注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

DeWay的博客

 
 
 

日志

 
 

csrss.exe占用系统资源解决办法  

2007-03-24 16:52:24|  分类: vista/xp 技 |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |

有可能是这个,查查毒看看

进程文件: csrss or csrss.exe

进程名称: Client/Server Runtime Server Subsystem

描 述: 客户端服务子系统,用以控制Windows图形相关子系统。

介 绍: 这个是用户模式Win32子系统的一部分。csrss代表客户/服务器运行子系统而且是一个基本的子系统必须一直运行。csrss用于维持Windows的控制,创建或者删除线程和一些16位的虚拟MS-DOS环境。

纯手工查杀木马csrss.exe

注意:csrss.exe进程属于系统进程,这里提到的木马csrss.exe是木马伪装成系统进程

前两天突然发现在C:\Program Files\下多了一个rundll32.exe文件。这个程序记得是关于登录和开关机的,不应该在这里,而且它的图标是98下notepad.exe的老记事本图标,在我的2003系统下面很扎眼。但是当时我没有在意。因为平时没有感到系统不稳定,也没有发现内存和CPU大量占用,网络流量也正常。

这两天又发现任务管理器里多了这个rundll32.exe和一个csrss.exe的进程。它和系统进程不一样的地方是用户为Administrator,就是我登录的用户名,而非system,另外它们的名字是小写的,而由SYSTEM启动的进程都是大写的RUNDLL32.EXE和CSRSS.EXE,觉得不对劲。

然后按F3用资源管理器的搜索功能找csrss.exe,果然在C:\Windows下,大小52736字节,生成时间为12月9日12:37。而真正的csrss.exe只有4k,生成时间是2003年3月27日12:00,位于C:\Windows\Syetem32下。

于是用超级无敌的UltraEdit打开它,发现里面有kavscr.exe,mailmonitor一类的字符,这些都是金山毒霸的进程名。在该字符前面几行有SelfProtect的字符。自我保护和反病毒软件有关的程序,不是病毒就是木马了。灭!

试图用任务管理器结束csrss.exe进程失败,称是系统关键进程。先进注册表删除[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]和v[Runservice]下相应值,注销重登录,该进程消失,可见它没有象3721那样加载为驱动程序。

然后要查找和它有关的文件。仍然用系统搜索功能,查找12月9日生成的所有文件,然后看到12:37分生成的有csrss.exe、rundll32.exe和kavsrc.exe,但kavsrc.exe的图标也是98下的记事本图标,它和rundll32.exe的大小都是33792字节。

此后在12:38分生成了一个tmp.dat文件,内容是

@echo off

debug C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.dat C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.out

copy C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.dat C:\WINDOWS\system32\netstart.exe>C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\tmp.out

首先先看下csrss.exe进程的说明:

进程文件:csrss or csrss.exe
进程名称:Client/Server Runtime Server Subsystem
进程类别:系统进程
进程描述:客户端服务子系统,用以控制Windows图形相关子系统。

csrss.exe病毒按病毒分类属于蠕虫病毒,它会以csrss.exe为文件名拷贝自己的副本文件到Windows目录下,并添加下面的注册表键值,以便每次Windows启动蠕虫会自动运行:HKLM\Software\Microsoft\Windows\CurrentVersion\Run\SystemSARS32, with value "C:\WINNT\csrss.EXE"。

好了,了解完它的背景,该来对付这个小东西了


方法一:


第一步,结束病毒进程csrss.exe,注意是Windows\csrss.exe而不是Windows\System32\csrss.exe。
第二步,找到以下文件并删除(这些文件并非都有,可能只有几个,但只要有,就删!)
>> System\dxdiag.com
>> System\finder.com
>> System\msconfig.com
>> C:\\autorun.inf
>> Programfiles\Internet Explorer\iexplore.com
>> Programfiles\Common Files\iexplore.pif
>> Windows\1.com
>> Windows\csrss.exe
>> Windows\ExERoute.exe
>> Windows\explorer1.com
>> Windows\finder.com
>> Windows\Debug\DebugProgram.exe
>> system\command.pif
>> System\regedit.com
>> System\rundll32.com
同时查看“开始”---“程序”中是否有以下连接安全测试.lnk、计算机安全中心.lnk、系统信息管理器.ink,删!

第三步,打开注册表编辑器:
(1)分别查找“finder.com”、“rundll32.com”、“command.pif”的信息,把找到值中的“finder.com”、“rundll32.com”、“command.pif”改为“rundll32.exe”
(2)查找“iexplore.com”的信息,把找到值中的“iexplore.com”改为“iexplore.exe”;查找“iexplore.pif”的信息,把找到值中类似“%ProgramFiles%\\Common Files\\iexplore.pif”的信息改为类似“%ProgramFiles%\\Internet Explorer\\iexplore.exe”
(3)查找“explorer1.com”的信息,把找到值中的“explorer1.com”改为“explorer.exe”

第四步,删除病毒启动项:
[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run]
"Torjan Program"="%Windows%\\CSRSS.exe"

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunServices]
"Torjan Program"="%Windows%\\CSRSS.exe"

在[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon]
把"Shell"="Explorer.exe 1"恢复为"Shell"="Explorer.exe"

删除[HKEY_CLASSES_ROOT\\Applications\\iexplore.com]项和[HKEY_CLASSES_ROOT\\winfiles]项

第五步,重启计算机,完成。

方法二:


大家都有WINRAR吧?找到Windows\csrss.exe,在csrss.exe上右击鼠标,选择“添加到压缩文件”,这时WINRAR会出现提示窗“压缩文件名和参数”,选择“压缩后删除源文件”,确定,生成压缩文件,这时发现csrss.exe没了,不要高兴太早,现在只是把冲在最前面的病毒体删掉了,而那些幕后指使者们还在逍遥自在。运行注册表医生(要英文原版的,菜单单词都很简单),选择扫描修复所有错误,待修复完成后,重新启动计算机,csrss.exe病毒就被彻底赶出你的爱机了。


总结,第一个方法是大众方法,也是效果比较稳定的方法,第二个方法能解决掉这个病毒,但还不能保证对以后的变种一定有效。当然,这里说的是手动清楚方法,对于许多计算机初学者来说还是用杀毒软件来的比较方便,同时我也强烈建议朋友们即使手动清除了病毒,也要用杀毒软件彻底查一遍,以防万一

  评论这张
 
阅读(215)| 评论(0)
推荐 转载

历史上的今天

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2017