登入Win xp系統後又自動登出？原來是SP3安裝不成功

登入Win xp系統後又自動登出？原來是SP3安裝不成功

 

endurer 原創
2008-01-13 第1版

 

今天一位同事說他的電腦出現故障：登入Win xp系統後又自動登出，請偶幫忙檢修。

以安全模式重啟電腦，可以正常登入。使用pe_xscan 掃描 log 並分析，發現如下可疑項：

 

pe_xscan 08-04-26 by Purple Endurer
2008-11-2 10:37:47
Windows XP Service Pack 3(5.1.2600)
MSIE:7.0.5730.13
管理使用者組
安全模式

O4 - HKCU/../RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%/Installer/TSClientMsiTrans/tscuinst.vbs"
O4 - HKCU/../RunOnce: [TSClientAXDisabler] cmd.exe /C "%systemroot%/Installer/TSClientMsiTrans/tscdsbl.bat"

O20 - AppInit_DLLs = nhmxejkl.dll,MMWLANGH1006.dll,tisqctyu.dll

O24 - ShlExecHook: [5] - {528DF602-9541-A985-210A-984A698C6F25} = 5
O24 - ShlExecHook: [5] - {00070007-0007-0007-0007-00070007BB15} = 5
O24 - ShlExecHook: [5] - {00010001-0001-0001-0001-00010001BB15} = 5
O24 - ShlExecHook: [5] - {00050005-0005-0005-0005-00050005BB15} = 5
O24 - ShlExecHook: [5] - {00170017-0017-0017-0017-00170017BB15} = 5
O24 - ShlExecHook: [5] - {00030003-0003-0003-0003-00030003BB15} = 5
O24 - ShlExecHook: [5] - {00330033-0033-0033-0033-00330033BB15} = 5
O24 - ShlExecHook: [5] - {00060006-0006-0006-0006-00060006BB15} = C:/WINDOWS/system32/dispexcb.dll
O24 - ShlExecHook: [5] - {00130013-0013-0013-0013-00130013BB15} = C:/WINDOWS/system32/ksuserfy.dll
O24 - ShlExecHook: [5] - {00300030-0030-0030-0030-00300030BB15} = C:/WINDOWS/system32/imgutilhx2.dll

 

其中 O20 和 O24項明顯是惡意程式留下的，用卡卡安全助手刪除。

O4項就有點奇怪了，先在卡卡安全助手中取消其自啟動。

重啟電腦，正常啟動Windows，彈出一個出錯提示框。

標題是“Windows產品啟用”，資訊內容是：一個問題阻止Windows正確檢測此機器的許可證。錯誤碼：0x80070002。

看來可能是同事不小心打了什麼系統補丁。

重啟電腦，選擇“使用最後一次正確的配置啟動”，無效。

重啟電腦到安全模式，到控制台的“添加刪除程式”中檢測，沒有發現新安裝的補丁。

檢查c:/windows檔案夾，發現一個SP3補丁的備份檔案夾的建立時間是2008-11-1。使用該檔案夾中的卸載把SP3卸載掉後，重啟電腦，可以正常登入了。

 

Google了一下，原來那兩個O4項正好是打SP3補丁時使用的。