诚毅小家|集美大学生活【集美大学,诚毅学院,水产学院,师范学院,美术学院,财经学院,体育学院,航海学院,集美学村,石鼓路,龙舟池】

 找回密码
 注册

QQ登录

只需一步,快速开始

搜索
热搜: 活动 交友 discuz
查看: 835|回复: 3

知马识马不养马(一)

[复制链接]
发表于 2007-12-1 22:19:34 | 显示全部楼层 |阅读模式
知马识马不养马(一) 5 ]% T7 ]) `. E9 ~% k: _

2 W1 @! R! ~# n3 o: \9 k: ]) [; c: f2 ^为了保护自己,木马会想尽办法来隐藏自己。以往,木马通常会通过“开始”菜单的“启动”项或注册表的HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun项和HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun项来启动自己,也有的木马会注册为系统的“服务”程序,而那些老旧的方法,比如在Autoexec.bat、Config.sys、Winstart.bat、Win.ini、System.ini、Wininit.ini等文件中加载木马程序,大家更是耳熟能详。
3 o% L# [7 f2 Z不过,随着木马技术的发展,木马的隐藏方法已经变得越来越高明了。所谓“知己知彼,百战不殆”,要想防“马”,当然要先“知”马。下面,笔者就为您介绍一些鲜为人知的木马隐藏方法。
- c4 I+ E- [9 h) }+ ~+ m0 v4 P5 S% w3 ]
“组策略”中的木马 ' h' Y8 i' R/ b8 H* Y- c4 E$ F, d/ Z

0 K3 }' O3 V; m% J1 A  N通过“组策略”来加载木马这种方式非常隐蔽,不易为人发现。具体方法是:   K9 T( A% \* ^, E6 y
点击“开始”菜单中的“运行”,输入Gpedit.msc,打开“组策略”。在“本地计算机策略”中顺次点击“用户配置”→“管理模板”→“系统”→“登录”,然后双击“在用户登录时运行这些程序”子项,出现对话框.
6 ]$ P* n  C5 n# T4 M在这里进行属性设置,选定“设置”中的“已启用”,单击“显示”按钮,会弹出“显示内容”窗口。单击“添加”按钮,出现“添加项目”窗口,在其中的文本框中输入要自动运行的文件所在的路径,单击“确定”按钮后重新启动计算机,系统便会在登录时自动运行所添加的程序。 ; U: }' B" f  G& o: ^
提示:如果自启动的文件不是位于%Systemroot%目录中,则必须指定文件的完整、有效路径。 " t+ D2 ^' r( R% o; B" @7 N# N/ ]. H
, i, h. \# m  h
如果我们刚才在“组策略”中添加的是木马,就会出现一个“隐形”的木马。在“系统配置实用程序”Msconfig中,我们是无法发现该木马的,因为在注册表项中,如HKEY_ CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion Run项和HKEY_LOCAL_MACHINESoftwareMicrosoft WindowsCurrentVersionRun项,根本找不到相应的键值。所以说,这种加载木马的方式是非常隐蔽的,对普通用户的危胁也非常大。 & g' o; m, R; S% @
实际上,通过这种方式添加的自启动程序依然会被记录在注册表中,只不过不是在我们所熟悉的那些注册表项下,而是在注册表的HKEY_CURRENT_USERSoftware Microsoft WindowsCurrentVersionPoliciesExplorerRun项中加载。所以,如果您怀疑自己的电脑中有木马,却找不到它躲在哪儿,可以到上述的注册表项中去看一看,或者到“组策略”的“用户配置→管理模板→系统→登录”下的“在用户登录时运行这些程序”中查看一下,也许会有所发现。
+ X$ N) D9 @9 D  M7 A9 H; ]
' n7 @3 K! A4 J5 {& f
: D6 T8 r3 I. B3 I- @
暗藏杀机的注册表项 % Q6 A- e  b, b$ z
' s$ H& @0 t$ y5 O4 S
利用注册表项加载木马一直是木马的最爱,也是我们所熟知的一种手段,不过,有一种新的利用注册表来隐藏木马的方法您可能还不知道。具体方法是:
* q% z3 @3 S+ @4 `' m1 i# U点击“开始”菜单中的“运行”,输入Regedit,打开注册表编辑器。展开注册表到HKEY_CURRENT_USERSoftware MicrosoftWindows NTCurrentVersionWindows项,新建一个字符串值,命名为“load”,把它的键值改为要自启动程序的路径即可。 : X  M0 Z+ h. g4 c
4 B* }- r# |$ z6 }1 ~
提示:要使用文件的短文件名,即“C:Program Files”应该写为“C:Progra~1”,且自启动程序的后面不能带有任何参数。如果改在注册表HKEY_USERS用户ID号Software MicrosoftWindows NTCurrentVersionWindows项加载,则本方法对其他用户也有效,否则换个用户名登录就不管用了。 . b$ Z$ ?2 S- {; ~
) W4 j/ z/ g. s" T' i3 t! w
用这种方法加载木马,在Windows优化大师的“开机速度优化”选项中将无法看到有木马程序被加载,如果被有心人利用在这里加载恶意程序或木马,对大家的威胁将很大。 ! u  M7 P/ n3 J* t1 {
建议大家以后检查木马及病毒程序时特别注意这部分,不给别人可乘之机。另外,这个方法只对Windows 2000/XP/2003有效,使用Windows 9x的用户不用担心。
3 ^3 P6 @( O( q/ C$ F8 F$ c/ x
0 _8 u+ W3 d4 z; ]1 R" u4 @利用AutoRun.inf加载木马
1 D/ [; _$ d4 u+ z* |0 O4 q6 p& _
经常使用光盘的朋友都知道,某些光盘放入光驱后会自动运行,这种功能的实现主要靠两个文件,一个是系统文件之一的Cdvsd.vxd,一是光盘上的AutoRun.inf文件。Cdvsd.vxd会随时侦测光驱中是否有放入光盘的动作,如果有,便寻找光盘根目录下的AutoRun.inf文件。如果存在,就执行里面的预设程序。 - o2 F% Z; c, S, L: t( q

