WINDOWS\ 跟 C:\ WINDOWS\system32\ 目录下删除SVOHOST.exe(注意系统有一个类似文件，图标怪异的那个类似excel的图标的是病毒)session.exe

有人问过我一开机就共享所有盘，改回来以后，重启又变成了共享是怎么回事，这是2K为管理而设置的默认共享，必须通过修改注册表的方式取消它：HKEY_LOCAL_MACHINE\SYSTEM

分析explorer.txt中的DLL文件，其中文件目录中含有“srchasst”的，均为“搜索助理”单独调用的文件。剩余的文件分别为C:\Windows\system32目录下的

首先展开注册表到：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下，你会看到字符串值System-Tray，其键值为

对于IIS，其默认记录存放在c:\winnt\system32\logfiles\w3svc1，文件名就是当天的日期，记录格式是标准的W3C扩展记录格式，可以被各种记录分析工具解析，默认的格式包括

\system32\config目录下的SAM文件，重新启动。这时，管理员Administrator账号就没有密码了。当然，取下硬盘换到其他机器上来删除SAM文件也算个好办法

如果要禁止IPC$共享，可以在注册表编辑器中依次展开[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]分支，将右侧窗口中的DOWRD值“restrictanonymous”设置值为“1”即可。

\CurrentVersion\Policies\System下的DWORD值"DisableRegistryTools"键值恢复为"0"，即可恢复注册表

窗口就会变成肉鸡的c:\\winnt\\system32>.就是说，你已经进入它的机器里了。进去以后，你可以填加个用户了。net user guest /active:yes用这个命令，就将默认

这个脚本会找出在临时文件夹中的bmp文件，并生成一个DEBUG的脚本，运行时会自动从BMP文件54字节处读去你指定大小的数据，并把它保存到tmp.dat中。后面的脚本再把它复制到SYSTEM的目录下，这个被还原的EXE文件会在下次重起的时候运行。这就是BMP木马的基本实现过程。