为什么我的电脑总自动restartthe error is:
remote procedure service terminated.
多谢了[noway (8-12 11:58, Long long ago)]
[ 传统版 |
sForum ][登录后回复]1楼
我的同学的电脑也有这个问题,请高手帮忙解决.每次开机一进去过了1分钟左右之后,会出现一个对话框:
windows must restart because the remote procedure call service terminated unexpectedly.
请问该怎么办?
可否不重装系统进行解决?
另记:此人之前上过中国互动游戏在线中心,是否可能跟其服务器的bug有关?
[卷心菜 (8-12 12:07, Long long ago)]
[ 传统版 |
sForum ][登录后回复]2楼
same same我觉得是virus.通过msn传的。
我的电脑也遇到这个问题了，刚刚还替朋友问呢。
被她传上了。。。[蹦蹦蹦 (8-12 12:10, Long long ago)]
[ 传统版 |
sForum ][登录后回复]3楼
(引用 蹦蹦蹦:same same我觉得是virus.通过msn传的。
我的电脑也遇到这个问题了，刚刚还替朋友问呢。
被她传上了。。。)收到virus alert了。Norton发现的。。
Object name: C:\Windows\system32\TFTP3516
virus name: W32.Blaster.worm
Action taken: unable to repair this file
该怎么办？高手指教！[蹦蹦蹦 (8-12 12:12, Long long ago)]
[ 传统版 |
sForum ][登录后回复]4楼
(引用 蹦蹦蹦:收到virus alert了。Norton发现的。。
Object name: C:\Windows\system32\TFTP3516
virus name: W32.Blaster.worm
Action taken: unable...)reinstall your system, andmake updates of the virus definations frequently enought(usually no less than once per 8 hours)
do not open any unauthorised material and suspective mails and application programs---even some documents.
and, do not trust others' abolity to prevent virus, the virus usually spread between trusted people.
[有话想说 (8-12 12:16, Long long ago)]
[ 传统版 |
sForum ][登录后回复]5楼
我也是不过我中招的时候没开msn阿，好在有诺顿[战神之力 (8-12 12:17, Long long ago)] [ 传统版 | sForum ][登录后回复]6楼
(引用 战神之力:我也是不过我中招的时候没开msn阿，好在有诺顿)do not totally trust any antivirus softwareno matter how powerful it is.
no matter how famous the authors were.....
actually, some virus are targeting to the antivirus process and end it before itself has been detected and written into the virus definations.......[有话想说 (8-12 12:21, Long long ago)]
[ 传统版 |
sForum ][登录后回复]7楼
好像是挺大规模的病毒诶，，msn 先不用了，， 染上还挺麻烦的。
[noway (8-12 12:31, Long long ago)]
[ 传统版 |
sForum ][登录后回复]8楼
same same,郁闷死了。。。[某某某 (8-12 12:52, Long long ago)] [ 传统版 | sForum ][登录后回复]9楼
我的也是一样，可是没有收到virus alert[不是淑女 (8-12 12:55, Long long ago)] [ 传统版 | sForum ][登录后回复]10楼
是通过MSN吗？这个问题出现两次以后我才打开MSN[不是淑女 (8-12 12:58, Long long ago)] [ 传统版 | sForum ][登录后回复]11楼
seems this: windows出现有史以来最大漏洞，发信人: Willematte (willematte), 信区: NoteBook
标 题: [严重]windows rpc 漏洞，赶紧打补丁!!!
发信站: BBS 水木清华站 (Tue Aug 12 03:20:26 2003), 转信
windows出现有史以来最大漏洞，xp,2000,2003,nt均受影响！！
CCERT 关于window RPC系列漏洞的安全公告
7月16日波兰的一个安全组织LSD公布了一个Windows操作系统的一个安全漏洞，这个漏洞号
称
迄今为止window系统中发现的最严重的一个系统漏洞
（漏洞的详情参见http://www.ccert.edu.cn/advisories/all.php?ROWID=48）
随后各安全组织对该漏洞展开了相关的研究，在研究的过程中国内的安全组织又发现了与
之相
关的两个同类型的漏洞，并上报了微软，但是目前厂商还没有提供相关的补丁程序。因此
到目
前为止针对window rpc系列实际上存在三个类似的漏洞，它们分别是：
1、Microsoft RPC接口远程任意代码可执行漏洞
漏洞描述：
Remote Procedure Call(RPC)是Windows操作系统使用的一种远程过程调用协议,RPC协
议提供
一种进程间的交互通信机制，它允许本地机器上的程序进程无缝的在远程系统中运行代
码。
该协议的前身是OSF RPC协议，但是增加了微软自己的一些扩展。
最近发现部分RPC在使用TCP/IP协议处理信息交换时不正确的处理畸形的消息导致存在
一个
安全漏洞。该漏洞影响使用RPC的DCOM接口，这个接口用来处理由客户端机器发送给服
务器
的DCOM对象激活请求(如UNC路径)。如果攻击者成功利用了该漏洞将获得本地系统权限
，他
将可以在系统上运行任意命令，如安装程序、查看或更改、删除数据或者是建立系统管
理员
权限的帐户等。
要利用这个漏洞，攻击者需要发送特殊形式的请求到远程机器上的135端口.
