解除映像劫持工具与源码，可解决因映像劫持导致的程序不能运行问题

最新推荐文章于 2021-06-26 21:07:14 发布
最新推荐文章于 2021-06-26 21:07:14 发布
阅读量950 收藏
点赞数 1
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/kwan1/article/details/104434818
版权

 

显示在红色列表框中为被劫持导致无法运行的程序名（同名程序不能在本机器上正常运行，可通过加号增加对其它程序文件的屏蔽）

显示在绿色列表框中为本软件解除了劫持的程序（可使用重新屏蔽按钮恢复到被劫持状态）

需要管理员权限运行（若权限自动申请如无效，可在资源管理中本程序图标上右键--使用管理员权限运行尝试解决）

操作后可直接关闭本程序，操作效果可保持（重启后不失效）

 

实现方法：

    windows程序运行机制为首先检查注册表分支中（"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\"）中是否存在以程序名为表键的分支，以记事本程序程序运行为例：记事本程序名为“notepad.exe”，其表键为“notepad.exe”。若"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe\"下存在"debugger"字符串值，就会默认为“notepad.exe”程序启动调试映像。

调试映像的命令为NTSD [options] imagefile （imagefile 是要调试的映像名称）

若"debugger"值如果等于"ntsd -d"或其它无效路径，会导致无法运行，很多病毒文件通过这种方式来阻止反病毒软件的运行。

另也可通过设置其它映像路径来达到自身运行的目的，如：将"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe\"下"debugger"的字符串值设定为NTSD [options选项] 映像名定义为自身，那么运行“notepad.exe”程序时会调动所设置的映像，从而达到自身启动的目的。

注册表项实时修改就会起作用，重启后会保持。一般杀毒与防护程序都会实时监控上述表项。

NTSD 命令解释NTSD [options] imagefile 其中，imagefile 是要调试的映像名称，options 是下面选项之一：  映像文件选项： -2 打开一个用于调试字符模式的应用程序的新窗口 -d 将输出重定向到调试终端  -g 使执行自动通过第一个断点  -G 使 NTSD 在子程序终止时立即退出  o 启用多个进程的调试，默认值为由调试程序衍生的一个进程  -p 指定调试由进程 ID 标识的进程  -v 产生详细的输出

 

本工具通过删除相关注册表项来达到解除映像劫持问题。

 

使用AARDIO快速软件开发工具编写，代码如下：

//RUNAS//
import fonts.fontAwesome;
import win.ui;
/*DSG{{*/
mainForm = win.form(text="000";right=343;bottom=303;max=false)
mainForm.add(
button={cls="button";text='\uF021';left=144;top=8;right=168;bottom=32;font=LOGFONT(name='FontAwesome');z=9};
button2={cls="button";text='\uF070';left=288;top=8;right=312;bottom=32;font=LOGFONT(name='FontAwesome');z=11};
button2AddExe={cls="button";text='\uF055';left=120;top=8;right=144;bottom=32;font=LOGFONT(name='FontAwesome');z=10};
button2Exe={cls="button";text='\uF09C 解除选中';left=88;top=272;right=168;bottom=298;ah=1;aw=1;font=LOGFONT(name='FontAwesome');z=4};
button5AllUnExe={cls="button";text="反选";left=176;top=272;right=256;bottom=298;ah=1;aw=1;z=7};
button6UnExe={cls="button";text='\uF2D4 重新屏蔽';left=256;top=272;right=336;bottom=298;ah=1;aw=1;font=LOGFONT(name='FontAwesome');z=8};
buttonAllExe={cls="button";text="反选";left=8;top=272;right=88;bottom=298;ah=1;aw=1;z=3};
listbox2UnExe={cls="listbox";left=176;top=32;right=339;bottom=269;ah=1;aw=1;bgcolor=10551200;edge=1;items={};msel=1;vscroll=1;z=5};
listboxExe={cls="listbox";left=8;top=32;right=171;bottom=269;ah=1;aw=1;bgcolor=12624127;edge=1;items={};msel=1;vscroll=1;z=1};
plus={cls="plus";text='\uF113';left=96;top=8;right=120;bottom=32;font=LOGFONT(h=-18;name='FontAwesome');notify=1;z=13};
plus2={cls="plus";text='\uF059';left=312;top=8;right=336;bottom=32;font=LOGFONT(h=-18;name='FontAwesome');notify=1;z=14};
static={cls="static";text="被屏蔽程序名";left=14;top=15;right=155;bottom=32;ah=1;aw=1;transparent=1;z=2};
static2={cls="static";text='\uF06E';left=320;top=8;right=321;bottom=16;font=LOGFONT(h=-18;name='FontAwesome');transparent=1;z=12};
static3={cls="static";text="已解除屏蔽程序";left=184;top=16;right=325;bottom=33;ah=1;aw=1;transparent=1;z=6}
)
/*}}*/

