修改Win2000注册表加强安全
1)设置生存时间
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
DefaultTTL REG_DWORD 0-0xff(0-255 十进制,默认值128)
说明:指定传出IP数据包中设置的默认生存时间(TTL)值.TTL决定了IP数据包在到达
目标前在网络中生存的最大时间.它实际上限定了IP数据包在丢弃前允许通过的路由
器数量.有时利用此数值来探测远程主机操作系统.
2)防止ICMP重定向报文的攻击
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
EnableICMPRedirects REG_DWORD 0x0(默认值为0x1)
说明:该参数控制Windows 2000是否会改变其路由表以响应网络设备(如路由器)发送给
它
的ICMP重定向消息,有时会被利用来干坏事.Win2000中默认值为1,表示响应ICMP重定向
报
文.
3)禁止响应ICMP路由通告报文
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Inter
faces\interface
PerformRouterDiscovery REG_DWORD 0x0(默认值为0x2)
说明:“ICMP路由公告”功能可造成他人计算机的网络连接异常,数据被窃听,计算机被
用于流量攻击等严重后果.此问题曾导致校园网某些局域网大面积,长时间的网络异常.
因此建议关闭响应ICMP路由通告报文.Win2000中默认值为2,表示当DHCP发送路由器发
现选项时启用.
4)防止SYN洪水攻击
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
SynAttackProtect REG_DWORD 0x2(默认值为0x0)
说明:SYN攻击保护包括减少SYN-ACK重新传输次数,以减少分配资源所保留的时
间.路由缓存项资源分配延迟,直到建立连接为止.如果synattackprotect=2,
则AFD的连接指示一直延迟到三路握手完成为止.注意,仅在TcpMaxHalfOpen和
TcpMaxHalfOpenRetried设置超出范围时,保护机制才会采取措施.
5) 禁止C$、D$一类的缺省共享
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters
AutoShareServer、REG_DWORD、0x0
6) 禁止ADMIN$缺省共享
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters
AutoShareWks、REG_DWORD、0x0
7) 限制IPC$缺省共享
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
restrictanonymous REG_DWORD 0x0 缺省
0x1 匿名用户无法列举本机用户列表
0x2 匿名用户无法连接本机IPC$共享
说明:不建议使用2，否则可能会造成你的一些服务无法启动，如SQL Server
8)不支持IGMP协议
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
IGMPLevel REG_DWORD 0x0(默认值为0x2)
说明:记得Win9x下有个bug,就是用可以用IGMP使别人蓝屏,修改注册表可以修正这个
bug.Win2000虽然没这个bug了,但IGMP并不是必要的,因此照样可以去掉.改成0后用
route print将看不到那个讨厌的224.0.0.0项了.
9)设置arp缓存老化时间设置
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services:\Tcpip\Parameters
ArpCacheLife REG_DWORD 0-0xFFFFFFFF(秒数,默认值为120秒)
ArpCacheMinReferencedLife REG_DWORD 0-0xFFFFFFFF(秒数,默认值为600)
说明:如果ArpCacheLife大于或等于ArpCacheMinReferencedLife,则引用或未引用的ARP
缓存项在ArpCacheLife秒后到期.如果ArpCacheLife小于ArpCacheMinReferencedLife,
未引用项在ArpCacheLife秒后到期,而引用项在ArpCacheMinReferencedLife秒后到期.
每次将出站数据包发送到项的IP地址时,就会引用ARP缓存中的项。
10)禁止死网关监测技术
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services:\Tcpip\Parameters
EnableDeadGWDetect REG_DWORD 0x0(默认值为ox1)
说明:如果你设置了多个网关,那么你的机器在处理多个连接有困难时,就会自动改用备
份
网关.有时候这并不是一项好主意,建议禁止死网关监测.
11)不支持路由功能
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services:\Tcpip\Parameters
IPEnableRouter REG_DWORD 0x0(默认值为0x0)
说明:把值设置为0x1可以使Win2000具备路由功能,由此带来不必要的问题.
12)做NAT时放大转换的对外端口最大值
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services:\Tcpip\Parameters
MaxUserPort REG_DWORD 5000-65534(十进制)(默认值0x1388--十进制为5000)
说明:当应用程序从系统请求可用的用户端口数时,该参数控制所使用的最大端口数.正
常
情况下,短期端口的分配数量为1024-5000.将该参数设置到有效范围以外时,就会使用最
接近的有效数值(5000或65534).使用NAT时建议把值放大点.
13)修改MAC地址
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\
找到右窗口的说明为"网卡"的目录,
比如说是{4D36E972-E325-11CE-BFC1-08002BE10318}
展开之,在其下的0000,0001,0002...的分支中找到"DriverDesc"的键值为你网卡的说明
,
比如说"DriverDesc"的值为"Intel(R) 82559 Fast Ethernet LAN on Motherboard"
然后在右窗口新建一字符串值,名字为"Networkaddress",内容为你想要的MAC值，比如
说
是"004040404040"
然后重起计算机，ipconfig /all看看.

