癥狀：1.控制面版中大部分程序無法打開
2.任務(wù)欄的輸入法?？焖賳訖趦?nèi)容為空。任務(wù)欄右鍵菜單中
工具欄內(nèi)容變灰，無法使用。
3.注冊表被鎖定，不能打開。
4.ie主頁被更改。各種選項目變灰，無法更改。
5.記事本可以使用，不過10幾分鐘就自動關(guān)閉。就算打開有內(nèi)容的文本文件，
也是空白一片。同樣的文件用寫字板打開可以顯示內(nèi)容，不過沒過幾秒
或者按什么鍵，就會出現(xiàn)“一個嫨你徢嵆眼癮的動畫,梌常不?"的文字。
探究病因：
1.打開任務(wù)管理器，發(fā)現(xiàn)SVOHOST可以進程。與系統(tǒng)進程SVCHOST非常相似。
（系統(tǒng)使用必備進程：system,system Idle Process,csrss,lsass, winlogon,smss,一般還有幾個svchost，看這些進程的用戶名 一般 為SYSTEM，LOCAL SERVICE NETWORKSERVICE（一些網(wǎng)絡(luò)服）。
2.嘗試關(guān)閉SVOHOST進程，可以關(guān)閉，但只要一運行任何程序，SVOHOST進程就又出現(xiàn)。
3.運行MSCONFIG，發(fā)現(xiàn)有兩個自啟動項：SVOHOST和CTFNOM，一個就是剛才 那個可以進程，一個不小心看還以為OFFICE的高級輸入法服務(wù)（名為CTFMON）。選擇全部禁用。SVOHOST的值是C:\WINDOWS\SVOHOST.EXE
4.進注冊表，查找SVOHOST，CTFNOM，果然在各個RUN啟動項里，全部刪除。
5.查看exefile的關(guān)聯(lián)，發(fā)現(xiàn)exefile\shell\command的值被改為“C:\WINDOWS\System32 \he1p.exe "%1" %*”（注意HE1P，不是HELP）
6.重啟，發(fā)現(xiàn)問題依舊。打開注冊表，各個RUN里SVOHOST，CTFNOM仍然都在，查找中還發(fā)現(xiàn)在很多新的地方添加了這兩個鍵值。
思考：中了病毒，病毒名為SVOHOST.EXE的程序。它在注冊表的RUN里強行寫入內(nèi)容，使自己能夠 進入系統(tǒng)時啟動。啟動時監(jiān)視注冊表，一發(fā)現(xiàn)SVOHOST的信息被改動，就再一次寫入。.exe文件關(guān)聯(lián)被更改，一啟動任何程序病毒程序也隨之啟動，在進程中又出現(xiàn)了。
殺毒：依照提示找病毒程序SVOHOST.EXE和HELP.EXE，進入顯示的文件夾，卻找不到。想可能被隱藏了。
1.注冊表解所：運行--GPEDIT.MSC，打開組策略，依次進入用戶配置\管理模板\系統(tǒng),右邊的 ”阻止訪問注冊表編輯工具‘，雙擊，禁止。就可以了。（可用WORD宏，INF文件 JAVA腳本解除）
2.解隱藏。依次點擊窗口上方的“工具”菜單下的“文件夾”選項，在出現(xiàn)的顯示所有文件和顯示 系統(tǒng)文件，去掉隱藏受保護的文件前的勾，沒有效果。應(yīng)該是注冊表中被修改為真正隱藏了。 用ULTRAEDIT-32編輯以下內(nèi)容，保存為“破隱藏.reg,導(dǎo)入，再按顯示所有文件，成功。（因為寫字板，記事本都不能正常使用）
內(nèi)容：
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
3.去病毒程序。
a.曾嘗試著進入文件夾中刪除SMOHOST.TXT和hlop.exe。結(jié)果重啟問題依舊。
b.看來不只這兩個程序。再進入\WINDOWS\SYSTEM32下面認真查找，果然發(fā)現(xiàn)還有 lsasa.exe,commamd.exe兩個程序，請認真看跟LSASS，COMMAND多象。把四個全部刪除。 重啟
c.重啟想不到問題依舊，看來還有程序。于是我把這四個文件復(fù)制到別的地方，然后隨便拿了四個文件改成這四個名字，重起出現(xiàn)錯誤提示：“commamd不是正常的WIN32程序”。（因為剛才我是隨便拿了個文本文件改名成COMMAMD.exe）。 結(jié)果控制面板可以正確使用了。
D.雖然問題解決，但最終的源頭沒找到。應(yīng)該有程序自啟動調(diào)用了COMMAMD.exe程序。進入 注冊表查找“commamd”果然發(fā)現(xiàn)了新大陸。
