楼主:
imasa (便当侠)
2017-05-13 07:58:41※ 引述《imasa (便当侠)》之铭言：
: 有兴趣的人可以看看
:
: http://roger6.blogspot.tw/2017/05/wanacrypt0r-20-eternalblue-ms-17-010.html
:
: 在此就先不浪费篇幅在这post了
:
: 推 bignose0623: 想请问如何知道电脑有无中奖？在档案尚未察觉被加密 05/13 05:28
: → bignose0623: 前，感谢 05/13 05:28
这里有侦测的script下载
https://github.com/countercept/doublepulsar-detection-script
或者你也可以下载我改写后打包起来的程式来侦测:
v1.06
https://mega.nz/#!aQQWEDAA!BuzKVICsuslIGEjgYRyV8gjxnaopivDV_13H0sUIqEE
备用载点:
https://www.mediafire.com/?jiph1b52d3uuwei
执行前请确认档案有无被偷改过
v1.06 File Info
Executable File SHA1: 3DE8A176F3A8EC4AA33C1DA6B5EB18DFEBDFDEBF
Executable File Size: 9,248,968 Bytes
检查自己机器时，左键点两下程式就可以了 (XP除外)
下面是程式执行后的侦测结果
现在会直接扫描电脑是否有安装相关的的 MS17-010 KB
KB号码参考同讨论串其他网友分享的ID
尚未被攻击:
显示 No presence of DOUBLEPULSAR SMB implant
http://imgur.com/bhha3st
被攻击成功:(WanaCrypt0r可能已进行加密中或潜伏期)
http://imgur.com/BXFTu8G
按照我前文的内容把SMBv1协定关闭时
显示 This machine has already closed SMBv1 protocol
这是我自己加的、原本的script没有这段，会跳exception
这是win7的范例图
http://imgur.com/vxjHIth
winXP的范例图
http://imgur.com/wCqEQzJ
侦测程式的其他用法请参考原始script的说明
作者:
akay08 (Ara_K)
2017-05-13 08:15:00推推
补充一下 Win10 开这会被挡 要选择仍要执行才会动
作者:
abram (科科)
2017-05-13 08:20:00昨天这么热闹 我却因为林奕含案沮丧到关机逃过一劫 冥冥之中也许是林女在保佑我的电脑 谢谢啦
请问vista有得补漏洞吗QQ?我的最后卡在去年的更新但也是一直无法下载 ，是因为不支援了所以档案整个没得载了吗？谢谢
作者:
noddle (noddle)
2017-05-13 08:30:00推
作者:
proletariat (Die Ruinen von Athen)
2017-05-13 08:39:00在热门板排名快冲到前10了@@哇呜 已经进前10了
楼主:
imasa (便当侠)
2017-05-13 08:55:00win10不需要用这个 本身就没漏洞了...
作者:
alkahest (==â•(′▽`)╯==)
2017-05-13 09:00:00感谢!
目前没中，但本身是盗版win7，更新5月的会蓝屏……现在不知道要不要换win10…
作者:
germun (ger)
2017-05-13 09:05:00win10不是没漏洞, 是正常情况下已经强制帮你更新了...问题是在有没有更新, 不在win10还win7...
作者:
kohinata (坂东隐世武者)
2017-05-13 09:10:00大半原因是新闻在抱了
当初刚装WIN10觉得强制自动更新很靠杯，现在觉得关掉才是不知死活QQ
win7 sp1,档案直接放在C: 显示已经停止运作不知道跟使用者名称是中文有没有关系?
作者:
ciaerin (^^)
2017-05-13 09:25:00昨晚电脑怪怪的，要怎么知道自己有没有中啊
楼主:
imasa (便当侠)
2017-05-13 09:25:00路径请不要有中文
作者:
ciaerin (^^)
2017-05-13 09:27:00我的意思是...我不敢再练网了，没练网的情况下可以知道吗
作者:
mrporing (波利先生)
2017-05-13 09:46:00昨天没开机，早上起来看到就想拔储存槽，只留系统槽更新
作者:
F16V (Manners maketh man.)
2017-05-13 09:50:00请教目前有win8的灾情吗还是都8.1?
作者:
F16V (Manners maketh man.)
2017-05-13 09:51:00gg QQ
作者:
carlyu (EVA-288(Carl))
2017-05-13 09:53:00请问出现closed是否也代表没有被implant?谢谢
作者:
tzback (籽别颗)
2017-05-13 09:55:00我Win10也是闪一下就关了 什么都没看到
作者: bignose0623 (Tim) 2017-05-13 09:58:00
感谢
作者:
tonyxfg (tonyxfg)
2017-05-13 10:04:00请问我点了后，出现无法连线，因为目标电脑拒绝连线，这是代表什么情况?
作者:
tonyxfg (tonyxfg)
2017-05-13 10:08:00喔喔，所以这代表我的电脑已经堵上这个洞了吗?非常感谢
作者: daidairu (呆呆儒) 2017-05-13 10:11:00
我想请问一下这支程式 假如我已经中毒了 但后来关掉SMB那显示结果会是 你被攻击了 还是 你关SMB 所以安全了?
