什么病毒能禁止杀毒软件和网页打开

什么病毒能禁止运行杀毒软件等程序~

addslta.exe和gaebwdw.exe两个可疑文件，可是无法删除文件，尝试在注册表启动项里删

除，可发现刚刚删除后又会重新存在启动项里，这样我想，只能到安全模式下删除了。


可是重启后，安全模式根本无法运行，在检测文件时机器会自动重启，这样真是让我欲哭无泪了。怎么

办呢？于是我又重新正常启动到系统（XP）中，安装了AVG Anti-Spyware 7.5，安装过程一切正常（原

来病毒并没有针对它做什么，于是感觉曙光就要到了）。安装后立即升级、注册，一切顺利，升级之后

立即杀毒，可结果却让我大失所望，什么都没有查出来。


这时我已经浪费了半天的时间，我感到束手策了，就当我要放弃时，忽然想到了DOS下手动删除，于是

通过AVG Anti-Spyware的进程分析，找到了addslta.exe和gaebdwdw.exe的文件路径 C:\Program

Files\Common Files\Microsoft Shared （如果你终止过进程，gaebdwdw.exe有可能会在C:\Program

Files\Common Files\sytem下，它并不固定路

径，在进DOS时，一定要查看好病毒文件的路径)。在通过番茄花园光盘的工具中进入DOS，可是打开

到C:\Program Files\Common Files\时并没有看到Microsoft Shared 这个文件夹，只好报着试试看的办法

直接敲入路径cd microf~1（由于文件名过长，DOS下只需要输入文件夹前6位字母，然后用~加上1即

可，如果有前面同名的文件夹，用数字2、3代替，直到找到为止)，结果顺利的进入了，用dir一看，并

I没有显示出病毒文件，一定是隐蔽了！于是执行attrib -h -r ，果然找到了addslta.exe 这个文件，马上

Del掉，同时又到system下找到了gaebwdw.exe文件，del掉，这时又发现还有一个ltptype.inf文件，刚才

在addslta那也同样有这个文件，并没有在意，现在看来它肯定是关联文件了，同样del掉。这时在重新

启机，久违的卡巴斯基终于出现了，360也能使用了，呵呵，这次清除终于结束，希望这个心得也能帮

助其它中病毒的朋友解决问题！

（如果没有DOS启动工具，可以下载一个矮人DOS，因为这个病毒还是不会影响上网的，安装矮人DOS

后，重启计算机，会发现有启动项里会有DOS的。http://download.pchome.net/system/backup/21580.html）

注：

1、如果删除后，杀毒软件或其它软件都不能正常打开，提示错误，就到注册表上删除含gaebwdw.exe和addslta.exe项，具体操作 开始---运行---regedit，打开后，Ctrl+F键，进行查找，找到后直接del，在按F3继续查找下一项，直到清除为止，重启计算机，OK！）

2、在感染这种病毒后，如果使用移动硬盘拷贝文件，会使移动硬盘也中此病毒。这样会造成其它计算机通过移动硬盘感染病毒。防止方法如下：移动硬盘连接到其它计算机后，不要根据提示打开，取消打开。之后打开我的电脑，也不要点击移动硬盘盘符。选择上方的资源管理器，通过资源管理器在左侧点击硬盘盘符，然后打开查看隐藏文件选项，确定后在查看硬盘里是否有autorun.inf、或是其它.exe之类的文件,如果有，立即删除，逐个查看排查后，方可安心使用移动硬盘！）

能阻止杀毒软件打开的是什么病毒? 中了映像劫持（IFEO）类的病毒，映像位于注册表的 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 由于这个项主要是用来调试程序用的，对一般用户意义不大。默认是只有管理员和local system有权读写修改。 解除方法: 方法一: 1) 开始 - 运行 - regedit 回车 2) 找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 3) 把Image File Execution Options 下面的项目全部清除 方法二: 1) 开始 - 运行 - cmd 回车 2) reg delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Optionsaskmgr.exe" /f 其中上面的taskmgr.exe就是要恢复执行的任务管理器 如果还不行,请看下面的处理方法: 首先，下载安装360安全卫士（现在能运行更好，直接查杀恶意软件和木马。不能运行看下面），在电脑组策略里关闭所有磁盘的自动运行（如果不会就使用工具关闭，很多病毒专杀工具就自带这个功能），重启计算机按住F8 ，进入安全模式，使用360安全卫士进行恶意软件和木马的查杀，如果360不能运行，就运行360安装目录下的“修复工具”，点击“安全启动360”，杀完后用杀毒工具再进行全盘杀毒。 如果上面方法处理不了，要重新安装系统，断开网络， 一、在电脑组策略里关闭所有磁盘的自动运行。 二、放入系统安装盘，重启电脑。 三、设置光驱为第一启动（按住DEL，进入BIOS进行设置）。 四、根据光盘运行提示安装系统。 五、进入系统，千万不要点击除系统盘外的任何其他硬盘，安装杀毒软件，连接网络（可以先用360安全卫士查杀一下），只更新杀毒软件，进行全盘杀毒。

