跳过详细信息并下载工具

• Windows Server Update Services
• Microsoft Systems Management Software (SMS) 软件程序包
• 基于组策略的计算机启动脚本
• 基于组策略的用户登录脚本

• Windows Update 目录
• 对远程计算机执行该工具
• 软件更新服务 (SUS)

代码示例

• 以静默模式运行该工具
• 将日志文件复制到预先配置的网络共享中
• 将在其中执行该工具的计算机名称和当前用户的用户名用作日志文件名的前缀。必须按照部分中的操作说明在共享上设置合适的权限。

REM 在此示例中，脚本名为 RunMRT.cmd。REM 当用作启动脚本时，Sleep.exe 实用工具用于延迟工具的执行。 REM 启动脚本。有关详细信息，请参阅“已知问题”部分。@echo offcall \\ServerName\ShareName\Sleep.exe 5Start /wait \\ServerName\ShareName\Windows-KB890830-V4.0.exe /qcopy %windir%\debug\mrt.log \\ServerName\ShareName\Logs\%computername%_%username%_mrt.log

初始安装和配置

1. 在成员服务器上设置共享。然后将该共享命名为 ShareName。
2. 将该工具和示例脚本 RunMRT.cmd 复制到该共享中。有关详细信息，请参阅部分。
3. 配置以下共享权限和 NTFS 文件系统权限：
   • 共享权限：
     1. 为管理该共享的用户添加域用户帐户，然后单击“完全控制”。
     2. 删除 Everyone 组。
     3. 如果使用计算机启动脚本方法，则应添加具有“更改”和“读取”权限的 Domain Computers 组。
     4. 如果使用登录脚本方法，则应添加具有“更改”和“读取”权限的 Authenticated Users 组。
   • NTFS 权限：
     1. 为管理该共享的用户添加域用户帐户，然后单击“完全控制”。
     2. 如果 Everyone 组位于该列表中，则将其删除。
        注意：如果删除 Everyone 组时收到一条错误消息，则单击“安全”选项卡上的“高级”，然后单击以清除“允许从父系来的继承权限传播到这个对象”复选框。
     3. 如果使用计算机启动脚本方法，则为 Domain Computers 组授予“读取和执行”权限、“列出文件夹内容”权限以及“读取”权限。
     4. 如果使用登录脚本方法，则为 Authenticated Users 组授予“读取和执行”权限、“列出文件夹内容”权限以及“读取”权限。
4. 在 ShareName 文件夹下，创建名为“Logs”的文件夹。
   当该工具在客户端计算机上运行后，最终的日志文件将收集到此文件夹中。
5. 要对 Logs 文件夹配置 NTFS 权限，请按照下列步骤操作。
   注意：不得在此步骤中更改共享权限。
   1. 为管理该共享的用户添加域用户帐户，然后单击“完全控制”。
   2. 如果使用计算机启动脚本方法，则为 Domain Computers 组授予“修改”权限、“读取和执行”权限、“列出文件夹内容”权限、“读取”权限以及“写入”权限。
   3. 如果使用登录脚本方法，则为 Authenticated Users 组授予“修改”权限、“读取和执行”权限、“列出文件夹内容”权限、“读取”权限以及“写入”权限。

部署方法

如何使用 SMS 软件包

1. 从名为 Windows-KB890830-V1.34-CHS.exe /x 的程序包中提取 Mrt.exe 文件。
2. 创建 .bat 文件以启动 Mrt.exe，并通过使用 ISMIF32.exe 获取返回代码。
   下面是一个示例。
   @echo offMrt.exe /qIf errorlevel 13 goto error13If errorlevel 12 goto error12Goto end:error13Ismif32.exe –f MIFFILE –p MIFNAME –d ”text about error 13”Goto end:error12Ismif32.exe –f MIFFILE –p MIFNAME –d "text about error 12"Goto end:end
   有关 Ismif32.exe 的更多信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
    

   (http://support.microsoft.com/kb/268791/ ) 如何在 SMS 2.0 中处理 ISMIF32.exe 文件生成的状态管理信息格式 (MIF) 文件
    

