他会同时把注册表中 某些重要的地方有这个木马文件名的注册表项也给删除掉。
因此，你即使将被修改过的dll恢复，也会导致一些其他的错误。

这是第二回了，上回弄了我好几天才找到原因，修复后没有作记录。
今天这事又发生了，只是有点印象，结果还是想了一个小时才找到解决办法。
故特此记录。

因此，一旦当某木马或病毒被发现并清除之后，系统如果出一些错误，如服务无法启动，则可以从这个方面着手思考。

抱怨一下：kaspersky怎么也应该把除删除文件外的一些重点操作，如删除注册表项等记录起来，或者写到一个日志文件里（或许有？我不知道？）。

DBCS 是双字符集

 它兼容ascii。也就是说，在DBCS中，ANSI所表示的字符是一样的。这就是说DBCS并不总是用双字符，只是在需要的时候，最多用双字符来表示。DBCS是一种统称，一种泛指。具体来说，Shift-JIS,gb2312,big5,gbk,gb18030等等都是dbcs的一种具体实现方案。

GB2312(1980年)一共收录了7445个字符，包括6763个汉字和682个其它符号。汉字区的内码范围高字节从B0-F7，低字节从A1-FE，占用的码位是72*94=6768。其中有5个空位是D7FA-D7FE

　GB2312支持的汉字太少。1995年的汉字扩展规范GBK1.0收录了21886个符号，它分为汉字区和图形符号区。汉字区包括21003个字符

2000年的GB18030是取代GBK1.0的正式国家标准。该标准收录了27484个汉字，同时还收录了藏文、蒙文、维吾尔文等主要的少数民族文字。现在的PC平台必须支持GB18030，对嵌入式产品暂不作要求。所以手机、MP3一般只支持GB2312。

从ASCII、GB2312、GBK到GB18030，这些编码方法是向下兼容的，即同一个字符在这些方案中总是有相同的编码，后面的标准支持更多的字符。在这些编码中，英文和中文可以统一地处理。区分中文编码的方法是高字节的最高位不为0。按照程序员的称呼，GB2312、GBK到GB18030都属于双字节字符集 (DBCS)。

这里还有一些细节：

• GB2312的原文还是区位码，从区位码到内码，需要在高字节和低字节上分别加上A0。
• 在DBCS中，GB内码的存储格式始终是大端字节顺序（即网络节顺序），即高位在前。
• GB2312的两个字节的最高位都是1。但符合这个条件的码位只有128*128=16384个。所以GBK和GB18030的低字节最高位都可能不是1。不过这不影响DBCS字符流的解析：在读取DBCS字符流时，只要遇到高位为1的字节，就可以将下两个字节作为一个双字节编码，而不用管低字节的高位是什么。

那么又什么是区位码？

区位码，即是区码与位码。

我国国家标准局于1981年5月颁布了《信息交换用汉字编码字符集——基本集》，代号为GB2312-80，共对6763个汉字和682个图形字符进行了编码，其编码原则为：汉字用两个字节表示，每个字节用七位码（高位为0），;国家标准将汉字和图形符号排列在一个94行94列的二维代码表中，;每两个字节分别用两位十进制编码，前字节的编码称为区码，后字节的编码称为位码，此即区位码，;如“保”字在二维代码表中处于17区第3位，区位码即为“1703 ”。

国标码

国标码是汉字信息交换的标准编码.是指我国1981年公布的“中华人民共和国国家标准信息交换汉字编码”，代号为“GB2312-80”。由连续的两个字节组成。

国标码：并不等于区位码，它是由区位码稍作转换得到,其转换方法为：先将十进制区码和位码转换为十六进制的区码和位码，;这样就得了一个与国标码有一个相对位置差的代码，;再将这个代码的第一个字节和第二个字节分别加上20H，就得到国标码。如：“保”字的国标码为3123H，它是经过下面的转换得到的：1703D－>1103H->+20H－>3123H。

