安全基础知识:认识病毒的映象劫持技术
日期:2007年7月12日 作者: 查看:[大字体 中字体 小字体]-
映像劫持的定义
所谓的映像劫持(IFEO)就是Image File Execution Options,位于注册表的HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options由于这个项主要是用来调试程序用的,对一般用户意义不大。默认是只有管理员和local system有权读写修改。
通俗一点来说,就是比如我想运行QQ.exe,结果运行的却是FlashGet.exe,也就是说在这种情况下,QQ程序被FLASHGET给劫持了,即你想运行的程序被另外一个程序代替了。
映像劫持病毒
虽然映像劫持是系统自带的功能,对我们一般用户来说根本没什么用的必要,但是就有一些病毒通过映像劫持来做文章,表面上看起来是运行了一个程序,实际上病毒已经在后台运行了。
大部分的病毒和木马都是通过加载系统启动项来运行的,也有一些是注册成为系统服务来启动,他们主要通过修改注册表来实现这个目的,主要有以下几个方面:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce 更多启动项请参考:系统启动时所有可能加载启动程序的方式&&&系统加载方式一文。
但是与一般的木马,病毒不同的是,就有一些病毒偏偏不通过这些来加载自己,不随着系统的启动运行,而是等到你运行某个特定的程序的时候运行,这也抓住了一些用户的心理,一般的用户,只要发觉自己的机子中了病毒,首先要察看的就是系统的加载项,很少有人会想到映像劫持,这也是这种病毒高明的地方。
映像劫持病毒主要通过修改注册表中的HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution options 项来劫持正常的程序,比如有一个病毒 vires.exe 要劫持 qq 程序,它会在上面注册表的位置新建一个qq.exe项,再这个项下面新建一个字符串的键值 debugger 内容是:C:\WINDOWS\SYSTEM32\VIRES.EXE(这里是病毒藏身的目录)即可。当然如果你把该字符串值改为任意的其他值的话,系统就会提示找不到该文件。
映像胁持的基本原理
WINDOWS NT系统在试图执行一个从命令行调用的可执行文件运行请求时,先会检查运行程序是不是可执行文件,如果是的话,再检查格式的,然后就会检查是否存在。如果不存在的话,它会提示系统找不到文件或者是“指定的路径不正确等等。把这些键删除后,程序就可以运行!
映像劫持的应用
★ 禁止某些程序的运行
先看一段代码:
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\qq.exe] "Debugger"="123.exe" - [1] [2] [3] 下一页
-
- 安全基础知识:认识病毒的映象劫持技术 相关文章:
- ·安全基础知识:认识病毒的映象劫持技术
- 安全基础知识:认识病毒的映象劫持技术 相关软件
- 特别声明:本站除部分特别声明禁止转载的专稿外的其他文章可以自由转载,但请务必注明出处和原始作
- 者.文章版权归文章原始作者所有.对于被本站转载文章的个人和网站,我们表示深深的谢意。如果本站转
- 载的文章有版权问题请联系编辑人员,我们尽快予以更正. 转载请注明来源:http://www.hackhome.com
精品推荐
热点TOP10
- ·卡巴斯基6.0key杀毒软件下载
- ·梦幻西游盗号木马下载病毒并盗号
- ·卡巴斯基6.0下载卡巴斯基6.0key激活码
- ·VBS脚本病毒原理分析与防范 (1)
- ·在线杀毒地址大全(各大安全公司)
- ·卡巴斯基Kaspersky 6.0半年免费激活码
- ·防病毒必务宝典—计算机病毒专杀进程列表
- ·104种木马的清除方法
- ·反病毒知识:如何让你的移动硬盘在DOS下杀毒
- ·是我建国的史上最牛比的一个恶毒网站
- ·Tpvo/3783 病毒的分析和防治
- ·卡巴斯基全免费 再出6Key保障用户使用
- ·拒绝修改时间,保护杀毒软件的运作
- ·浅谈彻底杀毒!新手当学习 老手当复习
- ·总结经典:木马十大藏身地点大搜查
- ·木马病毒的启动方式介绍
- ·360安全卫士报瑞星防火墙中rfwproxy.exe是病毒
- ·瑞星杀毒2008主动防御的详细设置
- ·终极PK!寻找史上最牛的木马查杀软件
- ·Funlove.4608的源代码
特别推荐
- ·木马病毒的启动方式介绍
- ·合理设置杀毒软件 巧抓邮件病毒
- ·用128M内存的XP中使用卡巴斯基7.0单机版
- ·反病毒知识:如何让你的移动硬盘在DOS下杀毒
- ·经验心得:五招提速杀毒软件
- ·总结经典:木马十大藏身地点大搜查
- ·recycle.exe病毒手动解决的方法
- ·安全专家支招防范黑客攻击九大方法
- ·恶意代码危害逐个析
- ·防电脑病毒又有新技巧:Windows防毒经验谈
- ·Burglar 病毒的分析和防治
- ·如何辨别中了威金病毒?
- ·VBS脚本病毒原理分析与防范 (1)
- ·终极PK!寻找史上最牛的木马查杀软件
- ·解读AV终结者病毒 了解完整解决方案
- ·2007年度XP平台杀毒软件评测报告
- ·揭示灰鸽子病毒七宗罪与解决方案
- ·Tpvo/3783 病毒的分析和防治
- ·编写感染COM与EXE文件的病毒的样例程序
- ·网友经验共享:网上九大流行木马的清除方法
