有程序正在修改镜像劫持（电脑被镜像劫持要怎么办）

本文目录

• 电脑被镜像劫持要怎么办
• 镜像劫持的原理，，
• 镜像劫持是什么病毒，怎么杀 360老提示我 ，也杀不掉
• 启动项里有edge镜像劫持
• 电脑被镜像劫持！只要是带杀毒的专杀的都打不开！还挂载有木马下载器！360被屏蔽不管用！
• 电脑病毒映象劫持怎么办
• 映像劫持怎么破
• 如何解决镜像劫持（高手进）
• 映像劫持是怎么回事啊

电脑被镜像劫持要怎么办

这是缺少防火墙的问题。安全模式能不能进？开机后按F8，如果能进，再行处理。如果还是不行，那就麻烦了，估计楼主是不愿意重装的。可以挂到别人的干净电脑上替你杀下毒，然后再拿回来看能不能启动。

镜像劫持的原理，，

映像劫持的定义 所谓的映像劫持（IFEO）就是Image File Execution Options，位于注册表的HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options。由于这个项主要是用来调试程序用的，对一般用户意义不大。默认是只有管理员和local system有权读写修改。　　通俗一点来说，就是比如我想运行QQ.exe，结果运行的却是FlashGet.exe，也就是说在这种情况下，QQ程序被FLASHGET给劫持了，即你想运行的程序被另外一个程序代替了。　　映像劫持病毒　　虽然映像劫持是系统自带的功能，对我们一般用户来说根本没什么用的必要，但是就有一些病毒通过映像劫持来做文章，表面上看起来是运行了一个程序，实际上病毒已经在后台运行了。　　大部分的病毒和木马都是通过加载系统启动项来运行的，也有一些是注册成为系统服务来启动，他们主要通过修改注册表来实现这个目的，主要有以下几个方面：　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce　　更多启动项请参考：系统启动时所有可能加载启动程序的方式&&&系统加载方式一文。　　但是与一般的木马，病毒不同的是，就有一些病毒偏偏不通过这些来加载自己，不随着系统的启动运行，而是等到你运行某个特定的程序的时候运行，这也抓住了一些用户的心理，一般的用户，只要发觉自己的机子中了病毒，首先要察看的就是系统的加载项，很少有人会想到映像劫持，这也是这种病毒高明的地方。　　映像劫持病毒主要通过修改注册表中的HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution options 项来劫持正常的程序，比如有一个病毒 vires.exe 要劫持 qq 程序，它会在上面注册表的位置新建一个qq.exe项，再这个项下面新建一个字符串的键值　debugger 内容是：C:\WINDOWS\SYSTEM32\VIRES.EXE(这里是病毒藏身的目录)即可。当然如果你把该字符串值改为任意的其他值的话，系统就会提示找不到该文件。　　映像胁持的基本原理　　WINDOWS NT系统在试图执行一个从命令行调用的可执行文件运行请求时，先会检查运行程序是不是可执行文件，如果是的话，再检查格式的，然后就会检查是否存在。如果不存在的话，它会提示系统找不到文件或者是“指定的路径不正确等等。把这些键删除后，程序就可以运行！　　映像劫持的应用　　★ 禁止某些程序的运行　　先看一段代码：　　Windows Registry Editor Version 5.00　　　　"Debugger"="123.exe"　　上面的代码是以金猪报喜病毒和威金病毒为例，这样即使这些病毒在系统启动项里面，即使随系统运行了，但是由于映象劫持的重定向作用，还是会被系统提示无法找到病毒文件（这里是logo_1.exe和sppoolsv.exe）。是不是很过瘾啊，想不到病毒也有今天！　　当然你也可以把病毒程序重定向到你要启动的程序中去，如果你想让QQ开机自启动，你可以把上面的123.exe改为你QQ的安装路径即可，但是前提是这些病毒必须是随系统的启动而启动的。　　映像劫持的应用也讲了不少了，下面就给大家介绍一下如何防止映象劫持吧！　　关于映像劫持的预防，主要通过以下几个方法来实现：　　★权限限制法　　如果用户无权访问该注册表项了，它也就无法修改这些东西了。打开注册表器，进入HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options ，选中该项，右键——》权限——》高级，将administrator 和 system 用户的权限调低即可（这里只要把写入操作给取消就行了）。　　★快刀斩乱麻法　　打开注册表器，进入把　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options项，直接删掉 Image File Execution Options 项即可解决问题。

