System Repair Engineer (SREng) 2.5 常用操作
% z+ ]0 D; M9 n
: Z2 ]. S, j% c0 `System Repair Engineer，简称 SREng，当前正式版本号：2.5.16.900，官方网站：http://www.kztechs.com/sreng/
, c) l- @, E' @4 j3 `5 a作者：Smallfrogs，网站：http://www.kztechs.com/
: ?! U! F* B2 I  u! _- q& \2 y' Z
下载页面：http://www.kztechs.com/sreng/download.html& t, J- S6 N6 y. ]* W
帮助页面：http://www.kztechs.com/sreng/help2/
6 m4 X& q" p( U* T2 ?& ~0 H" B: y0 x% w( C

sreng.gif (27.73 KB)

2007-9-8 20:56

8 e2 F" ?9 b1 Q6 l8 ^8 j- g
$ ]* O) L2 O- C* D9 U( F2 l9 i原文链接：http://www.cisrt.org/bbs/viewthread.php?tid=1016

使用 SREng 删除注册表启动项目7 g7 |2 X, t1 a( O& O2 P9 m; s

* T3 l& y( `* ?6 [# t3 S" l打开 SREng ，依次点击“启动项目”->“注册表”，列表中显示注册表中启动信息内容。点击选择需要删除的项目，然后点击“删除”按钮，弹出删除确认对话框，点击“是”删除，点击“否”取消。$ U- e3 S0 }. D

delreg.gif (49.39 KB)

2007-9-8 21:08

" s& [5 M% i6 N& K" T% z2 [" D

% C! h  e0 p8 A  R0 E注：删除注册表启动项目的操作支持 Ctrl / Shift 按键多选。( V( ~1 K/ ]. X. W  |' a; i

$ Y& p0 S& J4 K9 N6 I1 W
1 |7 r6 J4 n& \, u7 Y0 y) H& U使用 SREng 编辑注册表启动项目
) H( s2 @( d8 A3 H1 ?: m
& e% {5 I- g# |' G  W6 ?9 B. d1 v打开 SREng ，依次点击“启动项目”->“注册表”，列表中显示注册表中启动信息内容。点击选择需要编辑的项目，然后点击“编辑”按钮，弹出编辑对话框，可以编辑的内容有“名字”和“值”，编辑完成后点击“确定”，放弃编辑点击“取消”。
* \% q) c* F( @- E+ H- A5 D2 s) I. J

modreg.gif (49.84 KB)

2007-9-8 21:08

$ M. ?6 H; v8 ~9 _

3 R# N2 Y- `- }  [3 W! A. m, n使用 SREng 注释注册表启动项目
$ b9 f' }2 r4 t  v4 b1 X
. u0 K8 o, I, w$ I5 W: v9 G打开 SREng ，依次点击“启动项目”->“注册表”，列表中显示注册表中启动信息内容。点击需要注释项目前的勾选框，去掉勾选即为注释，同时值数据内容前自动添加“; ”做标记，该启动项目将不起作用；加上勾选恢复原状，该启动项目恢复作用。) n4 e$ t$ `6 X% @

5 u( z+ f+ p1 Q* ~, b6 e" X8 Y

remreg.gif (43.63 KB)

2007-9-8 21:08

- K$ ?; {8 Z# J" S4 }- S7 ^! {; I6 E
8 v/ ?& n  s% B; w3 Z; y注：有些注册表位置下的项目不支持注释操作，比如：
& @! l) k6 e' B0 B" S) nHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler
3 z' M% Y  B. E* D: THKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks! w9 |0 r+ [' E! ^& v& @8 o9 @
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad$ K8 Y/ W  G+ j/ P3 [: ~" i+ @0 G
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
$ ?+ Z8 ]3 \+ o( z' I4 B/ }HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
9 w0 s+ y& t- jHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify2 n! T0 Q8 U0 }& ^' h6 b$ \" W
  g; V% K8 a8 Z2 U
1 t9 \6 ?/ w2 {8 r3 ]
说明1，SREng 会自动检查以下位置的值数据是否与系统默认相同，如果不同会提示该值被修改为非正常值：
9 m6 i7 t* c* |! e0 {# qHKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
; ]! ?$ h5 x7 P. A4 }"Load"
8 x( h' o% p4 r, F, _' h"Run"' I5 R  d: d" H4 C& q* J0 m! a
+ L) o; d2 ^4 `+ [4 D) z
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows8 G1 M5 y% l* n( ?2 {
"AppInit_DLLs"! C5 `5 J9 p4 {4 m2 ~9 g# s" |
! o$ ^% b# S" s5 {- o9 P* ]& Q
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
; b  r0 |! U3 \: a6 T"UIHost"* _! F6 U' I- j$ j/ [1 O' s