国标码很少直接使用。

那上面的所谓内码又是什么呢？其实就是gb2312编码时存储表示汉字的代码。从区位码到内码，需要在高字节和低字节上分别加上A0。

国标码是汉字信息交换的标准编码，但因其前后字节的最高位为0，与ASCII码发生冲突，如“保”字，国标码为31H和23H（区位码为0x1103)，而西文字符“1”和“#”的SCII也为31H和23H，现假如内存中有两个字节为31H和23H，;这到底是一个汉字，还是两个西文字符“1”;和“#”?于是就出现了二义性，显然，国标码是不可能在计算机内部直接采用的，于是，;汉字的机内码采用变形国标码，其变换方法为：将国标码的每个字节都加上128(0xA0)，即将两个字节的最高位由0改1，其余7位不变，如：由上面我们知道，“保”字的国标码为3123H，前字节为00110001B，后字节为00100011B，高位改1为10110001B和10100011B 即为B1A3H，因此，字的机内码就是B1A3H。

MBCS 又是什么呢？

MBCS=多字节字符集。所以DBCS(双字节字符集)又说回来是MBCS的一种实现策略。DBCS似乎是MBCS的主要实现（因为中文，日文等是主要需求这MBCS），所以可以简单的认为MBCS一般就是DBCS好了。

为了完整起见，再说一下SBCS（即单字符集）。ASCII码就是单字符集，没办法来表示更多字符。

• mbcs=1个文字由多个字节表现的文字的集合。同时，指在其文字中分配的字符编码的体系。
• 像日语和中文等文字组/编码一样地，把以2个字节表现1个字的文字组和编码体系特别地称为DBCS(Double Byte Character Set)。
• 把拉丁字母和数字·记号的ASCII等，以一个字节表现1个字的文字组和编码体系的叫做SBCS(Single Byte Character Set)。

MBCS(DBCS)主要是一种unicode的一种替换

那什么又是unicode?

unicode是一件大工程。

Unicode也是一种字符编码方法，不过它是由国际组织设计，可以容纳全世界所有语言文字的编码方案。Unicode的学名是"Universal Multiple-Octet Coded Character Set"，简称为UCS。UCS可以看作是"Unicode Character Set"的缩写。

前面提到从ASCII、GB2312、GBK到GB18030的编码方法是向下兼容的。而Unicode只与ASCII兼容（更准确地说，是与ISO-8859-1兼容），与GB码不兼容。例如“汉”字的Unicode编码是6C49，而GB码是BABA。

Unicode 具体不多说了，一般有有ucs与utf之说。

UCS规定了怎么用多个字节表示各种文字。怎样传输这些编码，是由UTF(UCS Transformation Format)规范规定的，常见的UTF规范包括UTF-8、UTF-7、UTF-16。

而ucs分成ucs-2与ucs-4。基本上在现实应用中，可以忽略ucs-4（基本上没有软件使用它）

UCS有两种格式：UCS-2和UCS-4。顾名思义，UCS-2就是用两个字节编码，UCS-4就是用4个字节（实际上只用了31位，最高位必须为0）编码。

UTF-8就是以8位为单元对UCS进行编码。从UCS-2到UTF-8的编码方式如下：

例如“汉”字的Unicode编码是6C49。6C49在0800-FFFF之间，所以肯定要用3字节模板了：1110xxxx 10xxxxxx 10xxxxxx。将6C49写成二进制是：0110 110001 001001， 用这个比特流依次代替模板中的x，得到：11100110 10110001 10001001，即E6 B1 89。

读者可以用记事本测试一下我们的编码是否正确。

UTF-16以16位为单元对UCS进行编码。对于小于0x10000的UCS码，UTF-16编码就等于UCS码对应的16位无符号整数。对于不小于0x10000的UCS码，定义了一个算法。不过由于实际使用的UCS2，或者UCS4的BMP必然小于0x10000，所以就目前而言，可以认为UTF-16和UCS-2基本相同。但UCS-2只是一个编码方案，UTF-16却要用于实际的传输，所以就不得不考虑字节序的问题。

UTF的字节序和BOM

UTF-8以字节为编码单元，没有字节序的问题。UTF-16以两个字节为编码单元，在解释一个UTF-16文本前，首先要弄清楚每个编码单元的字节序。例如收到一个“奎”的Unicode编码是594E，“乙”的Unicode编码是4E59。如果我们收到UTF-16字节流“594E”，那么这是“奎”还是“乙”？

Unicode规范中推荐的标记字节顺序的方法是BOM。BOM不是“Bill Of Material”的BOM表，而是Byte Order Mark。BOM是一个有点小聪明的想法：