镜像劫持是什么病毒，怎么杀 360老提示我 ，也杀不掉

镜像劫持的意义　　在针对杀毒软件方面，OSO病毒还采用了一种新技术，这种技术被成为镜像劫持，通过这种技术也能够将杀毒软件置于死地。　　所谓的镜像劫持，就是在注册表的处新建一个以杀毒软件主程序命名的项，例如Rav.exe。然后再创建一个子键“Debugger="C:\WINDOWS\system32\drivers\ceffen.com”。以后只要用户双击 Rav.exe就会运行OSO的病毒文件ceffen.com，类似文件关联的效果。对这个病毒的清除注意几点：（代表个人意见）　　1、重启进入安全模式下后所有硬盘操作都要右键打开，切记不要双击打开各个分区！　　2、进入后要去掉隐藏的系统属性。（这一步要先注册表否则实现不了，病毒已经更改注册表使隐藏的文件选项失效）　　3、找到隐藏的文件后删除即可！　　4、手动删除添加的非法 IFEO 劫持项目，重启后即可. 镜像劫持的简单解决方法 　　如果电脑上有杀毒软件或360什么的但是中了镜像劫持是安全软件无法运行的话，　　其实只需要更改一下安全软件的名字就能不被镜像劫持利用，个人认为这是最适合初学者的最简单办法。　　首先找到安全软件的位置大部分都放在program files文件夹下。 找到名字例如拿360做例子原文件路径X:\Program Files\360safe原名为360Safe.exe 你把名字改为36015safe.exe(名字什么都行不过就不能是安全软件的名字)然后双击此安全软件就会过镜像劫持开始运行，后面的查杀就不需要说什么了吧。这小操作可以解决燃眉之急啦。

启动项里有edge镜像劫持

系统被镜像劫持后会导致注册表冗余文件过多而导致系统卡顿。程序不管放在什么位置，打开该程序的时候，都会出现该程序无法运行或者指向另一个程序的情况，但是如果给该程序改名后便发现可以正常运行了。“映像劫持”，也被称为“IFEO”，在WindowsNT架构的系统里，IFEO的本意是为一些在默认系统环境中运行时可能引发错误的程序执行体提供特殊的环境设定。当一个可执行程序位于IFEO的控制中时，它的内存分配则根据该程序的参数来设定，而WindowsN T架构的系统能通过这个注册表项使用与可执行程序文件名匹配的项目作为程序载入时的控制依据，最终得以设定一个程序的堆管理机制和一些辅助机制等。

电脑被镜像劫持！只要是带杀毒的专杀的都打不开！还挂载有木马下载器！360被屏蔽不管用！

{转载}在注册表里添加个主键“Image File Execution Options”位置位于：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\它的子键基本都是程序名儿...道理就是凡是添加上的程序名儿（当然路径也有）执行它就跟着执行某个程序（真毒！）解决方法：1.第一步要中止病毒进程，这个系统进程管理器是做不了的，一般下载第三方进程管理器就能搞定推荐：使用系统自带的CMD工具：taskkill与tasklist 这两个工具配合使用效果无敌！命令语法自己想办法，学楼上用批处理解决问题是根本无敌的办法（这样子保护程序是反映不过来的）注意一点，这类病毒的进程通常有2到3个（更多的应该有）2.到注册表里把刚刚说的映像劫持的主键咔嚓了3.删除各盘符下的.inf文件简单的办法是使用attrib工具将.inf文件的系统+隐藏属性去掉，然后打开看看他的内容，并找到.exe 的路径删除以后我们进行第4步4.刷新系统！5.启动安全软件（注意这个时候360等杀毒软件就可以启动了！）升级病毒库，全面杀毒！

