2
2010/04/09 
15:05 
55172
在Windows XP中，往往会因各种原因导致无法共享打印机，这个时候你是不是束手无策了?解决问题需要对症下药，让我们来了解一下在Windows XP中共享打印机时最容易出现的种种问题以及解决办法。
总体思路：
1、启用guest账户。
2、添加“NWLink IPX/SPX/NetBIOS Compatible Transport Protocol”协议。
3、设置“tcp/ip 协议的属性，"启用TCP/IP上的netBIOS""。tcp/cip--高级---wins---netbios设置。
4、设置组策略，windows设置--本地策略---安全选项--网络访问：可以匿名访问的共享，加入printe$,或者共享的打印机名称。
5、设置家庭或者小型办公网络。
6、其他的内容参考一下网络上的文档。
现象一：网上邻居无法正常浏览
在Windows XP中共享打印机，首先要做的并不是直接在工作站中安装网络打印机，而是应该先看看“网上邻居”中的“查看工作组计算机”项是否能正常浏览、是否出现安装有打印机的计算机（下称打印服务器）。如果能够找到打印服务器，则表示共享打印机的基本条件已经具备，如果出现错误，则应首先解决这个问题。
解决办法：在确认局域网工作组名称一致的前提下，进入“本地连接”属性窗口，点击“安装”按钮添加“NWLink IPX/SPX/NetBIOS Compatible Transport Protocol”协议，现在不用重启即可解决无法查看工作组计算机或是单击“查看工作组计算机”项后出现的“没有权限浏览某某工作组……”之类的问题。
总体思路：
1、启用guest账户。
2、添加“NWLink IPX/SPX/NetBIOS Compatible Transport Protocol”协议。
3、设置“tcp/ip 协议的属性，"启用TCP/IP上的netBIOS""。tcp/cip--高级---wins---netbios设置。
4、设置组策略，windows设置--本地策略---安全选项--网络访问：可以匿名访问的共享，加入printe$,或者共享的打印机名称。
5、设置家庭或者小型办公网络。
6、其他的内容参考一下网络上的文档。
现象一：网上邻居无法正常浏览
在Windows XP中共享打印机，首先要做的并不是直接在工作站中安装网络打印机，而是应该先看看“网上邻居”中的“查看工作组计算机”项是否能正常浏览、是否出现安装有打印机的计算机（下称打印服务器）。如果能够找到打印服务器，则表示共享打印机的基本条件已经具备，如果出现错误，则应首先解决这个问题。
解决办法：在确认局域网工作组名称一致的前提下，进入“本地连接”属性窗口，点击“安装”按钮添加“NWLink IPX/SPX/NetBIOS Compatible Transport Protocol”协议，现在不用重启即可解决无法查看工作组计算机或是单击“查看工作组计算机”项后出现的“没有权限浏览某某工作组……”之类的问题。
病毒名称：“机器狗”新变种Trojan-Downloader.Win32.Small.adgo
病毒症状：该样本是使用“VC”编写的木马下载器，采用“UPX”加壳方式，企图躲避特征码扫描，加壳后长度为“28,672 字节”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播，病毒主要目的为下载病毒并运行。用户中毒后，会出现系统运行缓慢、网络速度降低、出现大量未知进程、部分杀毒软件无法运行等现象。
感染对象：Windows 2000/Windows XP/Windows 2003
传播途径：网页木马、文件捆绑、下载器下载
病毒分析：
（1）创建名为"ffgio"的互斥体，防止重复运行。
（2）获取当前进程快照，查找进程egui.exe、ekrn.exe是否存在，如果找到，终止其进程，并删除服务。
（3） 继续查找进程avp.exe、safeboxtray.exe、360tray.exe进程是否存在，如果找到，创建线程，释放动态链接库%TEMP%\~34683.kx(文件名随机生成)，通过调用%SystemRoot%\system32\rundll32.exe加载该动态链接库，加载之后，创建名为"aav"的服务，通过该服务将杀软进程终止，并删除服务。并且对其作镜像劫持，病毒会不断枚举当前窗口，一旦找到与反病毒相关的窗口，就将其退出。
（4）释放驱动文件%TEMP%\~96753.ex(文件名随机生成),并释放同名病毒程序%TEMP%\~96753.exe,创建注册表，实现病毒开机自启动。
