2008年8月17日考试答案（考试结束后公布） bbs.ikaka.com

lqqk7 - 2008-8-17 21:07:00

试题链接：http://bbs.ikaka.com/showtopic-8537589.aspx

呼.....20日晚上有点事，耽误了一会，抱歉了各位！

现公布试题参考答案。

2008-08-21 01:30 之后再交上来的答卷均视为无效！

lqqk7 - 2008-8-21 1:43:00

1、日志分析题：
分析昨天扫描的一篇日志，找出可疑项，提供完整的处理方案；

参考分析结果（仅提供可疑项）：
系统日期不正确

可疑文件：
c:\windows\system32\apsgejba.dll
c:\windows\system32\midimapcq.dll
c:\windows\system32\mndhedwd.dll
c:\windows\system32\mpmydapi.dll
c:\windows\system32\oohxdbyt.dll
c:\windows\system32\ptjhehlp.dll
c:\windows\system32\yxcschlp.dll
c:\windows\system32\zycbdime.dll
c:\windows\system32\zywmgime.dll
c:\windows\temp\b.bat
c:\windows\system32\midimapzx.dll
c:\windows\system32\midimappt.dll
c:\windows\system32\midimapjr.dll
c:\windows\system32\midimapwl.dll
c:\windows\system32\midimapmy.dll
c:\windows\system32\midimaptl.dll
c:\windows\system32\yzztimsn.dll
c:\windows\system32\oswxdttb.dll
c:\windows\system32\nhmxcjkl.dll
c:\windows\system32\lofsdjbo.dll
c:\windows\system32\tisqatyu.dll
c:\windows\system32\ozfyebyt.dll
c:\windows\system32\ypdjgbmp.dll
c:\windows\system32\rijxbkin.dll
c:\windows\system32\mndhddwd.dll
c:\windows\system32\zyzxjime.dll
c:\windows\system32\mnmhgsrv.dll
c:\windows\system32\yzztimsn.dll
c:\0a4bf60025270afe.dat
c:\5d2833281e4168de.dat
c:\6e91c1b87c4e0a87.dat
c:\84fa734cc7323d26.dat
c:\aebaf190d7064c5e.dat
c:\b76fb8d854769d6b.dat
c:\ca22c62885f9c933.dat
c:\windows\system32\d32dx9.sys

需要修复的文件：
c:\windows\explorer.exe

可以注册表启动项：
[virustrj] <C:\WINDOWS\temp\b.bat>
[midimapzx] <C:\WINDOWS\system32\midimapzx.dll>
[midimappt] <C:\WINDOWS\system32\midimappt.dll>
[midimapjr] <C:\WINDOWS\system32\midimapjr.dll>
[midimapwl] <C:\WINDOWS\system32\midimapwl.dll>
[midimapcq] <C:\WINDOWS\system32\midimapcq.dll>
[midimapmy] <C:\WINDOWS\system32\midimapmy.dll>
[midimaptl] <C:\WINDOWS\system32\midimaptl.dll>
[{4F4F0064-71E0-4f0d-0005-708476C7815F}] <C:\WINDOWS\system32\midimapzx.dll>
[{9490415F-65F8-B5C5-D8BA-9405FB120549}] <C:\WINDOWS\system32\yzztimsn.dll>
[{5C648541-1025-9650-9057-6541258720C5}] <C:\WINDOWS\system32\mndhedwd.dll>
[{4F4F0064-71E0-4f0d-0021-708476C7815F}] <C:\WINDOWS\system32\midimappt.dll>
[{43512378-9874-5641-1025-985420368734}] <C:\WINDOWS\system32\oswxdttb.dll>
[{37AC9076-C898-B098-D098-A18319080973}] <C:\WINDOWS\system32\nhmxcjkl.dll>
[{470165F1-9F65-569F-F895-F14F58F41074}] <C:\WINDOWS\system32\lofsdjbo.dll>
[{18093456-9012-4568-9076-908765467181}] <C:\WINDOWS\system32\tisqatyu.dll>
[{5A069845-2036-6084-9054-6087502480A5}] <C:\WINDOWS\system32\ozfyebyt.dll>
[{91954FAC-1023-154F-895A-1458258AD819}] <C:\WINDOWS\system32\ypdjgbmp.dll>
[{25FD6584-698F-BCD2-602C-698745210352}] <C:\WINDOWS\system32\rijxbkin.dll>
[{4F4F0064-71E0-4f0d-0012-708476C7815F}] <C:\WINDOWS\system32\midimapjr.dll>
[{4F4F0064-71E0-4f0d-0004-708476C7815F}] <C:\WINDOWS\system32\midimapwl.dll>
[{528DF602-9541-A985-210A-984A698C6F25}] <C:\WINDOWS\system32\ptjhehlp.dll>
[{4A698102-5904-AFD0-20DF-CD1A65829CA4}] <C:\WINDOWS\system32\zycbdime.dll>
[{4C648541-1025-9650-9057-6541258720C4}] <C:\WINDOWS\system32\mndhddwd.dll>
[{7319A1F1-9410-9654-3201-345FFA349137}] <C:\WINDOWS\system32\zywmgime.dll>
[{AA59145F-315D-BC23-AC1F-145DF81A34AA}] <C:\WINDOWS\system32\zyzxjime.dll>
[{4F4F0064-71E0-4f0d-0023-708476C7815F}] <C:\WINDOWS\system32\midimapcq.dll>
[{35671234-7890-ABCD-CDEF-567801237653}] <C:\WINDOWS\system32\yxcschlp.dll>
[{5B1AEF69-DDAE-FDAD-DCAB-698F026ABDB5}] <C:\WINDOWS\system32\oohxdbyt.dll>
[{5FD45A54-9875-698F-E56E-65102358FDF5}] <C:\WINDOWS\system32\apsgejba.dll>
[{4629FF4F-ACDB-5C90-A098-FACB3456A264}] <C:\WINDOWS\system32\mpmydapi.dll>
[{4F4F0064-71E0-4f0d-0015-708476C7815F}] <C:\WINDOWS\system32\midimapmy.dll>
[{4F4F0064-71E0-4f0d-0017-708476C7815F}] <C:\WINDOWS\system32\midimaptl.dll>
[{7C8D1401-A58D-A81C-CD24-A5915C4517C7}] <C:\WINDOWS\system32\mnmhgsrv.dll>