[这个贴子最后由绿茶之星在 2005/05/18 02:05am 第 1 次编辑]

常见端口说明
http://www.thysea.com/lb/cgi-bin/topic.cgi?forum=1&topic=3251

常见端口关闭方法
113端口木马的清除（仅适用于windows系统）：
这是一个基于irc聊天室控制的木马程序。
1.首先使用netstat -an命令确定自己的系统上是否开放了113端口
2.使用fport命令察看出是哪个程序在监听113端口
fport工具下载
例如我们用fport看到如下结果：
Pid Process Port Proto Path
392 svchost -> 113 TCP C:\WINNT\system32\vhos.exe
我们就可以确定在监听在113端口的木马程序是vhos.exe而该程序所在的路径为
c:\winnt\system32下。
3.确定了木马程序名（就是监听113端口的程序）后，在任务管理器中查找到该进程，
并使用管理器结束该进程。
4.在开始-运行中键入regedit运行注册表管理程序，在注册表里查找刚才找到那个程序，
并将相关的键值全部删掉。
5.到木马程序所在的目录下删除该木马程序。（通常木马还会包括其他一些程序，如
rscan.exe、psexec.exe、ipcpass.dic、ipcscan.txt等，根据
木马程序不同，文件也有所不同，你可以通过察看程序的生成和修改的时间来确定与
监听113端口的木马程序有关的其他程序）
6.重新启动机器。
3389端口的关闭：
首先说明3389端口是windows的远程管理终端所开的端口，它并不是一个木马程序，请先
确定该服务是否是你自己开放的。如果不是必须的，请关闭该服务。
win2000关闭的方法：
win2000server 开始-->程序-->管理工具-->服务里找到Terminal Services服务项，
选中属性选项将启动类型改成手动，并停止该服务。
win2000pro 开始-->设置-->控制面板-->管理工具-->服务里找到Terminal Services
服务项，选中属性选项将启动类型改成手动，并停止该服务。
winxp关闭的方法：
在我的电脑上点右键选属性-->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉。
4899端口的关闭：
首先说明4899端口是一个远程控制软件（remote administrator)服务端监听的端口，他不能
算是一个木马程序，但是具有远程控制功能，通常杀毒软件是无法查出它来的，请先确定该服
务是否是你自己开放并且是必需的。如果不是请关闭它。
关闭4899端口：
请在开始-->运行中输入cmd(98以下为command),然后cd C:\winnt\system32(你的系统
安装目录），输入r_server.exe /stop后按回车。
然后在输入r_server /uninstall /silence
到C:\winnt\system32(系统目录）下删除r_server.exe admdll.dll radbrv.dll三个文件

