查杀可恶的“蠕虫”病毒
?牐犝庖磺刑鹄词悄敲吹目膳拢欢苡锌赡苷庑┱⑸谀愕纳砩稀Ｔ趺窗欤吭独牖チ比徊皇前旆ǎ私獠《镜南喙刂叮缓蠖灾⑾乱?，这才是我们最终的解决办法!
?牐犎涑媸且恢植《境绦颍肬nix系统中电子邮件的脆弱性，首次于1988年11月2日进入美国最大的计算机网络Inter-net，并在网中不断地自我复制，一夜之间给广大的计算机用户造成了巨大的损失。这种病毒主攻击小型机，其自我复制能力力很强，并主要通过自我复制来对计算机系统进行攻击，其传染途径主要是计算机网络。
#1?牐牎綫AZ】
?牐犇橙丈贤⑾咒榔飨略靥乇鹇Ｃ话旆ǖ那榭鱿拢峦笾匦铝樱蚩狪E浏览器，无论敲入什么网址都没反应，按“Ctrl+Alt+Del”键查看运行任务，发现IE没有响应，重新打开IE，情况依旧，只好把IE结束。
?牐牻幼旁侔础癈trl+Alt+Del”键，看看还有什么程序没有响应，赫然发现运行了Notepad任务。我根本就没有运行过记事本程序，还是结束任务吧，记事本程序也没有响应。突然灵光一闪，想起前几天看到一条黑客病毒的警报，该不会“中招”了吧？立刻单击“开始”→“查找”→“文件或文件夹”，输入“Note.com”，果然Windows目录下发现此文件。
#2?牐牎窘饩龇椒ā?
?牐牏倏罅⒓窗础癈trl+Alt+Del”键，检查是否有Notepad程序在运行。
?牐牏诘セ鳌翱肌薄安檎摇奔觳槭欠裼蠳ote.com文件。如果有应删除“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVision\Run”的“StartIE=XXXX\Notepad.exe”键值，其中“XXXX”一般为Windows（即QAZ蠕虫程序所在的目录）。然后结束进程中的“Notepad”任务，最后到QAZ相应的目录中删掉Notepad.exe文件。
?牐牏塾蒙倍救砑《韭敫潞笊?描所有硬盘。
#2?牐牎咀⒁狻?
?牐燪AZ还带来了一些麻烦。随便双击一个文本文件，发现Windows打不开文本文件。再用资源管理器找到Notepad程序，打开“属性”，发现Notepad的扩展名是.COM。利用启动盘进入Dos状态，执行“Rename notepad.com notepad.exe”命令。返回Windows，可随意打开文本文件了。但现在依然存在问题，仔细看看，notepad.exe图标是Dos程序的，而不是Notepad自身的图标。单击“开始”→“设置”→“任务栏和开始菜单”→“开始菜单程序”→“删除”，找到Notepad，删除后单击“关闭”按钮，再单击“添加”→“浏览”，找到Windows目录下的Notepad程序，把它添加到“开始”菜单中，绿色的记事本图标又回到开始菜单了。
?牐犎涑娌《居行矶啵：Ω饔胁煌２渭?2001年《电脑报》27期、31期相继介绍的Happytime（欢乐时光）和W32.Sircam（齿轮先生）。目前互联网上最活跃的应该算是红色代码家族，而在局域网中则首推是Funlove。还是让我们来好好瞧瞧这两个可恶病毒的常用伎俩吧。
#1?牐牎竞焐搿?
#2?牐犚弧⑷鲜镀ぉず焐耄词菩谛?