AV终结者”即”帕虫”是一系列反击杀毒软件，破坏系统安全模式、植入木马下载器的病毒，它指的是一批具备如下破坏性的病毒、木马和蠕虫。“AV终结者”名称中的“AV”即为英文“反病毒”(Anti-Virus)的缩写。它能破坏大量的杀毒软件和个人防火墙的正常监控和保护功能,导致用户电脑的安全性能下降,容易受到病毒的侵袭。同时它会下载并运行其他盗号病毒和恶意程序,严重威胁到用户的网络个人财产。此外,它还会造成电脑无法进入安全模式,并可通过可移动磁盘传播。目前该病毒已经衍生多个新变种,有可能在互联网上大范围传播。“AV终结者”设计中最恶毒的一点是，用户即使重装操作系统也无法解决问题：格式化系统盘重装后很容易被再次感染。用户格式化后，只要双击其他盘符，病毒将再次运行。“AV终结者”会使用户电脑的安全防御体系被彻底摧毁，安全性几乎为零。它还自动连接到某网站，下载数百种木马病毒及各类盗号木马、广告木马、风险程序，在用户电脑毫无抵抗力的情况下，鱼贯而来，用户的网银、网游、QQ账号密码以及机密文件都处于极度危险之中。
AV终结者最彻底解决方案
病毒名称：AV终结者
传播方式：内存，windows漏洞
破坏方式：进程插入
生成病毒文件名：随机8位字符
自我保护：应用程序绑架
病毒目的：从网络上下载大量木马
危害等级：★★★★★
近日网络上出现了一种破坏力及强的病毒“AV终结者”，不到一个月时间，变种就已达到数百个之多，波及人群超过十几万人，这个病毒非常变态，一旦感染就很难清楚。
“AV终结者”是由随机8位数字和字母组合而成的病毒,是闪存寄生病毒，它是通过闪存等存储介质或者注入服务器来实现的。
一、什么是“AV终结者”
“AV终结者”病毒运行后会在系统中生成如下几个文件：C:\program files\common files\microsoft shared\msinfo\随机生成病毒名.dat、C:\program files\common files\microsoft shared\msinfo\随机生成病毒名.dll、C:\windows\随机生成病毒名.chm
“AV终结者”的病毒名是由大写字母+数字随机组合而成，其长度为8位，可以说生成同名病毒的概率是很低的。因此即使我们知道了这是病毒生成的文件，也别指望通过病毒名在网络上找到病毒的清楚方法。
“AV终结者”病毒运行后会在本地磁盘和移动磁盘中复制病毒文件和anuorun.inf文件，当用户双击盘符时就会激活病毒，即使是重装系统也是无法将病毒彻底清楚的。这是目前很多病毒热衷的传播方法，不少用户也懂得删除病毒生成的anuorun.inf文件，但是当我们进入“文件夹选项里”，想显示隐藏文件时，可以发现这里已经被病毒给禁用了。
针对杀毒软件的攻击，是“AV终结者”的特点。病毒会终止大部分的杀毒软件和安全工具的进程。国内绝大多数的杀毒软件和安全工具都被列入了黑名单。当杀毒软件暂时失去作用时，病毒就会乘胜追击，通过一种“映象劫持”技术将杀毒软件彻底打入死牢。
“映象劫持”会在注册表的“HKEY-LOCAL-MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Exeution Options”位置新建一个以杀毒软件和安全工具程序名称命名的项。建立完毕后，病毒还会在里面建立一个Debugger键，键值为“c:\ progra~1\common~1\micros~1\msinfo\05cc73b2.dat”。这样当我们双机运行杀毒软件的主程序时，运行的其实是病毒程序。
为了避免在“任务管理器”中露出破绽，病毒会将自己的进程注入到系统的资源管理器进程explorer.exe中，这样我就无法通过“任务管理器”发现病毒的进程了。病毒进程的主要作用是监视系统中的用户操作，例如你想手动清楚病毒，修改注册表，病毒没隔一段时间就会把注册表改回去，让你百费劲。另一个作用是监视IE窗口，发现用户搜索病毒资料时，立即关闭网页。
此外，病毒还会破坏windows防火墙和安全模式，封堵用户的后路。最重要的是，病毒会从网络上下载大量盗号木马，盗取用户的游戏帐户信息，这也是它的真正目的。
二、彻底清楚“AV终结者”
1、运行“任务管理器”，结束“explorer.exe”进程，单击“任务管理器的”文件菜单，选择“新建任务”，输入“regedit”，找到HEKEY-LOCAL-MACHINE\software\microsoft\windows\currentversion\explorer\advanced \folder\hidden\showall,将Checkedvalue的的键值改为“1”。
2、在“regedit”中找到HEKEY-LOCAL-MACHINE\software\microsoft\windows NT\currentversion\image file execution options，将以杀毒软件和安全工具命名的项删除。
3、在“资源管理器”中单击“工具”——“文件夹选项”，切换到“查看”，取消“隐藏受保护的操作系统文件”前面的勾，然后选中“显示所有文件和文件夹”。根据上文中提供的路径删除所有的病毒文件。删除其他分区中的病毒，注意不要双击进入盘符，而要用右键点击进入。
三、预防“AV终结者”
首先，要禁止自动播放功能，并能及时更新系统补丁，尤其是MS06-014和MS07-017这两个补丁。
其次，要限制IFEO的读写权，达到限制病毒通过IFEO劫持杀毒软件的目的。操作方法如下：开始——运行，输入regedit32，找到 HEKEY-LOCAL-MACHINE\software\microsoft\windows NT\currentversion\image file execution options，右击此选项，在弹出的菜单中选择“权限”，然后把administrors用户组和users用户组的权限全部取消即可。最后，要限制 SAFEBOOT的读写权，达到限制“AV终极者”修改或删除Drives，保护安全模式正常运行的目的。操作方法如下：同样是在32位注册表里找到 HKEY-LOCAL-MACHINE\SYSTEM\contorlset001\control\safeboot\network\{4d36e967 -e325-11ce-bfc1-08002be10318}和HKEY-LOCAL-MACHINE\SYSTEM\ currentcontrolset\control\safeboot\minimal\，将administors用户组和users用户组的权限全部取消即可。
[编辑本段]传播途径
“AV终结者”的重要传播途径是U盘等移动存储介质。它通过U盘、移动硬盘的自动播放功能传播，建议用户暂时关闭电脑的这一功能。用户近期一定要注意U盘使用安全，不要在可疑电脑上使用U盘，以免自己的电脑受到传染。
[编辑本段]病毒特征
这种病毒主要特征有：禁用所有杀毒软件以及相关安全工具，让用户电脑失去安全保障；致使用户根本无法进入安全模式清除病毒；强行关闭带有病毒字样的网页，只要在网页中输入‘病毒’相关字样，网页遂被强行关闭，即使是一些安全论坛也无法登陆，用户无法通过网络寻求解决办法。
[编辑本段]病毒现象
·1. 生成很多8位数字或字母随机命名的病毒程序文件，并在电脑开机时自动运行。
·2. 绑架安全软件，中毒后会发现几乎所有杀毒软件，系统管理工具，反间谍软件不能正常启动。即使手动删除了病毒程序，下次启动这些软件时，还会报错。
·3. 不能正常显示隐藏文件，其目的是更好的隐藏自身不被发现。
·4. 禁用windows自动更新和Windows防火墙，这样木马下载器工作时，就不会有任何提示窗口弹出来。为该病毒的下一步破坏打开方便之门。
·5. 破坏系统安全模式，使得用户不能启动系统到安全模式来维护和修复。
·6. 当前活动窗口中有杀毒、安全、社区相关的关键字时，病毒会关闭这些窗口。假如你想通过浏览器搜索有关病毒的关键字，浏览器窗口会自动关闭。
·7. 在本地硬盘、U盘或移动硬盘生成autorun.inf和相应的病毒程序文件，通过自动播放功能进行传播。这里要注意的是，很多用户格式化系统分区后重装，访问其它磁盘，立即再次中毒，用户会感觉这病毒格式化也不管用。
·8. 病毒程序的最终目的是下载更多木马、后门程序。用户最后受损失的情况取决于这些木马和后门程序。
·9.病毒运行后，鼠标右击菜单以及下拉菜单选项，会在1到两秒钟时间后，自动选择最后一个选项，不过可以使用快捷方式组合。
[编辑本段]防范措施