5800，5900端口：
1.首先使用fport命令确定出监听在5800和5900端口的程序所在位置（通常会是c:\winnt\fonts\
explorer.exe)
2.在任务管理器中杀掉相关的进程（注意有一个是系统本身正常的，请注意！如果错杀可以重新
运行c:\winnt\explorer.exe)
3.删除C:\winnt\fonts\中的explorer.exe程序。
4.删除注册表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run中的
Explorer项。
5.重新启动机器。
6129端口的关闭：
首先说明6129端口是一个远程控制软件（dameware nt utilities)服务端监听得端口，他不是
一个木马程序，但是具有远程控制功能，通常的杀毒软件是无法查出它来的。请先确定该服务
是否是你自己安装并且是必需的，如果不是请关闭。
关闭6129端口：
选择开始-->设置-->控制面板-->管理工具-->服务
找到DameWare Mini Remote Control项点击右键选择属性选项，将启动类型改成禁用后
停止该服务。
到c:\winnt\system32(系统目录）下将DWRCS.EXE程序删除。
到注册表内将HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\DWMRCS表项删除。
1029端口和20168端口：
这两个端口是lovgate蠕虫所开放的后门端口。
蠕虫相关信息请参见：Lovgate蠕虫：http://it.rising.com.cn/newSite/ ... rus/Antivirus_Base/
TopicExplorerPagePackage/lovgate.htm
你可以下载专杀工具：http://it.rising.com.cn/service/ ... ovGate_download.htm
使用方法：下载后直接运行，在该程序运行结束后重起机器后再运行一遍该程序。
45576端口：
这是一个代理软件的控制端口，请先确定该代理软件并非你自己安装（代理软件会给你的机器带
来额外的流量）
关闭代理软件：
1.请先使用fport察看出该代理软件所在的位置
2.在服务中关闭该服务（通常为SkSocks），将该服务关掉。
3.到该程序所在目录下将该程序删除。
对于139端口攻击的防范针对不同系统的设置也有所不同，下面就来分别描述。
　　针对使用Windows 9x系统拨号上网用户，可以不必登录到NT局域网络环境，打开控制面板，然后双击“网络”图标，在“主网络登录”中选择“Microsoft友好登录”，不必选择“Windows网络用户”方式。此外，也不必设置“文件打印共享”
　　对于Windows NT用户，可以取消NetBIOS与TCP/IP协议的绑定，打开“控制面板”，然后双击“网络”图标，在“NetBIOS接口”中选择“WINS客户(TCP/IP)”为“禁用”，并重新启动计算机即可。
Windows 2000用户可以使用鼠标右键单击“网络邻居”图标，然后选择“属性”命令，打开“网络和拨号连接”对话框，用鼠标右键单击“本地连接”图标，然后执行“属性”命令，打开“本地连接属性”对话框。双击“Internet协议(TCP/IP)”，在打开的对话框中单击［高级］按钮。打开“高级TCP/IP设置”对话框，选择“选项”选项卡，在列表中单击选中“TCP/IP筛选”选项
　　单击［属性］按钮，在“只允许”单击［添加］按钮，填入除了139之外要用到的端口。
对于个人上网用户可以使用“天网防火墙”定制防火墙规则。启动“天网个人防火墙”，选择一条空规则，设置数据包方向为“接收”，对方IP地址选“任何地址”，协议设定为“TCP”，本地端口设置为“139到139”，对方端口设置为“0到0”，设置标志位为“SYN”，动作设置为“拦截”，最后单击［确定］按钮，并在“自定义IP规则”列表中勾选此规则即可启动拦截139端口攻击了.了解139端口是为了更好地
经常不用的端口可以通过关闭139端口的方法来关闭。