?牐?1.黑影初现
?牐?2001年6月18日，微软公司宣布在该公司的IIS（Internet信息服务器）软件中发现一个漏洞，而有近600万网站的使用该软件。仅仅一个月，一种专门利用该漏洞进行传染的新型病毒产生了。7月16日，多名精英编程者开始分析这个病毒的代码。他们熬夜工作，消耗了数打“红色代码（CodeRed B）”牌的高咖啡因软饮料以支撑工作，这个病毒因此得名为“红色代码”。
?牐牎昂焐搿崩梦⑷硗绶衿魅砑↖IS）的一个漏洞来入侵计算机，发送邮件时，会出现一个空白的页面，上面写着“Hacked by Chinese！”。“红色代码”感染所有的IIS主机，但只修改英文网页。来自趋势全球病毒网的数据称它已感染了全球数十万台计算机。到8月1日，肆虐全球互联网的“红色代码”病毒估计已经让整个互联网损失了12亿美元。其中包括用于清除、监控和检查系统中“红色代码”蠕虫病毒的开销。
?牐?2.魔王再世
?牐?2001年8月7日，据公安部门计算机病毒防治产品检测中心报告，我国的一些单位、部门的计算机系统也感染了“红色代码”病毒。“红色代码”不是只感染英文的计算机系统吗？原来，这是由原病毒变异而成的新病毒！它被称为“红色代码Ⅱ（CodeRed B）”。“红色代码Ⅱ”比“红色代码”病毒有更强的感染力和破坏力。甚至能让被感染的计算机受到黑客的远程控制。公安部门已就此发出紧急通告。提醒大家注意防范。
?牐?3.三代同堂
?牐牭薄昂焐擘瘛薄ⅰ昂焐擘颉备缸踊构饣チ僚暗氖焙颍怀莆昂焐擘螅–odeRed C）”的最新变异版本又出现在人们眼前。原“红色代码”病毒造成的后果是引发对白宫网络服务器的DOS（拒绝服务）攻击，而“红色代码Ⅲ”会造成全然不同的后果──允许黑客拥有远程访问Web服务器的完全权限。专家认为“红色代码Ⅲ”具有很高的危险性。
“红色代码”家族的危害在于它们可怕的传染性。假如一台上网的服务器被病毒感染，在很短的时间里，该病毒会传染到局域网内所有能感染的机器，并且每天还在不停地复制中。其结果就是造成网络堵塞。不但损害了公司的利益，也让个人用户受到了伤害。同时对于“红色代码Ⅱ”和“红色代码Ⅲ”来说，感染了它们也就等于被种上了木马程序，因此所有的WinNT和Win2000用户都有可能遭到黑客的攻击！
?牐犎没チ鹗Р抑氐摹昂焐搿敝沼诘锹街泄恕Ｊ欠裎颐钦娴木褪治薏吡寺穑勘鸺保帽收咭徊讲浇棠闳绾纹平狻?
#2?牐牰⒎治銎ぉぐ氤樗浚慈绱?
?牐?1.“红色代码”攻击方式分析
?牐牎昂焐搿笔导噬鲜且桓鋈涑娌《尽Ｋ昧税沧坝蠭IS的Web服务器的.IDA 缓冲区溢出漏洞进行感染并传播。该漏洞只有在IIS主机安装有索引服务的时候才会有效。 如果它感染了一个主机，将会在受影响机器上作如下活动：
?牐?1）建立初始蠕虫环境。
?牐?2）建立100个蠕虫线程。
?牐?3）前99个线程会传染其它主机。
4）第100个线程会检查自身是否运行于一个英文版本的 WinNT/2000。
?牐犎绻牵崽婊桓弥骰趁嫖骸癢elcome to http://www.worm.com!， Hacked By Chinese!”该信息会在10小时后自动消失，除非再次受到感染。
?牐牬蚋霰确剿担昂焐搿本拖窀忻安《疽谎狈谝丫桓腥镜募扑慊希猛缯飧龈腥就揪叮ǜ忻霸蚴抢猛倌⒒页荆?，继续感染其他的计算机。其他的计算机之所以会被感染，是因为“免疫力下降”（有了漏洞）的原因。
?牐牎昂焐搿庇辛礁龇⒆魅掌冢绻缒韵低橙掌谖?20日之后，病毒会自动执行，对目标网站发动攻击；当电脑系统日期小于20日，病毒会任意产生网络地址，自我散播及复制自己。
?牐?2.“红色代码Ⅱ”攻击方式分析
?牐犛搿昂焐搿毕啾龋昂焐擘颉辈⒉皇且桓黾虻サ谋渲郑捎谀芄辉诩扑慊献远沧澳韭沓绦颍虼烁貌《颈涞眉Ｏ铡Ｋ墓セ鞴倘缦拢?