对于病毒而言，良好的防范措施，好过中毒之后再绞尽脑汁去寻找查杀方法，而且一旦感染该病毒，清除过程相当复杂，因此，在采访中，金山、江民、瑞星等几家公司的反病毒专家们向记者提供了针对该病毒防范措施：
1.保管好自己的U盘，MP3、移动硬盘等移动储存的使用，当外来U盘接入电脑时，请先不要急于双击打开，一定要先经过杀毒处理，建议采用具有U盘病毒免疫功能的杀毒软件，如KV2007 独有的U盘盾技术，可以免疫所有U盘病毒通过双击U盘时运行。
2. 给系统打好补丁程序，尤其是MS06-014和MS07-17这两个补丁，目前绝大部分的网页木马都是通过这两个漏洞入侵到计算机里面的。
3. 即时更新杀毒软件病毒库，做到定时升级，定时杀毒。
4.安装软件要到正规网站下载，避免软件安装包被捆绑进木马病毒。
5.关闭windows的自动播放功能。
[编辑本段]病毒解决方案
方法一：
因为这个病毒会攻击杀毒软件，已经中毒的电脑杀毒软件没法正常启动，双击没反应，因而这时无法用杀毒软件来清除;利用手动解决也相当困难，并且，AV终结者是一批病毒，不能简单的通过分析报告来人工删除。推荐的清除步骤如下：
1. 在能正常上网的电脑上到http://zhuansha.duba.net/259.shtml 下载AV终结者病毒专杀工具。
2. 在正常的电脑上禁止自动播放功能，以避免通过插入U盘或移动硬盘而被病毒感染。禁止方法参考方案附件：
把AV终结者专杀工具从正常的电脑复制到U盘或移动硬盘上，然后再复制到中毒的电脑上。
3. 执行AV终结者专杀工具，清除已知的病毒，修复被破坏的系统配置。
（注：AV终结者专杀工具的重要功能是修复被破坏的系统，包括修复映像劫持；修复被破坏的安全模式；修复隐藏文件夹的正常显示和删除各磁盘分区的自动播放配置。）
4. 不要立即重启电脑，然后启动杀毒软件，升级病毒库，进行全盘扫描。以清除木马下载器下载的其它病毒。
方法二：
去黑联盟或黑客动画吧，下载一个AV生成器，运行后（注意别单击生成），选“卸载本地服务端”。
[编辑本段]手动清除办法
1.到网上下载IceSword工具，并将该工具改名，如改成abc.exe 名称，这样就可以突破病毒进程对该工具的屏蔽。然后双击打开IceSword工具，结束一个8位数字的EXE文件的进程，有时可能无该进程。
2.利用IceSword的文件管理功能，展开到C:\Program Files\Common Files\Microsoft Shared\MSINFO\下，删除2个8位随机数字的文件，其扩展名分别为：dat 和dll 。再到%windir%\help\目录下，删除同名的.hlp或者同名的.chm文件，该文件为系统帮助文件图标。
3. 然后到各个硬盘根目录下面删除Autorun.inf 文件和可疑的8位数字文件，注意，不要直接双击打开各个硬盘分区，而应该利用Windows资源管理器左边的树状目录来浏览。有时电脑中毒后可能无法查看隐藏文件，这时可以利用WinRar软件的文件管理功能来浏览文件和进行删除操作。
4.利用IceSword的注册表管理功能，展开注册表项到：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options]，删除里面的IFEO劫持项。
当完成以上操作之后，就可以安装或打开杀毒软件了，然后升级杀毒软件到最新的病毒库，对电脑进行全盘杀毒。（手动清除办法由江民反病毒专家提供