需要修复的启动项：
[AppInit_DLLs] <yzztimsn.dll>

可疑驱动项：
[0a4bf60025270afe / 0a4bf60025270afe] <\??\C:\0a4bf60025270afe.dat>
[5d2833281e4168de / 5d2833281e4168de] <\??\C:\5d2833281e4168de.dat>
[6e91c1b87c4e0a87 / 6e91c1b87c4e0a87] <\??\C:\6e91c1b87c4e0a87.dat>
[84fa734cc7323d26 / 84fa734cc7323d26] <\??\C:\84fa734cc7323d26.dat>
[aebaf190d7064c5e / aebaf190d7064c5e] <\??\C:\aebaf190d7064c5e.dat>
[b76fb8d854769d6b / b76fb8d854769d6b] <\??\C:\b76fb8d854769d6b.dat>
[ca22c62885f9c933 / ca22c62885f9c933] <\??\C:\ca22c62885f9c933.dat>
[HiddFldy / HiddFldy] <\??\C:\WINDOWS\system32\d32dx9.sys>
[4b97cc9c10fdda8c / 4b97cc9c10fdda8c] <2 - 系统找不到指定的文件。>

可疑浏览器加载项：
[] <C:\WINDOWS\system32\tisqatyu.dll>
[] <C:\WINDOWS\system32\rijxbkin.dll>
[] <C:\WINDOWS\system32\yxcschlp.dll>
[] <C:\WINDOWS\system32\nhmxcjkl.dll>
[] <C:\WINDOWS\system32\mpmydapi.dll>
[] <C:\WINDOWS\system32\zycbdime.dll>
[] <C:\WINDOWS\system32\ptjhehlp.dll>
[] <C:\WINDOWS\system32\ozfyebyt.dll>
[] <C:\WINDOWS\system32\oohxdbyt.dll>
[] <C:\WINDOWS\system32\mndhedwd.dll>
[] <C:\WINDOWS\system32\apsgejba.dll>
[] <C:\WINDOWS\system32\zywmgime.dll>
[] <C:\WINDOWS\system32\ypdjgbmp.dll>
[] <C:\WINDOWS\system32\yzztimsn.dll>
[] <C:\WINDOWS\system32\tisqatyu.dll>
[] <C:\WINDOWS\system32\rijxbkin.dll>
[] <C:\WINDOWS\system32\yxcschlp.dll>
[] <C:\WINDOWS\system32\nhmxcjkl.dll>
[] <C:\WINDOWS\system32\oswxdttb.dll>
[] <C:\WINDOWS\system32\mpmydapi.dll>
[] <C:\WINDOWS\system32\lofsdjbo.dll>
[] <C:\WINDOWS\system32\zycbdime.dll>
[] <C:\WINDOWS\system32\mndhddwd.dll>
[] <C:\WINDOWS\system32\ptjhehlp.dll>
[] <C:\WINDOWS\system32\ozfyebyt.dll>
[] <C:\WINDOWS\system32\oohxdbyt.dll>
[] <C:\WINDOWS\system32\mndhedwd.dll>
[] <C:\WINDOWS\system32\apsgejba.dll>
[] <C:\WINDOWS\system32\zywmgime.dll>
[] <C:\WINDOWS\system32\mnmhgsrv.dll>
[] <C:\WINDOWS\system32\ypdjgbmp.dll>
[] <C:\WINDOWS\system32\yzztimsn.dll>
[] <C:\WINDOWS\system32\zyzxjime.dll>

