请权威人士评价一下VFLOPPY，矮人ｄｏｓ，ｍａｘｄｏｓ - 中国DOS联盟论坛

MAXDOS附带的搜狗插件流氓行为分析
2009年11月16日星期一 22:57

MAXDOS 7.1 安装以后会在系统盘的 system32文件夹释放 so.dll 、wmiprvse.exe 两个文件，其中so.dll会在IE浏览器中注册，在 system32\drivers 文件夹释放Knlrun.sys文件，Knlrun.sys 会注册成系统驱动。

当在浏览器地址栏中输入了不能解析的域名，搜索词等，so.dll就会对浏览器进行劫持，转向 http://www.sogou.com/ 进行搜索。这个东西你在浏览器加载项里禁止是没有效果的，wmiprvse.exe ，Knlrun.sys 会实时的进行恢复，就是我们常说的流氓软件行为，赶都赶不走。

知道了原理，卸载就方便了，

1、首先关闭电脑里的所有窗口程序，特别是IE，IE开着的时候是无法删除so.dll的
2、找到并删除 system32\drivers里的Knlrun.sys， system32\wmiprvse.exe、system32\so.dll 等三个文件
3、到微软公司下载：
http://technet.microsoft.com/en-us/sysinternals/bb963902.aspx

Autoruns 这个东西。
打开autoruns，
在Internet Explorer选项卡的 HKCU\Software\Microsoft\Internet Explorer\UrlSearchHooks 里找到
AddrHelper Class 有Sogou字样的那行，右击，选Delete

在Drivers 里找到 knlrun 的那一样，右击，选Delete

4、重启计算机，和搜狗流氓软件说拜拜。

其实在MAXDOS刚安装的时候，就可以避免装入搜狗流氓插件。

大家注意。

安装的时候在设置完备份文件夹的下一步，就是提示（下载Max网吧安全卫士）的那一步，你千万不要去按下一步，直接按右上角的 X ，弹出【安装程序未完成】，不管它，确定退出即可。这时候，MAXDOS 其实已经完全安装在电脑里了。。。
如果你在上一个界面按下一步的话，流氓搜狗就安装到你电脑里了，所以不想安装搜狗的人就千万别按了。
在软件安装的协议中是有申明的，不是没有
的确插件可能对某些人有影响，特别是在装了360之类的软件才会有冲突，正常情况下，是不影响用户使用的，该插件只对IE输入起纠错作用，无其它影响，可能有的用户不喜欢。但是网站的确没有其它的收入只能做些广告，此版本可能给很多用户造成不便，基于些，我们会在下个版本中提供可选择性的安装，或者可直接卸载该插件功能。

进程名称: Knlrun.sys

　　所在路径：%systemroot%\system32\drivers

　　描述：

　　1、开机蓝屏，提示knlrun.sys错误是，

　　2、发现鼠标具有间歇性的后台处理，也就是有沙漏出现，打开任务管理器会发现wmiprvse.exe在进程中忽现忽隐，或者 wmiprvse.exe进程很多，都是该流氓插件引起。

　　流氓插件，文件位于%systemroot%\system32\drivers中，主要功能是每次开机运行explorer.exe时就让 explorer.exe不停调用位于system32下的流氓软件wmiprvse.exe（477kb），正常的wmiprvse.exe位于 system32\wbem下。

　　本人一直用一键GHOST最近装了个7.1版本的MAXDOS，在此软件官方论坛下的，发现安装好后360检测到google插件和BO插件，晕无提示就给我装上两个插件，且其中一个还很流氓。我用360点清除是无论如何也清不掉这个插件，360提示所有补丁已打好，后台我看了也没有可疑进程，然后我装了 McAfee等几款杀毒软件也没杀到病毒，于是在SYSTEM32下按时间排列（病毒大都喜欢在system32下或windows下，因此我喜欢按时间排列这两个目录看看最下面有没有可疑的东西，当然也不一定就排在最下面，我只是习惯这样看下，反正要是没有可疑东西我就会开始排查驱动），发现最后几个文件有一个是wmiprvse.exe，此文件应在system32\wbem下才是正常的，这个一定是病毒或流氓软件，于是直接删了它，本想应删不掉的，可是一删就删掉了，但删掉后system32\wbem下的正常的wmiprvse.exe却开始不停的运行，估计可能是驱动级别的流氓软件，于是一个一个查找非系统自带驱动，发现多了一个不认识的Knlrun.sys驱动，于是删掉这驱动，重启explorer.exe后正常的wmiprvse.exe 就不会一直运行了。