8749病毒，和映像劫持
windows映像劫持技术（IFEO）
基本症状：可能有朋友遇到过这样的情况，一个正常的程序，无论把它放在哪个位置，或者是一个程序重新用安装盘修复过，都出现无法运行的情况，或是出错提示为“找不到文件”或者直接没有运行起来的反应，或者是比如运行程序A却成了执行B（可能是病毒），而改名后却可以正常运行的现象。
遭遇流行“映像劫持”病毒的系统表现为常见的杀毒软件、防火墙、安全检测工具等均提示“找不到文件”或执行了没有反应，于是大部分用户只能去重装系统了，但是有经验或者歪打正着的用户将这个程序改了个名字，就发现它又能正常运行了~~
既然我们是介绍映像劫持技术（IFEO）相关，那我们就先介绍下：
[编辑本段]一，什么是映像劫持（IFEO）？
1.所谓的映像劫持IFEO就是Image File Execution Options
（其实应该称为“Image Hijack”。）
它是位于注册表的
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
IFEO的本意是为一些在默认系统环境中运行时可能引发错误的程序执行体提供特殊的环境设定。由于这个项主要是用来调试程序用的，对一般用户意义不大。默认是只有管理员和local system有权读写修改。
当一个可执行程序位于IFEO的控制中时，它的内存分配则根据该程序的参数来设定，而WindowsN T架构的系统能通过这个注册表项使用与可执行程序文件名匹配的项目作为程序载入时的控制依据，最终得以设定一个程序的堆管理机制和一些辅助机制等。出于简化原因，IFEO使用忽略路径的方式来匹配它所要控制的程序文件名，所以程序无论放在哪个路径，只要名字没有变化，它就运行出问题。
先看看常规病毒等怎么修改注册表吧。。
那些病毒、蠕虫和，木马等仍然使用众所皆知并且过度使用的注册表键值，如下：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
等等。。。。。。。。。。。。。。。
2.另外一种劫持的方法是:在目标程序目录下建立与系统DLL相同的导出函数,执行内容为
f=LoadLibrary(byref "c:\windows\system32\"+dllname)
f=GetProcAddress(byval f,byref procname)
!jmp f
'(PowerBasic)
,在DLL初始化的时候可以干一些坏事,以此来达到改变原应用程序的目的
[编辑本段]二，具体使用资料：
（这里实际上介绍的是如何利用注册表该项来重定向程序运行参数，使得发生映像劫持：）
下面是蓝色寒冰的一段介绍：
@echo off
rem 关闭命令回显
echo 此批处理只作技巧介绍，请勿用于非法活动！
rem 显示echo后的文字
pause
rem 停止
echo Windows Registry Editor Version 5.00>>ssm.reg
echo [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\syssafe.EXE] >>ssm.reg
echo "Debugger"="syssafe.EXE" >>ssm.reg
rem 把echo后的文字导出到SSM.reg中
regedit /s ssm.reg &del /q ssm.reg
rem 导入ssm.reg并删除
使SSM失效HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\svchost.exe项下的"Debugger"="abc.exe" 意思是不执行svchost.exe而执行abc.exe
可能说了上面那么多，大家还弄不懂是什么意思，没关系，我们大家一起来看网络上另一个朋友做得试验:
开始-运行-regedit,展开到：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
然后选上Image File Execution Options，新建个项，然后，把这个项（默认在最后面）改成123.exe
选上123.exe这个项，然后默认右边是空白的，我们点右键，新建个“字串符”，然后改名为“Debugger"
这一步要做好，然后回车，就可以。。。再双击该键，修改数据数值（其实就是路径）。。
把它改为 C:\windows\system32\CMD.exe
（注：C:是系统盘，如果你系统安装在D则改为D:如果是NT或2K的系统的话，把Windows改成Winnt,下面如有再提起，类推。。。）
好了，实验下。~ .
然后找个扩展名为EXE的，（我这里拿IcesWord.exe做实验），改名为123.exe。。。
然后运行之。。。嘿嘿。。出现了DOS操作框，不知情的看着一闪闪的光标，肯定觉得特诡异。
一次简单的恶作剧就成咧。。。
同理，病毒等也可以利用这样的方法，把杀软、安全工具等名字再进行重定向，指向病毒路径
所以，如果你把病毒清理掉后，重定向项没有清理的话，由于IFEO的作用，没被损坏的程序一样运行不了！
让病毒迷失自我
同上面的道理一样，如果我们把病毒程序给重定向了，是不是病毒就不能运行了，答案是肯定的。
