|
網絡技術是從1990年代中期發展起來的新技術，它把互聯網上分散的資源融為有機整體，實現資源的全面共享和有機協作，使人們能夠透明地使用資源的整體能力并按需獲取信息。資源包括高性能計算機、存儲資源、數據資源、信息資源、知識資源、專家資源、大型數據庫、網絡、傳感器等。 當前的互聯網只限于信息共享，網絡則被認為是互聯網發展的第三階段。 如果您在HijackThis的掃描日志中發現了F2項并進行了修復，一旦因為某些原因想要反悔，請“不要”使用HijackThis的恢復功能來取消對F2項目的修改（我指的是config菜單——Backups菜單——Restore功能），因為據報告HijackThis在恢復對F2項的修改時，可能會錯誤地修改注 冊表中另一個鍵值。此bug已被反映給HijackThis的作者。
此bug涉及的注冊表鍵值是
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:UserInit
一旦對上面鍵值相關的F2項使用HijackThis修復后再使用HijackThis的恢復功能恢復對這一項的修改，可能會錯誤修改另一個鍵值
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:Shell所以，如果您在HijackThis的掃描日志中發現了類似下面的F2項并進行了修復，一旦因為某些原因想要反悔，請手動修改上面提到的UserInit鍵值（HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:UserInit）
F2 - REG:-System.ini: UserInit=C:\WINDOWS\System32\Userinit.exe
F2 - REG:-System.ini: UserInit=C:\Windows\System32\wsaupdater.exe,
不過，說實話，在我的記憶中我從沒有處理過含有F2項的HijackThis掃描日志。 1. 項目說明
F - ini文件中的自動運行程序或者注冊表中的等價項目
F0 - ini文件中改變的值，system.ini中啟動的自動運行程序
F1 - ini文件中新建的值，win.ini中啟動的自動運行程序
F2 - 注冊表中system.ini文件映射區中啟動的自動運行程序或注冊表中UserInit項后面啟動的其它程序
F3 - 注冊表中win.ini文件映射區中啟動的自動運行程序 F0和F1分別對應system.ini和win.ini文件中啟動的自動運行程序。
F0對應在System.ini文件中“Shell=”這一項（沒有引號）后面啟動的額外程序。在Windows 9X中，System.ini里面這一項應該是
Shell=explorer.exe
這一項指明使用explorer.exe作為整個操作系統的“殼”，來處理用戶的操作。這是默認的。如果在explorer.exe后面加上其它程序名，該程序在啟動Windows時也會被執行，這是木馬啟動的方式之一（比較傳統的啟動方式之一）。比如
Shell=explorer.exe trojan.exe
這樣就可以使得trojan.exe在啟動Windows時也被自動執行。
F1對應在win.ini文件中“Run=”或“Load=”項（均沒有引號）后面啟動的程序。這些程序也會在啟動Windows時自動執行。通常，“Run=”用來啟動一些老的程序以保持兼容性，而“Load=”用來加載某些硬件驅動。
F2和F3項分別對應F0和F1項在注冊表中的“映像”。在Windows NT、2000、XP中，通常不使用上面提到的system.ini和win.ini文件，它們使用一種稱作IniFileMapping（ini文件映射）的方式，把這些ini文件的內容完全放在注冊表里。程序要求這些ini文件中的相關信息時，Windows會先到注冊表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping這里查找需要的內容，而不是去找那些ini文件。F2/F3其實和F0/F1相類似，只不過它們指向注冊表里的ini映像。另外有一點不同的是，F2項中還報告下面鍵值處額外啟動的程序
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
此處默認的鍵值是(注意后面有個逗號)
C:\WINDOWS\system32\userinit.exe,
（根據您的Windows版本和安裝目錄的不同，路徑里的“C”和“windows”可能不盡相同，總之這里默認指向%System%\userinit.exe
%System%指的是系統文件目錄
對于NT、2000，該鍵值默認為X:\WINNT\system32\userinit.exe
對于XP，該鍵值默認為X:\WINDOWS\system32\userinit.exe
這里的X指的是Windows安裝到的盤的盤符。此問題后面不再重復解釋了。）
這個鍵值是Windows NT、2000、XP等用來在用戶登錄后加載該用戶相關信息的。如果在這里添加其它程序（在該鍵值中userinit.exe后的逗號后面可以添加其它程序），這些程序在用戶登錄后也會被執行。比如將其鍵值改為
