别告诉我这是中毒了。。。。

显示全部楼层 · 发表于 2013-9-25 15:55:08

朋友的机子，就是一直跳资源管理器，自动跳掉重启，过程不提示错误，自己关闭掉又重启那种，嗯，事件查看器里是这样描述的：

外壳程序意外停止，Explorer.exe 被重新启动。

- System

  - Provider

[ Name]  Microsoft-Windows-Winlogon
[ Guid]  {DBE9B383-7CF3-4331-91CC-A3CB16A3B538}
[ EventSourceName]  Winlogon

  - EventID 1002

[ Qualifiers]  16384

Version 0

Level 4

Task 0

Opcode 0

Keywords 0x80000000000000

  - TimeCreated

[ SystemTime]  2013-09-25T07:40:55.000000000Z

EventRecordID 46645

Correlation

  - Execution

[ ProcessID]  0
[ ThreadID]  0

Channel Application

Computer acer-PC

Security

- EventData

Explorer.exe

显示全部楼层 · 发表于 2013-9-25 19:20:52

就算不是中毒也肯定有程序在执行这命令
估计是中毒了或者装了两个严重冲突的软件

显示全部楼层 · 发表于 2013-9-25 20:17:42

检查explorer.exe中注入的异常dll，反注册之。

显示全部楼层 · 发表于 2013-9-25 20:28:44

火绒有系统监控功能，有的话可以试一试

没有的话用ark工具看看explorer的dll

winlogon那个程序也看看有没有被注入可疑dll

显示全部楼层 · 发表于 2013-9-25 20:33:17

只能建议进入安全模式杀杀毒预计是冲突和中毒

显示全部楼层 · 发表于 2013-9-25 21:14:35

既然你能肯定不是中毒了，那也就只好重装系统了。

显示全部楼层 · 发表于 2013-9-25 22:07:37

这个感觉跟我最近写的东西比较像，在注入explorer之后，由于内存访问违例，导致explorer崩溃，就是因为注入dll没有处理好，所以看这个现象，感觉也是被注入，hook了，检查一下最近是否有装什么软件，或者更新，因为程序不稳定，所以导致explorer崩溃，也不排除过了杀软的木马病毒等，最好清理一下

问一下是不是64位系统

显示全部楼层 · 发表于 2013-9-25 22:21:34

virus_kf 发表于 2013-9-25 22:07
这个感觉跟我最近写的东西比较像，在注入explorer之后，由于内存访问违例，导致explorer崩溃，就是因为注入 ...

32位的win7系统，而且只在桌面界面时右击刷新和右键打开个性化时会出现，如果开着其他程序并在那个程序界面操作，资源管理器就不会重启

显示全部楼层 · 发表于 2013-9-26 09:52:59

cxy密斯发表于 2013-9-25 22:21
32位的win7系统，而且只在桌面界面时右击刷新和右键打开个性化时会出现，如果开着其他程序并在那个程序界 ...

右键刷新会重新遍历桌面文件，还真有可能是被注入了，上面有位提到过看看是否有explorer加载多余的dll，推荐你用这个工具看看，procexp.exe，然后选择explorer，查看加载的dll，有没有异常的，主要看看company name，因为explorer加载的大都是系统dll，名字是Microsoft Corporation

[系统] 别告诉我这是中毒了。。。。

评分