RSS
Mar
27
twunk32.exe病毒清理
Filed Under 技术 | Leave a Comment
%System%\twunk32.exe(就是电脑莫名其妙打开N个iexplore.exe）
病毒名称：Trojan-Downloader.Win32.Small.czl（Kaspersky）
病毒别名：
病毒大小：24,576 字节
加壳方式：PE-Armor
样本MD5：d4fa99030af46864425560e07f052b50
样本SHA1：e60199bd1406ad11c022c7f8356f3bd6b7b40c6a
发现时间：2006.12
更新时间：2006.12
关联病毒：
传播方式：恶意网页、其它病毒下载
技术分析
==========
这个木马最近比较流行，通过修改QQ相关程序增加了清除的难度。木马运行后复制自身到系统目录下：
%System%\twunk32.exe
注入进程……
释放文件：
%System%\drivers\usbme.sys
创建启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"twin"="%System%\twunk32.exe"
修改QQ目录下的TIMPlatform.exe文件，使用病毒副本替换TIMPlatform.exe，原TIMPlatform.exe被改名为TIMPlatfrom.exe。
清除步骤
==========
1. 删除QQ目录下被木马替换的TIMPlatform.exe：
%QQ%\TIMPlatform.exe
2. 重命名TIMPlatfrom.exe文件：
将%QQ%\TIMPlatfrom.exe重命名为TIMPlatform.exe
3. 删除木马启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"twin"="%System%\twunk32.exe"
4. 重新启动计算机
5. 删除木马文件：
%System%\twunk32.exe
%System%\drivers\usbme.sys
Mar
24
Something about PAST NOW and FUTURE.
关于过去，现在，未来的一些事情。
一直想了很久。
仅就大学这几年而言。大一还没开始思考，没有意识到迷茫，大二逐渐意识到迷茫了，然后在迷茫中度过了一段到目前为止内心争斗最严重的一段时间，这种争斗一直持续到了大三上学期末，乃至于大三的整个寒假我的内心仍然在争斗，到了现在，似乎已经有了些结果。
这些争斗是关于未来的，关于人生，关于人生其意义，其目的，其归宿。
到目前为止，整个大学对我影响最深的事件，不是一年的班长经历，不是一次两次奖学金，不是几次恋爱，不是那次失策，不是退 dang申请书，而是我对于中国古典文化的接触和重新理解。最初的接触是从《道德经》开始，仔细回忆一下这也是一种缘分，冥冥中似乎有种力量让我看到了它们和它们所散发出的熠熠光辉，至于赞扬的推崇的话我不再多说了，我一直在寻找一件真正能让我深入的事情，从初中开始接触计算机，凭着兴趣我积累了一些经验，但也只是经验而以，够用，够我解决一些别人所无法解决的问题，高中末我开始努力探求物理学，但最后我发现我可以比同龄人深入一些，但也只是凭着兴趣深入一些而以，然而深入的这些对于我来说已经够用，大学决定不走计算机和物理这两条路，转入生物学，一年多之后发现生物学亦不是我所真正需要的，而当我接触中国古典文化之后，我被其Deeply吸引了，我像是发现了阿里巴巴的宝藏的穷光蛋，乃至于让我突然意识到，I've Got it，我找到了。
可以这么说，我放弃了探求物质的学问，转向探求心性的学问。我正准备考某所大学中国古典哲学专业的研究正，寒假里，当我做出这个决定后，父亲的一个朋友介绍了一位刚从这个专业毕业的研究生和我谈谈，然而他并不建议我大学毕业之后去学这个专业，虽然这个专业的魅力是无穷的，但它终究是一门隐学，它不是社会的主流，并不像计算机、经济、工商之类的专业，可以在社会上寻找到一个直接的用处，他认为，一个男人，一个年轻的男人，应该去把握这个时代的脉搏，应该站在这个时代的主流，即经济，应该拥有荣华富贵，荣华富贵才是男人本色。
