如何看懂360诊断报告--------360诊断报告关键部分详解

JBD

如何看懂360诊断报告--------360诊断报告关键部分详解
360诊断报告关键部分详解



本文特别感谢360论坛会员高桥凉水的支持，此文有删改。

o2 - 低危险 - BHO: (CnsHook Class) - [网络实名] - {D157330A-9EF3-49F8-9A67-4141AC41ADD4} - C:\WINDOWS\DOWNLO~1\CnsHook.dll

O4 - 高危险 - HKLM\..\Run: [CnsMin] [雅虎助手相关程序。] Rundll32.exe C:\WINDOWS\DOWNLO~1\CnsMin.dll,Rundll32

O4 - 高危险 - HKLM\..\Run: [helper.dll][怀疑为恶意程序或病毒，请使用杀毒软件进行查杀。] C:\WINDOWS\system32\rundll32.exeC:\PROGRA~1\3721\helper.dll,Rundll32

日志中若出现标示为 高危险 或 低危险的项，推荐您使用全面诊断予以修复。

若修复不成功，可以使用粉碎机按照路径粉碎如上路径中的文件。

如上面的几个文件，可以删除了的文件为：

C:\WINDOWS\DOWNLO~1\CnsHook.dll

C:\WINDOWS\DOWNLO~1\CnsMin.dll

C:\PROGRA~1\3721\helper.dll（注意这一项！！是删除了C:\PROGRA~1\3721\helper.dll这个文件，而不是删除了C:\WINDOWS\system32\rundll32.exe这个，C:\WINDOWS\system32目录下的rundll32.exe是正常的系统文件，其他目录下的rundll32.exe则十有八九是病毒文件）

若文件已经不存在，可用“360高级----启动项状态”删除无用启动项。

---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

100 - 未知 - Process: 9.exe [] - C:\Program Files\WindowsUpdate\9.exe

100 - 未知 - Process: winlog0n.exe [] - C:\WINDOWS\winlog0n.exe

100 - 未知 - Process: QQ.exe [QQ] - D:\QQ\QQ.exe

360日志隐藏了系统的安全进程，而对未知的进程进行了记录显示，如上，遇到未知的进程，是我们必须特别注意的地方。上面的三个进程我们可以判断出：

C:\Program Files\WindowsUpdate\9.exe

C:\WINDOWS\winlog0n.exe

这两个为恶意文件，必须给于删除，而D:\QQ\QQ.exe则为正常的QQ的程序文件，在这里有个小技巧可以提高你看日志的速度，就是一般我们只需要注意在系统盘下的进程，其他盘的进程一般不必留意，除非你把系统的临时文件夹目录移动到了其他盘中，那才需要考虑。

---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

O1 - 未知 - Host: 58.215.65.136 www.hyap98.com

O1 - 未知 - Host: 58.215.74.70 my.dianz.cn

360对Host文件也进行了扫描，并对修改了的HOST文件进行了记录，如上，如果你发现了解析的地址象上面一样，指向了一个陌生的IP地址，而非你自己编辑HOSTS文件的话，那就很可能是病毒修改了定向，强迫你上他指定的网站。（一些免疫程序会写host并定向为127.0.0.1 这是安全的）

解决办法很简单：

1、打开360--修复--勾选恢复HOSTS文件为默认状态--立即修复即可

---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

O4 - 未知 - HKLM\..\Run: [mppds] [] C:\WINDOWS\mppds.exe

O4 - 未知 - HKLM\..\Run: [Snewpeek] [] C:\Program Files\WindowsUpdate\9.exe

HKLM\..\Run：系统的自启动项一直是大部分木马恶意程序的必争之地，这里需要你自己判断，一般除了CTFMON.exe、杀软、显卡和声卡驱动，其他的建议都不要让其自启动。

解决办法：

打开360--高级--启动项状态，把不用的禁用。

---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

O22 - 未知 - Filename Extention: .hlp - winhlp32.exe %1

360对系统的文件关联错误也做了记录，若日志中出现以上提示，说明系统的文件关联出现了问题。

解决办法：

用360--修复--文件关联--立即修复

---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

O10 - 未知 - Winsock LSP: [] [{144323B7-20C3-4B5F-B2A5-1CD0D6996DBC}]C:\WINDOWS\system32\idmmbc.dll

O10 - 未知 - Winsock LSP: [] [{179619BA-DEEB-4436-ABAF-82EEAF2F3816}]C:\WINDOWS\system32\idmmbc.dll