?牐?1）“红色代码Ⅱ”同样通过IIS主机的缓冲区溢出的漏洞感染计算机。之后该病毒判断当前操作系统是否为中文。如果是中文操作系统，“红色代码”会潜伏两天，而非中文操作系统测潜伏一天。接下来该病毒开始“繁殖”，复制自己的线程──根据系统语言有所不同。非中文系统为300条线程，而中文系统竟有600条！最后，“红色代码Ⅱ”会在系统中安装一个特洛伊木马程序（explore.exe）。
?牐?2）被“红色代码Ⅱ”感染的主机会自动与某些IP地址（由病毒自动生成）的主机建立联系，一旦成功就会感染对方，从而恶性循环下去。
?牐?3）该病毒会有计划地把cmd.exe 以root.exe的名字复制到msadc 和scripts 目录下，更名后的root.exe成为了一个可怕的后门。并且将名为explore.exe的木马拷贝到本地的驱动器“c:\”和“d:\”。该木马会把“c:”\和“d:\”变成IIS的虚拟目录，以上两点就已经是非常可怕的后门。
?牐牬蚋霰确剿担昂焐擘颉本拖窀骱Φ母忻安《荆坏梢匀眉扑慊吧朔缈人浴保患笆敝瘟频幕埃够峒绦窕伞胺窝住保ū缓诳屯耆刂葡低常?。
?牐?3.“红色代码Ⅲ”攻击方式分析
?牐牎昂焐擘蟆钡墓セ鞣绞接搿昂焐擘瘛ⅱ颉毕嗖钗藜福皇窍叱淌啵腥痉段Ц螅芄惶讲飧嗟腎P地址。使得Internet访问量增加，并导致网络速度的下降。
?牐?4.中毒现象
?牐牎昂焐搿敝饕セ饔镏治⑽牡淖坝蠭IS的微软服务器系统。中毒后，网页会替换该主机的网页页面，同时在特定时间里向网址www.whitehouse.gov 发送 100K 字节数据。假如整个局域网内有多台计算机受到感染，必然会导致整个网络下降。
?牐牎昂焐擘颉ⅱ蟆钡闹饕康氖俏烁扑慊艉诳腿肭值暮竺牛砸坏┓⑾直镜氐那鳌癱:\”和“d:\”下有隐藏属性的“explore.exe”你就要小心了。也可以查看以下目录是否存在cmd.exe文件：
?牐燶inetpub\scripts
?牐燶program files\common files\system\msadc
?牐牬送猓《净峤芎χ骰腃盘和D盘的根目录映射为Web的虚拟目录，所以查看IIS管理器里是否有”C：”和“D：”虚拟目录，也可以得知是否中毒。
#2?牐犎⒃し榔ぉざ喙芷胂拢阑嘉慈?
?牐牥沧坝蠭IS 4.0或者IIS 5.0的Microsoft WinNT和Win2000的主机，是“红色代码”病毒家族传染的对象。我们可以采取以下措施进行病毒预防。
?牐牎袢范ㄊ欠癖桓腥?
?牐?1.查看系统日志
?牐牪榭聪低橙罩镜哪谌菽芄环治龀鍪欠窀腥玖恕昂焐搿薄８萌罩疚挥贑:\winnt\system32\logfiles\w3svc1下的文件中，如果发现含有以下内容的文件，则说明主机已经感染“红色代码”病毒。
?牐牎癎ET/default.ida?NNNNNNNNNNNNN NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0”
?牐犎绻⑾趾幸韵履谌莸奈募蛩得髦骰丫腥尽昂焐擘颉辈《尽?
