热点科技

标题: [原创] 授之以鱼不如授之以渔：HijackThis详解 [打印本页]

作者: system333222 时间: 2006-7-7 13:13
标题: [原创] 授之以鱼不如授之以渔：HijackThis详解

授之以鱼不如授之以渔：HijackThis详解
写在前面的话

自从HijackThis这个强力工具出现以后，各大论坛就不乏求道解惑的帖子。
而网上各种版本的中文教程也层出不穷，但都大同小异，特别是对于HijackThis的运作机理剖析不够，
以至于很多人盲目使用，轻则没有效果，重则损坏系统，让好好的一个工具成了摆设。
本文依据

作者: wyfsz 时间: 2006-7-7 13:14
O11 区段

这个区段对应于已经被添加到 IE 的Internet选项的高级选项卡的一个非默认的选项组。

如果你打开IE的Internet选项，你将会见到一个高级选项卡。通过在一个注册表键下面增加一个项目可以在那里显示一个新的组。

注册表键： HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\AdvancedOptions

例子列表       O11 - Options group: [CommonName] CommonName

据 HijackThis 的作者Merijn的表示，目前只有一个已知的劫持程序使用这个项目，它就是 CommonName。
如果你在列表中见到 CommonName，你可以安全地移除它。如果它是另外的一个项目，你应该 Google 一下。

O12 区段

这个区段对应于IE浏览器扩展。

IE浏览器扩展是当IE启动时加载的，为IE提供功能扩展的一些程序。有许多浏览器扩展是合法的，比如PDF查看器和非标准图像查看器。

注册表键： HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Plugins

例子列表       Plugin for .PDF: C:\ Program Files\Internet explorer\plugin\nppdf32.dll

大多数的浏览器扩展是合法的，在你删除它们之前因此你应该先Google一下你不认识的项目。
一个已知的你应该删除的浏览器扩展是以OFB为扩展名的Onflow plugin。

当你用 HijackThis 修复这些类型的项目的时候，HijackThis 将会尝试删除列出的有问题的文件。有时候即使IE已经关闭，文件可能仍被使用。
如果在你用 HijackThis 修复它之后，文件仍然存在，建议你重新启动进入安全模式删除有问题的文件。

O13 区段

这个区段对应于一个 IE 默认前缀（DefaultPrefix）劫持。

默认前缀是一个Windows设置，指定如何处理没有在前面输入http://、ftp:// 等的网址。
默认情况下 Windows 将会在开头附加 http://做为默认的 Windows 前缀。你可以通过编辑注册表将这换成一个你选择的默认前缀。
CoolWebSearch 这种劫持程序正是通过将其改为 http://ehttp.cc/? 来作恶。这意谓当你想连接一个网址比如说 www.google.com，
你将会访问 http://ehttp.cc/?[url=http://www.google.com]www.google.com[/url] ，这实际上是 CoolWebSearch 的网站。

注册表键： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix\

例子列表       O13 - WWW. Prefix: http:// ehttp.cc/?

如果你遇到类似上面那个例子的问题，你应该运行 CWShredder。这个程序可以移除在你的机器上的 CoolWebSearch 的所有的已知变种。
你可以该在这里阅读如何使用 CWShredder 的指导：

How to remove CoolWebSearch with CoolWeb Shredder

如果 CWShredder 没找到和修复问题，你应该总是让 HijackThis 来修复这个项目。

O14 区段

这个区段对应于 ‘重置 Web 设置’ 劫持。

在你的计算机上有一个文件用于将IE的选项重置回他们的 Windows 默认值。
这个文件储存在 c:\windows\inf\iereset.inf 中而且包含需要使用的所有的默认设定。当你重置一个设定的时候，
它将会读取该文件并且将指定的设定改为在文件中描述的值。如果一个劫持程序改变了在那一个文件中的信息，
那么当你重置那一个设定的时候，你将再次被感染，因为它将会读取来自 iereset.inf 文件的不正确的信息。