作者:
squrar (无垠的天空)
2017-05-13 10:14:00win10 会怕！所以早上就1607更新成1703了 @@
作者:
hsr7016 (~天ç†å–µ~)
2017-05-13 10:31:00为啥我路径也没中文还是依开启就当掉?
楼主:
imasa (便当侠)
2017-05-13 10:32:00我更新了侦测程式，请重新下载会根据不同windows而有不同的行为，请参考更新后的内文主要更新内容是win10会跳过、xp需要手动输入IPvista需要在别台电脑测试
请问昨天Avast拦截到一次mssecsvc.exe，刚刚搜寻电脑，未发现有相关的档案这样算拦截成功可放心，还是已经中标等哪天自己引爆了？(win7)
作者:
matsuri (Lady Bhaalspawn)
2017-05-13 10:39:00请问，我是照前文关掉SMB1以后才跑侦测软件，
作者:
squrar (无垠的天空)
2017-05-13 10:40:00再下一次吧 I大有修正了
作者:
matsuri (Lady Bhaalspawn)
2017-05-13 10:41:00虽然侦测软件显示已经关掉，会不会还是有发作的风险？
楼主:
imasa (便当侠)
2017-05-13 10:43:00如果别的病毒偷开或是手残把SMBv1又打开 就会有风险
作者:
Rock0930 (这就是人参...)
2017-05-13 10:43:00感谢大大无私分享
作者:
matsuri (Lady Bhaalspawn)
2017-05-13 10:44:00笔电重灌回到WIN8后就没法上8.1，现在挫咧等XD
作者:
kondoyu (pppk)
2017-05-13 10:55:00有中毒是用拨接还是用分享器上网的
楼主:
imasa (便当侠)
2017-05-13 10:55:00Ejaculation能传张图给我看看吗? 停止运作的图
不晓得 不过我用分享器上网没中枪 当然 现在已经更新了
作者:
qama (G.M.T.)
2017-05-13 10:57:00作者:
XAIOQ (xaioq)
2017-05-13 11:06:00想借问一下 如果笔电是双系统 这样是不要切到windows那边就可以吗 还是也要更新
作者:
cospergod (cospergod)
2017-05-13 11:10:00感谢您的热心
作者:
tzback (籽别颗)
2017-05-13 11:11:00作者: slfantasy 2017-05-13 11:13:00
请问WIN10看更新纪录是要更新哪个才算安全~
作者: kaine130243 (冰狩) 2017-05-13 11:14:00
小弟的windows服务中。没看到smb欸。这是代表？
楼主:
imasa (便当侠)
2017-05-13 11:24:00ariawind请问你的作业系统版本是?
作者:
megxz (黑色疾风)
2017-05-13 11:25:00回imasa win7 我刚刚有把smb1设成数值0
作者: Autumn06513 (阿丸) 2017-05-13 11:30:00
跟楼上一样WIN7但执行档案会出现停止运作QQ
作者:
megxz (黑色疾风)
2017-05-13 11:32:00这样是有关掉吗？
作者:
eyeonme (看什么看)
2017-05-13 11:33:00作者:
Adven (电风扇)
2017-05-13 11:34:00@gemini2010,有readme.txt可以看喔
作者: lovejamwu (阿发我爱你!!!) 2017-05-13 11:37:00
我是win7完了我都没在更新....
作者:
eyeonme (看什么看)
2017-05-13 11:38:00自己回自己 以解决 我原本的使用者名称是中文 后来新增一
作者:
ToujouAya (æ±åŸŽç¶¾ã®æ—¦é‚£)
2017-05-13 11:41:00有没有人愿意教第一个连结下载后怎么使用QQ
楼主:
imasa (便当侠)
2017-05-13 11:43:00原来是中文使用者，感谢补充
imasa 我使用者帐户改成英文也不能耶，要重开?
作者: Shadow5566 (小小书僮) 2017-05-13 11:43:00
请问一下，如果win7有更新 ，而且用i大的程式包扫过也
作者:
laechan (挥泪斩马云)
2017-05-13 11:43:00我xp,第二个连结下载后解压缩,资料夹名我直接改123,放到
作者:
laechan (挥泪斩马云)
2017-05-13 11:44:00C:\底下,再对执行档按右键选新增捷径,然后改捷径执行为C:\123\detect_doublepulsar_smb.exe --ip xxx.xxx.xxx.x这样直接点捷径就会执行了,刚扫描完 safe, 感谢原poXP使用者可以开防火墙,到[例外]那边,把vnc,远端相关的取消打勾,我的电脑按右键选内容,点[远端],那边也取消打勾
作者:
zaq1qwer (王元姬大好>///<!)
2017-05-13 11:49:00请问 我已经中招了 我进入安全模式 把有wana的档案都删之后还是可以继续用这颗硬盘吗? (非系统碟) 谢谢回答~
作者:
eelse (This is Sparta)
2017-05-13 11:51:00感谢，测试完毕正常
想请教大家，我已经新增了，但检测程式跑完没有出现关闭的字样
作者:
geken (Goblin & Koblod)
2017-05-13 11:54:00感谢
作者:
laechan (挥泪斩马云)
2017-05-13 11:56:00你系统是什么?
