神马文学网可恶的ghost.pif
来源：百度文库 编辑：神马文学网 时间：2024/05/01 00:57:26
今天早上我早早地回到办公室，打算做点事儿。谁知一开机，就出现了下面的画面：
卡巴斯基被干掉了！谁干的？看看启动项，发现是nmgamex.dll干的。上网搜了一下，晕，这可是04年的老古董了。而我每天升级3次病毒库。这世道！小偷的手段比治安员还高明几倍。
根源找到了，是如何导致的呢？昨天上午好好的，下午安装了个QQgame客户端，然后今天就出问题了。难道是QQgame客户端干的？不大可能，我是从它的官方网站下载的。不过这事儿也说不准，商业战争，手段无所不用极致，也许它玩一招借刀杀人，从而使用户对它的竞争对手反感呢？说说而已，事情还得做。我先删除了QQgame客户端，然后按网上搜到的手段处理了一下。引用
1、用hijackthis扫描系统，去除不要脸的nmgamex.dll。
2、检查是否有类似进程，有则结束之。
3、删除以下文件：
NMWizardA14.exe c:\winnt\NMWizardA14.exe
nmgamex.dll c:\winnt\system32\nmgamex.dll
NMGameX文件夹，位于：c:\winnt\system32下
nmStarterA.dll位于c:\winnt\system32下
NMChatX.ocx 位于：c:\winnt\system32\
nmevtmsg.dll 位于：c:\winnt\system32\
nmmkcert.dll 位于：c:\winnt\system32\
csrss.exe c:\winnt\csrss.exe; 正确的系统文件目录为：c:\winnt\system32\csrss.exe;
cctv5.exe c:\cctv5.exe;
sinaproc327.exe c:\winnt\system32\sinaproc327.exe;
NMWizardA14.exe c:\winnt\NMWizardA14.exe
问题貌似解决，做善后工作，乘机升级一下卡巴斯基，换成6.0的版本。很快，卡巴斯基装好了，重启。奇怪了，卡巴斯基又不能运行！这次不是模块出错，而是授权文件时间不对。我一看系统时间，靠，回到了1966年！再看看进程，又有一些猫腻——rksldk.bak——这是万恶的ghost.pif病毒啊。昨天同事的机器被病毒攻陷了，我去帮他修理了一下，然后用移动硬盘从他的机器上copy了一个文档回来，我打开移动硬盘的时候，就发现了ghost.pif，当时就将它直接删除了，想不到已经中招！这次中招这个是一个最新的变种。引用
作者：清新阳光 (http://hi.baidu.com/newcenturysun)
日期：2007/08/11
ghost.pif之前有分析过，现在又发现出现了新变种。具体分析如下:
File: Ghost.pif
Size: 22575 bytes
MD5: 550AD3A14D272B9D4BA7A019F714BFF5
SHA1: 69AC64704EA1FAF21F31B97473B3F57CCFCCA88F
CRC32: B61F22F8
运行后生成如下文件：
%ProgramFiles%\Common Files\goskdl.dll（随机6位字母文件名）
%ProgramFiles%\Internet Explorer\rksldk.bak（随机6位字母文件名）
%ProgramFiles%\Internet Explorer\rksldk.dll（随机6位字母文件名）
%ProgramFiles%\Internet Explorer\rksldk.ebk（随机6位字母文件名）
注册表操作：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks下面添加
<{DC7596CB-D6CC-DCA3-DE52-DEEA63F6C61D}><%ProgramFiles%\Internet Explorer\rksldk.dll> [Microsoft Corporation]
达到开机启动目的
HKLM\SOFTWARE\Classes\CLSID\下面添加
{C1626E66-C26B-C628-E1DF-CDACCFA26EE1} 指向%ProgramFiles%\Common Files\goskdl.dll通过IE浏览器钩子加载
查询以下注册表项目的某些键值来获取相关安全软件的安装目录，在获得安装目录下生成以系统文件名"MFC42.DLL"命名的文件夹
SOFTWARE\\rising\\Rav
SOFTWARE\\Kingsoft\\AntiVirus
SOFTWARE\\JiangMin
SOFTWARE\KasperskyLab\InstalledProducts\Kaspersky Anti-Virus Personal
SOFTWARE\\KasperskyLab\\SetupFolders
SOFTWARE\Network Associates\TVD\Shared Components\Framework
SOFTWARE\Eset\Nod\CurrentVersion\Info
SOFTWARE\\Symantec\\SharedUsage
SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\360safe.exe
并在MFC42.DLL文件夹下生成歧义文件夹I1!O!0..\导致windows下无法删除该文件夹
检测新移动硬件插入 如果插入了新硬件 那么在其根目录下生成ghost.pif和autorun.inf
控制explorer连接网络下载木马
读取hxxp://www.xxxxx.org/Data/oK.txt的下载列表
下载hxxp://ora.xxxxx.com/Sex/1.exe
hxxp://ora.xxxxx.com/Sex/2.exe
hxxp://ora.xxxxx.com/Sex/3.exe
hxxp://ora.xxxxx.com/Sex/4.exe
hxxp://ora.xxxxx.com/Sex/5.exe
hxxp://orb.xxxxx.com/Sex/6.exe
hxxp://orb.xxxxx.com/Sex/7.exe
hxxp://orb.xxxxx.com/Sex/8.exe
hxxp://orb.xxxxx.com/Sex/9.exe
hxxp://orb.xxxxx.com/Sex/10.exe
hxxp://orb.xxxxx.com/Sex/11.exe
hxxp://orb.xxxxx.com/Sex/12.exe
hxxp://orb.xxxxx.com/Sex/13.exe
hxxp://orb.xxxxx.com/Sex/14.exe
hxxp://orb.xxxxx.com/Sex/15.exe
hxxp://orb.xxxxx.com/Sex/16.exe
hxxp://ora.xxxxx.com/Sex/M1.exe
hxxp://ora.xxxxx.com/Sex/oKoK.exe
到%Temp%文件夹
木马植入完毕后在%System32%文件夹下生成很多wldoor0.dll类似的**door0.dll的文件
并且插入Explorer.exe和由explorer.exe启动的进程
sreng日志体现如下
注册表
启动项目
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
<{DC7596CB-D6CC-DCA3-DE52-DEEA63F6C61D}> [Microsoft Corporation]
<{E03C23BD-35B7-49C2-BBCA-6D8CEC2507E3}> []
<{074616A6-5ADC-4A3F-B252-E1D605228B5C}> []
<{6826A3DB-EA8E-4E67-880D-53D04C7C0BD8}> []
<{D8CC4845-441C-44F8-9053-28F2EF67655B}> []
<{4E3FBFA4-F1CC-4B66-B333-B9F0FF4B4748}> []
<{ABD0935D-B35A-47BD-BA9A-81678DDE74DD}> []
<{781FBCC1-99C7-4AE0-95F7-66EA49E86DD7}> []
<{08E909A4-B236-48DD-8BCC-90A604B93E68}> []
<{68F7767A-090C-4BBF-A015-720ACC6706E2}> []
<{EDFF29C1-5A70-4460-AC1D-16DCB4B672F0}> []
<{BD9B003B-0BE6-4528-A9D9-B8DBACAC6B9B}> []
<{A3C95A74-638D-4C6B-A856-4B27664A7F47}> []
<{E952B8F8-D91A-4EDD-851C-EE1A0F944469}> []
<{71046DD5-E136-4C4B-A6B5-91C30CB15291}> []
<{5731EA1D-6AAF-4DE9-BDDA-7B390A75B286}> []
<{3422FB0F-95EB-458A-8B56-39552017A4EF}> []
浏览器加载项
[]
{C1626E66-C26B-C628-E1DF-CDACCFA26EE1}
正在运行的进程
[PID: 1748 / Administrator][C:\WINDOWS\Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\system32\wldoor0.dll] [N/A, ]
[C:\Program Files\Internet Explorer\rksldk.dll] [Microsoft Corporation, 1. 0. 0. 1]
[C:\WINDOWS\system32\wmdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\qjdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\dadoor0.dll] [N/A, ]
[C:\WINDOWS\system32\mydoor0.dll] [N/A, ]
