木馬病毒，我們大家都是非常的熟悉，這個(gè)病毒傳播危害大，那么它都通過(guò)那些方式傳播的你知道嗎？
第一招：利用系統啟動(dòng)文件
1 注冊表 CurrentUser \ SoftWare \ Microsoft \ Windows \ CurrentVersion \ 下的所有run有關(guān)的子鍵
2 注冊表 LocalMachine \ SoftWare \ Microsoft \ Windows \ CurrentVersion \ 下的所有run有關(guān)的子鍵
3 注冊表 CurrentUser \ SoftWare \ Microsoft \ Windows NT \ CurrentVersion \ 鍵名為load的字符型數據
4 注冊表 LocalMachine \ SoftWare \ Microsoft \ Windows NT \ CurrentVersion \ 鍵名為load的字符型數據
第二招：關(guān)聯(lián)類(lèi)型文件使木馬運行
在業(yè)內著(zhù)名的木馬冰河就是這樣啟動(dòng)的，它關(guān)聯(lián)的是exe類(lèi)型的文件，方法如下：(以下方法是我在我的win2003中測試通過(guò)的)
注冊表 ClassRoot 下的.exe 文件打開(kāi)方式為exefile，我們就找到exefile子鍵，然后exefile該鍵下有一個(gè)shell子鍵，在shell子鍵下有open子鍵，在open下有command子鍵，command里有default鍵,value為"%1" %* 我們把它改變?yōu)?木馬路徑 "%1" %* 就可以了
當然win2000 或 win98中是不一樣的 我剛才測試了冰河作者看來(lái)也是心狠手辣啊
第三招：文件捆綁使木馬運行
捆綁和關(guān)聯(lián)文件不同，關(guān)聯(lián)是修改注冊表，但捆綁類(lèi)似于病毒的“感染”，就是把木馬的進(jìn)程感染到其他的執行文件上，業(yè)內著(zhù)名木馬“網(wǎng)絡(luò )公牛 - Netbull”就是利用這種方法進(jìn)行啟動(dòng)。
網(wǎng)絡(luò )公牛服務(wù)端名稱(chēng)newserver.exe,運行后自動(dòng)脫殼到c:\windows\system\checkdll.exe目錄下，下次開(kāi)機自動(dòng)運行,同時(shí)服務(wù)端在運行時(shí)會(huì )自動(dòng)捆綁以下文件：
win9x: notepad.exe write.exe regedit.exe winmine.exe winhelp.exe
winnt: notepad.exe regedit.exe reged32.exe drwtsn32.exe winmine.exe
并且自動(dòng)搜索系統啟動(dòng)項程序，捆綁之。比如qq.exe realplay.exe
除非把以上文件全部刪除，否則無(wú)法清除，但系統文件刪除后系統就無(wú)法正常運行，所以大多數人只能重裝系統。確實(shí)牛。
第四招： 進(jìn)程保護
兩個(gè)木馬進(jìn)程，互相監視，發(fā)現對方被關(guān)閉后啟動(dòng)對方。技術(shù)其實(shí)不神秘，方法如下：
while (true)
{
System.Threading.Thread.Sleep(500);
//檢查對方進(jìn)程是否關(guān)閉，關(guān)閉的話(huà)再打開(kāi)。
}
第五招：巧用啟動(dòng)文件夾
開(kāi)始菜單的啟動(dòng)文件夾內的文件在系統啟動(dòng)后會(huì )隨系統啟動(dòng)，假如將一個(gè)exe文件或exe文件的快捷方式復制到啟動(dòng)文件夾內，太明顯，但設置隱藏屬性后不會(huì )被系統啟動(dòng)。
有一個(gè)辦法，將啟動(dòng)文件夾改名為啟動(dòng)a,并將該文件隱藏，然后再新建一個(gè)啟動(dòng)文件夾，將原啟動(dòng)文件夾內的所有內容復制到新建的啟動(dòng)文件夾，這樣就可以了。(其實(shí)系統還是會(huì )啟動(dòng)原來(lái)的啟動(dòng)文件夾內的內rogn，也就是現在被改為"啟動(dòng)a"的文件夾，而現在我們新建的"啟動(dòng)"文件夾只是一個(gè)擺設而已，因為在這里的"啟動(dòng)a"對應著(zhù)注冊表local_machine\software\microsoft\windows\currentversion\explorer\startmenu內的common startup鍵值，當我們更該原來(lái)系統的啟動(dòng)文件夾的名字為"啟動(dòng)a"的時(shí)候該鍵值也會(huì )改為“C:\Documents and Settings\All Users\開(kāi)始\Programs\啟動(dòng)a”)
另外可在local_machine\software\microsoft\windows\currentversion下建立RunServices子鍵來(lái)實(shí)現自啟動(dòng)，和run不同，run是系統啟動(dòng)后加載,runservices是系統登錄時(shí)就啟動(dòng)
在系統根目錄下放置Explorer.exe文件，在Explorer.exe文件中去啟動(dòng)正常的Explorer.exe文件，可以在C盤(pán)和D盤(pán)下都放上。
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