（5）释放文件%SystemRoot%\System32\td0RZ.exe,提升自身进程权限，并创建名为"vb"的服务，加载驱动%TEMP%\~96753.ex。通过该驱动将病毒代码写入%SystemRoot%\System32\userinit.exe,完成感染userinit.exe。
（6）创建名为"ao1"的设备，并执行%SystemRoot%\System32\td0RZ.exe，通过控制该设备与程序td0RZ.exe进行通信。
（7）运行%SystemRoot%\System32\td0RZ.exe之后，病毒比较自身是否为userinit.exe,如果是，则继续执行，如果不是，则创建互斥体，并创建新线程，获得当前进程列表，查找进程"qq.exe"和"cmd.exe"是否存在，如果找到进程"qq.exe"，则收集该进程对应程序的使用相关信息，连同被感染机器的Mac地址一起发送到病毒指定网址，如果找到进程"cmd.exe"，则终止该进程。
病毒症状：该样本是使用“VC”编写的木马下载器，采用“UPX”加壳方式，企图躲避特征码扫描，加壳后长度为“28,672 字节”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“网页挂马”等方式传播，病毒主要目的为下载病毒并运行。用户中毒后，会出现系统运行缓慢、网络速度降低、出现大量未知进程、部分杀毒软件无法运行等现象。
感染对象：Windows 2000/Windows XP/Windows 2003
传播途径：网页木马、文件捆绑、下载器下载
病毒分析：
（1）创建名为"ffgio"的互斥体，防止重复运行。
（2）获取当前进程快照，查找进程egui.exe、ekrn.exe是否存在，如果找到，终止其进程，并删除服务。
（3） 继续查找进程avp.exe、safeboxtray.exe、360tray.exe进程是否存在，如果找到，创建线程，释放动态链接库%TEMP%\~34683.kx(文件名随机生成)，通过调用%SystemRoot%\system32\rundll32.exe加载该动态链接库，加载之后，创建名为"aav"的服务，通过该服务将杀软进程终止，并删除服务。并且对其作镜像劫持，病毒会不断枚举当前窗口，一旦找到与反病毒相关的窗口，就将其退出。
（4）释放驱动文件%TEMP%\~96753.ex(文件名随机生成),并释放同名病毒程序%TEMP%\~96753.exe,创建注册表，实现病毒开机自启动。
（5）释放文件%SystemRoot%\System32\td0RZ.exe,提升自身进程权限，并创建名为"vb"的服务，加载驱动%TEMP%\~96753.ex。通过该驱动将病毒代码写入%SystemRoot%\System32\userinit.exe,完成感染userinit.exe。
（6）创建名为"ao1"的设备，并执行%SystemRoot%\System32\td0RZ.exe，通过控制该设备与程序td0RZ.exe进行通信。
（7）运行%SystemRoot%\System32\td0RZ.exe之后，病毒比较自身是否为userinit.exe,如果是，则继续执行，如果不是，则创建互斥体，并创建新线程，获得当前进程列表，查找进程"qq.exe"和"cmd.exe"是否存在，如果找到进程"qq.exe"，则收集该进程对应程序的使用相关信息，连同被感染机器的Mac地址一起发送到病毒指定网址，如果找到进程"cmd.exe"，则终止该进程。
目前，恶意程序Trojan-Dropper.Win32.VB.jen正在广泛传播，该病毒运行后在各盘中都会创建一个autorun.inf文件，导致各盘双击或右键均无法打开，隐藏用户原有的文件夹并创建以用户原有文件夹名命名，图标为文件夹图标的.exe文件，篡改首页为http://www.redtube.com，并修改IE窗口标题为反腐字眼（STOP CORRUPTION!!!）。
一、病毒相关分析：
病毒标签：
病毒名称：Trojan-Dropper.Win32.VB.jen
病毒别名：反腐蠕虫
感染平台：Windows
病毒大小：206336 bytes
S H A 1 ：f57aae6c1fbcf52be41333633fc00d2e625e31f1
加壳类型：UPX V2.00-V3.00
开发工具：Microsoft Visual Basic 5.0 / 6.0
病毒行为：
1、在各盘下创建autorun.inf，导致各盘均无法使用双击或右键打开。
2、生成以下病毒文件：
%Windir%\kagwang.exe 206,336字节
%Windir%\asifucan.exe 167,424 字节
%Windir%\details.bat 167,424 字节
%Windir%\important.mp3.scr 167,424 字节
