上一主题下一主题
主题 : 教你分析SREng日志
复制链接 | 浏览器收藏 | 打印
级别: DOS 3.X
作者资料 发送短消息 QQ联系
UID: 47073
精华: 0
发帖: 65
威望: 1 点
星星铁: 16 块
贡献值: 74 点
在线时间: 21(时)
注册时间: 2007-11-11
最后登录: 2009-04-15
0  发表于: 2007-11-11 11:57
只看楼主 | 小 中 大

教你分析SREng日志

作者声明 @#P)a}C  
FHb)/0|ft  
本帖已经发布到多个论坛，包括（按发布先后顺序）： R ~|L!|  
==== iZd{RB-C  
人民教育出版社论坛【精】：http://bbs.pep.com.cn/viewthread.php?tid=303935&fromuid=422027 u h4wX!w  
爱好者论坛（CFAN）【精】：http://bbs.cfan.com.cn/viewthread.php?tid=601475 3mO>!V L  
Avira中国使用者服务论坛：http://www.avira.org.cn/bbs/viewthread.php?tid=7264 {Oi%s0L*  
电脑报论坛（数动联线）【精】：http://bbs.cpcw.com/viewthread.php?tid=1254228 zB60  
==== du'3qsM w  
原创作品，欢迎指点！转载请注明出处，谢谢合作 %|rg,+VF  
==== [n}"TK!B  
前言 HPEhT?9  
hql/x{=  
　　我接触SREng的时间并不长。第一次接触SREng，是在今年4月。那时我们家才刚刚上网。有一天我上网的时候，发现瑞星弹出了好几条修改注册表的信息，开始没注意，允许了几个，后来才感觉不对劲……然后在任务管理器里面发现了有个mppds.exe。尽管当时我的水平并不是很高，但是直觉告诉我这个进程有问题。所以我就用瑞星的卡卡扫了个日志，发到了卡卡论坛上。在那里，我第一次接触到了SREng这个词…… OI51FcEA  
!${,^ l  
附：帖子地址http://forum.ikaka.com/topic.asp?board=28&artid=8290806 (* =/1!D;"  
我现在再看那个日志，我自己也能发现所有的问题了。 ;!f"pgh0;*  
fDT6? _$  
　　我的问题解决之后，我就对SREng这个软件产生了兴趣：扫个日志就能解决问题！后来，我加入了水树雨下签名里的（现在没有了）反病毒交流群，在那里，我和他们学到了好多东西，经验也一点点地丰富起来了。 8y3^,  
　　我还看过一个SREng日志的分析教程，对我的帮助也比较大。附上地址： bF{Do*;h  
http://hi.baidu.com/teyqiu/blog/item/9785b2b7eb1a7df431add1a4.html zMi :b>R  
n?2W8"{O(  
　　下面我就从最基本的开始，教大家怎样看SREng日志。看完这个就会知道：其实分析日志是一件很简单的事！千万不要被这么长的篇幅吓到哦！希望大家有耐心看完！  我的目的就是，让所有看过的人都能够自己分析SREng日志！呵呵~~ OAj 4`}I!  
g *fef]8  
PS：在这里我附上了kuing、竹风铃和我自己的日志。所以篇幅会显得特别长。其实如果把所附日志去掉，篇幅就会很短了……所以一定要有耐心…… bqu$b~[4  
R~]A5t 5>  
另：在写《浏览器加载项 分析方法》的时候，得到了ho121的帮助，在此提出感谢~~ pq ?j\l  
>?n(U7;c  
 Z<! 4DWS  
　　如果发现病毒，先别着急删，请看7楼的清除方法
[ 此贴被李牧原在2007-11-11 12:12重新编辑 ]
以今日之我，胜昨日之我；以明日之我，胜今日之我！
顶端
回复 引用
级别: DOS 3.X
作者资料 发送短消息 QQ联系
UID: 47073
精华: 0
发帖: 65
威望: 1 点
星星铁: 16 块
贡献值: 74 点
在线时间: 21(时)
注册时间: 2007-11-11
最后登录: 2009-04-15
1  发表于: 2007-11-11 12:04
只看该作者 | 小 中 大

扫描日志方法：

　　首先，请到这里下载最新版的SREng： P\ndN7B  
http://download.kztechs.com/files/sreng2.zip（地址没变，还是以前的地址。不过内容变了哦！如果用迅雷，一定要重新下载一遍！） -7Q>eL   
#EiPS)0Z  
　　解压，运行其中的SREngPS.exe。如果无法运行或者打开后自动关闭，可以改名为123321.com或者abcdef.scr或defedfsd.pif（文件名自己随便弄，但【后缀名】不要改）最好是以管理员权限帐户运行，这样扫描的效果最好。 u6ye  
c{r~;Q,  
　　如果为英文界面，单击菜单栏里的Tools——Options，在弹出窗口里的Please select a lauguage下面的下拉三角中选择Simplifed Chinese，点Ok，重启程序就变成中文的了。如图： hX$ZB2(A  
4Z &SiF  
[OAE"a&  
9,"R?=~Nj  
gG281A|d  
　　打开SREng后，屏幕右下角有可能出来这个通知，不用管它，直接点“关闭”。因为这很可能是杀毒软件进行的正常修改，再说如果扫描个日志，这项信息也会出现在日志中，千万不要自行修复入口点错误！！ W5FzQG  
r`3)U  
zeK}X)EI  
Ik 04B&P3$  
　　下面要开始扫描了。扫描之前最好能够把QQ、迅雷、IE等一切不必要的程序关掉（如果是特定软件出了问题，扫描的时候要把那个软件打开）。准备好之后，点SREng界面内的“智能扫描”，把上面的那几项全部选中，然后选择下面的“检查进程模块的数字签名”（防止一些病毒用了假的数字签名）。最后点“扫描”。 H ?a,zn  
z>^hz *3  
sFDYv9x;  
MBpY}   
新版SREng的扫描速度比较快，据说要比旧版的速度提高三倍以上。下图是新版SREng的扫描界面，是不是一目了然呢？ VIirD X&u#  
7&;9:\]-$  
rSD<`6?  
IQxE ]G@  
扫描结束后，单击“保存报告”，会保存为一个文件名为SREngLOG.log的日志文件。用记事本打开，按CTRL+A、CTRL+C全选复制，然后可以把这个日志粘贴（CTRL+V）到论坛上面。 b\N_Q]a/  
OST1b,  
!G1[Q]^bA  
d@#OS;<}  
　　我要教大家的并不是怎么把日志传到论坛上面让别人帮忙看，而是自己去分析！看着那一大堆密密麻麻的英文字母和符号，是不是心里一点底也没有？呵呵，不要紧，刚开始都会这样的，等熟悉了就好了。下面我就一段一段地把SREng日志的分析方法教给大家！
[ 此贴被李牧原在2008-04-01 22:38重新编辑 ]
以今日之我，胜昨日之我；以明日之我，胜今日之我！
顶端
回复 引用
级别: DOS 3.X
作者资料 发送短消息 QQ联系
UID: 47073
精华: 0
发帖: 65
威望: 1 点
星星铁: 16 块
贡献值: 74 点
在线时间: 21(时)
注册时间: 2007-11-11
最后登录: 2009-04-15
2  发表于: 2007-11-11 12:06
只看该作者 | 小 中 大