例子列表       O14 - IERESET.INF: START_PAGE_URL=http://www.searchalot.com

请注意这个设定有可能已经合法地被一个计算机制造商或机器的系统管理员改变。如果你不认识那些地址你应该修复它。

O15 区段

这个区段对应于在IE受信区域和默认协议中的站点或 IP 地址。

受信区域

IE的安全性以一组区域为基础。每个区域有不同的安全措施来确定在此区域中的站点可以运行什么脚本和应用程序。
这里有被称为受信区域的一个安全区域。这一个区域有最低的安全措施而且允许其中的站点在不需要你确认的情况下运行脚本和应用程序。
它因此成为恶意站点使用的一个常见伎俩，以便以后能很容易地通过在受信区域中的站点感染你的计算机。

注册表键：
      HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains
      HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ Internet Settings\ZoneMap\Domains
      HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges
      HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges

例子列表       O15 - Trusted Zone: http://www.bleepingcomputer.com
      O15 - Trusted IP range: 206.161.125.149
      O15 - Trusted IP range: 206.161.125.149(HKLM)

Domains或Ranges哪个将被IE使用决定于使用者正在尝试访问的网址。如果网址中包含一个域名，那么它将会将会在Domains子键中搜寻符合的项。
如果它包含一个IP地址那就搜寻Ranges子键来查找符合的项。当网域添加为一个受信站点或者受限站点他们将被分配一个值来表示。
如果他们被分配到 *=4 这个值，那一个网域将会被添加到受限区域。如果他们的值为 *=2，那么那一个网域将会被加到受信区域。

增加一个 IP 地址的工作稍微有些不同。在 Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges 键下，
你可以找到名为Ranges1，Ranges2，Ranges3，Ranges4，...的其他的键。每个子键对应于一个特定的信任区域/协议。
如果你增加一个 IP地址到一个安全区域，Windows 将会在以 Ranges1 为开始创建一个包涵该区域所有IP地址及特定协议的子键。
举例来说，如果你增加如一个受信站点 http://192.168.1.1 ，Windows 会产生第一个可用的的Ranges键 (Ranges1) 而且增加一个数值 http=2。
任何将来的可信赖的 http:// IP 地址将会被添加加到 Range1 键。现在如果你增加一个使用 http 协议的受限的站点 (例如 http://192.16.1.10) ，
Windows 会按顺序创建一个新的键，叫做Range 2。它的值会是 http=4，而且任何以后添加到受限站点的 IP 地址将会被放在这个键下。
每个协定和信任区域设定组合都会延续这种方式。

如果你曾经在这里见到任何域名或者IP地址，除非它是一个你认识的网址，比如你的公司使用的，否则通常应该移除它。如果你希望修复它们，
你可以在free.aol.com找到一个公共的列表。当他们基本上是不必要的时候，
对我个人来讲会把所有的项目从受信区域移除。

ProtocolDefaults

当你使用 IE 连接到一个站点的时候，那一个站点的安全权限授权于它所在的区域。5个区域中的每一个都有一种相关的具体的识别号码。
这些区域以及它们相关联的号码的是：

区域       区域映射
My Computer       0
Intranet       1
Trusted       2
Internet       3
Restricted       4

每一个用于连接到站点的协议，像是 HTTP、FTP、HTTPS，都被映射到这些区域其中的一个。下列各项是默认的映射：

协议       区域映射
HTTP       3
HTTPS       3
FTP       3
@vit       1
shell       0

举例来说，如果你连接到一个使用 http:// 的站点那么将会是默认的Internet区域的一部份。这是因为 http 的默认区域是 3 即Internet区域。
如果恶意软件改变了特定协议的默认区域那么就会发生问题。举例来说，如果恶意软件已经将 HTTP 协议的默认区域改为 2，
那么你使用 http 连接到的任何站点将会被认为是处于受信区域中。到现在为止尚没有已知的恶意软件利用它，但我们可能会看到HJT正在枚举这个键。

注册表键：
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProtocolDefaults
      HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ProtocolDefaults

如果默认的设定被改变你们将会见到一个类似下面的 HJT 项目：

例子列表       O15 - ProtocolDefaults: 'http' protocol is in Trusted Zone, should be Internet Zone (HKLM)

