2010年7月13日 签到 实习生--cherish77
【Q&A】
1、相同版本的系统的dllcache文件夹的内容都相同吗？安装软件时会不会对这个文件夹中的文件内容进行修改啊？
===================以下内容为lqqk7回复==================不一定，首先系统版本相同，但不一定打过相同的补丁，微软每月都会发布新的安全补丁，每次打补丁涉及到系统文件的更改时都会同时应用的dllcache中；其次，目前多数人使用的是非常规授权的系统（就是盗版啦....）这些其中大量充斥着私人打包的版本，这些系统多多少少都进行过优化或精简，dllcache只是用来备份原始文件的，它的存在对于系统正常运行来说不是必须的，所以有些精简多度的系统会清空这个目录；还有一些垃圾文件清理工具，会将dllcache目录中的文件当作占用空间的垃圾清理掉。2、用SREng扫描自己的电脑，持续了很久都没扫描完
===================以下内容为lqqk7回复==================根据硬件环境和系统环境的不同，扫描用时从几分钟到十几分钟不等，时间太长肯定就不正常了，不排除有其他程序干扰扫描的可能性，可以将当前开启的其他程序关闭后再试，另外在运行SREng过程中如果安全软件出现拦截提示，应该选择允许或放行，只要你是官方下载的SREng，它是不会不经允许的做非法操作的；3、①请问一下，为什么在电脑中的日记记录的时候，要用环境变量呢，直接用我们熟悉的路径表示不是更好让人解读吗？
②用环境变量会提高系统的安全性吗？还是用环境变量可以提高系统的性能呢？
===================以下内容为lqqk7回复==================①不是日志要使用变量，而是系统或应用程序在运行时需要使用变量，比如某个软件运行时需要创建临时文件，直接使用“C:\Documents and Settings\Administrator\Local Settings\Temp”去创建行不行呢？绝大多数情况下下这样做没问题，因为现在大多数人都把系统装在C盘，但是对于双系统的人怎么办？开发者当然可以预先设置多个路径去适应不同情况，但是永远不可能考虑到所有可能出现的环境，也会造成代码冗余降低程序执行效率。比如一万个人中只有我一个人把系统装在c:\win目录下，那么此时如果软件试图在在c:\windows下创建文件，在我的电脑上就是行不通的，因为我没有这个目录，所以就要用到环境变量，%systemroot%在那9999个人的电脑上都代表C:\windows，而在我的电脑上%systemroot%则代表C:\win，这样就可以适应所以系统环境。
再举个通俗点的例子，老师需要每个班的男生都出列，那他可以有两种方案，一是把每个班的男生姓名都喊出来，二是直接喊“全体男生出列”，显然第二种方案效率更高。这时“全体男生”就可以看作是一个变量，在一班“全体男生”可能代表“小王、小李、小张、小孙....”，而到了二班“全体男生”就代表“小刘、小陈、小高、小董....”