[C:\WINDOWS\system32\qhdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\zxdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\tldoor0.dll] [N/A, ]
[C:\WINDOWS\system32\wddoor0.dll] [N/A, ]
[C:\WINDOWS\system32\rxdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\fydoor0.dll] [N/A, ]
[C:\WINDOWS\system32\wgdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\ztdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\jtdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\wodoor0.dll] [N/A, ]
[C:\WINDOWS\system32\mhdoor0.dll] [N/A, ]
[C:\Program Files\Common Files\goskdl.dll] [Microsoft Corporation, 1. 0. 0. 1]
解决办法：
一、清除ghost.pif产生的病毒文件
重启计算机 进入
安全模式下(开机后不断 按F8键 然后出来一个高级菜单 选择第一项 安全模式 进入系统)
双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示确定更改时，单击
“是” 然后确定
打开任务管理器－进程－结束explorer进程 此时桌面消失
点击 任务管理器菜单栏 文件－新建任务－浏览 在弹出的浏览窗口里找到
%ProgramFiles%\Common Files\goskdl.dll（随机6位字母文件名）
%ProgramFiles%\Internet Explorer\rksldk.bak（随机6位字母文件名）
%ProgramFiles%\Internet Explorer\rksldk.dll（随机6位字母文件名）
%ProgramFiles%\Internet Explorer\rksldk.ebk（随机6位字母文件名）
右键删除他们
二、清除ghost.pif下载的木马*door0.dll
还是在任务管理器里面 （依旧结束explorer进程）
点击 任务管理器菜单栏 文件－新建任务－输入cmd 确定
打开了命令行窗口
在命令行窗口中进入%system32%文件夹
然后 输入 del *door0.dll /f /q
点击 任务管理器菜单栏 文件－新建任务－输入explorer.exe 确定
三、清理注册表
打开sreng
启动项目 注册表 删除如下项目
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
<{DC7596CB-D6CC-DCA3-DE52-DEEA63F6C61D}> [Microsoft Corporation]（随机6位字母文件名）
<{E03C23BD-35B7-49C2-BBCA-6D8CEC2507E3}> []
<{074616A6-5ADC-4A3F-B252-E1D605228B5C}> []
<{6826A3DB-EA8E-4E67-880D-53D04C7C0BD8}> []
<{D8CC4845-441C-44F8-9053-28F2EF67655B}> []
<{4E3FBFA4-F1CC-4B66-B333-B9F0FF4B4748}> []
<{ABD0935D-B35A-47BD-BA9A-81678DDE74DD}> []
<{781FBCC1-99C7-4AE0-95F7-66EA49E86DD7}> []
<{08E909A4-B236-48DD-8BCC-90A604B93E68}> []
<{68F7767A-090C-4BBF-A015-720ACC6706E2}> []
<{EDFF29C1-5A70-4460-AC1D-16DCB4B672F0}> []
<{BD9B003B-0BE6-4528-A9D9-B8DBACAC6B9B}> []
<{A3C95A74-638D-4C6B-A856-4B27664A7F47}> []
<{E952B8F8-D91A-4EDD-851C-EE1A0F944469}> []
<{71046DD5-E136-4C4B-A6B5-91C30CB15291}> []
<{5731EA1D-6AAF-4DE9-BDDA-7B390A75B286}> []
<{3422FB0F-95EB-458A-8B56-39552017A4EF}> []（等所有*door0.dll的项目）
系统修复－浏览器加载项－找到如下项目 点击删除项目，在弹出的对话框中点“是”
[]
{C1626E66-C26B-C628-E1DF-CDACCFA26EE1} （随机6位字母文件名）
四、删除瑞星 江民 卡巴360文件夹下的MFC42.DLL
方法：
新建一个记事本文件
