2010年2月4日[日志分析]-讲义 - 瑞星卡卡安全论坛bbs.ikaka.com

瑞星卡卡安全论坛综合娱乐区 活动专区 实习生专区 2010年2月4日[日志分析]-讲义

	瑞星“1+2”全新解决方案巡展在广州画上圆满句号		叶院长揭秘：瑞星如何运用AI技术革新网络安全		俄乌冲突加剧网络攻击风险白俄罗斯政府遭APT攻击		瑞星ESM防病毒系统助力矿业大学筑牢网络安全防线
	实力拉满瑞星第四十五次通过VB100测评		携手老友，拥抱新精彩 —— 新论坛新活动，感谢你的陪伴		护航司法，瑞星助力山西省高院构建安全防线		人工智能在网络安全领域的风险和机遇

2 / 6 页

跳转页

2010年2月4日[日志分析]-讲义

本主题由大版主 networkedition 于 2012-2-23 16:52:13 执行移动主题操作

穷小子cd 初生襁褓狮帖子:76 注册: 2009-12-22 来自:成都	发表于： 2010-02-04 11:39 \| 短消息资料字号：小中大 11楼回复 8F greenwheat 的帖子 1.文件不存在 5.也不一定哈
穷小子cd 初生襁褓狮帖子:76 注册: 2009-12-22 来自:成都

DragonKid 自信弱冠狮帖子:496 注册: 2009-12-31 来自:	发表于： 2010-02-04 11:45 \| 短消息资料字号：小中大 12楼回复：2010年2月4日[日志分析]-讲义老师： http://bbs.ikaka.com/showtopic-8640641.aspx#9782221 为什么说在这里的加载执行的%systemroot%\system32\rpcadmin.dll就有问题了？？引用: 以下内容为lqqk7回复：主要判断依据如下： 1、rpcadmin.dll本身不是系统文件，但不排除是第三方应用程序的文件； 2、Remot Procedure Call（RPC） Administrative Service这个服务不是系统服务，但服务名称却模仿了系统正常的RPC服务名称，不像是正常软件所谓，有试图通过与正常服务相似的名称蒙蔽用户的嫌疑； 3、通过google搜索rpcadmin.dll看看结果综合以上几点认为这个文件很有问题； lqqk7 最后编辑于 2010-02-04 15:03:51
DragonKid 自信弱冠狮帖子:496 注册: 2009-12-31 来自:

微米天空快乐黄口狮帖子:209 注册: 2008-03-15 来自:地球	发表于： 2010-02-04 11:57 \| 短消息资料字号：小中大 13楼回复: 2010年2月4日[日志分析]-讲义日志分析是不是凭着对系统进程及注册表项的熟悉，判断可疑项目？细心和经验应该和重要吧？引用: 以下内容为lqqk7回复：说的太对了！ lqqk7 最后编辑于 2010-02-04 15:05:27
微米天空快乐黄口狮帖子:209 注册: 2008-03-15 来自:地球

战雨晨初生襁褓狮帖子:46 注册: 2010-01-17 来自:	发表于： 2010-02-04 12:13 \| 短消息资料字号：小中大 14楼回复：2010年2月4日[日志分析]-讲义请教一下老师：正在运行的进程部分，有的程序PID后面标注了“strike”，请问这是什么意思？是不是这样的文件都是有问题的？谢谢老师~
战雨晨初生襁褓狮帖子:46 注册: 2010-01-17 来自:

梅罗自信弱冠狮帖子:430 注册: 2010-01-18 来自:永烁星光之地	发表于： 2010-02-04 12:19 \| 短消息资料字号：小中大 15楼回复 12F DragonKid 的帖子因为他是通过svchost这个正常进程加载的，而且文件名比较可疑~ 天地间那一抹不灭的流光即我
梅罗自信弱冠狮帖子:430 注册: 2010-01-18 来自:永烁星光之地

DragonKid 自信弱冠狮帖子:496 注册: 2009-12-31 来自:	发表于： 2010-02-04 12:29 \| 短消息资料字号：小中大 16楼回复 15F 梅罗的帖子那他下面那条不也是通过svchost加载的吗，为什么就这个有问题呢？？还有为什么说rpcadmin.dll这个文件名可以呢？？ O(∩_∩)O谢谢
DragonKid 自信弱冠狮帖子:496 注册: 2009-12-31 来自:

DragonKid 自信弱冠狮帖子:496 注册: 2009-12-31 来自:	发表于： 2010-02-04 12:33 \| 短消息资料字号：小中大 17楼回复：2010年2月4日[日志分析]-讲义老师：是不是驱动程序中有完整公司信息和版本信息的都可以视为安全而缺少版本信息和公司信息的都有可能是由病毒或恶意软件引起的呢？？引用: 以下内容为lqqk7回复：不一定，没有厂商信息、版本信息的不一定就是病毒，正常的文件多得不计其数，很多都没有保留这些信息；而病毒伪造一个版本信息是很容易的； lqqk7 最后编辑于 2010-02-04 15:09:39
DragonKid 自信弱冠狮帖子:496 注册: 2009-12-31 来自:

ty88 卡卡反病毒小组帖子:979 注册: 2007-07-12 来自:	发表于： 2010-02-04 12:39 \| 短消息资料字号：小中大 18楼回复 3F 小傻大呆的帖子参见http://tieba.baidu.com/f?kz=332897888
ty88 卡卡反病毒小组帖子:979 注册: 2007-07-12 来自:

ty88 卡卡反病毒小组帖子:979 注册: 2007-07-12 来自:	发表于： 2010-02-04 12:48 \| 短消息资料字号：小中大 19楼回复 8F greenwheat 的帖子 1文件没找到 2HOOK 函数GetCurrentThread 3一般比较可疑 4程序启动的一个参数不用理他 5同时启动2个程序，前后并列启动 6一般安全，部分文件特殊处理后可以通过这一项但是现在应用较少 7多种途径结合，这个没法教 8同上
ty88 卡卡反病毒小组帖子:979 注册: 2007-07-12 来自:

ty88 卡卡反病毒小组帖子:979 注册: 2007-07-12 来自:	发表于： 2010-02-04 12:49 \| 短消息资料字号：小中大 20楼回复 9F Iris1011 的帖子那表示不存在AUTORUN.INF和隐藏进程
ty88 卡卡反病毒小组帖子:979 注册: 2007-07-12 来自:

<<上一主题|下一主题>>

2 / 6 页

跳转页

页面顶部

Powered by Discuz!NT