lsay.exe是什么东西？？

Question

我在系统进程里发现有个名叫lsay或者是1say的进程，不知道第一个是个一还是个L，感觉很可疑，因为这几天每次开机都能查出病毒，我用超级兔子查到这个程序的源程序在WINNT\SYSTEM32\下面，但是我不管是搜索还是手动查找都没找到这个文件，我用瑞星扫描32这个文件夹在扫描过程的最后我发现在下面的扫描路径里有这个文件～～我万分疑惑，请高手指点～～怎样能找到这个文件？！

Answer 1

C:\WINDOWS\system32...

这个 system32 文件夹中包含了大量的用于 Windows 的文件. 这里主要用于存储 DLL 文件, 控制面板小程序(.CPL), 设备驱动 (.drv), 帮助文件 (.hlp 和 .cnt), MS-DOS 工具 (.com), 语言支持文件 (.nls), 屏幕保护 (.scr), 安装信息文件 (.inf), 以及其它用于支持, 配置, 或操作的文件.

-------------------------------------------------------

C:\WINDOWS\system32\3com_dmi
我把这个文件夹删掉了.

C:\WINDOWS\system32\1025, 1028, 1031, 1033, 1037, 1041, 1053, 2052 & 3076

我把其中的空文件夹都删掉了. 1033 (英语). 2052 (简体中文).

这些以数字命名的文件夹中包含了本地化语言文件. 其中大多数文件夹都可能是空的.

据 Microsoft 说: 用于指定语言的本地化 (语言) 文件, 按照数字指派到对应的文件夹中. 除非 Windows 被本地化为特定的语言, 否则其它不对应的文件夹就是空的.

-------------------------------------------------------

C:\WINDOWS\system32\CatRoot

和

C:\WINDOWS\system32\CatRoot2

CatRoot文件夹中包含了安全编录文件.

CatRoot2 文件夹中包含了编录数据库文件.

你也许能够删除这两个文件夹以及其中的内容. 这个就取决于你的系统了.

当你安装某些第三方程序时, 可能会需要某些特定的 .CAT 文件存在. 这些 .CAT 存在于以下文件夹中:

C:\WINDOWS\system32\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}

有些人可以将其删除而不出现任何问题. 而其它人就不行.

在我的系统上, 我发现, 使用 Acronis True Image 的浏览磁盘镜像的功能时, 需要某些 .CAT 文件. 如果不存在, 那么就会弹出一个Windows 硬件安装窗口, 它会告诉你 "你为以下硬件所安装的软件: 通用卷 没有通过Windows 标识测试,(用来验证它与 Windows 的兼容性)...等等."

如果我选择继续, 那么就会弹出对话框, 说 "无法为分区指派盘符."

简而言之, Acronis True Image 的浏览磁盘镜像功能离不开特定的 .CAT 文件.

你所安装的某些第三方程序可能会依赖于某些特定的 .CAT文件.

我还发现在我的系统上需要以下两个 .CAT 文件存在:

"oemO.CAT" 和 "1.CAT".

当 oemO.CAT 和 1.CAT 不存在时, "dberr.txt" 中就会出现错误记录, 其存在于 C:\WINDOWS\system32\CatRoot2 中.

我注意到, 当我打开设备管理器中的设备属性时就会出现这些错误, 并且当我使用 Acronis True Image 的浏览镜像功能时也会出现这些错误.

我偶尔也会在 dberr.txt 中看到其它的 .CAT 错误: FP4.CAT, IMS.CAT, MSMSGS.CAT, msn7.cat, msn9.cat, MSTSWEB.CAT, NTPRINT.CAT, SP2.CAT, startoc.cat 和 wmerrenu.cat.

在我的系统中有这么多的 .CAT 文件, 很难确定哪些 .CAT 文件可被删除.

我只是把所有的 Hotfix .CAT 文件 (KB*.* files) 删掉了. 你可以通过 Hotfix 号码将其识别出来.

以下是一些你可以做的东西, 只要你愿意...

把所有的 .CAT 文件放置到一个别的文件夹中. 周期性地检查C:\WINDOWS\system32\CatRoot2 中的 "dberr.txt". 查看是否有缺失 .cat 文件的错误信息. 然后把有提示的 .CAT 文件放回到 C:\WINDOWS\system32\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE} 文件夹中

当你把所有所需的 .CAT 文件放回原位之后, "dberr.txt" 就会停止显示错误了.

dberr.txt..........关于编录文件注册情况的日志文件. 包含了未注册编录文件的相关信息, 并且只有当识别出未注册的编录时才会存在.

缺失编录文件时也会产生 dberr.txt.