特洛伊木马常用端口
下面的列表给出了现有木马和他们所用端口的对应表。低端口常用来窃取口令并传送给黑客。
高端口常用来通过网络远程控制木马程序。
The problem with Remote Access trojans or trojans trying to steal passwords
is fairly new. Today there are no programs, antivirus or antitrojan programs,
which can detect unknown trojan horses. The programs claiming to defend you can
usually only find a fraction of all the trojans out there - 17 written in 1997,
81 constructed the following year, and at least 156 new trojans thus far in1999.
Port
Trojan
21
FTP Open Server Port
21
Blade Runner, Doly Trojan, Fore, Invisible, FTP, WebEx, WinCrash
23
Tiny Telnet Server
25
Antigen, Email Password Sender, Haebu, Coceda, Shtrilitz, Stealth,
Terminator, WinPC, WinSpy
25
SMTP
31
Master Paradise.80 Port
31
Hackers Paradise
53
Bonk (DoS Exploit) Port
80
Executer 1.0a Port
80
Executor, WWW
110
POP3
121
BO jammerkillah Port
137
Name Service (Netbios over IP) Windows
138
Datagram Service (Netbios over IP) Windows
139
WinNuke / Landc (DoS Exploit) Port
139
Session Service (Netbios over IP) Windows
456
Hackers Paradise Port
456
Hackers Paradise
555
Stealth Spy Port
555
Phase0 Port
555
IniKiller, Phase Zero, Stealth Spy
666
Attack FTP Port
666
Satanz Backdoor
777
AIM Spy
1000
Der Spaeher3, Insane Network
1001
Der Spaeher3, Insane Network
1001
Silencer Port
1001
WebEx Port
1001
Silencer, WebEx
1003
BackDoor.200 Port
1003
BackDoor.201 Port
1003
BackDoor.202 Port
1010
Doly trojan v1.35 Port
1011
Doly Trojan Port
1011
Doly Trojan
1011
Trojan Dolly Version 1.1/1.2
1015
Doly trojan v1.5 Port
1015
Trojan Dolly Version 1.5
1016
Trojan Dolly Version 1.6/1.7
1024
1025 NetSpy.698 Port
1029
InCommand
1033
Netspy Port
1035
Trojan Dolly Version 1.35
1042
Bla1.1 Port
1047
GateCrasher.b Port
1047
GateCrasher.c Port
1050
MiniCommand 1.2
1080
Wingate Port
1170
Psyber Stream Server, Voice
1207
SoftWar
1234
Ultors Trojan
1243
SubSeven Port
1243
Sub 7.2
1245
Vodoo Port
1245
VooDoo Doll
1269
Maverick';s Matrix Port
1492
BackOriffice.FTP Port
1492
FTP99CMP (BO.FTP) Port
1492
FTP99CMP
1509
Streaming Server Port
1600
Shiv Port
1600
Shivka
1807
SpySender Port
1807
SpySender
1981
ShockRave Port
1981
Shockrave
1999
Transmission of Scout v. 1.1
1999
Backdoor Port
1999
BackDoor.200 Port
1999
BackDoor.201 Port
1999
BackDoor.202 Port
1999
BackDoor.203 Port
1999
BackDoor
2000
Der Spaeher3, Insane Network
2001
Der Spaeher3, Insane Network
2001
TrojanCow Port
2001
Trojan Cow
2023
Pass Ripper Port
2023
Ripper
2115
Bugs
2140
DeepThroat.10 Port
2140
Invasor Port
2140
The Invasor Port
2140
Deep Throat, The Invasor
2283
Rat Port
2565
Striker Port
2583
Wincrash2 Port
2716
The Prayer
2773
SubSeven Key Logger
2801
Phineas Port
2801
Phineas Phucker
3024
WinCrash
3128
Squid Proxy
3129
MastersParadise.92 Port
3129
Masters Paradise
3150
DeepThroat.10 Port
3150
Invasor Port
3150
Deep Throat, The Invasor
3700
Portal of Doom
4092
WinCrash
4567
FileNail Port
4590
ICQTrojan
4950
IcqTrojan Port
5000
Blazer 5 Port
5000
Sockets de Troie
5001
Sockets de Troie
5031
NetMetropolitan2
5032
NetMetropolitan2
5321
Firehotcker Port
5321
Firehotcker
5400
BackConstruction1.2 Port
5400
BladeRunner Port
5400
Blade Runner
5401
Blade Runner
5402
Blade Runner
5550
Xtcp Port
5569
RoboHack Port
5569
RoboHack
5636
PC Crasher
5637
PC Crasher
5698
BackDoor.203 Port
5714
Wincrash3 Port
5741
Wincrash3 Port
5742
Wincrash Port
5742
WinCrash
6000
The Thing
6400
The Thing Port
6666
TCPShell.c
6669
Host Control
6669
Vampire Port
6670
Deep Throat Port
6670
DeepThroat
6671
Deep Throat Port
6767
NT Remote Control Port
6771
DeepThroat
6883
DeltaSource
6883
DeltaSource Port
6939
Indoctrination Port
6969
Gatecrasher.a Port
6969
GateCrasher, Priority
7000
Remote Grab
7215
SubSeven Matrix (Changeable)
7300
NetMonitor
7301
NetMonitor
7306
NetMonitor Port
7306
NetMonitor
7307
NetMonitor
7308
NetMonitor
7789
ICQKiller Port
7789
ICKiller
8080
Proxy
9872
Portal of Doom Port
9872
al of Doom
9873
al of Doom
9874
al of Doom
9875
Portal of Doom Port
9875
al of Doom
9989
InIkiller Port
9989
iNiKiller
9999
The Praye
10067
al of Doom
10167
Portal Of Doom Port
10167
al of Doom
10607
Coma Port
11000
Senna Spy Trojans Port
11000
Senna Spy
11050
Host Control
11223
ProgenicTrojan Port
11223
Progenic trojan
12076
Gjamer Port