GET/default.ida?XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0
?牐?2.用工具软件检查
?牐牽梢允褂貌樯惫ぞ逺edCode 2 KILLER进行检测和清除，下载网址：http://www.virusview.net/download/sptools/other/killrc2.exe。同时也可以试试Symantec Security Check，该软件可供检测自己的计算机是否处于危险中，大家可以到www.symantec.com上免费获得。
?牐牎裨し来胧?
?牐?1.下载补丁程序
?牐牬游⑷淼耐鞠略夭苟〕绦颍篽ttp://www.microsoft.com/technet/security/bulletin/MS01-033.asp。
?牐牬覥CERT的网站下载补丁程序：
?牐燱inNT系统：
?牐爁tp://ftp.ccert.edu.cn/pub/CHSQ3009 72i.exe
?牐燱in2000系统：
?牐爁tp://ftp.ccert.edu.cn/pub/Q300972_ W2k_SP3_x86_cn.exe
?牐?2.备份%windowsdir%\system32中的idq.dll文件，然后删除。
?牐?3.不安装IIS的索引服务。
?牐?4.下载相关补丁程序：http://www.kill.com.cn/maindoc/virus/download/mspatch.zip
#2?牐犓摹⒅瘟破ぉけ唇玻赐裂?
?牐犚坏┓⑾帜持骰獾健昂焐搿辈《鞠盗械母腥尽Ｎ颐怯Ω昧⒓床扇」洗胧?，防止事态进一步扩大。
?牐牎袢斯ず粑?
?牐?1. 断开该主机的网络连接，避免病毒扩散和影响网络内的速度。
?牐?2. 立即停止IIS服务。方式是：在“控制面板”中打开“服务”，点击“World Wide Web Publishing Service”，选择“已禁用”。
?牐?3. 重新启动机器，在命令行模式运行删除病毒留下的后门。也就是“C（D）:\explorer.exe”、“C（D）:\inetpub\scripts\root.exe”、，注意应先去掉文件的隐藏和只读属性。
?牐?4.在硬盘目录\inetpub\scripts 和 \program files\common files\system\msadc中， 如果发现cmd.exe文件，一定要立即删除！
?牐?5.修复注册表。
?牐牭慊鳌翱肌薄ⅰ霸诵小保淙搿皉egedit”回车。将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\SFCDisable键值改为0删除HKEY_LOCAL_MACHINESYSTEM\CurrentControlSet\Services\W3SVC\Parameters\Virtual Roots中c:和d:的完全控制键值，硬盘目录\inetpub\scripts和\program files\common files\system\msadc如有cmd.exe，坚决删掉。对于Win 2000系统，需要将HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\WinLogon中的SFCDisable键值改为0。
?牐?6.最后一步，一定要记得重启计算机。
?牐牎裥脑喟茨?
?牐犜谏背恕昂焐擘颉ⅱ蟆贝吹哪韭碇螅鹜私嗣稹霸谆鍪住卑。〈蛏衔⑷硖峁┑牟苟【涂梢郧崴筛愣ā昂焐搿毕盗胁《荆⑶一苟律狭瞬《驹俅稳肭值暮竺拧Ｎ⑷聿苟〉耐肥牵篽ttp://www.microsoft.com/technet/security/bulletin/MS01-033.asp。
#1?牐牎綟unlove】
#2?牐犚弧⒑挝健盎栋?
?牐牎盎栋辈皇且桓雒览龅男稳荽剩皇荙Q上可爱的MM昵称。“欢爱”的英文名字叫做“Funlove”，自1999年以来就遍布全球，让无数的电脑陷入了“悲痛”之中。 “欢爱”古怪精灵，许多杀毒软件总也赶不走她。“杀毒结果”里明明写着“病毒已清除”，可回过头来，你又发现了“欢爱”的踪迹。“欢爱”古怪精灵，不断地变化出她的姐姐妹妹，从“FunLove.4608”到“Funlove.4099”，“欢爱”化身千万，让无数杀毒软件跟在她后面疲于奔命。“欢爱”没有格式化过别人的硬盘，也没有盗走过别人的银行密码，可是“欢爱”喜欢把摇滚乐队“Fun Loving Criminal”的名字反复加到其它文件中，让文件长度增大，占用系统资源，也让你的计算机运行速度急剧下降。被“欢爱”纠缠上的计算机，不管是“奔驰（奔腾4）”还是“毒龙”，都会慢慢回到486的时代，甚至崩溃死机，而网络速度也成了老牛拉破车……
#2?牐牰⒉《驹?