启动项目：注册表、启动文件夹 分析方法：

　　我们首先来看日志的开头部分（以kuing的日志为例，本人应该不会介意吧……）： J<x1(<%v  
JMgBp*:A  
引用
[CODE] ! UlfBA  
2007-07-07,22:56:31 u mQI)   
System Repair Engineer 2.5.16.900 4*lMEe)v  
Smallfrogs (http://www.KZTechs.com) :8 ",D  
Windows XP Professional Service Pack 2 (Build 2600) - 管理权限用户 - 完整功能 h2Q'V   
以下内容被选中： EUn|)Bn=  
    所有的启动项目（包括注册表、启动文件夹、服务等） M/`/F y"  
    浏览器加载项 Ns>Ro\v$  
    正在运行的进程（包括进程模块信息） XsD'*!YO  
    文件关联 n/{+>t  
    Winsock 提供者 2"iy? ;  
    Autorun.inf  {OTG  
    HOSTS 文件 d\ 7guJq1  
    进程特权扫描 $i)Y.Lms'  
t).b1-<  
　　这些信息说明了SREng的版本、操作系统版本、扫描用户权限、扫描时间和扫描项目。不用去管它。 >Wu>Ex*l  
　　 B*;.%  
　　现在我们来看这部分： h}LP=:-  
W8x)QItS  
引用
启动项目 J{o.q* O3  
注册表 K]X|*pg0  
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] c@$uvZ*Y!  
    <ctfmon.exe><C:\WINDOWS\system32\ctfmon.exe>  [(Verified)Microsoft Windows Publisher] NUR4C%W  
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows] r%9 :Tv5x  
    <load> <>  [N/A] j9p]gcm_,  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] `Q8$ltko_  
    <igfxtray><C:\WINDOWS\system32\igfxtray.exe>  [(Verified)Microsoft Windows Publisher] Ve( E  
  <igfxhkcmd><C:\WINDOWS\system32\hkcmd.exe>  [(Verified)Microsoft Windows Hardware Compatibility Publisher] ?$pg#oS ?  
    <igfxpers><C:\WINDOWS\system32\igfxpers.exe>  [(Verified)Microsoft Windows Hardware Compatibility Publisher] )g ^2h  
    <RavTask><"C:\Program Files\Rising\Rav\RavTask.exe" -system>  [Beijing Rising Technology Co., Ltd.] grHAZZn  
    <RfwMain><"C:\Program Files\Rising\Rfw\rfwmain.exe" -Startup>  [Beijing Rising Technology Co., Ltd.] 6:f*m|:  
  <runeip><"C:\Program Files\Rising\AntiSpyware\runiep.exe" /startup>  [Beijing Rising Technology Co., Ltd.] YH,2]xsE  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce] N@DtfAU  
    <KKDelay><C:\Program Files\Rising\AntiSpyware\RunOnce.exe> [Beijing Rising Technology Co., Ltd.] [.w3zbL  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] { :VjW  
    <shell><Explorer.exe>  [(Verified)Microsoft Windows Publisher] Y`"aaVda  
    <Userinit><C:\WINDOWS\system32\userinit.exe,>  [(Verified)Microsoft Windows Publisher] n\Z|TUY  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows] T3pY[jI  
    <AppInit_DLLs><>  [N/A] <(_&/d  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] T46.E2Lz  
    <UIHost><logonui.exe>  [(Verified)Microsoft Windows Publisher] N-[(u G  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] ^^@5wWOXZ  
    <{32CD708B-60A7-4C00-9377-D73EAA495F0F}><C:\WINDOWS\system32\RavExt.dll>  [Beijing Rising Technology Co., Ltd.] -N.QJ?[,W{  
    <{AC2DC2EF-5165-40A3-8CDF-41DCA1B0901A}><C:\WINDOWS\system32\shlhook.dll>  [Beijing Rising Technology Co., Ltd.] :R>` .#2  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] D22X:#$  
    <WPDShServiceObj><C:\WINDOWS\system32\WPDShServiceObj.dll>  [(Verified)Microsoft Windows Component Publisher] jXI'Z;Tmc  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\igfxcui] hwBOIoO  
    <WinlogonNotify: igfxcui><igfxdev.dll>  [(Verified)Microsoft Windows Hardware Compatibility Publisher] @4EVO6 ,  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WgaLogon] 7G+H$  
    <WinlogonNotify: WgaLogon><WgaLogon.dll>  [(Verified)Microsoft Corporation] lOOfT%9GE  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\>{26923b43-4d38-484f-9b9e-de460746276c}] t9WR=x  
    <Internet Explorer><%systemroot%\system32\shmgrate.exe OCInstallUserConfigIE>  [N/A] Fv`7;fVP  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\>{881dd1c5-3dcf-431b-b061-f3f88e8be88a}] |+GX2EMn  
    <Outlook Express><%systemroot%\system32\shmgrate.exe OCInstallUserConfigOE>  [N/A] qy@\(30*8  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{2C7339CF-2B09-4501-B3F3-F3508C9228ED}] XS<u -.  
    <Themes Setup><%SystemRoot%\system32\regsvr32.exe /s /n /i:/UserInstall %SystemRoot%\system32\themeui.dll>  [N/A] k}ypD"bh  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{44BBA840-CC51-11CF-AAFA-00AA00B6015C}] ,"j6 'V  
    <Microsoft Outlook Express 6><"%ProgramFiles%\Outlook Express\setup50.exe" /APP:OE /CALLER:WINNT /user /install>  [N/A] WVxqSgP  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{44BBA842-CC51-11CF-AAFA-00AA00B6015B}] "n}  z  
    <NetMeeting 3.01><rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msnetmtg.inf,NetMtg.Install.PerUser.NT>  [(Verified)Microsoft Windows Publisher] <>%uZ*8k[  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{5945c046-1e7d-11d1-bc44-00c04fd912be}] (!D__(YZ  
    <Windows Messenger 4.7><rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msmsgs.inf,BLC.QuietInstall.PerUser>  [(Verified)Microsoft Windows Publisher] Q#6l6r@  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{6BF52A52-394A-11d3-B153-00C04F79FAA6}] ;'^FL=v  
    <Microsoft Windows Media Player><rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\wmp11.inf,PerUserStub>  [(Verified)Microsoft Windows Component Publisher] \XZY&*t  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{7790769C-0471-11d2-AF11-00C04FA35D02}] fV(^[YA  
    <通讯簿 6><"%ProgramFiles%\Outlook Express\setup50.exe" /APP:WAB /CALLER:WINNT /user /install>  [N/A] NQ.MH[&  
2u0[m/N  
================================== cqLC'8j  
启动文件夹 TR75 3'3  
N/A wdr<du "sN  
28uqNHW;  
RLcM |E?  
　　这段日志里可以看出，你电脑开机的时候都会运行哪些程序。 8#tv b4/  
　　粉色字样的是是注册表项。也就是这个程序在注册表中的位置。如果是病毒，可以通过开始——运行输入regedit，查找该键值来取消病毒的自动启动。 V\7;@%pam  
　　注册表项下一行，“< >”里面的，前面的是这个注册表项的键，后面的是这个键的键值。再后面，是程序的公司版本信息。如果通过了数字签名验证，在Microsoft的前面会有(Verified) 的字样。 zVQN*a'E  
　　PS：颜色是我自己加上的。颜色只弄了一部分，其他的类推，不用我全弄上了吧…… AI!8 Ft,F  
p1YO8 rj  
VQ%flX?  
　　分析方法：对于新手来说，最重要的就是熟悉进程和进程模块。当大家遇到自己不熟悉的进程和进程模块，（*.exe、*.dll），可以上www.google.cn去搜索一下，时间长了，积累些经验，下次再看到这些进程的时候，心里就有点底啦！注册表里面的启动项一般都有输入法、杀毒软件、声卡显卡的优化软件（如ATi催化剂、音效管理员）等。不过还要注意后面的公司版本信息。如果一个你比较熟悉的进程，后面的公司信息是[N/A]，这个很有可能就是病毒！！ gRm92l  
|m&j=+Txg  
%systemroot%是系统安装目录，如果是Win98或者XP之类的，对应目录一般为C:\WINDOWS\；如果为WinNT或者2000，对应目录一般为C:\WINNT _ :Z8p  
============================================================　　 o9_{cway"  
一般的启动程序都是在下面这些项里面了，要好好分析哦~~对于不确定的进程，到www.google.cn里面查。 ~ ~R{X{t  
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] QH|:$y  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] a+}(Fq~  
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce] 7Tnf*4h,)D  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce] JZ?=Ju4vp  
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices] QH)zy  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices] ZJJ`n  
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce] k0p^O zTr}  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce] r}?W0PY"i2  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx] u xa?"L  
============================================================ xQh/X61  
下面这四项要注意，如果日志里面的和这四个不一样，那么很可能就有问题 9:U$'M9 l2  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] _Uj _D^F  
    <shell><Explorer.exe>  [(Verified)Microsoft Windows Publisher] i_C "  
    <Userinit><C:\WINDOWS\system32\userinit.exe,>  [(Verified)Microsoft Windows Publisher]（注意那个逗号！这个逗号不可省略） <1M5AE5  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows] - H*A@#K9,  
          <AppInit_DLLs><>        [N/A] Jj(?b0DI  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] SKg0?!Xlqm  
          <UIHost><logonui.exe>        [Microsoft Corporation] @4Jpu =0  
============================================================ ''<^/PY  
如果有下面的这两项，“<>”里面有进程，很可能有问题 $$ij4$  
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows] zicY.!w4V  
          <load><>        [N/A] VS - ]n  
          <run><>        [N/A] Ho2h:V  
============================================================ h8]7BP  
下面这两项下面如果有键，也可能有问题 ?zF<V.23  
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] |+D{Y/H[  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] " Y  
============================================================ ,eoa34Y[  
下面的三项如果有除了杀毒软件之外的键，很可能有问题 55o&rc!  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 3|.5=K-  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] b%~Y[c  
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] 5 gXx,  
============================================================ X@\pwcj|a  
可信项目（即有N/A，但可以确定没问题的项目）： T)}D/=T  
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows] 6P=%<8  
    <load> <>  [N/A] C2[l:U  
    <run> <>  [N/A] "t]dFdB$@  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows] a?aBB.TB  
    <AppInit_DLLs><>  [N/A] nUf R;A  
 &yU4NKj  
如果“<>”里面没有东西，以上几项可以排除 %bJAl]M.  
%&eo #  
%systemroot%\system32\shmgrate.exe 2vNv6_%  
这个进程，虽然有些网站上说是病毒，但是貌似只有新版的SREng才能扫出来这个，本人目前可以确定这个进程没问题 []Laabb'  
%ProgramFiles%\Outlook Express\setup50.exe wpe[A61z*  
这个进程也可以确定没问题 gjTGJY4)  
要注意路径！！ oO(+o(}  
<KernelFaultCheck><; %systemroot%\system32\dumprep 0 -k>  [N/A] +B!-SpHY  
这一项也可以排除 YmW%/y  
============================================================ [H8U1?En+}  
还有的病毒，公司名称会假冒微软的数字签名，不过在启动项目——注册表里面，如果通过数字签名，在公司名称的前面会有个(Verified) w/ Pg  
 MKGvIR)g  
启动文件夹，就是你点“开始”——“程序”——“启动”那里面的文件，一般不会有什么问题（因为大部分病毒没那么弱智……放在这里，一般的菜鸟都能看出来……），但也不能掉以轻心！！ -n3Wut  
n!)1 L58  
举几个病毒的例子：  4Ioiwp  
di W 9AAU  
<MsServer><msfir80.exe>  [N/A] :e]{F{l\z  
很明显的，有 [N/A]，一下就注意到这个了。 Bd y)%]  
*dt::'c  
<x0w3srs6w><C:\DOCUME~1\李牧原\LOCALS~1\Temp\rundl132.exe> [N/A] ~+-A@+  
这个有点难度，注意[N/A]、奇怪的键名<x0w3srs6w>和那个红色的1，正常的应该是两个字母l（rundll32.exe）。 raYn~_\[  
tAFqG8!=|  
<4sqlllc7mh3><C:\DOCUME~1\李牧原\LOCALS~1\Temp\servicer.exe> [] ZaSa-^G  
这个和上面的那个是一个类型的，这个程序的名称一般人都能看出来有问题……还没有公司信息，键名也很奇怪。 7O)Aj-$  
Y]^,q+^4S  
上面的三个都是在[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]下面的 M@o_&-`|]7  
Y@Z%BDcJ  
这两个有点特殊：  Ri>+Xv  
<{E25C29AB-12B9-4523-A53C-324B5FBA648C}><e:\program files\rising\rfw\zpkjuwgv.dll> [] _w0,Z,YG3`  
<{754FB7D8-B8FE-4810-B363-A788CD060F1F}><> [N/A] ^UkjG;{zz  
~Mc{%nH   
这两个是在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]下面的，所以是病毒，删掉。 So4mJE]B  
|$  Yp&  
还有个特殊的：SYSEXPLR.EXE这个程序，如果在超级解霸的目录下（比如HeroV8），那么就可以排除……如果在别的地方，可能就是冰河木马 h-fSKI4}  
-LhM'^Zb"  
这一项就介绍到这里啦~~
以今日之我，胜昨日之我；以明日之我，胜今日之我！
顶端
回复 引用
级别: DOS 3.X
作者资料 发送短消息 QQ联系
UID: 47073
精华: 0
发帖: 65
威望: 1 点
星星铁: 16 块
贡献值: 74 点
在线时间: 21(时)
注册时间: 2007-11-11
最后登录: 2009-04-15
3  发表于: 2007-11-11 12:07
只看该作者 | 小 中 大

