利用AutoRun.inf加载木马
经常使用光盘的朋友都知道,某些光盘放入光驱后会自动运行,这种功能的实现主要靠两个文件,一个是系统文件之一的Cdvsd.vxd,一是光盘上的AutoRun.inf文件。Cdvsd.vxd会随时侦测光驱中是否有放入光盘的动作,如果有,便寻找光盘根目录下的AutoRun.inf文件。如果存在,就执行里面的预设程序。
不过,AutoRun不仅能应用于光盘中,同样也可以应用于硬盘中(要注意的是,AutoRun.inf必须存放在磁盘根目录下才能起作用)。让我们一起看看AutoRun.inf文件的内容吧。
打开记事本,新建一个文件,将其命名为AutoRun.inf,在AutoRun.inf中键入以下内容:
[AutoRun]
Icon=C:\Windows\System\Shell32.DLL,21
Open=C:\Program Files\ACDSee\ACDSee.exe
其中,“[AutoRun]”是必须的固定格式,一个标准的AutoRun文件必须以它开头,目的是告诉系统执行它下面几行的命令;第二行“Icon=C:\Windows\System\Shell32.DLL,21”是给硬盘或光盘设定一个个性化的图标,“Shell32.DLL”是包含很多Windows图标的系统文件,“21”表示显示编号为21的图标,无数字则默认采用文件中的第一个图标;第三行“Open=C:\Program Files\ACDSee\ACDSee.exe”指出要运行程序的路径及其文件名。
如果把Open行换为木马文件,并将这个AutoRun.inf文件设置为隐藏属性,我们点击硬盘时就会启动木马。
为防止遭到这样的“埋伏”,可以禁止硬盘AutoRun功能。在“开始”菜单的“运行”中输入Regedit,打开注册表编辑器,展开到HKEY_CURRENT_USER Software Microsoft Windows CurrentVersion Policies Exploer主键下,在右侧窗口中找到“NoDriveTypeAutoRun”,就是它决定了是否执行CDROM或硬盘的AutoRun功能。将其键值改为9D,00,00,00就可以关闭硬盘的AutoRun功能,如果改为B5,00,00,00则禁止光盘的AutoRun功能。修改后重新启动计算机,设置就会生效。
屏幕保护也可能成为木马的帮凶
Windows的屏幕保护程序对应的是.scr文件,它是PE格式的可执行文件,在默认情况下保存在Windows的安装目录下。如果把.scr更名为.exe文件,该程序仍然可以正常启动,.exe文件更名为.scr文件也照样可以运行。顺便提一下,把.exe文件改名为.com、.pif、.bat后,exe文件仍旧可以自由运行。这在exe文件关联丢失后非常有用。
在屏幕保护程序中,我们可以设定它的等待时间,这个启动时间其实是可以在注册表中设定的。在注册表项 HKEY_USERS DEFAULT Control Panel desktop下面的字符串值ScreenSaveTimeOut记录的就是屏保程序的等待时间,时间单位为秒,从60秒开始记录,如果记录时间小于60秒,则自动定为1分钟。
提示:是否选择了屏幕保护程序可以在system.ini文件中看出来。在“开始”菜单的“运行”中输入msconfig,找到System标签,找到里面的[boot]小节,可以看到有“SCRNSAVE.EXE=”这一行。在它后面是屏保文件的路径。如果您设定了屏保程序,这一行前面就会有一个“√”,反之则没有“√”。
由上面的介绍可以产生一种联想:如果把.exe文件重命名为.scr文件(假设改为trojan.scr),并在System.ini中添加“SCANSAVE.EXE=C:Program files rojan.scr”,然后修改注册表中的HKEY_USERS DEFAUL TControl Panel desktop下的字符串值ScreenSaveTimeOut,把其键值改为60,则系统只要闲置一分钟该文件就会被启动。
防范这种攻击的方法就是禁止使用屏幕保护功能。要想一次性取消屏幕保护功能,可以通过修改注册表来实现。打开注册表编辑器,找到HKEY_CURRENT_USER ControlPanel desktop ScreenSaveActive子键,将“ScreenSaveActive”改为“0”,就可以禁止使用屏幕保护功能。
控制面板中的木马
控制面板的各个选项实际上是以后缀名为cpl的文件单独存在的,再加上Windows安装目录中的control.exe和control.ini文件,就构成控制面板的全部组成部分。