作者:
laechan (挥泪斩马云)
2017-05-13 11:58:00你这样就是扫完了吧,第二张图
楼主:
imasa (便当侠)
2017-05-13 11:58:00名字错了，是SMB1
作者:
minihyde (minihyde)
2017-05-13 12:00:00在LanmanServer中的Parameters新增DWORD才能关闭
好！！我终于找到问题了...谢谢各位感激不尽...
我是Win7，按任意键继续后视窗就关掉了，请问是什么原因呢?
SMB1 已设定 但是用 netstat 依旧是 listening只要用程式扫 ok 就没关系吗？
作者:
skvis (乳房观察家)
2017-05-13 12:18:00按任意键本来就会关掉 你要看上面那排英文写什么
作者:
a47135 (金属史莱姆)
2017-05-13 12:19:00请问讯息是No presence of DOUBLEPULSAR SMB implant代表就不会中这个勒索病毒了吗?
作者:
skvis (乳房观察家)
2017-05-13 12:21:00是显示尚未被攻击
作者:
a47135 (金属史莱姆)
2017-05-13 12:22:00因为本篇是说尚未被攻击或是已安装更新，好像没办法分出来到底是已经安装更新不怕惹还是还没被攻击
作者:
bks9587 (None)
2017-05-13 12:24:00请问我可以开启但按了任意键继续后就直接消失是什么问题?
作者:
a47135 (金属史莱姆)
2017-05-13 12:26:00任意键继续就是表示跑完了阿....任意键按下去自然会关闭
作者: dd614 (dd614) 2017-05-13 12:29:00
win8跑一下就跳到掉正常吗?
作者:
hsr7016 (~天ç†å–µ~)
2017-05-13 12:30:00楼主:
imasa (便当侠)
2017-05-13 12:31:00楼上请下载新版本试试
所以XP显示refused SMBv1是代表还没被攻击和潜伏吗?
作者:
hsr7016 (~天ç†å–µ~)
2017-05-13 12:36:00可以执行了 但跳出closed SWBv1的提示的话要再重开在测?
作者: ggoutoutder (女朋友的左手) 2017-05-13 12:40:00
问一下 我没办法更新怎么办 他一直在检查更新
作者:
yizhe (rouyy)
2017-05-13 12:40:00没有"尚未被攻击或已装KB"提示，只有"SMB关闭"提示就好吗?
作者: cbstgb (你逆) 2017-05-13 12:43:00
感谢版大跟推文大大教学 终于成功了
作者: log65320 (Logarithm) 2017-05-13 12:44:00
推
作者: ericthree (如果 她这样动人) 2017-05-13 12:49:00
推推
作者:
thbw666 (富和尚)
2017-05-13 12:50:00感谢原po
作者:
a410046 (a410046)
2017-05-13 12:52:00太感谢了
我是win8.1 也是一开马上跳掉 我刚刚12点47分下载的QQ 路径全英文
楼主:
imasa (便当侠)
2017-05-13 12:59:00楼上你这个是其他问题 我正在想办法解决
作者:
argoth (炽眼)
2017-05-13 13:01:00SHA1是不是有变动过了？
作者:
a47135 (金属史莱姆)
2017-05-13 13:01:00想请问一下原PO，尚未被攻击和已安装KB更新都是同样讯息还是说如果没装KB(漏洞还是存在)但是尚未被攻击的情况下会有其他讯息提示?
请问，我只有显示NO PRESENCE那行并没有显示已经关闭SMBV1 我已经照原PO上一篇的方式操作过了
作者:
Hajimi (逆向思考全垒打!!)
2017-05-13 13:04:00感谢大神，推推！
作者:
LT26i (图书馆)
2017-05-13 13:06:00我已经解决了，再次感谢原PO各位要注意把机码名称 SMB1
作者: moneypack3 (钱包三号) 2017-05-13 13:08:00
解压缩档案大小不符耶，是我下载错了吗
作者:
OOQ (..............)
2017-05-13 13:11:00检测完成 感谢
作者:
zelkova (*〞︶〝*)
2017-05-13 13:12:00请问安装windows更新之后还需要装这个吗?
楼主:
imasa (便当侠)
2017-05-13 13:13:00@milddawn 改了，请对照readme文件内的SHA1
作者: HowardxApple 2017-05-13 13:14:00
泪推 你专业
可是我的vista一直无法更新 ，都停在0不会动 …只能这几天先别开机orz
楼主:
imasa (便当侠)
2017-05-13 13:36:00@LightEcho 对、改好记得重开机
作者:
revolute ( somewhere )
2017-05-13 13:44:00推热血
那有不用连网就能检查电脑是否有病毒的办法吗？很害怕一连网就中标(已经更新到五月版本 5/12更新)不好意思麻烦您了
中文名称版本可执行，检查已关闭SMB1，谢谢原PO
作者: GhriS (童贞肥宅) 2017-05-13 13:59:00
记得win10也有这漏洞 但好像没更新也不会中?
作者:
ashkaze (畏怕阳光)
2017-05-13 13:59:00请问我是先手动关闭SMB再下载侦测程式检查，如果也是出现已关闭讯息代表目前机器无漏洞是不是?