[这个贴子最后由绿茶之星在 2005/05/18 02:17am 第 1 次编辑] 关于木马的手工清除 PWSteal.Lemir.Gen 在看文章之前：我想说前几天由于我个人的疏忽，接了一个广告。但是我完全不知道其站包含木马？只能说隐藏的非常的好，单看源代码是根本找不出，并且代码还经过加密。后来经过我再三的研究才发现。但是我知道这已经导致很多网吧中了木马，我也完全无能为力，所以只能提供这篇文章针对我犯的错误。打奇迹的朋友不用担心，改木马是完全针对传奇的！所以请网吧管理员进行手动清楚，以免后来者倒霉。 PWSteal.Lemir.Gen 还分好几种变种，以下是针对Expl0rer.exe，另外可能进程中还有是internet.exe这种。 首先下载：最新木马查杀软件进行检查 http://www.57sf.com/9_repentip/News200403210583.htm这里提供的都是很不错的。 另外介绍手工清楚方法，可以不通过软件。 * 提示：PWSteal.Lemir.Gen 是对一类窃号木马的统称，这个方法只适用于木马主本文件为 Expl0rer.exe 的 PWSteal.Lemir.Gen 木马，在使用此方法前请先确保自己遇到的是这个木马才可以 有许多用户反应一些杀毒软件在发现 PWSteal.Lemir.Gen(SysModule32.DLL,SysModule64.DLL) 木马后遇到无法隔离、删除或是清除后反复出现的问题。下面就告诉大家一个清除此木马简单有效的方法： 由此此木马会将自己注册为系统 Explorer 组件，即使删除后也会自动生成，所以一般的杀毒软件较难直接清除掉它，但费尔托斯特安全可以完全彻底清除掉此木马，并且删除后不会再次出现，所以如果手上有费尔托斯特安全的正式版可以使用它删除（建议先升级到最新版的病毒库）。如果没有也可以用下面的方法手工清除它（注意以下方法测试于Windows2000/XP/2003/NT，9x/me下可能有些略有不同，这时建议使用费尔托斯特安全清除）： 一、请先去把系统设置为“显示隐藏文件”，因为病毒以隐藏属性伪装，不做此设置将无法看到它，设置的方法如下（如果系统已经做了此设置可以跳过这一步）： 打开“我的电脑”； 依次打开菜单“工具/文件夹选项”； 然后在弹出的“文件夹选项”对话框中切换到“查看”页； 去掉“隐藏受保护的操作系统文件(推荐)”前面的对钩，让它变为不选状态； 在下面的“高级设置”列表框中改变“不显示隐藏的文件和文件夹”选项为“显示所有文件和文件夹”选项； 去掉“隐藏已知文件类型的扩展名”前面的对钩，也让它变为不选状态； 最后点击“确定”。 二、按“Ctrl+Alt+Del”键弹出任务管理器，找到EXPL0RER.EXE进程（注意第5个字母是数字0不是字母O），找到它后选中它并点击“结束进程”以结束掉木马进程。然后迅速做下面一步，只所以要迅速是因为如果动作慢的话，木马可能会自动恢复而再次运行起来，这样就无法删除掉其他木马文件了（如果EXPL0RER.EXE进程再次运行起来需要重做这一步）； 三、打开资源管理器进入到 “系统目录\Winnt\System32”下（如果您的win2000/nt/xp安装在C盘则就是 C:\Winnt\System32）。找到EXPL0RER.EXE文件（注意第5个字母是数字0不是字母O）、SysModule32.dll文件，然后直接删除它们。如果这时报告“文件正在使用无法删除”的类似提示则说明木马已经再次恢复了，需要从第二步开始重复做，并且从第二步到第三步一定要迅速，这里建议可以先打开资源管理器选中这几个待删除的文件，在做第二步即刚结束掉EXPL0RER.EXE进程后马上转过来删除这2个文件，这样一般就可以成功了； 四、同样在 “系统目录\Winnt\System32”目录下找到 SysModule64.dll 文件，尝试删除它，不过如果这时报告“此文件正在使用中无法删除”等类似提示也没有关系，稍后在第七步将介绍如何删除此文件； 五、打开资源管理器进入到 “系统目录\Winnt”下，找到一个 MFCD3O.DLL 文件，手工删除它； 六、打开“开始/运行”，输入“regedit”后“确定”以打开注册表编辑器，找到“HKEY_CLASSES_ROOT\CLSID\{081FE200-A103-11D7-A46D-C770E4459F2F}”键，把整个“{081FE200-A103-11D7-A46D-C770E4459F2F}”键全部删除。 七、注销当前用户或重新登录或重启电脑。之后再按第四步的方法删除掉 SysModule64.dll 文件，如果一切正常此时应该可以删除掉它了。 至此，如果一切顺利 PWSteal.Lemir.Gen 木马就应该完全从您系统中清除干净了。 --------------------------------------------------------- Backdoor.D.WinSys 最近网络中总是充斥着一种网页木马 Backdoor.D.WinSys，此木马是以隐藏在网页中来传播的，并且主要是在一些音乐、电影网站中，只要用户访问这种网页就会自动下载并生成隐藏文件 WINSYS.cer、WINSYS.vbs 木马文件，接着会执行它，并且会在下次电脑启动时再次自动执行，由于隐藏在网页中所以流传甚广，危害很大。 不过费尔托斯特安全用户只要平时注意打开实时防护一般都可以有效阻止它的感染。但现在有一些新的传播形式，可以逃过检查，现在告诉大家一个窍门，使用此方法不但可以阻止这个木马而且可以极为有效的阻止这一类木马的感染和传播（费尔托斯特安全的未注册版用户虽然在发现此木马时不显示具体的名称，但使用下面的方法设置后同样可以起到防护作用）：
费尔托斯特安全用户解决办法（未注册版同样有效）：