WindowsRegistryEditorVersion5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\ImageFileExecutionOptions\sppoolsv.exe]
Debugger=123.exe
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\ImageFileExecutionOptions\logo_1.exe]
Debugger=123.exe
将上面的代码保存为后缀.reg的文件，双击它，是以金猪病毒和威金病毒为例，这样即使这些病毒在系统启动项里面，即使随系统运行了，但是由于映象劫持的
重定向作用，还是会被系统提示无法找到病毒文件(这里是logo_1.exe和sppoolsv.exe)。
[编辑本段]三，映像劫持的基本原理：
QUOTE:
NT系统在试图执行一个从命令行调用的可执行文件运行请求时，先会检查运行程序是不是可执行文件，如果是的话，再检查格式的，然后就会检查是否存在。。如果不存在的话，它会提示系统找不到文件或者是“指定的路径不正确等等。。
当然，把这些键删除后，程序就可以运行！
[ 引自 网络技术论坛：]
从实际现象来说，把IFEO直接称为“映像劫持”未免有点冤枉它了，因为里面大部分参数并不会导致今天这种局面的发生，惹祸的参数只有一个，那就是“Debugger”，将IFEO视为映像劫持，大概是因为国内一些人直接套用了“Image File Execution Options”的缩写罢，在相对规范的来自Sysinternals的专业术语里，利用这个技术的设计漏洞进行非法活动的行为应该被称为“Image Hijack”，这才是真正字面上的“映像劫持”！
Debugger参数，直接翻译为“调试器”，它是IFEO里第一个被处理的参数，其作用是属于比较匪夷所思的，系统如果发现某个程序文件在IFEO列表中，它就会首先来读取Debugger参数，如果该参数不为空，系统则会把Debugger参数里指定的程序文件名作为用户试图启动的程序执行请求来处理，而仅仅把用户试图启动的程序作为Debugger参数里指定的程序文件名的参数发送过去！光是这个概念大概就足够一部分人无法理解了，所以我们放简单点说，例如有两个客人在一起吃自助餐，其中一个客人（用户）委托另一个客人（系统）去拿食物时顺便帮自己带点食物回来（启动程序的请求），可是系统在帮用户装了一盘子食物并打算回来时却发现另一桌上有个客人（Debugger参数指定的程序文件）居然是自己小学里的暗恋对象！于是系统直接端着原本要拿给用户的食物放到那桌客人那里共同回忆往事去了（将启动程序请求的执行文件映像名和最初参数组合转换成新的命令行参数……），最终吃到食物的自然就是Debugger客人（获得命令行参数），至此系统就忙着执行Debugger客人的启动程序请求而把发出最初始启动程序请求的用户和那盘食物（都送给Debugger客人做命令行参数了）给遗忘了。
在系统执行的逻辑里，这就意味着，当一个设置了IFEO项Debugger参数指定为“notepad.exe”的“iexplore.exe”被用户以命令行参数“-nohome bbs.nettf.net”请求执行时，系统实际上到了IFEO那里就跑去执行notepad.exe了，而原来收到的执行请求的文件名和参数则被转化为整个命令行参数“C:\Program Files\Internet Explorer\IEXPLORE.EXE - nohome bbs.nettf.net”来提交给notepad.exe执行，所以最终执行的是“notepad.exe C:\Program Files\Internet Explorer\IEXPLORE.EXE - nohome bbs.nettf.net”，即用户原来要执行的程序文件名iexplore.exe被替换为notepad.exe，而原来的整串命令行加上iexplore.exe自身，都被作为新的命令行参数发送到notepad.exe去执行了，所以用户最终看到的是记事本的界面，并可能出现两种情况，一是记事本把整个iexplore.exe都作为文本读了出来，二是记事本弹出错误信息报告“文件名不正确”，这取决于iexplore.exe原来是作为光杆司令状态请求执行（无附带运行命令行参数）的还是带命令行参数执行的。
Debugger参数存在的本意是为了让程序员能够通过双击程序文件直接进入调试器里调试自己的程序，曾经调试过程序的朋友也许会有一个疑问，既然程序启动时都要经过IFEO这一步，那么在调试器里点击启动刚被Debugger参数送进来的程序时岂不是又会因为这个法则的存在而导致再次产生一个调试器进程？微软并不是傻子，他们理所当然的考虑到了这一点，因此一个程序启动时是否会调用到IFEO规则取决于它是否“从命令行调用”的，那么“从命令行调用”该怎么理解呢？例如我们在命令提示符里执行taskmgr.exe，这就是一个典型的“从命令行调用”的执行请求，而我们在点击桌面上、普通应用程序菜单里的taskmgr.exe时，系统都会将其视为由外壳程序Explorer.exe传递过来的执行请求，这样一来，它也属于“从命令行调用”的范围而触发IFEO规则了。为了与用户操作区分开来，系统自身加载的程序、调试器里启动的程序，它们就不属于“从命令行调用”的范围，从而绕开了IFEO，避免了这个加载过程无休止的循环下去。
