|
| SREng日志分析详解 |
| 作者 depressedboy 查看 336 发表时间 2008/7/5 12:58 【论坛浏览】 |
|
izsns http://xmtrabbit.blog.163.com/blog/static/1613871320073140628562/izsns 资料来源：李牧原 《[参赛作品]教你分析SREng日志【附扫描方法】》izsns http://bbs.pep.com.cn/thread-303935-1-4.htmlizsns 近日，读了上面两位的文章后，受益良多，下面把两位高手的文章小结一下，希望对SREng日志分析的初学者有所帮助。izsns =========================================================================================izsns （注：转载请注明出处）izsns =========================================================================================izsns 我们首先来看日志的开头部分：izsns [CODE]izsns 2007-07-07,22:56:31izsns System Repair Engineer 2.5.16.900izsns Smallfrogs (http://www.KZTechs.com)izsns Windows XP Professional Service Pack 2 (Build 2600) - 管理权限用户 - 完整功能izsns 以下内容被选中：izsns 所有的启动项目（包括注册表、启动文件夹、服务等）izsns 浏览器加载项izsns 正在运行的进程（包括进程模块信息）izsns 文件关联izsns Winsock 提供者izsns Autorun.infizsns HOSTS 文件izsns 进程特权扫描izsns ==========================================================================================izsns 启动项目izsns 注册表：izsns [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]--------注册表项izsns <ctfmon.exe> <C:\windows\system32\ctfmon.exe> [(Verified)Microsoft Windows Publisher]izsns |____键的名称 |______键的值 |____这个文件的版权信息izsns izsns 注册表键的名称后面的是键值。再后面是程序的公司版本信息。如果通过了数字签名验证，会有(Verified) 的字样。izsns %systemroot%是系统安装目录，如果是Win98或者XP之类的，对应目录一般为C:\WINDOWS\；如果为WinNT或者2000，对应目录一般为C:\WINNT。izsns izsns 一般的启动程序都是在下面这些项里面了，要好好分析哦~~对于不确定的进程，到www.google.cn里面查。izsns [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]izsns [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]izsns [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]izsns [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]izsns [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices]izsns [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]izsns [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]izsns [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]izsns [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx]izsns izsns 下面这四项要注意，如果日志里面的和这四个不一样，那么很可能就有问题izsns [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]izsns [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]izsns [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]izsns izsns 如果有下面的这两项，“<>”里面有进程，很可能有问题izsns [HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]izsns izsns 下面这两项下面如果有键，也可能有问题izsns [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]izsns [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]izsns izsns 下面的三项如果有除了杀毒软件之外的键，很可能有问题izsns [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]izsns [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]izsns [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]izsns izsns 可信项目（即有N/A，但可以确定没问题的项目）：izsns [HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]izsns [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]izsns 如果“<>”里面没有东西，以上几项可以排除izsns 这一项也可以排除izsns izsns ==========================================================================================izsns 启动文件夹：izsns [WNSO]izsns 这个相对简单些.