import win.ui.tooltip;
import win.reg;
import console;
import fsys.version; 
mainForm.text = "解除映像劫持工具 V"++ tostring(fsys.version.getInfo(io._exepath).productVersion )


var debug_TT = false;
var mlog = function(...){
	if(debug_TT){
	 	 console.log(...)	
	}
}


//全局变量
var regPath = "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\"
	
var RefreshList = function(){
	mainForm.listboxExe.clear();
	mainForm.listbox2UnExe.clear();
	//创建新的注册表路径
	var reg = win.reg(regPath) 
	//枚举子项、以及子项的所有子项
	reg.enumKey(
  	function(
    	subKey, /*这是某个子节点(win.reg对象)*/
    	keyname/*这是reg子节点的一个子项的名字*/
  	){ 
    	var regT = win.reg("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\"++keyname ++"\");   
    	for(name,value,t in regT.eachValue()) {
  			if(name == "debugger" and value == "ntsd -d"){//映象劫持
  				//当前路径 regT.path
  				mlog(name,value,t,keyname)
  				mainForm.listboxExe.add(keyname,-1)
  			}
			if(name == "Xdebugger" and value == "ntsd -d"){//映象劫持
  				//屏蔽测试
  				mainForm.listbox2UnExe.add(keyname,-1)
  			}
		}
   		regT.close();
  	} 
	)
	reg.close();
}


mainForm.button2Exe.oncommand = function(id,event){
	for(i=1;mainForm.listboxExe.count;1){
		if(mainForm.listboxExe.getSelected(i)){
			mlog(mainForm.listboxExe.getItemText(i))
			var regT =  win.reg("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\"++ mainForm.listboxExe.getItemText(i) ++"\");
			if(regT){
				if(!regT.delValue("debugger") or !regT.setSzValue("Xdebugger","ntsd -d")){
					win.msgboxErr("未成功写入，请检查是否有相应权限","错误")
					RefreshList();
					return ; 
				}
			} 
		}
	}
	RefreshList();
}

mainForm.button.oncommand = function(id,event){
	RefreshList();
}

mainForm.button2AddExe.oncommand = function(id,event){
	var frmChild = mainForm.loadForm("\dlg\dlg.aardio");
	frmChild.show();
}

mainForm.button6UnExe.oncommand = function(id,event){
	for(i=1;mainForm.listbox2UnExe.count;1){
		if(mainForm.listbox2UnExe.getSelected(i)){
			mlog(mainForm.listbox2UnExe.getItemText(i))
			var regT =  win.reg("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\"++ mainForm.listbox2UnExe.getItemText(i) ++"\");
			if(regT){
				if(!regT.delValue("Xdebugger") or !regT.setSzValue("debugger","ntsd -d")){
					win.msgboxErr("未成功写入，请检查是否有相应权限","错误")
					RefreshList();
					return ; 
				}
			} 
		}
	}
	RefreshList();
}

mainForm.button2.oncommand = function(id,event){
	if(!debug_TT){
		debug_TT = !debug_TT;
		mainForm.button2.text = '\uF06E'
		console.open();
		console.log("调试界面【关闭后会直接结束程序，请使用界面窗口上显示按键隐藏此窗口】")
		win.setTopmost(mainForm.hwnd)
	}else {
		debug_TT = !debug_TT;
		mainForm.button2.text = '\uF070'
		console.close();
		win.setTopmost(mainForm.hwnd,false)
	}
	
	
}

mainForm.button5AllUnExe.oncommand = function(id,event){
	for(i=1;mainForm.listbox2UnExe.count;1){
		mainForm.listbox2UnExe.setSelected(i,!mainForm.listbox2UnExe.getSelected(i))
	}
	