你可以简单的通过HJT项目来修复这些设定使他们回到默认值。

O16 区段

这个区段对应于 ActiveX 对象也被称为Downloaded Program Files。

ActiveX 对象是从网站下载到你的计算机上的程序。这些对象被储存在 C:\Windows\Download Program Files下。
它们同样以在花括号之间的那串数值作为 CLSID 来被注册表引用。这里有许多合法的 ActiveX，比如这个iPix Viewer的例子。

例子列表       O16 - DPF: {11260943-421B-11D0-8 EAC-0000C07D88 CF}-(iPix ActiveX 控制) http:// www.ipix.com/download/ipixx.cab

如果你发现不认识的名字或地址，你应该 Google 下看看它们是否是合法的。如果你感觉它们不是，你可以修复它们。
即便删除了你计算机上的几乎所有 ActiveX 对象也不会有什么问题，因为你可以再次下载它们，
要知道有一些公司的应用程序也会使用ActiveX对象，所以要小心。你应该总是删除带有sex、porn、dialer、free、casino等词语的 016 项目。

有一个叫做SpywareBlaster的带有大量恶意 ActiveX 对象的数据库的程序。你可以下载和通过它搜寻已知的 ActiveX 对象数据库。
关于使用 SpywareBlaster 的指南可以在这里找到：

Using SpywareBlaster to protect your computer from Spyware, Hijackers, and Malware.

当你修复 O16 项目的时候，HijackThis 将会尝试从你的硬盘删除他们。通常这不会有什么问题，但是有时候 HijackThis 可能不能删除有问题的文件。
如果发生了这种情况，请重新启动进入安全模式删除它。

O17 区段

这个区段对应于 Lop.com 域名入侵。

当你使用主机名像是 www.bleepingcomputer.com 而不是IP地址访问一个网站的时候，你的计算机通过一个DNS服务器将主机名解析为一个IP地址。
域名入侵是指，劫持程序改变你的机器上的 DNS 服务器指向他们自己的服务器，他们能将你定向到他们希望的任何的位置。
藉由把 google.com 加入他们的 DNS 服务器，他们能在你试图访问 www.google.com 的时候，把你重定向到一个他们的选择的网站。

例子列表       017- HKLM\system\CS1\service\VxD\ MSTCP: NameServer=69.57.146.14,69.57.147.175

如果你见到此项目而它并不属于你所认识的ISP或者公司的网域，以及 DNS 服务器不属于你的ISP或者公司，那么你应该让HijackThis修复它。
你可以到 Arin 查询下 whois a 通过DNS服务器的IP地址来判断他们属于哪个公司。

O18 区段

这个区段对应于额外的协议和协议劫持。

这个方法通过将你的电脑使用的标准协议驱动更改为劫持程序所提供的驱动来实现。这让劫持程序可以控制你的计算机以特定方式发送接受信息。

注册表键：
      HKEY_LOCAL_MACHINE\Software\Class\PROTOCOLS\
      HKEY_LOCAL_MACHINE\Software\Class\CLSID
      HKEY_LOCAL_MACHINE\Software\Class\Protocol\Handler
      HKEY_LOCAL_MACHINE\Software\Class\Protocol\Filter

HijackThis 首先读取非标准的协议的注册表协议区段。一但找到便在列出的CLSID中查询于关于它的文件路径的信息。

例子列表       O18 - Protocol: relatedlinks - {5AB65DD4-01 FB-44D5-9537-3767AB80F790} - C:\PROGRA~1\COMMON~1\MSIETS\msielink.dll

通常嫌犯是CoolWebSearch，Related Links和Lop.com。如果你发现了这些项，你可以让 HijackThis 修复它。

使用Google来看看文件是否是合法的。你也可以使用Castlecop's O18 List来帮助你确认文件。

需要注意的是修复这些项目似乎不会删除与它有关的注册表项目或文件。你应该重新启动进入安全模式手动删除有问题的文件。

O19 区段

这个区段对应于用户式样表劫持。

式样表是描述html页面的布局，彩色和字型如何显示的一个模板。这一类型的劫持程序会重写为残障人士设计的默认式样表单，
并引起大量的弹出窗口和潜在的速度降低。

注册表键： HKEY_CURRENT_USER\software\Microsoft\Internet Explorer\Style\: User Stylesheets

