加/删除程式-安装/卸载”面板。命令列:rundll32.exeshell32.dll,Control_RunDLLappwiz.cpl,,2功能:显示“控制面板-添加/删除程式-安装Windows”面板。命令列:rundll32.exeshell32.dll,Control_RunDLLappwiz.cpl,,3功能:显示“控制面板-添加/删除程式-启动盘”面板。命令列:rundll32.exesyncui.dll,Briefcase_Create功能:在桌面上建立一个新的“我的公文包”。命令列:rundll32.exediskcopy.dll,DiskCopyRunDll功能:显示复制软碟视窗命令列:rundll32.exeapwiz.cpl,NewLinkHere%1功能:显示“建立快捷方式”的对话框,所建立的快捷方式的位置由%1参数决定。命令列:rundll32.exeshell32.dll,Control_RunDLLtimedate.cpl,,0功能:显示“日期与时间”选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLtimedate.cpl,,1功能:显示“时区”选项视窗。命令列:rundll32.exernaui.dll,RnaDial[某个拨号连接的名称]功能:显示某个拨号连接的拨号视窗。如果已经拨号连接,则显示目前的连接状态的视窗。命令列:rundll32.exernaui.dll,RnaWizard功能:显示“新建拨号连接”向导的视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLdesk.cpl,,0功能:显示“显示属性-背景”选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLdesk.cpl,,1功能:显示“显示属性-萤屏保护”选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLdesk.cpl,,2功能:显示“显示属性-外观”选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLdesk.cpl,,3功能:显示显示“显示属性-属性”选项视窗。命令列:rundll32.exeshell32.dll,SHHelpShortcuts_RunDLLFontsFolder功能:显示Windows的“字体”档案夹。命令列:rundll32.exeshell32.dll,Control_RunDLLmain.cpl@3功能:同样是显示Windows的“字体”档案夹。命令列:rundll32.exeshell32.dll,SHformatDrive功能:显示格式化软碟对话框。命令列:rundll32.exeshell32.dll,Control_RunDLLjoy.cpl,,0功能:显示“控制面板-游戏控制器-一般”选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLjoy.cpl,,1功能:显示“控制面板-游戏控制器-进阶”选项视窗。命令列:rundll32.exemshtml.dll,PrintHTML(HTML文档)功能:列印HTML文档。命令列:rundll32.exeshell32.dll,Control_RunDLLmlcfg32.cpl功能:显示MicrosoftExchange一般选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLmain.cpl@0功能:显示“控制面板-滑鼠”选项。命令列:rundll32.exeshell32.dll,Control_RunDLLmain.cpl@1功能:显示“控制面板-键盘属性-速度”选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLmain.cpl@1,,1功能:显示“控制面板-键盘属性-语言”选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLmain.cpl@2功能:显示Windows“印表机”档案夹。命令列:rundll32.exeshell32.dll,Control_RunDLLmain.cpl@3功能:显示Windows“字体”档案夹。命令列:rundll32.exeshell32.dll,Control_RunDLLmain.cpl@4功能:显示“控制面板-输入法属性-输入法”选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLmodem.cpl,,add功能:执行“添加新调制解调器”向导。命令列:rundll32.exeshell32.dll,Control_RunDLLmmsys.cpl,,0功能:显示“控制面板-多媒体属性-音频”属性页。命令列:rundll32.exeshell32.dll,Control_RunDLLmmsys.cpl,,1功能:显示“控制面板-多媒体属性-视频”属性页。命令列:rundll32.exeshell32.dll,Control_RunDLLmmsys.cpl,,2功能:显示“控制面板-多媒体属性-MIDI”属性页。命令列:rundll32.exeshell32.dll,Control_RunDLLmmsys.cpl,,3功能:显示“控制面板-多媒体属性-CD音乐”属性页。命令列:rundll32.exeshell32.dll,Control_RunDLLmmsys.cpl,,4功能:显示“控制面板-多媒体属性-设备”属性页。命令列:rundll32.exeshell32.dll,Control_RunDLLmmsys.cpl@1功能:显示“控制面板-声音”选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLnetcpl.cpl功能:显示“控制面板-网路”选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLodb无党派人士32.cpl功能:显示ODBC32资料管理选项视窗。命令列:rundll32.exeshell32.dll,OpenAs_RunDLL{drive:pathfilename}功能:显示指定档案(drive:pathfilename)的“打开方式”对话框。命令列:rundll32.exeshell32.dll,Control_RunDLLpassword.cpl功能:显示“控制面板-密码”选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLpowercfg.cpl功能:显示“控制面板-电源管理属性”选项视窗。命令列:rundll32.exeshell32.dll,SHHelpShortcuts_RunDLLPrintersFolder功能:显示Windows“印表机”档案夹。(同rundll32.exeshell32.dll,Control_RunDLLmain.cpl@2)命令列:rundll32.exeshell32.dll,Control_RunDLLintl.cpl,,0功能:显示“控制面板-区域设置属性-区域设置”选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLintl.cpl,,1功能:显示“控制面板-区域设置属性-数字”选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLintl.cpl,,2功能:显示“控制面板-区域设置属性-货币”选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLintl.cpl,,3功能:显示“控制面板-区域设置属性-时间”选项视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLintl.cpl,,4功能:显示“控制面板-区域设置属性-日期”选项视窗。命令列:rundll32.exedesk.cpl,InstallScreenSaver[萤屏保护档案名]功能:将指定的萤屏保护档案设置为Windows的屏保,并显示萤屏保护属性视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLsysdm.cpl,,0功能:显示“控制面板-系统属性-传统”属性视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLsysdm.cpl,,1功能:显示“控制面板-系统属性-设备管理器”属性视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLsysdm.cpl,,2功能:显示“控制面板-系统属性-硬体配置档案”属性视窗。命令列:rundll32.exeshell32.dll,Control_RunDLLsysdm.cpl,,3功能:显示“控制面板-系统属性-性能”属性视窗。命令列:rundll32.exeuser.exe,restartwindows功能:强行关闭所有程式并重启机器。命令列:rundll32.exeuser.exe,exitwindows功能:强行关闭所有程式并关机。命令列:rundll32.exeshell32.dll,Control_RunDLLtelephon.cpl功能:显示“拨号属性”选项视窗命令列:rundll32.exeshell32.dll,Control_RunDLLthemes.cpl功能:显示“桌面主旨”选项面板当然,不止是VisualBasic,象Delphi.VisualC++等其他程式设计语言也可以通过呼叫外部命令的方法来使用Rundll的这些功能,具体方法这里就不再详细叙述了。灵活的使用Rundll,一定会使你的程式设计轻轻松松,达到事半功倍的效果!2023-08-13 02:09:402
街头篮球如何刷积分?急???
刷AA或者比赛好象没其他办法了吧2023-08-13 02:10:0215
街头篮球 不能加好友,好友栏里也是空的,这是怎么回事?
这种情况就是天联的网络问题。不要紧。过一段时间就好了。跟你的网络和机器没关系的无兄弟,不篮球2023-08-13 02:10:3010
怎么把桌面的软件隐藏
如果您使用的是华为手机,建议您可以使用隐藏空间或者子账户功能隐藏应用。操作方法如下:1.开启隐私空间或子用户开启隐私空间:进入设置>隐私>隐私空间>开启,按照提示创建隐私空间。创建子账户:进入设置>用户和账户>多用户,选择添加用户,按照提示信息创建子账户。2.进入隐私空间或子用户中,下载安装需要隐藏的应用。2023-08-13 02:10:512
病毒进程为什么无法结束?以及相关问题
愿我的答案能够解决您的烦忧因为有守护进程,所以没办法直接结束,你按我说的杀毒,然后重启自然就没了下载腾讯电脑管家“8.9”最新版,对电脑首先进行一个体检,打开所有防火墙避免系统其余文件被感染。打开杀毒页面开始查杀,切记要打开小红伞引擎。如果普通查杀不能解决问题,您可以打开腾讯电脑管家---杀毒——全盘杀毒-进行深度扫描。查杀处理完所有病毒后,立刻重启电脑,再进行一次安全体检,清除多余系统缓存文件,避免二次感染。如果您对我的答案不满意,可以继续追问或者提出宝贵意见,谢谢2023-08-13 02:11:311
怎样让木马隐藏的更好?
不可能的,现在的杀毒软件对病毒识别率都很高的,尤其是腾讯电脑管家,腾讯电脑管家是一款杀毒软件中国首创,第一款响应国际主流,集杀毒+管理功能为一体的产品。腾讯电脑管家杀毒管理二合一,16层实时防护,自带小红伞、金山等4大病毒搜索引擎,能够及时拦截钓鱼网站及木马病毒。2023-08-13 02:11:402
按键精灵如何能过检测,网络游戏检测原理是什么?神盾除外,不想花钱,隐藏进程有用吗?如何反tp…
没办法,只能神盾,不然你别用按键精灵,自己写辅助,或者请人写反检测工具(最后你会发现用神盾更简单)2023-08-13 02:11:491
在进程中怎么可以查看自己中了灰鸽子等远程控制?