服务、驱动程序 分析方法：

这里的服务和驱动，显示的是非Windows自带的第三方服务驱动。 xl S)i81  
粉红色的是服务或驱动的名称，红色的是状态，蓝色的是启动方式，橙色的为文件的路径，紫色的为公司名称信息。 JW  rjr  
.=Y-cV9  
[Human Interface Device Access / HidServ][Stopped/Disabled] DA|jL  
  <C:\WINDOWS\System32\svchost.exe -k netsvcs-->%SystemRoot%\System32\hidserv.dll><N/A> 7 y8Dm  
这个服务，如果在进程里面没有特殊项的时候，是可信的，不用管它。 x9O4sx{<  
如果发现有其他的公司名称为N/A的或者假冒微软的服务和驱动，还有的服务驱动名称很奇怪，这样用Google和百度都搜索一下，搜索不到就有问题了。 u4rj~3  
再引用下kuing的日志…… }n(1X87=  
引用
V6 Hr.n/  
服务 !x#\M v'u  
[Human Interface Device Access / HidServ][Stopped/Disabled] EkLMer?%  
  <C:\WINDOWS\System32\svchost.exe -k netsvcs-->%SystemRoot%\System32\hidserv.dll><N/A> 2}cOE\J'  
[Rising Proxy  Service / RfwProxySrv][Stopped/Manual Start] IqKmIG?,  
  <c:\program files\rising\rfw\rfwproxy.exe><Beijing Rising Technology Co., Ltd.> <@}.tK  
[Rising Personal Firewall Service / RfwService][Running/Auto Start] 0i>3${PNE  
  <c:\program files\rising\rfw\rfwsrv.exe><Beijing Rising Technology Co., Ltd.> =^ K;>d  
[Rising Process Communication Center / RsCCenter][Running/Auto Start] e% XA]n&  
  <"C:\Program Files\Rising\Rav\CCenter.exe"><Beijing Rising Technology Co., Ltd.> ASN-/._i  
[Rising RealTime Monitor / RsRavMon][Running/Auto Start] lK"o.xYf  
  <"C:\PROGRAM FILES\RISING\RAV\Ravmond.exe"><Beijing Rising Technology Co., Ltd.>  Dj^b  
================================== 6bA}JR};_  
驱动程序 C5rlkn?U#  
[2310_00 / 2310_00][Stopped/Boot Start] gbTRh%SM>b  
  <\SystemRoot\System32\BIRD\2310_00.sys><HighPoint Technologies, Inc.> &Po7Wz'  
[3WAREDRV / 3WAREDRV][Stopped/Boot Start] w.f'` ,`  
  <\SystemRoot\System32\BIRD\3WAREDRV.SYS><N/A> y][YYo*  
[A320RAID / A320RAID][Stopped/Boot Start] b"7 &v J_  
  <\SystemRoot\System32\BIRD\a320raid.sys><Adaptec, Inc.> XXb$~b+i  
[AAC / AAC][Stopped/Boot Start] 6_E:1.#t8  
  <\SystemRoot\System32\BIRD\aac.sys><Adaptec, Inc.> >S i4S7   
[AACSAS / AACSAS][Stopped/Boot Start] Z'U'E^4,mj  
  <\SystemRoot\System32\BIRD\aacsas.sys><Adaptec, Inc.> T#x?tRp*  
[Service for Realtek AC97 Audio (WDM) / ALCXWDM][Running/Manual Start] BXreGk  
  <system32\drivers\ALCXWDM.SYS><Realtek Semiconductor Corp.> m#B^q|,  
[AmdK8 Compatible Device / AmdK8][Stopped/System Start] <&f|!=66  
  <System32\BIRD\amdk8.sys><Advanced Micro Devices> {Jfd4H   
[ARCM_X86 / ARCM_X86][Stopped/Boot Start] SyAF[m<<`  
  <\SystemRoot\System32\BIRD\arcm_x86.sys><ARECA  Technology Corporation> D"]?6't(o  
[Rising TDI Base Driver / BaseTDI][Running/Auto Start] $vSGh 43  
  <System32\DRIVERS\BaseTDI.SYS><Beijing Rising Technology Co., Ltd.> MOo TI?A$  
[BCHTSW32 / BCHTSW32][Stopped/Boot Start] ow5s*XFgi  
  <\SystemRoot\System32\BIRD\bchtsw32.sys><Broadcom Corporation> 9>;cl2@  
[dpti2o / dpti2o][Running/Boot Start] #-NWtG[  
  <\SystemRoot\System32\BIRD\dpti2o.sys><Microsoft Corporation> 44@L8C  
[ExpScaner / ExpScaner][Running/Auto Start] ;>j'g0  
  <\??\C:\PROGRAM FILES\RISING\RAV\ExpScan.sys><> \ Z$6  
[FASTSX / FASTSX][Running/Boot Start] Z/F@.Jj2  
  <\SystemRoot\System32\BIRD\fastsx.sys><Promise Technology, Inc.> wu2O*Io  
[FASTTRAK / FASTTRAK][Running/Boot Start] {4s;e%5rh  
  <\??\C:\WINDOWS\system32\drivers\hjg47ql8p.sys><N/A> \:{Q{$xUS  
[HookCont / HookCont][Running/Auto Start] ;%2h0X]  
  <\??\C:\PROGRAM FILES\RISING\RAV\HOOKCONT.sys><Rising> WY~+=U#="  
[HookReg / HookReg][Running/Auto Start] %s?5C!ck1  
  <\??\C:\PROGRAM FILES\RISING\RAV\HookReg.sys><> r`EuH?ga  
[HookSys / HookSys][Running/Auto Start] "A)TeC'8  
  <\??\C:\PROGRAM FILES\RISING\RAV\HookSys.sys><Rising> :fxbTMdXG0  
[HookUrl / HookUrl][Running/Auto Start] FsMw~2@  
  <\??\C:\Program Files\Rising\Rfw\HookUrl.sys><Beijing Rising Technology Co., Ltd.> %3@ km7H  
[HPT3XX / HPT3XX][Stopped/Boot Start] 3;RTKs&~3  
  <\SystemRoot\System32\BIRD\hpt3xx.sys><HighPoint Technologies, Inc.> c6csP|~.  
[ialm / ialm][Running/Manual Start] <zv#FQk  
  <system32\DRIVERS\ialmnt5.sys><Intel Corporation> WaeZ(  
[IASTOR / IASTOR][Running/Boot Start] soXQh+2nT  
  <\SystemRoot\System32\BIRD\iaStor.sys><Intel Corporation> JL\ViM0  
  <\SystemRoot\System32\BIRD\m5289.sys><ULi Electronics Inc.> V,<rj*P Z  
[MEGAIDE / MEGAIDE][Running/Boot Start] 9_k?_6TKL  
  <\SystemRoot\System32\BIRD\MegaIDE.sys><LSI Logic Corporation.> )#j9SQv2uO  
[MEMSCAN / MEMSCAN][Running/Auto Start] i~[;Len  
  <\??\C:\PROGRAM FILES\RISING\RAV\MEMSCAN.sys><瑞星软件有限公司> nKP]t_1  
[mProcRs / mProcRs][Running/Auto Start] 8$@I^66(r  
  <\??\c:\program files\rising\rfw\mProcRs.sys><Beijing Rising Technology Co., Ltd.> jyqVCe  
[mraid35x / mraid35x][Running/Boot Start] 95&  
  <\SystemRoot\System32\BIRD\mraid35x.sys><LSI Logic Corporation> S9cG2rUS  
[NFRD960 / NFRD960][Stopped/Boot Start] &)@F VmO`a  
  <\SystemRoot\System32\BIRD\nfrd960.sys><IBM Corporation> >_ILA9y  
[Netgroup Packet Filter / NPF][Stopped/Manual Start] KaM&jdg  
  <system32\drivers\npf.sys><Politecnico di Torino> 8bY8XkB  
[npkcrypt / npkcrypt][Running/Auto Start] nc:5"A  
  <\??\C:\Program Files\Tencent\QQ\npkcrypt.sys><INCA Internet Co., Ltd.> Kn4!*EBn"  
[nv / nv][Stopped/Manual Start] (+|U3m  
  <system32\DRIVERS\nv4_mini.sys><NVIDIA Corporation> sd,9Se@e  
[NVATABUS / NVATABUS][Running/Boot Start] 'I?  
  <\SystemRoot\System32\BIRD\NVATABUS.SYS><NVIDIA Corporation> &:AY5YU!  
[PNP680R / PNP680R][Stopped/Boot Start] &"FA}HbX+  
  <\SystemRoot\System32\BIRD\pnp680r.sys><Silicon Image, Inc> C+1wjx]  
[Direct Parallel Link Driver / Ptilink][Running/Manual Start] @pJ%_o  
  <system32\DRIVERS\ptilink.sys><Parallel Technologies, Inc.> f<= rT%~t  
[ql1080 / ql1080][Running/Boot Start] d FwW   
  <\SystemRoot\System32\BIRD\ql1080.sys><QLogic Corporation> #O=eyfu8  
[ql12160 / ql12160][Running/Boot Start] 5?V L/7at  
  <\SystemRoot\System32\BIRD\ql12160.sys><QLogic Corporation> SAr{!  
[ql1280 / ql1280][Running/Boot Start] c+wg!~iG  
  <\SystemRoot\System32\BIRD\ql1280.sys><QLogic Corporation> ;8NA$ssc  
[RAIDSRC / RAIDSRC][Stopped/Boot Start] fjk+t(oZ  
  <\SystemRoot\System32\BIRD\raidsrc.sys><Intel/ICP> !i4SJ}".\  
[RR232X / RR232X][Stopped/Boot Start] m: >JT#  
  <\SystemRoot\System32\BIRD\rr232x.sys><HighPoint Technologies, Inc.> i S+j!rVFp  
[RsAntiSpyware / RsAntiSpyware][Running/Boot Start] 8o*EFvL z  
  <\SystemRoot\system32\drivers\RsBoot.sys><Beijing Rising Technology Co., Ltd.> jzeBSy$  
[RsFwDrv / RsFwDrv][Running/Auto Start] *k{eVG6ZB0  
  <\??\C:\Program Files\Rising\Rfw\RsFwDrv.sys><Beijing Rising Technology Co., Ltd.> 3`-kJ7`  
[RsNTGDI / RsNTGDI][Running/Boot Start] )0B Eqkk  
  <\SystemRoot\system32\Drivers\RsNTGdi.sys><Beijing Rising Technology Co., Ltd.> Q|t%k.1=  
[RSPPSYS / RSPPSYS][Running/Auto Start] 2I1kC}1+)  
  <\??\C:\PROGRAM FILES\RISING\RAV\RSPPSYS.sys><Rising> /_6?3nqo^9  
[Realtek RTL8139/810x/8169/8110 all in one NDIS XP Driver / RTL8023xp][Running/Manual Start] ]KDcF  
  <system32\DRIVERS\Rtlnicxp.sys><Realtek Semiconductor Corporation> +#K6}1 N  
[Realtek RTL8139(A/B/C)-based PCI Fast Ethernet Adapter NT Driver / rtl8139][Stopped/Manual Start] (g|Pdx"NR  
  <system32\DRIVERS\RTL8139.SYS><Realtek Semiconductor Corporation> 9<S>HZT  
[S150SX8 / S150SX8][Running/Boot Start] R@HusS1  
  <\SystemRoot\System32\BIRD\S150sx8.sys><Promise Technology, Inc.> KbCN?uL  
[Secdrv / Secdrv][Stopped/Manual Start] *iNp&^P  
  <system32\DRIVERS\secdrv.sys><N/A> n_T&D].  
[SI3112 / SI3112][Stopped/Boot Start] ,d8Lq  
  <\SystemRoot\System32\BIRD\SI3112.sys><Silicon Image, Inc.> YpvqU'3!D]  
[sym_u3 / sym_u3][Running/Boot Start] 6J1-D]t  
  <\SystemRoot\System32\BIRD\sym_u3.sys><LSI Logic> h 2ft{X  
[TwoTrack Compatible Device / TwoTrack][Stopped/Manual Start] fH-k~5j\7  
  <System32\DRIVERS\TwoTrack.sys><IBM Corporation> Kw&`l{%ig  
==================================
nkqc14"{  
3B,Q{ZX  
我把BIRD的驱动省略掉了好多，否则篇幅会是现在的n倍…… wd) ve:QFP  
如果驱动程序的路径是\SystemRoot\System32\BIRD\，完全可以无视掉…… /tkh/\c  
\nqy;rF  
[Secdrv / Secdrv][Stopped/Manual Start] q%(B2Cl_  
  <system32\DRIVERS\secdrv.sys><N/A> &+hvC%o  
w\|ROt  
[klif / klif][Running/System Start] }i; (P  
  <\??\C:\WINDOWS\system32\drivers\klif.sys><Kaspersky Lab> Y>_nMM.  
这两个驱动程序都是可信的，虽然第二个有时候可能显示为有<N/A>，但大家也不用去管它，注意路径就可以了。 V*;;IqztL]  
有时候会出现双驱动的情况，要格外注意！双驱动就是在一个路径下，同时出现两个文件名，文件名之间用空格隔开。这样的一定要看准啦！！
以今日之我，胜昨日之我；以明日之我，胜今日之我！
顶端
回复 引用
级别: DOS 3.X
作者资料 发送短消息 QQ联系
UID: 47073
精华: 0
发帖: 65
威望: 1 点
星星铁: 16 块
贡献值: 74 点
在线时间: 21(时)
注册时间: 2007-11-11
最后登录: 2009-04-15
4  发表于: 2007-11-11 12:09
只看该作者 | 小 中 大