作者: Yakiko (第三十五番号) 2017-05-13 14:09:00
感谢 扫完显示已关闭SMBv1
作者:
abram (科科)
2017-05-13 14:21:00感谢 把路由器445 port关闭 确实就显示已经关闭SMB了
作者:
lynked (左手不只是辅助而已)
2017-05-13 14:30:00mega下载来的档案SH1跟原po提供的不符耶？？
作者:
Dkky (太妍魂)
2017-05-13 14:32:00File SHA1: 7D4F81F475A96BD28403F6F2E76C054DA62A1C3E
楼主:
imasa (便当侠)
2017-05-13 14:34:00抱歉是我文章没更新到 你贴的这SHA1是正确的
作者:
Dkky (太妍魂)
2017-05-13 14:35:00readme档案里面写的
作者:
Dkky (太妍魂)
2017-05-13 14:40:00解压缩后的exe档 SHA才是我贴的那一串
楼主:
imasa (便当侠)
2017-05-13 14:42:00@powerg5 你这是压缩档的SHA1，我写的是里面执行档的
作者: wsx26997785 2017-05-13 14:42:00
如果显示潜伏期 该怎么解决?
作者:
yao7174 (普通的变态)
2017-05-13 14:46:00win8.1 下载显示11点半左右更新的还是会直接跳掉耶
作者:
wade520 (wade)
2017-05-13 14:47:00关掉SMB还需要更新吗??
作者:
beckyH (becky)
2017-05-13 14:56:00请问是先关掉SMB1然后下载侦测之后再更新吗？445port也要
感谢imasa大，新版已可以使用 已关闭 SMBv1协定想问一下之后还需要打开他吗?
楼主:
imasa (便当侠)
2017-05-13 15:02:00@wade520 关掉SMBv1只是救急，还是请尽快更新@ariawind 不用开了 那是老旧的东西
作者: aaa89025 2017-05-13 15:05:00
问一下蠢问题，关闭SMB后中华电信的小乌龟wifi会受到影响吗.谢谢
显示 No presence of DOUBLEPULSAR SMB implant就OK了?不懂SMBv1协定?
作者:
Phaeton (凰呀的鸣叫~)
2017-05-13 15:14:00谢谢imasa，但是想请问现在win7 执行是关掉SMBv1而已，这样就可以? win10的两台电脑 是都正常更新 就说不用检查非常谢谢原po教学
作者:
wade520 (wade)
2017-05-13 15:17:00感谢imasa解答
作者: rininan (葱爆鸡柳斩) 2017-05-13 15:18:00
很久没用电脑了躲过一劫，感谢原po教学
作者: Duncan0722 2017-05-13 15:23:00
不好意思想请问一下楼主，如果我中毒前有将部分档案放入手机里面，之后我电脑重灌win10，手机再插入电脑后，电脑还有可能因为手机里面以前的档案而再次中毒吗，手机里面的档案也会被影响到吗，谢谢您
照原PO的方法关SMB 但是侦测程式还是跳尚未被攻击那行?
作者:
semih (Sayginer)
2017-05-13 15:32:00请问xp已关掉SMBv1和已下载更新KB4012598 侦测出来只显示关SMBv1 但没显示No presence of DOUBLEPULSAR SMB implant请问这是哪边没注意到 ?
作者:
icemc (ice)
2017-05-13 15:50:00semih 我跟你一样没显示那行 不过上网站测已经安全了
作者:
Usecase (Use Case)
2017-05-13 15:56:00请问如果是windows server 2012 r2，有办法执行这支检测程式吗？谢谢
作者:
willix83 (willix)
2017-05-13 15:58:00载点挂了!?
作者:
link5566 (连结56 连接你我)
2017-05-13 16:01:00载点挂了 有人能补吗?
作者:
Wall62 2017-05-13 16:01:00icemc大请问你是上什么网站测的
楼主:
imasa (便当侠)
2017-05-13 16:14:00我刚才在更新程式，不好意思 马上补载点
楼主:
imasa (便当侠)
2017-05-13 16:20:00请问楼上的windows版本是?
作者:
icemc (ice)
2017-05-13 16:21:00作者:
ABC0000 ( AAA )
2017-05-13 16:22:00我的win7 跑完也会直接关掉
I大 我的也会 我开起来后视窗自动关掉 我是win8.1
作者:
Sallina (琉璃子 )
2017-05-13 16:23:00我的win7跑完也是很快关掉
作者:
infi23 (流浪)
2017-05-13 16:24:00我也被关掉了QQ
刚刚抓完 Win7 跟楼上一样跑完直接关掉来不及看QQ
作者:
JieshinRS (油水夫夫住我家楼上)
2017-05-13 16:27:00作者:
warrigal (ALPHA)
2017-05-13 16:28:00推热心的高手 请问假如后来才把smb关掉 可是之前就中毒会显示什么呢
作者: roveralex (菜饼) 2017-05-13 16:30:00
感谢分享
楼主:
imasa (便当侠)
2017-05-13 16:31:00@JieshinRS 那是debug用的讯息 可以不管他
作者:
Wall62 2017-05-13 16:31:00iceme大感谢
作者:
JieshinRS (油水夫夫住我家楼上)
2017-05-13 16:32:00所以这样是有关掉ok的吗 还是有中毒……不好意思我是电脑白痴QAQ
作者:
ESC5566 (退出五六)
2017-05-13 16:42:00有用有推!!
