上一篇
下一篇
命令行下用暴力法杀、删灰鸽子dllhost.exe
作者:JiaJia 日期:2007-06-20
今天通过远程连接帮一个不太懂电脑的朋友清病毒。看到一堆runauto..目录，再看进程中有c:\windows\dllhost.exe，确定是灰鸽子07.
查到的手动清除方法很多要求安装iceswords或者到安全模式。但远程控制下做这些都很不方便（网络也比较慢）。先尝试了在命令行把taskkill和delete写在一行的方式杀掉dllhost进程并删除文件，结果发现dllhost很快就重建进程并锁定dllhost.exe，造成删除总是失败。
后来发现一个以暴制暴的办法，很简单，开两个命令行窗口，分别执行：
Code:
第一个cmd窗口中执行：for /l %a in (1,0,2) do taskkill /f /im dllhost.exe
Code:
第二个cmd窗口中执行：for /l %a in (1,0,2) do attrib -h -s -r c:\windows\dllhost.exe & del c:\windows\dllhost.exe
刚开始还会看到文件删除不了的错误。等几秒就发现已成功删除，表现为taskkill报告找不到进程；attrib和del报告找不到文件。这时用ctrl+c中止这两个死循环即可。
原理很简单，这两个都是死循环（从1循环到2，但步长为0），一个拼命杀，一个拼命删。总会遇到那么一个时间点，刚好del可以在进程重建前杀掉。
目前朋友的三台机器都这样成功清除。当然在这之后要记得把setuprs1.pif删除，并把注册表中cmd.exe, regedit.exe的IFEO劫持删除。
查到的手动清除方法很多要求安装iceswords或者到安全模式。但远程控制下做这些都很不方便（网络也比较慢）。先尝试了在命令行把taskkill和delete写在一行的方式杀掉dllhost进程并删除文件，结果发现dllhost很快就重建进程并锁定dllhost.exe，造成删除总是失败。
后来发现一个以暴制暴的办法，很简单，开两个命令行窗口，分别执行：
Code:
第一个cmd窗口中执行：for /l %a in (1,0,2) do taskkill /f /im dllhost.exe
Code:
第二个cmd窗口中执行：for /l %a in (1,0,2) do attrib -h -s -r c:\windows\dllhost.exe & del c:\windows\dllhost.exe
刚开始还会看到文件删除不了的错误。等几秒就发现已成功删除，表现为taskkill报告找不到进程；attrib和del报告找不到文件。这时用ctrl+c中止这两个死循环即可。
原理很简单，这两个都是死循环（从1循环到2，但步长为0），一个拼命杀，一个拼命删。总会遇到那么一个时间点，刚好del可以在进程重建前杀掉。
目前朋友的三台机器都这样成功清除。当然在这之后要记得把setuprs1.pif删除，并把注册表中cmd.exe, regedit.exe的IFEO劫持删除。
文章来自: 
引用通告: 
Tags: 评论: 0 | 引用: 0 | 查看次数: -
发表评论