PC Hunter V1.56 [2019-01-31] 发布，支持Win10(17763)

显示全部楼层 · 发表于 2010-1-16 22:57:04

回复 2208# 左寒

去哪里玩
哎
那是跟某MM一起去的
现在。。。

显示全部楼层 · 发表于 2010-1-16 23:40:19

支持楼主辛苦了啊

显示全部楼层 · 发表于 2010-1-16 23:44:28

过来更新一下

显示全部楼层 · 发表于 2010-1-17 00:24:58

回复左寒

去哪里玩
哎
那是跟某MM一起去的
现在。。。
Deker 发表于 2010-1-16 22:57

……
旅游途中美人相伴，哎，原来老大享福去了……
不过，你可要省点劲回来更新XT呀。。。

显示全部楼层 · 发表于 2010-1-17 01:37:54

本帖最后由 deocder 于 2012-5-27 14:40 编辑

~

显示全部楼层 · 发表于 2010-1-17 14:22:09

用起来还不错。
顶一个。

显示全部楼层 · 发表于 2010-1-17 16:56:50

人气很旺啊

显示全部楼层 · 发表于 2010-1-17 17:47:17

真的好不错啊、、、、
要是有help.chm就更完美了

显示全部楼层 · 发表于 2010-1-18 11:19:23

对安全有威胁的注册表位置＆WINDOWS自动启动键值详解
自动运行
-------------------------
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run***
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Run***
HKEY_LOCAL_MACHINE\System\*controlset*\Control\Session managerBootExecute
HKEY_CURRENT_USER\Software\Microsoft\Windows nt\Currentversion\Windowsload
HKEY_CURRENT_USER\Software\Microsoft\Windows nt\Currentversion\Windowsrun
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Policies\Explorer\Run*
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Policies\Explorer\Run*
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System\Scripts*
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Explorer\Shell foldersStartup
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Runonce*
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Runonce*
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Runonceex*
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Runservices*
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Explorer\Shell foldersCommon Startup
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Explorer\User shell foldersCommon Startup
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Explorer\User shell foldersStartup
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows nt\Currentversion\Inifilemapping**
驱动/服务相关
----------------------------
HKEY_LOCAL_MACHINE\System\*controlset*\Services\*
HKEY_LOCAL_MACHINE\System\*controlset*\Services\*imagepath
HKEY_LOCAL_MACHINE\System\*controlset*\Control\Safeboot***
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Shellserviceobjectdelayload**
文件关联
-------------------------
HKEY_CLASSES_ROOT\.com
HKEY_CLASSES_ROOT\Comfile\Shell\Open\Command*
HKEY_CLASSES_ROOT\.exe
HKEY_CLASSES_ROOT\Exefile\Shell\Open\Command*
HKEY_CLASSES_ROOT\.bat
HKEY_CLASSES_ROOT\Batfile\Shell\Open\Command*
HKEY_CLASSES_ROOT\.pif
HKEY_CLASSES_ROOT\Piffile\Shell\Open\Command*
HKEY_CLASSES_ROOT\.cmd
HKEY_CLASSES_ROOT\cmdfile\Shell\Open\Command*
HKEY_CLASSES_ROOT\.dll
HKEY_CLASSES_ROOT\dllfile\Shell\Open\Command*
HKEY_CLASSES_ROOT\.scr
HKEY_CLASSES_ROOT\scrfile\Shell\Open\Command*
HKEY_CLASSES_ROOT\.txt
HKEY_CLASSES_ROOT\Txtfile\Shell\Open\Command*
HKEY_CLASSES_ROOT\.reg
HKEY_CLASSES_ROOT\Regfile\Shell\Open\Command*
HKEY_CLASSES_ROOT\.inf
HKEY_CLASSES_ROOT\Inffile\Shell\Open\Command*
HKEY_CLASSES_ROOT\.hlp
HKEY_CLASSES_ROOT\Hlpfile\Shell\Open\Command*
HKEY_CLASSES_ROOT\.chm
HKEY_CLASSES_ROOT\Chm.file\Shell\Open\Command*
网络保护
-----------------------
HKEY_LOCAL_MACHINE\System\*controlset*\Services\Winsock2***
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Policies\Network*
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Policies\Network*
HKEY_LOCAL_MACHINE\System\*controlset*\Services\Tcpip\ParametersDataBasePath
HKEY_LOCAL_MACHINE\System\*controlset*\Services\Tcpip\Parameters\Interfaces***
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Windowsupdate**
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windowsfirewall***
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Windowsupdate**
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windowsfirewall***
HKEY_LOCAL_MACHINE\System\Currentcontrolset\Services\Sharedaccess\Parameters\Firewallpolicy*
特殊注册表项目
-----------------------
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows nt\Currentversion\WindowsAppInit_DLLs
HKEY_LOCAL_MACHINE\System\*controlset*\Control\Session manager*FileRenameOpe...
HKEY_CURRENT_USER\Control panel\Don';t load*
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Control panel\Don';t load*
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Policies\System*
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Policies\System*
HKEY_CURRENT_USER\Control panel\Desktopscrnsave.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows nt\Currentversion\Image file execution options***
HKEY_LOCAL_MACHINE\Software\Microsoft\Security center*
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Safer\Codeidentifiers\0\Paths*
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Explorer\Shellexecutehooks**
HKEY_CURRENT_USER\Software\Microsoft\Command processorAutorun
