参照图：CNNIC的影子驱动，蓝色圈起来的是主驱动，红色的是影子驱动，影子驱动的名字是随机的，每次开机都不相同。
　　 借这张图把上次有朋友问的清除CNNIC的剩余问题给解答一下子：
　　 在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root键下还有与驱动服务相匹配的一些键，如果用其它的清除工具，记得也要清了。如果是用狙剑5.0.0.7就不用了，清除驱动项时会自动清理那个键的。（注意：5.0.0.6版没有相应功能，汗～可能自动检测影子驱动的功能也没有～～手工删除或找别的工具用吧，实在不行就等5.0.0.7出试用版吧～）
　　 清的时候清干净喽～～否则～～嘿～～死恢复燃就是说这个的～～
　　 CNNIC还有关机通知的功能～～别忘记了～～不然即使清干净了，关机时它就又写回去了～～
　　 什么？不知道怎么对付～～汗～～～这个偶暂时也没找到合适的工具，虽然写程序对付最简单，但没有通用性，不值得为这一个家伙写个程序。
　　 暂时有两个方法可以解决：
　　 一个是笨办法。关机时不是由系统通知它的么？偶们就连系统也不通知不就完了，直接按RESET键冷启动机器就OK了～～　-_-!
　　 二个是先恢复FSD的HOOK与INLINE-HOOK，然后把相关的程序文件、驱动文件、DLL文件全删除了，然后重启，再删一遍启动项，也就OK了～（注意，锁定系统好像对CNNIC也不大好用的说～郁闷～）
　　
　　 另外，惯于用AutoRuns.exe的朋友注意了，我用的AutoRuns.exe是8.22版的查不出来CNNIC的驱动启动项～如果查杀CNNIC就先换一个用吧～

             编后记：文章不是一般的长，但是，如果你认真的读了此文的话，你应该对查杀木马有了非常深刻的了解了，而且，如果你是一位网络安全知识的初学者的话，读后应该在这一方面的知识可能有了成倍的增长，当然，高手除外。

转截请注明:文章来自 pc捍卫者 http://www.pchwz.com 本站发布此文为传递更多信息之目的,不表明pc捍卫者赞同其观点