主页被恶意修改

大鸟 · 发表于 2003-9-28 15:26

[这个贴子最后由一斛酒在 2003/09/28 04:24pm 第 2 次编辑]

最近在无意中被修改了主页，地址为：http://www.cnww.net
按照一般的方法，打开IE的属性，主页改为空白页后即可以了。但是这次却行，再重新开机后又变为http://www.cnww.net，于是到注册表修改IE的两个键值："Windows Title"和"StartPage"。然后重新启动，还是不行，这就说明是启动加载注册表时恶意修改主页的程序同时修改了注册表，于是按照先修改注册表，然后到系统配置实用程序中去检查启动项目，有一个Efficient regedit/s c:\Efficient\Efficient.cer,我也不太清楚是做什么用的，估计会改变注册表，便禁用了。重新启动后，恶意的主页倒是不见了，我的注册表恢复到以前的状态，一直不自动运行的KILL杀毒自动运行了，不断的报警，才知道我的电脑里还有很多的病毒，而且导致系统资源严重不足。好不容易关闭了，可惜那恶意的网站还是没有删除，因为我半系统配置实用程序恢复到原来的状态了，所以现在我忍让还要看那个网站。有没有好一点的办法。我在网络上查询了一下，因为我用的是WIN98，网络上介绍的一些设置包括注册表的键名，在我的电脑上没有。

一斛酒 · 发表于 2003-9-28 15:30

[这个贴子最后由一斛酒在 2003/09/28 03:31pm 第 1 次编辑]

希望这篇文章对你有帮助
http://bbs.shiandci.net/cgi-bin/lb5000/topic.cgi?forum=8&topic=801
你先看着，如果觉得看着吃力，我等会儿再把操作步骤写出来。
PS：不要讲粗口，好吗？

一斛酒 · 发表于 2003-9-28 15:39

上面主要是针对注册表而言，WIN98里应该也有。记得在注册表删除一切关于www.cnww.net的键值。(前面不一定要http://，因为注册表里可能省略)
如果知道这个网址的中文实名，在注册表里删除它的所有键值。
根据你提供的资料，该网页已经加载到启动项，你运行msconfig,在启动项里找到http://www.cnww.net，去掉勾选。

大鸟 · 发表于 2003-9-28 16:26

我在文件搜索里中通过查找包含文字“http://www.cnww.net”找到了下面几个文件
Efficient.cer，User.dat，cnww[1].htm，topic[1]，不知道删除了有没有用？这个文件“topic[1]，”删除不了，Efficient.cer是这个网站的安全证书
另外“HKEY_LOCAL_USER＼Software＼Policies＼Microsoft＼Internet Explorer＼Control Panel”找不到，我的电脑里在polices下只有"SystemCertificates"
“根据你提供的资料，该网页已经加载到启动项，你运行msconfig,在启动项里找到http://www.cnww.net，去掉勾选。”这个内容也不存在，
对了还有个运行程序管理器，直接在开始菜单上键如的名称是什么英文？
我知道了，其实仍然只要删除Efficient regedit/s c:\Efficient\Efficient.cer
但是为什么以前禁止自动运行的KILL在删除了Efficient regedit/s c:\Efficient\Efficient.cer选项后会重新开始运行？
谢谢版主

一斛酒 · 发表于 2003-9-28 16:36

点开始——运行，键入regedit，运行注册表编辑器，查找www.cnww.net，然后全部删除。并把www.cnww.net代表的中文实名全部找到并删除。
如果Control Panel在我说的地方找不到，那么你直接搜索注册表(方法同上)，搜索一下看看。
如果你的开始里没有运行这一项，可能是注册表给改了，我上面提供的贴子链接里有修复的操作。

大鸟 · 发表于 2003-9-28 16:55

我要死了
我禁止了msconfig启动里的Efficient regedit/s c:\Efficient\Efficient.cer
同时也删除了Efficient文件，修改了相关的注册表键值，重新开机说注册表出错，系统把又备份放了进去，结果出现了Efficient文件找不到，
做了一系列的注册表修改，还是没有用
现在还是那个该死的主页
版主你再想想到底是什么原因，开机就把你的注册表里面的主页设置给改了
帮帮忙啊

一斛酒 · 发表于 2003-9-28 20:15

请问你删除了有关www.cnww.net的键值没有？
另外能不能把你启动项里有些什么程序截个图上来？说实话，Efficient.cer文件我没见过，不能保证就和www.cnww.net有关。
另外重申一次，如果知道www.cnww.net的中文实名，请在启动项，注册表里统统删除。

大鸟 · 发表于 2003-9-29 10:09

先谢谢版主
我已经搞好了，估计是病毒造成的，我把操作过程说出来大家看看
首先我在文件搜索里中通过查找包含文字“www.cnww.net”找到了下面几个文件Efficient.cer，User.dat，cnww[1].htm，topic[1]并且全部删除
再到注册表里修改相关的键值，然后关闭了msconfig启动里Efficient regedit/s c:\Efficient\Efficient.cer。再把感染了病毒的D盘里的PHOTOSHOP彻底删除，再开机就正常了
分析：按照版主的提示操作，都没有达到目的。但是我想起来，以前D盘里丛来没有发现病毒，自从主页被修改后，便有病毒感染提示，而且在打开网页其间我曾经打开过PHOTOSHOP来编辑当时下载的图片，以后就出现了主页不能从注册表里彻底恢复的情况，因此，估计是修改注册表的小程序就附在PHOTOSHOP里面，开始时杀毒不彻底，导致了无论怎样修改都不能恢复系统原样。最后一次修改时，彻底的删除了PHOTOSHOP，再来修改注册表，便成功了。
不知道是不是这样？但是现在没有什么问题了。另外，关机的画面，可能是因为我打开了系统原有的图片，再重新保存，结果可能改变了颜色设定，不再是256色，所以最后的画面不再出现
谢谢版主一斛酒

		自动登录	找回密码
密码			注册