**door0.dll与**door1.dll

查看文章

2007-08-19 15:24

前天工作室的电脑中了这个病毒，**door0.dll与**door1.dll（注：**表示两个随机字符），这些dll文件都在system32目录下。今天工作室没事，我就稍微检查了一下。原来是ghost.pif的变种。我看到阳光那有分析：邪恶的ghost.pif又出新变种（兼答**door0.dll木马群的查杀）。不过他的解决方案不可行。所以我还是给出自己的解决方案吧。

这些dll文件喜欢注入Explorer.exe中，用Process Explorer来冻结这些dll文件，为什么冻结，因为直接kill是不行的。打开Process Explorer，右击Explorer.exe进程，选择属性Properties，在弹出的对话框中选择线程Threads，然后在开始地址Start Address中找到**door0.dll与**door1.dll，选中后，点击下面的中止suspend即可冻结此线程。将病毒的每个dll文件冻结后再用兵刃Icesword强制删除这些文件即可。

建议在安全模式下进行最好。我没时间与环境进行详细分析。对了，Icesword是不太可能删除完全这些dll文件的。我用xdelbox却发生错误。杀毒软件就更不用说了，毒又杀不了，弹出提示烦死人！

类别：Virus | 添加到搜藏 | 浏览() | 评论 (31)

最近读者：

网友评论：

2007-08-19 15:43

我那个方法有几个前提 1.安全模式下 2.结束explorer进程 3.结束由explorer启动的任何进程否则不可能干掉他们

2007-08-19 16:02

果然十分强悍的病毒，把一些最新病毒的特征都具备了，就差个感染文件了

2007-08-19 16:21

余弦帮忙设计个随机音乐文件生成asp文件吧。按照下面的格式：
<html lang="zh-cn">
<head>
<title>BGM</title>
<meta http-equiv="Content-Type" content="text/html; charset=gb2312">
<style type="text/css"></style>
</head>
<body topmargin="0" style="background-image: url(images/bg.gif); color: rgb(102, 102, 102); background-color: white;" leftmargin="0" marginheight="0" marginwidth="0">
<div align="center">
<table align="left" border="0" cellpadding="1" cellspacing="1" width="750">
<tbody>
<tr>
<td><font color="#999999">■ BGM now playing: ゆいこ →『カケラ』（这里也要动态的） </font><object classid="clsid:D27CDB6E-AE6D-11cf-96B8-444553540000"

2007-08-19 16:21

codebase="http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab" height="20" width="300">

<param name="movie" value="singlemp3player.swf?file=音乐文件地址&autoStart=false&backColor=FFFFFF&frontColor=6699ff&songVolume=90&repeatPlay=true">
<param name="wmode" value="transparent">
<embed wmode="transparent" src="singlemp3player.swf?file=音乐文件地址&autoStart=true&backColor=FFFFFF&frontColor=6699ff&songVolume=90&repeatPlay=true" type="application/x-shockwave-flash" pluginspage="http://www.macromedia.com/go/getflashplayer" height="20" width="300">
</object>
</td>
</tr>
</tbody>
</table>
</div>
</body>
</html>

2007-08-19 16:37

没有explorer进程的路过……

2007-08-19 21:26

dos大法...

2007-08-19 22:13

ayarei：
用asp调用access数据库的音乐地址及名称，可以很容易达到这样的效果。
你给出的格式，难道还要用flash来制作？这要flash与数据库的通讯。如果不要flash的话，我刚刚就为你写了个程序。

2007-08-19 23:27

DOS大法我至今没有机会尝试。。。

2007-08-19 23:36

我的想法是把文件放在asp文件里编号，用随机数取出数据就好，不需要播放。flash是一个音乐格式文件播放器

太晚了睡觉，代码PM给我

2007-08-20 00:11

呵呵。如果你连数据库都不要的话，那直接就html页即可了。
javascript代码写不就行了，就没必要ASP的vbscript了。你说呢。
代码明天晚上给你吧。晚安。

2007-08-20 08:37

右击Explorer.exe进程，选择属性Properties
--------------
余弦,我右击只有结束进程,结束进程树,调试,设置优先级,没有属性哦~是怎么回事

2007-08-20 08:53

貌似禁止线程创建和和驱动保护后结束不结束explorer已经没有多少意义了,然后卸载全局模块不是很简单？安摸对于　start=0的驱动是没有任何意义的

2007-08-20 10:03

我已经抛弃了EXPLORER...