lqqk7 - 2008-8-21 1:44:00

2、瑞星主动防御设置题：
近期修改HOSTS屏蔽安全厂商网站的病毒比较多，如果利用瑞星主动防御更好的保护HOSTS文件？

参考答案：
打开瑞星杀毒软件，设置——防御设置——系统加固——自定义——系统文件保护——HOSTS文件——拒绝（默认安全级别为“提示”）

附件: 您所在的用户组无法下载或查看附件

lqqk7 - 2008-8-21 1:47:00

3、瑞星主动防御设置题：
如何禁止IE浏览器被任意程序启动？

参考答案：
打开瑞星杀毒软件，设置——防御设置——程序启动控制——添加——添加IE浏览器路径——添加规则——选择启动者为任意程序“*”——触发动作为“拒绝”——确定即可

特别说明：看到有人在这里添加了两条规则，第一条是放行explorer.exe启动ie，第二条是拒绝*启动ie，我只能说你审题不认真了，考题上已经明确注明“完成题目要求即可，不考虑其他因素。”，且本题要求的是“禁止IE浏览器被任意程序启动”。我相信你会做这题，也明白你的初衷是不影响用户使用，但这不合题意。

附件: 您所在的用户组无法下载或查看附件

lqqk7 - 2008-8-21 1:57:00

4、瑞星主动防御设置题：
如何禁止任何程序在C盘根目录创建文件？

参考答案：
打开瑞星杀毒软件，设置——防御设置——应用程序访问控制——添加——规则应用对象为任意程序“*”——不监控系统动作——添加文件规则——监控目标为“C:\”——不包含子目录——监控操作为“创建”——触发动作为“拒绝”——确定即可

附件: 您所在的用户组无法下载或查看附件

lqqk7 - 2008-8-21 2:00:00

5、瑞星防火墙设置：
主机A的IP：192.168.1.2
主机B的IP：192.168.1.3
目的：仅允许B访问A的TCP 3389端口，拒绝除B以外的其他所有地址访问A的TCP 3389端口
如何设置主机A的瑞星防火墙？

参考答案：
打开防火墙——设置——详细设置——IP规则——在当前第一条规则上面“插入”一条新规则；

附件: 您所在的用户组无法下载或查看附件

输入规则名称，匹配动作后“禁止”；

附件: 您所在的用户组无法下载或查看附件

本地地址“所有地址”，对方地址“任意地址”；

附件: 您所在的用户组无法下载或查看附件

协议类型“TCP”，对方端口“任意端口”，本地端口“指定端口”，端口号3389；

附件: 您所在的用户组无法下载或查看附件

自行选择报警方式；

附件: 您所在的用户组无法下载或查看附件

完成后这条规则成为当前的第一条规则，把它前面的复选框打钩，以使规则生效，然后再在它上面插入新规则；

附件: 您所在的用户组无法下载或查看附件

输入规则名称，匹配动作后“允许”；

附件: 您所在的用户组无法下载或查看附件

本地地址“所有地址”，对方地址“指定地址”，输入主机B的IP 192.168.1.3；

附件: 您所在的用户组无法下载或查看附件

协议类型“TCP”，对方端口“任意端口”，本地端口“指定端口”，端口号3389；

附件: 您所在的用户组无法下载或查看附件

自行选择报警方式；

附件: 您所在的用户组无法下载或查看附件

（接下贴）

lqqk7 - 2008-8-21 2:02:00

（接上贴）
完成后这条规则成为当前的第一条规则，把它前面的复选框打钩，以使规则生效。

附件: 您所在的用户组无法下载或查看附件

这样就实现了题目要求的目的。

lqqk7 - 2008-8-21 2:05:00

6、系统设置题：
xp系统，当管理员帐户多于1个的时候，在登陆界面默认不显示Administrator
如何设置使登陆界面显示Administrator

参考答案：
打开注册表编辑器，定位到：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList]
将其中的dword值"Administrator"的值设置为1