分类: 电脑/网络 >> 反病毒 解析: 由于灰鸽子病毒变种繁多,其文件名也很多变,近来发现的以(Backdoor.GPigeon.sgr)类型居多,不易对付,在被感染的系统%Windows%目录下生成三个病毒文件,分别是 G_Server.exe,G_Server.dll,G_Server_Hook.dll。 G_Server.exe运行后将自己拷贝到Windows目录下(98/xp下为系统盘的windows目录,2k/NT下为系统盘的Winnt目录),然后再从体内释放G_Server.dll和G_Server_Hook.dll到windows目录下。G_Server.exe、G_Server.dll和G_Server_Hook.dll三个文件相互配合组成了灰鸽子服务端,有些灰鸽子会多释放出一个名为G_ServerKey.dll的文件用来记录键盘操作。 同时注意,G_Server.exe这个名称并不固定,它是可以定制的,比如当定制服务端文件名为A.exe时,生成的文件就是A.exe、A.dll和A_Hook.dll。 Windows目录下的G_Server.exe文件将自己注册成服务(9X系统写注册表启动项),每次开机都能自动运行,运行后启动G_Server.dll和G_Server_Hook.dll并自动退出。G_Server.dll文件实现后门功能,与控制端客户端进行通信;G_Server_Hook.dll则通过拦截API调用来隐藏病毒。因此,中毒后,我们看不到病毒文件,也看不到病毒注册的服务项。随着灰鸽子服务端文件的设置不同,G_Server_Hook.dll有时候附在Explorer.exe的进程空间中,有时候则是附在所有进程中。灰鸽子病毒其特点是“三个隐藏”——隐藏进程、隐藏服务、隐藏病毒文件 灰鸽子的手工检测 由于灰鸽子拦截了API调用,在正常模式下木马程序文件和它注册的服务项均被隐藏,也就是说你即使设置了“显示所有隐藏文件”也看不到它们。此外,灰鸽子服务端的文件名也是可以自定义的,这都给手工检测带来了一定的困难。 但是,通过仔细观察我们发现,对于灰鸽子的检测仍然是有规律可循的。从上面的运行原理分析可以看出,无论自定义的服务器端文件名是什么,一般都会在操作系统的安装目录下生成一个以“_hook.dll”结尾的文件。通过这一点,我们可以较为准确手工检测出灰鸽子木马。 由于正常模式下灰鸽子会隐藏自身,因此检测灰鸽子的操作一定要在安全模式下进行。进入安全模式的方法是:启动计算机,在系统进入Windows启动画面前,按下F8键,在出现的启动选项菜单中,选择“安全模式”。 1、由于灰鸽子的文件本身具有隐藏属性,因此要设置Windows显示所有文件。打开“我的电脑”,选择菜单“工具”—》“文件夹选项”,点击“查看”,取消“隐藏受保护的操作系统文件”前的对勾,并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”,然后点击“确定”。 2、打开Windows的“搜索文件”,文件名称输入“*_hook.dll”,搜索位置选择Windows的安装目录(默认98/xp为C:\windows,2k/NT为C:\Winnt)。 3、经过搜索,在Windows目录(不包含子目录)下发现了一个名为G_Server_Hook.dll的文件。 4、根据灰鸽子原理分析我们知道,G_Server_Hook.dll是灰鸽子的文件,则在操作系统安装目录下还会有G_Server.exe和G_Server.dll文件。打开Windows目录,果然有这两个文件,同时还有一个用于记录键盘操作的G_ServerKey.dll文件。 [以上的我试过,但唔知系米我唔识操作,所以根本我都揾唔到,后黎我下咗个WINDOWS木马清道夫,扫描硬盘,咁就揾到晒所有嘅木马文件] 经过这几步操作基本就可以确定这些文件是灰鸽子木马了,下面就可以进行手动清除。灰鸽子的手工清除 经过上面的分析,清除灰鸽子就很容易了。清除灰鸽子仍然要在安全模式下操作,主要有两步:1、清除灰鸽子的服务;2删除灰鸽子程序文件。 注意:此操作需在安全模式下进行,为防止误操作,清除前一定要做好备份。 一、清除灰鸽子的服务 2000/XP系统: 1、打开注册表编辑器(点击“开始”-》“运行”,输入“Regedit.exe”,确定。),打开 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services 注册表项。 2、点击菜单“编辑”-》“查找”,“查找目标”输入“G_server.exe”,点击确定,我们就可以找到灰鸽子的服务项. 3、删除整个G_server.exe键值所在的服务项。 [呢个都系,可能真系我唔识操作,所以根本就都揾唔到,于是我用咗一个低B嘅方法,就系照住清道夫搜出黎嘅文件名来查找,竟然俾我揾到.呵呵~~`揾唔到果D即系无注册项,所以直接入去文件删除就得了] 98/me系统: 在9X下,灰鸽子启动项只有一个,因此清除更为简单。运行注册表编辑器,打开HKEY_CURRENT_USER\Sofare\Microsoft\Windows\CurrentVersion\Run项,立即可以看到名为G_server.exe的一项,将G_server.exe项删除即可。 二、删除灰鸽子程序文件 删除灰鸽子程序文件非常简单,只需要在安全模式下删除Windows目录下的G_server.exe、G_server.dll、G_server_Hook.dll以及G_serverkey.dll文件,然后重新启动计算机。至此,灰鸽子已经被清除干净。 附: 其实现在大部分的杀毒软件还是可以帮助查杀灰鸽子病毒的,本人使用的是瑞星杀毒软件并已经更新至最新版本,在正常模式下,瑞星查杀了除G_server.exe文件外的所有文件,其实本人并没有指望瑞星能够全部查杀,但瑞星实际上给我帮了一个大忙,就是帮我确定了所中灰鸽子病毒的类型,我在使用瑞星查杀时查杀了G_server.dll、G_server_Hook.dll和G_serverkey.dll这三个文件以及由前两个文件释放的附在其他进程下的文件,这就让我确定了剩下的那个文件必然是G_server.exe,于是重新启动计算机进入安全模式,首先要设置Windows显示所有文件。打开“我的电脑”,选择菜单“工具”—》“文件夹选项”,点击“查看”,取消“隐藏受保护的操作系统文件”前的对勾,并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”,然后点击“确定”。然后打开Windows的“搜索文件”,因为确定病毒文件为G_server.exe,但同时出于保险起见,在搜索中输入G_server*.*进行搜索,并选择所有分区,在C:\windows目录下发现了G_server.exe,但令我惊讶的是竟然在D盘发现了这个文件的副本,其属性同样的隐藏的,所以建议大家在搜索时搜索所有分区,然后删除即可! 另外还需进入注册表删除服务键值项,本人利用注册表的查找功能搜索G_server,查找到了灰鸽子病毒的服务键值项,并发现其中由一个键值赫然写着".....灰鸽子.....",这令本人愤恨不已,于是删除整个服务键值项.2023-08-13 02:11:561
电脑里的这个进程怎么变成大小写不一样了呢?是不是中毒了,用杀毒软件查杀不到啊???
你看下该进程的用户名是administration还是system2023-08-13 02:12:054
什么是一组人为设计的程序 这些程序隐藏在计算机中 通过自我复制来传播 但满
木马,会将自己伪装成普通文件甚至是系统文件,反正就是看起来正常的文件。主要功能就是自我繁殖占用空间,有一些木马还会通过网络自己建立后台秘密的上传用户的隐私,盗QQ密码也可以利用此原理2023-08-13 02:12:131
dnf双开多开工具d3d
用这个工具试试HideToolz,是一种进程隐藏工具,双开就是利用这一原理。使用方法及其简单,打开工具后在“进程”列表中找到你要双开的程序(也就是你要玩的游戏,先开游戏,在开这个工具),右键点击,弹出两个按钮,点下边的hide,不要点上边的kill,点kill就关闭游戏的进程了2023-08-13 02:12:201
为什么我按CTRL.ALT.DEL看不到系统进程
你下个冰刃是最好的2023-08-13 02:12:422
xp系统 出现rundll32.exe无法正常关机
前言 后门!相信这个词语对您来说一定不会陌生,它的危害不然而欲,但随着人们的安全意识逐步增强,又加上杀毒软件的“大力支持”,使传统的后门无法在隐藏自己,任何稍微有点计算机知识的人,都知道“查端口”“看进程”,以便发现一些“蛛丝马迹”。所以,后门的编写者及时调整了思路,把目光放到了动态链接程序库上,也就是说,把后门做成DLL文件,然后由某一个EXE做为载体,或者使用Rundll32.exe来启动,这样就不会有进程,不开端口等特点,也就实现了进程、端口的隐藏。本文以“DLL的原理”“DLL的清除”“DLL的防范”为主题,并展开论述,旨在能让大家对DLL后门“快速上手”,不在恐惧DLL后门。好了,进入我们的主题。 一,DLL的原理 1,动态链接程序库 动态链接程序库,全称:Dynamic Link Library,简称:DLL,作用在于为应用程序提供扩展功能。应用程序想要调用DLL文件,需要跟其进行“动态链接”;从编程的角度,应用程序需要知道DLL文件导出的API函数方可调用。由此可见,DLL文件本身并不可以运行,需要应用程序调用。正因为DLL文件运行时必须插入到应用程序的内存模块当中,这就说明了:DLL文件无法删除。这是由于Windows内部机制造成的:正在运行的程序不能关闭。所以,DLL后门由此而生! 2,DLL后门原理及特点 把一个实现了后门功能的代码写成一个DLL文件,然后插入到一个EXE文件当中,使其可以执行,这样就不需要占用进程,也就没有相对应的PID号,也就可以在任务管理器中隐藏。DLL文件本身和EXE文件相差不大,但必须使用程序(EXE)调用才能执行DLL文件。DLL文件的执行,需要EXE文件加载,但EXE想要加载DLL文件,需要知道一个DLL文件的入口函数(既DLL文件的导出函数),所以,根据DLL文件的编写标准:EXE必须执行DLL文件中的DLLMain()作为加载的条件(如同EXE的mian())。做DLL后门基本分为两种:1)把所有功能都在DLL文件中实现;2)把DLL做成一个启动文件,在需要的时候启动一个普通的EXE后门。 常见的编写方法: (1),只有一个DLL文件 这类后门很简单,只把自己做成一个DLL文件,在注册表Run键值或其他可以被系统自动加载的地方,使用Rundll32.exe来自动启动。Rundll32.exe是什么?顾名思意,“执行32位的DLL文件”。它的作用是执行DLL文件中的内部函数,这样在进程当中,只会有Rundll32.exe,而不会有DLL后门的进程,这样,就实现了进程上的隐藏。如果看到系统中有多个Rundll32.exe,不必惊慌,这证明用Rundll32.exe启动了多少个的DLL文件。当然,这些Rundll32.exe执行的DLL文件是什么,我们都可以从系统自动加载的地方找到。 现在,我来介绍一下Rundll32.exe这个文件,意思上边已经说过,功能就是以命令行的方式调用动态链接程序库。