作者:
Sallina (琉璃子 )
2017-05-13 16:44:00请问能放回前面那一版的测试程式吗?这一版的跑完会跳掉
作者: catchco 2017-05-13 16:45:00
win7 跳掉+1
请问跳出This machine has already close SMBv1....是只代表关闭了协议 还是同时代表关闭协议和没中毒
作者: Backmann (Backmann) 2017-05-13 16:50:00
作者:
vester ( )
2017-05-13 16:53:00一直更新失败，何解?
作者:
alyh (矮栗盒)
2017-05-13 16:54:00有做更新 跑程式有显示找到最新的KB更新 但跟上面一些板友贴的图一样 下面显示TypeError 然后跑完秒关 >"<
楼主:
imasa (便当侠)
2017-05-13 16:57:00TypeError应该已经修复了，请重新下载新版
作者:
c309023 (Esther)
2017-05-13 16:57:00谢谢大大，可以安心了
@imasa 那请问跳出已经关闭协议也同时代表没中毒吗?
作者:
alyh (矮栗盒)
2017-05-13 17:02:00谢谢原PO 辛苦你了 检查完毕没有问题~
作者: mapledog (LD) 2017-05-13 17:04:00
感谢I大 新版成功跑完未检测出 真的辛苦你了!!
作者: Backmann (Backmann) 2017-05-13 17:08:00
感谢i大！新版显示SMB1已关闭！太开心了！
谢谢i大，不过我跑出来只显示SMBv1已关和找到KB4019264没有显示有没有被攻击
作者:
alyh (矮栗盒)
2017-05-13 17:19:00楼上是载到旧版吗? 刚刚更新过的版本应该不会跳掉了 @@
作者: pths313 (萌夯猎人) 2017-05-13 17:20:00
用了104版还是会跳掉呢
作者: happysunny 2017-05-13 17:23:00
请问关闭这个会影响到什么功能呢？ 想知道自己平常会不会用到
作者:
iSad56 (窝南果)
2017-05-13 17:31:00请问一下有显示KB4xxxxxx found是否就是代表漏洞已补好?
作者:
ERQQ (EQQR)
2017-05-13 17:31:00win7跳掉 +1
楼主:
imasa (便当侠)
2017-05-13 17:35:00你们请先下载新版试试看，看影片你像是用旧版本的@happysunny 关闭SMBv1 windows应该会去用SMBv2
作者:
Adven (电风扇)
2017-05-13 17:37:00感谢更新版本
作者: catchco 2017-05-13 17:39:00
请问跑完是显示already"refused" SMBv1...是一样的意思吗
请问更新版本是？ 我今天12点47分下载的 一样是开了马上跳掉@@
作者:
alyh (矮栗盒)
2017-05-13 17:49:00@love 刚刚下午16:56有最新版本更新喔 重载看看吧
作者: pths313 (萌夯猎人) 2017-05-13 17:56:00
跟SpaghettI101很类似的情况闪退~win7是32位元的阿~跟higuma47的相同才是~完全一样的内容
作者:
alyh (矮栗盒)
2017-05-13 18:04:00楼上你的影片就不能放个安全点的地方 像是YOUTUBE吗? =_=
作者: OSAME (平凡男) 2017-05-13 18:04:00
I大 新版1.04反而XP 32位元会错误 原本1.01正常
请问更新完还要打开SMBv1吗? 已确定关掉和安装更新了
作者:
acro72 (let me think about it)
2017-05-13 18:11:00作者: OSAME (平凡男) 2017-05-13 18:15:00
XP我用101版没问题 我刚刚刻意试两个版本
楼主:
imasa (便当侠)
2017-05-13 18:18:00@iSad56 这样的运作方式是正常的 我没看到什么错误?@OSAME 因为101还不会扫描XP的KB
楼主:
imasa (便当侠)
2017-05-13 18:23:00已更新1.05连结、发生问题的人请下载新版试试看
以前我也是都不安装更新的，最近两年买新电脑才开始让它更新，只要是重要更新，更下去就是了QQ
作者:
iSad56 (窝南果)
2017-05-13 18:26:00但是我没有看到No presence of DOUBLEPULSAR SMB implant
问一下 点大大提供的打包程式 直接是显示说This machine has already closed SMBv1 protocol这样是成功了吗?