   (http://support.microsoft.com/kb/186415/ ) SMS：状态 MIF 创建程序 Ismif32.exe 已推出
3. 要在 SMS 2003 控制台中创建程序包，请按照下列步骤操作：
   1. 打开 SMS 管理员控制台。
   2. 右键单击“程序包”节点，单击“新建”，然后单击“程序包”。
      将显示“程序包属性”对话框。
   3. 在“常规”选项卡上，指定程序包的名称。
   4. 在“数据源”选项卡上，单击以选中“此包包含源文件”复选框。
   5. 单击“设置”，然后选择包含该工具的源目录。
   6. 在“分发设置”选项卡上，将“发送优先级”设置为“高”。
   7. 在“报告”选项卡上，单击“将这些字段用于状态 MIF 匹配”，然后为“MIF 文件名”和“名称”字段指定名称。
      “版本”和“发布者”是可选的。
   8. 单击“确定”创建程序包。
4. 要为程序包指定分发点 (DP)，请按照下列步骤操作：
   1. 在 SMS 2003 控制台中，在“程序包”节点下，找到新的程序包。
   2. 展开该程序包。右键单击“分发点”，指向“新建”，然后单击“分发点”。
   3. 启动“新建分发点向导”。选择一个现有分发点。
   4. 单击“完成”以关闭向导。
5. 要将先前创建的批处理文件添加到新的程序包中，请按照下列步骤操作：
   1. 在新的程序包节点下，单击“程序”节点。
   2. 右键单击“程序”，指向“新建”，然后单击“程序”。
   3. 单击“常规”选项卡，然后输入一个有效名称。
   4. 在“命令行”中，单击“浏览”以选择为启动 Mrt.exe 而创建的批处理文件。
   5. 将“运行”更改为“隐藏”。将“之后”更改为“无需任何操作”。
   6. 单击“要求”选项卡，然后单击“该程序只能在指定的客户端操作系统上运行”。
   7. 单击“所有 x86 Windows Server 2003”、和“所有 x86 Windows XP”。
   8. 单击“环境”选项卡，在“程序可以运行”列表中，单击“无论用户是否登录”。将“运行”模式设置为“使用管理权限运行”。
   9. 单击“确定”关闭该对话框。
6. 要创建一个公告以向客户端公布该程序，请按照下列步骤操作：
   1. 右键单击“播发”节点，单击“新建”，然后单击“播发”。
   2. 在“常规”选项卡上，输入播发的名称。在“程序包”字段中，选择以前创建的程序包。然后在“程序”字段中，选择以前创建的程序。单击“浏览”，然后单击“所有系统”集合，或选择只包括 Microsoft Windows XP 和更高版本的计算机的集合。
   3. 如果只希望程序运行一次，则保留“计划”选项卡上的默认选项。要按计划运行程序，请指定计划间隔。
   4. 将“优先级”设置为“高”。
   5. 单击“确定”以创建播发。

如何使用基于组策略的计算机启动脚本

1. 设置共享。为此，请按照一节中的步骤操作。
2. 安装启动脚本。为此，请按照下列步骤操作：
   1. 在“Active Directory 用户和计算机”MMC 管理单元中，右键单击域名称，然后单击“属性”。
   2. 单击“组策略”选项卡。
   3. 单击“新建”以创建一个新的组策略对象 (GPO)，并键入 MRT 部署作为该策略的名称。
   4. 单击此新策略，然后单击“编辑”。
   5. 展开“计算机配置”下的“Windows 设置”，然后单击“脚本”。
   6. 双击“登录”，然后单击“添加”。
      将显示“添加脚本”对话框。
   7. 在“脚本名称”框中，键入 \\ServerName\ShareName\RunMRT.cmd。
   8. 单击“确定”，然后单击“应用”。
3. 重新启动是该域成员的客户端计算机。

如何使用基于组策略的用户登录脚本

1. 设置共享。为此，请按照一节中的步骤操作。
2. 安装登录脚本。为此，请按照下列步骤操作：
   1. 在“Active Directory 用户和计算机”MMC 管理单元中，右键单击域名称，然后单击“属性”。
   2. 单击“组策略”选项卡。
   3. 单击“新建”以创建一个新的 GPO，然后键入 MRT 部署作为名称。
   4. 单击此新策略，然后单击“编辑”。
   5. 展开“用户配置”下的“Windows 设置”，然后单击“脚本”。
   6. 双击“登录”，然后单击“添加”。将显示“添加脚本”对话框。
   7. 在“脚本名称”框中，键入 \\ServerName\ShareName\RunMRT.cmd。
   8. 单击“确定”，然后单击“应用”。
3. 先注销，然后再次登录到客户端计算机。