关于 CatRoot2 文件夹, 我一般都是用文件清理工具删除其中的某些垃圾文件, 而不是删除整个文件夹. CatRoot2 文件夹中产生的文件都是临时文件. 其扩展名为 *.chk, *. emb, *log, 以及 *.txt.

-------------------------------------------------------

C:\WINDOWS\system32\Com

组件对象模型 (COM) 组件.

我把这个文件夹以及其中的内容都删掉了.

然后打开 “控制面板” -> “管理工具”, 把其中的 “组件服务” 快捷方式删.

顺便, 我还会把用不到的 "数据源 (ODBC)" 快捷方式删掉.

C:\WINDOWS\system32\config

包含了用于引导的注册表储备, 还有可通过事件查看器查看的系统, 安全以及应用程序日志文件.

我把所有能删的文件都删掉了. 有些文件, Windows 是不会让你删的. 它们是你的注册表实体.

其它的文件都可以删掉, 且不会引起任何问题.

以下是 13 个重要的文件:

AppEvent.Evt
default
default.LOG
SAM
SAM.LOG
SecEvent.Evt
SECURITY
SECURITY.LOG
software
software.LOG
SysEvent.Evt
system
system.LOG

C:\WINDOWS\system32\config\systemprofile
我把这个文件夹以及其中的内容都删掉了.

这个文件夹中包含了一个用于本地系统的标准配置文件.

我发现, 要在安全模式下才能彻底地删掉这个文件夹.

systemprofile 文件夹本身, 以及其中的一些空文件夹, 有可能会自动重新出现.

这是那些古怪的文件夹中的一个. 有些时候将其删除之后, 就不会重新出现了. 而有时重装系统之后, 将其删除, 它又可能会莫名其妙地重新出现. (真是受打击...)

C:\WINDOWS\system32\dhcp
我把这个文件夹删掉了.

这个文件夹一般是空的, 如果你想让主机作为一台 DHCP 服务器, 那么这个文件夹就会用于保存动态主机配置协议 (DHCP) 数据库文件.

C:\WINDOWS\system32\DirectX
我把这个文件夹以及其中的内容都删掉了.

这个文件夹中包含了用于支持某些游戏设备的文件.

C:\WINDOWS\system32\dllcache

我把其中的文件都删掉了, 但是我把文件夹保留下来了.

这个文件夹包含了受 “Windows 文件保护系统” 保护的系统文件副本.

我把 dllcache 中的文件备份到另一个分区中了. 但我需要某个初始文件时, 我就可以将其从备份镜像中提取出来了.

我没有删除这个文件夹中新生成的那些文件. 进行过在线更新之后, 新版本的系统文件就会被置入这个 dllcache 文件夹中. 这些是我所拥有的新文件的唯一副本.

C:\WINDOWS\system32\drivers\etc
我把其中的内容都删掉了.

一般来说, 现在很少会用到其中的 HOSTS 文件了. 它是 DNS 缓存文件, 优先于 DNS, 一般是没必要用到的.

有效的 hosts 文件是没有扩展名的.

C:\WINDOWS\system32\export
我把这个文件夹删掉了.

C:\WINDOWS\system32\ias
我把这个文件夹以及其中的内容都删掉了.

如果不能连接 Internet 的话, 那么它一般会是一个空文件夹. 它会储存用于Internet Authentication 服务的配置文件. 一般来说, 只能在服务器上见到这个服务. 如果你的电脑上有能够连接到 Internet 上的社别, 那么这个 IAS 文件夹就不会为空了. 它可能会包含 2 个文件: DNARY.MDB (IAS 日志文件) 和 IAS.MDB (用于储存远程访问策略).

我把这个文件夹以及其中的内容都删掉了.

然后我还把存在于 C:\WINDOWS\system32 中的以下文件删掉了:

iasacct.dll
iasads.dll
iashlpr.dll
iasnap.dll
iaspolcy.dll
iasrad.dll
iasrecst.dll
iassam.dll
iassdo.dll
iassvcs.dll

C:\WINDOWS\system32\icsxml
我把这个文件夹以及其中的内容都删掉了.

其中包含了用于 Universal Plug and Play(通用即插即用) 的文件.

C:\WINDOWS\system32\IME
我把这个文件夹以及其中的内容都删掉了.

包含了各类输入法文件. (语言文件)

注意: 简体中文版用户要小心了, 这里是跟系统自带的输入法紧密相关的地方. 不要乱删.

C:\WINDOWS\system32\inetsrv
我把这个文件夹删掉了.

其中包含了用于 World Wide Web 服务的文件. 一般为空.

C:\WINDOWS\system32\Lang
我把这个文件夹以及其中的内容都删掉了.

C:\WINDOWS\system32\Macromed
我把这个文件夹以及其中的内容都删掉了.