在UCS编码中有一个叫做"ZERO WIDTH NO-BREAK SPACE"的字符，它的编码是FEFF。而FFFE在UCS中是不存在的字符，所以不应该出现在实际传输中。UCS规范建议我们在传输字节流前，先传输字符"ZERO WIDTH NO-BREAK SPACE"。

这样如果接收者收到FEFF，就表明这个字节流是Big-Endian的；如果收到FFFE，就表明这个字节流是Little-Endian的。因此字符"ZERO WIDTH NO-BREAK SPACE"又被称作BOM。

UTF-8不需要BOM来表明字节顺序，但可以用BOM来表明编码方式。字符"ZERO WIDTH NO-BREAK SPACE"的UTF-8编码是EF BB BF（读者可以用我们前面介绍的编码方法验证一下）。所以如果接收者收到以EF BB BF开头的字节流，就知道这是UTF-8编码了。

 实际在我们用vc编写程序的时候，unicode就基本是用ucs。

Ultraedit在使用正则表达式进行查找替换时有两个可使用的语法集合。一个是 UltraEdit 的更早的版本被使用的原来的 UltraEdit 句法。另一个是”Unix”类型的正则表达式，这个集合在ultraedit的默认配置中是没有启用的，需要在配置中找到search项，启用Unix类型的正则表达式。

语法集合一：

符号  功能
%     匹配行的开始 - 显示搜索字符串必须在行的开始，但是在所选择的结果字符串中不包括任何行终止字符。
$     匹配行尾 - 显示搜索字符串必须在行尾，但是在所选择的结果字符串中不包括任何行终止字符。
?     除了换行符以外匹配任何单个的字符
*     除了换行符匹配任何数量的字符和数字
+     前一字符匹配一个或多个，但至少要出现一个
++    前一字符匹配零个或多个，但至少要出现一个
^b    匹配一个分页
^p    匹配一个换行符(CR/LF)(段)(DOS文件)
^r    匹配一个换行符(CR 仅仅)(段)(MAC 文件)
^n    匹配一个换行符 ( LF 仅仅 )( 段 )( UNIX 文件 )
^t    匹配一个标签字符TAB
[]    匹配任何单个的字符，或在方括号中的范围
^{A^}^{ B^} 匹配表达式A或 B
^     重载其后的正规表达式字符
^(^)  括或标注为用于替换命令的表达式。

一个正则表达式最多可以有9个标注表达式, 按正规表达式的需要而定。
相应的替换表达式是 ^x , 替换范围x是1-9。例如：
If ^(h*o^) ^(f*s^) matches “hello folks”,
^2 ^1 would replace it with “folks hello”.

（hello folks 将被替换成 folks hello。）

注： ^ 是实际字符 ^不是Ctl + 键值。

例如：
m?n 匹配 “man”,”men”,”min” 但不匹配 “moon”.
t*t 匹配 “test”,”tonight” 和 “tea time” (the “tea t” portion) 但不匹配 “tea
time” (newline between “tea ” and “time”).
Te+st 匹配 “test”,”teest”,” teeeest “等等。但是不匹配 “tst”。
[aeiou] 匹配每个小写元音。
[,.?] 匹配一文字的 “,”，”.”或 “?”。
[0-9, a-z] 匹配任何数位，或小写字母。
[~0-9] 除了数字以外匹配任何字符 (~ 意味着”不”)

你按如下方式可以查找一个表达式A或 B ：

“^{John^}^{Tom^}”

这将在找John或Tom的出现。应该在 2 个表达式之间没有任何东西。

你可以在同一搜索中按如下方式组合A or B and C or D：

“^{John^}^{Tom^}^{Smith^}^{Jones^}”

这将在John or Tom 后面找 Smith or Jones。

语法二：”Unix”句法类型的正则表达式

符号        功能
\          标记下一个字符作为一个特殊的字符。
"n"         匹配字符"n"。"n" 一个换行符或换行符字符。
^           匹配/定位行的开始。
$           匹配/定位行的尾。
*           匹配前面的字符零次或多次。例
+           匹配前面的字符一次或多次。例
.           匹配除了一个换行符字符匹配任何单个的字符。
(expression)标注用于替换命令的表达式。一个正则表达式根据需要，最多可以有9个标注表达式。相应的代替表达式是 x , x的范围是 1-9 。
例如：
If (h.*o) (f.*s) matches "hello folks",
2 1 would replace it with "folks hello".
（hello folks 将被替换成 folks hello。）