由于Debugger参数的这种特殊作用，它又被称为“重定向”（Redirection），而利用它进行的攻击，又被称为“重定向劫持”（Redirection Hijack），它和“映像劫持”（Image Hijack，或IFEO Hijack）只是称呼不同，实际上都是一样的技术手段。
讲解完Debugger参数的作用，现在我们来看看“映像劫持”到底是怎么一回事，遭遇流行“映像劫持”病毒的系统表现为常见的杀毒软件、防火墙、安全检测工具等均提示“找不到文件”或执行了没有反应，于是大部分用户只能去重装系统了，但是有经验或者歪打正着的用户将这个程序改了个名字，就发现它又能正常运行了，这是为什么？答案就是IFEO被人为设置了针对这些流行工具的可执行文件名的列表了，而且Debugger参数指向不存在的文件甚至病毒本身！
以超级巡警的主要执行文件AST.exe为例，首先，有个文件名为kkk.exe的恶意程序向IFEO列表里写入AST.exe项，并设置其Debugger指向kkk.exe，于是系统就会认为kkk.exe是AST.exe的调试器，这样每次用户点击执行AST.exe时，系统执行的实际上是作为调试器身份的kkk.exe，至于本该被执行的AST.exe，此刻只能被当作kkk.exe的执行参数来传递而已，而由于kkk.exe不是调试器性质的程序，甚至恶意程序作者都没有编写执行参数的处理代码，所以被启动的永远只有kkk.exe自己一个，用户每次点击那些“打不开”的安全工具，实际上就等于又执行了一次恶意程序本体！这个招数被广大使用“映像劫持”技术的恶意软件所青睐，随着OSO这款超级U盘病毒与AV终结者（随机数病毒、8位字母病毒）这两个灭杀了大部分流行安全工具和杀毒软件的恶意程序肆虐网络以后，一时之间全国上下人心惶惶，其实它们最大改进的技术核心就是利用IFEO把自己设置为各种流行安全工具的调试器罢了，破解之道尤其简单，只需要将安全工具的执行文件随便改个名字，而这个安全工具又不在乎互斥量的存在，那么它就能正常运行了，除非你运气太好又改到另一个也处于黑名单内的文件名去了，例如把AST.exe改为IceSword.exe。
[编辑本段]四，映像胁持的具体案例：
引用JM的jzb770325001版主的一个分析案例：
QUOTE:
蔚为壮观的IFEO，稍微有些名气的都挂了：
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AgentSvr.exe
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\CCenter.exe
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Rav.exe
从这个案例，我们可以看到这个技术的强大之处！很多的杀软进程和一些辅助杀软或工具，全部被胁持，导致你遇到的所有杀软都无法运行！
试想如果更多病毒，利用于此，将是多么可怕的事情！
[编辑本段]五:如何解决并防范“映像劫持”？
方法一： 限制法(转自网络搜索)
它要修改Image File Execution Options，所先要有权限，才可读，于是。。一条思路就成了。。
打开注册表编辑器，定位到[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\ImageFileExecutionOptions\，选中该项，右键→权限→高级，取消administrator和system用户的写权限即可。
方法二：快刀斩乱麻法
打开注册表编辑器，定位到[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\，把“ImageFileExecutionOptions”项删除即可。
方法三：利用Microsoft Sysinternals Suite
更简单的方法，是使用Sysinternals Suite（一个微软的工具集合）中的Autoruns，点击它的“Image Hijacks”选项卡，即可看到被劫持的程序项了。
方法四：权限杜绝
网上还流传着一个让初级用户看不懂的做法，那就是关闭IFEO列表的写入权限，具体操作如下：
执行32位注册表编辑器regedt32.exe
定位到HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options；
确保焦点在Image File Execution Options上，选择“安全”—“权限”；
将出现的用户列表内所有带有“写入”的权限去掉，确定退出。
这样一来，任何对IFEO的写入操作都失效了，也就起了免疫效果。这个方法对一般用户而言还是不错的，除非遭遇到一些特殊的需要往里面写入堆管理参数的程序。建议一般用户还是禁止此项，从而杜绝一切IFEO类病毒来袭。
8749恶意网站清理方案-8749病毒