?牐牎盎栋痹诰钟蛲刑乇鹉巡献哂掷矗沤恢埂Ｍ苊浅３１徽勰サ糜衅蘖ΑＤ敲础盎栋钡奶氐闶鞘裁茨兀?
?牐牎盎栋辈《臼峭ü绱ィ腥疚⑷聿僮飨低常庵植《揪哂懈叨鹊牧榛钚裕苑床《救砑亩惚艽锏搅丝涨暗乃健！盎栋辈《就ü缰械墓蚕砟柯际迪制浯ァＴ诵幸桓鍪艿礁腥镜奈募崾挂桓鲂碌南低掣腥旧喜《尽５薄盎栋辈《臼状卧谝桓鯳in95/98计算机上运行时，它会查看Windows系统目录里是否存在FLCSS.exe文件。如果不存在，将会创建一个。FLCSS.exe是“欢爱”病毒的“打手”，它能够在Win9X系统下作为隐含程序运行（任务列表中看不见），在WinNT系统下作为后台服务运行。这样，病毒就能在计算机启动的同时驻留到内存中。在WinNT中，如果用户具有管理员权限，那么该病毒会向两个文件（NTOSKRNL.EXE和NTLDR）中插入代码。当WinNT计算机重新启动时，所有用户在网络上均被授予管理员权限。在这一点上，“欢爱”显得不那么可爱，有点像“流感”，直接降低了系统的“免疫力”。
?牐犜诒镜氐木钟蛲腥绻型耆蚕淼哪柯迹盎栋辈《揪突岢诵槎耄还盎栋辈《揪桓腥疽韵铝凶帜肝椎某绦蛭募篴ler、amon、avp、avp3、avpm、f-pr、navw、scan、smss、ddhe、dpla、mpla。为什么呢？因为这些字母都对应于流行杀毒程序的名称。不感染这些文件，就能避免提前被杀毒软件发现，够狡猾了吧？
?牐犛捎凇盎栋辈《就ü腥境９娉绦蛉〉每刂迫ǎ允沟媚壳肮谕饩蠖嗍倍救砑谏倍臼弊陨硪脖桓腥荆⑶也荒芡耆宄鱿至恕吧辈痪 钡南窒蟆Ｒ恍┥倍救砑腄os下可以清除该病毒，但同时也会把“无辜”的文件也“杀死”，且对于WinNT/2000的NTFS分区无效。
?牐犎绻恍⌒谋弧盎栋辈《救肭郑扑慊岜涞靡斐；郝蘼凼巧贤故亲銎渌虑椋绦虻木；岢鱿治薹ㄏ煊Φ南窒蟆Ｕ馐且蛭诓《痉⒆魇保辛舜罅康穆肪恫檎液投员龋沟孟低晨捎米试唇档偷脑颉Ｑ≡褚桓鱿低澄募热纭皐in.com”，然后记下它的文件长度，和正常的计算机上的文件（相同系统）比较，如果该文件比正常长，那你就要小心了。什么都没有做而计算机的硬盘灯却闪个不停，也是感染了“欢爱”的现象之一。
?牐燱inNT和Win2000服务器版的用户可查看计算机上的后台服务，点“开始”→“设置”→“控制面板”→“服务”，如果发现有一个名为“FLCSS.exe”在上面，不用怀疑了，你中招了！
#2?牐犎⒏暇∩本?
