标题: 刚在网站上看到的可以过主动防御的方法... [打印本页]

---

作者: 饭桶小白     时间: 2009-5-24 15:31    标题: 刚在网站上看到的可以过主动防御的方法...

这是和讯网上的，病毒能过微点的方法，希望引起微点的注意

http://it.hexun.com/2009-05-24/118007454.html
一般的木马运行添加自启动就会被杀毒软件的主动防御或者360拦截,前几天在网上发现了几个注册表自启动的方法,效果还不错,也算是目前主动防御的一大死角了,连微点竟然也拦截不到.

　　一般的木马运行添加自启动就会被杀毒软件的主动防御或者360拦截,前几天在网上发现了几个注册表自启动的方法,效果还不错,也算是目前主动防御的一大死角了,连微点竟然也拦截不到.

　　1.cmd运行前执行的程序(被动启动)

　　HKEY_CURRENT_USER\Software\Microsoft\Command Processor

　　AutoRun REG_SZ "xxx.exe"

　　2.session manager(自启动)

　　HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SessionManager

　　HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SessionManager

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SessionManager

　　BootExecute REG_MULIT_SZ "autocheck autochk * xxx"

　　瑞星就来了一个bsmain，用来开机查毒

　　不过xxx.exe必须用Native API，不能用Win32API

　　3.屏幕保护程序(被动启动)

　　HKEY_USERS\.DEFAULT\Control Panel\Desktop

　　SCRNSAVE.EXE REG_SZ "xxx.scr"

　　其实屏幕保护程序scr文件就是PE文件

　　4.

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Run

　　"MSCONFIG"="%SystemRoot%\\xxx.exe"

　　——还有很多注册表项更改后,可以实现自启动,这里先写这几个,其他的去要测试.

　　另外,还有一个偷换控制面板文件来被动启动的方式，控制面板文件在C:\windows\system32\下

　　的.cpl文件,这个文件类似与dll文件.方法给大家了,至于怎么利用,大家就各显神通吧!

【作者：佚名 来源：比特网】 (责任编辑：和讯网站)

---

作者: Legend     时间: 2009-5-24 15:41
此问题已解决。

---

作者: wujiang6518     时间: 2009-5-24 16:23
解决了就好，反应还是蛮快的。

---

作者: cp0577     时间: 2009-5-26 19:25
应该是早就被修补拉

---

欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn