【原创连载】学看 SRE 报告 ———— 第一讲.doc

【原创连载】学看 SRE 报告 ———— 第一讲?? 2007-12-07 08:28:29|??分类： S.R.E 专题 |??标签： |字号大中小?订阅 很早就想写，关于如何看SRE报告的文章。 只是这东西，我觉得不是用文字，就能完全表达清楚的。 做为教程的第一帖，我先讲一下SRE报告的“结构”。掌握了结构，大家就不会对满屏的英文，感到头疼了。 一。SRE报告整体结构说明 一份完整的 SRE 报告，分为如下 13 部分： 1. 注册表启动项目2. 启动文件夹3. 系统服务项目4. 系统驱动文件5. 浏览器加载项6. 正在运行的进程（包括进程模块信息）7. 文件关联8. Winsock 提供者9. Autorun.inf10.HOSTS 文件11.进程特权扫描12.API HOOK13.隐藏进程 其中，判断一台电脑，是否存在异常，主要是查看：1. 注册表启动项目3. 系统服务项目4. 系统驱动文件6. 正在运行的进程8. Winsock 提供者9. Autorun.inf10.进程特权扫描 在这次的教程中，我先讲解第一项：注册表启动项目， 的结构看法。 二。SRE报告——注册表启动项目，结构讲解 在任何一份SRE报告中，注册表启动项目，都有相同的结构，我下面随便举个例子： [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]??? Synchronization Managermobsync.exe /logon? [(Verified)Microsoft Windows 2000 Publisher] 第一行：[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] ，代表的是：这个启动项目，在注册表中的详细位置。 第二行：Synchronization Managermobsync.exe /logon? [(Verified)Microsoft Windows 2000 Publisher]，由三部分组成： 1. Synchronization Manager，这个项目，是指该启动项，在注册表中的名称。不同的启动项目，自然名称也不会相同。2. mobsync.exe /logon，这个项目，分两种情况： 对于（经过验证的）系统关键文件，SRE则直接列出该项目的文件名称，而不给出相应的详细路径。这种文件，一般在后面都会标有“(Verified)”，我后面解释。 对于普通文件，则会在这个项目中，给出详细的文件路径和名称，比如：c:\windows\system32\abc.exe 在我们这次的例子中，是满足：的。 3.[(Verified)Microsoft Windows 2000 Publisher]，这项代表：该文件，是否含有“公司签名认证” SRE这个软件，自身具备了对“系统关键文件”和一些“众所周知的软件的文件”（如：explorer.exe,winlogon.exe,userinit.exe等）的“验证检测”，凡是通过了检测的系统关键文件，SRE在公司名这里，都会标有：Verified，这个英文。 换个角度来说：在SRE报告中，凡是出现“Verified”这个英文的启动项目，都100％是正常的启动项目。 总结一下，在SRE报告的：注册表启动项目中，虽然条目有很多，但是，全部都遵守这个结构： 【启动项目的详细注册表位置】【启动项目的名称】【启动项目对应的文件的详细路径】【公司签名】 我们再来看个例子，大家对照着，看一下： [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]??? shellExplorer.exe? [(Verified)Microsoft Windows 2000 Publisher] 看完这两行，大家应该得到如下结论：●此启动项目名称：Shell●此启动项目对应文件： Explorer.exe●此启动项目在注册表中对应的位置：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon●公司签名：Microsoft Windows 2000 Publisher●是否经过SRE“验证”：是 （因为有Verified） 三。启动项目的“特例” 1. 咱们上面讲的，是标准的启动项目信息，有些文件的启动项目，稍微“拐了一个弯”，我们来看个例子，我再讲解： [HKEY_LOCAL_MACHINE\Softw