瑞星卡卡安全论坛

即日起每日会给大家提供一些染毒环境的SREng日志，因为部分实习生是第一次接触SREng这个工具，对日志分析不熟悉，如果冒然跑去反病毒区回帖，一旦出现误判，可能对求助者不利，因此采用这种“内部”交流的方式，希望大家能够多练习，真正分析日志的方法是靠自己实践摸索出来的！

注：日志分析练习情况与大家的实习期总成绩没有关联，请大家不要有顾虑，放心大胆的练习！

附件: SREngLOG.log

以下为参考处理方案（摘自原帖）

开始操作之前，先把网络断开；
———————————————————————————————————————
使用暴力文件删除工具删除以下文件：
———————————————————————————————————————
C:\WINDOWS\system32\mcvcea.exe
C:\WINDOWS\system32\nvapi.dll
C:\WINDOWS\system32\mmutilse.exe
———————————————————————————————————————

[JmArpHook / JmArpHook][Running/Auto Start]
  <\??\C:\WINDOWS\system32\Drivers\JMARPH~1.SYS><>(可能为江民杀毒软件的一个监控程序，建议先询问提问者，是否有安装江民)


———————————————————————————————————————
打开SREng，选择【启动项目】-【服务】-【Win32服务应用程序】，将以下项删除：
C:\WINDOWS\system32\mmutilse.exe runsrv /name:"COM+ System Licensing" /prinum:"32" /cmdline:"C:\WINDOWS\system32\mcvcea.exe"

使用“Windows清理助手”清理一下；
———————————————————————————————————————

删除文件并取消服务：C:\WINDOWS\system32\mmutilse.exe runsrv /name:"COM+ System Licensing" /prinum:"32" /cmdline:"C:\WINDOWS\system32\mcvcea.exe"
删除C:\WINDOWS\system32\drivers\BIOS.sys
可疑文件．上报隔离C:\WINDOWS\system32\Drivers\JMARPH~1.SYS

c:\windows\system32\svchost.exe -k netsvcs-->%systemroot%\system32\hidserv.dll
这项是正常的

看看。。。对答案

又见新题~练习练习~

下载 回去慢慢看

看看答案

学习学习

看看答案，对比一下:kaka12:

回复看结果

回复对答案……

看答案。。

回复，取答案之:kaka12:

答案

还是没什么问题啊
是不是我老了啊

没看出啥东西 看答案~~:kaka1:

看看答案~~今天就到此为止吧~刚才的练习又积累了ctfmen.exe和wsock32.dll木马病毒，有收获~

对下答案