映像劫持技术(IFEO)及其应用

最新推荐文章于 2023-04-28 16:00:21 发布

ake85

最新推荐文章于 2023-04-28 16:00:21 发布

阅读量1.1k

点赞数

分类专栏： Win32 文章标签： file windows qq image system 任务

本文链接：https://blog.csdn.net/skykrnl/article/details/2125697

版权

映像劫持（IFEO）是一种Windows系统功能，常用于程序调试，但也被病毒利用来替代正常程序运行。病毒通过修改注册表的Image File Execution Options项实现对程序的劫持。本文介绍了映像劫持的原理、病毒利用方式、以及如何通过权限限制和删除注册表项来防止映像劫持。

摘要由CSDN通过智能技术生成

映像劫持的定义
所谓的映像劫持（IFEO）就是Image File Execution Options，位于注册表的
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options 由于这个项主要是用来调试程序用的，对一般用户意义不大。默认是只有管理员和local system有权读写修改。
通俗一点来说，就是比如我想运行QQ.exe，结果运行的却是FlashGet.exe，也就是说在这种情况下，QQ程序被FLASHGET给劫持了，即你想运行的程序被另外一个程序代替了。

映像劫持病毒
虽然映像劫持是系统自带的功能，对我们一般用户来说根本没什么用的必要，但是就有一些病毒通过映像劫持来做文章，表面上看起来是运行了一个程序，实际上病毒已经在后台运行了。
大部分的病毒和木马都是通过加载系统启动项来运行的，也有一些是注册成为系统服务来启动，他们主要通过修改注册表来实现这个目的，主要有以下几个方面：

HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
HKLM/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Windows/AppInit_DLLs
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon/Notify
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunOnce
HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/RunServicesOnce

更多启动项请参考：系统启动时所有可能加载启动程序的方式&&&系统加载方式一文。但是与一般的木马病毒不同的是，就有一些病毒偏偏不通过这些来加载自己，不随着系统的启动运行，而是等到你运行某个特定的程序的时候运行，这也抓住了一些用户的心理，一般的用户，只要发觉自己的机子中了病毒，首先要察看的就是系统的加载项，很少有人会想到映像劫持，这也是这种病毒高明的地方。

映像劫持病毒主要通过修改注册表中的HKEY_LOCAL_MACHINE/