打开费尔托斯特安全的“文件”面板
在左边的“实时扫描文件类型”中分别手工新增 PL、HTR、HTA、CER 文件类型
重启费尔托斯特安全（停止托斯特->启动托斯特）
这样，当再访问到含有这类破坏代码的网页时就会被费尔托斯特安全实时拦截到 HTML.Shell.Virus 病毒并报警，从而阻止它的运行。

普通用户解决办法：

先手工把这个 C:\$NtuninstallqXXXXXX$ 目录整个删除，这里要注意这个目录的一般并不固定，但它的总体形式一般总是“$NtuninstallqXXXXXX”的形式。如果您在资源管理中看不到也许是因为您的系统没有打开“查看隐藏文件”的设置，请再这样设置一下：
打开“我的电脑”
依次打开菜单“工具/文件夹选项”
然后在弹出的“文件夹选项”对话框中切换到“查看”页
在下面的“高级设置”列表框中改变“不显示隐藏的文件和文件夹”选项为“显示所有文件和文件夹”选项
最后点击“确定”
做了这几步后您再找一下这个形式的目录，如果找到就把它整个删除掉
在“开始/运行”中运行 regedit.exe 命令打开注册表编译器，然后直接 F3 键打开搜索窗口，并选择“查看“中的”“项”、“值”、“数据”项，在中间输入“winsys.cer”并搜索。这样只要在注册表中发现有此内容的您全部把它删除掉，直到搜索完毕找不到有关值。
在未联接到 Internet 的情况下打开IE，并依次打开“工具/Internet选项/删除文件”，然后在弹出的对话框中选中“删除所有脱机内容”选项，然后点击“确定”。做完这一步之后先别着急关闭这个“Internet选项”对话框，请接着按下面的步骤继续做
查看“Internet选项”对话框中“主页”处的地址，如果它不是您自己设置的网站主页或是一个非常陌生的网址则记下这个网址（只记 http:// 之后的内容，可以用鼠标选中后使用 Ctrl+C 键直接复制），然后按照第2步的方法从注册表全部搜索出并删除有关这个网址的注册表键或值
这样就可以清除掉此木马了。 --------------------------------------------------------- Backdoor.livup(msstart.exe) 最近有许多用户反应一些杀毒软件在发现 Backdoor.livup(msstart.exe) 木马后遇到无法隔离、删除或是清除后反复出现的问题。下面就告诉大家一个清除此木马简单有效的方法：