}

mainForm.buttonAllExe.oncommand = function(id,event){
	for(i=1;mainForm.listboxExe.count;1){
		mainForm.listboxExe.setSelected(i,!mainForm.listboxExe.getSelected(i))
	}
}
//界面提示
var tips = win.ui.tooltip(mainForm);
tips.addTool(mainForm.button2AddExe,"增加其它程序到屏蔽列表中");
tips.addTool(mainForm.button6UnExe,'屏蔽绿色列表中选中程序，需要增加其它程序，请点击左上角加号按钮');
tips.addTool(mainForm.listboxExe,"已屏蔽（禁止运行）的程序");
tips.addTool(mainForm.listbox2UnExe,"已解除屏蔽的程序");
tips.addTool(mainForm.button2Exe,"恢复选中程序运行");
tips.addTool(mainForm.button2,"打开调试输出");
tips.addTool(mainForm.button,"刷新列表");
//tips.addTool(mainForm,"");

var trackingToolTip = win.ui.tooltip.tracking(mainForm);




mainForm.plus.onMouseEnter = function(wParam,lParam){
	var x,y,cx,cy = mainForm.plus.getPos(true)
	trackingToolTip.setInfo("提示").setText("左键点击这个把系统自带记事本加入屏蔽，加入后记事本就不能运行，
据此可验证屏蔽效果,已运行程序不会结束。
双击此处可删除屏蔽记事本。").trackPopup(true,x+20,y+cy); 
}
mainForm.plus.onMouseLeave = function(wParam,lParam){
	 trackingToolTip.getTool().trackPopup(false)
}

mainForm.plus.oncommand = function(id,event){
	var regPathT = "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\notepad.exe\"
	var regT = win.reg(regPathT);
	if(!regT){
		win.msgboxErr("权限不足，请以管理员权限运行此程序","错误");
		return false;
	}
	if(!regT.setSzValue("debugger","ntsd -d")){
		RefreshList();
		return false; 	
	} 
	
	RefreshList();
}
mainForm.plus.onMouseDoubuleClick = function(wParam,lParam){
    var x,y = win.getMessagePos(lParam);
	var regPathT = "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\"
	var regT = win.reg(regPathT);
	if(!regT){
		win.msgboxErr("权限不足，请以管理员权限运行此程序","错误");
		return false;
	}
	mlog("delkeytree",regT.delKeyTree("notepad.exe")) 
	
	RefreshList();
}


mainForm.plus2.onMouseEnter = function(wParam,lParam){
	var x,y,cx,cy = mainForm.plus2.getPos(true)
trackingToolTip.setInfo("帮助").setText(
"本工具可解决因映像劫持导致的程序不能运行问题
显示在红色列表框中为被劫持导致无法运行的程序名（同名程序不能在本机器上正常运行，可通过加号增加对其它程序文件的屏蔽）
显示在绿色列表框中为本软件解除了劫持的程序（可使用重新屏蔽按钮恢复到被劫持状态）
需要管理员权限运行（若权限自动申请如无效，可在资源管理中本程序图标上右键--使用管理员权限运行尝试解决）
操作后可直接关闭本程序，操作效果可保持（重启后不失效）
").trackPopup(true,x+20,y+cy); 
}
mainForm.plus2.onMouseLeave = function(wParam,lParam){
	trackingToolTip.getTool().trackPopup(false);
}
RefreshList();

mainForm.show();
return win.loopMessage();

增加程序子窗口代码：

//RUNAS
import win.ui;
/*DSG{{*/
var winform = win.form(text="选择需要屏蔽的程序";right=287;bottom=79;border="thin";max=false)
winform.add(
button={cls="button";text="确定";left=232;top=8;right=280;bottom=32;z=2};
button2={cls="button";text="浏览";left=184;top=8;right=232;bottom=32;z=4};
edit={cls="edit";text="Edit";left=16;top=8;right=176;bottom=32;edge=1;z=1};
edit2={cls="edit";text="仅填写程序文件名即可,全局禁止，支持拖放";left=8;top=40;right=280;bottom=64;disabled=1;multiline=1;z=3}
)
/*}}*/

import thread;
import fsys.dlg;
import win.reg;
::Shell32.DragAcceptFiles(winform.hwnd,true);
winform.edit.text = "";
var pathT;
//拖放会触发onDropFiles事件
winform.onDropFiles = function(files){
	pathT = io.splitpath(files);
	if(pathT){
		winform.edit.text = pathT.file
	}
}

var regW = function(exe){
	import win.reg;
	var regPath = "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\" ++ exe ++"\"
	var reg = win.reg(regPath);
	if(!reg){
		win.msgboxErr("权限不足，请以管理员权限运行此程序","错误");
		return false;
	}
	if(!reg.setSzValue("debugger","ntsd -d")){
		return false; 	
	} 
	return true; 
}
 




winform.button.oncommand = function(id,event){
	if(regW(winform.edit.text)){
		winform.edit2.text = "设置成功"	
		sleep(50);
		winform.close();
	}else {
		win.msgboxErr("未成功写入，请检查是否有相应权限","错误");
	}
	