②使用变量对于系统安全性没什么影响，但是会让程序适应不同的环境，提高执行效率； 4、想请问一下，在HOSTS中想免疫某一个恶意IP地址，那么是在那里修改呢？直接在分析助手里可以改吗？怎么去操作的？
===================以下内容为lqqk7回复==================hosts可以用来屏蔽恶意网站，但是不能用来屏蔽具体的页面网址，也不能屏蔽IP地址，他的格式是：
IP地址 域名
中间有空格分隔；
举个例子，有一个钓鱼网站域名为www.taoboa.com，这是可以这样屏蔽对他的访问：
127.0.0.1 www.taoboa.com
如果有一个正常的网站，域名为www.abcde.com，该网站的某一个页面被黑客挂马，页面地址为http://www.abcde.com/html/page.html，如果你想单独屏蔽这一个页面而不影响该站点其他页面的访问，hosts是做不到的，即只能这样写来屏蔽整站：
127.0.0.1 www.abcde.com
如果像下面这样写是没有作用的：
127.0.0.1 http://www.abcde.com/html/page.html
127.0.0.1 www.abcde.com/html/page.html
如果你想屏蔽IP，如202.106.0.20，即这样写：
127.0.0.1 202.106.0.20
实际是无效的
所以，如果你想单独屏蔽某个具体的网页，或IP，建议使用防火墙来实现！5、重启后EXE的文件关联又关联上了一个文件名随机的exe文件，而且这个文件重启前不存在。这是什么情况呢？
===================以下内容为lqqk7回复==================存在其他活体病毒在关机前（即用户已经选择了关机或重启后）或开机后重新创建随机文件名.exe，并修改.exe文件关联；
这里说的活体病毒可能是一个运行中的进程、服务、驱动、计划任务等等。6、平时我们用优盘的时候，很多人都说建一个autorun.inf文件在里面会防御病毒的攻击，这是为什么呢？病毒不就是利用系统中autorun.inf的自动播放性，来感染系统的吗？这样做为什么可以起到防御病毒的功效呢？
===================以下内容为lqqk7回复==================因为windows系统不允许同一目录下存在相同名称的两个或多个文件（文件夹），比如在c:\根目录下，已经存在了一个autorun.inf，无论它是一个文件还是文件夹，无论它的名称是大写还是小写，系统都不允许这里再有其他任何文件夹或文件夹命名为autorun.inf。正是利用这一点，通常在U盘中自行创建一个名为autorun.inf的文件夹，病毒就无法在这里创建同名的文件了！
但是实际上这样做的安全性并不高，对于早起的自动播放病毒来说可能有些成效，之后病毒也在不断改进，病毒可以把你创建的autorun.inf先删掉，然后再创建自己的autorun.inf，所以建议还是配合NTFS权限和杀毒软件来限制autorun.inf的创建更安全些！7、老师好～日志分析看的真实眼花缭乱啊，以下有几个问题:
①使用分析助手的时候，进程模块列表中的项目字体颜色不同，有的黑色有的红色，请问这代表什么？
②用SREngLog分析出来的日志中自启动项比运行msconfig看到的自启动项多的多，甚至一些早已卸载的程序都在其中，这是为什么？是不是因为没有清理注册表？而且之后我再运行一遍msconfig，发现所有自启动项前面都打了勾，这又是为什么？
③在自启动项中发现很多wlnotify.dll，在原始日志分析文本中如下：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\crypt32chain]
<WinlogonNotify: crypt32chain><crypt32.dll> [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cryptnet]
<WinlogonNotify: cryptnet><cryptnet.dll> [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cscdll]
<WinlogonNotify: cscdll><cscdll.dll> [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ScCertProp]
<WinlogonNotify: ScCertProp><wlnotify.dll> [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\Schedule]
<WinlogonNotify: Schedule><wlnotify.dll> [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\sclgntfy]
<WinlogonNotify: sclgntfy><sclgntfy.dll> [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\SensLogn]
<WinlogonNotify: SensLogn><WlNotify.dll> [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\termsrv]