输入如下字符
DEL /F /A /Q \\?\%1
RD /S /Q \\?\%1
保存为1.bat文件
将要删除的MFC42.DLL文件或者文件夹，用鼠标左键拖放到1.bat的文件图标上（就像把文件拖到文件夹里的操作一样），一个CMD窗口闪烁之后伪"MFC42.DLL"文件夹就被删除了
卡巴斯基被干掉了！谁干的？看看启动项，发现是nmgamex.dll干的。上网搜了一下，晕，这可是04年的老古董了。而我每天升级3次病毒库。这世道！小偷的手段比治安员还高明几倍。
根源找到了，是如何导致的呢？昨天上午好好的，下午安装了个QQgame客户端，然后今天就出问题了。难道是QQgame客户端干的？不大可能，我是从它的官方网站下载的。不过这事儿也说不准，商业战争，手段无所不用极致，也许它玩一招借刀杀人，从而使用户对它的竞争对手反感呢？说说而已，事情还得做。我先删除了QQgame客户端，然后按网上搜到的手段处理了一下。引用
1、用hijackthis扫描系统，去除不要脸的nmgamex.dll。
2、检查是否有类似进程，有则结束之。
3、删除以下文件：
NMWizardA14.exe c:\winnt\NMWizardA14.exe
nmgamex.dll c:\winnt\system32\nmgamex.dll
NMGameX文件夹，位于：c:\winnt\system32下
nmStarterA.dll位于c:\winnt\system32下
NMChatX.ocx 位于：c:\winnt\system32\
nmevtmsg.dll 位于：c:\winnt\system32\
nmmkcert.dll 位于：c:\winnt\system32\
csrss.exe c:\winnt\csrss.exe; 正确的系统文件目录为：c:\winnt\system32\csrss.exe;
cctv5.exe c:\cctv5.exe;
sinaproc327.exe c:\winnt\system32\sinaproc327.exe;
NMWizardA14.exe c:\winnt\NMWizardA14.exe
问题貌似解决，做善后工作，乘机升级一下卡巴斯基，换成6.0的版本。很快，卡巴斯基装好了，重启。奇怪了，卡巴斯基又不能运行！这次不是模块出错，而是授权文件时间不对。我一看系统时间，靠，回到了1966年！再看看进程，又有一些猫腻——rksldk.bak——这是万恶的ghost.pif病毒啊。昨天同事的机器被病毒攻陷了，我去帮他修理了一下，然后用移动硬盘从他的机器上copy了一个文档回来，我打开移动硬盘的时候，就发现了ghost.pif，当时就将它直接删除了，想不到已经中招！这次中招这个是一个最新的变种。引用
作者：清新阳光 (http://hi.baidu.com/newcenturysun)
日期：2007/08/11
ghost.pif之前有分析过，现在又发现出现了新变种。具体分析如下:
File: Ghost.pif
Size: 22575 bytes
MD5: 550AD3A14D272B9D4BA7A019F714BFF5
SHA1: 69AC64704EA1FAF21F31B97473B3F57CCFCCA88F
CRC32: B61F22F8
运行后生成如下文件：
%ProgramFiles%\Common Files\goskdl.dll（随机6位字母文件名）
%ProgramFiles%\Internet Explorer\rksldk.bak（随机6位字母文件名）
%ProgramFiles%\Internet Explorer\rksldk.dll（随机6位字母文件名）
%ProgramFiles%\Internet Explorer\rksldk.ebk（随机6位字母文件名）
注册表操作：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks下面添加
<{DC7596CB-D6CC-DCA3-DE52-DEEA63F6C61D}><%ProgramFiles%\Internet Explorer\rksldk.dll> [Microsoft Corporation]
达到开机启动目的
HKLM\SOFTWARE\Classes\CLSID\下面添加
{C1626E66-C26B-C628-E1DF-CDACCFA26EE1} 指向%ProgramFiles%\Common Files\goskdl.dll通过IE浏览器钩子加载
查询以下注册表项目的某些键值来获取相关安全软件的安装目录，在获得安装目录下生成以系统文件名"MFC42.DLL"命名的文件夹
SOFTWARE\\rising\\Rav
SOFTWARE\\Kingsoft\\AntiVirus
SOFTWARE\\JiangMin
SOFTWARE\KasperskyLab\InstalledProducts\Kaspersky Anti-Virus Personal
SOFTWARE\\KasperskyLab\\SetupFolders
SOFTWARE\Network Associates\TVD\Shared Components\Framework