2、Microsoft DCOM RPC接口拒绝服务及权限提升漏洞
漏洞描述：
Remote Procedure Call(RPC)是Windows操作系统使用的一种远程过程调用协议,RPC协
议提供
一种进程间的交互通信机制，它允许本地机器上的程序进程无缝的在远程系统中运行代
码。
该协议的前身是OSF RPC协议，但是增加了微软自己的一些扩展。
最近发现MS RPC在处理畸形消息时存在问题，远程攻击者可以利用这个漏洞进行拒绝服
务攻
击，在RPC服务崩溃后，可用来权限提升攻击。攻击者发送畸形消息给
DCOM __RemoteGetClassObject接口，RCP服务就会崩溃，所有依靠RPC服务的应用程序
和服务
就会变的不正常。
如果攻击者拥有合法帐户，在RPC服务崩溃后他还可以劫持管道和135端口进行权限提升
攻击。
3、window RPC接口未知漏洞
漏洞描述：
由于该漏洞影响面太大而厂商又未推出相应的补丁程序，因此目前并未公布该漏洞的详
细技术
细节，但是发现该漏洞的组织中联绿盟信息技术(北京)有限公司在报告中有提到如下警
告：
该漏洞可以使入侵者轻而易举的进入Windows 2000、Windows XP、Windows2003 Serve
r系统。
攻击者可以通过该漏洞取得系统的控制权，完全控制被入侵的系统，窃取文件，破坏资
料。
因为该漏洞和以往发现的安全漏洞不同，不仅影响作为服务器的Windows系统，同样也
会影响个
人电脑，所以潜在的受害者数量非常多。
漏洞危害：
7月23号网络上发布了DCOM RPC接口拒绝服务攻击的程序代码，7月26日window RPC接口
远程缓
冲溢出的攻击程序代码被公布，这样就导致即便是一个对该漏洞技术细节毫不了解的人
也能使
用这些代码去攻击网络上的其他机器以达到拒绝服务攻击的目的或是获得相应的系统权
限。目
前公布的代码是对系统版本有针对性的，但是通用于各系统版本中的攻击代码正在测试
中，相
信在稍后的几天内便会被公布出来，一旦这种攻击代码被公布出来，只需要很小的技术
上的改
造就可以改编成蠕虫，如果利用这个漏洞蠕虫被发布出来，它的威力将远远超过coder
ed和
slammer，可能会给整个互联网络带来致命的打击。
解决办法：
针对以上漏洞，CCERT建议用户对您的机器采取以下措施：
1、下载安装相应的补丁程序：
针对第一个漏洞微软已经发布了相应的安全公告与补丁程序，你可以到我们的网站下载
：
winnt
win2000
winxp
win2003
针对其他两个漏洞，微软目前还没有发布相应的补丁程序，我们建议您使用window自动
update
功能，随时关注厂商的动态，你也可以关注我们的主页http://www.ccert.edu.cn
我们会在第一时间提供相应的补丁程序下载
2、使用防火墙关闭所有不必要的端口，根据我们现在掌握的信息，这些漏洞不仅仅影响
135端口，
它影响到大部分调用DCOM函数的服务端口，因此CCERT建议用户使用网络或是个人防火
墙过滤以
下端口：
135/TCP epmap
135/UDP epmap
139/TCP netbios-ssn
139/UDP netbios-ssn
445/TCP microsoft-ds
445/UDP microsoft-ds
593/TCP http-rpc-epmap
593/UDP http-rpc-epmap
3、使用IDS系统检测来自于网络上的攻击，IDS规则如下:
alert tcp $EXTERNAL_NET any -> $HOME_NET 445
(msg:"NETBIOS SMB DCERPC ISystemActivator bind attempt"; flow:to_server,establ
ished;
content:"|FF|SMB|25|"; nocase; offset:4; depth:5; content:"|26 00|"; distance
:56;
within:2; content:"|5c 00|P|00|I|00|P|00|E|00 5c 00|"; nocase; distance:5; wit
hin:12;
content:"|05|"; distance:0; within:1; content:"|0b|"; distance:1; within:1;
byte_test:1,&,1,0,relative; content:"|A0 01 00 00 00 00 00 00 C0 00 00 00 00 0
0 00 46|";
distance:29; within:16; reference:cve,CAN-2003-0352;classtype:
attempted-admin; sid:2193; rev:1;)
alert tcp $EXTERNAL_NET any -> $HOME_NET 135
(msg:"NETBIOS DCERPC ISystemActivator bind attempt"; flow:to_server,establishe
d;
content:"|05|"; distance:0; within:1; content:"|0b|"; distance:1; within:1; b
yte_test:
1,&,1,0,relative; content:"|A0 01 00 00 00 00 00 00 C0 00 00 00 00 00 00 46|";
distance:29; within:16; reference:cve,CAN-2003-0352; classtype:attempted-admin
;
sid:2192; rev:1;)
注意：
1、针对第一个漏洞的补丁并没有包括在window 2000 sp4中，你需要下载单独的热修补
补丁。
2、由于rpc服务已经被镶嵌到window的内核当中，因此我们不建议您使用关闭rpc服务
的方
法来防止该漏洞被利用，因为关闭rpc服务可能会导致您的系统出现许多未知的错误
3、当您的系统突然弹出了svchost.exe出现异常错误的对话框或者是135端口突然被关