系统中还有一个Rundll.exe文件,他的意思是“执行16位的DLL文件”,这里要注意一下。在来看看Rundll32.exe使用的函数原型: Void CALLBACK FunctionName ( HWND hwnd, HINSTANCE hinst, LPTSTR lpCmdLine, Int nCmdShow ); 其命令行下的使用方法为:Rundll32.exe DLLname,Functionname [Arguments] DLLname为需要执行的DLL文件名;Functionname为前边需要执行的DLL文件的具体引出函数;[Arguments]为引出函数的具体参数。 (2),替换系统中的DLL文件 这类后门就比上边的先进了一些,它把实现了后门功能的代码做成一个和系统匹配的DLL文件,并把原来的DLL文件改名。遇到应用程序请求原来的DLL文件时, DLL后门就启一个转发的作用,把“参数”传递给原来的DLL文件;如果遇到特殊的请求时(比如客户端),DLL后门就开始,启动并运行了。对于这类后门,把所有操作都在DLL文件中实现最为安全,但需要的编程知识也非常多,也非常不容易编写。所以,这类后门一般都是把DLL文件做成一个“启动”文件,在遇到特殊的情况下(比如客户端的请求),就启动一个普通的EXE后门;在客户端结束连接之后,把EXE后门停止,然后DLL文件进入“休息”状态,在下次客户端连接之前,都不会启动。但随着微软的“数字签名”和“文件恢复”的功能出台,这种后门已经逐步衰落。 提示: 在WINNTsystem32目录下,有一个dllcache文件夹,里边存放着众多DLL文件(也包括一些重要的EXE文件),在DLL文件被非法修改之后,系统就从这里来恢复被修改的DLL文件。如果要修改某个DLL文件,首先应该把dllcache目录下的同名DLL文件删除或更名,否则系统会自动恢复。 (3),动态嵌入式 这才是DLL后门最常用的方法。其意义是将DLL文件嵌入到正在运行的系统进程当中。在Windows系统中,每个进程都有自己的私有内存空间,但还是有种种方法来进入其进程的私有内存空间,来实现动态嵌入式。由于系统的关键进程是不能终止的,所以这类后门非常隐蔽,查杀也非常困难。常见的动态嵌入式有:“挂接API”“全局钩子(HOOK)”“远程线程”等。 远程线程技术指的是通过在一个进程中创建远程线程的方法来进入那个进程的内存地址空间。当EXE载体(或Rundll32.exe)在那个被插入的进程里创建了远程线程,并命令它执行某个DLL文件时,我们的DLL后门就挂上去执行了,这里不会产生新的进程,要想让DLL后门停止,只有让这个链接DLL后门的进程终止。但如果和某些系统的关键进程链接,那就不能终止了,如果你终止了系统进程,那Windows也随即被终止!!! 3,DLL后门的启动特性 启动DLL后门的载体EXE是不可缺少的,也是非常重要的,它被称为:Loader。如果没有Loader,那我们的DLL后门如何启动呢?因此,一个好的DLL后门会尽力保护自己的Loader不被查杀。Loader的方式有很多,可以是为我们的DLL后门而专门编写的一个EXE文件;也可以是系统自带的Rundll32.exe,即使停止了Rundll32.exe,DLL后门的主体还是存在的。3721网络实名就是一个例子,虽然它并不是“真正”的后门。 二,DLL的清除 本节以三款比较有名的DLL后门例,分别为“SvchostDLL.dll”“BITS.dll”“QoServer.dll”。详细讲解其手工清除方法。希望大家在看过这三款DLL后门的清除方法之后,能够举一反三,灵活运用,在不惧怕DLL后门。其实,手工清除DLL后门还是比较简单的,无非就是在注册表中做文章。具体怎么做,请看下文。 1,PortLess BackDoor 这是一款功能非常强大的DLL后门程序,除了可以获得Local System权限的Shell之外,还支持如“检测克隆帐户”“安装终端服务”等一系列功能(具体可以参见程序帮助),适用Windows2000/xp/2003等系统。程序使用svchost.exe来启动,平常不开端口,可以进行反向连接(最大的特点哦),对于有防火墙的主机来说,这个功能在好不过了。 在介绍清除方法之前,我们先来简单的介绍一下svchost.exe这个系统的关键服务: Svchost只是做为服务的宿主,本身并不实现什么功能,如果需要使用Svchost来启动服务,则某个服务是以DLL形式实现的,该DLL的载体Loader指向svchost,所以,在启动服务的时候由svchost调用该服务的DLL来实现启动的目的。使用svchost启动某个服务的DLL文件是由注册表中的参数来决定的,在需要启动服务的下边都有一个Parameters子键,其中的ServiceDll表明该服务由哪个DLL文件负责,并且这个DLL文件必须导出一个ServiceMain()函数,为处理服务任务提供支持。 呵呵!看了上边的理论,是不是有点蒙(我都快睡着了),别着急,我们来看看具体的内容)。我们可以看到HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRpcSs下的Parameters子键,其键值为%SystemRoot%system32rpcss.dll。这就说明:启动RpcSs服务时。Svchost调用WINNTsystem32目录下的rpcss.dll。 这是注册表的HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionSvchost,里边存放着Svchost启动的组和组内的各个服务,其中netsvcs组的服务最多。要使用Svchost启动某个服务,则该服务名就会出现在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionSvchost下。这里有四种方法来实现: 1, 添加一个新的组,在组里添加服务名 2, 在现有组里添加服务名 3, 直接使用现有组里的一个服务名,但是本机没有安装的服务 4, 修改现有组里的现有服务,把它的ServiceDll指向自己的DLL后门 我测试的PortLess BackDoor使用的第三种方法。 好了,我想大家看完了上边的原理,一定可以想到我们清除PortLess BackDoor的方法了,对,就是在注册表的Svchost键下做文章。好,我们现在开始。 注:由于本文只是介绍清除方法,使用方法在此略过。 后门的Loader把SvchostDLL.dll插入Svchost进程当中,所以,我们先打开Windows优化大师中的Windows进程管理2.5,查看Svchost进程中的模块信息,SvchostDLL.dll已经插入到Svchost进程中了,在根据“直接使用现有组里的一个服务名,但是本机没有安装的服务”的提示,我们可以断定,在“管理工具”—“服务”中会有一项新的服务。证明了我的说法,此服务名称为:IPRIP,由Svchost启动,-k netsvcs表示此服务包含在netsvcs服务组中。 我们把该服务停掉,然后打开注册表编辑器(开始—运行--regedit),来到HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesIPRIP下,查看其Parameters子键)。Program键的键值SvcHostDLL.exe为后门的Loader;ServiceDll的键值C:WINNTsystem32svchostdll.dll为调用的DLL文件,这正是后门的DLL文件。现在我们删除IPRIP子键(或者用SC来删除),然后在来到HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionSvchost下,编辑netsvcs服务组,把49 00 70 00 72 00 69 00 70 00 00 00删除,这里对应的就是IPRIP的服务名。然后退出,重启。重启之后删除WINNTsystem32目录下的后门文件即可。 2,BITS.dll 这是榕哥的作品,也是DLL后门,和SvchostDLL.dll原理基本一样,不过这里使用的是上边介绍的第四种方法,即“修改现有组里的现有服务,把它的ServiceDll指向自己的DLL后门”。换句话说,该后门修改现有的某一个服务,把其原有服务的DLL指向自己(也就是BITS.dll),这样就达到了自动加载的目的;其次,该后门没有自己的Loader,而是使用系统自带的Rundll32.exe来加载。我们还是用Windows 进程管理2.5来查看,从图7中,我们可以看到bits.dll已经插入到Svchost进程当中。 好,现在我们来看看具体的清除方法,由于该后门是修改现有服务,而我们并不知道具体是修改了哪个服务,所以,在注册表中搜索bits.dll,最后在HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRasAuto下搜索到了bits.dll,查看Parameters子键下的ServiceDll,其键值为C:WINNTsystem32bits.dll(如图8)。原来,该后门把RasAuto服务原来的DLL文件替换为bits.dll了,这样来实现自动加载。知道了原因就好办了,现在我们把ServiceDll的键值修改为RasAuto服务原有的DLL文件,即%SystemRoot%System32rasauto.dll,退出,重启。之后删除WINNTsystem32目录下的bits.dll即可。 3,NOIR--QUEEN NOIR--QUEEN(守护者)是一个DLL后门&木马程序,服务端以DLL文件的形式插入到系统的Lsass.exe进程里,由于Lsass.exe是系统的关键进程,所以不能终止。在来介绍清除方法之前,我先介绍一下Lsass.exe进程: 这是一个本地的安全授权服务,并且它会为使用Winlogon服务的授权用户生成一个进程,如果授权是成功的,Lsass就会产生用户的进入令牌,令牌使用启动初始 的Shell。其他的由用户初始化的进程会继承这个令牌。 从上边的介绍我们就可以看出Lsass对系统的重要性,那具体怎么清除呢?请看下文。 后门在安装成功后,会在服务中添加一个名为QoSserver的服务,并把QoSserver.dll后门文件插入到Lsass进程当中,使其可以隐藏进程并自动启动(如图9)。现在我们打开注册表,来到HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesQoSserver,直接删除QoSserver键,然后重启。重启之后,我们在来到服务列表中,会看到QoSserver服务还在,但没有启动,类别是自动,我们把他修改为“已禁用”;然后往上看,会发现一个服务名为AppCPI的服务,其可执行程序指向QoSserver.exe(原因后边我会说到),具体如图11所示。我们再次打开注册表,来到HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesAppCPI,删除AppCPI键,重启,再删除QoSserver,最后删除WINNTsystem32目录下的后门文件。 本人和这个后门“搏斗”了3个多小时,重启N次。