作者:
jpfly (暱称j:p 小写、冒号)
2017-05-13 18:26:00请问1.05版是否可以增加mega以外的载点？>人<
作者:
flywan (福来旺)
2017-05-13 18:29:00作者:
wunno (偏逢连夜雨)
2017-05-13 18:30:00请问若侦测被攻击成功 但似乎还没有档案被加密(?) 那这时
作者:
wunno (偏逢连夜雨)
2017-05-13 18:31:00才开始关SMB1 安装更新档来的及吗? 或是直接重灌了? 谢谢
作者: duringtime (扑扑) 2017-05-13 18:34:00
1.05 XP检测成功....1.04 扫KB会闪退
楼主:
imasa (便当侠)
2017-05-13 18:38:00楼主:
imasa (便当侠)
2017-05-13 18:43:00可以@DaringDo 要打开命令列，开始->执行->输入cmd
作者:
acro72 (let me think about it)
2017-05-13 18:44:00感谢~新版的在xp可以正常检测了~
作者: aa82732664 2017-05-13 18:46:00
如果用大大的程式没被攻击会显示什么出来呢
作者:
iSad56 (窝南果)
2017-05-13 18:47:00105版跟104版状况一样 任意键后跳出 没看到结果 [win7]再麻烦大大帮忙
楼主:
imasa (便当侠)
2017-05-13 18:52:00@iSad56 从你的影片来看 你的SMBv1已经关掉了
作者:
flywan (福来旺)
2017-05-13 18:53:001.05版跟zxcv82大的状况一样 不过目前没看到档案加密幸好5月初有跑安全性更好
作者: ez2dancer (有股浓浓的恨意………) 2017-05-13 19:02:00
推，想请问如果Win7已经安装过微软修补档，还需要再防火墙关闭Port445吗？那SMBv1服务呢？
楼主:
imasa (便当侠)
2017-05-13 19:06:00暂时safe, 请尽快安装更新
作者:
schiffer (Schiffer)
2017-05-13 19:10:00推推！
作者:
sx366 (è–„è·)
2017-05-13 19:16:00感激不尽
作者:
alyh (矮栗盒)
2017-05-13 19:19:00@qwert 那是说你的电脑已经有把这个漏洞补起来了
作者:
rean5566 (路上突然好饿)
2017-05-13 19:22:00作者:
cy4750 (CY)
2017-05-13 19:24:00楼主:
imasa (便当侠)
2017-05-13 19:26:00@cy4750 打开命令列，开始->执行->输入cmd然后输入提示指令@qwertasdfgh 提示你已经有安装了 这是安全的
作者: cccmar (轰!!) 2017-05-13 19:28:00
推推，感谢大大协助!!! 希望大家电脑资料都安全~
楼主:
imasa (便当侠)
2017-05-13 19:28:00@ez2dancer SMBv1已经过时 可以不需要了 现在都v2以上
楼主:
imasa (便当侠)
2017-05-13 19:34:00@lovecoffee 少加个判断而已 我1.05已经加了
作者:
cy4750 (CY)
2017-05-13 19:35:00我输入那串+ip之后 显示"不是内部或外部命令 可执行的程式
作者:
victoryss (☞ ☑中间选民 ☑爱歹玩)
2017-05-13 19:35:00thanks 没更新 但是检查安全 呼呼 我可爱ㄉA片
楼主:
imasa (便当侠)
2017-05-13 19:42:00@cy4750 你应该是执行错指令了、上个图看看你输入什么吧
作者:
cy4750 (CY)
2017-05-13 19:44:00detect_doublepulsar_smb.exe --IP 这样??
楼主:
imasa (便当侠)
2017-05-13 19:45:00你还要找出你的IP，可以输入ipconfig去找
这系列文很棒，有没有版友做个总整理！？ 非常感谢i大及p大 以及推文中热心的版友:)
作者:
cy4750 (CY)
2017-05-13 19:46:00有 我有找到IP了 我输入的就是这串 后面是我查到的IP这样
楼主:
imasa (便当侠)
2017-05-13 19:48:00那你大概是目录错了...要到执行档的目录去执行喔
楼主:
imasa (便当侠)
2017-05-13 19:50:00@hl571536xz有可能是安装时写key的路径我没扫描到如果可以的话 输入regedit->按F3->输入KBID 看看他出现在哪
作者:
min0502 (Rosalia)
2017-05-13 19:52:00ＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＨＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪ
作者:
looscfor (looscfor)
2017-05-13 19:59:00请问显示目前未被攻击，但侦测程式说我未安装更新，可是我看控制台更新记录已经安装完成了，这样该怎么处理呢？谢谢
作者:
min0502 (Rosalia)
2017-05-13 20:01:00i大 不好意思 刚刚确认电脑没事后就开着电脑放著睡着了基于果
作者:
cmid05 (酷拉皮卡)
2017-05-13 20:03:00推
楼主:
imasa (便当侠)
2017-05-13 20:04:00@hl571536xz 是的，能麻烦你把所有有关的路径都找给我吗?
作者:
min0502 (Rosalia)
2017-05-13 20:06:00小猫乱踩误发推文 真的很不好意思
楼主:
imasa (便当侠)
2017-05-13 20:19:00可能没办法 你找HKLKM和CUEERNT_USER底下的路径给我就好
作者:
lolicone (∥○△○∥)
2017-05-13 20:38:00谢谢 执行中
作者:
cy4750 (CY)
2017-05-13 20:39:00作者:
semih (Sayginer)
2017-05-13 20:39:00感谢 但xp我用捷径的方式会闪退 只好打cmd手动输入ip就ok了楼上 detect_doublepulsar_smb.exe --ip 很像空一格才行
作者:
mkflyk23 (フライケー)
2017-05-13 20:47:00--ip 前后都要空一格
作者:
bill0205 (善良的小孩没人爱)
2017-05-13 20:47:00作者:
bill0205 (善良的小孩没人爱)
2017-05-13 20:51:00感谢
作者: arichage (台湾区南内推广会长) 2017-05-13 20:58:00
有用有推！感谢提供！！
作者:
fayered (yvonne)
2017-05-13 21:03:00作者:
saiulbb (Becky♪＃是我的拉!)