! _! k! q& `, \5 N+ Y说明2，SREng 会自动检查以下位置的值数据是否与系统默认相同，如果不同会提示该值被修改为非正常值并询问是否使用 SREng 自动修复：. U( M' }! k6 }( d& P, m
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
1 T! [, {2 s; J"Shell"- {! i) z: F$ y6 R/ H
"Userinit"
3 z+ \8 }$ S. l1 I" N7 P8 T; s! D) N9 P4 d8 N7 d3 `8 b

autofix1.gif (18.68 KB)

2007-9-8 21:08

. ?/ ?4 x% l. T

autofix2.gif (20.22 KB)

2007-9-8 21:08

4 K+ B6 o6 q8 [- M9 t
$ {' v$ `, X: n+ [

使用 SREng 编辑/删除服务
$ z3 u$ x9 K3 e, r( m5 X
; d- _0 @5 y; P4 n, r6 R服务，分为“Win32 服务应用程序”和“驱动程序”两部分，对它们的编辑/删除操作类似。- d# }' P  ?8 B8 q: {  o9 H

( V7 Q2 X/ h$ r3 T$ B打开 SREng ，依次点击“启动项目”->“服务”，点击“Win32 服务应用程序”或“驱动程序”，弹出新窗口中显示“Win32 服务应用程序”或“驱动程序”的内容。7 J, C" b+ d, X+ t) N% s6 h# v
7 O. e# R! ?: ]6 y
如果勾选“隐藏已认证的微软项目”，列表中将隐藏认证的微软项目，只列出非微软项目和没有通过认证的微软项目。
4 N" s! C2 E" [1 M& ~8 l3 G  D7 k# I2 r( U9 A. {

service1.gif (34.7 KB)

2007-9-8 21:11

  e" F! X0 n' g9 @) y. \

4 W0 }2 B' ^$ L  N5 F使用 SREng 编辑服务
0 j2 U! V$ k& g' w5 `! l$ p7 Q9 F5 l
6 w) l/ H$ L5 y: j6 _这里指修改服务的启动类型。点击选择需要编辑的服务，在下方下拉列表中选择需要调整到的启动类型：
- l# K6 u! v' vAuto Start：自动
: m7 ^, L1 d, U6 gManual Start：手动7 ]; m+ L( T, B4 {
Disabled：已禁用5 W, |+ p- c5 i& ?/ V2 E
驱动程序的启动类型还有：Boot Start 和 System Start 。
; E6 i2 ]( E( o3 [' R7 F: _6 n- Y$ r2 e- W: t2 @% j6 v
点选“修改启动类型”，再点击“设置”按钮，弹出修改确认对话框，点击“是”确认，点击“否”取消。5 [! g# i: P6 r; y/ x4 z
, z+ K2 d; L6 |! L. I: Q

modsrv2.gif (36.21 KB)

2007-9-8 21:11

3 }: d5 H+ @4 l) T; ?8 \! x' V

& J4 Q7 z! F$ y2 f6 |% @' `9 C使用 SREng 删除服务& G0 n0 V6 i8 g

4 M* W/ J( v+ j6 l点击选择需要删除的服务，点选“删除服务”，再点击“设置”按钮，弹出删除确认对话框，点击“否”确认，点击“是”或“取消”取消。1 M$ @; @  ?3 z1 y, e: |
, x4 \4 R2 s& |5 g7 d. V
注：删除服务的确认与常规认识不同，请仔细阅读确认对话框后再点击“是”、“否”、“取消”按钮以免误操作。
  N' T7 ~+ o! e: u+ W5 }

delsrv3.gif (35.95 KB)

2007-9-8 21:11

使用 SREng 删除浏览器加载项
/ q/ ~; n0 B& W. v! c$ g4 v+ w1 A3 h0 H3 [% z
打开 SREng ，依次点击“系统修复”->“浏览器加载项”，列表中显示浏览器加载项的内容。点击选择需要删除的浏览器加载项，点击“删除所选内容”，弹出删除确认对话框，点击“是”确认，点击“否”取消。7 R/ F" v8 M5 w

7 L4 m8 `# X" z3 _注：删除浏览器加载项的操作支持 Ctrl / Shift 按键多选。
( g' [0 t# a: {) V! T$ z1 J& G
1 G% q' M/ r+ j; t9 y; {

delbho.gif (48.08 KB)

