Thinking in Robert

話說今天幫user掃毒的時候，因為中的是木馬之類的毒，所以我依照平常的解毒流程，
清一清 c:\windows\system32 裡面 & regedit 裡面的東西...
再加上費爾這個強力助手，大概又是一次完美的掃毒表現了吧...
就等著重開機之後，就可以拍拍屁股走人了....
沒想到...重開完機之後，卻一登入就立刻登出...

屢試不爽...試過所有的 username...連 Administroatr 都用上了...
不管是正常模式或是安全模式都還是一樣不行...

我想大概是動到了 regedit 裡面的內容，其中有一個被我誤刪了吧...
馬上上網搬救兵...還終於在卡巴斯基裡面找了解決的方法....

總之方法就是
1.從利用WindowsXP的安裝光碟，由光碟開機後，按R進入[修復主控台]
2.先把原先的 regedit 時的本尊 [software]，備份起來。(沒有副檔名的檔)
　把 c:\windows\system32\config\software 備份到 c:\windows\regtemp\ 下
3.將 c:\windows\repair\software 的備份檔，放到 c:\windows\system32\config\下
4.重新開機，進入 WindowsXP，此時是新的登入，所有的設定都會不見。
5.開啟 regedit 在「HKEY_LOCAL_MACHINE」的資料夾，點工具列的[ 檔案\新增「Hive控制檔」]
　指向原來的那個 c:\windows\regtemp\software
6.編輯 HKEY_LOCAL_MACHINE\regtemp\Microsoft\WindowsNT\CurrentVersion\Winlogon\下
　的 Userinit  這組機碼，先備份起這個機碼的字串內容。
　如果你的字串內容跟我一樣被刪掉了，那請用這個吧 c:\windows\system32\userinit.exe
7.備份好之後，先刪除 Userinit 這組機碼，再新增一個 userinit 這組機碼，
　並把剛剛備份的字串內容貼回去 userinit 機碼的字串內容裡。
　注意：第一碼有大小寫不一樣唷。
8.再點選「HKEY_LOCAL_MACHINE」的資料夾，點工具列的[檔案\移除「Hive控制檔」]
9.重新開機，並進入修復主控台模式。
10.將 c:\windows\regtemp\software 複製到 c:\windows\system32\config\ 下
 　將原檔覆蓋之後，重新開機即可，至此大功告成囉!!

---

原始內容請參照
http://web.kaspersky.com.tw/KL-Services/FAQ/6.0alt/6-13alt.htm

---

刪除病毒後，重新啟動卻無法登入系統
1.先重新開機，放入WIN XP原版光碟，進到以下畫面，選擇R，到修復主控台。
2.進入Recovery Console命令提示列
操作方式：
l 進入後，選擇1「C:\WINDOWS」，輸入Administrator的密碼
l 輸入md regtemp -> ENTER
l 輸入copy c:\windows\system32\config\software c:\windows\regtemp -> ENTER
l 輸入del  c:\windows\system32\config\software -> ENTER
l 輸入copy c:\windows\repair\software -> ENTER(從repair複製一個回來)
l 輸入exit -> ENTER 重新開機後，進入系統

3.進入作業系統（此時所有軟體設定值會全部遺失）
操作方式：
Ⅰ.執行系統登錄編輯器，「執行」，輸入「regedit」

Ⅱ.進入至「登錄編輯程式」，新增「Hive控制檔」
點選「HKEY_LOCAL_MACHINE」的資料夾，在點選工具列方的「檔案 \ 載入Hive控制檔」

Ⅲ.「載入Hive控制檔」指向資料夾C:\windows\regtemp裡找到software這個檔案，按「開啟」

Ⅳ.給Hive所載入的一個新的機碼名稱，輸入「regtemp」，並按「確定」

Ⅴ.回至「登錄編輯程式」
看在「HKEY_LOCAL_MACHINE」的資料夾下，將多一個「regtemp」資料夾

Ⅵ.進入至「regtemp」資料夾
找到位於：HKEY_LOCAL_MACHINE\regtemp\Microsoft\WindowsNT\CurrentVersion\Winlogon下Userinit這組機碼

Ⅶ.複製「Winlogon」下「Userinit」這組機碼字串內容，在「Userinit」點右鍵，選「修改」

Ⅷ.在「編輯字串」，複製「數值資料」內容 ( 內容為c:\windows\system32\userinit.exe )
圈選「數值資料」內容，將其反藍，按右鍵「複製」，再按「取消」。

---

Robert 貼心註解
重點：刪除Userinit這組機碼，並新增一個userinit 這組機碼，使userinit這組機碼的字串內容相同。

---

Ⅸ.刪除「Userinit」這組機碼。「Userinit」這組機碼上，按右鍵，再按「刪除」

ⅩⅠ.新增字串值。在「Winlogon」下資料夾上，按右鍵，選「新增」->「字串值」

ⅩⅡ.變更名稱。將「新數值＃1」更改輸入為「userinit」(Robert 貼心註解，小寫)

ⅩⅢ.貼上「Userinit」這組機碼字串內容。在「userinit」點右鍵，選「修改」

ⅩⅣ.在「編輯字串」，貼上「數值資料」內容
圈選「數值資料」內容，將其反藍，按右鍵「貼上」，再按「確定」

ⅩⅤ.確認「userinit」這組機碼字串內容
察看「userinit」這組機碼，的資料欄裡，確認是否有顯示之前複製的字串內容

ⅩⅥ.進入至「登錄編輯程式」，移除「Hive控制檔」
回到「HKEY_LOCAL_MACHINE」的資料目錄下，找到「regtemp」的資料夾，點選「regtemp」的資料夾，在點選左上方的「檔案」，在點選下列選項中的「Hive解除載入」

ⅩⅦ.確認解除Hive載入，關閉「登錄編輯程式」

ⅩⅨ.將電腦重新開機，到「修復主控台」
重新開機後，在依之前上述的 1.步驟，放入WIN XP原版光碟，進到「Windows XP Professional 安裝程式」畫面，選擇R，到「修復主控台」

4.進入Recovery Console命令提示列
操作方式：
Ⅰ.進入後，選擇1「C：\WINDOWS」，輸入Administrator的密碼
Ⅱ.輸入cd system32 -> ENTER   
Ⅲ.輸入cd config -> ENTER  
Ⅳ.輸入del software -> ENTER
Ⅴ.輸入copy windows\regtemp\software -> ENTER
Ⅵ.輸入exit -> ENTER     
Ⅶ.重新開機後，進入系統，即恢復正常