HKEY_LOCAL_MACHINE\Software\Microsoft\Command processorAutoRun
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Policies*
HKEY_CLASSES_ROOT\Clsid\{e6fb5e20-de35-11cf-9c87-00aa005127ed}*
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows nt\Currentversion\Winlogon\Notify**
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Explorer\Sharedtaskscheduler**
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows nt\Currentversion\Svchost**
浏览器保护
-------------------
HKEY_CURRENT_USER\Software\Microsoft\Internet explorer\Extensions** *
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet explorer\Extensions** *
HKEY_CURRENT_USER\Software\Microsoft\Internet explorer\Menuext *
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet explorer\Toolbar *
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Explorer\Browser helper objects* *
HKEY_CURRENT_USER\Software\Microsoft\Internet explorer\styles stylesheet
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet explorer\Toolbars\Restrictions *
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet explorer\Infodelivery\Restrictions *
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet explorer\Main Start Page
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet explorer\Main Default_Page_U...
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet explorer\Main Local Page
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet explorer\Main Start Page_bak
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet explorer\Main HOMEOldSP
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet explorer\Main Search Page
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet explorer\Main Default_Search_...
HKEY_CURRENT_USER\Software\Microsoft\Internet explorer\Main Start Page
HKEY_CURRENT_USER\Software\Microsoft\Internet explorer\Main Default_Page_U...
HKEY_CURRENT_USER\Software\Microsoft\Internet explorer\Main Local Page
HKEY_CURRENT_USER\Software\Microsoft\Internet explorer\Main Start Page_bak
HKEY_CURRENT_USER\Software\Microsoft\Internet explorer\Main HOMEOldSP
HKEY_CURRENT_USER\Software\Microsoft\Internet explorer\Main Search Bar
HKEY_CURRENT_USER\Software\Microsoft\Internet explorer\MainUse Custom Sea...
HKEY_CURRENT_USER\Software\Microsoft\Internet explorer\MainSearch Page
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet explorer\SearchCustomizeSearch
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet explorer\SearchSearchAssistant
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet explorer\SearchDefault_Search_...
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Internet settings\Zonemap\Ranges***
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Internet settings\Zonemap\Ranges***
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Internet settingsMinLevel
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Internet settingsSafety Warning L...
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Internet settingsTrust Warning Le...
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Internet settingsSecurity_RunActiv...
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Internet settingsSecurity_RunScri...
HKEY_CLASSES_ROOT\Protocols\Filter***
HKEY_CLASSES_ROOT\Protocols\Handler***
HKEY_CURRENT_USER\Software\Microsoft\Internet explorer\Searchurl** *
HKEY_CURRENT_USER\Software\Microsoft\Internet explorer\Urlsearchhooks** *
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet explorer\Advancedoptions *
HKEY_LOCAL_MACHINE\Software\Microsoft\Active setup\Installed components* *
HKEY_LOCAL_MACHINE\Software\Microsoft\Code store database\Distribution units* *
系统初始化及用户登录
---------------------------
HKEY_CURRENT_USER\Software\Microsoft\Windows nt\Currentversion\Winlogon GinaDLL
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows nt\Currentversion\Winlogon taskman
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows nt\Currentversion\Winlogon Shell
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows nt\Currentversion\Winlogon\Notify* *
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows nt\Currentversion\Winlogon System
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows nt\Currentversion\Winlogon Userinit
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows nt\Currentversion\Winlogon VmApplet
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows nt\Currentversion\Winlogon *
RunDll32 应用程序规则
--------------------------
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\Run *
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run *
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Runonce *
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Runonceex *
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Runservices *