例子列表       O19 - User style sheet: c:\Windows\Java\my.css

除非你确实创建了自己的式样，否则你通常可以移除它们。

当你修复项目的这些类型的时候, HijackThis 不会删除在列的有问题的文件。建议你重新启动到安全模式删除式样表单。

O20 区段

AppInit_DLLs

这个区段对应于通过 AppInit_DLLs 的注册表值和 Winlogon Notify 子键载入文件

AppInit_DLLs 注册表值包含了当 user32.dll被载入时将会载入的一连串的动态链接库。而大多数的 Windows 可执行程序都会使用user32.dll，
这意谓着任何在 AppInit_DLLs 注册表键列出的DLL也会被载入。当它被多个进程里面载入的时候，要移除 DLL 将会变得非常困难，
其中一些很难在不引起系统不稳定的情况下被终止。user32.dll文件也被很多当你登录时系统自动启动的进程使用。
这意谓着 AppInit_DLLs 中的文件将会非常早在我们可以访问系统之前就被载入，Windows 启动程序可以允许DLL隐藏自身或保护自身。

这一个方法已知被一个 CoolWebSearch 的变种使用而且只能在注册表编辑器中同过右击数值查看，并且选择修改二进制数据。
另外 Registrar Lite 也可以相对容易的查看这些DLL。

注册表键： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows\\AppInit_DLLs

例子列表       O20 - AppInit_DLLs: C:\Windows\system32\winifhi.dll

有些使用这个注册表键的合法程序，所以当删除在列的文件的时候，你应该小心。
使用我们的Bleeping Computer Startup Database或Castlecops O20 list 来帮助你确认文件。

当你修复这一类型的项目的时候，HijackThis 不会删除在列的有问题的文件。建议你重新启动进入安全模式删除有问题的文件。

Winlogon Notify

Winlogon Notify键通常被 Look2Me 感染。HijackThis 将会列出所有非标准的Winlogon Notify键，以便你能容易地发现哪一个是本不属于那里的。
你可以通过列出的在%SYSTEM%目录下的一个随机名字的Dll来确认 Look2ME 感染的键。即使它并不属于那里，该键也会有一个看似正常名字。

注册表键： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify

例子列表       O20 - Winlogon Notify: Extensions -C:\Windows\system32\i042laho1d4c.dll

当你修复这个项目的时候它将会移除注册表中的键但保留文件。你必须手动删除这个文件。

O21 区段

这个区段对应于通过 ShellServiceObjectDelayLoad 注册表键载入的文件。

这个注册表以于Run键相似的方式包含数值。与直接指向文件本身不同的是，它指向CLSID的InProcServer，它包含有关于正在被使用的特定DLL文件的资讯。

当你的计算机启动的时候，在这个键下面的文件自动地被 Explorer.exe 载入。因为 Explorer.exe 是你的计算机的外壳程序，它总是会启动，
那么这样一来在这个键下面的文件也总是会被载入。因此这些文件在任何人为干预发生之前就早在启动过程中载入了。

使用方法的劫持程序能被下列项目辨认出：

例子列表       R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = C:\Windows\secure.html
      R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = C:\Windows\secure.html

注册表键： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

例子列表       O21 - SSODL: System - {3CE8EED5-112D-4E37-B671-74326D12971E} - C:\Windows\system32\system32.dll

HijackThis 使用内部的的白名单来排除这个键下面的合法项目。如果你为这见到了这个个列表，那么它就不是标准的而且应该被视为可疑的。
使用我们的Bleeping Computer Startup Database或Castlecops O20 list 来帮助你确认文件。

当你修复这些类型的项目时，HijackThis 不会删除在列的有问题的文件。建议你重新启动进入安全的模式删除有问题的文件。

O22 区段

这个区段对应于通过 SharedTaskScheduler 注册表值载入的文件。

当你启动Windows的时候，这一个注册表项目会自动地运行。当前只有CWS.Smartfinder使用这个键。

注册表键： HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler

例子列表       O22 - SharedTaskScheduler: (no name){3F143C3A-1457-6CCA-03A7-7AAA23B61E40F} - c:\windows\system32\mtwirl32.dll

小心地移除该键所列出的项目，因为有些是合法的。你的可以使用 google 来了解它是否合法的。CWS.Smartfinder可以用CWShredder移除。
使用我们的Bleeping Computer Startup Database或Castlecops O20 list 来帮助你确认文件。

Hijackthis 将会删除与SharedTaskScheduler相关的项目，但不会删除它指向的 CLSID 以及CSLID 的 Inprocserver32 指向的文件。
因此你应该总是重新启动到安全模式手动删除这些文件。

O23 区段

这个区段对应于XP，NT和2003的系统服务。

服务是在Windows启动时自动载入的程序。这些服务无论是否有使用者登陆到计算机都会被载入，而且经常被广泛用处理系统任务，
像是Windows操作系统功能，防病毒软件或应用程序服务器。近来恶意软件利用服务来感染计算机呈增加趋势。
因此仔细调查列出的看起来不正确的每一个服务是很重要的。你可能找到的常见的恶意软件服务是Home Search Assistant和Bargain Buddy的新变种。
你可以在下面找到一些相关的例子。

多数的微软服务已经被加到白名单，因此他们将不会被列出。如果你想同时查看它们你可以使用 /ihatewhitelists 参数启动 HijackThis。

合法服务的例子：

例子列表       O23 - Service: AVG7 Alert Manager Server (Avg7 Alrt)- GRISOFT ， s.r.o。 - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe

Home Search Assistant的例子：

例子列表       O23 - Service: Workstation NetLogon Service - Unknown - C:\Windows\system32\crxu.exe

Bargain Buddy 的例子：

例子列表       O23 - Service: ZESOFT - Unknown - C:\Windows\zeta.exe
      O23 - Service: ISEXEng - Unknown - C:\Windows\system32\angelex.exe

当你修复一个 O23 项目的时候 Hijackthis 将会将这一个服务改为已禁用，并停止该服务，然后要求使用者重新启动。
它将不会删除注册表中的服务或者它指向的文件。为了删除它你需要知道服务名。这个名字是在括号之间的文本。
如果显示出的名字和服务名字相同，那么它就不会再列出服务名字。

有你可以用三种方法来删除服务：

1. 通过在命令行提示符下键入 XP 的 SC 指令来删除它：

   sc delete servicename

   你可以使用下列的例子中的注册表文件来删除服务：

2. 使用注册表文件删除服务。下面的注册表文件是一个该如何移除 Angelex.exe Bargain Buddy变种的例子：

   REGEDIT4

   [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_ISEXENG]
   [-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ISEXEng]
   [-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_ISEXENG]
   [-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ISEXEng]
   [-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_ISEXENG]
   [-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\ISEXEng]

3. 使用 HijackThis 删除服务。你可以点击Config，MiscTools，按下Delete an NT service.. 按钮。当它打开以后你应该输入服务名按下OK。

要小心的移除这些键中列出的项目，它们大部分是合法的。你可以使用Bleeping Computer Startup Database来研究 O23 项目。

结论

HijackThis 是检查浏览器的细节以及Windows 正在运行什么的一个非常有力的工具。不幸地是要诊断 HijackThis 的扫描结果可能会很复杂。
希望我的忠告和解释将会略微减轻它的复杂度。这个程序需要谨慎的使用，如果不正确地移除了一些项目会引起合法的程序出问题。
如果你有任何的疑问可以在我们的间谍软体论坛中贴出来。

如果你希望得到关于使用HijackThis和其他的反间谍软件移除的恶意软件的更多资讯，你可以参加 Bleeping Computer HijackThis Trainee 计划。