原因在于即使删除了QoSserver服务,后门还是在运行,而且服务列表中的QoSserver服务又“死灰复燃”。后来才知道原因:在我删除了QoSserver服务并重启之后,插入到Lsass进程当中的QoSserver.dll文件又恢复了QoSserver服务,并且生成了另外一个服务,即AppCPI,所以我们必须在到注册表中删除AppCPI服务才算是把该后门清除。由此可以看出,现在的后门的保护措施,真是一环扣环。 注意:在删除QoSserver服务并重启之后,恢复的QoSserver的启动类别要修改为“已禁用”,否则即便删除了AppCPI服务,QoSserver服务又运行了。 三,DLL的防范 看了上边的例子,我想大家对清除DLL后门的方法有了一定的了解,但在现实中,DLL后门并不会使用默认的文件名,所以你也就不能肯定是否中了DLL后门。对于DLL后门,system32目录下是个好地方,大多数后门也是如此,所以这里要非常注意。下面我来具体介绍一下怎么发现DLL后门,希望对大家有所帮助。 1,安装好系统和所有的应用程序之后,备份system32目录下的EXE和DLL文件:打开CMD,来到WINNTsystem32目录下,执行:dir *.exe>exe.txt & dir *.dll>dll.txt,这样,就会把所有的EXE和DLL文件备份到exe.txt和dll.txt文件中;日后,如发现异常,可以使用相同的命令再次备份EXE和DLL文件(这里我们假设是exe0.txt和dll0.txt),并使用:fc exe.txt exe0.txt>exedll.txt & fc dll.txt dll0.txt>exedll.txt,其意思为使用FC命令比较两次的EXE文件和DLL文件,并将比较结果保存到exedll.txt文件中。通过这种方法,我们就可以发现多出来的EXE和DLL文件,并通过文件大小,创建时间来判断是否是DLL后门。 2,使用内存/模块工具来查看进程调用的DLL文件,比如Windows优化大师中的Windows 进程管理 2.5。这样,可以发现进程到底调用了什么DLL文件,在结合上边用FC命令比较出来的结果,又能进一步来确定是否中了DLL后门。如果没有优化大师,可以使用TaskList,这个小工具也可以显示进程调用的DLL文件,而且还有源代码,方便修改。 3,普通后门连接需要打开特定的端口,DLL后门也不例外,不管它怎么隐藏,连接的时候都需要打开端口。我们可以用netstat –an来查看所有TCP/UDP端口的连接,以发现非法连接。大家平时要对自己打开的端口心中有数,并对netstat –an中的state属性有所了解。当然,也可以使用Fport来显示端口对应的进程,这样,系统有什么不明的连接和端口,都可以尽收眼底。 4,定期检查系统自动加载的地方,比如:注册表,Winstart.bat,Autoexec.bat,win.ini,system.ini,wininit.ini,Autorun.inf,Config.sys等。其次是对服务进行管理,对系统默认的服务要有所了解,在发现有问题的服务时,可以使用Windows 2000 Server Resource Kit中的SC来删除。以上这些地方都可以用来加载DLL后门的Loader,如果我们把DLL后门Loader删除了,试问?DLL后门还怎么运行?! 通过使用上边的方法,我想大多数DLL后门都可以“现形”,如果我们平时多做一些备份,那对查找DLL后门会启到事半功倍的效果。 后记 本文详细的介绍了DLL后门的一些知识。其实,从上文中不难看出,DLL后门并没有想象的这么可怕,清除起来也比较简单参考资料:2023-08-13 02:12:581
分析一个木马的步骤
很高兴为您解答:木马还分析啥,直接查杀就得了呗你可以下载腾讯电脑管家最新版本使用腾讯电脑管家中的病毒木马查杀打开腾讯电脑管家一杀毒一木马查杀你还可以开启腾讯电脑管家的安全防护腾讯电脑管家含有16层安全防护,时刻保护你的电脑祝楼主工作顺利、生活愉快!!2023-08-13 02:13:082
我想详细了解3721?
请登陆我们的网站,www.3721.com2023-08-13 02:13:163
如何查处隐藏在电脑里的病毒和木马?
看进程 查出处 删掉2023-08-13 02:13:265
如何隐藏一个程序 使它在360的软件管家里面找不到! 我不要复制粘贴!谢谢!
360软件管理和Windows的添加删除程序工作原理都一样,通过扫描注册表的相关项来确定安装了哪些程序。运行regedit,找到项HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionUninstall和HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionUninstall,这下面的每个项都对应着一个软件,如下图每个项下,名为DisplayName的字符串值表示这款软件在360软件管家那边显示的名称,找到你想隐藏的,删掉整个项就行2023-08-13 02:13:561
怎样隐藏应用?
如果您使用的是华为手机,建议您可以使用隐藏空间或者子账户功能隐藏应用。操作方法如下:1.开启隐私空间或子用户开启隐私空间:进入设置>隐私>隐私空间>开启,按照提示创建隐私空间。创建子账户:进入设置>用户和账户>多用户,选择添加用户,按照提示信息创建子账户。2.进入隐私空间或子用户中,下载安装需要隐藏的应用。2023-08-13 02:14:112
为什么进程隐藏工具没有隐字
我来回答,System Volume Information ●、“System Volume Information”文件夹的分析 System Volume Information 文件夹是一个隐藏的系统文件夹,"系统还原"工具使用该文件夹来存储它的信息和还原点。您的计算机的每个分区上都有一个 System Volume Information 文件夹。“System Volume Information”文件夹,中文名称可以翻译为“系统卷标信息”。这个文件夹里就存储着系统还原的备份信息. ●、“系统还原”及其优点 “系统还原”是Windows XP最实用的功能之一,它采用“快照”的方式记录下系统在特定时间的状态信息,也就是所谓的“还原点”,然后在需要的时候根据这些信息加以还原。还原点分为两种:一种是系统自动创建的,包括系统检查点和安装还原点;另一种是用户自己根据需要创建的,也叫手动还原点。在Windows XP系统中,我们可以利用系统自带的“系统还原”功能,通过对还原点的设置,记录我们对系统所做的更改,当系统出现故障时,使用系统还原功就能将系统恢复到更改之前的状态。 ●、如何使用“系统还原” 1、开启“系统还原” 鼠标右击“我的电脑”,选择“属性”/“系统还原”选项卡,确保“在所有驱动器上关闭系统还原”复选框未选中,再确保“需要还原的分区”处于“监视”状态。 2、创建还原点 这里需要说明的是:在创建系统还原点时要确保有足够的硬盘可用空间,否则可能导致创建失败。设置多个还原点方法同上。 3、恢复还原点 打开“系统还原向导”,选择“恢复我的计算机到一个较早的时间”,点击“下一步”,选择好日期后再跟着向导还原即可。 需要注意的是:由于恢复还原点之后系统会自动重新启动,因此操作之前建议大家退出当前运行的所有程序,以防止重要文件丢失 ●、“System Volume Information”文件夹产生的问题及解决方案 1、空间不足问题:随着用户使用系统时间的增加,还原点会越来越多,导致硬盘空间越来越少,最后还要被警告“磁盘空间不足”. 2、病毒保护伞(安全问题):由于NTFS的分区里该目录只有SYSTEM权限,导致杀毒软件没有权限查杀藏匿于该目录的病毒。 3、病毒保护伞(安全问题)解决方案:阻止“System Volume Information”文件夹的自动生成。(今为止没人能做到) 4、治表不治本的解决方案:可以打开控制面板里的“系统属性”——“系统还原”选项卡上选中“在所有驱动器上关闭系统还原”的复选框。 ●、“System Volume Information”文件夹里的NTFS木马(安全问题) 1、参考原理: 在一个NTFS分区里,把分区权限删到只剩EVERYONE权限,并只设一个“列出文件夹的目录”权限,其他复选框都去钩。在这种情况下,该分区是没有写权限的,照理说不会再自动生成“System Volume Information”文件夹。但是,无论你这么设置,该硬盘的分区在任何一个电脑上插上去后依旧会自动生成“System Volume Information”文件夹。 2、木马原理:利用“System Volume Information”文件夹自动生成的原理,进行线程插入免杀下载器到自动生成“System Volume Information”文件夹的系统进程里面,然后把加壳加密的木马下载到“System Volume Information”文件夹。在“System Volume Information”文件夹的保护下,杀毒软件无权查杀该木马。在设定条件下夺取SYSTEM权限运行木马预运行模块查杀杀软,然后再脱壳解密启动木马,启用保护进程防止该目录被删。此类木马无法手工删除,杀软无权查杀,就算FAT32的分区也由于加密原因无法脱壳。 3、解决方案:阻止“System Volume Information”文件夹的自动生成。(今为止没人能做到) ●、如何获得对“System Volume Information”文件夹的访问 (一)、使用 FAT32 文件系统的 Windows XP Professional 或 Windows XP Home Edition 1. 单击开始,然后单击我的电脑。 2. 在工具菜单上,单击文件夹选项。 3. 在查看选项卡上,单击"显示隐藏文件或文件夹"。 4. 清除"隐藏受保护的操作系统文件(推荐)"复选框。在提示您确定更改时,单击是。 5. 单击确定。 6. 双击以打开根目录中的 System Volume Information 文件夹。 (二)、在域上使用 NTFS 文件系统的 Windows XP Professional 1. 单击开始,然后单击我的电脑。 2. 在工具菜单上,单击文件夹选项。 3. 在查看选项卡上,单击"显示隐藏文件或文件夹"。 4. 清除"隐藏受保护的操作系统文件(推荐)"复选框。在提示您确定更改时,单击是。 5. 单击确定。 6. 右击根文件夹中的 System Volume Information 文件夹,然后单击"共享和安全"。 7. 单击安全性选项卡。 8. 单击添加,然后键入要授予该文件夹访问权限的用户的名称。选择相应的帐户位置(本地帐户或来自域)。通常,这是您登录时使用的帐户。单击确定,然后单击确定。 9. 双击以打开根目录中的 System Volume Information 文件夹。 (三)、在工作组或独立计算机上使用 NTFS 文件系统的 Windows XP Professional 1. 单击开始,然后单击我的电脑。 2. 在工具菜单上,单击文件夹选项。 3. 在查看选项卡上,单击"显示隐藏文件或文件夹"。 4. 清除"隐藏受保护的操作系统文件(推荐)"复选框。在提示您确定更改时,单击是。 5. 清除"使用简单文件共享(推荐)"复选框。 6. 单击确定。 