?牐犠?家们把“欢爱”病毒称为“良性病毒”，可不管是“良性”还是“恶性”，病毒终究是病毒，它给我们的计算机带来了无穷的烦恼，为此我们必须将其赶尽杀绝！
?牐?1.KV3000杀除法
?牐犚訩V3000为例，谈谈如何彻底清除“欢爱”病毒。使用其它杀毒软件也可参考以下步骤。
?牐牭谝徊剑菏褂酶删籇OS系统软盘启动计算机。
?牐牭诙剑褐葱蠯V3000.EXE，查杀硬盘。
?牐牭谌剑菏褂肒VD3000（光盘）来清除病毒，使用KV3000磁盘中的B盘启动计算机。
?牐牭谒牟剑浩舳晒?后，可以识别光盘驱动器。如果硬盘分两个区（C、D），那么光驱的盘符就是E盘。
?牐牭谖宀剑航獽V3000的A盘（密钥盘）插入软驱中。
?牐牭诹剑旱鼻芭谭怀晒馇呐谭鏓盘。
?牐牭谄卟剑喝绻褂玫氖潜始潜镜缒裕荒芴婊唤尤砬蚬馇？梢杂糜才唐舳缓蠼獽V3000光盘放进光驱，将KV3000光盘根目录下的KVD3000.EXE、 KV3000A.LIB、KV3000B.LIB、KV3000C.LIB、KV3000U.LIB拷贝到C:\KVW3000子目录下。然后，换上软驱，将KV3000的A盘?熋茉颗蹋牱沤砬僦葱蠧:\KVW3000子目录内的KVD3000即可。其中KV3000U.LIB是新病毒升级库文件，可从网站上下载最新版本（网址：http://www.jiangmin.com.cn/file/kv3000u/kv3000u.lib），下载后覆盖C:\KVW3000子目录内的旧KV3000U.LIB即可。
?牐牭诎瞬剑褐葱忻睢癆：>KVD3000 C:/K”该命令可以查杀C盘下的所有文件中的该病毒。
?牐牭诰挪剑涸谇宄《疽院竽承┪募赡芤丫鸹担υ儆谜Ｎ募哺腔滴募蛘咧刈跋低场?
?牐燱in9x/NT/2000系统的NTFS硬盘分区感染“欢爱”病毒后，因用DOS软盘引导后不认硬盘分区，所以无法杀毒。而在患毒的Win9x/NT/2000系统下又杀不干净病毒。怎么办呢？可按如下方法杀毒。
?牐牭谝徊剑赫乙晃薅镜牟⒆坝蠾in9x/NT/2000系统的机器，将KVW3000安装到硬盘中。
?牐牭诙剑航级镜挠才坦医釉谖薅镜幕魃献鑫优獭?
?牐牭谌剑浩舳扑慊螅饔肒VW3000或KVD3000查杀从盘中的病毒。
?牐?2.综合杀除法
?牐牭谝徊剑焊率滞飞系纳倍救砑蛘呦略刈?门的杀毒程序。
?牐牭诙剑合略豐ymantec公司出品的一个专门清除funlove病毒的小工具（FixFun）：
?牐爃ttp://go2.163.com/~cnav/avsoft/fixf
?牐爑n.exe
?牐爃ttp://cnav.myrice.com/avsoft/fixfun.exe
?牐爃ttp://cnav.533.net/avsoft/fixfun.exe
?牐犚陨先我庖桓黾纯桑略睾蟊４嬖谌砼躺稀?
?牐牭谌剑喝绻阆终诵性赪indows环境中，首先查看一下本机有没有设置共享的目录或共享分区，如果有则取消共享（按鼠标右键点击共享的目录或共享的分区，选择“共享?煟℉）...”，在弹出的对话框中选择“不共享”，然后按“确定”退出）。
?牐牭谒牟剑旱慊髯笙陆堑摹翱肌辈说ィ≡瘛肮乇障低场保缓笱≡瘛爸匦缕舳扑慊薄?
