发现冲击波新变种

考拉

这个帖子不是哪转的，是我自己发现的……
2 N6 h+ D0 a* E5 k1 C
3 k5 P! v; `  b# y4 O! I症状和以前中冲击波一样的，1分钟重起。我试过用很多转杀工具杀过，找不到病毒。后来我重装了系统，关闭了135，445，139端口，打补丁……OK，没有再中。
7 }/ w7 m/ |3 R; W. t3 |! e
5 ~3 s$ [3 r# \( P( B4 R& L我们这边已经发现有3，4个人中了。QQ上还有人像我求救，看来面积有点大，大家小心点！

考拉

现在没有发现可以杀的工具，关端口……
139端口是NetBIOS Session端口，用来文件和打印共享，注意的是运行samba的unix机器也开放了139端口，功能一样。以前流光2000用来判断对方主机类型不太准确，估计就是139端口开放既认为是NT机，现在好了。

　　关闭139口听方法是在“网络和拨号连接”中“本地连接”中选取“Internet协议(TCP/IP)”属性，进入“高级TCP/IP设置”“WINS设置”里面有一项“禁用TCP/IP的NETBIOS”，打勾就关闭了139端口。
4 A2 k% J* U7 l$ y; j* J
- B7 x, k- n, m3 p% p
! H1 C( U5 c0 O, ]9 j1 u$ t　　用一款16为编辑软件（推荐UltraEdit）打开你系统x:\winnt\system32或者x:\windows\system32下的rpcss.dll文件。
7 S# o, k) w1 l& n# M- J
% h, N* X' D+ G# i/ c　　查找31 00 33 00 35
& w' G8 k+ m  t4 m- D4 O9 R$ _' l
. w, G) `1 a2 T% g4 K　　替换为30 00 30 00 30

　　查找3100330035，将其替换为3000300030，意思就是将135端口改为000。
+ |8 P, e7 ^& Z, H1 a7 u- o1 B6 ]　　至此修改的任务已经完成，下面将面临一个保存的问题。因为该文件正在运行，在Windows环境下是不能覆盖的。如果你是FAT32文件系统，那么直接引导进DOS环境，将修改好的文件覆盖掉原来的文件。
+ r1 X. T+ E6 d" _( k2 Q( h　　如果是NTFS格式，相对就麻烦一些。进安全模式。然后启动pulist列出进程，然后用pskill这个程序（不少黑客网站有的下）杀掉svchost.exe程序。然后在COPY过去。
　　覆盖后重新启动，使用netstat -an命令，可以看到Windows 2000下已经没有135端口了。XP系统下还有TCP的135，但是UDP里面已经没有135端口了。
& a) J. C# K$ {' o4 `/ p7 K
445：我的电脑---属性---远程里的二个勾去了！
3 }  D' s  U, N
4 H4 M' n+ f: n! o- E

煎饼

我觉得比较奇怪,我没有中,因为我打了微软所有的补丁

考拉

我也打了最新的补丁……还是中了……