我并不否认这一点，那次谈话之后我回家坐在桌前想了许久，我并不否认荣华富贵是男人本色，也是现代社会所衡量个人价值的标准。的确，现代社会主流是经济，我们所有的一切目的，都是让自己在经济上超越别人，让自己的家庭在经济上超越别人，让自己的国家在经济上超越别人。但我认为这个世界不只是经济，还有政治、文化、军事（等等），各方面缺一不可，这些基本的要素构成了社会的根基，就像一个生物体，其组成要素有蛋白质，有水，有糖，有核酸，有脂（等等），缺乏任何一种要素这个生物体便会出现病态甚至无法生存，虽然现在社会的主流是经济，但亦有文化，亦有政治，亦有军事，这几个基本元素之间，是相辅相成的，并非谁是谁的基础，任何一个要素的缺乏都会制约其他要素的正常发展，而据我观测，现代社会的物质文明发展程度似乎远远超越了精神文明的发展程度，经济的发展超越了文化的发展，文化的发展无法适应经济的发展，我们的眼光过多地集中在经济上了，以至于现代社会已经出现了种种问题，公民道德问题，政治上的腐败问题，环境污染问题，诸如此类，我以为都直接和这种不协调的发展相关，而其不协调的根本原因是我们对中国古典文化的忽视，五千年流传下来的文化，我们不以为是文明，却以为西方社会几百年内发展起来的文明，是文明。当然，我亦看到了西方文化自古希腊文化以来，亦有数千年的历史，但那些究竟是别的大陆，别的民族的文化，虽然其中不乏精华，但其根本上是不适用于我们的大陆，我们的文明的。
我决定做一个中国古典文化的传承者，尽己所能，将我们的文化保存，并发扬光大。
中华民族的根本，不在于中国，而在于文化，文化不灭，民族不灭，文化灭，即使中国存在，中华民族亦不复存在。
此所谓我觉得我自己对于我们的民族，有一种无可推卸的责任，我的人生，其最终目的，是传承文化，但传承文化并不一定是我的职业。职业是我获取物质生活的手段，除了这种大的责任，我亦有其他责任，如对于我的生命，我需要考虑如何养活他，对于我的家庭，我的爱人，我要考虑我如何让他们过上幸福的生活，对于我的父母，我要考虑如何让他们安享晚年，对于我身边的人，我要考虑如何给他们以帮助，承担这些所有的责任，不论大小，都需要物质，需要金钱，需要权力，金钱和权力仅为我所用，非为我所为之目的，所谓穷则独善其身，达则兼济天下，若要兼济天下，必需达，否则，整日做梦要传承文化，连自己都养不活，传承个P。
这样打一比方，如果现在和日本开战，有一句即认真又玩笑的话，打日本我捐一条命，此所谓爱国献身精神，然而我以为此只是小爱，若我有钱，我捐钱给国家买更好的装备，若我有谋略，我想办法让我们的伤亡更少，若我有更大的本事，我想办法让日本不战而降，岂不比我捐一条命，上了战场还没开枪被炸死，岂不到什么实质性作用强？然而如果我一无所有，我亦不会临阵脱逃，我会义无反顾地捐一条命，好歹也能给身后的同胞挡一颗子弹。此所谓“穷则独善其身，达则兼济天下”是也。
所以我以为，我们青年，尤其是大学生，应该有所谓社会责任感，应该摆脱迷茫，摆脱以金钱名利为人生目标的想法--虽然这些目标并无可厚非，人生的终极目的应该是责任，应该在社会的某个方面，有所贡献，有所推动，有所作用，要耐得住一时甚至一世的寂寞。不过换句话说，若能人人拥有金钱名利，此社会亦已经发展到相当高的水平了。我们的目光应该长远，同时应该切合实际，避免空想，空长远，再伟大的目标，也是一步一步做出来的。
我所选择的道路，注定是一条寂寞一生的道路，我不求功名利禄，因为我所为之事，本身就是千秋之业，万世功名，它的光彩不因我一人的无名而黯淡，我一人，我一代人，不到百年的寿命而已，而它永远都是拥有着无上荣耀的事业，我因此而感到光荣，感到骄傲！
Mar
23
《大学》选段
Filed Under 心情 | Leave a Comment
