网吧中了“传奇杀手”病毒后引起全部掉线的紧急解决方案建议

jk0wg

关于网吧中了“传奇杀手”病毒后引起全部掉线或部分掉线的紧急解决方案建议方法一：掉线时控制台用户管理会有相同的IP或MAC地址，病毒可能就是那台机发出的，找出是哪台机子，并关闭其电脑，看是否正常。方法二：1、首先，获得路由器的内网网卡地址。（例如本公司网关地址192.168.168.10的MAC地址为00-05-b7-00-29-29）2、编写一个批处理文件rarp.bat内容如下：@echo offarp ?darp -s 192.168.168.10 00-05-b7-00-29-29将文件中的网关IP地址和MAC地址更改为您自己的网关IP地址和MAC地址即可。3、利用收费软件服务端程序（pubwin或者万象都可以）发送批处理文件rarp.bat到所有客户机的启动目录。Windows2000的默认启动目录为“C:Documents and SettingsAll Users「开始」菜单程序启动”4、利用收费软件服务端程序重新启动所有客户端。以上解决办法可以对付所有arp欺骗程序、病毒或者木马。原理为在每台客户机增加属于网关的静态arp地址条目，不接受欺骗程序的arp条目更新请求。

qggypl

你试过吗??效果怎么样?

cxkdl11

在中毒主机上查找病毒源发现使用病毒使用MSSOCK.DLL木马，病毒EXE程序是%Windows%\Html\scanregw.exe，图标使用的是文本文件的图标，运行后创建%Windows%\Html\（如C:\Windows\Html\或C:\WINNT\Html\）隐藏文件夹，将自身复制其中，并释放MSSOCK.DLL到系统%System%目录且插入Explorer.exe进程，另外还修改系统“启动组”目录指向为%Windows%\Html\，这样当系统启动时就会自动运行%Windows%\Html\目录中的scanregw.exe病毒程序。被修改的“启动组”有两处，分别是HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders和HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders下"Startup"的内容，病毒将这两个位置的值修改为了"%Windows%\Html\"，这样系统的“启动组”即平时所说的“开始>>程序>>启动”也就变成了那个病毒目录。　　解决方法：我们可以先把被病毒修改的“启动组”再修改回来，使病毒不会在系统启动时自动运行。依此点击“开始”>>“运行”，输入“REGEDIT”，点击“确定”（或回车），打开“注册表编辑器”，分别定位到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders和HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders，将它们下边的"Startup"值修改恢复为原来指向的目录，如“C:\WINDOWS\Start Menu\Programs\启动”（Windows 9X），又如“C:\Documents and Settings\Administrator\「开始」菜单\程序\启动”和“%USERPROFILE%\「开始」菜单\程序\启动”（Windows 2000/XP），修改完成后关闭注册表编辑器，重新启动一下计算机。在计算机重新启动后，我们就可以开始删除病毒文件了，不用过多的操作，找到并直接删除%Windows%\Html\隐藏目录（病毒文件scanregw.exe在里面）和%System%\MSSOCK.DLL病毒文件

jk0wg

QUOTE (qggypl @ Mar 3 2005, 03:40 PM)
你试过吗??效果怎么样?  
  我是试了才发的...

qggypl

哦,那谢谢了.我也试试看!!

ghp3000

这个方法不行，我在你之前已经试过了。我的机器是xp系统的，我在启动脚本里加的，结果只要顾客到www.wgwang.com下个外挂，用那个外挂不到5分钟，后面的我就不说了，结果。。。。网吧所有的机器都掉。我的解决方法，在路由器里屏蔽掉 www.wgwang.com （我这就发现这个网站的东西带那玩意）

jk0wg

我试过的是行的...

daobiao

我的问题来自外网

etb32

我这吊线就是先吊外网 内网是好的

echonj

外网要是掉，那就要找接入商解决了。或者你的代理服务器本身也中毒了。