%Windir%\important.htm.scr 167,424 字节
%Windir%\info.exe 167,424 字节
%Windir%\news.bat 167,424 字节
一、病毒相关分析：
病毒标签：
病毒名称：Trojan-Dropper.Win32.VB.jen
病毒别名：反腐蠕虫
感染平台：Windows
病毒大小：206336 bytes
S H A 1 ：f57aae6c1fbcf52be41333633fc00d2e625e31f1
加壳类型：UPX V2.00-V3.00
开发工具：Microsoft Visual Basic 5.0 / 6.0
病毒行为：
1、在各盘下创建autorun.inf，导致各盘均无法使用双击或右键打开。
2、生成以下病毒文件：
%Windir%\kagwang.exe 206,336字节
%Windir%\asifucan.exe 167,424 字节
%Windir%\details.bat 167,424 字节
%Windir%\important.mp3.scr 167,424 字节
%Windir%\important.htm.scr 167,424 字节
%Windir%\info.exe 167,424 字节
%Windir%\news.bat 167,424 字节
认识USP10.dll：
USP是Unicode Scripts Processor的简称，意思就是“Unicode文字系统处理器”。它是微软开发的Windows作业系统为正确演示Unicode文字而开发的组件，系统的核心即一个名为USP10.DLL的DLL。它从Windows 2000开始连同Windows一起捆绑，Win 9x的用户在更新至Internet Explorer 5.0之后，系统亦会安装有本组件。USP的当前最新版本是随同Windows Server 2008 RTM、Windows Vista SP1等所附带的1.626.6001.18000。
USP主要包括以下的部件：
1.把文字从输入次序重排成为显示次序
2.把文字按前文后理作出适当的变换
3.按文字显示的方向作出字元的替换
虽然Uniscribe从Windows 2000开始随系统提供，但不同版本的Uniscribe对各地不同的文字有不同的支持：最初的版本只支持泰语、越南语，之后到希伯来语和阿拉伯语。从Windows XP开始支援几个主要的南亚文字及亚述语，但僧加罗语、高棉语、缅甸语及各种使用蒙古文字的语言，由于他们的具体编码方式在Windows XP推出时还未落实，因此未能正式支持。现时不少为这些语言而设计的软体，在USP10.dll未更新之前，都不能正确操作。
总结一下：
DLL文件：usp10或者usp10.dll
DLL名称：Uniscribe Unicode script processor
描述：usp10.dll是字符显示脚本应用程序接口相关文件。
属于：Uniscribe
系统 DLL文件：是
常见错误：File Not Found, Missing File, Exception Errors
USP10.dll病毒原理：
USP是Unicode Scripts Processor的简称，意思就是“Unicode文字系统处理器”。它是微软开发的Windows作业系统为正确演示Unicode文字而开发的组件，系统的核心即一个名为USP10.DLL的DLL。它从Windows 2000开始连同Windows一起捆绑，Win 9x的用户在更新至Internet Explorer 5.0之后，系统亦会安装有本组件。USP的当前最新版本是随同Windows Server 2008 RTM、Windows Vista SP1等所附带的1.626.6001.18000。
USP主要包括以下的部件：
1.把文字从输入次序重排成为显示次序
2.把文字按前文后理作出适当的变换
3.按文字显示的方向作出字元的替换
虽然Uniscribe从Windows 2000开始随系统提供，但不同版本的Uniscribe对各地不同的文字有不同的支持：最初的版本只支持泰语、越南语，之后到希伯来语和阿拉伯语。从Windows XP开始支援几个主要的南亚文字及亚述语，但僧加罗语、高棉语、缅甸语及各种使用蒙古文字的语言，由于他们的具体编码方式在Windows XP推出时还未落实，因此未能正式支持。现时不少为这些语言而设计的软体，在USP10.dll未更新之前，都不能正确操作。
总结一下：
DLL文件：usp10或者usp10.dll
DLL名称：Uniscribe Unicode script processor
描述：usp10.dll是字符显示脚本应用程序接口相关文件。