浏览器加载项 分析方法：

Hijackthis的作用在这里就显示出来啦！对应hijackhtis的02、03、08、09、016项，可以用 Hijackthis辅助分析，注意假冒假冒microsoft和macromedia的项 E=bQ  
ido5W}TZ  
Hijackthis的使用及分析方法可以看人教论坛Full-Moon版主的置顶帖。 `R.#f$  
M>M.cj&Pc  
不过要讲的是SREng日志的分析方法，这一项也不能略过…… H A`<E  
!CGx:TV35  
这次引用下竹风铃的日志…… gvB g (X  
L{+Db)%3  
引用
X@?sGS;6  
浏览器加载项 zwRtR_Rn  
[Thunder Browser Helper] ai[>T$L  
  {06849E9E-C8D7-4D59-B87D-784B7D6BE0B3} <D:\迅雷\ComDlls\XunLeiBHO_007.dll, Thunder Networking Technologies,LTD> bJEQXs,2K  
[AcroIEHlprObj Class] RQ*!u^G#Z  
  {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} <C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll, Adobe Systems Incorporated> o%SPUb6GjK  
[启动迅雷5] 0< ?~  
  {09BA8F6D-CB54-424B-839C-C2A6C8E6B436} <D:\迅雷\Thunder.exe, Thunder Networking Technologies,LTD> Szb9vGY7'g  
[豪杰超级解霸V8] >@HR  
  {367E0A21-8601-4986-9C9A-153BF5ACA118} <D:\豪杰超级解霸V8\STHSDVD.EXE, N/A> 86vnDyw`  
[信息检索(&R)] H)+q"@k=<E  
  {92780B25-18CC-41C8-B9BE-3C9C571A8263} <C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL, Microsoft Corporation> ,g9q9|W  
[Windows Genuine Advantage Validation Tool] 5h]pZ'*,l  
  {17492023-C23A-453E-A040-C7C580BBF700} <C:\WINDOWS\system32\LegitCheckControl.DLL, Microsoft Corporation> AG+MMWvWu  
[Tencent Safety Online Base Module] Mm,SSKCv!  
  {C09B522F-8AED-4E21-A65C-DC1AB652BAEE} <C:\WINDOWS\DOWNLO~1\TSOBase.ocx, Tencent Corporation> 8$o.ZXDs  
[ScienceWord Control 5.0] 1Ty@RF]m.  
  {C29E7AB7-8C79-421A-AB75-0AE00E848C2D} <C:\WINDOWS\system32\SCIENC~1.OCX, Novoasoft Corporation> tr &wT #  
[Shockwave Flash Object] lMnGV>N  
  {D27CDB6E-AE6D-11CF-96B8-444553540000} <C:\WINDOWS\system32\Macromed\Flash\Flash9b.ocx, Adobe Systems, Inc.> M*KCE F|I>  
[CPasswordEditCtrl Object] +y wa$9v\  
  {E787FD25-8D7C-4693-AE67-9406BC6E22DF} <C:\WINDOWS\system32\qqedit\qqedit.dll, 腾讯科技（深圳）有限公司> O^f4 \wE  
[Thunder Browser Helper] /EkYU$+^m  
  {06849E9E-C8D7-4D59-B87D-784B7D6BE0B3} <D:\迅雷\ComDlls\XunLeiBHO_007.dll, Thunder Networking Technologies,LTD> 1HOea~i  
[AcroIEHlprObj Class] 4R`J  
  {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} <C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll, Adobe Systems Incorporated> y]P>}9V[u  
[HTML Document] fDnnh\6P]V  
  {25336920-03F9-11CF-8FD0-00AA00686F13} <%SystemRoot%\system32\mshtml.dll, N/A> 5%rv9WGQ  
[Windows Media Player] zW'wJt]  
  {6BF52A52-394A-11D3-B153-00C04F79FAA6} <C:\WINDOWS\system32\wmp.dll, Microsoft Corporation> >"NBo:xF!  
[Thunder Browser Helper] %G@i(2\sp  
  {889D2FEB-5411-4565-8998-1DD2C5261283} <D:\迅雷\ComDlls\XunLeiBHO_007.dll, Thunder Networking Technologies,LTD> &}(4ME/  
[SearchAssistantOC] YcI,o 8r,  
  {B45FF030-4447-11D2-85DE-00C04FA35C89} <%SystemRoot%\system32\shdocvw.dll, N/A> _I_ {qf!  
[AUDIO__MP3 Moniker Class] US{DBh;  
  {CD3AFA76-B84F-48F0-9393-7EDC34128127} <C:\WINDOWS\system32\wmp.dll, Microsoft Corporation> ^1` L+oF  
[VIDEO__X_MS_ASF Moniker Class] BUb9XOb  
  {CD3AFA8F-B84F-48F0-9393-7EDC34128127} <C:\WINDOWS\system32\wmp.dll, Microsoft Corporation> G<F\(vNX[  
[Shockwave Flash Object] 5, A*I-}%  
  {D27CDB6E-AE6D-11CF-96B8-444553540000} <C:\WINDOWS\system32\Macromed\Flash\Flash9b.ocx, Adobe Systems, Inc.> {h%w}S#>  
[&使用迅雷下载] fJ%s]L7  
  <D:\迅雷\Program\geturl.htm, N/A> d% yNntD  
[&使用迅雷下载全部链接] _LcdGHu  
  <D:\迅雷\Program\getallurl.htm, N/A> ?lO l}$V  
[上传到QQ网络硬盘] wX1%Y&R  
  <E:\Q\AddToNetDisk.htm, N/A> .'0+u8N/J#  
[导出到 Microsoft Office Excel(&X)] Y7..mrZ`  
  <res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000, N/A> q`22ko"4K  
[添加到QQ自定义面板] Y<Bdcy^  
  <E:\Q\AddPanel.htm, N/A> ]da4_Oq8  
[添加到QQ表情] gUM~{{jsS^  
  <E:\Q\AddEmotion.htm, N/A> :I/#$hgjZ  
[用QQ彩信发送该图片] `LSK5qu+  
  <E:\Q\SendMMS.htm, N/A> ,}`lx!T  
[豪杰超级解霸V8实时播放] 1Zal*dbK.6  
  <D:\豪杰超级解霸V8\MPURLGET.HTM, N/A> `|ND  
>1$YkVkM  
==================================
3 1Y~(M  
粉色的是浏览器加载项名（也就是常说的BHO），蓝色部分是CLSID（有的BHO没有CLSID），一般每一种BHO都有唯一的CLSID，否则可能会有冲突，不用去分析。橙色部分是文件路径，紫色部分为公司名称。 Oa{OTkp_  
BOfTSKh&  
分析的时候还是要注意公司名称，对公司名为N/A的，Google搜索一下。 #D}B2 pf%  
下列几个为排除项目： |k=$MNy;  
[HTML Document] Wqto(l"=  
  {25336920-03F9-11CF-8FD0-00AA00686F13} <%SystemRoot%\system32\mshtml.dll, N/A> s7_I99B%a  
[SearchAssistantOC] di# )`d_W  
  {B45FF030-4447-11D2-85DE-00C04FA35C89} <%SystemRoot%\system32\shdocvw.dll, N/A> ,Ucxle  
还有最下面那几项QQ和迅雷的，如果文件路径没有问题，也可以排除。 r !5!\a  
@ I:T$@  
感谢ho121在我写这一项时对我的帮助！^_^
以今日之我，胜昨日之我；以明日之我，胜今日之我！
顶端
回复 引用
级别: DOS 3.X
作者资料 发送短消息 QQ联系
UID: 47073
精华: 0
发帖: 65
威望: 1 点
星星铁: 16 块
贡献值: 74 点
在线时间: 21(时)
注册时间: 2007-11-11
最后登录: 2009-04-15
5  发表于: 2007-11-11 12:11
只看该作者 | 小 中 大