与企业部署相关的其他信息

如何检查返回代码

如何分析日志文件

• 该日志文件当前只有英文版本。
• 从 2005 年 3 月发布的 1.2 版删除工具开始，该日志文件使用 Unicode 文本格式。在 1.2 版之前，该日志文件使用的是 ANSI 文本格式。
• 在 1.2 版中，日志文件格式已经更改，我们建议您下载并使用该工具的最新版本。
  如果该日志文件已经存在，该工具会将内容追加到现有文件中。
• 可以使用与前面的示例类似的命令脚本来获取返回代码并将文件收集到网络共享中。
• 由于从 ANSI 到 Unicode 格式的转换，1.2 版的删除工具会将 %windir%\debug 文件夹中所有 ANSI 版本的 Mrt.log 文件复制到同一目录下的 Mrt.log.old 中。1.2 版的删除工具还会在同一目录下创建一个 Unicode 版本的新 Mrt.log 文件。与 ANSI 版本一样，每个月该日志文件中都会追加内容。

Microsoft Windows Malicious Software Removal Tool v1.28, April 2007 Started On Mon Mar 19 13:15:07 2007 Quick Scan Results:---------------- Found virus:Win32/Sasser.A.worm in file://C:\WINDOWS\avserve.exe Found virus:Win32/Sasser.A.worm in regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Found virus:Win32/Sasser.A.worm in runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Found virus:Win32/Sasser.A.worm in file://C:\WINDOWS\avserve.exe Quick Scan Removal Results ---------------- Start 'remove' for regkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Operation succeeded ! Start 'remove' for runkey://HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\avserve.exe Operation succeeded ! Start 'remove' for file://\\?\C:\WINDOWS\avserve.exe Operation succeeded ! Results Summary:---------------- Found Win32/Sasser.A.worm and Removed! Return code:6 Microsoft Windows Malicious Software Removal Tool Finished On Mon Mar 19 13:15:57 2007

Microsoft Windows Malicious Software Removal Tool v1.2, March 2005 Started On Wed May 01 21:19:01 2002 Results Summary:---------------- No infection found. Return code:0 Microsoft Windows Malicious Software Removal Tool Finished On Wed May 01 21:19:05 2002

Microsoft Windows Malicious Software Removal Tool v1.2, March 2005 Started On Wed May 01 21:27:57 2002 Scanning Results:---------------- Found virus:Win32/HLLW.Gaobot.ZF in process 1880 Found virus:Win32/HLLW.Gaobot.ZF in process 1880 Found virus:Win32/HLLW.Gaobot.ZF in file C:\WINDOWS\System32\winsec16.exe Found virus:Win32/HLLW.Gaobot.ZF in process 1880 Found virus:Win32/HLLW.Gaobot.ZF in process 1880 Found virus:Win32/HLLW.Gaobot.ZF in file C:\WINDOWS\System32\winsec16.exe Found virus:Win32/HLLW.Gaobot.ZF in file C:\WINDOWS\System32\winsec16.exe Removal Results:---------------- Terminating process with pid 1880 ->Sysclean ERROR:Failed to kill process with PID:1880 (Win32 Error Code:0x00000102 (258):The wait operation timed out.)[697] Operation failed ! Terminating process with pid 1880 Operation had previously completed. Terminating process with pid 1880 Operation had previously completed. Deleting registry value HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices, entry:WinSec Operation succeeded ! Terminating process with pid 1880 Operation had previously completed. Deleting registry value HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, entry:WinSec Operation succeeded ! Writing in file C:\WINDOWS\system32\drivers\etc\hosts Operation succeeded ! Deleting file C:\WINDOWS\System32\winsec16.exe Operation succeeded ! Deleting file C:\WINDOWS\System32\winsec16.exe Operation had previously completed. Deleting file C:\WINDOWS\System32\winsec16.exe Operation had previously completed. Results Summary:---------------- For cleaning Win32/HLLW.Gaobot.ZF, the system must be restarted.Found Win32/HLLW.Gaobot.ZF, partially removed.

已知问题

已知问题 1

已知问题 2

常见问题