2017-05-13 21:07:00谢谢分享 上了一课
作者:
salang (学习释然)
2017-05-13 21:07:00我是无法下载改写后的版本 他说ERRRO... 请问如何处理QQ我的是WIN7
作者:
fayered (yvonne)
2017-05-13 21:08:00可是我的没显示No presence of DOUBLEPULSAR SMBimplant超抖的
因为你先关了smb才跑程式对吗我关之前跑过一次，也是这样结果哦
作者:
CuteGG (GG)
2017-05-13 21:17:00请问下载完，点程式两下，等他跑讯息跑出No presence of DOUBLEPULSAR SMB implant
请问imasa大，系统win8测试之后是如下的画面
作者:
CuteGG (GG)
2017-05-13 21:19:00讯息里面有看到这段字就是目前安全吗
作者:
fayered (yvonne)
2017-05-13 21:22:00所以我要打开再跑吗
作者:
chired (chired)
2017-05-13 21:24:00想请问一下 如果已经离线更新 登录档SMB1(0)要删掉吗?
f大，应该不用 已经显示KB4012216 found 洞已经被堵住，请问imasa大，是这样对吗？
作者: ricky88052 (William) 2017-05-13 21:31:00
感谢大神
请问也有人装了KB4019264 但是侦测说没装的吗
作者:
lgng66133 (Mad Fer It！)
2017-05-13 21:35:00no没有显示No presence of DOUBLEPULSAR SMBimplant的话是要再把smb开起来跑一次程式吗
作者: snosaes5566 2017-05-13 21:46:00
搞定惹!感谢imasa大大
作者:
juunuon (NANACON)
2017-05-13 21:52:00楼主:
imasa (便当侠)
2017-05-13 22:21:00KB4019264的安装方式用的是CPS安装 这条路我没有侦测到晚点补上
推 谢谢这篇的帮助 虽然我还是不敢连线来侦测潜伏病毒
your system is already installed MS17-010 什么意思
作者:
CuteGG (GG)
2017-05-13 22:32:00用那个检查程式要连网络吗？
作者: sl910654 2017-05-13 22:45:00
真的是一边流泪一边推 太感谢
作者: skts 2017-05-13 23:26:00
两个档案均被修改过，请作者重新确认，谢谢(File SHA1不符)
作者:
koheik2 (ko)
2017-05-13 23:29:00闪一秒就关了win7啥都没显示???
作者:
werlight (Light)
2017-05-13 23:35:00作者:
zincs (白毫乌龙茶)
2017-05-13 23:36:00感谢!!!
感谢!! 幸好自己还没中标 但一直没办法成功更新.....
作者:
s60609s (猪猪羊)
2017-05-14 00:22:00请问各位 我从去年三月中后更新都失败 刚手动载了4019264也成功安装了4019264 但前面更新还是失败 这样安全吗?
作者:
lolicone (∥○△○∥)
2017-05-14 00:28:00这样有装成功 只要有其中一个就行了
作者:
s60609s (猪猪羊)
2017-05-14 00:29:00感谢
作者:
XDylan (初心者)
2017-05-14 00:44:00感谢
不好意思 请教一下 刚刚成功启动后关闭想要放到其他资料夹里 却跳出无法完成动作资料夹里的档案已在其他程式开启 ???但我明明确认资料夹和执行档都关闭了阿
作者: evanabc 2017-05-14 01:03:00
test
难道是程式只是画面关闭 其实还在执行吗请问有什么办法可以检查吗
作者: Ladizman (Ladizman) 2017-05-14 01:07:00
是的
1.05版本也能一并检查是否被病毒入侵潜伏吗？先谢谢大大了
作者: azuresmile (有点) 2017-05-14 01:55:00
请问SHA1要从哪里看呢?
作者: mjmj0316 (不说把我当神) 2017-05-14 01:59:00
我刚刚看了一下大小好像不太对?
作者:
crazycy (LCY)
2017-05-14 02:01:00不考虑开个源吗XD 直接丢exe有些人会怕吧
楼主:
imasa (便当侠)
2017-05-14 02:05:00大小请看实际大小不是磁盘大小喔
作者: mjmj0316 (不说把我当神) 2017-05-14 02:28:00
感谢大大回复。已检测完成 真心感谢
楼主:
imasa (便当侠)
2017-05-14 03:04:001.06放上去了，执行上有问题的人可以下载看看问题解决了没
作者: nanht (顺其自然) 2017-05-14 03:05:00
谢谢i大的热心，感激不尽!
