|
奇迹（MU）: 浅谈木马的加载方式
浅谈木马的加载方式
废话不多说，各位对自己装备非常在意的就看看，顺便看看你的机子有没中马！我这里只介绍一下木马比较常见的加载方式。加载方式：定位于System.ini和Win.ini文件System.ini(位置C:\\windows\\)[boot]项原始值配置：“shell=explorer.e废话不多说，各位对自己装备非常在意的就看看，顺便看看你的机子有没中马！我这里只介绍一下木
马比较常见的加载方式。
加载方式：定位于System.ini和Win.ini文件
System.ini(位置C:\\windows\\)
[boot]项原始值配置：“shell=explorer.exe”，explorer.exe是Windows的核心文件之一，每次系统启动时，都会自动加载。
[boot]项修改后配置：“shell=explorer C:\\windows\\xxx.exe”(xxx.exe假设一木马程序)。
Win.ini(位置C:\\windows\\)
[windows]项原始值配置：“load=”；“run=”，一般情况下，等号后无启动加载项。
[windows]项修改后配置：“load=”和“run=”后跟非系统、应用启动文件，而是一些你不熟悉的文件名。
解决办法：
执行“运行→msconfig”命令，将System.ini文件和Win.ini文件中被修改的值改回原值，并将原木马程序删除。若不能进入系统，则在进入系统前按“Shift+F5”进入Command Prompt Only方式，分别键入命令edit system.ini和edit win.ini进行修改。
加载方式：隐藏在注册表中(此方式最为隐蔽)。
注意以下注册表项：HKEY LOCAL MACHINE\\Software\\classes\\exefile\\shell\\open\\command
原始数值数据："%1"%��
被修改后的数值数据：C:\\system\\xxx.exe "%1"%��
原注册表项是运行可执行文件的格式，被修改后就变为每次运行可执行文件时都会先运行C:\\system\\xxx.exe这个程序。
例如：开机后运行MU主程序时，该xxx.exe(木马程序)就先被加载了。
解决办法：
当通过防火墙得知某端口被**，立即下线，检查注册表及系统文件是否被修改，找到木马程序，将其删除。
当然最好的办法的就是不要随便打开邮件和下载一些不明的软件（外挂），还有个比较明显的中马标志，就是你的反木马工具不能正常使用了（只能针对一些比较垃圾的木马）
还有一个经验之谈，就是木马客星，可能有的人是在网上下的破解码注册的木马客星，这种木马客星可能会出现慌报的情况，有这种现象的朋友请不要太紧张！
最后大声的说一句，我爱我老婆无双！也祝我们盟的各个战友石头多多，首饰多多！
广告时间：30-5 我们盟（仁义永存）的啊*认*手里有条三属性链子（生命回复不知道算不算一属性啊），需要的人可与我们盟联系！
|
|