2007-9-8 21:13

0 [* P- O* K; x# ]1 D
3 P  R) q! `& o: i8 H, B, U
使用 SREng 禁用浏览器加载项
- I" h( E8 z, U, }7 x. ~
* j- @4 V+ d3 K3 Z" g' F打开 SREng ，依次点击“系统修复”->“浏览器加载项”，列表中显示浏览器加载项的内容。点击选择需要禁用的浏览器加载项，点击下方“已启用”勾选框，去掉勾选即为禁用该浏览器加载项，恢复勾选即为启用该浏览器加载项。
$ n" Z! z2 V/ i) H' v8 n
( `9 J/ r* F1 M( c, s1 H  k' ]9 c. `

disabho.gif (55.96 KB)

2007-9-8 21:13

使用 SREng 修复 Winsock
) x# @$ Z2 @5 Y1 A* D  A  n5 \  z0 {; h5 ?: j  v5 A
打开 SREng ，依次点击“系统修复”->“Winsock 供应者”，列表中显示系统 Winsock 供应者的内容。
3 m' u5 }  B9 [& h" F
  {3 X- x5 g$ s对于被添加的项目（如病毒添加）可以采取删除操作。点击选择需要删除的 Winsock 项目，点击“删除所选内容”，弹出删除确认对话框，点击“是”确认，点击“否”取消。: k! ?" P  C2 R5 s

3 J4 K/ X1 a$ I/ S! ]! Z2 }如果系统原 Winsock 供应者内容被覆盖，或者大部分被修改，可以尝试重置所有内容为默认值。点击“重置所有内容为默认值”，弹出重置操作的说明及继续操作确认对话框，点击“是”确认，点击“否”取消。

使用 SREng 进行常用系统修复
" b& i- I0 ~4 T1 n- j& k9 Y3 X" c- m  [, A4 d  P6 U
修复文件关联3 m& K+ Z4 z. a- [+ k2 D

( Q: j4 w8 u6 o7 ~打开 SREng ，依次点击“系统修复”->“文件关联”，SREng 自动检查文件关联正确性并显示结果，“状态”为“错误”的项目默认勾选，点击选择（同时勾选）需要修复的项目，点击“修复”按钮进行修复。
. `+ @8 G0 f6 i" d' Y( A+ ~6 K7 J8 M: D7 G" ~; M

fixassoc.gif (39.8 KB)

2007-9-8 21:17

% \+ C4 o- h6 I
+ n, H( _5 V7 j4 L2 }2 t
修复 Windows Shell / IE 相关内容4 n' C% N& f3 W; E

; ^$ u8 p* Z; Y9 J6 N6 i! ^5 Q打开 SREng ，依次点击“系统修复”->“Windows Shell / IE”，点击选择（同时勾选）需要修复的项目，点击“修复”按钮进行修复。: U: h$ \4 Z( _, X. T  ]8 j2 f- {8 E& B

# U+ e/ q& P3 R' x+ v

fixshell.gif (37.52 KB)

2007-9-8 21:17

- v  _* @: F- K3 c% v/ P. h$ W5 }( F; o( U
编辑/重置 HOSTS 文件
3 @/ W- f8 ~( }- S4 a# h; D4 G; r6 y2 [$ ~
打开 SREng ，依次点击“系统修复”->“HOSTS 文件”，下方框中显示当前 HOSTS 文件中的映射内容。0 E% j5 B8 w  w/ L* M
删除：点击选择需要删除的项目，点击“删除”按钮，弹出删除确认对话框，点击“是”确认，点击“否”取消。
6 S4 O9 @( [: N* T$ d7 y" B编辑：点击选择需要编辑的项目，点击“编辑”按钮，弹出编辑对话框，可以编辑的有“IP 地址”和“主机名字”，如勾选“这是一个注释行”，该行映射前将被添加“#      ”，该行映射将不起作用；如去掉该勾选，该行映射恢复作用。
: z! m" C+ |* R# h  [( ~5 o新建：点击“新建”按钮，弹出编辑对话框，需要填写的有“IP 地址”和“主机名字”，如勾选“这是一个注释行”，该行映射前将被添加“#      ”，该行映射将不起作用。
! U. J  O, O4 j5 f/ v重置：点击“重置”，弹出重置确认对话框，点击“是”确认，点击“否”取消。
  Z" W+ R) \: h: y+ c; h* l0 K: q$ k! I/ }  E
注：HOSTS 文件编辑完毕需要点击“保存”按钮保存结果，原 HOSTS 文件备份于原目录下，文件名格式为：
3 Q; h0 `" V9 C3 K2 h! O[原始名字]_SREBACK_[操作时间].[原始扩展名]
( U$ C7 J; T# x4 ]
' S( g9 ]8 l; L- O+ `9 F

hosts.gif (37.17 KB)