复制代码

WINDOWS自动启动键值详解
我们经常会遇到许多不请自来自己启动的程序，还有许多是我们不想让它启动的程序，不要以为管好了“开始→程序→启动”菜单就万事大吉，实际上，在Windows XP/2K中，让Windows自动启动程序的办法很多，下文告诉你最重要的两个文件夹和八个注册键。看看里面有哪些是你不想要的，请按“del”键。
文件夹
一、当前用户专有的启动文件夹这是许多应用软件自动启动的常用位置，Windows自动启动放入该文件夹的所有快捷方式。用户启动文件夹一般在：\Documents and Settings\<用户名字>\“开始”菜单\程序\启动，其中“<用户名字>”是当前登录的用户帐户名称。
二、对所有用户有效的启动文件夹这是寻找自动启动程序的第二个重要位置，不管用户用什么身份登录系统，放入该文件夹的快捷方式总是自动启动——这是它与用户专有的启动文件夹的区别所在。该文件夹一般在：\Documents and Settings\All Users\“开始”菜单\程序\启动。
注册表
三、Load注册键介绍该注册键的资料不多，实际上它也能够自动启动程序。位置：HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows\load。
四、Userinit注册键位置：HKEY_LOCAL_MacHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Userinit。这里也能够使系统启动时自动初始化程序。通常该注册键下面有一个userinit.exe。这个键允许指定用逗号分隔的多个程序，例如“userinit.exe,OSA.exe”(不含引号)。
五、Explorer\Run注册键和load、Userinit不同，Explorer\Run键在HKEY_CURRENT_USER和HKEY_LOCAL_MACHINE下都有，具体位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\PolicIEs\Explorer\Run，和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run。
六、RunServicesOnce注册键 RunServicesOnce注册键用来启动服务程序，启动时间在用户登录之前，而且先于其他通过注册键启动的程序。RunServicesOnce注册键的位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce，和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce。
七、RunServices注册键 RunServices注册键指定的程序紧接RunServicesOnce指定的程序之后运行，但两者都在用户登录之前。RunServices的位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ RunServices，和HKEY_LOCAL_MacHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices。
八、RunOnce\Setup注册键 RunOnce\Setup指定了用户登录之后运行的程序，它的位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\Setup，和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\Setup。
九、RunOnce注册键安装程序通常用RunOnce键自动运行程序，它的位置在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce和HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce。HKEY_LOCAL_MACHINE下面的RunOnce键会在用户登录之后立即运行程序，运行时机在其他Run键指定的程序之前。HKEY_CURRENT_USER下面的RunOnce键在操作系统处理其他Run键以及“启动”文件夹的内容之后运行。如果是XP，你还需要检查一下HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx。
十、Run注册键 Run是自动运行程序最常用的注册键，位置在：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run，和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run。HKEY_CURRENT_USER下面的Run键紧接HKEY_LOCAL_MACHINE下面的Run键运行，但两者都在处理“启动”文件夹之前。
汇总如下：
\Documents and Settings\<用户名字>\“开始”菜单\程序\启动
\Documents and Settings\All Users\“开始”菜单\程序\启动
HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows\load
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\PolicIEs\Explorer\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\Setup
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Userinit
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\Setup
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
回　　复：[本人补充注册表启动方式]：
[补充的其他注册表启动方式:
HKCR\ftp\shell\open\command
HKCR\PROTOCOLS
HKCU\Control Panel\Desktop
HKCU\ftp\shell\open\command
HKCU\Software\Microsoft\Command Processor
HKCU\Software\Microsoft\Internet Explorer\UrlSearchHooks
HKCU\Software\Microsoft\ole
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\load
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\run
HKCU\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\run\
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce\Setup\
HKLM\Software\Classes\Folder\Shellex\ColumnHandlers
HKLM\SOFTWARE\Classes\mailto\shell\open\command
HKLM\SOFTWARE\Classes\PROTOCOLS
HKLM\SOFTWARE\Classes\Protocols\Filter
HKLM\SOFTWARE\Classes\Protocols\Handler
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components
HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units
HKLM\Software\Microsoft\Internet Explorer\Extensions
HKLM\Software\Microsoft\Internet Explorer\Toolbar
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UIHost
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
HKLM\Software\Microsoft\Windows\CurrentVersion\explorer\Shell folders\Startup
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\run\
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce\
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\
HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
HKLM\SOFTWARE\Policies\Microsoft\Windows\System\scrīpts
HKLM\SYSTEM\ControlSet001\Control\Session Manager\BootExecute
HKLM\System\ControlSet001\Session Manager\BootExecute
HKLM\SYSTEM\CurrentControlSet\Control\Lsa
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Authentication Packages
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Notification Packages
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Security Packages
HKLM\SYSTEM\CurrentControlSet\Control\MPRServices
HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors
HKLM\System\CurrentControlSet\Control\Session Manager
HKLM\System\CurrentControlSet\Control\Session Manager\BootExecute
HKLM\System\CurrentControlSet\Control\Session Manager\KnownDlls
HKLM\System\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\StartupPrograms
HKLM\System\CurrentControlSet\Services\
HKLM\System\CurrentControlSet\Services\VxD\
HKLM\SYSTEM\CurrentControlSet\Services\WinSock2
HKLM\System\CurrentControlSet\Services\WinSock\Parameters\Protocol_Catalog9

复制代码

显示全部楼层 · 发表于 2010-1-18 11:19:53

下面是在wshscheck开发过程中在原讨论贴收集的，因为时间就了可定有不全的地方，但可以做一个参考。

特意将所有可能被病毒利用的键项整理了一下，基本上覆盖了目前所有已知的病毒可利用于自动加载的位置。也许仍然有极个别遗漏，还请大方之家指正！

★包含 BootExecute(有★为普通模式下可能无法替换的项目，必须以System权限执行)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager

★服务
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

★防火墙策略
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy

全局用户策略，包括策略 Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies

当前用户策略，包括策略 Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies

开关机自动运行脚本（清空）
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System\Scripts

包括 Load 项
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows

全局 Run（应当清空）
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

当前用户 Run（应当清空）
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

全局 RunOnce（应当清空）
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

当前用户 RunOnce（应当清空）
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

全局 RunOnceEx（应当清空）
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx

当前用户 RunOnceEx（应当清空）
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx

全局 RunServices（应当清空）
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

当前用户 RunServices（应当清空）
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

全局 RunServicesOnce（应当清空）
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce

当前用户 RunServicesOnce（应当清空）
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce

★包含 UIHost、Shell、Userinit
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

ShellExecuteHooks
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks

Windows初始化DLL
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

命令行自动运行（当前用户）
HKEY_CURRENT_USER\Software\Microsoft\Command Processor

命令行自动运行（全局用户）
HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor

浏览器BHO
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects

浏览器前缀
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL

浏览器全局
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer

★浏览器当前用户
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer

浏览器捆绑
HKEY_CLASSES_ROOT\CLSID\{99F1D023-7CEB-4586-80F7-BB1A98DB7602}

★浏览器捆绑防止恶意 DLL 与 Explorer 链接加载
HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}

★资源管理器外壳查找
HKEY_CLASSES_ROOT\Drive\shell\find\command

Winsock
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Winsock

★Winsock2
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinSock2

★驱动器外壳关联
HKEY_CLASSES_ROOT\Drive

★文件夹外壳关联
HKEY_CLASSES_ROOT\Folder

磁盘加载点关联(杀掉关联病毒后磁盘可能打不开!)
%REG% delete "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2"