7. 右击根文件夹中的 System Volume Information 文件夹,然后单击属性。 8. 单击安全性选项卡。 9. 单击添加,然后键入要授予该文件夹访问权限的用户的名称。通常,这是您登录时使用的帐户。单击确定,然后单击确定。 10. 双击以打开根目录中的 System Volume Information 文件夹。 (四)、在使用 NTFS 文件系统的 Windows XP Home Edition 中使用 CACLS 在使用 NTFS 文件系统的 Windows XP Home Edition 中还可以使用 Cacls 工具,该工具是一个命令行工具,用来显示或修改文件或文件夹的访问控制列表 (ACL)。有关 Cacls 工具的更多信息(包括用法和命令选项),请在"帮助"和"支持中心"中搜索"cacls"。1. 单击开始,单击运行,键入 cmd,然后单击确定。 2. 确保您位于要获得 System Volume Information 文件访问权的那个分区的根文件夹中。例如,若要获得 C:System Volume Information 文件夹的访问权,确保位于驱动器 C 的根文件夹中(在"C:"提示符处)。 3. 键入下面的行,然后按 ENTER 键: cacls " driveletter :System Volume Information" /E /G username :F 确保键入此处所示的引号。该命令将具有"完全控制"权限的指定用户添加到文件夹。 4. 双击以打开根目录中的 System Volume Information 文件夹。 5. 如果在疑难解答后需要移除权限,请在命令提示处键入下行: cacls " driveletter :System Volume Information" /E /R username 该命令将移除指定用户的所有权限。 (五)、将计算机重新启动到安全模式时,下列步骤同样有效,因为计算机在安全模式下运行时,简单文件共享会自动关闭。1. 打开"我的电脑",右击 System Volume Information 文件夹,然后单击属性。 2. 单击安全性选项卡。 3. 单击添加,然后键入要授予该文件夹访问权限的用户的名称。通常,这是您登录时使用的帐户。 4. 单击确定,然后单击确定。 5. 双击 System Volume Information 文件夹以打开它。 (六)、现在 Windows XP Home Edition 的用户可以在正常模式下访问 System Volume Information 文件夹 ●、如何关闭“系统还原” (一)、用“系统还原选项卡” 1、在“我的电脑”图标上点右键,选择属性 2、选择系统还原选项卡 3、将“在所有驱动器上关闭系统还原”打勾确定后即可 4、关闭“系统还原”后,就可以将该驱动器根目录下的“System Volume Information”文件夹删除。 (二)、用“组策略” 运行输入,gpedit.msc找开组策略->管理模块->系统->系统还原-"关闭系统还原"的属性查看还原功能是否被关闭,如果启动或未设置选择关闭就可以了。 ●、如何删除“System Volume Information”文件夹 1、关闭“系统还原” 2、获得对“System Volume Information”文件夹的访问 3、NTFS的分区里该目录只有SYSTEM权限,需要添加EVERYONE权限并设为安全控制才能删除。 4、删除“System Volume Information”文件夹 如何获得对 System Volume Information 文件夹的访问 概要 本文描述如何获得对 System Volume Information 文件夹的访问。System Volume Information 文件夹是一个隐藏的系统文件夹,"系统还原"工具使用该文件夹来存储它的信息和还原点。您的计算机的每个分区上都有一个 System Volume Information 文件夹。出于疑难解答的目的,您可能需要获得对该文件夹的访问。 更多信息 要获得对 System Volume Information 文件夹的访问,请遵循相应章节中的步骤。 使用 FAT32 文件系统的 Windows XP Professional 或 Windows XP Home Edition 1. 单击开始,然后单击我的电脑。 2. 在工具菜单上,单击文件夹选项。 3. 在查看选项卡上,单击"显示隐藏文件或文件夹"。 4. 清除"隐藏受保护的操作系统文件(推荐)"复选框。在提示您确定更改时,单击是。 5. 单击确定。 6. 双击以打开根目录中的 System Volume Information 文件夹。 在域上使用 NTFS 文件系统的 Windows XP Professional 1. 单击开始,然后单击我的电脑。 2. 在工具菜单上,单击文件夹选项。 3. 在查看选项卡上,单击"显示隐藏文件或文件夹"。 4. 清除"隐藏受保护的操作系统文件(推荐)"复选框。在提示您确定更改时,单击是。 5. 单击确定。 6. 右击根文件夹中的 System Volume Information 文件夹,然后单击"共享和安全"。 7. 单击安全性选项卡。 8. 单击添加,然后键入要授予该文件夹访问权限的用户的名称。选择相应的帐户位置(本地帐户或来自域)。通常,这是您登录时使用的帐户。单击确定,然后单击确定。 9. 双击以打开根目录中的 System Volume Information 文件夹。 在工作组或独立计算机上使用 NTFS 文件系统的 Windows XP Professional 1. 单击开始,然后单击我的电脑。 2. 在工具菜单上,单击文件夹选项。 3. 在查看选项卡上,单击"显示隐藏文件或文件夹"。 4. 清除"隐藏受保护的操作系统文件(推荐)"复选框。在提示您确定更改时,单击是。 5. 清除"使用简单文件共享(推荐)"复选框。 6. 单击确定。 7. 右击根文件夹中的 System Volume Information 文件夹,然后单击属性。 8. 单击安全性选项卡。 9. 单击添加,然后键入要授予该文件夹访问权限的用户的名称。通常,这是您登录时使用的帐户。单击确定,然后单击确定。 10. 双击以打开根目录中的 System Volume Information 文件夹。 备注:现在 Windows XP Home Edition 的用户可以在正常模式下访问 System Volume Information 文件夹。 在使用 NTFS 文件系统的 Windows XP Home Edition 中还可以使用 Cacls 工具,该工具是一个命令行工具,用来显示或修改文件或文件夹的访问控制列表 (ACL)。有关 Cacls 工具的更多信息(包括用法和命令选项),请在"帮助"和"支持中心"中搜索"cacls"。 1. 单击开始,单击运行,键入 cmd,然后单击确定。 2. 确保您位于要获得 System Volume Information 文件访问权的那个分区的根文件夹中。例如,若要获得 C:System Volume Information 文件夹的访问权,确保位于驱动器 C 的根文件夹中(在"C:"提示符处)。 3. 键入下面的行,然后按 ENTER 键: cacls " driveletter :System Volume Information" /E /G username :F 确保键入此处所示的引号。该命令将具有"完全控制"权限的指定用户添加到文件夹。 4. 双击以打开根目录中的 System Volume Information 文件夹。 5. 如果在疑难解答后需要移除权限,请在命令提示处键入下行: cacls " driveletter :System Volume Information" /E /R username 该命令将移除指定用户的所有权限。 将计算机重新启动到安全模式时,下列步骤同样有效,因为计算机在安全模式下运行时,简单文件共享会自动关闭。 1. 打开"我的电脑",右击 System Volume Information 文件夹,然后单击属性。 2. 单击安全性选项卡。 3. 单击添加,然后键入要授予该文件夹访问权限的用户的名称。通常,这是您登录时使用的帐户。 4. 单击确定,然后单击确定。 5. 双击 System Volume Information 文件夹以打开它。 怎样删除System Volume Information文件 1. 我的电脑-工具--文件夹选项--查看-除去使用简单文件共享前的勾。 2.右击System Volume Information文件夹,点击属性,会多出一个安全选项-(中间的)添加--选择用户或组,点高级--立即查找-双击你目前的管理员用户名-确定。 3.返回到选择用户或组 ,点确定--在System Volume Information属性下组或用户名称中就有了你所设定的管理员用户。--点窗口下的高级--在弹出的System Volume Information的高级安全设置窗口中选中过去的用户(不一定是SYSTEM,如果不是要先删除那个,才会出来SYSTEM,再来删除SYSTEM。下面两项如勾选过,把勾去掉)--编辑--全部清除--确定。 4.返回到System Volume Information的高级安全设置窗口,点确定--回到System Volume Information属性,把下面的完全控制勾选上--确定。这就完成了对此文件夹的控制权。 5.删除各分区下的System Volume Information文件夹。 这样就禁用系统还原,为了避免再次出现: 1.在运行,输入"gpedit.msc"/(组策略)程序/ 计算机配置/管理模板/系统/系统还原/右边,关闭系统还原,双击打开它,启用。 2,在运行,输入"gpedit.msc"/(组策略)程序/计算机配置/管理模板/windows组件/终端服务/windows Installer/在右边会有一个"关闭创建系统还原检查点"双击打开它,选择启用。 删完后它还会在C:盘上出现,重复下3.--5.,再删除,一般它就不再出现了,出现了重复前面步骤,很容易删除. 2. System Volume Information”文件夹,中文名称可以翻译为“系统卷标信息”。这个文件夹里就存储着系统还原的备份信息。 “系统还原”是Windows XP最实用的功能之一,它采用“快照”的方式记录下系统在特定时间的状态信息,也就是所谓的“还原点”,然后在需要的时候根据这些信息加以还原。还原点分为两种:一种是系统自动创建的,包括系统检查点和安装还原点;另一种是用户自己根据需要创建的,也叫手动还原点。随着用户使用系统时间的增加,还原点会越来越多,导致硬盘空间越来越少,最后还要被警告“磁盘空间不足” 1、在“我的电脑”图标上点右键,选择属性 2、选择系统还原选项卡 3、将“在所有驱动器上关闭系统还原”打勾确定后即可 4、关闭“系统还原”后,就可以将该驱动器根目录下的“System Volume Information”文件夹删除。 如何获得对 System Volume Information 文件夹的访问 概要 本文描述如何获得对 System Volume Information 文件夹的访问。System Volume Information 文件夹是一个隐藏的系统文件夹,"系统还原"工具使用该文件夹来存储它的信息和还原点。您的计算机的每个分区上都有一个 System Volume Information 文件夹。出于疑难解答的目的,您可能需要获得对该文件夹的访问。 更多信息 要获得对 System Volume Information 文件夹的访问,请遵循相应章节中的步骤。 使用 FAT32 文件系统的 Windows XP Professional 或 Windows XP Home Edition 1. 单击开始,然后单击我的电脑。 2. 在工具菜单上,单击文件夹选项。 3. 在查看选项卡上,单击"显示隐藏文件或文件夹"。 4. 清除"隐藏受保护的操作系统文件(推荐)"复选框。在提示您确定更改时,单击是。 5. 单击确定。 6. 双击以打开根目录中的 System Volume Information 文件夹。 10506希望对你有帮助!2023-08-13 02:15:171