2007-9-8 21:17

2 `3 E4 D: i9 M+ n6 ]1 b+ U. \0 v4 n3 {
高级修复
/ V$ L! {. X6 A6 T# k/ Z* ]7 X, E/ m
打开 SREng ，依次点击“系统修复”->“高级修复”。
8 ^# I9 G  G3 z. G# X
' ?5 U4 P7 W, U$ ^! V% o, H" w0 m自动修复级别有两个：推荐修复级别 和 高强修复级别
. P  w/ v) G/ t- ]+ C* m- |( C游标移到下方为推荐修复级别，修复所有已知 Windows 注册表相关错误。
; m3 F9 m# a: p* F5 o" S+ |. J游标移到上方为高强修复级别，删除系统中所有的策略项。
* R' [5 w! y+ d3 h6 N7 W. @
: a7 j4 T" e1 J' y- g5 h4 a( B# O4 b移动游标选择一个修复级别，点击“自动修复”按钮进行修复。
5 w4 I  D; I2 f  P; H* e: Q- k' i

autofix.gif (33.04 KB)

2007-9-8 21:17

: n9 h0 m: A8 i' w! F
, h% F  F+ u" M. _" c高级手动修复有三个按钮：重置 Winsock 和 修复安全模式 和 API HOOK 检查
9 w% ?, ^* D- A+ T重置 Winsock，请见使用 SREng 修复 Winsock 相关内容。2 H% h* u% @' [& |( A
修复安全模式，当安全模式被病毒破坏时，可以尝试使用此修复功能。+ d1 a3 s1 l5 q8 ^3 a, M
API HOOK 检查，请见使用 SREng 进行 API Hook 检查相关内容。

使用 SREng 进行 API Hook 检查$ b  P5 h* W0 ?( H; L( {% X
: i  y, @* x7 ~+ L" m$ W
SREng 运行时会自动检查 API Hook ，如果检查到问题会以屏幕右下角气泡弹出方式显示。  k1 r9 t; L2 ?, M5 P

2 `1 W# f- W+ y: h# l手动打开 API Hook 检查：打开 SREng ，依次点击“系统修复”->“高级修复”，点击“高级手动修复”处的“API HOOK 检查”按钮，屏幕右下角将弹出气泡显示 API Hook 信息。点击弹出气泡窗口中的“查看详细”按钮，弹出“API Hook 检测详细信息”窗口，显示详细的 API Hook 信息，点击“修复入口点错误”按钮可以还原入口点错误类型的 API 。
" n3 ^7 i: N) I- Q1 K; O. `. B7 J  c; b; @; d

apihook1.gif (32.27 KB)

2007-9-8 21:19

1 t) t9 A( |  v: U# R: g, }' d. ~
. H% U3 J) S* I; Q$ Y( O

apihook2.gif (12.74 KB)

2007-9-8 21:19

4 k) a4 ~4 r% T

: x$ H" [. a& g6 o6 s; M0 C

apihook3.gif (21.92 KB)

2007-9-8 21:19

! d0 x$ R0 T9 W  K, f) T3 S

, [, M9 y. s1 q3 z1 x( v3 J+ j注：API Hook 修复功能只修正当前 SREng 进程，如果修复以后再打开 SREng ，则还会看到 API Hook 的提示信息。4 }2 O* d+ t0 `/ K
) U  f6 @: Z0 B1 i% \9 l1 O
更多关于 API Hook 和 API Hook 检查的内容请见官方说明：http://www.kztechs.com/sreng/help2/apihook.htm

使用 SREng 进行智能扫描. o# x7 r# o- g' q6 i: d! d
! s8 D* L6 v2 I* ]7 B6 G, D
打开 SREng ，点击“智能扫描”，勾选需要扫描的项目（默认为全选），点击“扫描”按钮开始扫描。# c" V$ a& I4 v. V
$ v, S) ]+ t4 m. ]; K

sscan1.gif (27.75 KB)

2007-9-8 21:22

7 R9 Q! F' n3 q3 r2 c; b7 ~
( v; |3 Y1 s! U# J$ E
扫描完成后出现“详细报告”对话框，点击“保存报告”按钮保存扫描报告为LOG文件，默认文件名：SREngLOG.LOG 。4 h. V/ }  f5 z4 Z
5 A$ s! o; h$ i# W

sscan2.gif (17.5 KB)

2007-9-8 21:22