--
Lawrence Abrams
Bleeping Computer Internet Security and Spyware Tutorials

校订信息：
03/30/04: 增加所有的启动位置到 O4 区段。增加关于 F2 区段的资讯。增加在文件末尾的已命名的锚链标签使人们能够链接到我。
03/31/04: 增加更完整的关于 F2 和 F3 区段的资讯。
04/01/04: 增加更多的迫切的关于病毒扫描器的不适当地链接了 LSPs的警告到 O10 区段。
04/09/04: 增加关于 CWShredder 的资讯到 O13 区段。
04/24/04: 增加关于 Obfuscated 的意义的资讯到 R 区段。
04/25/04: 增加在顶部的骗子警告并改变了风格以反映较新的指南。
05/21/04: 增加关于以_结束的 R3 项目的资讯。
07/09/04: 增加关于新的 O20，O21，O22 项目，新的进程管理和主机文件管理的资讯，以及在 1.98 版中的错误修正校订。
12/24/04: 增加关于 1.99.0 版的新功能扩展更新了 O15 项目的资讯，在 O23 项目方面的信息以及新功能像是多进程终止、广告间谍和程序介面的信息。
02/16/05: 增加关于 1.99.1 版的新功能的资讯。以及在新的 O15 项目的重点：默认协议和 O20 Winlogon Notify 键。
5/29/06: 更新了 O6 项目以反映免疫功能的正确位置。

本文为chenke_ikari翻译，首发于豆腐的简陋小屋
本文采用Creative Commons 署名-非商业性使用-相同方式共享 2.5 China 许可协议进行许可

[ 本帖最后由 chenke_ikari 于 2006-7-7 13:50 编辑 ]

作者: z3261884 时间: 2006-7-7 13:16
这个是个好东西......
收藏了~
谢楼主

作者: 13813857798 时间: 2006-7-7 13:42
嗯，见过，还是要顶。

作者: caoshaojian123 时间: 2006-7-7 13:51
二楼加入打包下载

作者: kingsoft2 时间: 2006-7-7 14:29
不錯的東西

作者: nod20000 时间: 2006-7-7 14:55
这个学习一下，不能老麻烦别人

作者: guigao1238 时间: 2006-7-7 15:03
有空好好研究一下。

作者: pconline1985 时间: 2006-7-7 15:32
http://cache.baidu.com/c?word=hi ... a=16&user=baidu

http://cache.baidu.com/c?word=hi ... a=66&user=baidu

有点相似

作者: aizhishen 时间: 2006-7-7 15:43

原帖由 xuhellohappy 于 2006-7-7 15:32 发表
http://cache.baidu.com/c?word=hijackthis%3B%CF%EA%BD%E2&url=http%3A//www%2Eenet%2Eorg%2Ecn/Article/wybc/aspbc/200603/Article%5F14559%5F6%2Ehtml&b=0&a=16&user=baidu

http://cache.b ...

这个翻译教程在别的地方还没有搜索到（除了楼主的blog）
加精的理由是：

原创翻译加精
如今的世道垃圾软件太多，这样的教程有助于会员们排除恶意程序

复制代码

作者: wazheqing 时间: 2006-7-7 16:49

原帖由 xuhellohappy 于 2006-7-7 15:32 发表
http://cache.baidu.com/c?word=hi ... a=16&user=baidu

http://cache.b ...

我在翻译之前也作了很多搜索工作，一直没有发现有bleepcomputer那般详细的，
而其他一些类似的中文文章都有不同程度的参考这个教程的原版，
而且原版文章中有很多资源链接比如BHO列表也是对于查找恶意程序非常有用的，
所以才萌生了翻译的想法。这篇文章完全是由我自己逐字句翻译而成，没有参考任何已有类似的中文文档。

原帖由 UndeadArthas 于 2006-7-7 15:43 发表

这个翻译教程在别的地方还没有搜索到（除了楼主的blog）
加精的理由是：
原创翻译加精
如今的世道垃圾软件太多，这样的教程有助于会员们排除恶意程序

谢谢斑斑的支持和肯定~

[ 本帖最后由 chenke_ikari 于 2006-7-7 16:50 编辑 ]