外壳服务对象预加载
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

应用程序映像映射
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

再提供一个修复线索：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WS2IFSL
这个键值会被Roogoo病毒利用，与WInsock被病毒程序一样，同样可能导致无法上网。天网安全阵线和其他几个地方也都揭露了此键值。因此修复 Winsock/2 时，最好连同这个键值一并删除（默认其下面有个 Start 的Dword值1，删除这个路径可清除病毒的嵌入启动。删除对系统无影响）。下面信息显示果然与Winsock有关！

提供一个病毒可能利用的键值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\system.ini\boot
已知威金病毒利用了该键值。添加了winlogo 项。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot键值下有系统默认安全的驱动组，其实就是安全模式的驱动组，不知有没有参考意义。当然也有木马加入了该健下。禁用项可以考虑排除它们，不知道实现有没有难度，也不知到效果如何，仅供参考。

今天折腾一天的病毒，处理了好几台中毒非常厉害的系统。有些感受：

1、几台机器中杀毒之后无一例外都遇到 EXE 不能打开的故障，检查是病毒先修改 HKEY_CLASSES_ROOT\.exe 的默认值，本来是 exefile，却改成 winfile，然后创建 winfile 文件关联，并指向病毒文件。它并非直接修改 HKEY_CLASSES_ROOT\exefile 中的默认打开方式，因此一般的 EXE 修复技术无效！

解决办法：由于任何EXE均不能运行，连 CMD 也都无法进入！因此，有两招可搞定：
一是执行 command.com，如果病毒还算有良心没有破坏 COM 的关联，则进入这个命令行后再处理，即把注册表编辑器改名：
copy c:\windows\regedit.exe c:\regedit.com
c:
cd\
regedit
二是按 Win+E，打开资源管理器！然后复制注册表编辑器并改名、执行！

修改方法是 HKEY_CLASSES_ROOT\.exe 的默认值改成正确的 exefile，同时检查 HKEY_CLASSES_ROOT\exefile\shell\open\command 的默认值是否为 "%1" %*

如果 COM 也不行，则可试试 pif 格式是否可用！方法与上面相同，仅仅是把 COM 换成 PIF 即可。

——因此，鉴于上述原因，Syscheck 如果遇到上述问题不能运行时，就可以用上述办法改成.com或 .pif 的扩展名后再用！！！！

2、目前比较流行杀毒后磁盘分区全部或部分不能打开的故障！原因也是病毒修改了注册表的磁盘打开关联，而这个关联以往从来不被人重视！修复办法：
在注册表编辑器中，将 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 删除！不用担心，系统会根据磁盘分区具体情况自动重建这个键值，反复测试并不影响系统使用。
或：在命令行执行以下命令：
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2" /f

你也可以将下面的内容保存成一个批处理文件备用，急需时可快速解决磁盘分区不能正常打开的故障：
假如批处理文件名为：FixDrvOpen.cmd
内容：
reg.exe add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveAutoRun /t REG_BINARY /d ffffff03 /f
reg.exe add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 0x000000df /f
reg.exe add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 0x000000df /f
reg.exe add "HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t REG_DWORD /d 0x000000df /f
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2" /f

今天遇到这些重大中毒故障的系统中，有两台是正版瑞星、一台是网上从金山下载的金山杀毒最新版本。我真的非常纳闷：这些被无知者们捧上天的杀毒神仙，为什么对这些病毒都视而不见？！！！！！！杀毒软件不杀如此作恶多端的流氓病毒（改EXE关联、通过磁盘访问方式加载等难道不是病毒行为？！），或者是不作为，或者是杀毒软件已经在某种利益驱动下与病毒进行了灰色合作！！！！事实摆在那儿，我想这些杀毒软件的拥趸者和这些厂商的开发和技术人员是不需要任何分辩了，因为任何解释都只会越描越黑！！

尤其可恶的是，为了杀掉病毒并清除病毒的注册表键值，我不得不首先杀掉瑞星！否则结果可能大家都遇到过：试图手工删除病毒键值时，瑞星跳出来干预了！真不知道瑞星实时监控在病毒写注册表时为什么不有效干预！

[原创工具] PC Hunter V1.56 [2019-01-31] 发布，支持Win10(17763)

评分

评分