就是在「开始」菜单\程序\启动里的快捷方式, 箭头所表达的是这个快捷方式的目标.izsns ==========================================================================================izsns 服务：(在运行中输入:services.msc可快速打开服务管理)izsns [SQLSERVERAGENT / SQLSERVERAGENT] [Stopped/Manual Start]izsns |_____显示名 |______服务名 |__状态 |___启动方式izsns <C:\PROGRA~1\MICROS~4\MSSQL\binn\sqlagent.exe><Microsoft Corporation>izsns |______是这个服务的文件. |__同上,文件的版权信息.izsns izsns ==========================================================================================izsns 驱动程序：izsns [Service for Realtek AC97 Audio (WDM) / ALCXWDM][Running/Manual Start]izsns 同服务的差不多,不再重复.izsns ==========================================================================================izsns 浏览器加载项：izsns [FGCatchUrl]--------加载项名(BHO)izsns {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} <E:\Program XP\FlashGet\jccatch.dll, www.flashget.com>izsns |_____CLSID |___对应的文件 |__版权izsns ==========================================================================================izsns 正在运行的进程：izsns [PID: 1528]--------进程号 [C:\windows\Explorer.EXE]--------文件的位置 [Microsoft Corporation,-------文件的版权 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]-------------文件的版本号izsns izsns -----------------这是一条进程izsns izsns [C:\windows\system32\Normaliz.dll]--------文件的位置 [Microsoft Corporation,-------文件的版权 6.0.5441.0 (winmain(wmbla).060628-1735)]-------------文件的版本号izsns ------------------这是EXPLORER的一个模块izsns izsns 一般来说，进程前面没有[PID:XXXX]的进程是安全的，不用去分析。izsns 我这个日志是用旧版的SREng扫描的，新版的SREng在进程前面的方括号[ ]里除了PID参数外，还有用户名。我的新版日志的方括号里面就是这样的：izsns [PID: 932 / SYSTEM][\SystemRoot\System32\smss.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]izsns [PID: 296izsns / 李牧原][C:\WINDOWS\Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]izsns izsns “PID:XXX/ ”后面的SYSTEM和李牧原就是运行这项进程的用户名。SYSTEM说明这项进程为系统进程。izsns 进程名称的下几行（如果有的话）是进程加载的dll。一般来说，有[N/A]的就是有问题的。这时候应该用Google搜索一下这个dll，如果发现有问题或者根本搜索不到，就应该删除。有的dll名称是随机的n位字母数字，一般来说都是有问题的。如：izsns [C:\WINDOWS\system32\ldmedia4.dll] [N/A, ]izsns [C:\WINDOWS\system32\mppds.dll] [N/A, ]izsns [e:\program files\rising\rfw\zpkjuwgv.dll] [N/A, ]izsns izsns 对于Explorer.EXE加载的dll要格外注意！izsns ==========================================================================================izsns 文件关联：izsns .TXT OK.izsns [%SystemRoot%\system32\NOTEPAD.EXE %1]izsns |__文件类型 |__状态 |___用什么程序打开izsns izsns 一般来说，有Error的都是要修复的izsns ==========================================================================================izsns Winsock 提供者：izsns WINSOCK 是在Windows进行网络通信编程的API接口，也是Windws网络编程的事实标准.izsns 如果其出错了,则会无法上网.izsns izsns Winsock 提供者：默认为N/A，如果不是N/A，先搜索一下，如果有问题，就用在兔子，360修复一下Winsock。izsns ==========================================================================================izsns Autorun.inf：izsns 这个一般是中了U盘病毒才会出现,但不绝对.其格式如下:izsns [AutoRun] izsns OPEN=OSO.exe--------------用来指定自动运行后要运行的文件izsns shellexecute=OSO.exe------用来指定自动运行后要运行的文件(与OPENT不同的是可以使用文件关联信息打开文件izsns shell\Auto\command=OSO.exe---------用于将指定的要运行文件添加到右键菜单中.izsns izsns 默认也是空值，如果有程序，先搜索一下，如果有问题，删除该程序。izsns ==========================================================================================izsns HOSTS 文件：izsns HOSTS文件是一个主机到IP地址的映射列表(优化大师的快速域名解释功能应该是通过改这个文件).izsns 一般情况下只有一个:izsns 127.0.0.1 localhostizsns izsns 如果和默认值不符，一般需要用SREng修复HOSTS文件。izsns 注意:360安全卫士为了免疫机器狗木马可能会在里面添加一些内容。izsns ==========================================================================================izsns 进程特权扫描：izsns 搜索进程，如果是病毒，删除之。izsns ==========================================================================================izsns API HOOK：izsns 先搜索那几个文件，如果有问题，启动SREng时，右下角会出提示，先点击“查看详情”，点“修复入口点错误”即可。izsns ==========================================================================================izsns 隐藏进程：izsns 搜索进程，如果是病毒，删除之。izsns izsns 如果使用srenglog分析助手会相对方便很多 |
| 序号 | 评论者 | 共有评论 0 【论坛浏览】 【发表评论】 | 评论时间 |
| 当前无任何评论，或评论已被禁止显示 | |||
共有评论数 0 每页显示 10
|
|||
 |
紧急求救!!!!! |
| |
[图文] 反病毒木马辅助工具... |
 |
[求助] 无法进入系统 |
| |
[讨论] 为什么系统的时间老... |
| |
[求助]系统核心服务程序6和... |
| |
[求助] 开机后瑞星杀毒软件... |
| |
[已解决] [求助]跪求如何清... |
| |
每次开机都弹出三个网页对... |
| |
[求助] 帮看下扫描 |
| |
反病毒可能需要用到的方法... |