正在运行的进程 分析方法：

这一项可以说是整个日志的主体部分，一般来说也是最长的一部分！（有时驱动可能会更长）虽然分析这一项时需要注意的事项并不多，但是一定要细心，还要有耐心！不要错过任何一个可能是病毒的项目！ !KrHE:`8  
#3\IA  
这次用谁的日志好呢……这次就用我自己的好了……o(∩_∩)o...哈哈 >xJ(9kS_]g  
引用
7mr }\2j  
正在运行的进程 myxQ vLa  
[PID: 712][\SystemRoot\System32\smss.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] CBfb^h >  
[PID: 776][\??\C:\WINDOWS\system32\csrss.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] [06{La|;  
[PID: 292][C:\WINDOWS\system32\ctfmon.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] n" @0K" 4$  
[C:\Program Files\Rising\AntiSpyware\ieprot.dll] [Beijing Rising Technology Co., Ltd., 1, 0, 0, 10] XhzV?&  
[C:\Syswm1j\Ghook.dll] [N/A, ] 3UIM!P1t  
[PID: 320][e:\program files\rising\rfw\RfwMain.exe] [Beijing Rising Technology Co., Ltd., 5, 0, 0, 70] hwgx^cq;W  
[e:\program files\rising\rfw\RsGuiLib.dll] [Beijing Rising Technology Co., Ltd., 19, 0, 0, 33] y C5r'  
[e:\program files\rising\rfw\RSCOMMON.DLL] [Beijing Rising Technology Co., Ltd., 19, 0, 0, 5] :q\h)3q  
[e:\program files\rising\rfw\RfwCtrl.dll] [Beijing Rising Technology Co., Ltd., 5, 0, 0, 11] =:w9Lz&  
[e:\program files\rising\rfw\RsXML.dll] [Beijing Rising Technology Co., Ltd., 19, 0, 0, 2] Bo*Mx (w  
[e:\program files\rising\rfw\PngDll.dll] [Beijing Rising Technology Co., Ltd., 18, 0, 0, 5] E(Cw]VY_  
[C:\Program Files\Rising\AntiSpyware\ieprot.dll] [Beijing Rising Technology Co., Ltd., 1, 0, 0, 10] Dk("&.%G  
[C:\Syswm1j\Ghook.dll] [N/A, ] Mp ovaM\  
[C:\DOCUME~1\李牧原\LOCALS~1\Temp\Qqzo0.dll] [N/A, ] bdW&gc>  
[PID: 1164][C:\Program Files\ATI Technologies\ATI.ACE\cli.exe] [ATI Technologies Inc., 1.11.0.0] _d{0p$2pb  
[C:\WINDOWS\system32\mscoree.dll] [Microsoft Corporation, 1.1.4322.573] H2&=#zYL  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\mscorwks.dll] [Microsoft Corporation, 1.1.4322.573] |/dwLy9u?Y  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\MSVCR71.dll] [Microsoft Corporation, 7.10.3052.4] ch_< `]  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\fusion.dll] [Microsoft Corporation, 1.1.4322.573] _B]hYD0  
[c:\windows\microsoft.net\framework\v1.1.4322\mscorlib.dll] [Microsoft Corporation, 1.1.4322.573] [>`/+;Y0W  
[c:\windows\assembly\nativeimages1_v1.1.4322\mscorlib\1.0.5000.0__b77a5c561934e089_422c3599\mscorlib.dll] [N/A, ] {*h[ND>oLI  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\mscorsn.dll] [Microsoft Corporation, 1.1.4322.573] &ON|"Kb.  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\MSCORJIT.DLL] [Microsoft Corporation, 1.1.4322.573] Q/?I 1G  
[c:\windows\assembly\gac\system.windows.forms\1.0.5000.0__b77a5c561934e089\system.windows.forms.dll] [Microsoft Corporation, 1.1.4322.573] Dv`o3row  
[c:\windows\assembly\nativeimages1_v1.1.4322\system.windows.forms\1.0.5000.0__b77a5c561934e089_14cb2b7b\system.windows.forms.dll] [N/A, ] BH#[+XmG{  
[c:\program files\ati technologies\ati.ace\cli.implementation.dll] [ATI Technologies Inc., 1.2.2114.465] wU17VP  
[c:\program files\ati technologies\ati.ace\log.foundation.dll] [ATI Technologies Inc., 1.2.2026.29944] b0%^~x@Ky  
[c:\program files\ati technologies\ati.ace\cli.foundation.dll] [ATI Technologies Inc., 1.2.2026.29944]  MaZI\r  
[c:\program files\ati technologies\ati.ace\log.foundation.service.dll] [ATI Technologies Inc., 1.2.2114.464] lj6U_9)e`  
[c:\program files\ati technologies\ati.ace\log.foundation.shared.dll] [ATI Technologies Inc., 1.2.2026.29970] HujZ->]ut  
[c:\windows\assembly\gac\system\1.0.5000.0__b77a5c561934e089\system.dll] [Microsoft Corporation, 1.1.4322.573] 6smu/\o  
[c:\windows\assembly\nativeimages1_v1.1.4322\system\1.0.5000.0__b77a5c561934e089_96df10ff\system.dll] [N/A, ] DUT)]2_!  
[c:\program files\ati technologies\ati.ace\cli.foundation.xmanifestation.dll] [ATI Technologies Inc., 1.2.2114.464] s9Kv*4y  
[c:\windows\assembly\gac\system.xml\1.0.5000.0__b77a5c561934e089\system.xml.dll] [Microsoft Corporation, 1.1.4322.573] EAX7l(X1  
[c:\windows\assembly\nativeimages1_v1.1.4322\system.xml\1.0.5000.0__b77a5c561934e089_b39e651e\system.xml.dll] [N/A, ] ?)%pFdv  
[c:\windows\assembly\gac\system.runtime.remoting\1.0.5000.0__b77a5c561934e089\system.runtime.remoting.dll] [Microsoft Corporation, 1.1.4322.573] G 7zP>{s  
[C:\WINDOWS\system32\ldmedia4.dll] [N/A, ] JA#,RCc"  
[c:\program files\ati technologies\ati.ace\cli.component.runtime.dll] [ATI Technologies Inc., 1.2.2114.465] f*HUnqkI  
[c:\program files\ati technologies\ati.ace\aem.foundation.dll] [ATI Technologies Inc., 1.2.2026.29944] n)&xP2Rh  
[c:\windows\assembly\gac\system.drawing\1.0.5000.0__b03f5f7f11d50a3a\system.drawing.dll] [Microsoft Corporation, 1.1.4322.573] j6e^9Q 9  
[c:\windows\assembly\nativeimages1_v1.1.4322\system.drawing\1.0.5000.0__b03f5f7f11d50a3a_d3d144b1\system.drawing.dll] [N/A, ] I)(Q<zn;  
[C:\PROGRA~1\Yahoo!\ASSIST~1\Yhelper.dll] [N/A, ] sV1\(<T^  
[c:\program files\ati technologies\ati.ace\cli.caste.graphics.runtime.dll] [ATI Technologies Inc., 1.2.2114.456] yIQ5/t  
[c:\program files\ati technologies\ati.ace\cli.component.runtime.shared.dll] [ATI Technologies Inc., 1.2.2026.29946] I5LPb0"  
[c:\program files\ati technologies\ati.ace\cli.caste.graphics.shared.dll] [ATI Technologies Inc., 1.2.2028.21076] p0 efX  
[c:\program files\ati technologies\ati.ace\dem.foundation.dll] [ATI Technologies Inc., 1.2.2026.29944] ;1MIxK   
[c:\program files\ati technologies\ati.ace\dem.graphics.displaysmanager.shared.dll] [ATI Technologies Inc., 1.2.2026.29945] 'w':`i<  
[c:\program files\ati technologies\ati.ace\dem.graphics.demosinfo.dll] [ATI Technologies Inc., 1.2.2026.29947] MVX0m<QX  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\perfcounter.dll] [Microsoft Corporation, 1.1.4322.573] -15{bdD8  
