123456   5  /  6  页   跳转

[讲义] 2009年7月9日[日志分析 2 ]讲义

回复:2009年7月9日[日志分析 2 ]讲义

老师,刚在看用户的求助,日志显示好多问题。  这么多我怎么教他删除啊。。请老师指教专业版的求助回答。。
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
    <AppInit_DLLs><mrjhtjd.dll,qrhhb.dll,xdfntt.dll,hgfhk.dll,hjaiq.dll,kduy.dll,frntrn.dll,dnteh.dll,chmfcmh.dll,jwlah.dll,crugd.dll,lariytrz.dll,thurh.dll,mgmgmm.dll,oqrthc.dll,ydgn.dll,dbfb.dll,fjnbv.dll,wmsat.dll,gmnait.dll,hfjg.dll,xdndn.dll,rgfjj.dll,dscef.dll,xfng.dll,njritc.dll,setrhes.dll,cdxbfxdb.dll,xfgnxfn.dll,gjkhj.dll,fxnfnh.dll,bjrvm.dll,ektvm.dll,fehom.dll,jyjlt.dll,ijatnaw.dll,sehhter.dll,fhjfg.dll,zdbdb.dll,rhs.dll,atehhz.dll,gjjte.dll,xgnfn.dll,xfgnhcgfm.dll,serger.dll,bnxnb.dll,fxgnfx.dll,jzijj.dll,xfgnfx.dll,serghjm.dll,thsddh.dll,xbcvxb.dll,zfdzb.dll,hkfgh.dll,drghszd.dll,fngn.dll,xdhdg.dll,zdbfbd.dll,fjyjy.dll,awef.dll,msepbe.dll,>  [N/A]
还有很多。。。

那个帖子在http://bbs.ikaka.com/showtopic-8640082.aspx


===================以下内容为lqqk7回复==================
指导别人手工处理病毒时没有什么捷径可走,要删除的文件就是列出的那些了,自己写成绝对路径的方式,有个方法可以比较快速的完成补全路径的工作,需要借助UltraEdit这个工具:
1、在UltraEdit里新建一个文本,复制要删除的文件进去,然后执行替换命令,在查找什么那里输入英文半角逗号(,),在替换为那里输入^pc:\windows\,这里的英文半角的^p是换行符,然后执行全部替换

 附件: 您所在的用户组无法下载或查看附件

2、全部替换完后出了第一行以外,其他的都已经补全了c:\windows\这个路径,然后我们再手动补全第一行的路径

 附件: 您所在的用户组无法下载或查看附件

3、在UltraEdit里再新建一个文本,将刚才那份已经完全补全路径的内容全部复制过来,执行替换命令,在查找什么那里输入英文半角的c:\windows\,在替换为那里输入英文半角的c:\windows\system32\,然后执行全部替换

