ye learns to write

同时，我也发现一个很奇怪的现象，有一个用户也在Maxdos论坛里抱怨这个so.dll：

注意该许可协议所说：本软件已集成搜狗输入纠错程序。那么什么叫输入纠错程序呢？一般而言，如果你机子还是清白之身的话，如果你在地址栏输入了错误的网址格式，网页可能会被DNS劫持到互联星空或114的纠错界面，通常而言就是一个搜索框，外加一些花花绿绿的广告。在2006年以前，这些纠错页面充斥了大量不堪入目的广告。搜狗这个纠错程序应该指的是在中国电信的DNS劫持用户之前，抢先将用户的浏览器劫持到自家的网站上。

根据Maxdos论坛的一位叫堕落的天使的朋友所说：

MAXDOS 7.1 安装以后会在系统盘的 system32文件夹 释放 so.dll 、wmiprvse.exe 两个文件，其中so.dll会在IE浏览器中注册，在 system32\drivers 文件夹释放Knlrun.sys文件，Knlrun.sys 会注册成系统驱动。

当在浏览器地址栏中输入了不能解析的域名，搜索词等，so.dll就会对浏览器进行劫持，转向 http://www.sogou.com/ 进行搜索。这个东西你在浏览器加载项里禁止是没有效果的，wmiprvse.exe ，Knlrun.sys 会实时的进行恢复，就是我们常说的流氓软件行为，赶都赶不走。

知道了原理，卸载就方便了，

1、首先关闭电脑里的所有窗口程序，特别是IE，IE开着的时候是无法删除so.dll的
2、找到并删除 system32\drivers里的Knlrun.sys， system32\wmiprvse.exe、system32\so.dll 等三个文件
3、到微软公司下载：
     http://technet.microsoft.com/en-us/sysinternals/bb963902.aspx

    Autoruns 这个东西。
   打开autoruns，
     在Internet Explorer选项卡的 HKCU\Software\Microsoft\Internet Explorer\UrlSearchHooks  里找到 
     AddrHelper Class   有Sogou字样的那行，右击，选Delete
   
   在Drivers 里找到 knlrun   的那一样，右击，选Delete

4、重启计算机，和搜狗流氓软件说拜拜。

其实在MAXDOS刚安装的时候，就可以避免装入搜狗流氓插件。安装的时候在设置完备份文件夹的下一步，就是提示（下载Max网吧安全卫士）的那一步，你千万不要去按下一步，直接按右上角的 X ，弹出【安装程序未完成】，不管它，确定退出即可。这时候，MAXDOS 其实已经完全安装在电脑里了。。。

如果你在上一个界面按下一步的话，流氓搜狗就安装到你电脑里了，所以不想安装搜狗的人就千万别按了。

这里迈思夸奖了自家的驱动级病毒防御功能，就是这个驱动级功能，让我想起了那位天使同学所说的Knlrun.sys文件。无奈之下，我只好先删掉了这个Knlrun.sys文件。

准备删除wmiprvse这个文件时才发现，原来系统的system32/wbem/文件夹下面已经有一个wmiprvse.exe文件了，版本信息如下：

这个文件是正常的系统文件，也有微软的签名信息。Maxdos伪造的wmiprvse.exe在system32/文件夹下面，显示没有任何的版本信息，真假李逵，一望便知。这其实也算是流氓的典型行为了。很多用户都以为这个删不掉的东西是病毒，实际上是迈思暨搜狗联合开发团队推出来的一个流氓程序而已。

参考UPK安全论坛的qq997220238所写的MAXDOS也流氓一文，我得出以下认识：

wmiprvse.exe应该是在knlrun.sys领导下定时启动监控so.dll是否存在，并是否在浏览器注册的一个程序，如果so.dll文件被删除，或者在IE浏览器里被反注册了，此程序会自动生成并拷贝so.dll文件到system32文件夹并在浏览器里注册。如果由于各种原因用户杀掉了system32文件夹下的这个山寨wmiprvse.exe文件的话（这个文件每次被knlrun.sys定时启动后，只会执行拷贝so.dll文件，并注册到浏览器的任务，任务完成后就会自动关闭），愚蠢的knlrun.sys驱动仍然会不停地运行system32/wbem/文件夹下的正版wmiprvse.exe。由于正版的wmiprvse.exe不会自动关闭，加上本身可以重复运行，于是很多朋友电脑里瞬间会出现几十个wmiprvse进程，直至电脑资源耗尽，无论性质还是结果，都跟病毒很像。卡饭论坛里也有人在病毒救援区向大家求援，见图：

这里我列出几个苦主的抱怨网址，可以看出来wmiprvse.exe的邪恶：

http://hi.baidu.com/bg4uvr/blog/item/d6870f1319870d886438dbfd.html

http://bbs.360.cn/4005462/24951430.html

http://soft.deepin.org/read-htm-tid-944692.html

下面这个就是山寨版的wmiprvse.exe程序的相关信息。

最后，我删掉了山寨wmiprvse，并在浏览器里禁用了so.dll，当然，还需要在注册表里清理一番，问题似乎已经解决了。

毕竟很早很早以前就放弃暴风影音了，中国式的商业化，我从来都很怕。

现在轮到另外一个我曾经十分信任的DOS入口软件时，迟钝冷漠若我，也终于尝到了被伤害的感觉。因为安装这个版本的时候AVG曾经报警，并阻止Maxdos的进一步安装。那时我是那么地对这个软件充满信心，宁愿禁用AVG也要完成安装，到头来却换来这么一个结果。

sohu迟早会流氓，这我从他们那丑陋的首页和硕大难看的搜狗logo就可以管窥一二，但是MAXDOS的流氓化确实出乎我的意料。可能对于迈思而言，他们的目标客户是网吧用户，而那些用户是不会对这个小小的trick感到敏感，相反可能还会很高兴吧，因为输错网址居然也可以上网，这个网吧好厉害！

显然我不会是他们的目标客户，我只能说：“真是抱歉，我进错门了。不要意思，打扰你们了。”