[c:\program files\ati technologies\ati.ace\dem.graphics.demosadapterinfo.dll] [ATI Technologies Inc., 1.2.2026.29960] ^2lO<  
[c:\program files\ati technologies\ati.ace\dem.graphics.dematiadapterinfo.dll] [ATI Technologies Inc., 1.2.2095.19505]  uG&d89-  
[c:\program files\ati technologies\ati.ace\dem.graphics.demdriversettings.dll] [ATI Technologies Inc., 1.2.2026.29947] k63GRbd?  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\aspnet_isapi.dll] [Microsoft Corporation, 1.1.4322.573] <nFWP\6X  
[c:\windows\assembly\gac\system.web\1.0.5000.0__b03f5f7f11d50a3a\system.web.dll] [Microsoft Corporation, 1.1.4322.573] PQ//oE  
[PID: 1152][D:\Program Files\CyberLink\PowerDVD\PDVDServ.exe] [Cyberlink Corp., 6.00.1027] Ew^nSw   
[D:\Program Files\CyberLink\PowerDVD\CLRCEngine2.dll] [CyberLink Corp., 3.2.2021 ] ;vTn CGD4  
[C:\Program Files\Rising\AntiSpyware\ieprot.dll] [Beijing Rising Technology Co., Ltd., 1, 0, 0, 10] tD g 7O!G  
[C:\Syswm1j\Ghook.dll] [N/A, ] >1N 8pnqI  
[PID: 1532][C:\Program Files\Rising\AntiSpyware\runiep.exe] [Beijing Rising Technology Co., Ltd., 1, 0, 1, 6] "m~N,`_T  
[C:\Program Files\Rising\AntiSpyware\iep_ctrl.dll] [Beijing Rising Technology Co., Ltd., 1, 0, 0, 4] Y"A#45  
[C:\Program Files\Rising\AntiSpyware\ieprot.dll] [Beijing Rising Technology Co., Ltd., 1, 0, 0, 10] Gqn:n$  
[C:\Syswm1j\Ghook.dll] [N/A, ] *Sl:  
[PID: 1844][C:\Program Files\MSI\Live Update 3\LMonitor.exe] [, 1, 0, 0, 3] uIGM9R G  
[C:\Program Files\MSI\Live Update 3\Lang\res804.dll] [N/A, ] P:bHW:Fs1  
[C:\Program Files\MSI\Live Update 3\nvgpio.dll] [NVIDIA Corporation, 1.0.1.5] J%Ht3O(  
[C:\WINDOWS\system32\msdmo.dll] [, ] g{Ll"+  
[C:\PROGRA~1\Yahoo!\ASSIST~1\Yhelper.dll] [N/A, ] ^- FNGd5  
[C:\Program Files\Rising\AntiSpyware\ieprot.dll] [Beijing Rising Technology Co., Ltd., 1, 0, 0, 10] ipW;g"  
[C:\Syswm1j\Ghook.dll] [N/A, ] )VG/3FO'  
[PID: 1972][C:\WINDOWS\SOUNDMAN.EXE] [Realtek Semiconductor Corp., 5, 1, 0, 58] l20KTV  
[C:\PROGRA~1\Yahoo!\ASSIST~1\Yhelper.dll] [N/A, ] _\$=V te  
[C:\Program Files\Rising\AntiSpyware\ieprot.dll] [Beijing Rising Technology Co., Ltd., 1, 0, 0, 10] }f~g`Wb8.  
[C:\Syswm1j\Ghook.dll] [N/A, ] iU^n/MQW  
[PID: 1960][C:\Syswm1j\svchost.exe] [N/A, ] hz$uSb3  
[C:\Syswm1j\Ghook.dll] [N/A, ] ^ZCBfd kl  
[PID: 556][C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe] [ATI Technologies Inc., 1.11.0.0] >>#>"<CMT  
[C:\WINDOWS\system32\mscoree.dll] [Microsoft Corporation, 1.1.4322.573] +p\V <8M  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\mscorwks.dll] [Microsoft Corporation, 1.1.4322.573] =mT$2-  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\MSVCR71.dll] [Microsoft Corporation, 7.10.3052.4] $L(I=Y9#  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\fusion.dll] [Microsoft Corporation, 1.1.4322.573] 77M :e,*  
[c:\windows\microsoft.net\framework\v1.1.4322\mscorlib.dll] [Microsoft Corporation, 1.1.4322.573] wb5M%Uc-'  
[c:\windows\assembly\nativeimages1_v1.1.4322\mscorlib\1.0.5000.0__b77a5c561934e089_422c3599\mscorlib.dll] [N/A, ] O(2F B$C  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\mscorsn.dll] [Microsoft Corporation, 1.1.4322.573] Wn\l]#7  
[C:\PROGRA~1\Yahoo!\ASSIST~1\Yhelper.dll] [N/A, ] ~?Y%C&  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\MSCORJIT.DLL] [Microsoft Corporation, 1.1.4322.573] BNiO@6  
[c:\windows\assembly\gac\system.windows.forms\1.0.5000.0__b77a5c561934e089\system.windows.forms.dll] [Microsoft Corporation, 1.1.4322.573] m:n578A%"  
[c:\windows\assembly\nativeimages1_v1.1.4322\system.windows.forms\1.0.5000.0__b77a5c561934e089_14cb2b7b\system.windows.forms.dll] [N/A, ] Zu1 G:X  
[c:\program files\ati technologies\ati.ace\cli.implementation.dll] [ATI Technologies Inc., 1.2.2114.465] lxC}86$0S  
[c:\program files\ati technologies\ati.ace\log.foundation.dll] [ATI Technologies Inc., 1.2.2026.29944] eaUb`#/  
[c:\program files\ati technologies\ati.ace\cli.foundation.dll] [ATI Technologies Inc., 1.2.2026.29944] M<U 5J  
[c:\program files\ati technologies\ati.ace\log.foundation.service.dll] [ATI Technologies Inc., 1.2.2114.464] tp ~8p@jD'  
[c:\program files\ati technologies\ati.ace\log.foundation.shared.dll] [ATI Technologies Inc., 1.2.2026.29970] 6x5%-Sh^Z  
[c:\windows\assembly\gac\system\1.0.5000.0__b77a5c561934e089\system.dll] [Microsoft Corporation, 1.1.4322.573] KG9}Bi\L  
[c:\windows\assembly\nativeimages1_v1.1.4322\system\1.0.5000.0__b77a5c561934e089_96df10ff\system.dll] [N/A, ] ,9G#ZEWQ  
[c:\program files\ati technologies\ati.ace\cli.foundation.xmanifestation.dll] [ATI Technologies Inc., 1.2.2114.464] A9`E.0~  
[c:\windows\assembly\gac\system.xml\1.0.5000.0__b77a5c561934e089\system.xml.dll] [Microsoft Corporation, 1.1.4322.573] v<N<EAP  
[c:\windows\assembly\nativeimages1_v1.1.4322\system.xml\1.0.5000.0__b77a5c561934e089_b39e651e\system.xml.dll] [N/A, ] c} U=IXK6h  
[c:\windows\assembly\gac\system.runtime.remoting\1.0.5000.0__b77a5c561934e089\system.runtime.remoting.dll] [Microsoft Corporation, 1.1.4322.573] ]1f+eCw  
[C:\WINDOWS\system32\ldmedia4.dll] [N/A, ] }91^Pf<Li  
[c:\program files\ati technologies\ati.ace\cli.component.systemtray.dll] [ATI Technologies Inc., 1.2.2114.432] U02DOk}M  
[c:\program files\ati technologies\ati.ace\cli.caste.graphics.shared.dll] [ATI Technologies Inc., 1.2.2028.21076] Vw3d  
[c:\program files\ati technologies\ati.ace\dem.graphics.displaysmanager.shared.dll] [ATI Technologies Inc., 1.2.2026.29945] _WSTQ;+x  
[c:\windows\assembly\gac\system.web\1.0.5000.0__b03f5f7f11d50a3a\system.web.dll] [Microsoft Corporation, 1.1.4322.573] |**<K}  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\perfcounter.dll] [Microsoft Corporation, 1.1.4322.573] rrj0 eF  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\aspnet_isapi.dll] [Microsoft Corporation, 1.1.4322.573] 2\ x~m   
