2022年特洛伊木马如何利用文件关联和设置名.docx

《2022年特洛伊木马如何利用文件关联和设置名.docx》由会员分享，可在线阅读，更多相关《2022年特洛伊木马如何利用文件关联和设置名.docx（6页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、2022年特洛伊木马如何利用文件关联和设置名我们知道，在注册表HKEY_LOCAL_MACHINE SoftwareMicrosoftWindowsCurrentVersionRun下可以加载程序，使之开机时自动运行，类似“Run”这样的子键在注册表中还有几处，均以“Run”开头，如RunOnce、RunServices等。除了这种方法，还有一种修改注册表的方法也可以使程序自启动。详细说来，就是更改文件的打开方式，这样就可以使程序跟随您打开的那种文件类型一起启动。举例来说，打开注册表，绽开注册表到HKEY_CLASSES_ROOTexefileshellopencommand，这里是exe文件

2、的打开方式，默认键值为：“%1”%*。假如把默认键值改为Trojan.exe“%1”%*，您每次运行exe文件，这个Trojan.exe文件就会被执行。木马灰鸽子就采纳关联exe文件的打开方式，而大名鼎鼎的木马冰河采纳的是也与此相像的一招关联txt文件。应付这种隐藏方法，主要是常常检查注册表，看文件的打开方式是否发生了改变。假如发生了改变，就将打开方式改回来。最好能常常备份注册表，发觉问题后马上用备份文件复原注册表，既便利、快捷，又平安、省事。木马对设备名的利用大家知道，在Windows下无法以设备名来命名文件或文件夹，这些设备名主要有aux、com1、com2、prn、con、nul等，但W

3、indows 2000/XP有个漏洞可以以设备名来命名文件或文件夹，让木马可以躲在那里而不被发觉。详细方法是：点击“起先”菜单的“运行”，输入cmd.exe，回车进入吩咐提示符窗口，然后输入md c:con吩咐，可以建立一个名为con的书目。默认请况下，Windows是无法建立这类书目的，正是利用了Windows的漏洞我们才可以建立此书目。再试试输入md c:aux吩咐，可以建立aux书目，输入md c:prn可以建立prn书目，输入md c:com1书目可以建立Com1书目，而输入md c: ul则可以建立一个名为nul的书目。在资源管理器中依次点击试试，您会发觉当我们试图打开以aux或co

4、m1命名的文件夹时，explorer.exe失去了响应，而很多“牧马人”就是利用这个方法将木马隐藏在这类特别的文件夹中，从而达到隐藏、爱护木马程序的目的。现在，我们可以把文件复制到这个特别的书目下，当然，不能干脆在Windows中复制，须要采纳特别的方法，在CMD窗口中输入copy muma.exe .c:aux吩咐，就可以把木马文件muma.exe复制到C盘下的aux文件夹中，然后点击“起先”菜单中的“运行”，在“运行”中输入c:aux muam.exe，就会胜利启动该木马。我们可以通过点击文件夹名进入此类特别书目，不过，假如您要试图在资源管理器中删除它，会发觉这根本就是徒劳的，Window

5、s会提示找不到该文件。由于运用del c:aux吩咐可以删除其中的muma.exe文件，所以，为了达到更好的隐藏和爱护效果，下木马者会把muma.exe文件也改名，让我们很难删除。详细方法就是在复制木马文件到aux文件夹时运用吩咐copy muma.exe .c:con.exe，就可以把木马文件muma.exe复制到aux书目中，并且改名为con.exe，而con.exe文件是无法用一般方法删除的。可能有的挚友会想，这个con.exe文件在“起先”菜单的“运行”中无法运行啊。其实不然，只要在吩咐行方式下输入cmd /c .c:con就可以运行这个程序了。在运行时会有一个cmd窗口一闪而过，下木

6、马者一般来说会对其进行改进，方法有许多，可以利用开机脚本，也可以利用cmd.exe的autorun：在注册表HKEY_LOCAL_ MACHINESoftwareMicrosoftCommand Processor下建一个字串AutoRun，值为要运行的.bat文件或.cmd文件的路径，如c:winntsystem32auto.cmd，假如建立相应的文件，它的内容为.c:con，就可以达到隐藏的效果。对于这类特别的文件夹，发觉后我们可以采纳如下方法来删除它：先用del .c:con.exe吩咐删除con.exe文件（该文件假设就是其中的木马文件名），然后再用rd .c:aux吩咐删除aux文件

7、夹即可。好了，文章到这里就结束了。由于水平有限，文中如有不正确或值得商榷的地方欢迎大家指责指引，另外，写作时曾参阅过网上高手们的帖子，受益匪浅，在此一并谢过！不过，AutoRun不仅能应用于光盘中，同样也可以应用于硬盘中（要留意的是，AutoRun.inf必需存放在磁盘根书目下才能起作用）。让我们一起看看AutoRun.inf文件的内容吧。打开记事本，新建一个文件，将其命名为AutoRun.inf，在AutoRun.inf中键入以下内容：AutoRunIcon=C:WindowsSystemShell32.DLL,21Open=C:Program FilesACDSeeACDSee.exe其中

8、，“AutoRun”是必需的固定格式，一个标准的AutoRun文件必需以它开头，目的是告知系统执行它下面几行的吩咐；其次行“Icon=C:WindowsSystemShell32.DLL,21”是给硬盘或光盘设定一个特性化的图标，“Shell32.DLL”是包含许多Windows图标的系统文件，“21”表示显示编号为21的图标，多数字则默认采纳文件中的第一个图标；第三行“Open=C:Program FilesACDSeeACDSee.exe”指出要运行程序的路径及其文件名。假如把Open行换为木马文件，并将这个AutoRun.inf文件设置为隐藏属性，我们点击硬盘时就会启动木马。为防止遭到这样的“埋伏”，可以禁止硬盘AutoRun功能。在“起先”菜单的“运行”中输入Regedit，打开注册表编辑器，绽开到HKEY_CURRENT_USERSoftware MicrosoftWindowsCurrentVersionPoliciesExploer主键下，在右侧窗口中找到“NoDriveTypeAutoRun”，就是它确定了是否执行CDROM或硬盘的AutoRun功能。将其键值改为9D,00,00,00就可以关闭硬盘的AutoRun功能，假如改为B5,00,00,00则禁止光盘的AutoRun功能。修改后重新启动计算机，设置就会生效。