网络协议绑架，这个要判断后面的文件是否安全，有些杀毒软件通过绑架来达到对网络的监控，如果你查出文件不是杀软的话，那九成是有问题了

解决办法：

1、删除了后面那个文件，再打开360--修复--修复LSP连接

---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

O23 - 未知 - Service: NetSys [管理系统网络连接，您可以查看系统网络连接。] - C:\WINDOWS\system32\NetSys.exe

O23 - 未知 - Service: RsCCenter [Rising Process Communication Center] - "E:\Program Files\Rising\Rav\CCenter.exe" - (running)

O23 - Service: 服务启动项。

现在很多病毒文件开始看好这块地方，360日志列出的一般是非windows数字签名服务，这里出现的服务也要注意，不要被他的中文解释或文件名欺骗了。

解决办法：

1、用360文件粉碎机，删除掉服务的文件。如第一个的 C:\WINDOWS\system32\NetSys.exe需要删除，而第二个则是瑞星的服务，是安全的。

2、360——工具——系统服务状态，选中后进行修复

（小提示：不懂的服务，可以去网上搜索文件路径。）





---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

100 - 安全 - Process: smss.exe[进程为会话管理子系统用以初始化系统变量，ms-dos驱动名称类似lpt1以及com，调用win32壳子系统和运行在windows登陆过程。]- C:\WINDOWS\System32\smss.exe

这一类的标示安全的一般可以跳过不看，但也不可以掉以轻心，比如机器狗之类恶意木马会替换系统文件路径 达到混淆视听的目的。

---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

O40 - Explorer.EXE - - C:\WINDOWS\DOWNLO~1\CnsMin.dll - -

O40 - Explorer.EXE - 北京三七二一科技有限公司 - C:\WINDOWS\DOWNLO~1\CnsHook.dll - 3721 CNS Module - 6d6a7a32cb01b8c41a41d61c7539cad3

O40 - Explorer.EXE - Thunder NetworkingTechnologies,LTD - C:\Program Files\ThunderNetwork\Thunder\ComDlls\XunLeiBHO_002.dll - XunLeiBHO -8915c81b9c015cf5571fad917a614a85

O40 -敏感进程模块信息。

现在的木马和高级点的流氓软件为了达到隐藏自身、加大删除难度、高权限高优先级启动的目的而把文件注入到系统某些关键进程中，变成了系统进程的一部分。这是障眼法。

判断技巧：

1、查看其自身描述，一般没有任何描述信息的最可疑，应该优先考虑他是否有问题

2、有了描述也不一定就没问题，象第二个，很清楚地用中文自身描述，却是恶意软件网络实名。

3、第三个安全的，是讯雷的加载项，当然也是可以删除的。

4、自身描述任何人都可以写，具有不可靠性，不可全信 但做参考。

---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

O41 - kdkgna - sys 应用程序 -C:\WINDOWS\system32\drivers\kdkgna.sys - (running) - sys 应用程序 -北京三七二一科技有限公司 - c096dc989756c7d6a57f3fdc9bc3b9cf

O41 - msnet - msnet - C:\WINDOWS\system32\drivers\msnet.sys - (running) - - - 89a990c58656697bf71e756d746b6d2a

O41 - klif - spuper-ptor - C:\WINDOWS\system32\drivers\klif.sys -(running) - spuper-ptor - Kaspersky Lab -2985985b39e13643f941b6396fb915dd

O41 - NPF - npf -C:\WINDOWS\system32\drivers\npf.sys - (not running) - npf - CACETechnologies - d21fee8db254ba762656878168ac1db6

O41 - 现在很多木马流氓软件采取了驱动（sys文件），使得自身的生命力更强大，反安全软件能力更强，反侦查，反删除，最高优先级启动。

如第一、二个等，都是需要删除的文件，这个也要靠自己的知识库去判断，而第三个则是卡巴的驱动程序。 同样，这里的自身描述也具有不可靠性，需要自己多加判断和网上搜索。

驱动的删除比较困难，一般建议使用360文件粉碎机。



---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

经验之谈：

为了让你加快看日志的速度，写多几点小经验：

1、记住一些常见的进程，比如一些杀软的进程名，还有就是一些程序的安装目录名，都是可以帮助你快速过滤掉正常的文件的。

2、报告中任何标示的是(not running)的，一般可以忽略不看，标示不在运行中或实际文件已经不存在。 若等到如果你反复查杀还是老出问题的话再考虑他。

3、碰到不知道是什么东西的文件，用百度搜索一下，百度搜索不到的直接砍了，即使是砍错了也最多是一些偏僻或新出的软件，最多重装下软件。系统干净最重要，要保险点可以先备份了文件再删。

4、经常使用“求助”“导出诊断报告”功能,查看系统是否干净。

JBD

收益不少啊