中了.vbs后修复过程

因为别的原因我要重新做系统，当做完系统后，我也有点大意了，没有安装杀毒软件，就开始安装一些常用工具，造成我被.vbs这样的木马给感染了，所有盘符里都是快捷方式，不能打开具体的文件夹。我用一些杀毒软件查杀，并没有查杀出来。后来我找到一段程序，据说可以解决问题，我就决定尝试一下。

代码如下：

@ECHO OFF
cls
echo.
echo ***************************************
echo * administrator.vbs专杀工具——oldjun *
echo * *
echo ***************************************
echo.

echo 正在关闭Script进程...
taskkill /im WScript.exe /f
taskkill /im cscript.exe /f
echo 关闭成功...

echo %username%
echo 正在删除相关文件...
@if exist %windir%\%username%.vbs del %windir%\%username%.vbs /f/q/a
@if exist %windir%\system32\%username%.vbs del %windir%\system32\%username%.vbs /f/q/a
@if exist %windir%\system32\%username%.ini del %windir%\system32\%username%.ini /f/q/a
@if exist c:\autorun.inf del c:\autorun.inf /f/q/a
@if exist d:\autorun.inf del d:\autorun.inf /f/q/a
@if exist e:\autorun.inf del e:\autorun.inf /f/q/a
@if exist f:\autorun.inf del f:\autorun.inf /f/q/a

echo 删除成功...

echo 正在修改注册表...
echo 显示隐藏文件
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" /v CheckedValue /t reg_dword /d 1 /f
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowSuperHidden /t reg_dword /d 1 /f
echo 关闭自动播放
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t reg_dword /d 1 /f
echo 删除启动项
reg delete "HKCU\SoftWare\Microsoft\Windows NT\CurrentVersion\Windows" /v Load /f
echo 恢复文件关联
reg add "HKLM\SOFTWARE\Classes\txtfile\shell\open\command" /ve /t REG_EXPAND_SZ /d "%%SystemRoot%%\system32\NOTEPAD.EXE %%1" /f
reg add "HKLM\SOFTWARE\Classes\regfile\shell\open\command" /ve /t REG_EXPAND_SZ /d "regedit.exe "%%1"" /f
reg add "HKLM\SOFTWARE\Classes\chm.file\shell\open\command" /ve /t REG_EXPAND_SZ /d ""hh.exe" %%1" /f
reg add "HKLM\SOFTWARE\Classes\hlpfile\shell\open\command" /ve /t REG_EXPAND_SZ /d "winhlp32.exe %%1" /f
reg add "HKLM\SOFTWARE\Classes\exefile\shell\open\command" /ve /t REG_SZ /d ""%%1" %%*" /f
echo 修改成功...

cls
echo.
echo ****************
echo * 清 除 完 毕 ! *
echo ****************
echo.
echo. & pause

 

倒是能够清除.vbs的木马，但是又把文件都变成了隐藏文件，属性也被修改了，郁闷，我想应该是修改系统的文件，但是我去注册表里看，注册表的隐藏文件信息都是正常的，我索性也不找了，直接重新安装一遍系统，我想应该可以了，但是安装完成后，还是不显示，最后连勾选显示所有文件后，原来的隐藏文件也不再显示出来，我又从新操作一下上面的代码，不多是运行部分。

echo 显示隐藏文件
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" /v CheckedValue /t reg_dword /d 1 /f
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowSuperHidden /t reg_dword /d 1 /f
echo 关闭自动播放
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoDriveTypeAutoRun /t reg_dword /d 1 /f

这样我的隐藏文件又出来了，后来网上找了找，找到“隐藏属性以及打开方法”

 

对于文件的隐藏，在Windows中可以这样进行：在“资源管理器”中选中文件（夹），从右键菜单中单击“属性”，接着在属性对话框中的“常规”选项卡下勾选“隐藏”选项，最后确定。

为了使通过上述方法隐藏的文件和文件夹在查看目录时不显示出来，还需要进行以下设置：以Windows" XP为例，在资源管理器中单击“工具”菜单，选择其中的“文件夹选项”，在“文件夹属性”对话框中单击“查看”选项卡，拖动“高级设置”项目下的垂直滚动条找到“隐藏文件和文件夹”，然后点选“不显示隐藏的文件和文件夹”；如果希望所有文件夹中的隐藏项目都不显示出来，则单击“应用到所有文件夹”，最后确定。返回资源管理器后刷新，所有设置了隐藏属性的文件（夹）都不会显示。 提示：如果以后需要显示设置了隐藏属性的文件（夹），则再次进入该窗口点选“显示所有文件和文件夹”。

有时候，我们不会进入Windows的图形界面，此时又如何来设置或解除文件的隐藏属性呢？这里需要用到一个DOS命令attrib来完成。attrib命令的使用格式如下：“attrib" [+r | -r] [+a | -a] [+s | -s] [+h | -h] [[drive:][path][filename][/s[/D]]”，各个参数前面的“+”表示对文件添加上相应的属性，“-”则去除。各属性参数的意义分别为：r（只读文件属性），a（存档文件属性），s（系统文件属性），h（隐藏文件属性）。“[drive:][path][filename]”则是要处理的文件路径和名称（可以使用通配符来代表具有某种共同特征的文件）。参数“/S”则表示处理当前文件夹及其子文件夹中的相应文件。“/D”表示处理文件夹。

举个例子可以很容易知道该命令的使用方法：例如，有的朋友经常使用Ghost来对整个系统分区进行备份，为了节省存储空间，在备份之前可以将Windows 9X的交换文件win386.swp删除（如果该文件在系统分区上），由于该文件具有“系统”、“隐含”、“只读”等属性，文件如要使用Del命令来删除，必须先去掉这些属性，在DOS提示符后输入“attrib -r -s -h -a c:\win386.swp”（注意各个参数前的空格）并回车；再如，D盘中有一个文件夹GJ需要设置为隐含属性，则输入“attrib +h d:\GJ /d /s”。

我在dos下时候attrib这个命令,ok，所有的隐藏文件全部显示了。给我一个警告，在windows下时刻要小心防毒。