请教一个新问题,,呵呵

半个水

我的系统装在C盘,,其他的软件游戏在D盘,,就 连文档,IE临时文件我都移到了E盘(电脑40G..分了3个区),,最近在D盘下,无意中发现一个名为"pagefile"的文件,,说是系统文件,,而且是隐藏的,,大小哟600M呢,,电脑硬盘不大,,无故被用了600M,,心里很心痛,,,请问这个是什么文件啊??可以删吗???系统文件不都应在系统盘吗,,怎么会跑到了其它分区???

rulingdanny

从字面上理解应该是页面使用文件，也就是通常说的虚拟内存的文件，这个文件是计算机生成的。当计算机的主存空间加上虚拟内存就会给用户一个印象好象工作在一个大的空间中，这都是利用了程序的局部性原理，总之，这个文件是不会删除的，即使删除也会重新建立的。
# e/ C  J3 t# E8 n6 u不过更具体的需要这个文件的扩展名。如果是.sys 的话，就是上面说的虚拟内存的文件，可以更改大小并且禁用，但是并不推荐这么做。如果是.pif并且有一下症状就说明是病毒了：解决病毒的方法如下：
2 [. }& ^- S; J! d1 ]+ H病毒发作的时候

5 f5 a& T& h  d* r1.无法双击打开D盘，D盘变成了自动播放，只能靠右键选择"打开"
& `2 ]5 W2 A' I) u0 a
2.D盘生成2个文件，pagefile.pif以及autorun.inf（这个是隐藏文件），打开autorun.inf文件，发现里面运行的是OPEN=D:\pagefile.pif
$ o# U4 F) ~( W" ~3 _; \. A8 \
3.注册表里出现这个HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{05bea2b3-102d-11da-9a7a-806d6172696f}\Shell\AutoRun\command以及HKEY_USERS\S-1-5-21-1123561945-854245398-1708537768-1003\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{05bea2b3-102d-11da-9a7a-806d6172696f}\Shell\AutoRun\command，里面启动的就是D:\pagefile.pif
6 I) x6 u; N/ D* c
, m! y: q# H% q' G* M4.C盘windows目录下生成1.com等文件
) H# l/ a9 {* B: F1 h
5.msconfig启动项无法打开（注册表可以打开）
+ R+ A2 f, o3 |
6.杀毒软件无法运行，木马克星无法运行

7.进程里出现另一个winlogon.exe

+ O/ u1 W8 C( ?8.点击Windows窗口左下脚"开始"，上方的IE图标无法显示，下面多了个易趣的图标并且链接指向某个网址（出于安全问题，这个网址我不能公开，可能是病毒的网址）
" m* g/ Y# U+ L3 H( r
9.hijackthis这个方法，当时已经把进程里的病毒进程"C:\WINDOWS\WINLOGON.EXE"删掉了，但5秒钟后我重新启动hijackthis扫描的时候，这个进程又出现了。也就是说，它当时还关联了其他病毒程序，并且那个程序并没有在hijackthis扫描出来的列表里出现。此外，注册表和C:\WINDOWS\的目录里均没有WINLOGON.EXE这个程序。
% t; H, F% I5 Y/ `3 B0 G" J0 m
% y7 p$ P* ?* |+ J9 P解决篇：

/ |) Y* {; B2 d1 c1 E( N3 `3 ~' o1.找到D盘的pagefile.pif文件，看它创建的日期是什么时候。删除之。

2.用系统还原功能，把系统还原到病毒产生之前的日期。这样系统进程里就暂时不会有病毒及其相关联的进程。不过似乎有的人在这时候即使做系统还原也无效（提示是“系统没被修改，无法还原”）。
( b: a/ G3 c$ S( \; g2 _! U: G这时候也可以用另外一种方法：用Windows的搜索功能分别在C盘和D盘查找病毒产生的当天文件，文件大小限制在50K以内，文件名不限。这样大概总共能找到4个左右病毒的MS-DOS相关文件（包括pagefile.pif），日期和大小都差不多的，删除之。
" I$ l! I- {' H. @& |
3.开始---运行---cmd（打开命令提示符）
& d2 _7 d! j4 R) C' N7 y: ^+ {D: dir /a （没有参数A是看不到的，A是显示所有的意思） 此时你会发现D盘有一个autorun.inf文件，运行attrib autorun.inf -s -h -r 去掉autorun.inf文件的系统、只读、隐藏属性
最后运行del autorun.inf
. R+ _2 M; N! j. U/ B$ k% U
/ u+ [4 R7 F  x: q
4.如果上面一步觉得不理解，那么在"工具-文件夹选项-查看"中选中"显示所有文件及文件夹"，并且取消“隐藏受保护的操作系统文件”，这样你就会在D盘看到一个隐藏文件autorun.inf，这个文件的产生日期果然是我机器中毒当天12月27日（记得把只读属性取消）。打开这个文件，可以看到它自动运行的内容，如下：

1. 
   2 f+ T/ n" C1 P9 J5 a; v6 D  P
2. [autorun]
   + F: w1 F# r7 x- H' t
3. OPEN=D:\pagefile.pif
   * a* {# ]) p8 k* H  M$ C1 Y6 A

复制代码

0 u  t4 L- c$ e7 G" M: e将autorun.inf文件删除。
+ {0 `0 O* z, j5 t  ]+ i( V
5.开始---运行---regedit（打开注册表）
查找pagefile.pif，并将其整个shell子键删除。至此，病毒完美删除。
4 K) y  i. p4 T/ p
. d1 x; Q2 h( A$ ?9 U/ \9 w[ 本帖最后由 rulingdanny 于 2006-8-3 11:15 AM 编辑 ]

technhl

pagefile 是XP用的磁盘虚拟内存文件，你就是删除了还是会出现。可以在系统属性－>高级－>性能－>虚拟内存 改小一些，一般是用实际内存的2.5倍。

半个水

恩,,明白了,,谢谢,,,