　　原来是Knlrun.sys不停的运行system32下的wmiprvse.exe流氓（因为system32下有 wmiprvse.exe，windows会优先运行system32下的文件），system32下的wmiprvse.exe流氓一运行就加入 google插件的注册表，然后退出自身，过一会儿又运行一次system32下的wmiprvse.exe流氓，反复循环，另外system32下的 wmiprvse.exe流氓只能运行一个进程，一闪就没了。所以一般看不出来。但system32下的wmiprvse.exe流氓让我删掉后（我删它时它正好不在运行状态），Knlrun.sys还是不停的运行wmiprvse.exe，这时就是运行system32\wbem下的正常的 wmiprvse.exe，正常的wmiprvse.exe可以重复运行，估计电脑不久后系统资源就会耗尽。

　　解决方法1、直接删除

　　2、（建一个批处理如下）：

　　reg delete HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\knlrun /va /f

　　taskkill /im explorer.exe /f

　　del /q %systemroot%\system32\wmiprvse.exe

　　del /q %systemroot%\system32\drivers\Knlrun.sys

　　ping -n 1 127.0.0.1 >nul

　　explorer.exe

第16楼　JonePeng	发表于 2006-01-10 21:35
金牌会员　发帖 1,883　积分 4,562　来自广东广州
Originally posted by sjs0512 at 2006-1-10 18:35: 1。写IMG文件主要是干什么用？ 1. 矮人DOS、MAXDOS跟vFloppy的原理一样，都依靠软盘的镜像来启动。在引导时把镜像文件在内存中模拟一个虚拟软驱。 2。一键GHOST好不好？没用过。好不好是因人而异、见仁见智的。我一向都是手动启动GHOST的。 3。我怎么样才可以象斑竹他们一样，可以有自己的头像。呵呵好像都有权限设置吧？但Discuz!风格的论坛不支持上传图片来改头像，但支持网络相册或引用图片的链接。

第17楼　xiandiaqingnian	发表于 2006-01-12 23:09
初级用户　发帖 15　积分 29
Originally posted by sjs0512 at 2006-1-10 18:35: 我用过矮人DOS，感觉还可以。冒昧问一下（我菜鸟） 1。写IMG文件主要是干什么用？ 2。一键GHOST好不好？ 3。我怎么样才可以象斑竹他们一样，可䠮.. 呵呵，一下问了这么多，我只知道一个，一键很好用`~~不用光盘就可以恢复系统~~

第18楼　moyushion	发表于 2006-01-14 16:07
初级用户　发帖 16　积分 48
我想要个可以不装在C盘下的,这样可以直接进入DOS进行格式化和硬盘安装WINXP 不过除了仿真虚拟软驱,其他的不知道行不行,我没用过,我仿真虚拟软驱出问题了,重装后还是不行,有没有什么办法呀,是不是要FDISK /MBR呀

第19楼　gmy	发表于 2006-01-14 17:25
版主　发帖 392　积分 1,113
还是觉得我自己的“超级急救盘硬盘版”好用。

第20楼　人类	发表于 2007-12-31 01:55
中级用户　发帖 81　积分 306
maxdos v6 不再修改主引导扇区，用mxldr加载映像，可用。参见 http://www.cn-dos.net/forum/viewthread.php?tid=18269&fpage=1

第21楼　zhangxu009001	发表于 2008-04-26 21:09
新手上路　发帖 1　积分 2
如何使用啊？为什么我无法下载？

第22楼　mageo	发表于 2008-05-14 00:33
初级用户　发帖 66　积分 132
我发个贴子下载个东西先.

第23楼　CZJang	发表于 2008-05-21 16:11
初级用户　发帖 13　积分 32
Originally posted by gmy at 2006-1-14 05:25 PM: 还是觉得我自己的“超级急救盘硬盘版”好用。那仁兄的“优盘版”与“光盘版”了？？？

