mage2000
新手上路
积分 4
发帖 4
注册 2008-2-14
|
#1 几个过主动防御的方法 微点被过了没有？？
几个过主动防御的方法
作者：佚名 来源：转载 发布时间：2008-7-29 0:43:46 发布人：黑客动画吧
减小字体 增大字体
一般的木马运行添加自启动就会被杀毒软件的主动防御或者360拦截,前几天在网上发现了几个注册表自启动的方法,效果还不错,也算是目前主动防御的一大死角了,连微点竟然也拦截不到.
1.cmd运行前执行的程序(被动启动)
HKEY_CURRENT_USER\Software\Microsoft\Command Processor
AutoRun REG_SZ "xxx.exe"
2.session manager(自启动)
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Session Manager
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager
BootExecute REG_MULIT_SZ "autocheck autochk * xxx"
瑞星就来了一个bsmain，用来开机查毒
不过xxx.exe必须用Native API，不能用Win32API
3.屏幕保护程序(被动启动)
HKEY_USERS\.DEFAULT\Control Panel\Desktop
SCRNSAVE.EXE REG_SZ "xxx.scr"
其实屏幕保护程序scr文件就是PE文件
4.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Run
"MSCONFIG"="%SystemRoot%\\xxx.exe"
——还有很多注册表项更改后,可以实现自启动,这里先写这几个,其他的去要测试.
另外,还有一个偷换控制面板文件来被动启动的方式，控制面板文件在C:\windows\system32\下
的.cpl文件,这个文件类似与dll文件.方法给大家了,至于怎么利用,大家就各显神通吧!
利用了系统自带文件自启动，整个赖啊。。。
但是的确很实用。
是不是微点要把一些可以被动启动的系统文件都标记一下呢?MD5?或者“DNA”呵呵。。。
反正应该采取一点措施，不符合的就不让运行，这样病毒就没有那么容易利用了。又或者自动还原一下，保护好系统的文件防替换系统。好及时回复被恶意修改插入，偷梁换柱的系统文件了。。。
| |
※ ※ ※ 本文纯属【mage2000】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
 |
|