0 ~  X% N9 {+ h% t- w不过,AutoRun不仅能应用于光盘中,同样也可以应用于硬盘中(要注意的是,AutoRun.inf必须存放在磁盘根目录下才能起作用)。让我们一起看看AutoRun.inf文件的内容吧。 . |# k" _; z8 @( k
打开记事本,新建一个文件,将其命名为AutoRun.inf,在AutoRun.inf中键入以下内容:
7 i7 b; ^8 u. t, u6 W[AutoRun] + I$ f# \' Y, `8 \
Icon=C:WindowsSystemShell32.DLL,21
# H8 z5 U% Y9 ZOpen=C:Program FilesACDSeeACDSee.exe
( W" }* N+ H$ _: {- ~其中,“[AutoRun]”是必须的固定格式,一个标准的AutoRun文件必须以它开头,目的是告诉系统执行它下面几行的命令;第二行“Icon=C:WindowsSystemShell32.DLL,21”是给硬盘或光盘设定一个个性化的图标,“Shell32.DLL”是包含很多Windows图标的系统文件,“21”表示显示编号为21的图标,无数字则默认采用文件中的第一个图标;第三行“Open=C:Program FilesACDSeeACDSee.exe”指出要运行程序的路径及其文件名。
: w, E* v- t; s如果把Open行换为木马文件,并将这个AutoRun.inf文件设置为隐藏属性,我们点击硬盘时就会启动木马。 4 R/ Y& d9 r5 x: c( M
. p# {+ G7 K7 q/ _1 A7 n
为防止遭到这样的“埋伏”,可以禁止硬盘AutoRun功能。在“开始”菜单的“运行”中输入Regedit,打开注册表编辑器,展开到HKEY_CURRENT_USERSoftware MicrosoftWindowsCurrentVersionPoliciesExploer主键下,在右侧窗口中找到“NoDriveTypeAutoRun”,就是它决定了是否执行CDROM或硬盘的AutoRun功能。将其键值改为9D,00,00,00就可以关闭硬盘的AutoRun功能,如果改为B5,00,00,00则禁止光盘的AutoRun功能。修改后重新启动计算机,设置就会生效。
# d2 @: i1 t( t
# D9 M/ U% J7 W$ G! M- p屏幕保护也可能成为木马的帮凶 6 {" I. C9 B4 H