lqqk7 - 2008-8-21 2:07:00

7、系统设置题：
使用瑞星漏洞扫描程序发现一个不安全设置“允许其他计算机以匿名方式获取本机信息”，选择修复此漏洞后发现无法局域网用户无法正常访问本机，如何解决？

参考答案：
打开注册表编辑器，定位到：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
将其中的dword值"restrictanonymous"的值设置为0

lqqk7 - 2008-8-21 2:08:00

8、系统设置题：
鼠标右键无法使用，如何解决？

参考答案：
打开注册表编辑器，定位到：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
将其中的键值"NoViewContextMenu"删除

lqqk7 - 2008-8-21 2:10:00

9、系统使用技巧题：
不小心将快速启动栏中的“显示桌面”删除了，如何恢复？

参考答案：
在"%UserProfile%\Application Data\Microsoft\Internet Explorer\Quick Launch"新建一个文本文档，内容为：
[Shell]
Command=2
IconFile=explorer.exe,3
[Taskbar]
Command=ToggleDesktop
保存并将“新建文本文档.TXT”重命名为“显示桌面.scf”

lqqk7 - 2008-8-21 2:17:00

10、系统设置题：
我的文档、收藏夹等默认路径都是在%UserProfile%下
如：
C:\Documents and Settings\Administrator\My Documents
C:\Documents and Settings\Administrator\Favorites
当我们格式化C盘重装系统后，会造成这些文件丢失，如何把这些文件夹设置到非系统盘路径下？

参考答案：
打开注册表编辑器，定位到：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders]
在这里可以对此类文件夹的路径进行设置，如：
字符串值“Favorites”的值是收藏夹路径；
字符串值“Personal”的值是我的文档路径；
字符串值“My Pictures”的值是我的图片路径；
字符串值“My Music”的值是我的音频路径；
字符串值“My Video”的值是我的视频路径；
字符串值“Cache”的值是IE缓存路径；
字符串值“History”的值是IE历史记录路径；
......

A小可 - 2008-8-21 13:49:00

“特别说明：看到有人在这里添加了两条规则，第一条是放行explorer.exe启动ie，第二条是拒绝*启动ie，我只能说你审题不认真了，考题上已经明确注明“完成题目要求即可，不考虑其他因素。”，且本题要求的是“禁止IE浏览器被任意程序启动”。我相信你会做这题，也明白你的初衷是不影响用户使用，但这不合题意。”

还以为你出题目出现的漏洞呢，谁知道...
会不会误导别人呢～:default27:

lqqk7 - 2008-8-21 14:12:00

引用:

原帖由 A小可 于 2008-8-21 13:49:00 发表
“特别说明：看到有人在这里添加了两条规则，第一条是放行explorer.exe启动ie，第二条是拒绝*启动ie，我只能说你审题不认真了，考题上已经明确注明“完成题目要求即可，不考虑其他因素。”，且本题要求的是“禁止IE浏览器被任意程序启动”。我相信你会做这题，也明白你的初衷是不影响用户使用，但这不合题意。”

还以为你出题目出现的漏洞呢，谁知道...
会不会误导别人呢～:default27:

这个板块只有实习生和版主以上有权限阅读，普通会员是看不到的

A小可 - 2008-8-21 14:43:00

:default6: 我说的别人是指除你以外的，不是除实习生和版主以外的～:default6:

codegeass - 2008-8-21 15:07:00

第一个日志我反复看了几遍。。以为没漏的了。。哎。。结果。。。。:default3:
不过又是次学习的机会。。

happysunday2003 - 2008-8-21 18:28:00

我顶你！学习了。。。。

瓶子里没有水 - 2008-8-22 11:38:00

哎.以后答的差不多.原来是错误百出啊..好好学习~~:default3:

gpsmmmm - 2008-8-22 11:49:00

:default46: 错了!!!!!!

秦人J - 2008-8-22 20:39:00

哎~~~~~~~~·错了

wysiwys - 2008-8-22 21:54:00

吼吼就日志分析有点出入其他的答案虽然没图片我想我文字回答的已经蛮清楚啦 :default5:

瑞星卡卡安全论坛