大学之道，在明明德，在亲民，在止于至善。知止而后有定；定而后能静；静而后能安；安而后能虑；虑而后能得。物有本末，事有终始。知所先后，则近道矣。古之欲明明德于天下者，先治其国；欲治其国者，先齐其家；欲齐其家者，先修其身；欲修其身者，先正其心；欲正其心者，先诚其意；欲诚其意者，先致其知；致知在格物。物格而后知至；知至而后意诚；意诚而后心正；心正而后身修；身修而后家齐；家齐而后国治；国治而后天下平。自天子以至于庶人，壹是皆以修身为本。其本乱而未治者否矣。其所厚者薄，而其所薄者厚，未之有也！
Mar
11
Diary 2007-3-11
Filed Under 心情 | Leave a Comment
开学一周了，除了几篇技术性的文章，一直没更新Blog。
这一个周，除了上课的时间，基本都在图书馆里面泡着，准备考研，背单词，看冯友兰的《中国哲学史》……
有时候我会想，我所选择的这条路，也许会是一条寂寞的道路，但不管怎么样我都要坚持走下去，再多的枯燥也好，再多的挫折也好，我都会义无反顾，小文说，她会陪我，小文说，不管怎么样，她都不会离开我，有她的支持，很温暖。
我不敢想象如果没有文，我现在会是一个什么状态，也许我现在正喝醉了躺在床上不省人事。不管对于我，还是对于文，我们的相遇，改变了我们太多太多，就像文说的，那一年，让一生改变。
真的会让我们一生改变的。
有一天，和小文回想我们以前的事情，总觉得像一个奇迹，我们的恋情，经历的风风雨雨，虽然不多，但却让我们的爱弥足珍贵，我不敢不相信缘分，不敢不相信命运把我们安排到了一起……
音箱里在放Kiss The Rain，心里很静，晚上去市里处理了两台电脑，回到学校第一件事情是叫小文到阳台上，让她看看我，我也看看她。
思念很美，无法言说的美。
很喜欢Kiss The Rain，忧愁的时候听它，是忧愁的，思念的时候听它，是思念的，幸福的时候听它，是幸福的……
让我们的幸福，永远存在吧……
Mar
11
IE无法打开新窗口的解决办法
Filed Under 技术 | Leave a Comment
可以用此解决方法：
1、在“开始”菜单中打开“运行”窗口，在其中输入“regsvr32 actxprxy.dll”，然后“确定”，接着会出现一个信息对话框“DllRegisterServerin actxprxy.dll succee
ded”，再次点击“确定”。
2、再次打开“运行”窗口，输入“regsvr32 shdocvw.dll”，“确定”后
在出现的信息对话框中点击“确定”。
3、重新启动Windows，运行IE，随便打开一个网页，点击一个超链接，你会
发现IE又能打开新窗口。再试试用鼠标右键选择“在新窗口打开”，问题解决。
如果还不能解决此问题，建议再将以下其它几个dll文件进行注册。
主要注册以下几个dll文件：
regsvr32 mshtml.dll
regsvr32 urlmon.dll
regsvr32 msjava.dll
regsvr32 shdocvw.dll
regsvr32 browseui.dll
regsvr32 actxprxy.dll
regsvr32 oleaut32.dll
regsvr32 shell32.dll
Mar
3
解决U盘无法停止的办法
Filed Under 技术 | Leave a Comment
好多朋友都有U盘。要拔出u盘，通常要先安全删除硬件，停止USB驱动。大家有没有遇到过“现在无法停止－－－usb Device设备，请稍后再停止改设备。”这种情况？ 出现这种情况的解决办法是：
在进程管理器中把 Explorer.exe 关闭，然后按“新任务”键入Explorer.exe，重新运行就可以了。
遇到无法拔出U盘的现象，大家可以用这种方法解决。
Mar
2
推荐:坚决彻底粉碎QQ盗号阴谋
Filed Under 技术 | Leave a Comment
