云南龙网

  1. 首页 > 云知道 > >

揪出系统中秘密隐藏的木马( 二 )

云知道


这个貌似神奇的功能其实很简单，不仅能应用于光盘中，同样也可以应用于硬盘中（要注意的是AutoRun.inf必须存放在磁盘根目录下才能起作用） 。让我们一起看看AutoRun.inf文件的内容吧 。打开记事本，新建一个文件，将其命名为AutoRun.inf，在AutoRun.inf中键入以下内容：
[AutoRun]
Icon=C:WindowsSystemShell32.DLL,21
Open=C:Program FilesACDSeeACDSee.exe
解释一下：一个标准的AutoRun文件必须以[AutoRun]开头，第二行Icon=C:WindowsSystemShell32.DLL,21用来给硬盘或光盘设定一个图标 。Shell32.DLL是Windows系统文件，里面包含了很多Windows的系统图标 。数字21表示显示编号为21的图标；第三行Open=C:Program FilesACDSeeACDSee.exe指出要运行程序的路径及其文件名 。
如果把Open行换为木马文件，并将这个AutoRun.inf文件设置为隐藏属性（不易被发现），则点击硬盘就会启动木马！反过来讲，这倒的确是一种很不错的程序自启动方式 。
为防止遭到这样的“埋伏”，可以禁止硬盘AutoRun功能 。打开注册表编辑器，展开到HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExploer主键下，在右侧窗口中找到“NoDriveTypeAutoRun”，就是它决定了是否执行CDROM或硬盘的AutoRun功能 。将其键值改为9D,00,00,00就可关闭硬盘的AutoRun功能，把它的键值改为B5,00,00,00则可禁止光盘的AutoRun功能 。注意改后要重新启动计算机才能生效 。
屏幕保护也可能成为木马的帮凶
Windows的屏幕保护程序对应的是.scr文件，在默认情况下保存在Windows的安装目录下 。如果把.scr更名为.exe文件，则该程序仍然可以正常启动 。与此类似，.exe文件更名为.scr文件也照样可以运行！顺便提一下，把.exe文件改名为.com、.pif、.bat后，exe文件仍旧可以自由运行！这在exe文件关联丢失后非常有用，我们可以把exe文件的扩展名改为上述扩展名程序就可以运行了 。
在屏幕保护程序中，我们可以设定它的等待时间，这个启动时间其实是可以在注册表中设定的： HKEY_USERS.DEFAULTControl Paneldesktop，其下的字符串值ScreenSaveTimeOut记录的就是屏保程序的等待时间，时间单位为秒，从60秒开始记录，如果记录时间小于60秒，则自动定为1分钟 。是否选择了屏幕保护程序可以在system.ini文件中看出来 。在“开始”菜单的“运行”中输入msconfig，找到System标签，找到里面的[boot]小节，你可以看到有“SCRNSAVE.EXE=”这一行 。在它后面是屏保文件的路径 。如果你设定了屏保程序，这一行前面就会有一个“√”，反之则没有“√” 。
由上面的介绍可以产生一个联想：如果把.exe文件重命名为.scr文件（假设改为trojan.scr），并在SYSTEM.INI中添加“SCANSAVE.EXE=C:Program filestrojan.scr”，然后修改注册表中的HKEY_USERS.DEFAULTControl Paneldesktop下的字符串值ScreenSaveTimeOut，把其键值改为60，则系统只要闲置一分钟该文件就会被启动！由此可以看出，如果这种方法被木马或病毒等恶意程序所利用，后果非常可怕 。防范这种攻击的方法就是禁止使用屏幕保护功能！

推荐阅读


上一篇：果园割草覆盖也能养根

下一篇：粤u是哪个市