" X: f7 A# J, y8 V* E- vWindows的屏幕保护程序对应的是.scr文件,它是PE格式的可执行文件,在默认情况下保存在Windows的安装目录下。如果把.scr更名为.exe文件,该程序仍然可以正常启动,.exe文件更名为.scr文件也照样可以运行。顺便提一下,把.exe文件改名为.com、.pif、.bat后,exe文件仍旧可以自由运行。这在exe文件关联丢失后非常有用。
5 J6 O9 ^2 C# l在屏幕保护程序中,我们可以设定它的等待时间,这个启动时间其实是可以在注册表中设定的。在注册表项 HKEY_USERS.DEFAULTControl Paneldesktop下面的字符串值ScreenSaveTimeOut记录的就是屏保程序的等待时间,时间单位为秒,从60秒开始记录,如果记录时间小于60秒,则自动定为1分钟。
" T/ ]: J1 p" u( B提示:是否选择了屏幕保护程序可以在system.ini文件中看出来。在“开始”菜单的“运行”中输入msconfig,找到System标签,找到里面的[boot]小节,可以看到有“SCRNSAVE.EXE=”这一行。在它后面是屏保文件的路径。如果您设定了屏保程序,这一行前面就会有一个“√”,反之则没有“√”。
% F2 L' @! x& F: N- }由上面的介绍可以产生一种联想:如果把.exe文件重命名为.scr文件(假设改为trojan.scr),并在System.ini中添加“SCANSAVE.EXE=C:Program files rojan.scr”,然后修改注册表中的HKEY_USERS.DEFAULTControl Paneldesktop下的字符串值ScreenSaveTimeOut,把其键值改为60,则系统只要闲置一分钟该文件就会被启动。 4 C, y) `, Z7 f( o
防范这种攻击的方法就是禁止使用屏幕保护功能。要想一次性取消屏幕保护功能,可以通过修改注册表来实现。打开注册表编辑器,找到HKEY_CURRENT_USER ControlPaneldesktopScreenSaveActive子键,将“ScreenSaveActive”改为“0”,就可以禁止使用屏幕保护功能。
- l7 Y5 v! j# o1 W; x& M
; g& |+ J1 {" i4 T% V
% b1 _9 R) A& h. D1 D  o
, X. O; ]$ z$ q+ P6 ]1 H# ^

* K" r6 E" o" ~! e; u5 ~; D1 H# x! Y% w+ L; u. |4 X" X

( H1 l+ B  m; M5 M1 C转自爱好者论坛:http://bbs.cfan.com.cn ! q1 ~/ m: E" b) I4 s9 ^

- ]4 o. ]/ U  e* ~# l
6 F/ B7 F2 [- U[ 本帖最后由 风伊翼 于 2007-12-2 21:08 编辑 ]
发表于 2007-12-1 22:55:13 | 显示全部楼层
最近养了很多马。。。系统时间一直被改--真是郁闷啊
发表于 2007-12-2 21:10:06 | 显示全部楼层
发表于 2007-12-7 00:21:15 | 显示全部楼层
:L :L :L :L
您需要登录后才可以回帖 登录 | 注册

本版积分规则

QQ|Archiver|手机版|小黑屋|诚毅小家 ( 小家社区工作室 闽ICP备05007965号 )

GMT+8, 2024-11-1 13:32 , Processed in 0.084712 second(s), 24 queries .

Powered by Discuz! X3.4

Copyright © 2001-2021, Tencent Cloud.

快速回复 返回顶部 返回列表