闭，很
可能表示你已经受到了这类攻击，请尽快采取相应的措施。
注意，赶紧打补丁，更详细的情况请去virus版或nttech 版！
[nusstat (8-12 13:08, Long long ago)]
[ 传统版 |
sForum ][登录后回复]12楼
登陆时拔掉网线,完全登陆以后再插上网线[skysun (8-12 13:09, Long long ago)] [ 传统版 | sForum ][登录后回复]13楼
plz try to upgrade your XP system , now!!I tried. the system seems ok.[richhouse (8-12 13:16, Long long ago)] [ 传统版 | sForum ][登录后回复]14楼
this is virus >> MSBLASTyou can do the following to remove it.
-> download lastest trend office scan virus definition, so u can find the virus
-> download a patch from https://security.nus.edu.sg, and install it
-> remove the file MSBLAST.exe, once u find the virus with trend office scan. if u can not remove it, then try to kill the process name msblast from task bar
-> good luck![寻觅 (8-12 13:17, Long long ago)]
[ 传统版 |
sForum ][登录后回复]15楼
(引用 nusstat:seems this: windows出现有史以来最大漏洞，发信人: Willematte (willematte), 信区: NoteBook 标 题: [严重]windows rpc 漏洞，赶紧打�...)哦![mitochondria (8-12 13:25, Long long ago)] [ 传统版 | sForum ][登录后回复]16楼
(引用 寻觅:this is virus >> MSBLASTyou can do the following to remove it. -> download lastest trend office scan virus definition, so u can...)that is it you are right[skysun (8-12 13:26, Long long ago)] [ 传统版 | sForum ][登录后回复]17楼
怎么解决？[Sting (8-12 14:22, Long long ago)] [ 传统版 | sForum ][登录后回复]18楼
(引用 Sting:怎么解决？)sorry ic[Sting (8-12 14:43, Long long ago)] [ 传统版 | sForum ][登录后回复]19楼
MSBLASTER.EXE MANUAL REMOVAL INSTRUCTIONSMANUAL REMOVAL INSTRUCTIONS
Terminating the Malware Program
This procedure terminates the running malware process from memory.
1 Open Windows Task Manager press
CTRL+SHIFT+ESC, and click the Processes tab.
2 In the list of running programs*, locate the process:
MSBLAST.EXE
3 Select the malware process, then press either the the End Process button.
4 To check if the malware process has been terminated, close Task Manager, and then open it again.
5 Close Task Manager.
Removing Autostart Entries from the Registry
Removing autostart entries from the registry prevents the malware from executing during startup.
1 Open Registry Editor.
To do this, click Start>Run, type Regedit, then press Enter.
In the left panel, double-click the following:
HKEY_LOCAL_MACHINE>Software>Microsoft>
Windows>CurrentVersion>Run
In the right panel, locate and delete the entry:
”windows auto update" = MSBLAST.EXE
Close Registry Editor.
NOTE: If you were not able to terminate the malware process from memory as described in the previous procedure, restart your system.
More --->http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_MSBLAST.A[关注 (8-12 18:01, Long long ago)]
[ 传统版 |
sForum ][登录后回复]20楼