是否explorer被污染了呢？

注入系统进程，或者使用双进程

建个同名目录
不行加q

对某某病毒或者木马来说

我们先具体谈谈“木马”是怎样自动加载的。

　　在Win.ini文件中，在WINDOWS下面，“run=”和 “load=” 是可能加载“木马”程序的途径，必须仔

细留心它们。一般情况下，它们的等号后面应该什么都没有，如果发现后面跟有路径与文件名不是你熟悉的

启动文件，你的计算机就可能中“木马”了。当然你也得看清楚，因为好多“木马”，如“AOL Trojan木

马”，它把自身伪装成 command.exe(真正的系统文件为command.com)文件，如果不注意可能不会发现它不是真正的系统启动文件(特别是在Windows窗口下)。（听的懂？）

　　在System.ini文件中，在[BOOT]下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”，如果

不是“explorer.exe”，而是“shell= explorer.exe程序名”，那么后面跟着的那个程序就是“木马”程序，就

是说你已经中“木马”了。注册表中的情况最复杂，通过regedit命令打开注册表编辑器，在点击至：

“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”目录下，查看键值中有没有自己

不熟悉的自动启动文件，扩展名为EXE，这里切记：有的“木马”程序生成的文件很像系统自身文件，想通

过伪装蒙混过关，如“Acid Battery v1.0木马”，（品种真多）它将注册表“HKEY-LOCAL-

MACHINESO FTWAREMicrosoftWindowsCurrentVersionRun”下的Explorer键值改为Explorer=

“C:WINDOWSexpiorer.exe”，“木马”程序与真正的Explorer之间只有“i”与“l”的差别。当然在注册表

中还有很多地方都可以隐藏“木马”程序，如：“HKEY-

CURRENTUSERSoftwareMicrosoftWindowsCurrentVersionRun”、“HKEY-

USERS****SoftwareMicrosoftWindowsCurrentVersionRun”的目录下都有可能，最好的办法就是在“HKEY-

LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下找到“木马”程序的文件名，再在整个

注册表中搜索即可。

　　知道了“木马”的工作原理，查杀“木马”就变得很容易。

　　如果发现有“木马”存在，最有效的方法就是马上将计算机与网络断开，防止黑客通过网络对你进行攻击。然后编辑win.ini文件，将[WINDOWS]下面，“run=“木马”程序”或“load=“木马”程序”更改为“run=”和“load=”;编辑system.ini文件，将[BOOT]下面的“shell=‘木马’文件”，更改为：“shell=explorer.exe”;在注册表中，用regedit对注册表进行编辑，先在“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下找到“木马”程序的文件名，再在整个注册表中搜索并替换掉“木马”程序，有时候还需注意的是：有的“木马”程序并不是直接 将“HKEY-LOCAL-MACHINESoftwareMicrosoftWindowsCurrentVersionRun”下的“木马”键值删除就行了，因为有的“木马”如：BladeRunner“木马”，如果你删除它，“木马”会立即自动加上，你需要的是记下“木马”的名字与目录，然后退回到MS-DOS下，找到此“木马”文件并删除掉。重新启动计算机，然后再到注册表中将所有“木马”文件的键值删除。至此，我们就大功告成了。

win.ini里面的内容只有：

; for 16-bit app support
[fonts]
[extensions]
[mci extensions]
[files]
[Mail]
MAPI=1
[MCI Extensions.BAK]
3g2=MPEGVideo
3gp=MPEGVideo
3gp2=MPEGVideo
3gpp=MPEGVideo
aac=MPEGVideo
adt=MPEGVideo
adts=MPEGVideo
m2t=MPEGVideo
m2ts=MPEGVideo
m2v=MPEGVideo
m4a=MPEGVideo
m4v=MPEGVideo
mod=MPEGVideo
mov=MPEGVideo
mp4=MPEGVideo
mp4v=MPEGVideo
mts=MPEGVideo
ts=MPEGVideo
tts=MPEGVideo

所以不是很明白你帖子里的内容

写服务启动 傀儡进程启动 以及一些系统自启动加载的注册表项 ini配置文件
感染系统文件启动 写mbr启动

1、有相关服务存在；
2、有守护进程；

楼主的意思是：进程结束后会自动复活，对吗？（不重启）

双进程保护，或者注入系统进程监护自己。

双进程
守护进程

基本的自动启动方法
1. 修改注册表启动项
2. 注册软件服务
3. 文件路径在%startup% 文件夹中
4. 添加系统任务
你可以通过AutoRun软件查看相关的注册表启动项，和服务项.然后删除相关的注册表.然后重启电脑..

一般来说是：A进程保护B进程，B进程保护A进程。

就像 癌症一样
可以不断的 繁殖 和 再生

最简单的卸掉捆绑软件,

捆绑，注入，多进程保护

小白白，只懂autorun.inf制作U盘图标，努力中

[QUOTE=cloudshark;1260518]双进程
守护进程[/QUO双进程守护进程能过主动防御吗？什么注入能过主动防御呢？

试试结束进程树，注意观察explorer等是否重启，如果重启基本就是注入了，如果没重启，很可能是双进程互相看门。

一般就是双进程保护，另一个就是感染文件，复制重生。

相关进程不止一个，有其他进程负责保护。

个人感觉三种情况：
自启动、注册表、服务

应该有服务监听着的，进程不在了，服务又把它启动起来了。

多进程保护。

双线程？？

后台还有一个程序在监视，你关了之后，监视的一方就可以重新运行被关闭的程序。