SOFTWARE\Eset\Nod\CurrentVersion\Info
SOFTWARE\\Symantec\\SharedUsage
SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\360safe.exe
并在MFC42.DLL文件夹下生成歧义文件夹I1!O!0..\导致windows下无法删除该文件夹
检测新移动硬件插入 如果插入了新硬件 那么在其根目录下生成ghost.pif和autorun.inf
控制explorer连接网络下载木马
读取hxxp://www.xxxxx.org/Data/oK.txt的下载列表
下载hxxp://ora.xxxxx.com/Sex/1.exe
hxxp://ora.xxxxx.com/Sex/2.exe
hxxp://ora.xxxxx.com/Sex/3.exe
hxxp://ora.xxxxx.com/Sex/4.exe
hxxp://ora.xxxxx.com/Sex/5.exe
hxxp://orb.xxxxx.com/Sex/6.exe
hxxp://orb.xxxxx.com/Sex/7.exe
hxxp://orb.xxxxx.com/Sex/8.exe
hxxp://orb.xxxxx.com/Sex/9.exe
hxxp://orb.xxxxx.com/Sex/10.exe
hxxp://orb.xxxxx.com/Sex/11.exe
hxxp://orb.xxxxx.com/Sex/12.exe
hxxp://orb.xxxxx.com/Sex/13.exe
hxxp://orb.xxxxx.com/Sex/14.exe
hxxp://orb.xxxxx.com/Sex/15.exe
hxxp://orb.xxxxx.com/Sex/16.exe
hxxp://ora.xxxxx.com/Sex/M1.exe
hxxp://ora.xxxxx.com/Sex/oKoK.exe
到%Temp%文件夹
木马植入完毕后在%System32%文件夹下生成很多wldoor0.dll类似的**door0.dll的文件
并且插入Explorer.exe和由explorer.exe启动的进程
sreng日志体现如下
注册表
启动项目
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
<{DC7596CB-D6CC-DCA3-DE52-DEEA63F6C61D}>
<{E03C23BD-35B7-49C2-BBCA-6D8CEC2507E3}>
<{074616A6-5ADC-4A3F-B252-E1D605228B5C}>
<{6826A3DB-EA8E-4E67-880D-53D04C7C0BD8}>
<{D8CC4845-441C-44F8-9053-28F2EF67655B}>
<{4E3FBFA4-F1CC-4B66-B333-B9F0FF4B4748}>
<{ABD0935D-B35A-47BD-BA9A-81678DDE74DD}>
<{781FBCC1-99C7-4AE0-95F7-66EA49E86DD7}>
<{08E909A4-B236-48DD-8BCC-90A604B93E68}>
<{68F7767A-090C-4BBF-A015-720ACC6706E2}>
<{EDFF29C1-5A70-4460-AC1D-16DCB4B672F0}>
<{BD9B003B-0BE6-4528-A9D9-B8DBACAC6B9B}>
<{A3C95A74-638D-4C6B-A856-4B27664A7F47}>
<{E952B8F8-D91A-4EDD-851C-EE1A0F944469}>
<{71046DD5-E136-4C4B-A6B5-91C30CB15291}>
<{5731EA1D-6AAF-4DE9-BDDA-7B390A75B286}>
<{3422FB0F-95EB-458A-8B56-39552017A4EF}>
浏览器加载项
[]
{C1626E66-C26B-C628-E1DF-CDACCFA26EE1}
正在运行的进程
[PID: 1748 / Administrator][C:\WINDOWS\Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
[C:\WINDOWS\system32\wldoor0.dll] [N/A, ]
[C:\Program Files\Internet Explorer\rksldk.dll] [Microsoft Corporation, 1. 0. 0. 1]
[C:\WINDOWS\system32\wmdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\qjdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\dadoor0.dll] [N/A, ]
[C:\WINDOWS\system32\mydoor0.dll] [N/A, ]
