教你怎样分析SREng 日志的方法

系统分析是一项纷繁复杂的工作，需要大胆和心细（例如注意数字 1 和字母l的微小的区别，字母o p q的o与数字0 1 2的0的区别等等），刚开始学习的朋友会感到有很多困难，要多借助搜索引擎（推荐google.com ！！！baidu.com就算了。不要跟我争这个)

要随时关注目前流行病毒的行情（例如看到rundll32.exe 基本上就可以判定是威金等）刚开始的时候可能会有困难，应静下心来好好研究，等你练到一目N行的时候，基本上就略有小成了。经验的积累也十分的重要！  

跟大家一起探讨。 （崔衍渠）
一、SREng     启动项目 注册表 分析方法

对应的注册表位置在log中可以看到
熟悉常见项，主要包括输入法、音频视频应用程序、杀毒软件、安装的应用软件等
每个进程后有公司名属性，可以辅助辨别
对于不确认的进程 google

[HKEY_CURRENT_USER\tware\Mrosoft\Windows\CurrentVersion\Run]
[HKEY_AL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx]
以上需要具体分析
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
      <load><>     []
      <run><>     []
以上2个位置 如果加载了进程,通常是问题项
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
\Run]
以上2个位置 如果加载了进程,通常是问题项
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
      <shell><Explorer.exe>     [Microsoft Corporation]
      <Userinit><C:\WINDOWS\system32\userinit.exe,>     [Microsoft Corporation] 逗号不可省略。
如果是NT系统（如win2000），相应路径为 C:\WINNT 不再累述。

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
      <Apit_DLLs><>     []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
      <UIHost><logonui.exe>     [Microsoft Corporation]
以上4个位置如果和默认的有区别,通常是可疑项
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExec
uteHooks]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTas
kScheduler]
以上3个位置如果有加载项(除了第二个位置加载瑞星防病毒软件),通常是问题项