瑞星卡卡安全论坛

即日起每日会给大家提供一些染毒环境的SREng日志，因为部分实习生是第一次接触SREng这个工具，对日志分析不熟悉，如果冒然跑去反病毒区回帖，一旦出现误判，可能对求助者不利，因此采用这种“内部”交流的方式，希望大家能够多练习，真正分析日志的方法是靠自己实践摸索出来的！

注：日志分析练习情况与大家的实习期总成绩没有关联，请大家不要有顾虑，放心大胆的练习！


 附件: 您所在的用户组无法下载或查看附件


========以下为参考分析结果========
异常项见附件（仅保留日志中可疑度较高的项）

注意：
1、<RunSD><C:\WINDOWS\system32\MicroShut\RunExe.exe>  [夏冰软件]可以询问一下求助者，或提交反病毒厂商进一步验证；
2、<WinlogonNotify: WgaLogon><WgaLogon.dll>  []缺失签名，比较可疑，可以删除，即使是正常的正版验证程序，删除后对系统也没有影响；
3、日志中还有一些流氓软件（百度搜霸等），如果不是求助者的个人喜好，可以一并删除；

 附件: 您所在的用户组无法下载或查看附件

该用户帖子内容已被屏蔽

1.[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WgaLogon]
    <WinlogonNotify: WgaLogon><WgaLogon.dll>  []
    <{153FC33C-8D26-4620-ACBA-3371AAC67A23}><C:\WINDOWS\System32\flysoft.dll>  []
2.[NetMeeting Remote Desktop Sharing / mnmsrvc][Stopped/Manual Start]
  <><(File is missing)>这个删掉吧
3.[BdGuard / BdGuard][Running/Boot Start]
  <\SystemRoot\system32\drivers\BDGuard.SYS><>
首先打开C盘windows下的system32目录 然后在此目录下备份drivers文件夹，将此文件夹重命名为drivers01
接着请在drivers01文件夹内删除BDguard.sys
（复制时可能会有杀毒软件提示遇到BDguard.sys不能继续复制，没关系，你直接打开DRIVERS文件夹复制立面的子文件，跳过BDGUARD不要复制就好，不过千万别漏掉其他的哦，最好复制完后察看文件夹属性对下文件的个数）

重启电脑，按住F8进入“带命令行的安全模式”
在dos环境下进行下列操作：
cd.. *此命令意思是退回上级目录
退到C盘目录下后
cd windows *意思是进入windows目录,2000操作系统请输入winnt.
cd system32
ren drivers drivers02 *意思是将drivers文件夹名修改成drivers02
ren drivers01 drivers *将之前我们备份的drivers01文件夹名字改为drivers
（DOS的东西我是一窍不通，据说如果要退出DOS的话在c:\windows>后面输入WIN敲回车。不过我是用了CRTL+ALT+DEL任务管理器的关机按钮）

重启进入WINDOWS，删除drivers02文件夹、C:\WINDOWS\system32\Bdguard.dat、C:\WINDOWS\system32\Bdguard1.dat、C:\Program Files\Baidu，并清理注册表内信息。
（经实践证明要先删掉SYSTEM32底下的两个BDGUARD文件才能删掉DRIVER02 文件夹）
然后再运行“REGEDIT”打开注册表“编辑”-“查找”关键字输BDGUARD找到相关的就删除然后接着“查找下一个”一直到查不出为止
如果删除不掉则右击选择“权限”在“完全控制”后面划钩。确定后再去删除就可以了
OVER！！！！！
4.[djmypuz / djmypuz][Running/Boot Start]
  <\SystemRoot\system32\drivers\ffnuy.sys><N/A>
[EagleNT / EagleNT][Stopped/Manual Start]
  <\??\C:\WINDOWS\system32\drivers\EagleNT.sys><N/A>
[ShudDownBaoHu / ShudDownBaoHu][Running/System Start]
  <\??\C:\WINDOWS\system32\drivers\SDBaoHu.sys><N/A>
[System Restore Filter Driver / sr][Stopped/Disabled]
  <\SystemRoot\system32\DRIVERS\sr.sys><N/A>
5.[PID: 204 / Administrator][C:\WINDOWS\Explorer.EXE]  [(Verified) Microsoft Corporation, 6.00.2900.5512 (xpsp.080413-2105)]
    [C:\WINDOWS\system32\oySx.dll]  [N/A, ]
[C:\WINDOWS\System32\flysoft.dll]  [, 1, 0, 0, 1]
[PID: 448 / SYSTEM][C:\WINDOWS\system32\PnkBstrA.exe]  [N/A, ]
[PID: 2648 / Administrator][C:\WINDOWS\system32\rundll32.exe]  [Microsoft Corporation, 5.1.2600.5512 (xpsp.080413-2105)]
    [C:\WINDOWS\System32\fly707.dll]  [, 1, 0, 0, 1]

看看

:kaka2:

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
    <360tray><C:\WINDOWS\dyloty\spoolsv.vbs> 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
  <{153FC33C-8D26-4620-ACBA-3371AAC67A23}><C:\WINDOWS\System32
[NetMeeting Remote Desktop Sharing / mnmsrvc]
  <\SystemRoot\system32\drivers\BDGuard.SYS>
  <\SystemRoot\system32\drivers\ffnuy.sys><N/A>
  <\??\C:\WINDOWS\system32\drivers\EagleNT.sys><N/A>

进程：
  [C:\WINDOWS\system32\oySx.dll]

看看答案~

看看