空间管理您的位置: 萤火虫电台个人空间 » DJ_rocky的个人空间 » 日志

系统启动过程中dll文件加载错误的解决

上一篇 / 下一篇 2008-08-04 13:20:17 / 个人分类：系统研究院

最近几天网上传播的病毒太多了，我用的电脑速度还是很快地，也没有什么不对劲的地方。自己的电脑用时间长了就是有这个自信，知道系统无毒运行状态良好：）周围同事的电脑最近一直感染一些系统病毒，可够他们头疼的了呵呵。昨天中午吃饭的时候没什么事做就打开瑞星把病毒升级到最新扫了一下C盘。没想到我的系统里还真有病毒。一个应该是病毒释放的驱动文件RootKit.Win32.Agent.bfx路径是C:\windows\system32\drivers。还有个瑞星显示Unknow Trojan.Win32路径是C:\windows\system32，这个文件我看了一下创建日期显示的是昨天。最近几天我都没有安装什么新的程序，而且这个文件我之前也没见过。根据经验判断这个文件也不是什么好东西，于是就Shift+Delete删之（建议对自己的系统不了解的人千万不要像我一样直接删除system32下的文件，因为这个可以系统文件夹里面都是系统运行要调用的重要文件）。

简单的杀毒之后我又习惯性的检查了注册表里面的几个启动项，一天工作下来没什么异常情况。今天早上一开机到欢迎界面加载个人设置的时候非常的慢，我看了一眼硬盘灯开始还闪的很好嘛正在加载数据，可以一会又不亮了一看就知道系统启动出问题了。等了大概一分钟硬盘才开始有反应了。在桌面还是一片空白的时候弹出了一个错误提示框，如图：

eWDWD&vS0

这是什么错误怎么从来没见过？？点确定之后，桌面的图标和任务栏才开始加载。打开搜索引擎baidu、google搜索1emhzt.dll都没有相关的信息这可麻烦了。怎么解决呀不能每次启动都这么慢吧！打开运行输入gpedit.msc打开组策略编辑器关闭了系统错误提示报告。重新启动了一下电脑，结果问题依旧存在，又弹出了这个错误提示框真烦人。

在点确定之前，我打开进程管理器发现explorer.exe进程都还没有加载，另外还有userinit.exe、rundll32.exe这两个进程正在运行，这个rundll32.exe进程引起了我的注意，这个一个很重要的系统文件，用来“执行32位的DLL文件”。它的作用是执行DLL文件中的内部函数，这样在进程当中，只会有Rundll32.exe，而不会有DLL后门的进程，这样，就实现了进程上的隐藏。如果看到系统中有多个Rundll32.exe，也就是系统用Rundll32.exe启动了多少个的DLL文件。在Windows的任务管理器中，我们只能看到rundll32.exe进程，而其实质是调用的DLL文件。当然，这些Rundll32.exe执行的DLL文件是什么，是不是病毒释放的驱动文件，都可以从系统自动加载的地方找到。rundll32.exe是动态链接库dll文件的宿主，.dll的文件一定是那个病毒用来装载文件用的，杀毒的时候我把那个文件删除了，但是注册表中还会启动，所以就提示找不到模块。莫非这个1emhzt.dll的文件还是在系统启动的时候加载了？其实利用一些查看系统进程的工具就可以很详细的看到rundll32.exe这个进程调用了那些DLL的文件。这不过我这个比较麻烦explorer.exe进程现在还无法启动，我只能通过文件->新建任务然后选择浏览打开相应的软件。