电脑卡,打开任务管理器一看就发现了这个,求大神们指教~~
这是360浏览器LZ应该知道吧,许多浏览器都是这样的,为了求速度就会占大量的CPU和内存,正常情况。2023-08-13 02:15:253
怎样判断哪些电脑进程是重要的,是必须开的
A:任何病毒和木马存在于系统中,都无法彻底和进程脱离关系,即使采用了隐藏技术,也还是能够从进程中找到蛛丝马迹,因此,查看系统中活动的进程成为我们检测病毒木马最直接的方法。但是系统中同时运行的进程那么多,哪些是正常的系统进程,哪些是木马的进程,而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢?请看本文。 病毒进程隐藏三法 当我们确认系统中存在病毒,但是通过“任务管理器”查看系统中的进程时又找不出异样的进程,这说明病毒采用了一些隐藏措施,总结出来有三法: 1.以假乱真 系统中的正常进程有:svchost.exe、explorer.exe、iexplore.exe、winlogon.exe等,可能你发现过系统中存在这样的进程:svch0st.exe、explore.exe、iexplorer.exe、winlogin.exe。对比一下,发现区别了么?这是病毒经常使用的伎俩,目的就是迷惑用户的眼睛。通常它们会将系统中正常进程名的o改为0,l改为i,i改为j,然后成为自己的进程名,仅仅一字之差,意义却完全不同。又或者多一个字母或少一个字母,例如explorer.exe和iexplore.exe本来就容易搞混,再出现个iexplorer.exe就更加混乱了。如果用户不仔细,一般就忽略了,病毒的进程就逃过了一劫。 2.偷梁换柱 如果用户比较心细,那么上面这招就没用了,病毒会被就地正法。于是乎,病毒也学聪明了,懂得了偷梁换柱这一招。如果一个进程的名字为svchost.exe,和正常的系统进程名分毫不差。那么这个进程是不是就安全了呢?非也,其实它只是利用了“任务管理器”无法查看进程对应可执行文件这一缺陷。我们知道svchost.exe进程对应的可执行文件位于“C:WINDOWSsystem32”目录下(Windows2000则是C:WINNTsystem32目录),如果病毒将自身复制到“C:WINDOWS”中,并改名为svchost.exe,运行后,我们在“任务管理器”中看到的也是svchost.exe,和正常的系统进程无异。你能辨别出其中哪一个是病毒的进程吗? 3.借尸还魂 除了上文中的两种方法外,病毒还有一招终极大法——借尸还魂。所谓的借尸还魂就是病毒采用了进程插入技术,将病毒运行所需的dll文件插入正常的系统进程中,表面上看无任何可疑情况,实质上系统进程已经被病毒控制了,除非我们借助专业的进程检测工具,否则要想发现隐藏在其中的病毒是很困难的。 系统进程解惑 上文中提到了很多系统进程,这些系统进程到底有何作用,其运行原理又是什么?下面我们将对这些系统进程进行逐一讲解,相信在熟知这些系统进程后,就能成功破解病毒的“以假乱真”和“偷梁换柱”了。 svchost.exe 常被病毒冒充的进程名有:svch0st.exe、schvost.exe、scvhost.exe。随着Windows系统服务不断增多,为了节省系统资源,微软把很多服务做成共享方式,交由svchost.exe进程来启动。而系统服务是以动态链接库(DLL)形式实现的,它们把可执行程序指向scvhost,由cvhost调用相应服务的动态链接库来启动服务。我们可以打开“控制面板”→“管理工具”→服务,双击其中“ClipBook”服务,在其属性面板中可以发现对应的可执行文件路径为“C:WINDOWSsystem32clipsrv.exe”。再双击“Alerter”服务,可以发现其可执行文件路径为“C:WINDOWSsystem32svchost.exe -k LocalService”,而“Server”服务的可执行文件路径为“C:WINDOWSsystem32svchost.exe -k netsvcs”。正是通过这种调用,可以省下不少系统资源,因此系统中出现多个svchost.exe,其实只是系统的服务而已。 在Windows2000系统中一般存在2个svchost.exe进程,一个是RPCSS(RemoteProcedureCall)服务进程,另外一个则是由很多服务共享的一个svchost.exe;而在WindowsXP中,则一般有4个以上的svchost.exe服务进程。如果svchost.exe进程的数量多于5个,就要小心了,很可能是病毒假冒的,检测方法也很简单,使用一些进程管理工具,例如Windows优化大师的进程管理功能,查看svchost.exe的可执行文件路径,如果在“C:WINDOWSsystem32”目录外,那么就可以判定是病毒了。 explorer.exe 常被病毒冒充的进程名有:iexplorer.exe、expiorer.exe、explore.exe。explorer.exe就是我们经常会用到的“资源管理器”。如果在“任务管理器”中将explorer.exe进程结束,那么包括任务栏、桌面、以及打开的文件都会统统消失,单击“任务管理器”→“文件”→“新建任务”,输入“explorer.exe”后,消失的东西又重新回来了。explorer.exe进程的作用就是让我们管理计算机中的资源。 explorer.exe进程默认是和系统一起启动的,其对应可执行文件的路径为“C:Windows”目录,除此之外则为病毒。 iexplore.exe 常被病毒冒充的进程名有:iexplorer.exe、iexploer.exeiexplorer.exe进程和上文中的explorer.exe进程名很相像,因此比较容易搞混,其实iexplorer.exe是Microsoft Internet Explorer所产生的进程,也就是我们平时使用的IE浏览器。知道作用后辨认起来应该就比较容易了,iexplorer.exe进程名的开头为“ie”,就是IE浏览器的意思。 iexplore.exe进程对应的可执行程序位于C:ProgramFilesInternetExplorer目录中,存在于其他目录则为病毒,除非你将该文件夹进行了转移。此外,有时我们会发现没有打开IE浏览器的情况下,系统中仍然存在iexplore.exe进程,这要分两种情况:1.病毒假冒iexplore.exe进程名。2.病毒偷偷在后台通过iexplore.exe干坏事。因此出现这种情况还是赶快用杀毒软件进行查杀吧。 rundll32.exe 常被病毒冒充的进程名有:rundl132.exe、rundl32.exe。rundll32.exe在系统中的作用是执行DLL文件中的内部函数,系统中存在多少个Rundll32.exe进程,就表示Rundll32.exe启动了多少个的DLL文件。其实rundll32.exe我们是会经常用到的,他可以控制系统中的一些dll文件,举个例子,在“命令提示符”中输入“rundll32.exe user32.dll,LockWorkStation”,回车后,系统就会快速切换到登录界面了。rundll32.exe的路径为“C:Windowssystem32”,在别的目录则可以判定是病毒。 spoolsv.exe 常被病毒冒充的进程名有:spoo1sv.exe、spolsv.exe。spoolsv.exe是系统服务“Print Spooler”所对应的可执行程序,其作用是管理所有本地和网络打印队列及控制所有打印工作。如果此服务被停用,计算机上的打印将不可用,同时spoolsv.exe进程也会从计算机上消失。如果你不存在打印机设备,那么就把这项服务关闭吧,可以节省系统资源。停止并关闭服务后,如果系统中还存在spoolsv.exe进程,这就一定是病毒伪装的了。 限于篇幅,关于常见进程的介绍就到这里,我们平时在检查进程的时候如果发现有可疑,只要根据两点来判断:1.仔细检查进程的文件名;2.检查其路径。通过这两点,一般的病毒进程肯定会露出马脚。 找个管理进程的好帮手 系统内置的“任务管理器”功能太弱,肯定不适合查杀病毒。因此我们可以使用专业的进程管理工具,例如Procexp。Procexp可以区分系统进程和一般进程,并且以不同的颜色进行区分,让假冒系统进程的病毒进程无处可藏。 运行Procexp后,进程会被分为两大块,“System Idle Process”下属的进程属于系统进程, explorer.exe”下属的进程属于一般进程。我们介绍过的系统进程svchost.exe、winlogon.exe等都隶属于“System Idle Process”,如果你在“explorer.exe”中发现了svchost.exe,那么不用说,肯定是病毒冒充的。 至于病毒采用的“借尸还魂”大法——dll插入技术,我们曾讲解过破解方法,通过查看其dll文件的签名即可,这点同样可以在Procexp中做到,在此不再阐述。2023-08-13 02:15:321
阻止了钩子注入就是成功拦截了木马病毒吗
金山毒霸的官方上不是有个梦幻西游木马专杀的工具么,可以用,而且我现在用的就是金山啊.没中过.2023-08-13 02:15:415
请问这个进程是病毒吗
d2023-08-13 02:15:577
这样显示隐藏文件夹(注册表方法)
regeidt2023-08-13 02:16:133
我的任务管理器打开后为什么只出现用户信息
在任务管理器的边框处双击就出来了(鼠标双击).2023-08-13 02:16:212
如何隐藏程序让360软件管家搜不到
360软件管理和Windows的添加删除程序工作原理都一样,通过扫描注册表的相关项来确定安装了哪些程序。运行regedit,找到项HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionUninstall和HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionUninstall,这下面的每个项都对应着一个软件,每个项下,名为DisplayName的字符串值表示这款软件在360软件管家那边显示的名称,找到你想隐藏的,删掉整个项就行。2023-08-13 02:16:291
是不是可以这样认为,只要进程里有两个相同名称的东西,就是中毒了?
