知馬識(shí)馬不養(yǎng)馬-木馬自啟動(dòng)及藏身之處

《知馬識(shí)馬不養(yǎng)馬-木馬自啟動(dòng)及藏身之處》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫(kù)。

1、http://forum.ikaka.com/topic.asp?board=28&artid=5649606知馬識(shí)馬不養(yǎng)馬-木馬自啟動(dòng)及藏身之處為了保護(hù)自己，木馬會(huì)想盡辦法來(lái)隱藏自己。以往，木馬通常會(huì)通過(guò)“開(kāi)始”菜單的“啟動(dòng)”項(xiàng)或注冊(cè)表的HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun項(xiàng)和HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun項(xiàng)來(lái)啟動(dòng)自己，也有

2、的木馬會(huì)注冊(cè)為系統(tǒng)的“服務(wù)”程序，而那些老舊的方法，比如在Autoexec.bat、Config.sys、Winstart.bat、Win.ini、System.ini、Wininit.ini等文件中加載木馬程序，大家更是耳熟能詳。不過(guò)，隨著木馬技術(shù)的發(fā)展，木馬的隱藏方法已經(jīng)變得越來(lái)越高明了。所謂“知己知彼，百戰(zhàn)不殆”，要想防“馬”，當(dāng)然要先“知”馬。下面，筆者就為您介紹一些鮮為人知的木馬隱藏方法。“組策略”中的木馬通過(guò)“組策略”來(lái)加載木馬這種方式非常隱蔽，不易為人發(fā)現(xiàn)。具體方法是：點(diǎn)擊“開(kāi)始”菜單中的“運(yùn)行”

3、，輸入Gpedit.msc，打開(kāi)“組策略”。在“本地計(jì)算機(jī)策略”中順次點(diǎn)擊“用戶配置”→“管理模板”→“系統(tǒng)”→“登錄”，然后雙擊“在用戶登錄時(shí)運(yùn)行這些程序”子項(xiàng)，出現(xiàn)對(duì)話框，如圖1所示。圖1在這里進(jìn)行屬性設(shè)置，選定“設(shè)置”中的“已啟用”，單擊“顯示”按鈕，會(huì)彈出“顯示內(nèi)容”窗口。單擊“添加”按鈕，出現(xiàn)“添加項(xiàng)目”窗口，在其中的文本框中輸入要自動(dòng)運(yùn)行的文件所在的路徑，單擊“確定”按鈕后重新啟動(dòng)計(jì)算機(jī)，系統(tǒng)便會(huì)在登錄時(shí)自動(dòng)運(yùn)行所添加的程序。提示：如果自啟動(dòng)的文件不是位于%Systemroot%目錄中，則必須指定文

4、件的完整、有效路徑。如果我們剛才在“組策略”中添加的是木馬，就會(huì)出現(xiàn)一個(gè)“隱形”的木馬。在“系統(tǒng)配置實(shí)用程序”Msconfig中，我們是無(wú)法發(fā)現(xiàn)該木馬的，因?yàn)樵谧?cè)表項(xiàng)中，如HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun項(xiàng)和HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun項(xiàng)，根本找不到相應(yīng)的鍵值。所以說(shuō)，這種加載木馬的方式是非常隱蔽的，對(duì)普通用戶的危脅也

5、非常大。實(shí)際上，通過(guò)這種方式添加的自啟動(dòng)程序依然會(huì)被記錄在注冊(cè)表中，只不過(guò)不是在我們所熟悉的那些注冊(cè)表項(xiàng)下，而是在注冊(cè)表的HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerRun項(xiàng)中加載。所以，如果您懷疑自己的電腦中有木馬，卻找不到它躲在哪兒，可以到上述的注冊(cè)表項(xiàng)中去看一看，或者到“組策略”的“用戶配置→管理模板→系統(tǒng)→登錄”下的“在用戶登錄時(shí)運(yùn)行這些程序”中查看一下，也許會(huì)有所發(fā)現(xiàn)。暗藏殺機(jī)的注冊(cè)表項(xiàng)利用

6、注冊(cè)表項(xiàng)加載木馬一直是木馬的最愛(ài)，也是我們所熟知的一種手段，不過(guò)，有一種新的利用注冊(cè)表來(lái)隱藏木馬的方法您可能還不知道。具體方法是：點(diǎn)擊“開(kāi)始”菜單中的“運(yùn)行”，輸入Regedit，打開(kāi)注冊(cè)表編輯器。展開(kāi)注冊(cè)表到HKEY_CURRENT_USERSoftwareMicrosoftWindowsNTCurrentVersionWindows項(xiàng)，新建一個(gè)字符串值，命名為“l(fā)oad”，把它的鍵值改為要自啟動(dòng)程序的路徑即可。提示：要使用文件的短文件名，即“C:ProgramFiles”應(yīng)該寫為“C:Progra~1”，且

7、自啟動(dòng)程序的后面不能帶有任何參數(shù)。如果改在注冊(cè)表HKEY_USERS用戶ID號(hào)SoftwareMicrosoftWindowsNTCurrentVersionWindows項(xiàng)加載，則本方法對(duì)其他用戶也有效，否則換個(gè)用戶名登錄就不管用了。用這種方法加載木馬，在Windows優(yōu)化大師的“開(kāi)機(jī)速度優(yōu)化”選項(xiàng)中將無(wú)法看到有木馬程序被加載，如果被有心人利用在這里加載惡意程序或木馬，對(duì)大家的威脅將很大。建議大家以后檢查木馬及病毒程序時(shí)特別注意這部分，不給別人可乘之機(jī)。另外，這個(gè)方法只對(duì)Windows2000/XP/2003

8、有效，使用Windows9x的用戶不用擔(dān)心。利用AutoRun.inf加載木馬經(jīng)常使用光盤的朋友都知道，某些光盤放入光驅(qū)后會(huì)自動(dòng)運(yùn)行，這種功能的實(shí)現(xiàn)主要靠?jī)蓚€(gè)文件，一個(gè)是系統(tǒng)文件之一的Cdvsd.vxd，一是光盤上的AutoRun.inf文件。Cdvsd.vxd會(huì)隨時(shí)偵測(cè)光驅(qū)中是否有放入光盤的動(dòng)作，如果有，便尋找光盤根目錄下的AutoRun.inf文件。如果存在，就執(zhí)行里面的預(yù)設(shè)程序。