C:\windows\system32\userinit.exe,c:\windows\trojan.exe
則c:\windows\trojan.exe這個程序也會在用戶登錄后自動執行。這也是木馬等啟動的方式之一。 總之，F項相關的文件包括
c:\windows\system.ini
c:\windows\win.ini
（根據您的Windows版本和安裝目錄的不同，路徑里的“C”和“windows”可能不盡相同，總之這里指的是%windows%目錄下的這兩個ini文件
%Windows%目錄指的是Windows安裝目錄
對于NT、2000，Windows安裝目錄為X:\WINNT\
對于XP，Windows安裝目錄為X:\WINDOWS\
這里的X指的是Windows安裝到的盤的盤符。此問題后面不再重復解釋了。）
F項相關的注冊表項目包括
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping 2. 舉例
F0 - system.ini: Shell=Explorer.exe trojan.exe
上面的例子中，在system.ini文件中，默認的Shell=Explorer.exe后面又啟動了一個trojan.exe，這個trojan.exe十分可疑。
F1 - win.ini: run=hpfsched
上面的例子中，在win.ini文件中，啟動了hpfsched這個程序，需要分析。
F2 - REG:-System.ini: UserInit=userinit,trojan.exe
上面的例子中，UserInit項（說明見上）中額外啟動了trojan.exe
F2 - REG:-System.ini: Shell=explorer.exe trojan.exe
上面的例子其實相當于第一個例子F0 - system.ini: Shell=Explorer.exe trojan.exe，在注冊表中的system.ini文件“映像”中，額外啟動了trojan.exe。 3. 一般建議
基本上，F0提示的Explorer.exe后面的程序總是有問題的，一般應該修復。
F1后面的需要慎重對待，一些老的程序的確要在這里加載。所以應該仔細看看加載的程序的名字，在電腦上查一下，網上搜一搜，具體問題具體分析。
對于F2項，如果是關于“Shell=”的，相當于F0的情況，一般應該修復。如果是關于“UserInit=”的，除了下面的“疑難解析”中提到的幾種情況另作分析外，一般也建議修復。但要注意，一旦修復了關于“UserInit=”的F2項，請不要使用HijackThis的恢復功能恢復對這一項的修改，這一點上面著重提到了。當然，您也可以利用“UserInit=”自己設置一些軟件開機自啟動，這是題外話了，相信如果是您自己設置的，您一定不會誤刪的。 4. 疑難解析
(1) F2 - REG:-System.ini: UserInit=C:\WINDOWS\System32\Userinit.exe
注意到這一項與默認情況的區別了嗎？其實，這一項之所以被HijackThis報告出來，是因為丟失了鍵值最后的一個逗號。但這并不是真正的問題，可以不予理會。 (2) F2 - REG:-System.ini: UserInit=userinit,nddeagnt.exe
nddeagnt.exe是Network Dynamic Data Exchange Agent，這一項出現在userinit后面也是正常的。 (3) F2 - REG:-System.ini: UserInit=C:\Windows\System32\wsaupdater.exe,
這一個比較特別，這是廣告程序BlazeFind干的好事，這個廣告程序修改注冊表時不是把自己的wsaupdater.exe放在userinit的后面，而是直接用wsaupdater.exe替換了userinit.exe，使得注冊表這一項
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
的鍵值從默認的
C:\WINDOWS\system32\userinit.exe,
變為
C:\Windows\System32\wsaupdater.exe,
如果您使用Ad-aware 6 Build 181清除該廣告程序，重啟動后可能會造成用戶無法登錄系統。這時需要使用光盤或者軟盤啟動，將userinit.exe復制一份，命名為wsaupdater.exe放在同一目錄下，以使得系統能夠正常登錄，然后將上面所述的注冊表中被廣告程序修改的鍵值恢復默認值，再刪除wsaupdater.exe文件。
該問題存在于Ad-aware 6 Build 181，據我所知，HijackThis可以正常修復這一項。
具體信息清參考
http://www.lavahelp.com/articles/v6/04/06/0901.html
網絡的神奇作用吸引著越來越多的用戶加入其中，正因如此，網絡的承受能力也面臨著越來越嚴峻的考驗―從硬件上、軟件上、所用標準上......，各項技術都需要適時應勢，對應發展，這正是網絡迅速走向進步的催化劑。
| 