第24楼　akyahoo	发表于 2010-05-04 13:57
初级用户　发帖 12　积分 32
MAXDOS附带的搜狗插件流氓行为分析 2009年11月16日星期一 22:57 MAXDOS 7.1 安装以后会在系统盘的 system32文件夹释放 so.dll 、wmiprvse.exe 两个文件，其中so.dll会在IE浏览器中注册，在 system32\drivers 文件夹释放Knlrun.sys文件，Knlrun.sys 会注册成系统驱动。当在浏览器地址栏中输入了不能解析的域名，搜索词等，so.dll就会对浏览器进行劫持，转向 http://www.sogou.com/ 进行搜索。这个东西你在浏览器加载项里禁止是没有效果的，wmiprvse.exe ，Knlrun.sys 会实时的进行恢复，就是我们常说的流氓软件行为，赶都赶不走。知道了原理，卸载就方便了， 1、首先关闭电脑里的所有窗口程序，特别是IE，IE开着的时候是无法删除so.dll的 2、找到并删除 system32\drivers里的Knlrun.sys， system32\wmiprvse.exe、system32\so.dll 等三个文件 3、到微软公司下载： http://technet.microsoft.com/en-us/sysinternals/bb963902.aspx Autoruns 这个东西。打开autoruns，在Internet Explorer选项卡的 HKCU\Software\Microsoft\Internet Explorer\UrlSearchHooks 里找到 AddrHelper Class 有Sogou字样的那行，右击，选Delete 在Drivers 里找到 knlrun 的那一样，右击，选Delete 4、重启计算机，和搜狗流氓软件说拜拜。其实在MAXDOS刚安装的时候，就可以避免装入搜狗流氓插件。大家注意。安装的时候在设置完备份文件夹的下一步，就是提示（下载Max网吧安全卫士）的那一步，你千万不要去按下一步，直接按右上角的 X ，弹出【安装程序未完成】，不管它，确定退出即可。这时候，MAXDOS 其实已经完全安装在电脑里了。。。如果你在上一个界面按下一步的话，流氓搜狗就安装到你电脑里了，所以不想安装搜狗的人就千万别按了。在软件安装的协议中是有申明的，不是没有的确插件可能对某些人有影响，特别是在装了360之类的软件才会有冲突，正常情况下，是不影响用户使用的，该插件只对IE输入起纠错作用，无其它影响，可能有的用户不喜欢。但是网站的确没有其它的收入只能做些广告，此版本可能给很多用户造成不便，基于些，我们会在下个版本中提供可选择性的安装，或者可直接卸载该插件功能。进程名称: Knlrun.sys 　　所在路径：%systemroot%\system32\drivers 　　描述：　　1、开机蓝屏，提示knlrun.sys错误是，　　2、发现鼠标具有间歇性的后台处理，也就是有沙漏出现，打开任务管理器会发现wmiprvse.exe在进程中忽现忽隐，或者 wmiprvse.exe进程很多，都是该流氓插件引起。　　流氓插件，文件位于%systemroot%\system32\drivers中，主要功能是每次开机运行explorer.exe时就让 explorer.exe不停调用位于system32下的流氓软件wmiprvse.exe（477kb），正常的wmiprvse.exe位于 system32\wbem下。　　本人一直用一键GHOST最近装了个7.1版本的MAXDOS，在此软件官方论坛下的，发现安装好后360检测到google插件和BO插件，晕无提示就给我装上两个插件，且其中一个还很流氓。我用360点清除是无论如何也清不掉这个插件，360提示所有补丁已打好，后台我看了也没有可疑进程，然后我装了 McAfee等几款杀毒软件也没杀到病毒，于是在SYSTEM32下按时间排列（病毒大都喜欢在system32下或windows下，因此我喜欢按时间排列这两个目录看看最下面有没有可疑的东西，当然也不一定就排在最下面，我只是习惯这样看下，反正要是没有可疑东西我就会开始排查驱动），发现最后几个文件有一个是wmiprvse.exe，此文件应在system32\wbem下才是正常的，这个一定是病毒或流氓软件，于是直接删了它，本想应删不掉的，可是一删就删掉了，但删掉后system32\wbem下的正常的wmiprvse.exe却开始不停的运行，估计可能是驱动级别的流氓软件，于是一个一个查找非系统自带驱动，发现多了一个不认识的Knlrun.sys驱动，于是删掉这驱动，重启explorer.exe后正常的wmiprvse.exe 就不会一直运行了。　　原来是Knlrun.sys不停的运行system32下的wmiprvse.exe流氓（因为system32下有 wmiprvse.exe，windows会优先运行system32下的文件），system32下的wmiprvse.exe流氓一运行就加入 google插件的注册表，然后退出自身，过一会儿又运行一次system32下的wmiprvse.exe流氓，反复循环，另外system32下的 wmiprvse.exe流氓只能运行一个进程，一闪就没了。所以一般看不出来。但system32下的wmiprvse.exe流氓让我删掉后（我删它时它正好不在运行状态），Knlrun.sys还是不停的运行wmiprvse.exe，这时就是运行system32\wbem下的正常的 wmiprvse.exe，正常的wmiprvse.exe可以重复运行，估计电脑不久后系统资源就会耗尽。　　解决方法1、直接删除　　2、（建一个批处理如下）：　　reg delete HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\knlrun /va /f 　　taskkill /im explorer.exe /f 　　del /q %systemroot%\system32\wmiprvse.exe 　　del /q %systemroot%\system32\drivers\Knlrun.sys 　　ping -n 1 127.0.0.1 >nul 　　explorer.exe

第25楼　akyahoo	发表于 2010-05-04 14:03
初级用户　发帖 12　积分 32
。。。。。。。。。。。。 [ Last edited by akyahoo on 2010-5-8 at 14:05 ]