如果楼主带宽好的话
留下QQ，远程控制看看
就再牺牲次

用sreng扫描出来的也很大哦,弄出来的可疑问题更多了

不过首先要感谢下J_muse 等大人的热心帮助,这几天真的搞的我焦头烂额的,下午那会QQ又被人申述去了,哎

这次扫描出来的可疑文件有8M多呢

夲號ヱ被ジ盜大人我的带宽不怎么行,上个8M的文件搞了差不多10分钟

呵呵，一般来说上行速度是不如下行速度的，上传慢很正常。

大人门我还发现我的系统里有2个svchost文件

不知道是不是马

一个在SYS32下面,还有个在C:\WINDOWS\system32\dllcache

2个的MD5是一样的


70012 F:\PROGRAM FILES\THUNDER NETWORK\THUNDER\COMDLLS\XUNLEIBHO_NOW.DLL
70025 C:\WINDOWS\INF\MSMSGS.INF
70000 D:\PROGRA~1\AVG\AVG8\AVGWDSVC.EXE
70000 D:\PROGRA~1\RISING\RAV\RAVMOND.EXE
70012 F:\PROGRAM FILES\THUNDER NETWORK\THUNDER\COMDLLS\TDATONCE_NOW.DLL
70004 D:\PROGRA~1\AVG\AVG8\AVGTRAY.EXE
70012 C:\WINDOWS\SYSTEM32\RAVEXT.DLL
70004 D:\PROGRAM FILES\RISING\RFW\RSTRAY.EXE
70000 D:\PROGRA~1\RISING\RFW\CCENTER.EXE
70012 D:\PROGRAM FILES\AVG\AVG8\AVGSE.DLL
70000 D:\PROGRAM FILES\RISING\RAV\RAVTASK.EXE
70023 C:\WINDOWS\SYSTEM32\AVGRSSTX.DLL
70025 C:\WINDOWS\INF\MSNETMTG.INF
70012 C:\WINDOWS\SYSTEM32\MSVCP71.DLL
70012 F:\PROGRAM FILES\THUNDER NETWORK\THUNDER\COMPONENTS\RESWORKER\DATAPROCESSOR_00.DLL
70012 D:\PROGRAM FILES\WINRAR\RAREXT.DLL
70004 C:\WINDOWS\RTHDCPL.EXE
70004 C:\WINDOWS\SYSTEM32\KMON.DLL
70014 D:\PROGRAM FILES\RISING\ANTISPYWARE\SYSLAY.DLL
71001 F:\SRENG2\SRENGLDR.EXE
70000 D:\PROGRA~1\RISING\RAV\SCANFRM.EXE
70004 D:\PROGRAM FILES\RISING\ANTISPYWARE\RSTRAY.EXE
70000 D:\PROGRA~1\RISING\RAV\CCENTER.EXE
70000 C:\WINDOWS\SYSTEM32\ATI2EVXX.EXE
70025 C:\WINDOWS\INF\WMP11.INF
70014 D:\PROGRAM FILES\RISING\ANTISPYWARE\COMX3.DLL
70012 C:\WINDOWS\SYSTEM32\MSVCR71.DLL
70012 C:\PROGRAM FILES\ATI TECHNOLOGIES\ATI.ACE\CORE-STATIC\ATIACMXX.DLL
70015 C:\WINDOWS\SYSTEM32\ATI2EVXX.DLL
70004 D:\PROGRAM FILES\RISING\RAV\RSTRAY.EXE
70004 D:\PROGRAM FILES\RISING\RAV\RSSAFETY.EXE
70004 C:\WINDOWS\ALCMTR.EXE
70011 C:\WINDOWS\SYSTEM32\MSI.DLL
70012 D:\PROGRAM FILES\ALIWANGWANG\ALIIMEXT.DLL
70000 D:\PROGRA~1\RISING\RFW\RFWSRV.EXE
70012 C:\PROGRAM FILES\ATI TECHNOLOGIES\ATI.ACE\CORE-STATIC\ATIAMCHS.DLL
70012 F:\PROGRAM FILES\THUNDER NETWORK\THUNDER\COMPONENTS\RESWORKER\DSBHO_00.DLL
70000 D:\PROGRAM FILES\RISING\RFW\RAVTASK.EXE

C:\WINDOWS\system32\dllcache是SYS32下系统文件备份，正常的
看日志没发现什么病毒，但不是说没有问题，也可能装了什么软件
等其他高手来看吧
还有你这个8M多的可疑文件是正常的（我杀过了，都是些应用程序扩展），不知道你用什么软件提取出来的

Windows 进程激活服务 (WAS) 是 Windows Server 2008 新增的进程激活机制，它向使用非 HTTP 协议的应用程序提供了与类似 IIS 的功能，这些功能以前只对基于 HTTP 的应用程序可用。Windows Communication Foundation (WCF) 使用侦听器适配器接口传递激活请求，该激活请求通过由 WCF 支持的非 HTTP 协议（如 TCP、命名管道和 MSMQ）接收。用于通过非 HTTP 协议接收请求的功能由 SMSvcHost.exe 中运行的托管 Windows 服务承载。

Net.Msmq Listener Adapter 服务 (NetMsmqActivator) 根据队列中的消息激活排队的应用程序。


SMSvcHost.exe 看来这个是没问题的

8M多的是用sreng提取的,说是可疑文件

先用SReng工具 看看有没有API HOOK与预期值不符的提示，如果有，修复了再上传日志。  还有一点
C:\WINDOWS\System32\svchost.exe -k netsvcs-->%SystemRoot%\System32\hidserv.dll  这项系统服务怎么是禁用的。。

svchost.exe 这个服务我好象关过,不知道有什么用

日志扫描好了,谢谢大人