很多朋友都有过QQ号被盗的经历，即使用“密码保护”功能找回来后，里面的Q币也已经被盗号者洗劫一空，碰到更恶毒的盗号者，还会将你的好友统统删除，朋友们将会永远得离开你。想过反击吗？什么，反击？别开玩笑了，我们只是菜鸟，不是黑客，我们只会看看网页，聊聊天，连QQ号是怎么被盗的都不知道，还能把盗号者怎么样呢？其实喜欢盗号的所谓“黑客”们，也只是利用了一些现成的盗号工具，只要我们了解了QQ号被盗的过程，就能作出相应防范，甚至由守转攻，给盗号者以致命一击。
一、知己知彼，盗号技术不再神秘
如今，还在持续更新的QQ盗号软件已经所剩无几，其中最为著名，流传最广的则非“啊拉QQ大盗”莫属，目前绝大多数的QQ号被盗事件都是由这个软件引起的。软件的使用条件很简单，只要你有一个支持smtp发信的邮箱或者一个支持asp脚本的网页空间即可。而且该木马可以将盗取的QQ号自动分为靓号和非靓号两种，并将它们分别发送到不同的信箱中，这也是“啊拉QQ大盗”如此流行的原因之一。接下来，便让我们先来了解一下其工作原理，以便从中找到反击的良方。
1、选择盗号模式
下载“啊拉QQ大盗”，解压后有两个文件：alaqq.exe、爱永恒，爱保姆qq.asp。其中alaqq.exe是“啊拉QQ大盗”的配置程序，爱永恒，爱保姆qq.asp是使用“网站收信”模式时需使用的文件。正式使用之前，还需要设置其参数。
“邮箱收信”配置：运行alaqq.exe，出现程序的配置界面。在“发信模式选择”选项中选中“邮箱收信”，在“邮箱收信”填写电子邮箱地址（建议使用程序默认的163.com网易的邮箱）。这里以邮箱n12345@163.com（密码n_12345）为例来介绍“邮箱收信”模式时的配置，并进行下文中的测试。此外，在“收信箱（靓）”和“收信箱（普）”中可以填入不同的邮箱地址用来接受QQ靓号和普通QQ号。然后在“发信服务器”下拉框中选择自己邮箱相应的smtp服务器，这里是smtp.163.com。最后填入发信箱的帐号、密码、全称即可。
设置完毕后，我们可以来测试一下填写的内容是否正确，点击下方“测试邮箱”按钮，程序将会出现邮箱测试状态。如果测试的项目都显示成功，即可完成邮箱信息配置。
“网站收信”配置：除了选择“邮箱收信”模式之外，我们还可以选择“网站收信”模式，让盗取的QQ号码自动上传到指定的网站空间。当然，在使用之前，也需要做一些准备工作。
用FTP软件将爱永恒，爱保姆qq.asp上传支持ASP脚本的空间，运行alaqq.exe，在“Asp接口地址”中输入爱永恒，爱保姆qq.asp所在的URL地址，那么，当木马截获QQ号码信息后，就会将其保存于爱永恒，爱保姆qq.asp同目录下的qq.txt文件中。
2、设置木马附加参数
接下来我们进行高级设置。如果勾选“运行后关闭QQ”，对方一旦运行“啊拉QQ大盗”生成的木马，QQ将会在60秒后自动关闭，当对方再次登录QQ后，其QQ号码和密码会被木马所截获，并发送到盗号者的邮箱或网站空间中。此外，如果希望该木马被用于网吧环境，那就需要勾选“还原精灵自动转存”，以便系统重起后仍能运行木马。除这两项外，其他保持默认即可。
3、盗取QQ号码信息
配置完“啊拉QQ大盗”，点击程序界面中的“生成木马”，即可生成一个能盗取QQ号码的木马程序。我们可以将该程序伪装成图片、小游戏，或者和其他软件捆绑后进行传播。当有人运行相应的文件后，木马会隐藏到系统中，当系统中有QQ登录时，木马便会开始工作，将相关的号码及密码截取，并按照此前的设置，将这些信息发送到邮箱或者网站空间。
二、练就慧眼，让木马在系统中无处可逃
现在，我们已经了解了“啊拉QQ大盗”的一般流程，那么如何才能从系统中发现“啊拉QQ大盗”呢？一般来说，如果碰到了以下几种情况，那就应该小心了。
·QQ自动关闭。
·运行某一程序后其自身消失不见。
·运行某一程序后杀毒软件自动关闭。
·访问杀毒软件网站时浏览器被自动关闭。
·如果杀毒软件有邮件监控功能的，出现程序发送邮件的警告框。
·安装有网络防火墙（例如天网防火墙），出现NTdhcp.exe访问网络的警告。