<WinlogonNotify: termsrv><wlnotify.dll> [(Verified)Microsoft Windows Publisher]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\wlballoon]
<WinlogonNotify: wlballoon><wlnotify.dll> [(Verified)Microsoft Windows Publisher]
这些是什么程序？
④在驱动程序里看到如下两个文件：
\??\C:\WINDOWS\system32\npkycryp.sys
\??\C:\WINDOWS\system32\npkcrypt.sys
他们公司都为N/A，百度了下有的说是病毒，他们到底是什么呢？
===================以下内容为lqqk7回复==================①黑色进程标识没有加载模块，红色进程标识加载了其他模块；
②这是由于msconfig和SREng对禁用启动项的处理方式不同造成的；
首先msconfig只检查常规软件最常用的自启动注册表项，用msconfig禁用启动项时，其实并不是把这个启动项从注册表中彻底删除，而是把它从注册表原有位置删除，然后将这条启动项转存到[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SharedTools\MSConfig\startupreg]这样做的目的是在msconfig中仍能保存已经禁用的启动项，以备误操作时恢复。而SREng检查的启动项除了msconfig检测的位置外，还有其他很多常规软件可能不常用，但经常被病毒使用的启动项，所以SREng扫出的启动项比msconfig要多，是因为它的检测面更广泛；当使用SREng禁用启动项时，也不是将其删除，而是采取在注册表键值前加分号的方式使路径失效。并且SREng在检测启动项时也会检测msconfig已经禁用的项目（即[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg]），并且把已经被msconfig禁用的项恢复到原有位置，然后再在它的键值前加入分号使路径无效。于是，当你使用SREng检测过启动项之后，再次使用msonfig查看启动项时就会发现，之前禁用的项又被勾选，但是路径前面会多出一个分号！
③这里加载的都是一些需要在系统登陆或注销时运行的程序；
④这两个文件是nProtect键盘加密保护程序，用于防止键盘输入密码时被木马记录，在老版本的QQ中有使用过，还有一些网游也会使用，但是不排除会有病毒伪装的可能性，可以备份后将其删除，这样如果网游登陆时出错可以恢复，也可以提取文件上报反病毒厂商分析
8、lqqk7老师，再请教您几个问题：
①在日志注册表项目中，如出现：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File
Execution Options\]就一定表明中了IFEO的劫持吗？
②在日志的浏览器加载项部分，有下面两项：
[]
{95B3F550-91C4-4627-BCC4-521288C52977} <, >
[]
{9701758C-4373-482E-B13C-776C048EC890} <, >
不知这两项是否是正常的文件？
===================以下内容为lqqk7回复==================①不一定，系统默认就有这个项，具体是否被病毒利用，需要看其下的子项；
②这样的加载项可能是某些软件创建的CLSID，也可能是用来免疫某个恶意插件的，一般没什么问题9、
老师，我还有个问题。如果有病毒依附autorun.inf。我们把autorun.inf删掉，那正常的依附于该文件运行的程序不也就没法运行了吗？不能通过同时修改该文件和配置文件来只禁止病毒文件的运行吗？
===================以下内容为lqqk7回复==================可以，但是必要性不大，首先说系统默认状态下在磁盘中不会出现autorun.inf，他也不是系统运行所必须的，除非你希望双击盘符不打开磁盘，而是自动运行你指定的某个程序，有这种需求的人应该不多。而且还有一个前提，就是首先要把病毒主体干掉，因为大多数此类病毒如果还在运行，无论你是删除还是修改autorun.inf，病毒都会在重建该文件的 10、老师，我记得之前有一阵子好像可以通过HOSTS修改来访问被屏蔽的utube之类的网站，这是什么原理呢？而且后来这种方法失效了，又是怎么回事啊？
===================以下内容为lqqk7回复==================youtube这种访问量巨大的网站通常不可能只有一台服务器和一条线路，肯定有多台服务器和多条稳定的线路来分担其庞大的流量，且DNS还具备智能分配最优线路的功能，大致原理是这样的：
假设youtube有3条线路，ip分别为1.1.1.1，2.2.2.2，3.3.3.3；
当用户访问www.youtube.com时，DNS首先获取用户线路，将中国用户分配到1.1.1.1，英国用户分配到2.2.2.2，美国用户分配到3.3.3.3；
当1.1.1.1被GFW屏蔽后，中国用户就无法访问youtube了；