2007-08-20 12:50

to 孤单：是啊。我以前看你的卸载全局模块的方法也是很好的说。

2007-08-20 12:52

to 秦迷：不会吧。。。那你换个版本或下载新的一个试试。^^

2007-08-20 20:14

版本？可能我弄错了我说任务管理器去了^_^

2007-08-21 20:13

余弦.....代码呢.......

2007-08-21 21:38

将音乐文件放置于music文件夹下。
access数据库，字段为id,src,title。id自动编号，src为音乐地址，title为音乐标题。access数据库名为music.mdb。这样你在src中填入音乐地址，title填入音乐标题即可开着IIS来随机访问音乐。

<%
Response.Buffer = True
Dim DB
DB="music.mdb"
connData = "Provider=Microsoft.Jet.OLEDB.4.0;Data Source="&Server.MapPath(DB)
'On Error Resume Next
Set conn=Server.CreateObject("ADODB.Connection")
conn.Open connData

Function closedata()
conn.Close
Set conn=Nothing
End Function

If Err Then
err.Clear
Set Conn = Nothing
Response.Write "数据库连接出错，请检查连接字串。"
Response.End
End If
%>
<%
Set rs=Server.CreateObject("ADODB.Recordset")
Sql1="Select * From MUSIC"
rs.Open Sql1,conn,1,3
mNum=rs.RecordCount
dim mId,mSrc,mTitle
Randomize
mId=Int(mNum*Rnd+1)

Sql2="Select * From MUSIC Where id="&mId
Set rs2=conn.Execute(Sql2)
mSrc=rs2("src")
mTitle=rs2("title")

musiccode="{当前背景音乐}<EMBED name='mp3' src='"
musiccode=musiccode & mSrc

2007-08-22 15:59

不全诶.......

2007-08-22 18:04

晕了，原来字数限制了。我晚上回去继续给你发啊。
我在群内联系你QQ，不过不知道是不是联系错了。。。

2007-08-22 18:10

我QQ是576508433......

2007-08-22 19:44

呵呵，我也去抛弃，垃圾进程

2007-08-22 21:12

抛弃做什么？
这么好的进程为何抛弃？？

2007-08-22 22:00

ayarei：
接上面的代码：

musiccode=musiccode & "' hidden='no' type='audio/mpeg' loop='0' autostart='true'> "&mTitle

response.write musiccode
%>

2007-08-23 22:29

很久没来了，学习一下

2007-08-23 22:42

好久不见啊。呵呵。

2007-08-23 23:37

杀软更新的好慢啊！

2007-08-24 03:46

貌似禁止线程创建和和驱动保护后结束不结束explorer已经没有多少意义了,然后卸载全局模块不是很简单？安摸对于　start=0的驱动是没有任何意义的

老流说的好~

余弦，好久不见，看你来了~

2007-08-24 11:27

好久不见了。：）

2007-10-24 11:48

此毒也叫罗姆病毒.很难搞..对菜鸟来说手动是很难搞定的.中石大的一个大学生写了一个专杀完全可以搞定.网址http://hi.baidu.com/peaset/blog/item/f3c4c107478ae7cf7a894705.html..我也深受此病毒之害.~@~...但它的博客好像下载不了.不知什么原因..我有,,需要的朋友我可以发给你...

2007-10-24 13:25

另,阳光说过.它会用Explorer.exe进程.所以要在进安全模式下,并用任务管理器结束Explorer.exe进程,文件--新建任务--运行--cmd-在dos下面运行此专杀,就OK了.

姓　名：	*姓名最长为50字节

网址或邮箱：	(选填)

内　容：

验证码：	看不清?