| |
破解他們的方法也可以用安全模式。
另外使用這三個鍵值并不完全一樣，通常木馬會選擇第一個，因為在第二個鍵值下的項目會在Windows啟動完成前運行，并等待程序結(jié)束會才繼續(xù)啟動Windows。
四、通過Autoexec.bat文件，或winstart.bat，config.sys文件
隱蔽性：3.5星
應(yīng)用程度：較低
其實這種方法并不適合木馬使用，因為該文件會在Windows啟動前運行，這時系統(tǒng)處于DOS環(huán)境，只能運行16位應(yīng)用程序，Windows下的32位程序是不能運行的。因此也就失去了木馬的意義。不過，這并不是說它不能用于啟動木馬。可以想象，SoftIce for Win98（功能強大的程序調(diào)試工具，被黑客奉為至寶，常用于破解應(yīng)用程序）也是先要在Autoexec.bat文件中運行然后才能在Windows中呼叫出窗口，進行調(diào)試的，既然如此，誰能保證木馬不會這樣啟動呢？到目前為止，我還沒見過這樣啟動的木馬，我想能寫這樣木馬的人一定是高手中的高手了。
另外，這兩個BAT文件常被用于破壞，它們會在這個文件中加入類似"Deltree C：\*.*"和"Format C：/u"的行，這樣，在你啟動計算機后還未啟動Windows，你的C盤已然空空如也。
五、通過System.ini文件
隱蔽性：5星
應(yīng)用程度：一般
事實上，System.ini文件并沒有給用戶可用的啟動項目，然而通過它啟動卻是非常好用的。在System.ini文件的[Boot]域中的Shell項的值正常情況下是"Explorer.exe"，這是Windows的外殼程序，換一個程序就可以徹底改變Windows的面貌（如改為Progman.exe就可以讓Win9x變成Windows3.2）。我們可以在"Explorer.exe"后加上木馬程序的路徑，這樣Windows啟動后木馬也就隨之啟動，而且即使是安全模式啟動也不會跳過這一項，這樣木馬也就可以保證永遠隨Windows啟動了，名噪一時的尼姆達病毒就是用的這種方法。這時，如果木馬程序也具有自動檢測添加Shell項的功能的話，那簡直是天衣無縫的絕配，我想除了使用查看進程的工具中止木馬，再修改Shell項和刪除木馬文件外是沒有破解之法了。但這種方式也有個先天的不足，因為只有Shell這一項嘛，如果有兩個木馬都使用這種方式實現(xiàn)自啟動，那么后來的木馬可能會使前一個無法啟動，呵呵以毒攻毒啊。
六、通過某特定程序或文件啟動
1、寄生于特定程序之中
隱蔽性：5星
應(yīng)用程度：一般
即木馬和正常程序捆綁，有點類似于病毒，程序在運行時，木馬程序先獲得控制權(quán)或另開一個線程以監(jiān)視用戶操作，截取密碼等，這類木馬編寫的難度較大，需要了解PE文件結(jié)構(gòu)和Windows的底層知識（直接使用捆綁程序除外）。
2、將特定的程序改名
隱蔽性：5星
應(yīng)用程度：常見
這種方式常見于針對QQ的木馬，例如將QQ的啟動文件QQ2000b.exe，改為QQ2000b.ico.exe（Windows默認是不顯示擴展名的，因此它會被顯示為QQ2000b.ico，而用戶會認為它是一個圖標），再將木馬程序改為QQ2000b.exe，此后，用戶運行QQ，實際是運行了QQ木馬，再由QQ木馬去啟動真正的QQ，這種方式實現(xiàn)起來要比上一種簡單的多。
3、文件關(guān)聯(lián)
隱蔽性：5星
應(yīng)用程度：常見
通常木馬程序會將自己和TXT文件或EXE文件關(guān)聯(lián)，這樣當你打開一個文本文件或運行一個程序時，木馬也就神不知鬼不覺的啟動了。
這類通過特定程序或文件啟動的木馬，發(fā)現(xiàn)比較困難，但查殺并不難。一般地，只要刪除相應(yīng)的文件和注冊表鍵值即可。
|
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
