Ruby 语言 思想驱动生活

还是发现了一些病毒，或者叫做木马。
又搞了半天，更有点对病毒作战的感悟

首先是两个软件很不错，一个是冰剑（IceSword），一个是SREng（System Repair Engineer）
冰剑可以删除taskmanager不能杀得进程，也能删掉explorer不能删掉的文件。
SREeng可以发现注册表的问题，今天就是它提示的，提示APPINIT_DLLS被修改了。就用冰剑把那个文件（dll）删掉了。

二是禁用VB脚本，尽量使用firefox了。
在当前用户的temp下发现了类似这样的文件
Set Shell = CreateObject(”Wscript.Shell”)
Shell.Run(”C:\DOCUME~1\a\LOCALS~1\Temp\zj.exe”)
set Shell=Nothing
i=1
下面的这条命令可以禁止文件系统对象（FileSystemObject）

regsvr32 scrrun.dll /u

总之，另外，这几次发现的都是盗用密码之类的木马，而且都是明目张胆的往某些ip地址post数据，抓出这些傻逼病毒使用者/制造者很容易吧，我们的保护神公安局在干什么呢？

以下来自网络搜索结果，我也没全尝试：
_______________________________________
　　2、禁用Wscript.Shell组件：

　　Wscript.Shell可以调用系统内核运行DOS基本命令。可以通过修改注册表，将此组件改名，来防止此类木马的危害。HKEY_CLASSES_ROOT\Wscript.Shell\ 及HKEY_CLASSES_ROOT\Wscript.Shell.1\改名为其它的名字。将两项clsid的值也改一下HKEY_CLASSES_ROOT\Wscript.Shell\CLSID\项目的值和HKEY_CLASSES_ROOT\Wscript.Shell.1\CLSID\项目的值，也可以将其删除。

　　3、禁用Shell.Application组件

　　Shell.Application也可以调用系统内核运行DOS基本命令。可以通过修改注册表，将此组件改名，来防止此类木马的危害。HKEY_CLASSES_ROOT\Shell.Application\ 及HKEY_CLASSES_ROOT\Shell.Application.1\ 改名为其它的名字。将HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值HKEY_CLASSES_ROOT\Shell.Application\CLSID\项目的值更改或删除。同时，禁止Guest用户使用shell32.dll来防止调用此组件。使用命令：cacls C:\WINNT\system32\shell32.dll /e /d guests

　　4、FileSystemObject组件

　　FileSystemObject可以对文件进行常规操作可以通过修改注册表，将此组件改名，来防止此类木马的危害。对应注册表项为HKEY_CLASSES_ROOT\scripting.FileSystemObject\。可以禁止guests用户使用或直接将其删除。考虑到很多的上传都会使用到这个组件，为了方便，这里不建议更改或删除。

昨天双击d盘，没反应，右键一看第一个是auto，好像又中了那个病毒了。而且是不到1年之内的第三次了。以前还算顺利，杀这个病毒。这次就惨了。
查看进程，启动选项，很正常，删掉autorun.inf和那个pagefile两个文件，当时是没事，这时候，如果再从桌面或者开始菜单启动任何程序，这两个文件都会被重建。
重启，报explorer.exe错误，金山的个人防火墙也没了（没启动），查看explorer这个文件，好像没什么问题。启动防火墙，突然报explorer要访问网络，我靠你一资源浏览器干什么新潮访问个鸟啊，一旦允许，立刻金山报了无数病毒，多是窃取密码的木马。Win32.Troj.Lyloader.a.14848
Win32.Troj.PswrobT.gl.90112
Win32.PSWTroj.WOW.sa.153088
等。
地点都是
\Local Settings\Temp
名字是1.exe,2.exe,3.exe之类的。
鸟人，查看一下网络状况，一个连到了74.222.148.2 一个222.73.15.76。一个美国，一个上海（SB那个上海人和gaj）。端口都是80，肯定有问题。
用IceSword看了一下Explorer加载的模块，发现了两个dll比较差劲
一个在ie的plugins，叫做newtemp.dll，而且是隐藏文件，一个是cnsmin.dll。
在文件系统里查找，最近几天的dll，果然就这几个文件，还有一个kulionzx.dll，好像也是病毒。从注册表里找到这些，都删掉，重启之后目前一切正常。

至此虽然告一段落，但是为什么会中毒，毒源还没找到，每天上的网站也都是固定的几个，也不怎么乱下软件。其中一个原因是可以肯定的，就是windows，至于为什么windows的病毒这么多？原因也是很多的，比如windows系统很复杂，说他复杂过linux毫不过分，普通的人很难完全精通掌握系统复杂层次的东西，当然，他们的安全防范的设计估计也挺差，不至于因为大家都用管理员账户就可以这么容易感染病毒吧，比如那个注册表，怎么那么容易被改写？难道真是因为用户都变成傻瓜了。

计算器也能感染病毒？赛门铁克这么说了。
http://www.symantec.com/enterprise/security_response/weblog/2007/05/calculating_the_risk_of_infect.html
但是这个不是一般计算器都能中的，金五星的20块钱的是不行的。

发现病毒的是高性能的Texas Instruments TI89。这是一种高性能的计算器，而且允许在RAM中安装软件。

这个病毒还没有名字，因为这个平台的病毒还是第一次，平台名字还没确定呢。而且，这个平台还没有病毒扫描器呢。