属于：Uniscribe
系统 DLL文件：是
常见错误：File Not Found, Missing File, Exception Errors
USP10.dll病毒原理：
公司禁用U盘和移动硬盘的原因多种多样，最响亮的原因就是防止员工带走机密资料，在这里我提供一种不用专业软件的小技巧给大家，因为你的老板永远相信“自己能解决的事，别花钱”。
方法一，BIOS设置法（快刀斩乱麻法）
进入BIOS设置，选择“Integrated Peripherals”选项，展开后将“USB 1.1 Controller”和“USB 2.0 Contr01ler”选项的属性设置为“Disableed”，即可禁用USB接口。最后别忘记给BIOS设置上一个密码，这样他人就无法通过修改注册表解“锁”上述设备了。
注意：这个方法是完全禁止了USB接口，也就是说各种USB接口的设备均不能用了，当然也包括了U盘和移动盘。由于此发过于霸道，请慎用。
方法二，禁止闪盘或移动硬盘的启动（适用于Windows XP/2000/2003）
打开注册表编辑器，依次展开如下分支[HKEY_LOCAL_MACHINE\SYSTEM\CurrentCntrolSet\Services\USBSTOR]，在右侧的窗格中找到名为“Start”的DWORD值，双击，在弹出的编辑对话框中将其数值数据修改为十六位进制数值“4”。点“确定”按钮并关闭注册表编辑器，重新启动计算机，使设置生效。重启后，当有人将USB存储设备连接到计算机时，虽然USB设备上的指示灯在正常闪烁，但在资源管理器当中就是无法找到其盘符，因此也就无法使用USB设备了。
方法三，隐藏盘符和禁止查看（适用于Windows系统）
打开注册表编辑器，依次展开如下分支[HKEY_CURRENT_USER\software\Microsoft\Windows\CurrentVersion\Ploicies\Explorer]，新建二进制值“NoDrives”，其缺省值均是00 00 00 00，表示不隐藏任何驱动器。键值由四个字节组成，每个字节的每一位（bit）对应从A:到Z:的一个盘，当相应位为1时，“我的电脑”中相应的驱动器就被隐藏了。第一个字节代表从A到H的8个盘，即01为A，02为B，04为C……依次类推，第二个字节代表I到P，第三个字节代表Q到X，第四个字节代表Y和Z。比如要关闭C盘，将键值改为04 00 00 00；要关闭D盘，则改为08 00 00 00，若要关闭C盘和D盘，则改为0C 00 00 00(C是十六进制，转成十进制就是12)。
方法一，BIOS设置法（快刀斩乱麻法）
进入BIOS设置，选择“Integrated Peripherals”选项，展开后将“USB 1.1 Controller”和“USB 2.0 Contr01ler”选项的属性设置为“Disableed”，即可禁用USB接口。最后别忘记给BIOS设置上一个密码，这样他人就无法通过修改注册表解“锁”上述设备了。
注意：这个方法是完全禁止了USB接口，也就是说各种USB接口的设备均不能用了，当然也包括了U盘和移动盘。由于此发过于霸道，请慎用。
方法二，禁止闪盘或移动硬盘的启动（适用于Windows XP/2000/2003）
打开注册表编辑器，依次展开如下分支[HKEY_LOCAL_MACHINE\SYSTEM\CurrentCntrolSet\Services\USBSTOR]，在右侧的窗格中找到名为“Start”的DWORD值，双击，在弹出的编辑对话框中将其数值数据修改为十六位进制数值“4”。点“确定”按钮并关闭注册表编辑器，重新启动计算机，使设置生效。重启后，当有人将USB存储设备连接到计算机时，虽然USB设备上的指示灯在正常闪烁，但在资源管理器当中就是无法找到其盘符，因此也就无法使用USB设备了。
方法三，隐藏盘符和禁止查看（适用于Windows系统）
打开注册表编辑器，依次展开如下分支[HKEY_CURRENT_USER\software\Microsoft\Windows\CurrentVersion\Ploicies\Explorer]，新建二进制值“NoDrives”，其缺省值均是00 00 00 00，表示不隐藏任何驱动器。键值由四个字节组成，每个字节的每一位（bit）对应从A:到Z:的一个盘，当相应位为1时，“我的电脑”中相应的驱动器就被隐藏了。第一个字节代表从A到H的8个盘，即01为A，02为B，04为C……依次类推，第二个字节代表I到P，第三个字节代表Q到X，第四个字节代表Y和Z。比如要关闭C盘，将键值改为04 00 00 00；要关闭D盘，则改为08 00 00 00，若要关闭C盘和D盘，则改为0C 00 00 00(C是十六进制，转成十进制就是12)。
