【2013/10/04】系统扫描（BRP）2.0 by hez2010 大更新

hez2010

类似于sreng的扫描工具，由于系统命令处理程序（cmd.exe）无法对系统底层进行操作，因此无法提供驱动的扫描。

可以根据扫描结果对系统进行分析。

请以管理员权限运行，打开程序扫描就开始。

扫描中途建议不要退出程序。

支持扫描的项目：

关键注册表
文件关联【新版本增强】
服务【新版本增强】
进程【新版本增强】
启动项
已安装软件【新版本增强】
系统信息
Hosts 文件
Winsock
IEFO 劫持项
安全模式
端口【新版本增强】
系统文件


扫描完毕后生成报告：BRP扫描报告_年月日-时分秒.log

注意：请解压后使用，不然部分组件会出错！

扫描页面简洁，界面欣赏：


更新日志：
【2013/04/13】内测 0.1
1、新增已安装软件扫描。

【2013/04/22】内测 0.2
1、对注册表相关扫描进行智能排版。

【2013/04/27】内测 0.3
1、增加系统信息扫描。

【2013/04/29】1.0
1、升级为正式版。
2、自动剔除一些报告中不必要的信息。

【2013/05/01】1.1
1、解决管理员运行闪退问题。
2、新增端口（活动网络连接）扫描。

【2013/05/14】1.2
1、修复BUG若干。
2、新增诊断工具(扫描结束后出现,目前仅添加进程管理)。
3、添加扫描时间在报告中。
4、报告不会再次覆盖。
5、部分地方可使用鼠标操作。
6、添加外置程序支持（鼠标支持、选项支持）。

【2013/10/04】2.0
1、去除鼠标支持，进一步支持x64系统以及windows 8系统
2、新增对扫描内容的分析，部分模块的扫描速度可能变慢
3、新增指定扫描模块调用功能（暂不开放调用接口）
4、新增扫描数量统计

猛击此处下载： 系统扫描_BRP 2.0.zip (4.3 KB, 下载次数: 1366)

2013-10-4 20:14 上传

点击文件名下载附件

使用帮助、报告格式及示例：

1、注册表扫描（包括关键注册表、启动项、IEFO 劫持项、安全模式）

通过扫描这些项目，可帮助及时发现系统异常，并及时采取措施

示例：

1. 
   
2. [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   
3. NoDriveTypeAutoRun    REG_DWORD    0xb5
   
4. 
   
5. [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
   
6. NoLowDiskSpaceChecks    REG_DWORD    0x1

复制代码

[***]中间为注册表路径，跟在下面的为内容：

名称         类型        键值

2、进程扫描

使用新版本可以很快发现我们对进程信息进行了归纳处理，同时也能获取进程路径了，但这也便大大减慢了扫描速度，因此一定要耐心等待，可能会长达10分钟不等（因人而异），通过扫描此项可以发现系统中的异常进程

示例：

1. 映像名称: csrss.exe
   
2. PID     : 664
   
3. 会话名  : Console
   
4. 会话#   : 1
   
5. 内存使用: 11,972 K
   
6. 状态    : Unknown
   
7. 用户名  : NT AUTHORITY\SYSTEM
   
8. CPU 时间: 0:00:07
   
9. 窗口标题: 暂缺
   
10. 命令行  : %SystemRoot%\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,12288,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=sxssrv,4 ProfileControl=Off MaxRequestThreads=16  
    
11. 
    
12. 文件路径: D:\Windows\system32\csrss.exe  
    
13. 
    
14. 服务    : 暂缺
    
15. 模块    : 暂缺

复制代码

3、Winsock

显示Winsock信息，及时发现异常。

一般情况下，如果Winsock 目录提供程序项的提供程序路径不是一下文件的任意一项，就可以判断为异常，当然部分（如江民相关项、vmware相关项）不能这样简单判断。

%SystemRoot%\system32\mswsock.dll
%SystemRoot%\system32\rsvpsp.dll
%SystemRoot%\system32\msafd.dll
%SystemRoot%\system32\ws2_64.dll

修复方法：

1、使用专业修复工具修复
2、使用重置命令：netsh winsock reset

示例：

1. 
   
2. 扫描项目: Winsock
   
3. 
   
4. Winsock 目录提供程序项
   
5. ------------------------------------------------------
   
6. 项类型:                             基本服务提供程序
   
7. 描述:                               RSVP UDP 服务提供商
   
8. 提供程序 ID:                        {9D60A9E0-337A-11D0-BD88-0000C082E69A}
   
9. 提供程序路径:                       %SystemRoot%\system32\mswsock.dll
   
10. 目录项 ID:                          1030
    
11. 版本:                               2
    
12. 地址族:                             2
    
13. 最大地址长度:                       16
    
14. 最小地址长度:                       16
    
15. Socket 类型:                        2
    
16. 协议:                               17
    
17. 服务标志:                           0x22609
    
18. 协议链长度:                         1
    
19. 
    
