收藏本站论坛帮助移动版论坛(500下载币) 微信公众号

天下网吧论坛

 找回密码
 注册账号

QQ登录

只需一步,快速开始

用百度帐号登录

百度登录

用微信登录

扫一扫,用微信登录

网吧增值联盟
查看: 2631|回复: 67
收起左侧

[系统] 二则实例分析桌面文件【广告文件&快捷方式】是谁创建

  [复制链接]
发表于 2017-5-20 23:38:17 | 显示全部楼层 |阅读模式
新网吧增值联盟,收益提升,投诉下降!

终于等到您!马上注册登录,做有身份的人!

您需要 登录 才可以下载或查看,没有帐号?注册账号 用百度帐号登录   扫一扫,用微信登录

x
首先用到的文件有:

游客,如果您要查看本帖隐藏内容请回复


我的电脑在安装了某个软件之后,感觉被捆绑了,结果,桌面老是会被创建一个快捷方式:美女在线直播-全民TV

20170511002731.jpg

删除了很多次,还是会自动跳出来,任务管理器查看进程,无不良进程,估计是系统进程被注入模块了。那就把它揪出来吧。首先,我个打开火绒剑,监控桌面的文件创建,步骤如下:

过滤--动作过滤:只勾选:创建文件和写入文件,路径填:C:\Users\Administrator\Desktop   包含  开始监控:开始监控之后,我们首先删除桌面已生成的       美女在线直播-全民TV.lnk,不一会,桌面再次生成了该快捷方式,而且火绒剑也捕捉到了,看图:

20170511002814.jpg

是c:\windows\syswow64\svchost.exe的进程创建的,进程PID为:6004    右键查看该文件,显示是Microsoft的系统文件,应该是被注入了DLL,怎么看呢,这时需要PCHunter64.exe,打开它,找到PID   6004的进程:svchost.exe,然后下方显示模块,果然,有一个DESKTOP.dll的DLL注入到了该进程,在该模块上右键,定位到DLL文件,没什么好说的,卸载模块并删除该文件即可,至此,元凶已找到,同样的方法还可以做很多事,举一反三,最后还是把PCHunter64的图挂上,这个图是我卸载了之后补的,你可能找不到PID 6004的进程,只是贴出来帮助使用PCHunter64.exe而已。

20161114221105.jpg

第二则:360安全浏览器的收藏夹老是自动收藏乱七八槽的网站,删除了之后会再次出现。

经查,需要360的收藏夹是在一个DB的数据库里边,位置:C:\Users\Administrator\AppData\Roaming\360se6\apps\data\users\default\360sefav.db

那我们就用火绒剑监控该文件的写操作吧。

20170511150919.jpg

查看是哪个进程创建的,同样的方法,PCHunter64.exe查看该进程的加载模块,看看是不是进程被注入DLL了。

评分

1

查看全部评分

本帖被以下淘专辑推荐:

本站帖子为发帖者自发发布,转载请注明来源天下网吧论坛。发帖请遵守相关法律法规!
PS:发求助帖前建议先【论坛搜索】,那里可能会有你要找的答案;
如果求助帖,已经解决了,麻烦您回复下已经解决并分享方法,方便其他同行借鉴您的方法。天下网吧论坛110万会员对您的行为表示感谢!
下载币只能通过论坛发帖,任务,免费获取。不支持任何方式充值,认真回帖是对发帖者的一种尊重!希望大家理解!
发表于 2017-5-20 23:54:39 | 显示全部楼层
新网吧增值联盟,收益提升,投诉下降!
学习了,不过现在去广告太累了哎!
本站帖子为发帖者自发发布,转载请注明来源天下网吧论坛。发帖请遵守相关法律法规!
PS:发求助帖前建议先【论坛搜索】,那里可能会有你要找的答案;
如果求助帖,已经解决了,麻烦您回复下已经解决并分享方法,方便其他同行借鉴您的方法。天下网吧论坛110万会员对您的行为表示感谢!
下载币只能通过论坛发帖,任务,免费获取。不支持任何方式充值,认真回帖是对发帖者的一种尊重!希望大家理解!
回复 支持 反对

使用道具 举报

发表于 2017-5-21 07:41:23 | 显示全部楼层
新网吧增值联盟,收益提升,投诉下降!
学习一下,学习一下.
本站帖子为发帖者自发发布,转载请注明来源天下网吧论坛。发帖请遵守相关法律法规!
PS:发求助帖前建议先【论坛搜索】,那里可能会有你要找的答案;
如果求助帖,已经解决了,麻烦您回复下已经解决并分享方法,方便其他同行借鉴您的方法。天下网吧论坛110万会员对您的行为表示感谢!
下载币只能通过论坛发帖,任务,免费获取。不支持任何方式充值,认真回帖是对发帖者的一种尊重!希望大家理解!
回复 支持 反对