费尔托斯特安全可以完全彻底清除掉此木马，如果手上有它的正式版可以使用它删除（建议先升级到最新版的病毒库）。如果没有也可以用下面的方法手工清除它（注意以下方法测试于Windows2000/XP/2003/NT，9x/me下可能有些略有不同，这时建议使用费尔托斯特安全清除）：

一、请先去把系统设置为“显示隐藏文件”，因为病毒以隐藏属性伪装，不做此设置将无法看到它，设置的方法如下（如果系统已经做了此设置可以跳过这一步）：

打开“我的电脑”；
依次打开菜单“工具/文件夹选项”；
然后在弹出的“文件夹选项”对话框中切换到“查看”页；
去掉“隐藏受保护的操作系统文件(推荐)”前面的对钩，让它变为不选状态；
在下面的“高级设置”列表框中改变“不显示隐藏的文件和文件夹”选项为“显示所有文件和文件夹”选项；
去掉“隐藏已知文件类型的扩展名”前面的对钩，也让它变为不选状态；
最后点击“确定”。

二、按“Ctrl+Alt+Del”键弹出任务管理器，找到名是“msstart.exe”的进程，找到后选中它并点击“结束进程”以结束掉木马进程；

三、打开资源管理器进入到 “系统目录\Winnt\System32”下（如果您的win2000/nt/xp安装在C盘则就是 C:\Winnt\System32），找到 msstart.exe 文件然后直接删除它；或者您也可以通过系统搜索（窗口键+F）功能来找出系统中所有的 msstart.exe 文件，然后全部删除掉。

至此，如果一切顺利您就应该可以清除掉此木马了。 --------------------------------------------------------- Backdoor.PWStealer 费尔托斯特安全可以完全清除掉此病毒（托斯特显示病毒名为“Backdoor.PWStealer”），如果手上有它的正式版可以使用它扫描并删除。如果当前没有也可以用下面的方法手工清除它（注意以下方法测试于Windows2000/XP/2003/NT，9x/me下可能有些略有不同，这时您可以使用费尔托斯特安全清除）：

一、请先去把系统设置为“显示隐藏文件”，因为病毒以隐藏属性伪装，不做此设置将无法看到它，设置的方法如下（如果系统已经做了此设置可以跳过这一步）：

打开“我的电脑”；
依次打开菜单“工具/文件夹选项”；
然后在弹出的“文件夹选项”对话框中切换到“查看”页；
去掉“隐藏受保护的操作系统文件(推荐)”前面的对钩，让它变为不选状态；
在下面的“高级设置”列表框中改变“不显示隐藏的文件和文件夹”选项为“显示所有文件和文件夹”选项；
去掉“隐藏已知文件类型的扩展名”前面的对钩，也让它变为不选状态；
最后点击“确定”。

二、打开“开始/运行”，输入“regedit”后“确定”以打开注册表编辑器，进入到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run键下，在右边列中，找到一个名为“;Rundll”的值，如果找到请双击打开看，查看并记下“数值数据”中指示的文件及路径名，一般为“C:\WINNT\System32\XXXX.exe”的形式（但并不固定，这要根据具体的环境而变化），注意其中的“XXXX.exe”代表的是任意值，并不固定，而不是4个X，所以这时一定要记清这个“XXXX.exe”所代表的文件名，记下后然后从注册表中删除这个“;Rundll”值；

三、按“Ctrl+Alt+Del”键弹出任务管理器，找到在上面第二步中记下的“XXXX.exe”的进程（注意这里的XXXX.exe是具体的名称而不是4个X）。找到有相同的进程后选中它并点击“结束进程”以结束掉木马进程；

四、打开资源管理器进入到 “系统目录\Winnt\System32”下（如果您的win2000/nt/xp安装在C盘则就是 C:\Winnt\System32）。找到XXXX.exe和XXXX.dll文件然后直接删除它们（当然，这里的XXXX所代表的仍然不是4个X，而是具体的名称）；如果在删除过程中发现XXXX.dll删除不掉，而是报告“文件正在使用中无法删除”，则可以注销或重启一下电脑，然后再按此方法找到并删除它就可以了。

至此，如果一切顺利您就应该可以清除掉此木马了。

未完待续。先不要回复。