在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon 下的SHELL值為 Explorer.exe commamd.exe”，（winlogon設(shè)置用戶登陸的環(huán)境，下面的值在系統(tǒng)啟動時候必須啟動，
而EXPLORER.EXE是用戶界面，如桌面，任務(wù)欄等就是這個東東分配的），在EXEPLORER.EXE后面跟上程序就能在啟動exeplorer.exe的時候同時啟動。
e.終極大戰(zhàn)。把上面的shell值改為exeplorer.exe。刪除windows\system下把四個文件都刪除。
至此問題全部解決。
******************************************************************************************
1.輸入法恢復(fù)。按'CTRL+shift","ctrl+空格鍵'都無法調(diào)出輸入法。語言欄已經(jīng)顯示但沒有內(nèi)容。一般進入控制面板中的‘區(qū)域和語言選項’關(guān)閉高級語言服務(wù) 就可以了。但‘區(qū)域’打不開。在運行中輸入”INTERNAT“，出現(xiàn)輸入法圖標。
但那是98下的那種。右鍵點擊輸入法圖標，出現(xiàn)設(shè)置菜單。能配置輸入法，于是關(guān)閉高級語言 服務(wù)，在桌面顯示輸入法圖標前打勾。到此，XP的正常輸入法可以使用了。
2.ie主頁被改。手動，可以在注冊表中清理，但怕不徹底。平常常去3721在線殺毒，這次也去， 按提示安裝，卻發(fā)現(xiàn)無法安裝成功。于是使用upiea1.48修復(fù)IE，一次搞定。
3.記事本修復(fù)。上面用記事本打開看不見文件內(nèi)容，是因為txtfile下的shell\open\command的值 被改為notepad.exe，這樣點擊文件時變成新建一個文本文件，所以記事本打開時 會一片空白。值改成“notepad.exe %1".問題解決。
4.工具欄修復(fù)。務(wù)欄右鍵菜單中工具欄內(nèi)容變灰，無法使用。進入注冊表，依次打開 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer下 新建或修改NoCloseDragDropBands的值為0就可以了(數(shù)值為dword類型）
******************************************************************************************
文件關(guān)聯(lián)修復(fù)特例－－－一進入系統(tǒng)就自動重啟或注銷。
很多人遇到過這個問題，中了沖擊波病毒就有這種結(jié)果。但不都是中了這個病毒，以下講講如何簡單實現(xiàn)這個效果，以及修復(fù)的方法。
分析：1。系統(tǒng)一啟動就必 須啟動exeplorer.exe（負責(zé)分配用戶界
面，如：桌面，任務(wù)欄，開始菜單）。如無法啟動它，
會空白一片，看不到這些。
2.主要是在exeplorer.exe上下功夫。
a.把.exe文件關(guān)聯(lián)到shutdown關(guān)機命令，系統(tǒng)啟動時候
一調(diào)用exeplorer.exe，就自動啟動shutdown.exe命令。
b.更改注冊表。在HKEY_LOCAL_MACHINE\SOFTWARE\Micros
oft\Windows NT\CurrentVersion\Winlogon 下的SHELL值可以
正常應(yīng)該 是 Explorer.exe，現(xiàn)在把值改為 exeplorer.exe
shutdown.exe .或者干脆把值改為SHUTDOWN.EXE
以上兩種方法都能造成重啟時，進入用戶密碼窗口，進入桌面的一剎那，甚至看不到桌面就自動重啟或注銷。
運行regedit,把HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL下的CheckedValue刪除,再右健單擊新建一個DWORD值命名為CheckedValue,數(shù)值取1即可.這是病毒把CheckedValue這項改成字符串值而非原來的DWORD值了.