注意: 这个是用于在线播放 Flash 的控件, XP SP2 中的版本为 6, 当前最新为 7, 删掉也没什么关系, 可以在线更新为最新的.

C:\WINDOWS\system32\MsDtc
我把这个文件夹以及其中的内容都删掉了.

这个文件夹包含了与 Microsoft Distributed Transaction Coordinator(分布式事务协调器) 相关的文件, 分布式事务协调器可用于控制不同程序或进程间的的事务输出和消息传递.

C:\WINDOWS\system32\mui
我把这个文件夹以及其中的内容都删掉了.

其中包含了多国语言用户界面的相关文件.

C:\WINDOWS\system32\npp
我把这个文件夹以及其中的内容都删掉了.

这个文件夹包含了一些用于在网络监视服务器上支持收集网络传输的文件.

C:\WINDOWS\system32\oobe
我把这个文件夹以及其中的内容都删掉了.

其中包含了 "Out of Box Experience" 文件, 它能帮助用户完成产品激活和注册, 还可用于创建 Administrator 外的新用户.

C:\WINDOWS\system32\ras
我把这个文件夹以及其中的内容都删掉了.

其中包含了拨号网络要用到的默认脚本.

C:\WINDOWS\system32\ReinstallBackups

我把其中的内容都删了.

当其为空时, 我还会把这个文件夹删掉. 当你更新某些驱动时, 有可能会重新生成这个文件夹.

C:\WINDOWS\system32\Restore
我把这个文件夹以及其中的内容都删掉了.

这个就是系统还原. 如果将其删除, 那么就无法使用系统还原了.

我从不用系统还原. 我平时用 Acronis TrueImage. 因此我把这个文件夹删掉了.

-------------------------------------------------

C:\WINDOWS\system32\Setup

这个文件夹包含了用于额外服务的安装文件, 例如, FrontPage 服务器扩展以及 Microsoft 传真服务.

你需要其中的大多数文件才能正常访问 Windows "可选" 组件向导 (磁盘清理 -> 更多选项 -> 清理).

就我个人而言, 用不到那些额外的服务, 也用不到Windows "可选" 组件向导. 因此我把它删掉了, 还把 C:\WINDOWS\system32 中与其相关的 2 个文件删掉了:

loadperf.dll ..加载卸载性能计数器

resutils.dll ...用于Richedit 1.0 的包装 Dll

(用于访问 Windows "可选" 组件向导.)

事实上, 我一向都用不到磁盘清理, 因此我把 C:\WINDOWS\system32 中的以下 2 个文件删掉了:

CLEANMGR.EXE ...(磁盘清理). 一个用于移除无用临时文件并重新释放已用空间的工具.

compact.exe ....文件压缩工具 (压缩文件系统以节省空间.). 没有磁盘清理的话, 那就用不到它了.

dataclen.dll ...磁盘清理库文件

sysocmgr.exe ....系统可选组件管理器

-------------------------------------------------

C:\WINDOWS\system32\ShellExt
我把这个文件夹删掉了.

默认为空.

C:\WINDOWS\system32\SoftwareDistribution
我把这个文件夹以及其中的内容都删掉了.

注意: 我保留了 C:\WINDOWS 下的SoftwareDistribution.

System32 下的SoftwareDistribution 没有用, 因为Windows Update 使用C:\WINDOWS 下的同名文件夹. 什么时候System32 下的 SoftwareDistribution 才会有用, 那我就不知道了.

C:\WINDOWS\system32\spool
我把这个文件夹以及其中的内容都删掉了. 因为我没有打印机.

这个文件夹是打印系统用于临时存放打印任务以及相关文件的. 其中的 Printers 子文件夹用于临时存储缓冲文件的. 其它文件夹大都是跟打印机驱动和配置有关的.

C:\WINDOWS\system32\usmt
我把这个文件夹以及其中的内容都删掉了.

USMT 就是用户状态迁移工具. 这个文件夹中包含了与 USMT 以及文件和设置传输向导相关的文件.

C:\WINDOWS\system32\wbem (Windows 管理规范)

用于基于网络的企业管理存储它的数据和可执行文件. 利用 WMI, 开发人员可以使用与平台无关的命令控制网络设备.

这是 Windows 中最能够引起大家误解的组件.

即便是 BlackViper(他整理的服务,设置相当好), 我也强烈地怀疑他是否彻底地理解了 Windows 管理规范.

前两年, 他告诉我保留并启用 WMI 是如何的重要.

然而, 这段时间以来, BlackViper 改变了他的想法.

最近他说: "在 Service Pack 1a 中, 这个服务并不是必须的. 然而, 在安装过 Service Pack 2 之后, 安全中心和 Windows 防火墙/Internet 连接共享就需要这个服务了.

