开端
昨天突然发现本本能收到两个无线信号, 还三格多. 不过都设了密码. 想想自己的 3945 不是什么专业网卡, 还好网络上有相关的用 BT3 + 3945ABG 破解无线密码的教程. 为了引导 BT3, 装 MaxDOS 7.1.
发展
咦? 鼠标怎么时不时地多出个小沙漏? 不干净的东西什么时候跑进来了?! 开狙剑, 主动防御上没有异常, 偶然发现狙剑的 PID 已经飙升到三万多!! 咋一看都是 wmiprvse.exe 的残骸, 父进程是 explorer. 心想这下问题大了.. 用 360 扫插件, 发现一个名为 "browse by name" 的插件, 清除不掉. 360 还报发现恶意文件 "so.dll", 当然这个文件也请不走~ 咋办? 有问题找谷歌, 看来落水的不止我一个.
□□
有人说他的机子上还多了个 "knlrun.sys", 该驱动是问题的罪魁祸首. 幸运的是这玩意也赖着不走. 于是再次动用狙剑, 先让 explorer 休息片刻. 强制删除 knlrun.sys so.dll. 再删除注册表中与 knlrun 有关的项目.
还好, 我找到了一个非常好的批处理, 献上代码.
@echo off - cd \ echo 注意：涉及到注册表操作，故请先备份注册表，以防注册表操作失败时恢复！！
- echo 没有备份注册表请直接结束程序，不要再往下运行！！ pause
echo -------------------------------------------------------------- echo 关闭explorer taskkill /im explorer.exe /f
echo -------------------------------------------------------------- echo 清空tmp文件夹下的临时文件，清空预取文件夹prefetch del /f /s /q %windir%\prefetch\*.*
- del /f /s /q "%userprofile%\Local Settings\Temp\*.*"
- echo ------------------------------------------------------------- echo 清除核心恶意/病毒文件：C:\WINDOWS\system32\drivers\Knlrun.sys；C:\WINDOWS\system32\so.dll；C:\WINDOWS\system32\wmiprvse.exe
- del /q /f /a %systemroot%\system32\wmiprvse.exe del /q /f /a %systemroot%\system32\so.dll
- del /q /f /a %systemroot%\system32\drivers\knlrun.sys
- echo ------------------------------------------------------------- echo 清除以下文件：C:\Program Files\Common Files\System\uni3B.tmp；C:\Program Files\Common Files\System\unii.dat；C:\Program Files\Common Files\System\uni.exe；C:\Program Files\Common Files\System\unii.xml；C:\Program Files\Common Files\System\unibak.xml；C:\Program Files\Common Files\System\temp.bat；C:\Program Files\Common Files\System\MaxSet.exe；C:\Program Files\Common Files\System\IRIMG1.BMP；（注意：只是建议清除，需要清除的可以在该文件夹下手动删除，此部分可能会导致MaxDos的部分Windows下的功能不能使用，C盘是指安装启动分区的目录即一定是第一个分区，而不一定是当前的系统分区，比如系统安装在D盘则仍然要到C盘下去找这些文件）
echo -------------------------------------------------------------- echo MaxDos在启动分区建立的启动文件和MaxDos文件夹，在系统分区的Program Files下的建立的"迈思工作室"文件夹建议保留即可，以使用MaxDos的功能。
- echo ------------------------------------------------------------- echo 删除以下注册表项
- @echo on reg delete HKLM\SOFTWARE\Classes\CLSID\{02AC20DD-5548-4CA7-ACCF-18AFE5A4A072} /va /f
- reg delete HKLM\SOFTWARE\Classes\Interface\{10C19B07-0096-402C-A2B9-D4AD0D7E4AE6} /va /f reg delete HKLM\SOFTWARE\Classes\NetCafeHlp.AddrHelper.1 /va /f
- reg delete HKLM\SOFTWARE\Classes\NetCafeHlp.AddrHelper /va /f reg delete HKLM\SOFTWARE\Classes\TypeLib\{1489D187-72A4-4433-AC5B-608292D2E42C}\1.0 /va /f
- reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{02AC20DD-5548-4CA7-ACCF-18AFE5A4A072}" /va /f reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDlls /v "C:\Program Files\Common Files\System\temp.bat" /f
- reg delete HKLM\SOFTWARE\So /v Type /f rem delete HKLM\SYSTEM\ControlSet001\Enum\Root\LEGACY_KNLRUN /va /f
- reg delete HKLM\SYSTEM\ControlSet001\Services\knlrun /va /f rem delete HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_KNLRUN /va /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Services\knlrun /va /f rem delete HKLM\SYSTEM\ControlSet002\Enum\Root\LEGACY_KNLRUN /va /f
- reg delete HKLM\SYSTEM\ControlSet002\Services\knlrun /va /f
- @echo off echo -------------------------------------------------------------
- echo 清理完毕，按任意键重启explorer并退出程序 echo 注意：以下注册表项请手动删除！！由于每个机子的“S-1-5-21-1292428093-1229272821-1177238915-1003”值并不相同，所以找相似的子项，或者直接查找{02AC20DD-5548-4CA7-ACCF-18AFE5A4A072}键值，找到后删除！！
- echo "HKEY_USERS\S-1-5-21-1292428093-1229272821-1177238915-1003\Software\Microsoft\Internet Explorer\URLSearchHooks\{02AC20DD-5548-4CA7-ACCF-18AFE5A4A072}"
- echo ------------------------------------------------------------- echo 注意：以下注册表必须手动清除！！
- echo 清除方法：首先找到该注册表项，然后右键选择“权限”，在弹出的对话框中赋予everyone完全控制的权限，确定后，右键选择“删除”。 echo HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_KNLRUN
- echo HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_KNLRUN echo HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_KNLRUN
- pause
- explorer.exe
运行该批处理后, 清理插件 "browse by name", 重启, 问题解决
|
未命名.jpg (54.78 KB)