微点交流论坛

标题: 帮忙！sos [打印本页]

作者: 小小刀 时间: 2008-3-11 09:36 标题: 帮忙！sos

昨天接手一重症的ibm本，系统超级慢，进系统后自动打开我的文档，注册表被禁，启动项被禁，任务管理器里看不出什么异常，什么杀软也没装，肯定是有问题的机子，先把微点装上。

   进入安全模式，很顺利，好像在安全模式里也不慢，但那些东西还是被禁止，装上微点，重启，再次进入，这次完了。。。再也进不去系统了，就在桌面那卡着，只能显示壁纸，图标和任务栏都显示不出来，死机。重启－》死机－》再次重启，还是一样。没办法了，放了一会，再次开机，这次有反应了，还是进到那，微点报警了，一直不停的弹，好多，我记得第一个报的是rookit，删除，然后是一堆，有提示删除失败，延时删除的，我点不过来了，就重启下吧，先删除一部分再说，重启，然后让我头疼的事发生了：再也进不去系统了，到桌面，没等加载图标，就自动注销，返回到欢迎界面的账号选择那，然后你再点账户，进入又返回，换管理账户也是一样，重启N回都一样，进不了系统啥也干不了。没辙了，换安全模式吧，再次重启，这下好，安全模式也进不去了，根本就没了那项，就没有了那个模式的菜单，直接就又进到系统了。。。。试了N＋1次，我是没招了，实在是无奈了。。。。

   大家谁有好的招数，现在的情况是进到桌面自动注销，返回到用户选择的欢迎界面，安全模式无法进入。就是这样，谁有好的办法，急！！

作者: 木吉它 时间: 2008-3-11 09:54
估计是explorer.exe进程受病毒感染又无法清除，被杀掉了，XP缺少这个无法进入系统的，会不停自动重启。
建议重装系统。

作者: freedom11 时间: 2008-3-11 10:18
LZ可以使用系统启动盘或者pe系统进入，再将C:\WINDOWS\system32\dllcache下的explorer.exe替换C:\WINDOWS下的此文件试试

作者: y0365 时间: 2008-3-11 10:32
老注销的话，可能userinit.exe感染病毒，被微点给删除了，建议dllcache下copy一个到system32下。然后重启系统

作者: Legend 时间: 2008-3-11 10:38
请楼主使用启动盘或者pe光盘进入系统，将微点安装目录下的mp6和mp7、mp14文件发送到我们support@micropoint.com.cn 邮箱，随信请附带此贴，我们好及时给您分析解决。

您发送完后，请通过论坛短消息将您的邮箱地址发给我，也请附带此贴链接。

[ Last edited by Legend on 2008-3-11 at 10:47 ]

作者: rick_zhao 时间: 2008-3-11 10:39
路过,学习了,userinit.exe和explorer.exe

作者: 小小刀 时间: 2008-3-11 13:28
报告超版，现在本本没在身边，在家里，下班后弄

作者: tustin 时间: 2008-3-11 13:50
有趣的东西，等着看一下结果

作者: baomidanwei 时间: 2008-3-11 16:00
恭喜，中了机器狗了，360的机器狗专杀试试

作者: koo 时间: 2008-3-11 21:55
楼主不知道解决了没有哦，分享一下杀毒经验啊

作者: 小小刀 时间: 2008-3-12 10:58
经过昨天查找资料，按照以下的方法进入了系统

用光盘启动按“R”进入修复控制台，找到光驱的盘符（这里用X表示），用“cd x:＼i386＼”这个命令进入光盘的i386文件夹下，再用“expand userinit.ex_ c:＼windows＼system32＼” 这条命令把userinit.exe解压出来并放到%systemroot%＼system32目录里，重启后，可以进入系统了。