作者: kk0000kk 时间: 2006-7-7 18:22
谢谢。收藏了

作者: asd1080 时间: 2006-7-7 18:28
完全看不懂。

作者: jiang041111 时间: 2006-7-7 18:46
经典！收藏～

在别的论坛当版主，还没有仔细学过HJ，收藏下来好好学，以后帮别人解决问题就快了。

作者: lzp5858 时间: 2006-7-7 20:59
不懂..................
收藏下来,慢慢研究~~~

作者: seul 时间: 2006-7-7 21:28
收藏。谢谢。学习啊。

作者: yu19246615 时间: 2006-7-7 21:32
总是感觉这个好复杂..只有收下来慢慢研究了。

作者: heming880 时间: 2006-7-7 21:41
收藏了，以后慢慢看。

作者: kieth 时间: 2006-7-7 22:00
不错。。谢谢楼主了。。。已收藏

作者: woshinima 时间: 2006-7-7 23:12
不错。先收藏了。

作者: xgm0144 时间: 2006-7-7 23:19
这个收藏了
谢谢楼主的劳动

作者: tysj 时间: 2006-7-7 23:39
对打渔不敢兴趣学习不来啊

作者: xiongpan 时间: 2006-7-8 00:40

原帖由 wms2051 于 2006-7-7 23:39 发表
对打渔不敢兴趣学习不来啊

慢慢看，其实不难的，自己下载个hijackthis扫描一下，再对照解释看看很快就可以理解了。

作者: hjklpp 时间: 2006-7-8 09:15
收藏了，谢谢楼主！！！

作者: kingball 时间: 2006-7-8 10:09
好东西,收下来慢慢研究

作者: dazhongguo 时间: 2006-7-8 10:16
非常感谢...学习了...收藏了...

作者: nb888 时间: 2006-7-8 10:48
说实在的，没看懂。。。。。也许我的语文不太好，也许是楼主的话不清。。

作者: lovefor1211 时间: 2006-7-8 12:46

原帖由 枫.feng 于 2006-7-8 10:48 发表
说实在的，没看懂。。。。。也许我的语文不太好，也许是楼主的话不清。。

我的语文水平难道这么挫么...orz
我以经校对过几次了，某几句的确不够通顺，或者说和中文习惯有偏差，还请见谅。

作者: lmjps2 时间: 2006-7-8 13:29
好复杂呀～先收了再看

作者: zxd7705 时间: 2006-7-8 22:21
看不懂，先收藏了，再研究。

作者: pingfan007 时间: 2006-7-8 23:37
这么好的东西，谢谢楼主了。

作者: liuhongying 时间: 2006-7-8 23:51
谢谢分享～

作者: xdsgxy 时间: 2006-7-9 22:07
这个东西还没有听说过，不知有什么作用，但是见到这么多人支持，肯定是好东西。我提一个不成熟的建议，应该在翻译整篇文章的前面，加一个“摘要”或“简介”，让第一次见到这个软件（工具）的读者知道他能干什么，以便他有耐心看下去。我看到文章很长，而且专业术语也很多，看不太懂，因此没有好好的阅读。但是如果楼主能有一个简介，如果我觉得有用，我肯定会做到“读书千遍，其义自见”。

作者: yhb66 时间: 2006-7-9 22:32
我老土了..HijackThis是什么东东啊??

作者: arethere 时间: 2006-7-9 22:34
提示: 作者被禁止或删除内容自动屏蔽

作者: jackyqing 时间: 2006-7-10 00:23
谢谢!!!!!!!!!!!!!!!!!!!!

作者: tostudyall 时间: 2006-7-10 00:27
谢谢分享

作者: szl123456 时间: 2006-7-21 19:32
可得好好学习一下了，经常遇到这种问题！！

作者: hyc12315 时间: 2006-7-23 00:01
谢谢分享~~~

作者: wanwanjun520 时间: 2006-7-23 06:31
谢谢。收藏了

作者: 259good 时间: 2006-7-23 07:19
很详细很实用.谢谢分享.