 附件: 您所在的用户组无法下载或查看附件

4、完成后所有的路径都变更为c:\windows\system32\了

 附件: 您所在的用户组无法下载或查看附件

5、之后把这两分文本的内容合在一起就是要让求助者删除的文件,如下:
c:\windows\mrjhtjd.dll
c:\windows\qrhhb.dll
c:\windows\xdfntt.dll
c:\windows\hgfhk.dll
c:\windows\hjaiq.dll
c:\windows\kduy.dll
c:\windows\frntrn.dll
c:\windows\dnteh.dll
c:\windows\chmfcmh.dll
c:\windows\jwlah.dll
c:\windows\crugd.dll
c:\windows\lariytrz.dll
c:\windows\thurh.dll
c:\windows\mgmgmm.dll
c:\windows\oqrthc.dll
c:\windows\ydgn.dll
c:\windows\dbfb.dll
c:\windows\fjnbv.dll
c:\windows\wmsat.dll
c:\windows\gmnait.dll
c:\windows\hfjg.dll
c:\windows\xdndn.dll
c:\windows\rgfjj.dll
c:\windows\dscef.dll
c:\windows\xfng.dll
c:\windows\njritc.dll
c:\windows\setrhes.dll
c:\windows\cdxbfxdb.dll
c:\windows\xfgnxfn.dll
c:\windows\gjkhj.dll
c:\windows\fxnfnh.dll
c:\windows\bjrvm.dll
c:\windows\ektvm.dll
c:\windows\fehom.dll
c:\windows\jyjlt.dll
c:\windows\ijatnaw.dll
c:\windows\sehhter.dll
c:\windows\fhjfg.dll
c:\windows\zdbdb.dll
c:\windows\rhs.dll
c:\windows\atehhz.dll
c:\windows\gjjte.dll
c:\windows\xgnfn.dll
c:\windows\xfgnhcgfm.dll
c:\windows\serger.dll
c:\windows\bnxnb.dll
c:\windows\fxgnfx.dll
c:\windows\jzijj.dll
c:\windows\xfgnfx.dll
c:\windows\serghjm.dll
c:\windows\thsddh.dll
c:\windows\xbcvxb.dll
c:\windows\zfdzb.dll
c:\windows\hkfgh.dll
c:\windows\drghszd.dll
c:\windows\fngn.dll
c:\windows\xdhdg.dll
c:\windows\zdbfbd.dll
c:\windows\fjyjy.dll
c:\windows\awef.dll
c:\windows\msepbe.dll
c:\windows\system32\mrjhtjd.dll
c:\windows\system32\qrhhb.dll
c:\windows\system32\xdfntt.dll
c:\windows\system32\hgfhk.dll
c:\windows\system32\hjaiq.dll
c:\windows\system32\kduy.dll
c:\windows\system32\frntrn.dll
c:\windows\system32\dnteh.dll
c:\windows\system32\chmfcmh.dll
c:\windows\system32\jwlah.dll
c:\windows\system32\crugd.dll
c:\windows\system32\lariytrz.dll
c:\windows\system32\thurh.dll
c:\windows\system32\mgmgmm.dll
c:\windows\system32\oqrthc.dll
c:\windows\system32\ydgn.dll
c:\windows\system32\dbfb.dll
c:\windows\system32\fjnbv.dll
c:\windows\system32\wmsat.dll
c:\windows\system32\gmnait.dll
c:\windows\system32\hfjg.dll
c:\windows\system32\xdndn.dll
c:\windows\system32\rgfjj.dll
c:\windows\system32\dscef.dll
c:\windows\system32\xfng.dll
c:\windows\system32\njritc.dll
c:\windows\system32\setrhes.dll
c:\windows\system32\cdxbfxdb.dll
c:\windows\system32\xfgnxfn.dll
c:\windows\system32\gjkhj.dll
c:\windows\system32\fxnfnh.dll
c:\windows\system32\bjrvm.dll
c:\windows\system32\ektvm.dll
c:\windows\system32\fehom.dll
c:\windows\system32\jyjlt.dll
c:\windows\system32\ijatnaw.dll
c:\windows\system32\sehhter.dll
c:\windows\system32\fhjfg.dll
c:\windows\system32\zdbdb.dll
c:\windows\system32\rhs.dll
c:\windows\system32\atehhz.dll
c:\windows\system32\gjjte.dll
c:\windows\system32\xgnfn.dll
c:\windows\system32\xfgnhcgfm.dll
c:\windows\system32\serger.dll
c:\windows\system32\bnxnb.dll
c:\windows\system32\fxgnfx.dll
c:\windows\system32\jzijj.dll
c:\windows\system32\xfgnfx.dll
c:\windows\system32\serghjm.dll
c:\windows\system32\thsddh.dll
c:\windows\system32\xbcvxb.dll
c:\windows\system32\zfdzb.dll
c:\windows\system32\hkfgh.dll
c:\windows\system32\drghszd.dll
c:\windows\system32\fngn.dll
c:\windows\system32\xdhdg.dll
c:\windows\system32\zdbfbd.dll
c:\windows\system32\fjyjy.dll
c:\windows\system32\awef.dll
c:\windows\system32\msepbe.dll
最后编辑lqqk7 最后编辑于 2009-07-09 21:57:52
gototop
 

回复: 2009年7月9日[日志分析 2 ]讲义



引用:
原帖由 零度的穷浪漫 于 2009-7-9 20:48:00 发表


引用:
原帖由 lqqk7 于 2009-7-9 9:31:00 发表
[attach]538608[/attach]

U盘中的Autorun.inf就删不掉是什么原因?