8749每次入侵后生成的程序是随机的，不同的电脑中招后会发现不同的程序,而且还破坏了安全模式，并监视注册表键，即使您使用金山毒霸的AV终结者专杀工具，也不能在其运行时，修复被破坏的安全模式，造成手工解除非常困难。

在海韩帝国可以看的，更新的也很快，v+这个321524，在航空公司以及各机票售票处，未能在乘坐飞机后7日内领取行程单的旅客，可以在购票站补打行程单。2、购票后至飞机起飞后的30天内打印行程单服务有效。机场领取行程单的旅客，务必在起飞后30天内领取。3、飞机起飞后的30天以后申请打印行程单服务无效。超过30天无法打印行程单。这时需要联系承运人(航空公司)或购票的销售商协商解决。4、在指定bai的机场柜台行程单领取，一般的航空公司都会在机场设置机行程单领取柜台。5、如有不明白的问题可以咨询机场工作人员，他们会给你详细的解答。1、为保护您的合法权益，在网上预订机票，须注意查看网站上是否具备工商局颁发的网上电子标识，电信主管部门颁发的ICP证号，国际航空运输协会（IATA）颁发的国际证书。2、正规的经营航空客运代理业务的旅du行社或票务代理公司除需有固定的经营场所外,还应具备以下条件：（1）具有'国际航空运输协会'颁发的IATA执照号码。（2）具有民航局颁发的经营航空客运代理业务的许可。只有国内客票代理权的公司不可经营国际票务业务。（3）具有固定的经营场所和民航预订终端系统。（4）具有经过民航和国际航空运输协会培训合格的票务专业人员。RTHTHRTH3、为保证查到正确的票价，请询价时告知准确的去程、回程日期，并要求书面确认报价。4、航空公司会不时推出促销价格和有关信息，敬请经常留意'最新消息'栏目。5、为避免机位紧张时订不到座位，最好尽可能提前将机位订好。预订机位是不收费的，届时如决定不购票可通知订票取消。