作者: a37653340 时间: 2006-7-23 08:44
晕晕，看得不太懂，太复杂了。

作者: qxqinlv 时间: 2006-7-23 08:51
经典，我以前用过

可惜，没有会用

作者: liwenxian 时间: 2006-7-23 11:46

原帖由 sun667 于 2006-7-7 20:59 发表
不懂..................
收藏下来,慢慢研究~~~

作者: AMW433 时间: 2006-7-23 17:45
看不懂。

作者: gcbchengbing 时间: 2006-8-3 18:05
谢谢先学习了

作者: yujamecn 时间: 2006-8-3 18:15
看不懂啊。太难还是我太懒

作者: lilililli 时间: 2006-8-3 19:59
已打印保存，慢慢学习哈子。一直用HJ都不是很熟练，现在可以弄懂它了。

作者: cbyjwhb 时间: 2006-8-3 20:31
我怎么有些看不懂，现收藏了吧

作者: xh3000 时间: 2006-8-3 21:03
提示: 作者被禁止或删除内容自动屏蔽

作者: xgh24 时间: 2006-8-4 01:08
经典,学习了

作者: kentrock00 时间: 2006-8-4 18:58
感谢楼主分享！学习学习！

作者: zhaolizyy 时间: 2006-8-5 20:11
收藏收藏！

作者: 521gpy 时间: 2006-8-5 21:17
确实是好文，我已经全文转贴到我们西交的bbs和我的blog上了。

希望能够看到更多这样的好文章

作者: truelives 时间: 2006-8-12 16:47
收藏,似乎很复杂`~`

作者: 3dlitao 时间: 2006-8-21 16:52
谢谢!我下载收藏了!

作者: kkkknn 时间: 2006-9-2 06:45
谢谢这是个好软件

作者: ctzcyx 时间: 2006-9-2 09:47
感谢楼主为大家做的工作，HijackThis听说过，只是没用过，这回有了楼主的教程，可以好好学习一下！！

作者: zxiaocong 时间: 2006-9-2 11:35
不知道说的是什么东西，做什么用的？

作者: jackyzhou583 时间: 2006-9-12 14:13
强。。。太详细了，很有帮助。

作者: netspy 时间: 2006-9-12 23:12
这个是个好东西......

作者: keyboy 时间: 2006-9-12 23:56
太多了
看了一会就看不下去了`

作者: kybkqiu 时间: 2006-9-13 01:34
太好了，狂谢楼主

作者: hugm 时间: 2006-9-13 09:41
绝对好的文章
虽然不是很明白
但是害是要收藏的

作者: opengg 时间: 2006-9-13 10:22
这可是好东西，一定要收藏来学习一下

作者: nj13178 时间: 2006-9-21 19:37
楼主好强呀，这真是个好东西，慢慢研究

作者: FF0015 时间: 2006-9-22 01:38
极强的讲解啊....超详细.谢谢楼主了~~

作者: s0101010001 时间: 2006-9-26 18:55
收藏下来好好研读，谢谢分享

作者: MOJIE 时间: 2006-11-14 15:08
顶下！！！！！！！！！！！！！！！！！

作者: ehong 时间: 2006-11-14 15:17
不懂..................
收藏下来,慢慢研究~~~

作者: lwd333 时间: 2006-12-13 22:47
收藏，好好研究，。。。

作者: pk1778 时间: 2006-12-15 14:39
谢了，下下来方便查询！

作者: tianf1999 时间: 2006-12-15 16:41
一个满有用的工具，支持下

作者: liguoqing101 时间: 2006-12-15 19:54
看不懂~~~要好好研究下

作者: sadsadhuw 时间: 2006-12-15 21:37
太过详细，只要几个图，再来点相对的说明最好，我想有很多人像我一样看得一头的雾水吧。

作者: zhoulhui 时间: 2006-12-15 21:47
学到了，谢谢楼主。。。

作者: lhrliuhairong 时间: 2007-3-18 14:03
看的我头晕。还是有个图方便些

作者: canboylin 时间: 2007-3-18 15:04
下来，慢慢看，感谢楼主分享。

作者: mb2005 时间: 2007-3-18 21:18
慢慢来，虽然看不懂，但学习的冲动又来了，哈哈

作者: 360819639 时间: 2007-3-21 02:58
看不懂.唉!!

作者: yuyu2008 时间: 2007-3-21 08:13
好东西自然要顶

欢迎光临热点科技 (http://www.itheat.com/activity/)