如果你想在服务配置中查看 “依存关系” 选项卡的话, 那么这个服务就是必需的. 我不推荐禁用这个服务, 因为将来会有越来越多的应用程序用到这个服务."

大家已经被禁用 Windows 管理规范的问题困扰了很久了. 部分原因是因为 BlackViper 对 “不要禁用” 说不了.

现在应该是OK 了, 因为他就是这么说的. 我想大家更愿意听专家的意见...即便专家的意见是错的.

平心而论, 我所见过的大多数专家都建议不要禁用这个服务...而且, 他们都没有解释为什么不能禁用这个服务.

我知道, 你一定被告知过, 这个 WMI 组件是系统中的一个非常重要的组件. 但我不这样认为.

当我运行 SiSoft Sandra 时, 这个程序建议我最好把这个服务禁用掉.

当你深入查看磁盘清理时, Windows 甚至会显示一个卸载 WMI 的选项. 只是, 它不允许你这么做. (奇怪, 那为什么要把它列为一个 "可选组件" 呢?)

另外, 你知道吗? 当你将其禁用之后, 能够加速启动并减少内存占用.

-------------------------------------------------------

重要: 首先, 要把 C:\WINDOWS\system32\wbem 中的"framedyn.dll" 移动到C:\WINDOWS\system32 文件夹中. 它是 wbem 文件夹中仅有的一个重要文件.

有时当你运行系统还原时, 会出现错误 “由于缺少 framedyn.dll, 无法启动系统还原. 请重新安装这个应用程序以解决这个问题”.

没有 "framedyn.dll" 的话, 那么当你右击 “我的电脑” 时, 可能会出现一个错误. 把这个文件保留在 System32 文件夹中即能避免这种情况的出现.

另外, 你还需要禁用 “服务” 中的 WMI.

当你禁用服务中的 WMI 时, 还会把 Windows 防火墙/Internet 连接共享 (ICS) 禁用掉. Windows 会弹出个对话框询问你是否要禁用WMI.

在我禁用Windows 防火墙/Internet 连接共享 (ICS) 之前, 我会先把Windows 防火墙关掉:

开始 > 控制面板 > 防火墙 > 选择 "关闭 (不推荐)"

以下列出的文件属于Windows 防火墙/Internet 连接共享 (ICS).

在 C:\WINDOWS\system32\drivers 中:

ip6fw.sys .....IPv6 Windows 防火墙驱动
tcpip6.sys ....IPv6 驱动

在 C:\WINDOWS\system32 中:

firewall.cpl ..Windows 防火墙控制面板
fwcfg.dll .....Windows 防火墙配置助手

IPSEC6.EXE ....(Ipv6 安全配置工具).

ipsecsvc.dll ..Windows IPSec SPD 服务器 DLL

IPV6.EXE ......(Ipv6 配置工具). 一个用于安装和配置 IPv6 的工具.

然后进入安全模式并删除C:\WINDOWS\system32\wbem 文件夹中的内容.

最好在安全模式下删除 wbem 文件夹中的内容, 因为有 3 个文件无法在正常情况下删除.

在重启之后, 在 C:\WINDOWS\system32 中删除以下 5 个文件:

cmprops.dll ....WMI 插件

licwmi.dll .....Windows 产品激活配置 WMI 提供称故

mmfutil.dll ....WMI 插件助手

servdeps.dll ...(WMI 插件) 在重启之前可能无法删除这个"servdeps.dll" 文件. 反正, 它不大重要.)

wmimgmt.msc....

你可能还需要删除以下文件夹:

C:\Program Files\Common Files\Microsoft Shared\MSInfo

还有它的快捷方式在这里:

C:\Documents and Settings\All Users\Start Menu\Programs\Accessories

没有 WMI 的话, 系统信息就无法正常工作了.
system32 是32位系统程序存储的文件夹，而system文件夹是为了兼容98以及以前时期的16位程序而设计的，由于目前16位程序不多，所以作用不大。

Answer 2

你中了威金病毒了，那是威金病毒附带的木马，威金不能靠杀毒软件来杀，只能格式化C盘，断网重装系统，然后用金山的威金专杀杀其它盘的病毒，一定要用专杀，记住必须断网装系统，装好系统后不要碰其它盘的EXE文件，切记，不然病毒会复活

Answer 3

如果你经常有电脑方面的知识要问的话，我建议你加入到一个或几个电脑群，里面一般都有高手，这样你的问题总是能够很快解决的。
你可以去群搜索网站www.qunss.com里面,输入关键字进行搜索.
我用"电脑"当关键字搜索,能搜出200多个电脑群呢！
希望对你有所帮助～
或者你加到黑客群中，问问他们。以毒攻毒，呵呵～

Answer 4

1SAY 是病毒