[xyz]       一个字符集。匹配在方括号之间的任何字符。
[^xyz]      一个否定的字符集。不匹配在方括号之间的任何字符。
\d          匹配一个数字字符。等价于[0-9]。
\D          匹配一个非数字字符。等价于[^0-9]。
\f          匹配一个换页字符。
\n          匹配一个换行字符。
\r          匹配一个回车符字符。
\s          匹配任何空白的空格, 标签, 换页, 包括空格等等，但不匹配换行符。
\S          匹配任何非空白的字符，但不匹配换行符。
\t          匹配一个标签TAB字符。
\v          匹配一个垂直的标签字符。
\w          匹配任何词语字符包括下划线。
\W          匹配任何非词语字符字符。
注： ^ 是实际字符 ^不是Ctl + 键值。

例如：
m.n 匹配 “man”,”men”,”min” 但不匹配 “moon”.
t+t 匹配 “test”,”tonight” 和 “tea time” (the “tea t” portion) 但不匹配 “tea
time” (newline between “tea ” and “time”).
Te*st 匹配 “test”,”teest”,” teeeest “等等。但是不匹配 “tst”。
[aeiou] 匹配每个小写元音。
[,.?] 匹配一文字的 “,”，”.”或 “?”。
[0-9,a-z] 匹配任何数位，或小写字母。
[^0-9] 除了数字以外匹配任何字符 (~ 意味着”不”)

你按如下方式可以查找一个表达式A或 B ：

“(John)|(Tom)”

这将在找John或Tom的出现。应该在 2 个表达式之间没有任何东西。

你可以在同一搜索中按如下方式组合A or B and C or D：

“(John|Tom) (Smith|Jones)”

这将在John or Tom 后面找 Smith or Jones。

另外：

p 匹配 CR/LF ( 作为 rn 的一样 ) 作为DOS行结束符匹配

如果查找/替换功能中正则表达式没有选用，则替换字段中下列字符也是有效的：

符号 功能

^^ 匹配一个 “^” 字符
^s 替换为被选择 ( 加亮 ) 活跃的文件窗口的文章。
^c 替换为剪贴板的内容
^b 匹配一个页裂缝
^p 匹配一个换行符 ( CR/LF )( 段 )( DOS 文件)
^r 匹配一个换行符 ( CR 仅仅 )( 段 )( MAC 文件)
^n 匹配一个换行符 ( LF 仅仅 )( 段 )( UNIX 文件)
^t 匹配一个标签TAB字符

下面是我要实现的一段代码查询替换的举例
我想把一个.lrc文件中的汉字去掉:

[ti:046]
[ar:Book I]
[al:english900]
[la:zh]
[by:]
[00:00.00][4] Identifying objects.辨别物品
[00:00.00]
[00:00.01]What are these? 这些是什么？
[00:01.93]Those are books. 那些是书。
[00:03.87]Where are the books? 那些书在哪儿？
[00:06.13]There they are. 在那儿。
[00:08.68]These are my pencils. 这些是我的铅笔。
[00:12.00]Where are your pens? 你的那些钢笔在哪儿？
[00:14.85]They're over there. 在那里。
[00:17.48]Are these your pens? 这些是你的钢笔吗？
[00:20.04]Yes,they are. 是我的。
[00:22.63]Those are mine. 那些是我的。
[00:25.39]These are your books,aren't they? 这些书是你的，对不对？
[00:28.35]No,they aren't. 不，不是。
[00:31.07]They're not mine. 不是我的。
[00:33.39]These are mine,and those are yours. 这些是我的，而那些是你的。
[00:35.57]Those aren't your pens,are they? 那些钢笔不是你的，对吧？
[00:36.38]

点"搜索"->"替换",选中"正则表达式"

查找：^([/./?]^) ?++$

替换为：^1

点“全部替换”，完成。

大家可以在今后的编码中尝试一下Ultraedit的正则表达式查找替换功能，非常简单快捷

后来，实在是使用感到别扭---因为我一天都至少要用上好几回。只好在网上找了些资料，这才修复了他。