电脑病毒映象劫持怎么办

您好

您可以重启电脑按F8进入带网络连接的安全模式

然后到腾讯电脑管家官网下载电脑管家

使用电脑管家——杀毒——全盘查杀，即可轻松解决映像劫持问题。

如果还有其他疑问和问题，欢迎再次来电脑管家企业平台进行提问，我们将尽全力为您解答疑难

***隐藏网址***

映像劫持怎么破

映像劫持是指病毒对注册表的修改，使你运行病毒指定的程序时变成运行另外一个程序。比如病毒可以通过修改注册表，劫持RsMain.exe（瑞星杀毒软件主程序），映像路径改为svchost.exe，那么你的瑞星杀毒软件就用不了了，而且每次运行瑞星杀毒软件主程序，就变成运行svchost.exe。知道原理后，怎么删除呢？金山毒霸系统清理专家能行的。下载后，若运行不了，就说明金山毒霸系统清理专家也被映像劫持了，但前面说到，映像劫持只能劫持指定的程序，所以只要把金山毒霸系统清理专家的主程序kasmain.exe给改个名，如kasmain.cmd等，但要注意后缀名。改名后就能运行了，记得将它升级到最新版本，在进行恶意软件查杀。映像劫持器是绿色软件，很好用的。运行后，先单击扫描，如果出现没有发现映像劫持就说明没问题，如果出现了的话，就删除即可。如果病毒没有完全删除，可能被删除的映像劫持还会被病毒重新加上，你可以用如下办法解决：映像劫持的注册表路径位于HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options下，单击Image File Execution Options右键-【权限】，将当前用户的权限设为“拒绝”，但这样做有点风险，建议你先这样做，彻底把木马病毒杀光后，再将此键的权限改为“允许”

如何解决镜像劫持（高手进）

• 把debugger删掉就行了

• 呵呵，有那么麻烦吗？无非就是手动删一些文件，更改一下启动项，把注册表清理一下，不让它再载入策略就可以了呗，当然还要用工具把以前的劫持项去除掉，上面方法太麻烦了，重启机器后更新杀毒就可以了，瑞星好早就能杀这个毒了。