此时可以通过hosts强制将www.youtube.com解析到2.2.2.2或3.3.3.3，这样只要这两个IP没有被屏蔽，就可以正常访问了，只是访问速度可能比DNS只能解析的线路要慢一些。11、①注册表中的键值IsInstalled、Locale、ComponentID、CloneUser的用途？
②请问Adobe LM Service是什么服务？
③请问[PID: 3472 / s][D:\iSpeak6.5\TipWnd.exe] [, 1, 0, 0, 1]中的TipWnd.exe是什么程序？
===================以下内容为lqqk7回复==================①具体指的是在什么位置下的键值呢？不同的注册表项下的键值名有时虽然相同，但作用却有所不同；通常IsInstalled用来标识一个组件是否已在本机安装，Locale通常用来标识区域语言，ComponentID标识组件名称，CloneUser不太清楚；
②是Adobe公司相关软件的激活验证服务，是很多adobe软件的必备组件，比如photshop，如果该服务工作不正常可能会造成软件不能激活；
③首先可以确定不是系统程序，应该是用户自行安装的第三方软件，最简单的方法就是打开安装目录，即D:\iSpeak6.5，一款正规的软件通常会带有版本更新日志或帮助说明文档，进入目录打开一看便知，另外也可以直接搜索iSpeak，可知是一款语音聊天软件
12、请问老师，删除加载在系统文件上的dll病毒文件时，是否需要结束对应的系统进程？如果需要的话，影响到系统运行该怎么办？
===================以下内容为lqqk7回复==================首先确定进程是什么，如果是病毒进程，当然可以结束掉之后再处理，这对系统不会有什么影响；
如果是系统进程，尤其是一些核心进程，在不能结束的前提下，可以尝试使用各种辅助工具来处理，比如利用工具先将进程中的病毒模块移除，或者用暴力删除工具直接干掉文件； 13、[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
<Userinit><C:\WINDOWS\System32\userinit.exe,,"D:\HFEE\SVOHOST.EXE" un userinit.exe> [File is missing]
我们就直接去[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]，找到Userinit，他是个键值吗？我们要把它改为改成c:\windows\system32\userinit.exe，是把<C:\WINDOWS\System32\userinit.exe,,"D:\HFEE\SVOHOST.EXE" un userinit.exe> [File is missing]全部修改为c:\windows\system32\userinit.exe吗？不太明白，请老师指点~谢谢
===================以下内容为lqqk7回复==================对注册表操作很熟悉的话，可以到注册表中直接操作，但是如果是在论坛帮助别人分析日志的话，一般不能直接确定对方是否具备这种能力。所以推荐使用更安全简便的第三方工具辅助操作，比如SREng本身就具备这样的功能，可以直接删除、编辑启动项。
修改userinit的值指的是将其值改为
c:\windows\system32\userinit.exe,
注意后面的逗号不能少！
更改之后再次扫描日志，日志是这样体现的：
<Userinit><C:\WINDOWS\system32\userinit.exe,> [(Verified)Microsoft Windows Component Publisher] 14、正在运行的进程
[PID: 1260 / s][D:\HFEE\SVOHOST.EXE] [, 3000.0.0.0]
这个有问题，是不是因为D:\HFEE\SVOHOST.EXE？默认路径是在c:\windows\SVOHOST.EXE
===================以下内容为lqqk7回复==================文件名伪装系统文件，这一点很可疑，且系统正常的文件名为svchost.exe，路径为c:\windows\system32\svchost.exe 15、关于数字签名，不知道病毒能不能伪装成经过数字签名的文件，如果能的话，那数字签名的效果又体现在什么情况下呢？
===================以下内容为lqqk7回复==================
可以伪造，但是有难度，大多数病毒不会这样做，而且伪造的签名表面看上去没问题，但是查看详细信息会显示为无效签名，也不会通过SREng的签名验证，很容易识破；
感染正常的带有合法签名的文件时，刻意不去破坏文件中的数字签名信息（可以实现，但也有难度，多数病毒不具备这样的能力），这种情况下签名仍是原有的合法签名，但是文件的哈希值会发生变化，相对来说也是比较容易识破的；
盗用合法商业软件的签名文件，这是最难识破的，因为病毒作者可以直接把病毒主体加上合法签名，想对比哈希值也没有参考值，但是这种情况发生的几率很小了，获得了合法签名的公司一定会严密保管的，想得到它就像得到商业机密那样难，且在我国数字签名是被立法保护的，盗用需承担的风险比单独制造传播病毒更高。【PS】昨天中期没来得及看，今天补上~~O(∩_∩)O谢谢lqqk7老师，辛苦皮班~~
继续努力学习~~Good good study，day day up！！！