作者:
taihsin ( )
2017-05-14 03:08:00谢谢大大 已关闭 已检测
作者:
maxipin (maxipin)
2017-05-14 04:19:00http://imgur.com/a/3KOCi V-1.06,为何有EXCEPTION啊? @@另外,英文内文只有说，我有阻挡了SMVB1也有更新了但是没有说明最重要的DOUBLEPULSAR SMB implant啊? Orz
计算出来的SHA1跟文章里的不一样，是档案被修改吗
作者: ying8375 2017-05-14 08:59:00
求救...Win7开起来 跑个2秒 视窗就不见了 什么都没看到
楼主:
imasa (便当侠)
2017-05-14 10:52:00@maxipin 如果程式送的SMB requert被你的电脑挡下来就有可能不会秀出来 那是正常的另外Exception是程式在搜寻registry时搜到他无法判读的字符
作者:
c93cj3 ( )
2017-05-14 10:53:00@as55721 它叫你去装KB4019264这个更新 你确认一下装了没
楼主:
imasa (便当侠)
2017-05-14 10:54:00这部分跟我们寻找MS17-010 KB是无关的 所以只先秀讯息出来
作者:
c93cj3 ( )
2017-05-14 10:54:00@as55721 然后你扫描的结果当下是安全的
楼主:
imasa (便当侠)
2017-05-14 10:55:00ying8375 你能用命令列执行看看吗? 还有请确认是1.06版
作者:
xliu (假虾)
2017-05-14 11:19:00如果侦测中了请问要怎么处理？
作者: wsx26997785 2017-05-14 11:30:00
http://0rz.tw/yWpvg 侦测了 请问我有中标吗?我没看到 No presence of DOUBLEPULSAR SMB implant
关掉SMB1之后下去测 显示已经关闭 那测的到关闭之前有没有中吗?还是已经中了也会显示出来@@?
我的状况跟楼上一样也是没看到No presence of DOUBLEPULSAR SMB implant
作者:
juchmm (我不知道)
2017-05-14 12:28:00SHA1要怎么看
作者:
dknas55 (Ans)
2017-05-14 13:09:00我的状况也和wsx26997785一样 已经关掉SMB也已经更新
作者: drwolf (drwolf) 2017-05-14 15:50:00
我的电脑也跟wsx大一样!! 这样是没问题巴?!
作者: diabetes (若即若离) 2017-05-14 15:55:00
谢谢i大以及推文的各位，顺利检查更新了win7跟xp
楼主:
imasa (便当侠)
2017-05-14 15:56:00和wsx26997785显示一样的人就是有安装KB了 这样就没问题了
抱歉请问一下 如果有装好KB 是不是就代表病毒不会进来
作者:
a5413eric (a5413eric)
2017-05-14 16:01:00请问我显示kb4019264找到 却没显示安装MS17010是怎么回
那如果已经有病毒在电脑里 还是顺利装了KB 这种情况有可能发生吗?
作者:
rockho 2017-05-14 16:35:00和wsx显示一样 但我已安装的list中却找不到KB0419264...
感谢原po的提供和解答，也是出现跟wsx26997785的一样终于更新好了
想问一下 关掉这服务 会影响到什么相关软件的使用吗？
作者:
sa12e3 2017-05-14 19:47:00我的显示‘your windows is 10 or 2016, don't needto check EtneralBlue ’请问这样是正常的吗? 侦测前已经关掉网络芳邻了
作者:
ica72 (随遇~)
2017-05-14 20:22:00下载解压缩后 avast显示有问题已封锁+删除请问我的avast太敏感吗?
抱歉问一下 win7如果已经关掉SMB 还要再关445port吗如果要关445 port要怎么关? 谢谢
作者: LIEBHERR (LIEBHERR) 2017-05-14 21:08:00
同ica大 avast不给开 在更新完64包之后就不给试了
我的AVAST也是会跳警告然后隔离 但我还是把它拉出来设排除
作者:
ica72 (随遇~)
2017-05-14 21:11:00是有看到前面有讨论说 avast最近很挡.exe档 不晓得是不是这avast怪怪 重新压缩 又没事了 变成我跟kirax大一样
作者: light531 ((‧(工)‧)/ ) 2017-05-14 21:27:00
我也跟kr大的图一样耶 这样算OK吗
作者: nicolas0608 (贾瑞) 2017-05-14 21:37:00
er:10057 不允许传送或接收资料的要求 因通讯端并未
那图显示的也只是说你有把洞补起来 然后就没其他资讯了自己有另外用线上检测的网站跑过 结果是说OK 但因为我是吃手机网络的分享讯号 也不知道那IP到底是手机的还是电脑的...
作者: nicolas0608 (贾瑞) 2017-05-14 21:39:00
连线 而且在资料包通讯端使用sendto呼叫进行传送时
作者:
ica72 (随遇~)
2017-05-14 21:40:00我电脑是刚好w2重灌+更新档也更新完
作者: nicolas0608 (贾瑞) 2017-05-14 21:40:00
并未提供地址 (kb4012598 found)
作者:
ica72 (随遇~)
2017-05-14 21:41:00只有照指示把SMB关掉+445 TCP UDP关掉
结果刚才仔细翻了推文 imasa大有说到我那状况是确定OK的
作者:
ica72 (随遇~)
2017-05-14 22:05:00感谢kirax大说明 谢谢!!也感谢imasa大详细的文章 谢谢!!~
别 要谢就谢imasa大吧！我也只是个有求于各位大神的乡民而已
作者: ying8375 2017-05-14 23:23:00
我的画面显示跟楼上billy一样...正想问主要是多了already installed MS17-010这句