不一定2023-08-13 02:16:494
IEXPLORE.EXE是什么进程?
如果排除病毒伪装,应该是IE浏览器的进程2023-08-13 02:17:016
VU.exe是个什么进程 是病毒么?
任何病毒和木马存在于系统中,都无法彻底和进程脱离关系,即使采用了隐藏技术,也还是能够从进程中找到蛛丝马迹,因此,查看系统中活动的进程成为我们检测病毒木马最直接的方法。但是系统中同时运行的进程那么多,哪些是正常的系统进程,哪些是木马的进程,而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢?请看本文。病毒进程隐藏三法当我们确认系统中存在病毒,但是通过“任务管理器”查看系统中的进程时又找不出异样的进程,这说明病毒采用了一些隐藏措施,总结出来有三法:1.以假乱真系统中的正常进程有:svchost.exe、explorer.exe、iexplore.exe、winlogon.exe等,可能你发现过系统中存在这样的进程:svch0st.exe、explore.exe、iexplorer.exe、winlogin.exe。对比一下,发现区别了么?这是病毒经常使用的伎俩,目的就是迷惑用户的眼睛。通常它们会将系统中正常进程名的o改为0,l改为i,i改为j,然后成为自己的进程名,仅仅一字之差,意义却完全不同。又或者多一个字母或少一个字母,例如explorer.exe和iexplore.exe本来就容易搞混,再出现个iexplorer.exe就更加混乱了。如果用户不仔细,一般就忽略了,病毒的进程就逃过了一劫。2.偷梁换柱如果用户比较心细,那么上面这招就没用了,病毒会被就地正法。于是乎,病毒也学聪明了,懂得了偷梁换柱这一招。如果一个进程的名字为svchost.exe,和正常的系统进程名分毫不差。那么这个进程是不是就安全了呢?非也,其实它只是利用了“任务管理器”无法查看进程对应可执行文件这一缺陷。我们知道svchost.exe进程对应的可执行文件位于“C:WINDOWSsystem32”目录下(Windows2000则是C:WINNTsystem32目录),如果病毒将自身复制到“C:WINDOWS”中,并改名为svchost.exe,运行后,我们在“任务管理器”中看到的也是svchost.exe,和正常的系统进程无异。你能辨别出其中哪一个是病毒的进程吗?3.借尸还魂除了上文中的两种方法外,病毒还有一招终极——借尸还魂。所谓的借尸还魂就是病毒采用了进程插入技术,将病毒运行所需的dll文件插入正常的系统进程中,表面上看无任何可疑情况,实质上系统进程已经被病毒控制了,除非我们借助专业的进程检测工具,否则要想发现隐藏在其中的病毒是很困难的。系统进程解惑上文中提到了很多系统进程,这些系统进程到底有何作用,其运行原理又是什么?下面我们将对这些系统进程进行逐一讲解,相信在熟知这些系统进程后,就能成功破解病毒的“以假乱真”和“偷梁换柱”了。svchost.exe常被病毒冒充的进程名有:svch0st.exe、schvost.exe、scvhost.exe。随着Windows系统服务不断增多,为了节省系统资源,微软把很多服务做成共享方式,交由svchost.exe进程来启动。而系统服务是以动态链接库(DLL)形式实现的,它们把可执行程序指向scvhost,由cvhost调用相应服务的动态链接库来启动服务。我们可以打开“控制面板”→“管理工具”→服务,双击其中“ClipBook”服务,在其属性面板中可以发现对应的可执行文件路径为“C:WINDOWSsystem32clipsrv.exe”。再双击“Alerter”服务,可以发现其可执行文件路径为“C:WINDOWSsystem32svchost.exe -k LocalService”,而“Server”服务的可执行文件路径为“C:WINDOWSsystem32svchost.exe -k netsvcs”。正是通过这种调用,可以省下不少系统资源,因此系统中出现多个svchost.exe,其实只是系统的服务而已。在Windows2000系统中一般存在2个svchost.exe进程,一个是RPCSS(RemoteProcedureCall)服务进程,另外一个则是由很多服务共享的一个svchost.exe;而在WindowsXP中,则一般有4个以上的svchost.exe服务进程。如果svchost.exe进程的数量多于5个,就要小心了,很可能是病毒假冒的,检测方法也很简单,使用一些进程管理工具,例如Windows优化大师的进程管理功能,查看svchost.exe的可执行文件路径,如果在“C:WINDOWSsystem32”目录外,那么就可以判定是病毒了。explorer.exe常被病毒冒充的进程名有:iexplorer.exe、expiorer.exe、explore.exe。explorer.exe就是我们经常会用到的“资源管理器”。如果在“任务管理器”中将explorer.exe进程结束,那么包括任务栏、桌面、以及打开的文件都会统统消失,单击“任务管理器”→“文件”→“新建任务”,输入“explorer.exe”后,消失的东西又重新回来了。explorer.exe进程的作用就是让我们管理计算机中的资源。explorer.exe进程默认是和系统一起启动的,其对应可执行文件的路径为“C:Windows”目录,除此之外则为病毒。iexplore.exe常被病毒冒充的进程名有:iexplorer.exe、iexploer.exeiexplorer.exe进程和上文中的explorer.exe进程名很相像,因此比较容易搞混,其实iexplorer.exe是Microsoft Internet Explorer所产生的进程,也就是我们平时使用的IE浏览器。知道作用后辨认起来应该就比较容易了,iexplorer.exe进程名的开头为“ie”,就是IE浏览器的意思。iexplore.exe进程对应的可执行程序位于C:ProgramFilesInternetExplorer目录中,存在于其他目录则为病毒,除非你将该文件夹进行了转移。此外,有时我们会发现没有打开IE浏览器的情况下,系统中仍然存在iexplore.exe进程,这要分两种情况:1.病毒假冒iexplore.exe进程名。2.病毒偷偷在后台通过iexplore.exe干坏事。因此出现这种情况还是赶快用杀毒软件进行查杀吧。rundll32.exe常被病毒冒充的进程名有:rundl132.exe、rundl32.exe。rundll32.exe在系统中的作用是执行DLL文件中的内部函数,系统中存在多少个Rundll32.exe进程,就表示Rundll32.exe启动了多少个的DLL文件。其实rundll32.exe我们是会经常用到的,他可以控制系统中的一些dll文件,举个例子,在“命令提示符”中输入“rundll32.exe user32.dll,LockWorkStation”,回车后,系统就会快速切换到登录界面了。rundll32.exe的路径为“C:Windowssystem32”,在别的目录则可以判定是病毒。spoolsv.exe常被病毒冒充的进程名有:spoo1sv.exe、spolsv.exe。spoolsv.exe是系统服务“Print Spooler”所对应的可执行程序,其作用是管理所有本地和网络打印队列及控制所有打印工作。如果此服务被停用,计算机上的打印将不可用,同时spoolsv.exe进程也会从计算机上消失。如果你不存在打印机设备,那么就把这项服务关闭吧,可以节省系统资源。停止并关闭服务后,如果系统中还存在spoolsv.exe进程,这就一定是病毒伪装的了。限于篇幅,关于常见进程的介绍就到这里,我们平时在检查进程的时候如果发现有可疑,只要根据两点来判断:1.仔细检查进程的文件名;2.检查其路径。通过这两点,一般的病毒进程肯定会露出马脚。找个管理进程的好帮手系统内置的“任务管理器”功能太弱,肯定不适合查杀病毒。因此我们可以使用专业的进程管理工具,例如Procexp。Procexp可以区分系统进程和一般进程,并且以不同的颜色进行区分,让假冒系统进程的病毒进程无处可藏。运行Procexp后,进程会被分为两大块,“System Idle Process”下属的进程属于系统进程,explorer.exe”下属的进程属于一般进程。我们介绍过的系统进程svchost.exe、winlogon.exe等都隶属于“System Idle Process”,如果你在“explorer.exe”中发现了svchost.exe,那么不用说,肯定是病毒冒充的。至于病毒采用的“借尸还魂”——dll插入技术,我们曾讲解过破解方法,通过查看其dll文件的签名即可,这点同样可以在Procexp中做到,在此不再阐述。小贴士:在软件的主界面我们可能看不到进程名和进程所对应的可执行文件,我们可以点击其“查看”菜单→“选择列”,勾选“进程名称”和“映像路径”,确定保存即可。2023-08-13 02:17:231
后门怎么清除
告诉你个软件,木马清道夫.是可以查杀木马的2023-08-13 02:17:343
VU.exe是个什么进程 是病毒么?
