【杀毒不求人】之第四课-学看SREng报告②（转载至VC52）

嘿嘿..偷懒了几天..悠哉悠哉，继续上节课..这节课讲服务

[NVIDIA Display Driver Service / nvsvc][Running/Auto Start]
  <C:\Windows\system32\nvvsvc.exe><NVIDIA Corporation>
[NVIDIA Display Driver Service / nvsvc]→服务的名称
NVIDIA Display Driver Service→服务名称
nvsvc→服务在注册表中的名称

[Running/Auto Start]→服务的状态
Running→正在运行
Stopped→目前停止
Auto Start→自动启动
Manual Start→手动启动
Disable→禁用
【我们不用太在意服务的状态，在删除时，要删除的服务处于什么状态是不用理会的】

<C:\Windows\system32\nvvsvc.exe>→服务对应的文件路径

<NVIDIA Corporation>→服务的公司的签名

服务的看法就这样，下面来讲怎么样来看
①就是看服务公司的签名，特别要注意的无非就是<>或者<N/A>的服务项目
②奇怪的服务，例如
[Kaspersky Internet Security / AVP][Running/Auto Start]
  <"C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avq.exe" -r><AVP Lab>
按照上面所讲的先看签名：<AVP Lab>，好像没问题，那么在看路径，貌似都对，但要仔细看看就发现有问题，avq.exe，稍微熟悉卡巴的都应该知道卡巴以前的名称为AVP，而且卡巴的主文件一直都是avp.exe，什么时候变成avq.exe了？最后来讲签名，这个也是错的，应该是<Kaspersky Lab>

判断的方法还是和上节课一样，多用用Google等搜索引擎，慢慢积累

然后是特别要注意的两个，这两个几乎是所有报告都有，而且是正常的，注意，我所说的是正常：
1. [Human Intexxxce Device Access / HidServ][Stopped/Disabled]
   <C:\WINDOWS\System32\svchost.exe -k netsvcs-->%SystemRoot%\System32\hidserv.dll><N/A>
2. [Help and Support / helpsvc][Stopped/Disabled]
   <C:\windows\System32\svchost.exe -k netsvcs-->%WINDIR%\PCHealth\HelpCtr\Binaries\pchsvc.dll><N/A>