关于日志

显示全部楼层 · 发表于 2007-2-14 20:46:06

日志里一行经常会出现两个地址，排除时应该排除哪一个？后面一个似乎不是进程。。

显示全部楼层 · 发表于 2007-2-14 21:00:47

前一个是行为发起者, 后一个是行为目标
要排除的时候应该排除前一个

比如:
1092 AAA\bbb \??\C:\WINNT\system32\csrss.exe C:\Program File\McAfee\Common Framework\McTray.exe 通用标准保护: 防止终止McAfee进程

意思是 csrss.exe要终止 McTray.exe, 初犯了"通用标准保护: 防止终止McAfee进程"这个规则, csrss的行为已被阻止(1092)
AAA是计算机名, bbb是用户名

要排除的话, 在"通用标准保护: 防止终止McAfee进程"这个规则里排除csrss.exe, (绝对路径为:\??\C:\WINNT\system32\csrss.exe)

后者不一定是一个进程, 也可能是注册表地址, 比如:\REGISTRY\MACHINE\SOFTWARE\MICROSOFT\Windows\CURRENTVERSION\Explorer\ShellExecuteHooks等等...

不知楼主是不是问这个?

显示全部楼层 · 发表于 2007-2-14 21:29:57

是的是的，谢谢啊

显示全部楼层 · 发表于 2007-2-14 21:30:31

还有一个，我的日志里老出现
System 用户定义的规则:监视远程对本地公认服务端口的连接行为 192.168.18.6:138

请问怎么排除啊？