任何病毒和木马存在于系统中,都无法彻底和进程脱离关系,即使采用了隐藏技术,也还是能够从进程中找到蛛丝马迹,因此,查看系统中活动的进程成为我们检测病毒木马最直接的方法。但是系统中同时运行的进程那么多,哪些是正常的系统进程,哪些是木马的进程,而经常被病毒木马假冒的系统进程在系统中又扮演着什么角色呢?请看本文。病毒进程隐藏三法当我们确认系统中存在病毒,但是通过“任务管理器”查看系统中的进程时又找不出异样的进程,这说明病毒采用了一些隐藏措施,总结出来有三法:1.以假乱真系统中的正常进程有:svchost.exe、explorer.exe、iexplore.exe、winlogon.exe等,可能你发现过系统中存在这样的进程:svch0st.exe、explore.exe、iexplorer.exe、winlogin.exe。对比一下,发现区别了么?这是病毒经常使用的伎俩,目的就是迷惑用户的眼睛。通常它们会将系统中正常进程名的o改为0,l改为i,i改为j,然后成为自己的进程名,仅仅一字之差,意义却完全不同。又或者多一个字母或少一个字母,例如explorer.exe和iexplore.exe本来就容易搞混,再出现个iexplorer.exe就更加混乱了。如果用户不仔细,一般就忽略了,病毒的进程就逃过了一劫。2.偷梁换柱如果用户比较心细,那么上面这招就没用了,病毒会被就地正法。于是乎,病毒也学聪明了,懂得了偷梁换柱这一招。如果一个进程的名字为svchost.exe,和正常的系统进程名分毫不差。那么这个进程是不是就安全了呢?非也,其实它只是利用了“任务管理器”无法查看进程对应可执行文件这一缺陷。我们知道svchost.exe进程对应的可执行文件位于“C:WINDOWSsystem32”目录下(Windows2000则是C:WINNTsystem32目录),如果病毒将自身复制到“C:WINDOWS”中,并改名为svchost.exe,运行后,我们在“任务管理器”中看到的也是svchost.exe,和正常的系统进程无异。你能辨别出其中哪一个是病毒的进程吗?3.借尸还魂除了上文中的两种方法外,病毒还有一招终极——借尸还魂。所谓的借尸还魂就是病毒采用了进程插入技术,将病毒运行所需的dll文件插入正常的系统进程中,表面上看无任何可疑情况,实质上系统进程已经被病毒控制了,除非我们借助专业的进程检测工具,否则要想发现隐藏在其中的病毒是很困难的。系统进程解惑上文中提到了很多系统进程,这些系统进程到底有何作用,其运行原理又是什么?下面我们将对这些系统进程进行逐一讲解,相信在熟知这些系统进程后,就能成功破解病毒的“以假乱真”和“偷梁换柱”了。svchost.exe常被病毒冒充的进程名有:svch0st.exe、schvost.exe、scvhost.exe。随着Windows系统服务不断增多,为了节省系统资源,微软把很多服务做成共享方式,交由svchost.exe进程来启动。而系统服务是以动态链接库(DLL)形式实现的,它们把可执行程序指向scvhost,由cvhost调用相应服务的动态链接库来启动服务。我们可以打开“控制面板”→“管理工具”→服务,双击其中“ClipBook”服务,在其属性面板中可以发现对应的可执行文件路径为“C:WINDOWSsystem32clipsrv.exe”。再双击“Alerter”服务,可以发现其可执行文件路径为“C:WINDOWSsystem32svchost.exe -k LocalService”,而“Server”服务的可执行文件路径为“C:WINDOWSsystem32svchost.exe -k netsvcs”。正是通过这种调用,可以省下不少系统资源,因此系统中出现多个svchost.exe,其实只是系统的服务而已。在Windows2000系统中一般存在2个svchost.exe进程,一个是RPCSS(RemoteProcedureCall)服务进程,另外一个则是由很多服务共享的一个svchost.exe;而在WindowsXP中,则一般有4个以上的svchost.exe服务进程。如果svchost.exe进程的数量多于5个,就要小心了,很可能是病毒假冒的,检测方法也很简单,使用一些进程管理工具,例如Windows优化大师的进程管理功能,查看svchost.exe的可执行文件路径,如果在“C:WINDOWSsystem32”目录外,那么就可以判定是病毒了。explorer.exe常被病毒冒充的进程名有:iexplorer.exe、expiorer.exe、explore.exe。explorer.exe就是我们经常会用到的“资源管理器”。如果在“任务管理器”中将explorer.exe进程结束,那么包括任务栏、桌面、以及打开的文件都会统统消失,单击“任务管理器”→“文件”→“新建任务”,输入“explorer.exe”后,消失的东西又重新回来了。explorer.exe进程的作用就是让我们管理计算机中的资源。explorer.exe进程默认是和系统一起启动的,其对应可执行文件的路径为“C:Windows”目录,除此之外则为病毒。iexplore.exe常被病毒冒充的进程名有:iexplorer.exe、iexploer.exeiexplorer.exe进程和上文中的explorer.exe进程名很相像,因此比较容易搞混,其实iexplorer.exe是Microsoft Internet Explorer所产生的进程,也就是我们平时使用的IE浏览器。知道作用后辨认起来应该就比较容易了,iexplorer.exe进程名的开头为“ie”,就是IE浏览器的意思。iexplore.exe进程对应的可执行程序位于C:ProgramFilesInternetExplorer目录中,存在于其他目录则为病毒,除非你将该文件夹进行了转移。此外,有时我们会发现没有打开IE浏览器的情况下,系统中仍然存在iexplore.exe进程,这要分两种情况:1.病毒假冒iexplore.exe进程名。2.病毒偷偷在后台通过iexplore.exe干坏事。因此出现这种情况还是赶快用杀毒软件进行查杀吧。rundll32.exe常被病毒冒充的进程名有:rundl132.exe、rundl32.exe。rundll32.exe在系统中的作用是执行DLL文件中的内部函数,系统中存在多少个Rundll32.exe进程,就表示Rundll32.exe启动了多少个的DLL文件。其实rundll32.exe我们是会经常用到的,他可以控制系统中的一些dll文件,举个例子,在“命令提示符”中输入“rundll32.exe user32.dll,LockWorkStation”,回车后,系统就会快速切换到登录界面了。rundll32.exe的路径为“C:Windowssystem32”,在别的目录则可以判定是病毒。spoolsv.exe常被病毒冒充的进程名有:spoo1sv.exe、spolsv.exe。spoolsv.exe是系统服务“Print Spooler”所对应的可执行程序,其作用是管理所有本地和网络打印队列及控制所有打印工作。如果此服务被停用,计算机上的打印将不可用,同时spoolsv.exe进程也会从计算机上消失。如果你不存在打印机设备,那么就把这项服务关闭吧,可以节省系统资源。停止并关闭服务后,如果系统中还存在spoolsv.exe进程,这就一定是病毒伪装的了。限于篇幅,关于常见进程的介绍就到这里,我们平时在检查进程的时候如果发现有可疑,只要根据两点来判断:1.仔细检查进程的文件名;2.检查其路径。通过这两点,一般的病毒进程肯定会露出马脚。找个管理进程的好帮手系统内置的“任务管理器”功能太弱,肯定不适合查杀病毒。因此我们可以使用专业的进程管理工具,例如Procexp。Procexp可以区分系统进程和一般进程,并且以不同的颜色进行区分,让假冒系统进程的病毒进程无处可藏。运行Procexp后,进程会被分为两大块,“System Idle Process”下属的进程属于系统进程,explorer.exe”下属的进程属于一般进程。我们介绍过的系统进程svchost.exe、winlogon.exe等都隶属于“System Idle Process”,如果你在“explorer.exe”中发现了svchost.exe,那么不用说,肯定是病毒冒充的。至于病毒采用的“借尸还魂”——dll插入技术,我们曾讲解过破解方法,通过查看其dll文件的签名即可,这点同样可以在Procexp中做到,在此不再阐述。小贴士:在软件的主界面我们可能看不到进程名和进程所对应的可执行文件,我们可以点击其“查看”菜单→“选择列”,勾选“进程名称”和“映像路径”,确定保存即可。2023-08-13 02:17:421
3721除了阻止弹出窗口还有什么用?
还有中文域名以及IE修复等功能不过有时候也是很烦人的我一般都让它们回老家了!2023-08-13 02:17:492