		
	
}

winform.button2.oncommand = function(id,event){
	var path =  fsys.dlg.open('可执行文件|*.exe|所有文件|*.*|',,,winform);
	if(path){
		pathT = io.splitpath(path);
		if(pathT){
			winform.edit.text = pathT.file
		}
	}	
}



winform.show();
win.loopMessage();
return winform;

 

kwan1
关注
【Qt】通过QtCreator源码学习Qt（三）：linux平台的信号、程序崩溃处理
郭老二
11-30 1179
崩溃处理设置：CrashHandlerSetup 1、原理 在堆中为信号处理函数分配一块区域，作为该函数的栈使用，当系统默认的栈空间用尽时，调用信号处理函数使用的栈是在堆中分配的空间，而不是系统默认的栈中，所以它仍旧可以继续工作，执行崩溃处理程序。 2、注册信号处理相关结构体和函数 stack_t ss; struct sigaction sa; sigaltstack(&ss, NUL...
FEO映像劫持修复程序程序
09-24
FEO映像劫持修复程序程序FEO映像劫持修复程序程序FEO映像劫持修复程序程序FEO映像劫持修复程序程序
Windows映像劫持调试程序
huanhuanxiaoxiao的博客
03-20 574
简介 “映像劫持”，也被称为“IFEO”（Image File Execution Options），在Windows NT架构的系统里，IFEO的本意是为一些在默认系统环境中运行时可能引发错误的程序执行体提供特殊的环境设定。当一个可执行程序位于IFEO的控制中时，它的内存分配则根据该程序的参数来设定，而Windows NT架构的系统能通过这个注册表项使用与可执行程序文件名匹配的项目作为程序载入时的控制依据，最终得以设定一个程序的堆管理机制和一些辅助机制等。出于简化原因，IFEO使用忽略路径的方式来匹配它
映像劫持
dreamon_xq的专栏
04-09 1091
映像劫持技术最近有点流行！ 你中招了么？映像劫持的现象：比如 你运行你的杀毒软件  可是 运行不了 或者就是出来一个其他的东西（QQ？ IE？ 什么的......）也就是说用一个程序来替代了想运行的程序   就算你重装你的软件 和修复  也不会起到一点作用不过可以改名解决这个问题  不过这样越是简单的方法就越是想不到。。。。。呵呵 呵呵  当然是病毒利用了的话   你运行就不是 什么I
映像劫持病毒有什么现象及清除步骤
wenbingyeyu的专栏
11-24 1855
现象一媒体朋友的笔记本染毒，杀毒软件起不来。开机就弹出若干个窗口，总也关不掉，直到系统内存耗尽死机，安全模式也是同样的现象。无奈之下，尝试重装系统，不过，因为不少人都知道的原因，她只是格式化了C分区，系统重装后，访问其它分区后，再次出现重装前的中毒症状。从上述现象至少得到2个信息：1、病毒会通过自动播放传播；2、病毒可能利用映像劫持。故障现象检查故障机，重启时，很自然的想到启动到带
C#映像劫持程序（含源代码）
03-21
《C#映像劫持程序解析与实现》 映像劫持（Image Hijacking），在计算机编程领域，是指改变程序的默认加载路径，使得程序在启动时加载自定义的动态链接库（DLL）而非系统默认的。这种方法常用于调试、注入代码或者...
DLL劫持
include_heqile的博客
10-28 1794
dll劫持就是使用自己制作的恶意dll文件伪装成程序正常运行中会用到的dll文件，一般情况下dll劫持攻击利用的是程序缺失的dll文件，因为如果一个应用程序缺失了某个dll文件，并且在此前提下还可以正常运行，那么它就会执行一次搜索（这里有个前提是，程序的源代码中并未明确指定该dll文件的具体路径） 在windows xp sp2之前（不包括sp2），程序搜索dll文件的顺序是这样的: 1.&nbs...
无限系统操作库技术预览版1.4#3源码-易语言
06-14
3.重写“禁用注册表编辑器”命令，已解决无法禁用的问题；4.取消“取DOS返回”命令，该命令已被“DOS命令”窗口组件取代；5.增加“取进程ID”、“取进程路径”和“提示进程权限”命令，其中“提示进程权限”命令尚未...
用VBS写的修复工具
10-17
