本次教程讲述的是自动运行、映像劫持、自动播放的内容，哪里是病毒最喜欢的藏身之处呢？
自动运行的知识
（注：本文中的“＼”，如有需要体验或者使用，请替换成半角斜线）
一.自动运行
上次讲了自动运行的两个注册表位置及两个文件位置.即
HKEY_CURRENT_USER＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Run
HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Run
C:＼Documents and Settings＼All Users＼「开始」菜单＼程序＼启动
C:＼Documents and Settings＼你的用户名＼「开始」菜单＼程序＼启动
这四个是病毒最喜欢的地方,要引起重视.
除此之外还有:
HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼RunOnce
HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼RunOnceEx
HKEY_CURRENT_USER＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼RunServices
HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼RunServicesOnce
HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼RunOnce
HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼RunOnceEx
HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼RunServices
HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Windows＼CurrentVersion＼RunServicesOnce
与run的区别是,RunOnce只在下机开机时运行一次,以后不再运行,而run则每次开机时都启动,RunOnceEx不创建单独进程,通常以DLL形式加载,即使DLL调用出错,也可设置相应标志而不出现任何出错提示,微软解释:http://support.microsoft.com/kb/232487/en-us/
RunServices加载优先于Run,而RunServicesOnce,顾名思义,只运行一次的.
HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer＼Run
HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer＼Run
这两个位置常常被忽略,大家注意一下.
HKEY_CURRENT_USER＼Software＼Microsoft＼WindowsNT＼CurrentVersion＼Windows
这里load的值也要注意下
HKEY_CURRENT_USER＼SOFTWARE＼Microsoft＼Windows NT＼CurrentVersion＼Winlogon
HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows NT＼CurrentVersion＼Winlogon
这两个下面的Notify,Userinit,Shell的值也要注意,这三个的键值可以用逗号分隔多个程序.这里也要特别注意.正常情况下,shell的值为Explorer.exe,Userinit的值为userinit.exe,(可能是完整路径)
其他需要注意的地方还有(不多见):
HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼System＼Shell
HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼ShellServiceObjectDelayLoad
HKEY_CURRENT_USER＼Software＼Policies＼Microsoft＼Windows＼System＼Scripts
HKEY_LOCAL_MACHINE＼Software＼Policies＼Microsoft＼Windows＼System＼Scripts
可能有些项或键在你电脑上并不存在,可以新建的.
网友评论