使用道具 举报

发表于 2017-5-21 07:41:57 | 显示全部楼层
学习一下.学习一下.学习一下.
本站帖子为发帖者自发发布,转载请注明来源天下网吧论坛。发帖请遵守相关法律法规!
PS:发求助帖前建议先【论坛搜索】,那里可能会有你要找的答案;
如果求助帖,已经解决了,麻烦您回复下已经解决并分享方法,方便其他同行借鉴您的方法。天下网吧论坛110万会员对您的行为表示感谢!
下载币只能通过论坛发帖,任务,免费获取。不支持任何方式充值,认真回帖是对发帖者的一种尊重!希望大家理解!
回复 支持 反对

使用道具 举报

发表于 2017-5-21 09:13:46 | 显示全部楼层
本站帖子为发帖者自发发布,转载请注明来源天下网吧论坛。发帖请遵守相关法律法规!
PS:发求助帖前建议先【论坛搜索】,那里可能会有你要找的答案;
如果求助帖,已经解决了,麻烦您回复下已经解决并分享方法,方便其他同行借鉴您的方法。天下网吧论坛110万会员对您的行为表示感谢!
下载币只能通过论坛发帖,任务,免费获取。不支持任何方式充值,认真回帖是对发帖者的一种尊重!希望大家理解!
回复

使用道具 举报

发表于 2017-5-21 09:15:06 | 显示全部楼层
asdasdasdas
本站帖子为发帖者自发发布,转载请注明来源天下网吧论坛。发帖请遵守相关法律法规!
PS:发求助帖前建议先【论坛搜索】,那里可能会有你要找的答案;
如果求助帖,已经解决了,麻烦您回复下已经解决并分享方法,方便其他同行借鉴您的方法。天下网吧论坛110万会员对您的行为表示感谢!
下载币只能通过论坛发帖,任务,免费获取。不支持任何方式充值,认真回帖是对发帖者的一种尊重!希望大家理解!
回复 支持 反对

使用道具 举报

发表于 2017-5-21 11:26:01 | 显示全部楼层
支持天下网吧!
本站帖子为发帖者自发发布,转载请注明来源天下网吧论坛。发帖请遵守相关法律法规!
PS:发求助帖前建议先【论坛搜索】,那里可能会有你要找的答案;
如果求助帖,已经解决了,麻烦您回复下已经解决并分享方法,方便其他同行借鉴您的方法。天下网吧论坛110万会员对您的行为表示感谢!
下载币只能通过论坛发帖,任务,免费获取。不支持任何方式充值,认真回帖是对发帖者的一种尊重!希望大家理解!
回复 支持 反对

使用道具 举报

发表于 2017-5-21 11:29:50 | 显示全部楼层
学习一下,学习一下.
本站帖子为发帖者自发发布,转载请注明来源天下网吧论坛。发帖请遵守相关法律法规!
PS:发求助帖前建议先【论坛搜索】,那里可能会有你要找的答案;
如果求助帖,已经解决了,麻烦您回复下已经解决并分享方法,方便其他同行借鉴您的方法。天下网吧论坛110万会员对您的行为表示感谢!
下载币只能通过论坛发帖,任务,免费获取。不支持任何方式充值,认真回帖是对发帖者的一种尊重!希望大家理解!
回复 支持 反对

使用道具 举报

发表于 2017-5-21 12:41:15 | 显示全部楼层
中华人民共和国顶顶顶
本站帖子为发帖者自发发布,转载请注明来源天下网吧论坛。发帖请遵守相关法律法规!
PS:发求助帖前建议先【论坛搜索】,那里可能会有你要找的答案;
如果求助帖,已经解决了,麻烦您回复下已经解决并分享方法,方便其他同行借鉴您的方法。天下网吧论坛110万会员对您的行为表示感谢!
下载币只能通过论坛发帖,任务,免费获取。不支持任何方式充值,认真回帖是对发帖者的一种尊重!希望大家理解!
回复 支持 反对

使用道具 举报

发表于 2017-5-21 18:15:20 | 显示全部楼层
这个可以有啊啊
本站帖子为发帖者自发发布,转载请注明来源天下网吧论坛。发帖请遵守相关法律法规!
PS:发求助帖前建议先【论坛搜索】,那里可能会有你要找的答案;
如果求助帖,已经解决了,麻烦您回复下已经解决并分享方法,方便其他同行借鉴您的方法。天下网吧论坛110万会员对您的行为表示感谢!
下载币只能通过论坛发帖,任务,免费获取。不支持任何方式充值,认真回帖是对发帖者的一种尊重!希望大家理解!
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 注册账号 用百度帐号登录   扫一扫,用微信登录

本版积分规则

下载天下网吧手机APP,直接一键登录
您尚未登录,请登陆后浏览更精彩内容!
 注册账号
找回密码

手机版|纯文字版|网吧增值联盟|联系我们|免责声明|网吧论坛 ( 闽ICP备11020296号-2 )|网站地图

GMT+8, 2017-12-14 10:31 , Processed in 0.125000 second(s), 20 queries , Gzip On, Memcache On.

Powered by Discuz! X3.2

© 2001-2013 Comsenz Inc.

快速回复 返回顶部 返回列表