?牐牭谖宀剑嚎舳缒允保贸鋈砬械娜砼毯凸馇械墓馀蹋醋 癈trl”键或在出现“Start Windows98...”时按“F8”键，然后选择“Command Prompt Only”，进入纯Dos系统。
?牐牭诹剑荷境鼵:\Windows目录下的FLCSS.exe（假设你的系统目录在C盘上）。
?牐?1）在C盘目录下进入C:\Windows\System，格式如下：
?牐燙:\>cd Windows\System
?牐?2）查找是否有FLCSS.exe这个文件，格式如下：
?牐燙:\Windows\System>dir flcss.exe
?牐?3）如果存在FLCSS.exe，则需要删除它，格式如下：
?牐燙:\Windows\System>attrib flcss.exe -r -h -s
?牐燙:\Windows\System>del flcss.exe
?牐牭谄卟剑涸诵猩辈《境绦蚯宄《荆蛘咴诵衒ixfun.exe进行杀毒：
?牐?1）插入保存有fixfun.exe的软盘。
?牐?2）转换盘符到A盘，格式如下：
?牐燙:\>a:
?牐?3）运行fixfun.exe进行杀毒：
?牐牰訡盘进行杀毒：
?牐燗:\>fixfun c:
?牐牰匀探猩倍荆?
?牐燗:\>fixfun /a
?牐牭诎瞬剑涸赪indows环境下运行杀毒软件，检查文件类型注意选择所有文件类型。然后对所有分区进行检查，确认病毒已经完全清除。
?牐?3.查杀NTFS分区的“欢爱”病毒
?牐牭谝徊剑合略豷canfunlove.exe，这是创源公司出的一个专门在WinNT/2000环境下清除funlove病毒小工具，下载地址如下：
?牐爃ttp://go2.163.com/~cnav/avsoft/scanfunlove.exe
?牐爃ttp://cnav.myrice.com/avsoft/scanfunlove.exe
?牐爃ttp://cnav.533.net/avsoft/scanfunlove.exe
?牐犚陨先我庖桓黾纯桑略睾蟊４娴揭徽趴瞻椎娜砼躺稀?
?牐牭诙剑喝サ敉绻蚕恚匦缕舳扑慊?
?牐牭谌剑赫Ｒ贾罭T系统中，用Administrator登录。
?牐牭谒牟剑航衧canfunlove.exe文件的软盘写保护，插入软驱中。
?牐牭谖宀剑涸诵腥砼躺系膕canfunlove.exe文件。
?牐牭诹剑喝范ㄏ低持忻挥衅渌τ贸绦蛟谠诵校慊鳌癉o it!”按钮。
?牐牭谄卟剑涸诔绦虼翱谥谢岢鱿窒嘤Φ募觳饨峁?
?牐牭诎瞬剑喝绻诖娣⑾只疃牟《静⑶椅薹ㄇ宄保崽崾局匦缕舳低常罅⒓丛俅卧诵蠸CANFUNLOVE，重复前面的操作，即可杀除内存中的病毒。
?牐牭诰挪剑耗诖娌《厩宄螅嵝对孛狥LC的服务，然后对NTLDR和NTOSKRNL两个系统文件重打补丁。
?牐牭谑剑篠CANFUNLOVE会提示将要进行整个文件系统的病毒扫描，要注意这个扫描过程可能很长，在此过程中不能启动任何其它程序，以防病毒重新被激活。
?牐犛捎凇盎栋辈《镜奈：π灾饕谟谕ü钟蛲诘墓蚕砟柯即ィ蚨３Ｉ敝痪⒀现赜跋焱缢俣取Ｒ虼耍谕痪钟蛲诘挠没вΩ锰岣吒髯缘陌踩馐叮沧安《痉阑鹎剑⒓笆备隆＞圆灰诿挥胁《痉阑鹎降谋；は驴敉耆蚕砟柯肌４送猓箍梢栽谙略亟鹕蕉景寓蚋酱腇unlove清扫器（网址：http://www.iduba.net/download/other/Kill Fu-nlove.exe），“时时勤拂拭，当使免尘埃”。