explorer.exe 红色代码 终结者

狼寅

我的电脑在打开我下载的网页时会出现
[color="#555555"]解决方案：
1、先到以下链接下载微软针对该漏洞的安全补丁：
MS01-033 patch

http://www.microsoft.com/technet/security/bulletin/MS01-033.asp
[color="#555555"]
MS01-044patch

http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS01-044.asp
[color="#555555"]
2、再下载金山毒霸红色代码II的专杀工具查杀病毒。
相关链接：

http://www.duba.net/download/other/Duba_CodeRed2.EXE
[color="#555555"]
下文给需要了解和手动杀毒的朋友，手动清除方法如下：
如果不幸中了此病毒，应该立即关闭所有 80 端口的 web 服务，避免病毒继续传播。
1.清除的 web 服务器中的两个后门文件：/msadc/root.exe , /scripts/root.exe
这两个文件的物理地址一般情况下默认为：
C:inetpubscriptsoot.exe
C:progra~1common~1systemMSADCoot.exe
2.清除本地硬盘中：c:explorer.exe 和 d:explorer.exe
先要杀掉进程explorer.exe，打开任务管理器，选择进程。检查是否进程中有两个“exploer.exe”。如果您找到两个“exploer.exe”，说明木马已经在您的机器上运行了，在菜单中选择 查看 -> 选定列 -> 线程计数，按确定。这时您会发现显示框中增加了新的一列“线程数”。检查两个“exploer.exe”, 显示线程数为“1”的“exploer.exe”就是木马程序。您应当结束这个进程。
之后，您就可以删除掉C:exploer.exe和D:exploer.exe了，这两个程序都设置了隐藏和只读属性。您需要设置“资源管理器”的查看->选项->隐藏文件为“显示所有文件”才能看到它们。
3.清除病毒在注册表中添加的项目：
HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogon
删除键：SFCDisable 键值为：0FFFFFF9Dh
或将键值改为 0
( 设置为0FFFFFF9Dh后，将在登陆时禁止系统文件检查 )
HKLMSYSTEMCurrentControlSetServicesW3SVCParametersVirtual Roots
键：Scripts 键值为：,,217 改为 ,,201
( 这个键默认就是被打开的，不过如果没有特别需要的话，可以关闭 )
( 因为很多漏洞都是利用了这个虚拟目录下的文件攻击的。)
HKLMSYSTEMCurrentControlSetServicesW3SVCParametersVirtual Roots
键：msadc 键值为：,,217 改为 ,,201
( 同Scripts )
HKLMSYSTEMCurrentControlSetServicesW3SVCParametersVirtual Roots
删除键：c 键值为：c:,,217
( 它将本地硬盘中的 C 盘在 web 中共享为 c )
HKLMSYSTEMCurrentControlSetServicesW3SVCParametersVirtual Roots
删除键：d 键值为：d:,,217
( 它将本地硬盘中的 D 盘在 web 中共享为 d )
如果不删除注册表中的以上键，中毒服务器的本地硬盘 C、D 将被完全控制。
4.重新启动系统，以确保 CodeRed.v3 彻底清除。


本文来自ChinaUnix博客，如果查看原文请点：http://blog.chinaunix.net/u/1135/showart_30043.html