[PID: 1400][E:\Program Files\Yahoo!\Messenger\ymsgr_tray.exe] [Yahoo! Inc., 8,1,0,0] ,/ID}QMW  
[E:\Program Files\Yahoo!\Messenger\MSVCP71.dll] [Microsoft Corporation, 7.10.3077.0] y9}j9 2  
[E:\Program Files\Yahoo!\Messenger\MSVCR71.dll] [Microsoft Corporation, 7.10.3052.4] SS/$q yD  
[C:\PROGRA~1\Yahoo!\ASSIST~1\Yhelper.dll] [N/A, ] ye1Uo#j#A  
[C:\Program Files\Yahoo!\Shared\YbSkin2.dll] [Yahoo! Inc., 2006, 10, 11, 1] b'&g=g  
[E:\Program Files\Yahoo!\Messenger\res_msgr.dll] [Yahoo! Inc., 8,5,0,1] [NFmqEEanb  
[C:\Program Files\Rising\AntiSpyware\ieprot.dll] [Beijing Rising Technology Co., Ltd., 1, 0, 0, 10] o4+ l>uqt  
[C:\Syswm1j\Ghook.dll] [N/A, ] &^\g  
[PID: 2032][C:\WINDOWS\system32\wuauclt.exe] [Microsoft Corporation, 5.8.0.2469 built by: lab01_n(wmbla)] !cqp  
[C:\PROGRA~1\Yahoo!\ASSIST~1\Yhelper.dll] [N/A, ] 0Y 1JjUe z  
[C:\Program Files\Rising\AntiSpyware\ieprot.dll] [Beijing Rising Technology Co., Ltd., 1, 0, 0, 10] i4$MPMcl  
[C:\Syswm1j\Ghook.dll] [N/A, ] MlWQFTiH/  
[PID: 2468][E:\Program Files\Maxthon\Maxthon.exe] [Maxthon International Ltd., 1, 5, 9, 80] ;_<s5:  
[E:\Program Files\Maxthon\maxzlib.dll] [ , 1, 0, 0, 2] DQF:|v:  
[C:\PROGRA~1\Yahoo!\ASSIST~1\Yhelper.dll] [N/A, ] OdGK$TfZ  
[C:\WINDOWS\system32\mscoree.dll] [Microsoft Corporation, 1.1.4322.573] )_Xe5R  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\CorperfmonExt.dll] [Microsoft Corporation, 1.1.4322.573]  's}|,  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\MSVCR71.dll] [Microsoft Corporation, 7.10.3052.4] J`B|]A `Bv  
[C:\Program Files\Rising\AntiSpyware\ieprot.dll] [Beijing Rising Technology Co., Ltd., 1, 0, 0, 10]  "&SBb  
[C:\Syswm1j\Ghook.dll] [N/A, ] {TMs@H.z  
[E:\Program Files\Maxthon\Services\RealTime\real_time.dll] [, 1, 0, 0, 1] _m<E#E_&&  
[C:\WINDOWS\system32\ldmedia4.dll] [N/A, ] GM>.gu#  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\mscorie.dll] [Microsoft Corporation, 1.1.4322.573] 4{D[cg  
[C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\mscorld.dll] [Microsoft Corporation, 1.1.4322.573] M.hA:`jNsG  
[C:\WINDOWS\system32\Macromed\Flash\Flash9b.ocx] [Adobe Systems, Inc., 9,0,28,0] <XhqE44  
[C:\DOCUME~1\李牧原\LOCALS~1\Temp\Qqzo0.dll] [N/A, ] %>?V~|KB\  
[PID: 3956][E:\Program Files\Rising\Rav\RsAgent.exe] [Beijing Rising Technology Co., Ltd., 19, 0, 0, 12] El-1ruxd @  
[C:\PROGRA~1\Yahoo!\ASSIST~1\Yhelper.dll] [N/A, ] qZqMv  
[E:\Program Files\Rising\Rav\RsCommX.dll] [rising, 18, 0, 0, 1] ,K@K!r/4i  
[C:\Program Files\Rising\AntiSpyware\ieprot.dll] [Beijing Rising Technology Co., Ltd., 1, 0, 0, 10] j9,j{edk%  
[C:\Syswm1j\Ghook.dll] [N/A, ] KCL}`N5  
[PID: 4020][C:\WINDOWS\msagent\AgentSvr.exe] [Microsoft Corporation, 2.00.0.3424] dI$tQ{o:  
[C:\PROGRA~1\Yahoo!\ASSIST~1\Yhelper.dll] [N/A, ] u@Gs|5T  
[C:\Program Files\Rising\AntiSpyware\ieprot.dll] [Beijing Rising Technology Co., Ltd., 1, 0, 0, 10] 9j1_ ?o  
[C:\Syswm1j\Ghook.dll] [N/A, ] 0hoR[dM a  
[PID: 2208][C:\WINDOWS\explorer.exe] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)] U"vfKBh~T  
[C:\Program Files\Rising\AntiSpyware\ieprot.dll] [Beijing Rising Technology Co., Ltd., 1, 0, 0, 10] `W9:1WTp?R  
[C:\Syswm1j\Ghook.dll] [N/A, ] JxMR,X[d  
[C:\Program Files\Common Files\Microsoft Shared\MSINFO\NewInfo.dll] [N/A, ] v~ ]9&Nb  
[e:\program files\rising\rfw\jifvpyyl.dll] [N/A, ] nR!`PJD;  
[D:\Program Files\Adobe\Acrobat 7.0\ActiveX\PDFShell.dll] [Adobe Systems, Inc., 7.0.0.0] 39'T^XMQB  
[C:\WINDOWS\system32\ldmedia4.dll] [N/A, ] lY 9d  
[C:\WINDOWS\system32\mppds.dll] [N/A, ] aPID &c3  
[e:\program files\rising\rfw\zpkjuwgv.dll] [N/A, ] zk.fka )l  
[C:\DOCUME~1\李牧原\LOCALS~1\Temp\Qqzo0.dll] [N/A, ] ~khd Gx  
[PID: 3780][C:\WINDOWS\system32\conime.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] QT[t5sBJg  
[C:\Program Files\Rising\AntiSpyware\ieprot.dll] [Beijing Rising Technology Co., Ltd., 1, 0, 0, 10] p=dBD)5(  
[C:\Syswm1j\Ghook.dll] [N/A, ] 2B%R5~@,  
[PID: 3624][C:\DOCUME~1\李牧原\LOCALS~1\Temp\Rar$EX02.359\SREng.EXE] [Smallfrogs Studio, 2.4.12.806] =AxXGH=j  
[C:\Program Files\Rising\AntiSpyware\ieprot.dll] [Beijing Rising Technology Co., Ltd., 1, 0, 0, 10] A$6,  
[C:\Syswm1j\Ghook.dll] [N/A, ] `,W*cDp0  
[C:\DOCUME~1\李牧原\LOCALS~1\Temp\Qqzo0.dll] [N/A, ] l@(g27  
[C:\WINDOWS\system32\ldmedia4.dll] [N/A, ] w]dj@\O  
M*U?Gf2e*q  
==================================
5 GNG  
http://bbs.pep.com.cn/viewthread.php?tid=90515 $nEAR -83  
秋风树林的这个精华帖对于进程的名称已经讲得很明白了，对于进程名我就不想多说什么了。 rUSa(t  
I_i 7 %  
下面讲一下分析方法： :"B67k$  
PID:XXX：对于这一项，有兴趣的朋友可以参考一下10楼：什么是PID（进程标识符） Ts zfki  
一般来说，进程前面没有[PID:XXXX]的进程是安全的，不用去分析。 Wl8xMTWDrI  
我这个日志是用旧版的SREng扫描的，新版的SREng在进程前面的方括号[ ]里除了PID参数外，还有用户名。我的新版日志的方括号里面就是这样的： P"?P|  
[PID: 932 / SYSTEM][\SystemRoot\System32\smss.exe]  [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] kpjY38'pD  
[PID: 296 / 李牧原][C:\WINDOWS\Explorer.EXE]  [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)] =,fX1=?o  
F'l 0VC  
“PID:XXX/　”后面的SYSTEM和李牧原就是运行这项进程的用户名。SYSTEM说明这项进程为系统进程。 |FJF':X%  
3t+,rCC)U  
PID参数后面的，就是进程路径了。SystemRoot，如果是NT和2000系统，就是X:\WINNT，如果是XP之类的，就是C:\WINDOWS。再后面，就是公司信息。和前几项一样，如果是[N/A]或者假冒Microsoft Corporation，那么就是有问题的。 9RONS3C  
)j-D};8wf  
进程名称的下几行（如果有的话）是进程加载的dll。一般来说，有[N/A]的就是有问题的。这时候应该用Google搜索一下这个dll，如果发现有问题或者根本搜索不到，就应该删除。有的dll名称是随机的n位字母数字，一般来说都是有问题的。如： .yc?zuMPg  
[C:\WINDOWS\system32\ldmedia4.dll] [N/A, ] ^# oV  
[C:\WINDOWS\system32\mppds.dll] [N/A, ] =C,kZH6k  
[e:\program files\rising\rfw\zpkjuwgv.dll] [N/A, ] r0FCV3+  
MM#Vz _  
对于Explorer.EXE加载的dll要格外注意！
以今日之我，胜昨日之我；以明日之我，胜今日之我！
顶端
回复 引用
级别: DOS 3.X
作者资料 发送短消息 QQ联系
UID: 47073
精华: 0
发帖: 65
威望: 1 点
星星铁: 16 块
贡献值: 74 点
在线时间: 21(时)
注册时间: 2007-11-11
最后登录: 2009-04-15
6  发表于: 2007-11-11 12:13
只看该作者 | 小 中 大