映像劫持是怎么回事啊

所谓的映像劫持IFEO就是Image File Execution Options （其实应该称为“Image Hijack”。） 它是位于注册表的 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options IFEO的本意是为一些在默认系统环境中运行时可能引发错误的程序执行体提供特殊的环境设定。由于这个项主要是用来调试程序用的，对一般用户意义不大。默认是只有管理员和local system有权读写修改。 当一个可执行程序位于IFEO的控制中时，它的内存分配则根据该程序的参数来设定，而WindowsN T架构的系统能通过这个注册表项使用与可执行程序文件名匹配的项目作为程序载入时的控制依据，最终得以设定一个程序的堆管理机制和一些辅助机制等。出于简化原因，IFEO使用忽略路径的方式来匹配它所要控制的程序文件名，所以程序无论放在哪个路径，只要名字没有变化，它就运行出问题。 请记录好Debugger指向的程序位置，也不要试图再执行那些安全工具，首先应该尝试删除受影响的 IFEO项，然后刷新注册表看看数据是否马上恢复了，如果马上恢复，则说明后台里有程序正在实时判断和写入IFEO，这时候必须拿出 Sysinternals出品的注册表监控工具Regmon或类似工具，设置Filter为你正在尝试删除的安全工具的IFEO项，很快就能发现具体是什么进程在操作注册表了，然后将IceSword改名（如果已经被劫持），在它的进程列表里将相应进程终止掉。如果这个进程立即又重生了呢？再终止一次，然后迅速点击IceSword的“监视进线程创建”，你就能发现上一次捣乱的程序是什么名字了，将它记录下来，再开启一个Sysinternals的工具 “Process Explorer”，在对应进程上点击右键选择“Suspend”，这个进程就会被挂起，用IceSword和它配合把相关恶意进程都挂起后，再使用 IceSword的文件功能里的“强制删除”，在这个程序还没来得及反应时就把它们的本体给歼灭，这时候再返回Process Explorer里按照大小排列从最大的一个守护进程开始Kill Process即可，由于没有了映像文件存在，它们意欲重新建立木马帝国的贼心也就无法实现了。 如果查杀过程更为复杂的话，请自行参阅相关文章，这里就不再赘述了。 如此实现“免疫”？不被推荐的做法 由于AV终结者搞得人心惶惶，一时间网络上开始流传“免疫映像劫持”甚至“利用映像劫持免疫大部分常见病毒”的做法，对于这些方法的最初提供者，我相信他们的出发点是好的，只是，从严格的角度来看，这却是不可取的。 首先是“免疫映像劫持”，具体的方法是，例如免疫威金病毒“logo_1.exe”，则在IFEO列表里建立一个“logo_1.exe”项，然后设定它的 Debugger参数为它自身即“logo_1.exe”，根据原作者解释，其原理是递归死循环：“当Debugger的值等于本身时，就是调用自身来调试自己，结果自己不是调试器，又来一次，递归了，就进入了死循环，也就不能启动了。” 这种方法虽然有效（最后的现象是“找不到文件”），但是它会导致系统在短时间内陷入一个CreateProcess循环和命令参数的字符串累加状态，会消耗一定的资源，最终没能执行程序是因为系统使用 CreateProcess启动的实例会被它自身代替执行，从而造成死循环，而且命令行的长度是有系统限制的，到一定范围就会出错了，尤其在可以接受命令行参数的程序里，你甚至会发现硬盘狂转了好一会儿才弹出错误提示，这段时间里就是在死循环传递状态了，最终由于超过系统限制的命令行长度而导致系统传递执行请求时出错，才得以跳出这个死循环，换一个角度来看，如果系统没有限制命令行长度，那么这个操作很可能直接导致系统所有资源都消耗在这个自己反复执行自己的“调试器”上了。 至于“利用映像劫持免疫大部分常见病毒”的做法，发起号召者模仿“映像劫持”后门屏蔽大部分常用安全工具的原理，搜集了许多流行危害程序的可执行文件名加以前面提到的递归死循环方法达到目的，如果不计较前面提到的递归死循环缺点，似乎这个方法是可行的。 然而这真的可行吗？世界上存在许多与某些系统文件同名同姓的社交型后门，如位置不同而名字相同的命令提示符输入法控制程序“conime.exe”（被 OSO超级U盘病毒借用名字）、重要程序Rundll32.exe被某些木马替换为自身、甚至IE浏览器主体iexplore.exe也存在被木马伪造文件名的案例，如此一来不知道多少正常的系统程序可能会被这份“免疫列表”给误杀了，我仅仅粗略浏览了一下就发现msiexec.exe居然存在“免疫列表”中，要知道这可是微软安装程序的主执行体啊…… 争议话题：是否禁止IFEO列表权限？ 同时，网上还流传着一个让初级用户看不懂的做法，那就是关闭IFEO列表的写入权限，具体操作如下： ?执行32位注册表器regedt32.exe ?定位到HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options ?确保焦点在Image File Execution Options上，选择“安全”—“权限” ?将出现的用户列表内所有带有“写入”的权限去掉，确定退出 这样一来，任何对IFEO的写入操作都失效了，也就起了免疫效果。这个方法对一般用户而言还是不错的，除非遭遇到一些特殊的需要往里面写入堆管理参数的程序，否则我建议一般用户还是禁止此项，从而杜绝一切IFEO类病毒来袭。 而争议正在于此，因为从长计议来看，用户很可能会遇到需要往IFEO列表里写入数据的正常程序，彻底禁止了IFEO的写入可能会导致不可预见的后果，既然如此，我们就采取折中的方法好了，使用HIPS（主机入侵防御系统）的注册表防御体系RD（Registry Defend），为我们提供一种两者都能兼顾的IFEO管理方法！ 以SSM为例，首先确保RD体系模块已经开启，然后添加新监视规则，“键路径” 指向HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options，“操作”为“当更改时报警”，记得“包含值”选上，最后把“子键深度最大值”设为“3”，点击确定生成新的监视规则，然后在“规则”主界面里确保“存取”、“删除”、“写入”的操作均为疑问状态，这是表示在相关键值被进行写入操作时弹出消息询问用户，最后点击“应用设定”让规则生效，从此只需开着SSM，映像劫持就离你远去了。