[C:\WINDOWS\system32\qhdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\zxdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\tldoor0.dll] [N/A, ]
[C:\WINDOWS\system32\wddoor0.dll] [N/A, ]
[C:\WINDOWS\system32\rxdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\fydoor0.dll] [N/A, ]
[C:\WINDOWS\system32\wgdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\ztdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\jtdoor0.dll] [N/A, ]
[C:\WINDOWS\system32\wodoor0.dll] [N/A, ]
[C:\WINDOWS\system32\mhdoor0.dll] [N/A, ]
[C:\Program Files\Common Files\goskdl.dll] [Microsoft Corporation, 1. 0. 0. 1]
解决办法：
一、清除ghost.pif产生的病毒文件
重启计算机 进入
安全模式下(开机后不断 按F8键 然后出来一个高级菜单 选择第一项 安全模式 进入系统)
双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示确定更改时，单击
“是” 然后确定
打开任务管理器－进程－结束explorer进程 此时桌面消失
点击 任务管理器菜单栏 文件－新建任务－浏览 在弹出的浏览窗口里找到
%ProgramFiles%\Common Files\goskdl.dll（随机6位字母文件名）
%ProgramFiles%\Internet Explorer\rksldk.bak（随机6位字母文件名）
%ProgramFiles%\Internet Explorer\rksldk.dll（随机6位字母文件名）
%ProgramFiles%\Internet Explorer\rksldk.ebk（随机6位字母文件名）
右键删除他们
二、清除ghost.pif下载的木马*door0.dll
还是在任务管理器里面 （依旧结束explorer进程）
点击 任务管理器菜单栏 文件－新建任务－输入cmd 确定
打开了命令行窗口
在命令行窗口中进入%system32%文件夹
然后 输入 del *door0.dll /f /q
点击 任务管理器菜单栏 文件－新建任务－输入explorer.exe 确定
三、清理注册表
打开sreng
启动项目 注册表 删除如下项目
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
<{DC7596CB-D6CC-DCA3-DE52-DEEA63F6C61D}>
<{E03C23BD-35B7-49C2-BBCA-6D8CEC2507E3}>
<{074616A6-5ADC-4A3F-B252-E1D605228B5C}>
<{6826A3DB-EA8E-4E67-880D-53D04C7C0BD8}>
<{D8CC4845-441C-44F8-9053-28F2EF67655B}>
<{4E3FBFA4-F1CC-4B66-B333-B9F0FF4B4748}>
<{ABD0935D-B35A-47BD-BA9A-81678DDE74DD}>
<{781FBCC1-99C7-4AE0-95F7-66EA49E86DD7}>
<{08E909A4-B236-48DD-8BCC-90A604B93E68}>
<{68F7767A-090C-4BBF-A015-720ACC6706E2}>
<{EDFF29C1-5A70-4460-AC1D-16DCB4B672F0}>
<{BD9B003B-0BE6-4528-A9D9-B8DBACAC6B9B}>
<{A3C95A74-638D-4C6B-A856-4B27664A7F47}>
<{E952B8F8-D91A-4EDD-851C-EE1A0F944469}>
<{71046DD5-E136-4C4B-A6B5-91C30CB15291}>
<{5731EA1D-6AAF-4DE9-BDDA-7B390A75B286}>
<{3422FB0F-95EB-458A-8B56-39552017A4EF}>
系统修复－浏览器加载项－找到如下项目 点击删除项目，在弹出的对话框中点“是”
[]
{C1626E66-C26B-C628-E1DF-CDACCFA26EE1}
四、删除瑞星 江民 卡巴360文件夹下的MFC42.DLL
方法：
新建一个记事本文件
输入如下字符
DEL /F /A /Q \\?\%1
RD /S /Q \\?\%1
保存为1.bat文件
将要删除的MFC42.DLL文件或者文件夹，用鼠标左键拖放到1.bat的文件图标上（就像把文件拖到文件夹里的操作一样），一个CMD窗口闪烁之后伪"MFC42.DLL"文件夹就被删除了