病毒--挣扎与抗争
—
AUTO病毒，也可以叫U盘病毒，因为最早是由U盘开始传播的，就是在U盘甚至硬盘各分获的根目录下生成autorun.inf文件，并在U盘的右键菜单上出现“AUTO”。当然autorun.inf文件本身并不具有危害，但里面的内容会指向一个病毒文件，在打开U盘或硬盘的时候，就会由autorun.inf激活它指向的病毒文件，从而产生危害。这种病毒文件并无统一的名字，......
瑞星2008测试结束后推出免费的全功能体验版，听说比测试版有改进，特地来试试。
先是在我的虚拟机上的XP内安装，以前在上面装过瑞星测试版的2008，按瑞星说法，测试版可以直接升级到体验版，但不知道是我太久没搭理测试版，一直没升过级导致直接过渡困难，还是因为虚拟机连网慢，没耐性等，直接卸载了旧的下新的重新装。装完后比较来看，确实在内存占用上比测试版要好，比2......
网上抄来的，好象是金山毒霸的描述报告，主要是对它们几个驱动文件名感兴趣，可以作为以后判断的依据，特此收录。
1，百度超级搜霸，百度搜索伴侣：捆绑安装；浏览器劫持(添加ie搜索工具条、地址栏搜索)；驱动(adsrsvc.SYS,BDGuard.SYS)强力保护文件、注册表信息不被删除(用户上报为病毒，发现是百度的驱动保护模块文件，因此未作病毒处理)。
2,......
这一段看SREng日志中摘出来的可以判定为病毒的文件：
1、promote.dll yahoo的相关文件(估计是上网助手之类的吧，也许不算病毒，但至少可以安全删除)
2、%SystemRoot%\SYSTEM3......
C盘下出现一些文件：sqmdata00.sqm,sqmdata01.sqm......
这是WindowsLive Messenger 8.0用来保存自定义图释的文件，可以删除，但删除后还会出现。
彻底清除：打开Windows Live Messenger 8.0 ，选择 工具 -> 选项 -> 消息，然后取消“显示自定义图释” 前面的勾，最后删除C盘下......
最近一段在SREng日志中经常看到npf.sys文件
[NetgroupPacket Filter / NPF][Running/Manual Start]
应该说它并不是个病毒，从网上资料看，npf.sys应该是Winpcap的一部分。而Winpcap是一种网......
(转自：360安全论坛尤金·卡巴斯基) 内容有修改并增加免疫方法
打开杀毒软件、360等清理软件，系统提示应用程序正常初始化(0xc00000ba)失败，目前为止认定是由于ws2_32.dll文件夹或者是MFC42.DLL文件夹导致的应用程序正常初始化失败。
Ⅰ部分
ws2_32.dll是Windows Sockets应用程序接口，用于支持......
以前有看到，发现只要有装QQ就有出现，不象是病毒的样子。今天有人问，就去网上搜索下。
网上果然有解释，特抄之：
1.cmd.txt文件内容：
bugreport.qq.comToolVer=1.0&AppName=QQ&AppBuild=1630228&ErrAdd=004ef5dc&OSId=00000002&OSMajVer=00000005&OS......
以前认为TesSafe.sys是病毒，不料一次检查病毒，把这个文件挑出来，却被告之QQ某个游戏不能运行，报缺少TS，可能是TesSafe.sys吧。
到网上去找半天，总算找到，原来TesSafe.sys确实是腾讯TENCENT的文件，验明正身，它是好人，SREng怎么没显示出来。
[TesSafe/ TesSafe][Stopped/Manual Sta......
杀毒软件是拿着通缉犯照片站岗的保安，靠识别特征吃饭，对照片、抓坏人，如果对方化过装、整过容的就不一定能看出来了，至于其它没照片的也放过了，总之不在照片上的统统自由进出。所以这种保安的安全性在于他能不能及时拿到照片(升级)，有个别的专业能力好的，还有一定揭穿嫌疑人伪装的能力(脱壳)，甚至有的更厉害的，能从对方言谈举止中判断真实身份(查杀未知病毒)。
HIPS......
今天看到一个文件navlogon.dll，在c:\windows\system32下。到网上查了下，发现有如下记录......
解决Generic Host Process for Win32 Services遇到问题需要关闭......
转自：http://hi.baidu.com/%B4%E5%C9%CFֲ%CA%F7/blog/item/958e811353629e806538dbd8.html
前两天电脑经常开机后CPU占用率就90%多，卡的玩儿不了游戏，最后确定是其中的一个svchost.exe搞的鬼，看来跟本地服务有关，没办法，又得忙活一下了。因为我一直对Windows中的......
类似题目中的样式，文件夹的名字后有两个点，如abc..，如果删除这样的文件夹会提示：“abc..引用了一个不可用的位置,它可能是在本机或网络上的计算机上的硬盘驱动器,请检查以确认此盘正确连接,或者您连接到的internet或在网络上,然后再试一次,如果仍然不能定位可能信息已经被转移到其他地方”，而不能删除。删除的方法是：进入命令行格式(开始-运......
2.5.16.900
发布日期：2007/07/04
增加多语言外置资源DLL支持：通过外挂不同的资源DLL实现对多语言的支持，而无须重新编译SystemRepair Engineer (SREng)主程序模块。
增加繁体语言界面的官方支持。
增加使用内核驱动进行Win32 API HOOK的详细信息显示功能：能够智能显示被HOOK的API是由哪个内......
从影响网络连接通畅的方式来看，ARP欺骗大概可以分为两种。一种是对路由器ARP表的欺骗，这种方法可以破坏系统的ARP缓存表，从而组成内外IP地址的混乱。另一种是对局域网里面计算机的网关欺骗，让内网计算机系统的数据报通过假网关来发送。
第一种ARP 欺骗的原理是截获网关数据。它通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行地址的更换，使真实的......
一直对HIPS有一番话想说，但是因为最近比较忙，而且本人比较懒，所以一直没有动手！今天看了“一条小河”兄的《最尴尬莫过于hips》一文，觉得我也该发表一下，一直闷在心里的一番话！
对于HIPS，我认识的不深，从咖啡开始接触，到卡巴的主动防御，再到SSM，用过了卡巴621和SSM以后我已经不想再深入了！原因有三：
一、高手不需要，菜鸟用不好
HIPS的防......
arp欺骗简单说，就是网内某主机中毒假冒网关IP，向网内发数据包欺骗其它电脑认为它是网关，使其它电脑前往网关的数据转向该中毒电脑，从而导致网内断网。
要找到这台中毒电脑可以试下用arp命令。从开始-运行-输入cmd，进入命令行格式，再输入arp –a命令，回车。不要在运行中直接输入arp –a，这样，命令显示的结果只会一闪而过。
Arp –a能显示出本机......