出现上述情况的一种或多种，系统就有可能已经感染了“啊拉QQ大盗”。当然，感染了木马并不可怕，我们同样可以将其从系统中清除出去。
1、手工查杀木马。发现系统感染了“啊拉QQ大盗”后我们可以手工将其清除。“啊拉QQ大盗”运行后会在系统目录中的system32文件夹下生成一个名为NTdhcp.exe的文件，并在注册表的启动项中加入木马的键值，以便每次系统启动都能运行木马。我们首先要做的就是运行“任务管理器”，结束其中的木马进程“NTdhcp.exe”。然后打开资源管理器中的“文件夹选项”，选择其中的“查看”标签，将其中“隐藏受保护的操作系统文件”选项前面的勾去掉。接着进入系统目录中的system32文件夹，将NTdhcp.exe文件删除。最后进入注册表删除NTdhcp.exe键值，该键值位于HKEY_LOCAL_MACHINE Software Microsoft Windows Currentversion Run。
2、卸载木马。卸载“啊拉QQ大盗”很简单，只要下载“啊拉QQ大盗”的配置程序，运行后点击其中的“卸载程序”按钮即可将木马完全清除出系统。
三、以退为进，给盗号者以致命一击
忙乎了半天，终于把系统中的“啊拉QQ大盗”彻底清除，那么，面对可恶的盗号者，我们是不是应该给他一个教训呢？
1、利用漏洞，由守转攻
这里所谓的“攻”，并不是直接入侵盗号者的电脑，相信这种“技术活”并不适合大家。这里只是从盗号软件几乎都存在的漏洞入手，从而给盗号者一个教训。
那么这个漏洞是什么呢？
从此前对“啊拉QQ大盗”的分析中可以看到，配置部分填写了收取QQ号码信息邮件的邮箱帐号和密码，而邮箱的帐号和密码都是明文保存在木马程序中的。因此，我们可以从生成的木马程序中找到盗号者的邮箱帐号和密码。进而轻松控制盗号者的邮箱，让盗号者偷鸡不成反蚀把米。
提示：以上漏洞仅存在于将QQ号码信息以邮件发送方式的木马，如果在配置“啊拉QQ大盗”的过程中选择使用网站接收的方式则不存在该漏洞。
2、网络嗅探，反夺盗号者邮箱
当木马截取到QQ号码和密码后，会将这些信息以电子邮件的形式发送到盗号者的邮箱，我们可以从这里入手，在木马发送邮件的过程中将网络数据包截取下来，这个被截获的数据包中就含有盗号者邮箱的帐号和密码。截取数据包时我们可以使用一些网络嗅探软件，这些嗅探软件可以很轻松得截取数据包并自动过滤出密码信息。
·x-sniff
x-sniff是一款命令行下的嗅探工具，嗅探能力十分强大，尤其适合嗅探数据包中的密码信息。
将下载下来的x-sniff解压到某个目录中，例如“c：”，然后运行“命令提示符”，在“命令提示符”中进入x-sniff所在的目录，然后输入命令“xsiff.exe -pass -hide -log pass.log”即可（命令含义：在后台运行x-sniff，从数据包中过滤出密码信息，并将嗅探到的密码信息保存到同目录下的pass.log文件中）。
嗅探软件设置完毕，我们就可以正常登录QQ。此时，木马也开始运行起来，但由于我们已经运行x-sniff，木马发出的信息都将被截取。稍等片刻后，进入x-sniff所在的文件夹，打开pass.log，便可以发现x-sniff已经成功嗅探到邮箱的帐户和密码。
·sinffer
可能很多朋友对命令行下的东西都有一种恐惧感，所以我们可以使用图形化的嗅探工具来进行嗅探。例如适合新手使用的sinffer。
运行sinffer之前，我们需要安装WinPcap驱动，否则sinffer将不能正常运行。
运行sinffer。首先我们需要为sinffer.exe指定一块网卡，点击工具栏上的网卡图标，在弹出的窗口中选择自己使用的网卡，点“OK”后即可完成配置。确定以上配置后，点击sinffer工具栏中的“开始”按钮，软件即开始了嗅探工作。
接下来，我们正常登陆QQ，如果嗅探成功，就会在sinffer的界面中出现捕获的数据包，其中邮箱帐号密码信息被很清晰得罗列了出来。
得到盗号者的邮箱帐号和密码以后，我们可以将其中的QQ号码信息邮件全部删除，或者修改他的邮箱密码，给盗号者一个教训，让我们菜鸟也正义一把。