|
今天由我這個小菜來給大家綜合一下病毒到底藏在什么地方，關于這方面的文章網(wǎng)上很多，
大家可以去查一下，當然我做的也不是很全面，我還是個初學者，由于是第一次發(fā)帖，肯定會有
很多缺陷，請大家多多諒解，如果這個文章對大家有所幫助，我還是心滿意足了。
廢話少說，Let's go！
1：Win.ini 和 System.ini中（位于系統(tǒng)盤的Windows文件夾中）
在Win.ini中"run="和"load="下什么都沒有
在System.ini中 "shell=文件名"， 這個文件名必須是explorer.exe，在這里特別要細心的看，看看explorer.exe是不是寫成expl0rer.exe或者iexplorer.exe等類似的。
如果滿足以上倆個條件，那么可以說win.ini和system.ini是正常的文件。
win.ini對應的注冊表為:HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\Run
system.ini對應的注冊表為：HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell
2:檢查系統(tǒng)配置和注冊表
Win+R 調出運行對話框輸入msconfig按回車調出系統(tǒng)配置，在啟用項里查找不明的程序，勾掉前面的對話框按確定，那么系統(tǒng)在下次啟動時不加載勾掉的程序。
注冊表啟動項：
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\Software\Microsoft\Windows\CurrentVersion\Runonce
HKLM\Software\Microsoft\Windows\CurrentVersion\Runservices
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\Runonce
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellFolders
startup="c:/windows/start menu/programs/startup"
3：Autoexec.bat文件（位于系統(tǒng)盤根目錄）
隨著系統(tǒng)啟動自動運行的批處理文件，只加載windows必備的系統(tǒng)進程，如path（路徑），smartdrv（硬盤加速），mouse（鼠標驅動），set（設置環(huán)境變量）等
如果有不明的東東的話，就應該更加注意一些了。
有的系統(tǒng)的autoexec.bat文件的大小為0kb，這很正常，
（*我要是沒有記錯的話autoexec.bat文件的大小不超過64kb，如果大于64kb那么這個文件一定有問題。）
4：Temp臨時文件夾中
這種病毒很多，有的也很頑固，一般殺毒軟件都可以查殺，但往往殺的都不是很徹底，這里建議使用木馬專殺工具，
比如：AVG， TrojanHunter，木馬克星等等。個人建議手工刪除法，在安全模式下，和文件粉碎軟件一同使用。
5：$NTUNINSTALLQ*****$（*代表數(shù)字，一般為微軟更新補丁）
惡意腳本病毒，常在系統(tǒng)盤下生成文件夾$NTUNINSTALL******$,冒充微軟更新補丁，帶隱藏屬性，來迷惑別人。
6：dll行病毒
這類病毒一般是后門病毒，啟動dll文件的exe載體是不可缺少的，被稱為Loader，那么dll文件怎么運行呢？
因此好的dll后門會盡量保護自己的Loader不被查殺。Loader方式有很多，可以是專門為dll編寫的exe文件，
也可以是rundll32.exe和svchost.exe，即使停止了rundll32.exe和svchost.exe，dll后門還是存在的，
svchost.exe對應的注冊表的位置
HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Svchost
每個鍵值表示一個獨立的Svchost.exe
系統(tǒng)盤:\windows\system32\svchost.exe 存在一個svchost.exe
系統(tǒng)盤:\windows\system32\dllcache\svchost.exe 存在一個svchost.exe
對策：因為后門打開特定的端口，dll后門也不例外，可以再cmd里輸入netstat-ano 查看可疑的進程，把端口關閉。
關閉端口方法有很多，可以用防火墻進行端口關閉，配置ip安全策略把端口關閉。
在此不做介紹。
8：autorun.inf（位于系統(tǒng)根目錄，自啟動文件）
由于網(wǎng)上關于autorun.inf的文章很多，再此不做介紹。
本篇文章來源于 黑基網(wǎng)-中國最大的網(wǎng)絡安全站點 原文鏈接：http://www./tech/2010-03-18/59575.html |
|
|