4、可执行程序类型（EXE）指向修复。 5、映像劫持修复。 要使用本软件请下载压缩包后解压至任意一文件夹，建议执行run.bat，防止病毒/木马对VBS文件关联的篡改以及wscript.exe被感染或替换，tools.exe也就是Windows...
windows映像劫持技术（IFEO）
04-08
一，什么是映像劫持（IFEO）？ 二，具体使用资料： 三，映像劫持的基本原理： 四，映像胁持的具体案例： 五:如何解决并防范“映像劫持”？
version.dll
09-11
version.dll是Windows系统检测应用程序接口的相关dll文件，缺少它可能造成部分软件不能正常运行。当你的电脑弹出提示“缺少version.dll”或者“没有找到version.dll”等错误信息,这个时候你讲该文件补上就可以正常运行了。
调试器---镜像劫持
xuqi7
06-26 590
如果 A 程序 启动了 B 程序，而且设定了一些东西，这个时候想调试 B 程序，可以用镜像劫持
遭遇修改系统时间、使用映像劫持的xibgptd.exe,netdde32.exe等1
Purpleendurer@CSDN
08-10 2359
遭遇修改系统时间、使用映像劫持的xibgptd.exe,netdde32.exeendurer 原创2007-08-10 第1版今天中午，一位网友说他的电脑中的杀毒软件无法启动，打开包含杀毒等字样的网页会自动关闭，不停地提示web.exe程序出错，不定期弹出广告窗口。让偶通过QQ远程协助。先到 http://endurer.ys168.com 下载 HijackThis，ProcV
映像劫持原理
weixin_34195546的博客
09-13 170
windows映像劫持技术（IFEO） 　　基本症状：可能有朋友遇到过这样的情况，一个正常的程序，无论把它放在哪个位置，或者是一个程序重新用安装盘修复过，都出现无法运行的情况，或是出错提示为“找不到文件”或者直接没有运行起来的反应，或者是比如运行程序A却成了执行B（可能是病毒），而改名后却可以正常运行的现象。 　　遭遇流行“映像劫持”病毒的系统表现为常见的杀毒软件、防火墙...
映像劫持（Image File Execution Options）的解决方案
weixin_34318326的博客
12-09 2050
这几天一直想要把这个经验写一下，总没抽出时间，晚上加加班。样本已经被杀毒U盘的监控干掉，本文回忆下修复过程。 现象： 一媒体朋友的笔记本染毒，杀毒软件起不来。开机就弹出若干个窗口，总也关不掉，直到系统内存耗尽死机，安全模式也是同样的现象。无奈之下，尝试重装系统，不过，因为不少人都知道的原因 ，她只是格式化了C分区，系统重装后，访问其它分区后，再次出现重装前的中毒症状。...
打开文件夹就运行？COM劫持利用姿势
killcoco的小窝
04-14 1728
打开文件夹就能运行指定的程序？这不是天方夜谭，而是在现实世界中确实存在的。利用本文探讨的COM劫持技术，可以轻松实现出打开文件夹就运行指定代码的功能。对于COM劫持技术，国内很少有资料进行原理阐述，本文结合自身分析经验对COM劫持技术进行归纳总结。同时，希望各大安全厂商针对此类利用做好防护，保护用户信息安全。 前言 所谓“骂人先骂娘，擒贼先擒王”，首先给出读者最最关心的劫持文件夹的利用
关于映像劫持
weixin_46661122的博客
11-30 7099
什么是映像劫持? “映像劫持”，也被称为“IFEO”（Image File Execution Options），在WindowsNT架构的系统里，IFEO的本意是为一些在默认系统环境中运行时可能引发错误的程序执行体提供特殊的环境设定。当一个可执行程序位于IFEO的控制中时，它的内存分配则根据该程序的参数来设定，而WindowsN T架构的系统能通过这个注册表项使用与可执行程序文件名匹配的项目作为程序载入时的控制依据，最终得以设定一个程序的堆管理机制和一些辅助机制等。出于简化原因，IFEO使用忽略路径的方式
实例讲解映像劫持的使用技巧——通过映像劫持实现Notepad2替换记事本
05-25 766
所谓“映像劫持”，就是Image File Execution Options，是CreateProcess函数中的一个功能，即在可执行程序运行时，Windows会先检测对应IFEO中的Debugger值，如果存在这个参数的话，就运行这个参数中指定的程序。 作为一名系统管理员，实际上对于“映...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值