其他杂项分析方法：

文件关联:一般来说，有Error的都是要修复的，除非关联的程序是自己安装的。例：txt的关联为UltraEdit-32。 Sh"9:k8Z  
[dI%PUnbJ@  
Winsock 提供者：默认为N/A，如果不是N/A，先搜索一下，如果有问题，用LSPFix修复。修复后如果不能上网就用WinsockxpFix修复。 ,g`h A  
不过现在兔子，360，卡卡都有强力修复Winsock {RfwMvl,  
引用
V @}KH`  
Winsock 提供者 3VT7qLr  
MSAFD Tcpip [TCP/IP] %^^y?  
C:\WINDOWS\system32\ldmedia4.dll(, N/A) *-8^{(  
MSAFD Tcpip [RAW/IP] #]>mk]s  
C:\WINDOWS\system32\ldmedia4.dll(, N/A) VU?,~+m.  
=(a=>Z  
==================================
Z?r`0^+ht  
这个ldmedia4.dll就是有问题的，修复之后再删除这个文件就行了 ,Yv O '  
$S?CUs;q  
Autorun.inf：默认也是空值，如果有程序，先搜索一下，如果有问题，删除该程序。例： _dr Vb|uR  
引用
Autorun.inf vmOk L  
[C:\] ncw p  
[AutoRun] .\4 9+1  
open=auto.exe P5 R4bN  
shellexecute=auto.exe fq(zUF  
shell\Auto\command=auto.exe b YSj\Jc  
[D:\] A xIkq@w~?  
[AutoRun] u$"u(aoW  
open=auto.exe R~X{65  
shellexecute=auto.exe 7Me#PT T  
shell\Auto\command=auto.exe KfuxhfS<  
[E:\] 1;xa\DP{`r  
[AutoRun] ONtmy=$a  
open=auto.exe p1l,$H%/  
shellexecute=auto.exe A$8M vod  
shell\Auto\command=auto.exe eD?;K["  
[F:\] ,^izjJxL  
[AutoRun] |P [>  
open=auto.exe 4Cy\o  
shellexecute=auto.exe = '^t[C,  
shell\Auto\command=auto.exe (s( )^/>v  
==================================
:!|^A;dS  
删除各磁盘根目录下的autorun.inf和auto.exe。 Z: +1 ,  
.%, 8JFa  
HOSTS 文件：默认值为： %;G>SG5;  
引用
HOSTS 文件 WXdhRcl"]  
127.0.0.1 localhost Z,[ {  
==================================
#1DT{.LT  
如果和默认值不符，一般需要用SREng修复HOSTS文件。 CdJ"I2.L  
&g(/}*  
进程特权扫描：搜索进程，如果是病毒，删除之。 "ur+zM9.(>  
tUG:CI  
API HOOK：先搜索那几个文件，如果有问题，启动SREng时，右下角会出来提示，先点击“查看详情”，再点“修复入口点错误”就可以了。 $~y2U=1\:  
i;y/N?`  
隐藏进程：搜索进程，如果是病毒，删除之。
以今日之我，胜昨日之我；以明日之我，胜今日之我！
顶端
回复 引用
级别: DOS 3.X
作者资料 发送短消息 QQ联系
UID: 47073
精华: 0
发帖: 65
威望: 1 点
星星铁: 16 块
贡献值: 74 点
在线时间: 21(时)
注册时间: 2007-11-11
最后登录: 2009-04-15
7  发表于: 2007-11-11 12:16
只看该作者 | 小 中 大

发现病毒后清除方法：

删除顺序：服务驱动——进程——Autorun.inf——其他项目。 I?)8M~hM  
X(lQ{00=  
删除服务可以用费尔木马强力清除助手（尽量避免直接双击硬盘打开，应在地址栏中输入盘符，如C:），终止进程可以用冰刃（IceSword）。  &~u%HU  
IHRC/\u  
PS：如果冰刃打不开，可以把冰刃的程序文件名改为后缀名为com、pif或scr Y=#@] 8?  
还可以在开始→运行中输入如下内容：
复制代码
  1. taskkill /f /im 进程名.exe
那个进程名就是你想要终止的进程 x4&;XK'^_.  
ELu*6bUc  
|4z  
其它项目用费尔木马强力清除助手删除就可以了。注册表启动项目可以直接用SREng删除。 xmtoDl  
M `$+T  
用费尔木马强力清除助手删除服务驱动及其他文件的时候，要勾选“抑制文件再次生成” ,>Ra^JHZ  
sz%ziF|g  
为保险起见，清除之前最好先备份一下系统
以今日之我，胜昨日之我；以明日之我，胜今日之我！
顶端
回复 引用
级别: DOS 3.X
作者资料 发送短消息 QQ联系
UID: 47073
精华: 0
发帖: 65
威望: 1 点
星星铁: 16 块
贡献值: 74 点
在线时间: 21(时)
注册时间: 2007-11-11
最后登录: 2009-04-15
8  发表于: 2007-11-11 12:18
只看该作者 | 小 中 大

小结：

分析日志，一定要细心，还要有耐心。不要用分析助手，有可能会错过一些重要的项目！ qmvW B7  
[yAH&?P-  
防范……网上已经有很多了，总之就是不要打开陌生的网站，用可移动存储设备之前要杀毒……在这里不再赘述…… mR37el{  
y P9/B0^^  
希望大家都能够学会……这是我最大的心愿…… c,\nAhU!y  
7HJ Ov2]v  
PS：搜索方法：dll和sys文件如果Google搜索不到，再用雅虎和百度搜索一下，如果都搜索不到，那么很可能就是有问题的。 ?8_m}30o  
V>0C0#,   
进程文件直接用google搜索就可以了，也可以搜索搜索删除的方法 lLV MY$@  
`OsPKY{A  
呼~~终于传完了，改了几个地方 LK^FOS!4q  
吃饭去咯！~~
以今日之我，胜昨日之我；以明日之我，胜今日之我！
顶端
回复 引用
级别: 版主大人

作者资料 发送短消息 QQ联系
UID: 4877
精华: 0
发帖: 1522
威望: 17052 点
星星铁: 0 块
贡献值: 10 点
群组: 乐于助人
在线时间: 345(时)
注册时间: 2006-07-04
最后登录: 2009-07-02
9  发表于: 2007-11-12 08:44
只看该作者 | 小 中 大

写的很不错，支持下
雄关漫道真如铁，而今迈步从头越
顶端
回复 引用
级别: AVF初窥者
作者资料 发送短消息
UID: 66333
精华: 0
发帖: 3
威望: 10 点
星星铁: 0 块
贡献值: 0 点
在线时间: 0(时)
注册时间: 2008-07-29
最后登录: 2008-08-21
10  发表于: 2008-08-01 20:48
只看该作者 | 小 中 大

顶 收藏了 一直看不懂 e  C?:Z  
~
顶端
回复 引用
上一主题下一主题
 Anti-Virus Fans » 初窥者之家