按照版主的要求，把mp6和mp7、mp14拷了出来，一会发邮件，但是机子还是不正常，微点还报rootkit，有两个，分别为：c:/windows/system32/drivers/celindriver.sys和c:/windows/system32/windhcp.ocx，提示重启删除，重启后依然，另外那本没法上网，微点没有注册，还提示我序列号过期，从网上下了个新的微点，序列号一样？过期了什么信息也看不到，卸了重装还是提示过期，（是否是病毒破坏？）注册表和启动项还是没法用，信息没法导入，改扩展名也没有，昨天的360安装程序被破坏了，也没法装，用原来机子上带的一个绿色的avg什么也没扫出来，其他的杀软没试，下面该如何解决？

作者: 小小刀 时间: 2008-3-12 11:09
超版，邮件和短消息已经发送，请查收

作者: Legend 时间: 2008-3-12 11:15
请楼主在开始运行中输入cmd，进入dos命令行，输入netsh winsock reset，或者使用winsockfix工具修复您的winsock协议，然后重启系统，看是否能注册微点。

作者: y0365 时间: 2008-3-12 11:21
从网上搜索了个解决方法：
解决步骤：
1、清除系统临时文件
2、终止系统进程rundll32.exe
3、用unlocker解锁删除windhcp.ocx、windhcp.dll
4、删除它们添加的冒充系统服务(注册表信息)
5、删除所有释放的病毒文件

作者: 小小刀 时间: 2008-3-12 11:27
下班后回家再试

作者: baomidanwei 时间: 2008-3-12 13:18
是叫你去360下载一个机器狗专杀，360本身是不可能杀的掉的，360关于机器狗的内容还是比较多的

作者: 小小刀 时间: 2008-3-13 09:48
超版，我回去找了下，那三个文件不存在，修复了下协议，微点还是提示过期，重装一样，没法了，时间也不短了，人家催着要机子，用绿色的大蜘蛛配合360杀出一堆来，中了下载者，一堆的各种盗号木马。微点只能是等可以联网的时候再下个装上了。

有一点我很疑惑，由于家里没法上网，微点都是我在公司下到U盘里，然后到有问题的机子上装，一解压，到最后就提示压缩文件被破坏，解压失败。（被病毒感染？）不仅是这次，有好几次了，也不是每次都是，有时候第一次可以成功解压，第二次就不可以了，本想在U盘里放个微点，准备随时用，看来是不行，得随用随下，还有就是如果我把压缩包解开，把安装程序放到u盘里的话，第一次可以顺利安装，第二次再使用的时候就会提示文件被修改，请重新下载。（是病毒还是微点自身的保护？？不象是病毒，我曾经用不同的杀软查过好多次u盘都没有问题）公司的机子也没有问题，我换过机子下也是这个情况，程序是在官方下的，谁能告诉是怎么回事？用一次下一次太不方便了

作者: freedom11 时间: 2008-3-13 10:17
LZ是不是经常接触病毒啊，很多病毒都会破坏压缩包的，或者在解压时破坏，还是刻录个光盘吧，这样好点。不过别传播，涉及版权问题。。。

作者: 小小刀 时间: 2008-3-13 10:38
刚才又具体测试了下，从网站上下到本机md5不变，解压后md5也正常，复制到u盘里md5的值就变了，就解不开了，安装程序也一样，要是从网上直接下到u盘里，md5也变了，也有不变的时候，奇怪了，难道是我u盘真的有问题？是联想的盘，用了好几年了，以前也出现过，没怀疑过U盘，是病毒还是磁盘本身，我再测试下

作者: baomidanwei 时间: 2008-3-13 10:55
机器狗造成的，我曾经在网吧里就见识过机器狗，文件下载下来就会变成0字节
http://baike.360.cn/4005462/3086143.html

作者: images 时间: 2008-3-13 11:36
如果感染型的，你把u盘插上他遍历一下就都感染了。

作者: 小小刀 时间: 2008-3-13 11:58
呵呵，谢谢楼上的，那个专杀我用了，不是机器狗

欢迎光临微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn