Användarguide - Eset

Resten av filen är uppdelad i avsnitt där objekt kan redigeras (ange
dem som ska bearbetas av skriptet). Markera de objekt som ska
bearbetas genom att byta minustecknet (”-”) mot ett plustecken
(”+”). Avsnitten i skriptet avskiljs från varandra med en tom rad. Varje
avsnitt har ett nummer och en rubrik.
01) Processer som körs
Detta avsnitt innehåller en lista över alla processer som körs i systemet.
Varje process identifieras med sin UNC-sökväg och därefter med sin
CRC16 hashkod inom asterisker (*).
Exempel:
01) Processer som körs:
‑ \SystemRoot\System32\smss.exe *4725*
‑ C:\Windows\system32\svchost.exe *FD08*
+ C:\Windows\system32\module32.exe *CF8A*
[...]
I detta exempel valdes en process, module32.exe, (markerad med ett
“+” tecken). Processen avslutas när skriptet har körts.
02) Laddade moduler
I detta avsnitt visas en lista över systemmoduler som används för
närvarande.
Exempel:
02) Laddade moduler:
‑ c:\windows\system32\svchost.exe
‑ c:\windows\system32\kernel32.dll
+ c:\windows\system32\khbekhb.dll
‑ c:\windows\system32\advapi32.dll
[...]
I detta exempel har modulen khbekhb.dll markerats med ett “+”.
När skriptet körs känner det igen processer som använder just den
modulen och avslutar dem.
03) TCP-anslutningar
Detta avsnitt innehåller information om befintliga TCP-anslutningar.
Exempel:
03) TCP‑anslutningar:
‑ Aktiv anslutning: 127.0.0.1:30606 ‑>
127.0.0.1:55320, ägare: ekrn.exe
‑ Aktiv anslutning: 127.0.0.1:50007 ‑>
127.0.0.1:50006,
‑ Aktiv anslutning: 127.0.0.1:55320 ‑>
127.0.0.1:30606, ägare: OUTLOOK.EXE
‑ Lyssnar på *, port 135 (epmap), ägare: svchost.exe
‑ Lyssnar på *, port 2401, ägare: fservice.exe Lyssnar
på *, port 445 (microsoft‑ds), ägare: System
[...]
När skriptet körs hittar det ägaren till socketen i de markerade TCPanslutningarna
och stänger socketen, vilket frigör systemresurser.
04) UDP-slutpunkter
Detta avsnitt innehåller information om befintliga UDP-slutpunkter.
Exempel:
04) UDP‑slutpunkter:
‑ 0.0.0.0, port 123 (ntp)
+ 0.0.0.0, port 3702
‑ 0.0.0.0, port 4500 (ipsec‑msft)
‑ 0.0.0.0, port 500 (isakmp)
[...]
När skriptet körs isolerar det ägaren till socketen i de markerade UDPslutpunkterna
och stänger socketen.
05) DNS-serverposter
Detta avsnitt innehåller information om aktuell DNSserverkonfiguration
Exempel:
05) DNS‑serverposter:
+ 204.74.105.85
‑ 172.16.152.2
[...]
Märkta DNS-serverposter tas bort när du kör skriptet.
06) Viktiga registerposter
Det här avsnittet innehåller information om viktiga registerposter.
Exempel:
06) Viktiga registerposter:
* Kategori: Standard Autostart (3 poster)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
‑ HotKeysCmds = C:\Windows\system32\hkcmd.exe
‑ IgfxTray = C:\Windows\system32\igfxtray.exe
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
‑ Google Update = “C:\Users\antoniak\AppData\Local\
Google\Update\GoogleUpdate.exe” /c
* Kategori: Internet Explorer (7 poster)
HKLM\Software\Microsoft\Internet Explorer\Main
+ Default_Page_URL = http://thatcrack.com/
[...]
De markerade posterna kommer att raderas, minskas till 0-bytevärden
eller återställas till sina standardvärden när skriptet har körts.
Den åtgärd som tillämpas på en viss post beror på vilken kategori den
tillhör och på nyckelvärdet i motsvarande register.
07) Tjänster
I detta avsnitt visas en lista över tjänster som registrerats i systemet.
Exempel:
07) Tjänster:
‑ Namn: Andrea ADI Filters Service, sökväg till den
körbara filen: c:\windows\system32\aeadisrv.exe, läge:
körs, start: automatisk
‑ Namn: Application Experience Service, sökväg till
den körbara filen: c:\windows\system32\aelupsvc.dll,
läge: körs, start: automatisk
‑ Namn: Application Layer Gateway Service, sökväg till
den körbara filen: c:\windows\system32\alg.exe, läge:
stannad, start: manuell
[...]
Markerade tjänster och beroende tjänster stoppas och avinstalleras
när skriptet körs.
35