瑞星卡卡安全论坛

即日起每日会给大家提供一些染毒环境的SREng日志，因为部分实习生是第一次接触SREng这个工具，对日志分析不熟悉，如果冒然跑去反病毒区回帖，一旦出现误判，可能对求助者不利，因此采用这种“内部”交流的方式，希望大家能够多练习，真正分析日志的方法是靠自己实践摸索出来的！

注：日志分析练习情况与大家的实习期总成绩没有关联，请大家不要有顾虑，放心大胆的练习！


 附件: 您所在的用户组无法下载或查看附件


b]========以下为参考分析结果========
异常项见附件（仅保留日志中可疑度较高的项）

注意：
1、<internat><C:\WINDOWS\System32\internat.exe>看到这项不要急着删除，问问求助者是不是使用了2000风格的输入法，xp风格的输入法是ctfmon.exe无可厚非，而这个internat.exe应该是2000风格的输入法；

 附件: 您所在的用户组无法下载或查看附件

该用户帖子内容已被屏蔽

/system32/\ati2evxx.dll  就只看出这一个:kaka2:

这个是显卡的吧

哎，这个没看出来什么

o  ye

这份日志，还真没看出有什么毛病

有参考答案没？:kaka12:

C:\WINDOWS\system32\Userinit.exe
C:\WINDOWS\INF\wmp.inf
C:\WINDOWS\system32\asd\loadqm.exe
C:\WINDOWS\system32\netserverd.exe
C:\WINDOWS\system32\runassrv.exe
C:\WINDOWS\system32\wupdmg.exe

这些应该是...

1.[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><Explorer.exe>  [(Infected) Microsoft Corporation]被感染？
    <Userinit><C:\WINDOWS\system32\Userinit.exe>  [(Verified)Microsoft Windows Component Publisher]    C:\WINDOWS\system32\Userinit.exe>后面少，吧？
2.[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\>{26923b43-4d38-484f-9b9e-de460746276c}]
    <Internet Explorer><%systemroot%\system32\shmgrate.exe OCInstallUserConfigIE>  [File is missing]这个可以丢失么？
3.[Closed Caption Decoder / CCDECODE][Stopped/]
  <2 - 系统找不到指定的文件。
><N/A>

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <PQShelper><C:\WINDOWS\system32\SOUNDPE.EXE>  []
   

[netservers / netserversn][Running/Auto Start]
  <C:\WINDOWS\system32\netserverd.exe><N/A>


Closed Caption Decoder / CCDECODE][Stopped/]
  <2 - 系统找不到指定的文件。><N/A>

[PID: 172 / SYSTEM][C:\WINDOWS\system32\netserverd.exe]  [N/A, ]


.HLP  Error. [winhlp32.exe %1]

自己分析的和参考答案差了好多，可否详细的讲解一下呢？