开机自动运行的位置和木马运行方式

最新推荐文章于 2024-11-13 06:06:20 发布

javaweb_research

最新推荐文章于 2024-11-13 06:06:20 发布

阅读量762

点赞数

分类专栏：黑客技术文章标签： microsoft windows image command exe shell

黑客技术专栏收录该内容

14 篇文章 2 订阅

订阅专栏

1. 把程序或快捷方式放在 C:\Documents and Settings\你的用户名\「开始」菜单\程序\启动\

2. 注册表位置：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
RunOnce、RunServices等

3. 木马启动的三个位置 http://bbs.ikaka.com/showtopic-8129436.aspx
----------1-------------------------
Hkey_current_user\software\microsoft\windows nt\currentversion \windows 建一个字符串名为load键值为自启动程序的路径但是要注意短文件名规则，如c:\program files 应为c:\progra~1
这种方式用优化大师看不到
----------2-------------------------
HKEY_LOCAL_MACHINE\SHOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon 里面的shell建值在Explorer.exe的后面加上我门程序的路径这样我门的程序就可以随系统启动了。
----------3-------------------------
HKEY_LOCAL_MACHINE\SOFTWARE \Microsoft\WindowsNT\CurrentVersion\Winlogon，找到“Userinit”这个键值，这个键值默认为c: \WINNT\system32\userinit.exe，后面加路径，再加逗号也可以

4. 木马对文件关联的利用
更改文件的打开方式，注册表
如HKEY_CLASSES_ROOT\exefile\shell \open\command，这里是exe文件的打开方式，默认键值为：“%1”%*。如果把默认键值改为Trojan.exe“%1”%*，您每次运行 exe文件，这个Trojan.exe文件就会被执行。木马灰鸽子就采用关联exe文件的打开方式，而大名鼎鼎的木马冰河采用的是也与此相似的一招——关联txt文件。

5. 木马对设备名的利用
在Windows下无法以设备名来命名文件或文件夹，这些设备名主要有aux、com1、com2、prn、con、nul等，但Windows 2000/XP有个漏洞可以以设备名来命名文件或文件夹，让木马可以躲在那里而不被发现。
具体方法是：点击“开始”菜单的“运行”，输入cmd.exe，回车进入命令提示符窗口，然后输入md c:con\命令，可以建立一个名为con的目录。默认请况下，Windows是无法建立这类目录的，正是利用了Windows的漏洞我们才可以建立此目录。再试试输入md c:aux\命令，可以建立aux目录，输入md c:prn\可以建立prn目录，输入md c:com1\目录可以建立Com1目录，而输入md c: ul\则可以建立一个名为nul的目录。在资源管理器中依次点击试试，您会发现当我们试图打开以aux或com1命名的文件夹时，explorer.exe失去了响应
在CMD窗口中输入copy muma.exe \.c:aux\命令，就可以把木马文件muma.exe复制到C盘下的aux文件夹中，然后点击“开始”菜单中的“运行”，在“运行”中输入c:aux muam.exe，就会成功启动该木马。
另外可利用开机脚本，也可以利用cmd.exe的autorun：
HKEY_LOCAL_ MACHINE\Software\Microsoft\Command Processor下建一个字串AutoRun，值为要运行的.bat文件或.cmd文件的路径

6. AutoRun.inf自动播放
禁止硬盘AutoRun功能。在“开始”菜单的“运行”中输入Regedit，打开注册表编辑器，展开到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies \Exploer主键下，在右侧窗口中找到“NoDriveTypeAutoRun”，就是它决定了是否执行CDROM或硬盘的AutoRun功能。将其键值改为9D,00,00,00就可以关闭硬盘的AutoRun功能，如果改为B5,00,00,00则禁止光盘的AutoRun功能。

7. 添加服务

8. AppInit_DLLs木马
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows项的AppInit_DLLs键来启动，此键的DLL文件会在电脑启动时加载到WINLOGON系统进程，并加载到随后启动的每一个进程

9. 映像劫持（Image File Execution Options）IFEO
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
http://www.3800hk.com/news/w45/138551.html (系统对Image File Execution Options的检测流程小探)
详解WINDOWS映像劫持技术
http://hi.baidu.com/%B2%A1%B6%BE%D4%B4%B4%FA%C2%EB/blog/item/d6a28f35fca6c088a61e1298.html

10.通过System.ini文件 http://www.it.com.cn/f/edu/0712/7/518487.htm
在 System.ini文件的[Boot]域中的Shell项的值正常情况下是"Explorer.exe"，这是Windows的外壳程序，换一个程序就可以彻底改变Windows的面貌（如改为Progman.exe就可以让Win9x变成Windows3.2）。我们可以在"Explorer.exe"后加上木马程序的路径，这样Windows启动后木马也就随之启动，而且即使是安全模式启动也不会跳过这一项，这样木马也就可以保证永远随Windows启动了，名噪一时的尼姆达病毒就是用的这种方法。

11.程序捆绑

12.组策略
“本地计算机策略”中有两个选项：“计算机配置”与“用户配置”，展开“用户配置→管理模板→系统→登录”，双击“在用户登录时运行这些程序”子项进行属性设置，选定“设置”项中的“已启用”项并单击“显示”按钮弹出“显示内容”窗口，再单击“添加”按钮，在“添加项目”窗口内的文本框中输入要自启动的程序的路径，单击“确定”按钮就完成了。
　　重新启动计算机，系统在登录时就会自动启动你添加的程序，如果刚才添加的是木马程序，那么一个“隐形”木马就这样诞生了。因为用这种方式添加的自启动程序在系统的“系统配置实用程序”是找不到的，同样在我们所熟知的注册表项中也是找不到的，所以非常危险。
通过这种方式添加的自启动程序被记录在注册表中
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]项