20. 命名空间提供程序项
    
21. ------------------------------------------------------
    
22. 描述:                               电子邮件命名填充提供程序
    
23. 提供程序 ID:                        {964ACBA2-B2BC-40EB-8C6A-A6DB40161CAE}
    
24. 命名空间:                           37
    
25. 活动:                               1
    
26. 版本:                               0
    

复制代码

4、Hosts 文件
直接读取系统Hosts 文件并显示，及时发现Hosts 文件异常

示例：

1. 
   
2. 扫描项目: Hosts 文件
   
3. 
   
4. # Copyright (c) 1993-2009 Microsoft Corp.
   
5. #
   
6. # This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
   
7. #
   
8. # This file contains the mappings of IP addresses to host names. Each
   
9. # entry should be kept on an individual line. The IP address should
   
10. # be placed in the first column followed by the corresponding host name.
    
11. # The IP address and the host name should be separated by at least one
    
12. # space.
    
13. #
    
14. # Additionally, comments (such as these) may be inserted on individual
    
15. # lines or following the machine name denoted by a '#' symbol.
    
16. #
    
17. # For example:
    
18. #
    
19. #      102.54.94.97     rhino.acme.com          # source server
    
20. #       38.25.63.10     x.acme.com              # x client host
    
21. 
    
22. # localhost name resolution is handled within DNS itself.
    

复制代码

5、系统信息
列举系统信息
示例：

1. 扫描项目: 系统信息
   
2. 
   
3. 
   
4. 主机名:           *****
   
5. OS 名称:          Microsoft Windows 8 专业版(含 Media Center)
   
6. OS 版本:          6.2.9200 暂缺 Build 9200
   
7. OS 制造商:        Microsoft Corporation
   
8. OS 配置:          独立工作站
   
9. OS 构件类型:      Multiprocessor Free
   
10. 注册的所有人:     hez2010
    
11. 注册的组织:      
    
12. 产品 ID:          *****
    
13. 初始安装日期:     2012/12/19, 22:51:57
    
14. 系统启动时间:     2013/4/29, 19:23:24
    
15. 系统制造商:       *****
    
16. 系统型号:         *****
    
17. 系统类型:         *****
    
18. 处理器:           安装了 1 个处理器。
    
19.                   [01]: x64 Family 6 Model 23 Stepping 10 GenuineIntel ~2603 Mhz
    
20. BIOS 版本:        *****
    
21. Windows 目录:     C:\Windows
    
22. 系统目录:         C:\Windows\system32
    
23. 启动设备:         \Device\HarddiskVolume1
    
24. 系统区域设置:     zh-cn;中文(中国)
    
25. 输入法区域设置:   zh-cn;中文(中国)
    
26. 时区:             (UTC+08:00)北京，重庆，香港特别行政区，乌鲁木齐
    
27. 物理内存总量:     ***** MB
    
28. 可用的物理内存:   ***** MB
    
29. 虚拟内存: 最大值: ***** MB
    
30. 虚拟内存: 可用:   ***** MB
    
31. 虚拟内存: 使用中: ***** MB
    
32. 页面文件位置:     C:\pagefile.sys
    
33. 域:               WORKGROUP
    
34. 登录服务器:       \\*****
    
35. 修补程序:         安装了 11 个修补程序。
    
36.                   [01]: KB2712101_Microsoft-Windows-CameraCodec-Package
    
37.                   [02]: KB2727528
    
38.                   [03]: KB2729462
    
39.                   [04]: KB2736693
    
40.                   [05]: KB2737084
    
41.                   [06]: KB2742614
    
42.                   [07]: KB2742616
    
43.                   [08]: KB2750149
    
44.                   [09]: KB2751352
    
45.                   [10]: KB2753842
    
46.                   [11]: KB2756872
    
47. 网卡:             安装了 1 个 NIC。
    
48.                   [01]: Marvell Yukon 88E8056 PCI-E Gigabit Ethernet Controller
    
49.                       连接名:      以太网
    
50.                       启用 DHCP:   是
    
51.                       DHCP 服务器: 255.255.255.255
    
52.                       IP 地址
    
53.                         [01]: 169.254.237.92
    
54.                         [02]: fe80::5d28:cf4:4423:ed5c
    
55. Hyper-V 要求:     虚拟机监视器模式扩展: 是
    
56.                   固件中已启用虚拟化: 是
    
57.                   二级地址转换: 否
    
58.                   数据执行保护可用: 是

复制代码

6、服务：

示例：

1. 
   
2. 扫描项目: 服务
   
3. 
   
4. 服务名称           :  SessionEnv
   
5. 显示名称           :  Remote Desktop Configuration
   
6. TYPE               : 20  WIN32_SHARE_PROCESS  
   
7. STATE              : 4  RUNNING
   
8. (STOPPABLE, NOT_PAUSABLE, IGNORES_SHUTDOWN)
   
9. WIN32_EXIT_CODE    : 0  (0x0)
   
10. SERVICE_EXIT_CODE  : 0  (0x0)
    
11. CHECKPOINT         : 0x0
    
12. WAIT_HINT          : 0x0
    
13. 
    

复制代码

7、系统文件
树形枚举%Systemroot%\System32下文件及目录，方便查找文件、发现可疑文件

示例：

1. 
   
2. 扫描项目: 系统文件
   
3. 
   
4. C:\WINDOWS\SYSTEM32
   
5. │  aaclient.dll
   
6. │  accessibilitycpl.dll
   
7. │  ACCTRES.dll
   
8. │  acledit.dll
   
9. │  aclui.dll
   
10. │  acppage.dll
    
11. │  acproxy.dll
    
12. │  ActionCenter.dll
    
13. │  ActionCenterCPL.dll
    
14. │  ActionQueue.dll
    
15. │  activeds.dll
    
16. │  activeds.tlb
    
17. │  actxprxy.dll
    
18. │  adhapi.dll
    
19. │  adhsvc.dll
    
20. │  AdmTmpl.dll
    
21. │  adprovider.dll
    
22. │  adrclient.dll
    
23. │  adsldp.dll
    
24. │  adsldpc.dll
    

复制代码

8、端口
帮助及时发现可疑网络链接，此处不作示例。新版本中新增了对pid所在进程名称的注明

9、文件关联
扫描系统的文件打开方式，及时发现系统异常
示例：

1. .txt
   
2. 
   
3. [HKEY_CLASSES_ROOT\.txt]
   
4. (默认)    REG_SZ    txtfile √ 正常
   
5. PerceivedType    REG_SZ    text
   
6. Content Type    REG_SZ    text/plain
   
7. 
   
8. [HKEY_CLASSES_ROOT\.txt\OpenWithProgids]
   
9. VisualStudio.txt.12.0    REG_SZ   
   
10. 
    
11. [HKEY_CLASSES_ROOT\.txt\PersistentHandler]
    
12. (默认)    REG_SZ    {5e941d80-bf96-11cd-b579-08002b30bfeb}
    
13. 
    
14. [HKEY_CLASSES_ROOT\.txt\ShellNew]
    
15. NullFile    REG_SZ   
    
16. ItemName    REG_EXPAND_SZ    @%SystemRoot%\system32\notepad.exe,-470

复制代码

可以看到，新版本增加了对文件关联是否正常的检测

10、已安装软件
与以前版本不同的是，新版本变得大众化，不再是注册表数据，而是经过解析以后的数据，方便用户查看处理，即使是小白也知道那是什么

示例：

1. 软件名称: 屏幕录像专家 LXE播放器 V2013 Build0528
   
2. 卸载方式: "D:\Program Files\tlxsoft\屏幕录像专家 LXE播放器\unins000.exe"
   
3. 出品公司: tlxsoft
   
4. 关于信息: http://www.tlxsoft.com
   
5. 帮助链接: http://www.tlxsoft.com
   
6. 更新信息: http://www.tlxsoft.com
   
7. 安装日期: 20130927

复制代码

当然有一些奇怪的软件注册表信息完全就是乱的，因此获取出来的顺序不一定相同，但都是准确的

E剑忠晴

沙发支持了

天原

期待不断完善

mengld

sreng对x64的启动项扫描不完整，很想知道这个在x64下，能不能完美使用？

hez2010

mengld 发表于 2013-4-29 22:12
sreng对x64的启动项扫描不完整，很想知道这个在x64下，能不能完美使用？

应该是可以的，我测试了从XP到windows8 x32，至于x64应该通吃，如有问题我会后续完善，这个工具相比sreng启动项扫描多了10个扫描点

本程序扫描点：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceSetup
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnceSetup
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\Shell
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\Shell
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\System\Scripts
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System\Scripts

sreng好像只扫描：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

rmbgold

32位程序访问64位系统的HKEY_LOCAL_MACHINE\SOFTWARE会重定，所以才导致sreng不准

hez2010

【2013/05/01】1.1
1、解决管理员运行闪退问题。
2、新增端口（活动网络连接）扫描。

E剑忠晴

更新很快呀，继续努力

2076

期待不断完善，支持

hst2008

不错的工具，留给脚印