版主或高手进来看看这个状况，小弟不懂怎样排除！

davidluoyes

2008/8/28    21:26:01    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\system32\consent.exe    \REGISTRY\MACHINE\System\CurrentControlSet\Services\Tcpip\Parameters    用户定义的规则:【注册表网络类】禁止更改网络，第3个键值    已阻止的操作: 创建
2008/8/28    21:26:11    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\system32\consent.exe    C:\Program Files\desktop.ini    用户定义的规则:【系统文件保护类】禁止在PROGRAM生成文件，但不影响安装程序创建目录    已阻止的操作: 读取
2008/8/28    21:26:25    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\System32\svchost.exe    \REGISTRY\MACHINE\SYSTEM\CurrentControlSet\Services\Ecache\Parameters\ReadyBootStats    通用最大保护:禁止将程序注册为服务    已阻止的操作: 创建
2008/8/28    21:26:25    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\System32\svchost.exe    \REGISTRY\MACHINE\SYSTEM\CurrentControlSet\Services\Ecache\Parameters    通用最大保护:禁止将程序注册为服务    已阻止的操作: 创建
2008/8/28    21:26:28    已由访问保护规则禁止     David-PC\David    C:\Windows\Explorer.EXE    \REGISTRY\MACHINE\System\CurrentControlSet\Services\NapAgent\Shas    通用最大保护:禁止将程序注册为服务    已阻止的操作: 创建
2008/8/28    21:26:28    已由访问保护规则禁止     David-PC\David    C:\Windows\Explorer.EXE    \REGISTRY\MACHINE\System\CurrentControlSet\Services\NapAgent\Qecs    通用最大保护:禁止将程序注册为服务    已阻止的操作: 创建
2008/8/28    21:26:46    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\System32\svchost.exe    \REGISTRY\MACHINE\SYSTEM\CurrentControlSet\Services\Ecache\Parameters\DiskAssessment    通用最大保护:禁止将程序注册为服务    已阻止的操作: 创建
2008/8/28    21:26:46    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\System32\svchost.exe    \REGISTRY\MACHINE\SYSTEM\CurrentControlSet\Services\Ecache\Parameters    通用最大保护:禁止将程序注册为服务    已阻止的操作: 创建
2008/8/28    21:26:49    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\system32\SearchFilterHost.exe    C:\Program Files\desktop.ini    用户定义的规则:【系统文件保护类】禁止在PROGRAM生成文件，但不影响安装程序创建目录    已阻止的操作: 读取
2008/8/28    21:26:49    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\system32\SearchProtocolHost.exe    C:\Program Files\desktop.ini    用户定义的规则:【系统文件保护类】禁止在PROGRAM生成文件，但不影响安装程序创建目录    已阻止的操作: 读取
2008/8/28    21:31:43    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\system32\svchost.exe    C:\Windows\TEMP\selB23E.tmp    用户定义的规则:AD 禁止在本机执行可疑的TMP文件    已阻止的操作: 执行
2008/8/28    21:32:24    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\system32\svchost.exe    C:\Windows\SoftwareDistribution\Download\bb7743c79cb799855ece50f5de4b4f54\x86_microsoft-windows-smbserver-common_31bf3856ad364e35_6.0.6000.20709_none_02828ef32c16099f\srvnet.sys    用户定义的规则:FD 禁止在windows下创建可疑的SYS驱动    已阻止的操作: 创建
2008/8/28    21:32:56    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\system32\svchost.exe    C:\Windows\SoftwareDistribution\Download\d2d364f63c75f9533701b422dbc5c09c\x86_microsoft-windows-rmcast_31bf3856ad364e35_6.0.6000.16687_none_524810318afeff68\rmcast.sys    用户定义的规则:FD 禁止在windows下创建可疑的SYS驱动    已阻止的操作: 创建
2008/8/28    21:34:21    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\system32\svchost.exe    C:\Windows\SoftwareDistribution\Download\62706d644dacfc3ca8e64071d14bb3a8\x86_bth.inf_31bf3856ad364e35_6.0.6000.16682_none_700a06c9bea9b8da\bthenum.sys    用户定义的规则:FD 禁止在windows下创建可疑的SYS驱动    已阻止的操作: 创建
2008/8/28    21:35:54    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\system32\svchost.exe    C:\Windows\SoftwareDistribution\Download\6401cad506ceeabc21c0fd5d7734ece0\x86_microsoft-windows-tcpip_31bf3856ad364e35_6.0.6000.16627_none_5f90b964923d030a\tcpip.sys    用户定义的规则:FD 禁止在windows下创建可疑的SYS驱动    已阻止的操作: 创建
2008/8/28    21:36:02    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\system32\svchost.exe    C:\Windows\SoftwareDistribution\Download\c882c71a5dbe2a8234878d37b9afc4e4\x86_microsoft-windows-native-80211_31bf3856ad364e35_6.0.6000.16632_none_4d03fb3a91e27bd0\nwifi.sys    用户定义的规则:FD 禁止在windows下创建可疑的SYS驱动    已阻止的操作: 创建
2008/8/28    21:36:12    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\system32\svchost.exe    C:\Windows\SoftwareDistribution\Download\f935fd411b8d7e285dfafe4cc4ac2afa\x86_microsoft-windows-mediaplayer-core_31bf3856ad364e35_6.0.6000.16557_none_095474fd52156893\msdxm.ocx    用户定义的规则:FD 禁止在windows下生成可疑的OCX控件    已阻止的操作: 创建
2008/8/28    21:37:02    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\system32\svchost.exe    C:\Windows\SoftwareDistribution\Download\bb7743c79cb799855ece50f5de4b4f54\x86_microsoft-windows-smbserver-common_31bf3856ad364e35_6.0.6000.20709_none_02828ef32c16099f\srvnet.sys    用户定义的规则:FD 禁止在windows下创建可疑的SYS驱动    已阻止的操作: 创建
2008/8/28    21:37:08    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\system32\svchost.exe    C:\Windows\SoftwareDistribution\Download\d2d364f63c75f9533701b422dbc5c09c\x86_microsoft-windows-rmcast_31bf3856ad364e35_6.0.6000.16687_none_524810318afeff68\rmcast.sys    用户定义的规则:FD 禁止在windows下创建可疑的SYS驱动    已阻止的操作: 创建
2008/8/28    21:37:24    已由访问保护规则禁止     NT AUTHORITY\SYSTEM    C:\Windows\system32\svchost.exe    C:\Windows\SoftwareDistribution\Download\cef77bd1718837577a193a43395f0ebf\x86_microsoft-windows-win32k_31bf3856ad364e35_6.0.6000.16646_none_b6e7fd209d7b409d\win32k.sys    用户定义的规则:FD 禁止在windows下创建可疑的SYS驱动    已阻止的操作: 创建

davidluoyes

C:\Windows\system32\svchost.exe是不是排除这个绝对路径？

hanq

好像用的不是xp的吧！不了解

laoera

发帖前先百度，google一下。
EXPLORER.EXE最好不要排除，否则死得很惨。。其余的属于系统进程的用绝对路径。

深度扫描

楼上的块很厉害啊。。。。