这个比较麻烦，你提供的信息少了点，你可以先试着启动安全模式，在安全模式下看能不能卸载，如果还不能的话，你最好要重装系统

把病毒做免杀 就可以

---

曾都区19747269477： 什么病毒能让杀毒软件打不开 - ？
邹建利胆： 有很多,我之前中过一个,忘记名字了. 所有杀毒软件都禁止运行. 现在出了个新病毒,叫＂磁碟机＂,它也是禁止所有杀毒软件和防火墙.

曾都区19747269477： 不能打开杀毒网站的病毒是什么毒?？
邹建利胆： AV终结者(帕虫病毒)或类似木马 一.中毒现象 病毒在移动设备或硬盘根目录下生成Autorun.inf文件,用户双击盘符即可激活病毒 关闭众多杀毒软件和安全工具 修改注册表,加载自启动,并禁止显示隐藏文件 破坏安全模式,致使用户根本无法...

曾都区19747269477： 电脑浏览器其他网页都能打开,就是杀毒软件的网站打不开 - ？
邹建利胆： 你中毒了,应该是AV终结者. 这种毒不仅能够关闭和卸载杀毒软件,还能禁止杀毒软件安装.更绝的是,它能识别杀毒软件的网页,所有的杀毒官网都无法进入.目前新的杀毒软件都可以有效防御和消灭这种病毒,但是没有装过杀毒软件的“...

曾都区19747269477： 什么病毒能使所有杀毒软件都打不开?而却关于杀毒软件的网页读不能打开？
邹建利胆： 你可能中了“AV终结者”病毒.希望以下方案能帮助你解决! “AV终结者”病毒发作症状 1.生成很多8位数字或字母随机命名的病毒程序文件,并在电脑开机时自动运行. 2.绑架安全软件,中毒后会发现几乎所有杀毒软件,系统管理工具,反...

曾都区19747269477： 最近遇到一种病毒,只要是有关杀毒的网页或软件都会自动关掉 - ？
邹建利胆： “A V终结者”病DU发作症状 1.生成很多8位数字或字母随机命名的病DU程序文件,并在电脑开机时自动运行. 2.绑架安全软件,中DU后会发现几乎所有杀DU软件,系统管理工具,反间谍软件不能正常启动. 3.不能正常显示隐藏文件,其目的...

曾都区19747269477： 能屏蔽安全软件的病毒叫什么名字啊? - ？
邹建利胆： 我上次也是,好惨啊.你中的这个病DU是“A V终结者”,也就是帕虫病DU,或者8位随机数字字母病DU “A V终结者”病DU发作症状 1.生成很多8位数字或字母随机命名的病DU程序文件,并在电脑开机时自动运行. 2.绑架安全软件,中DU...

曾都区19747269477： 不让杀毒软件安装是个什么病毒 - ？
邹建利胆： 若手机中存在木马或者病毒程序,请尝试按照以下步骤进行清除:1. 安装一款安全软件(例如:手机管家等).以手机管家为例,打开手机管家,点击主界面上的一键体检即可自动检测手机中存在的病毒,点击一键清除即可删除.2. 若是无法开机或无法进行解决请尝试到手机品牌官网下载刷机包和工具对手机进行完整恢复,若无法自行处理请送到手机品牌官方售后进行维修.

曾都区19747269477： 什么病毒可以屏蔽杀毒软件？
邹建利胆： AV终结者集目前最流行的病毒技术于一身,而且破坏过程经过了严密的“策划”,普通用户一旦感染该病毒,从病毒进入电脑,到实施破坏,四步就可导致用户电脑彻底崩溃: 1. 禁用所有杀毒软件以相关安全工具,让用户电脑失去安全保障; 2. 破坏安全模式,致使用户根本无法进入安全模式清除病毒; 3. 强行关闭带有病毒字样的网页,只要在网页中输入“病毒”相关字样,网页遂被强行关闭,即使是一些安全论坛也无法登陆,用户无法通过网络寻求解决办法; 4. 格式化系统盘重装后很容易被再次感染.用户格式化后,只要双击其他盘符,病毒将再次运行.

曾都区19747269477： 屏蔽杀毒软件的病毒 - ？
邹建利胆： av终结者.点击http://cu003.www.duba.net/duba/tools/dubatools/dbtools_cdj.com就直接下载AV终结者/机器狗专杀,是金山的,这样病毒拦不住.下载完后重命名加上“.exe”就可以用了.看下行...

曾都区19747269477： 病毒是怎样阻止杀毒软件运行的? - ？
邹建利胆： 可能楼主还没有发现中此病毒后,安全模式都已被破坏,惊叹好卑鄙的病毒…… 该病毒一般情况下自动关闭带有“毒”的程序、网页、之类文件,从而达到屏蔽杀软的目的. 至于清除可以到下载专杀,虽然病毒的名称杀软厂方各有定义(这里用AV)但专杀都能达到杀除同种病毒的目的,推荐金山专杀(金山在查杀木马方面相当有一套)