SREng 日志分析方法(崔衍渠写作) - 德化论坛

今天仔细看了崔衍渠先生写的这篇文章,感觉还不错~发上来给大家分享下~

一、SREng 启动项目 注册表 分析方法

对应的注册表位置在log中可以看到

熟悉常见项，主要包括输入法、音频视频应用程序、杀毒软件、安装的应用软件等

每个进程后有公司名属性，可以辅助辨别

对于不确认的进程 google

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx]

以上需要具体分析

[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]

<load><> []

<run><> []

以上2个位置 如果加载了进程,通常是问题项

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

\Run]

以上2个位置 如果加载了进程,通常是问题项

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]

<shell><Explorer.exe> [Microsoft Corporation]

<Userinit><C:\WINDOWS\system32\userinit.exe,> [Microsoft Corporation] 逗号不可省略。

如果是NT系统（如win2000），相应路径为 C:\WINNT 不再累述。

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]

<AppInit_DLLs><> []

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]

<UIHost><logonui.exe> [Microsoft Corporation]

以上4个位置如果和默认的有区别,通常是可疑项

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExec

uteHooks]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTas

kScheduler]

以上3个位置如果有加载项(除了第二个位置加载瑞星防病毒软件),通常是问题项

二、 SREng --- 启动文件夹

对应以下2个位置

Startup: c:\documents and settings\USERNAME\「开始」菜单\程序\启动

（Username为具体的用户名，例如 teyqiu, 王小丫 之类的）

Global Startup: c:\documents and settings\All Users\「开始」菜单\程序\启动

常见问题项：

[IE-Bar]

<C:\Documents and Settings\All Users\Start Menu\Programs\Startup\IE-Bar.lnk>

<N>

三、SREng服务的分析方法

对应注册表位置如下：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

服务后有公司属性，辅助分析，有假冒公司属性的服务需要注意

服务对应的文件位于windows下的要注意

不确认的google

不过有些没公司属性的也没问题 常见的有 要强记！别误删。

[Secdrv / Secdrv]

<system32\DRIVERS\secdrv.sys><N/A>

[TSP / TSP]

<\??\C:\WINDOWS\system32\drivers\klif.sys><N/A> 卡巴斯基

常见的问题项：

灰鸽子