===================以下内容为lqqk7回复==================
我能想到的可能性:

1、U盘有写保护开关,并且已经开启;这点不符合吧?写保护是不是就不能往里面写东西了?但是我的U盘还能放东西啊。
2、U盘损坏(相对可能性较低);这个也不符合,确实可能性低。
3、文件系统错误(用windows自带的磁盘查错功能修复错误后一般能解决);这个磁盘查错怎么用啊?
4、针对NTFS文件系统,该文件被设置了拒绝改写的权限。这个可以再改回来吗?
5、插着U盘的这台电脑存在活体病毒,以独占的方式保护这个文件,使其无法被删除; 这个可能性好像大点,可是这个病毒危害大么?一般怎么解决?


===================以下内容为lqqk7回复==================
1、我说的只是我能想到的可能性而已,呵呵;
2、呵呵;
3、右键点击要查错的盘符,选择属性,之后如图操作,如果磁盘中的文件正在被使用,可能会询问你是否在下次重启时执行查错,选是即可

 附件: 您所在的用户组无法下载或查看附件

4、可以,如图,右键单击文件,选择属性,安全选显卡,高级

 附件: 您所在的用户组无法下载或查看附件

去掉如图所示的勾选

 附件: 您所在的用户组无法下载或查看附件

出现提示选择“删除”

 附件: 您所在的用户组无法下载或查看附件

重新添加用户,用户名填写 everyone

 附件: 您所在的用户组无法下载或查看附件

赋予everyone完全控制权,之后一路确定

 附件: 您所在的用户组无法下载或查看附件

5、分析日志揪出病毒,之后干掉它,具体操作要看具体情况了
最后编辑lqqk7 最后编辑于 2009-07-09 22:08:31
gototop
 

回复:2009年7月9日[日志分析 2 ]讲义

老师,我的日志里有
<AppInit_DLLs><>  [N/A],
这个正常吗?


===================以下内容为lqqk7回复==================
正常,系统默认就是这样
最后编辑lqqk7 最后编辑于 2009-07-09 22:08:55
gototop
 

回复: 2009年7月9日[日志分析 2 ]讲义



引用:
原帖由 小漠663 于 2009-7-9 21:30:00 发表
老师,我的日志里有
<AppInit_DLLs><>  [N/A],
这个正常吗?

我觉得没什么大问题吧?貌似没有病毒……
gototop
 

回复:2009年7月9日[日志分析 2 ]讲义

谢谢lqqk7老师,辛苦了!~
老师能不能推荐几本能够提高分析日志能力的相关的书呀?最好是基础一点的。。。我觉得有点难。。。再次谢谢老师!~


===================以下内容为lqqk7回复==================
没有这样的书,分析日志的能力是基于对系统和常见软件的熟悉,以及经验的积累,多练习,多看高手的分析结果会提高较快的
最后编辑lqqk7 最后编辑于 2009-07-09 22:15:30
gototop
 

回复:2009年7月9日[日志分析 2 ]讲义

今天人这么少啊!!!
下课,起立!!
老师辛苦了!!
大家都好好休息!!!


===================以下内容为lqqk7回复==================
最后编辑lqqk7 最后编辑于 2009-07-09 22:10:20
gototop
 

回复:2009年7月9日[日志分析 2 ]讲义

今天下午把讲义就已经看完了。。无奈道晚上8点半的是很停电了。。。刚来。。。真汗。。。。不过还是感谢老师 让我学到了不少好东西啊
gototop
 

回复:2009年7月9日[日志分析 2 ]讲义

作为一个门外汉,我只能说, 我又学到了不少...呵呵
gototop
 

回复:2009年7月9日[日志分析 2 ]讲义

这两天的练习能不能集中解答一下啊~这样大家才能有提高嘛
gototop
 

回复:2009年7月9日[日志分析 2 ]讲义

半夜上课~~
gototop
 
123456   5  /  6  页   跳转
页面顶部
Powered by Discuz!NT