了解黑客常用的木马启动方式

常 用 的木 马 启 动 方 式 ：
通 过 “ 始 ＼程 序 ＼启 动 ” 开 这 也 是一 种很 常 见 的方 式 ， 很
以 这 种 方 法 并 不 十 分 可 靠 。 但 可 以
在 木马程 序 中加一个 时间 控件 ， 以 便 实 时 监 视 注 册 表 中 自 身 的 启 动 键
黑 二 ｝
木 马 是 随 计 算 机 或 Ｗ ｉｄ ｗｓ的 ｎｏ 启 动 而 启 动 并 掌 握 一 定 的 控 制 权 的 ， 启 动 方 式 可 谓 多 种 多 样 ， 过 其 通 注 册 表 启 动 、 通 过 Ｓ ｓｍ ． ｉ 动 、 ｙｔ ｉ 启 ｅ ｎ 通 过 某 些 特 定 程 序 启 动 等 ， 真 是 防 不 胜 防 。 面 ， 文 为 大 家 介 绍 黑 客 下 本
的 每 人 会 会 出 现 在 “ 统 配 置 实 用 系
程 序 ”（ ｃ ｎ ｇ ｅ ｅ 以 下 简 称 ｍｓｏ ｆ ．ｘ ， ｉ ｍｓ ｎ ｇ 中 。事 实 上 ， 现 在 “ 始 ” ｃ ｆ） ｏｉ 出 开 菜 单 的 “ 序 ＼启 动 ” 足 以 引 起 菜 程 中
序 和 注 册 表 中 的 启 动 键 值 之 间形 成
应 用 太 广 ， 以 几 乎 提 到 木 马 ， 会 所 就 让人 想到这 几个 注册 表 中的主键 ， 通 常 木 马 会 使 用 最 后 一 个 。 使 用 Ｗ ｉｄ ｗｓ自 带 的 程 序 ： ｃ ｎ ｇ 或 注 ｎｏ ｍｓ ｆ ｏｉ 册 表 编 辑 器 （ ｇｄ ｘ ｒ ｅ ｉ ｅｅ， 以 下 简 称 ｅ ｔ ｒｇ ｄｔ 都 可 以 将 它 轻 易 的 删 除 ， ｅ ｅｉ ） 所
了 ） 相 反 的 ， 删 除 启 动 键 值 ， 次 ， 不 下 启 动 Ｗ ｉｄ ｗ ｎ ｏ ｓ还 会 启 动 木 马 。 怎 么 办 呢 ？ 实 破 解 它 并 不 难 ， 使 在 没 其 即
有 任 何 工 具 软 件 的 情 况 下 也 能 轻 易 解除这种互相保护 。 破 解 方 法 ： 先 ， 安 全 模 式 启 首 以
Ｗ ｉｄ ｗ ３ ２ 中 ， ｉ ｉｉ ｗｓｘ中 的 注 册 表 ， 该 文 件 中 ｎｏ ９ 在
动 Ｗ ｉｄ ｗ ， 这 时 ， ｉｄ ｗ ｎｏ ｓ Ｗ ｎ ｏ ｓ不 会 加
载 注 册 表 中 的项 目 ，因 此 木 马 不 会
在 第 二 个 键 值 下 的 项 目 会 在 Ｗ ｉ— ｎ
一 旦 Ｗ ｉｄ Ｗｓ 常 中 止 （ 于 Ｗ ｉ一 ｎｏ 异 对 ｎ ｄｗｓｘ这 是 经 常 的 ） 木 马 也 就 失 效 ｏ ９ ， 了 。 破 解 他 们 的 方 法 也 可 以 用 安 全
模式。 另 外 使 用 这 三 个 键 值 并 不 完 全 ～ 样 ， 常 木 马 会 选 择 第 一 个 。 为 通 因
癌 ｚ 甥
动 一 次 ， 马如 何 能 发 挥 效 果 呢 Ｐ 木 其 实很 简 单 ， 是 只 能 启 动 ～ 次 吗 ？ 不 那 木 马 启 动 成 功 后 再 在 这 里 添 加 一 次 不 就 行 了 吗 ？ 在 Ｄｅ ｈ ｌ ｉ中 这 不 过 ｐ ３、 ５行 程 序 。 虽 说 这 些 项 目 不 会 出 现 在 ｍｓ ｎ ｇ中 ， 但 是 在 Ｒｅ ｅ ｉ ｃ ｆ ｏｉ ｇｄ ｔ中
却 可 以 直 接 将 它 删 除 ，那 么 木 马 也
就 从 此 失效 了 。 还 有 一 种 方 法 ， 不 是 在 启 动 的
多 正 常 的 程 序 都 用 它 ，大 家 常 用 的
ＱＱ 就 是 用 这 种 方 式 实 现 自 启 动 的 ， 木 马 却 很 少 用 它 。 为 启 动 组 但 因
了 ～ 种 互 相 保 护 的 状 态 。 木 马 程 序 未 中止 ， 动 键 值 就 无 法 删 除 （ 工 启 手 删 除 后 ， 木 马 程 序 又 自 动 添 加 上
ｄ ｗｓ 息 时 ， 暂 停 关 闭 过 程 ， 添 加 ｏ 消
注 册 表 项 目 ， 后 才 开 始 关 闭 Ｗ ｉ～ 然 ｎ ｄ ｗ ， 样 用 Ｒｅ ｅ ｉ 也 找 不 到 它 的 ｏｓ这 ｇ ｄｔ 踪 迹 了 。 种 方 法 也 有 个 缺 点 ， 是 这 就
安 全 咖 啡 屋
■● ● Ｉ｜ ｉ积 蹬 聂 嘲 Ｉｌ ｜ ■ ｌ 露删 Ｉ 麓 凑 １ｒ 肄 － Ｌ 与 Ｉ ｌ 静 １ ｊ 寄 耵 Ｅ 西
／
＿－ ＿ － 盘 ； ｌ 鼍 ＿ ． 专 ０ 篁 鼍藿 ｉ 警 １ 董 藿 。 ｔ 一 鼍 嚆 ＿ ＿ ＿ － 墨‘ — 、 、
值 是 否 存 在 ， 旦 发 现 被 删 除 ， 立 一 则
即 重 新 写 入 ， 以 保 证 下 次 Ｗ ｉｄ ｗｓ ｎｏ 启 动 时 自 己 能 被 运 行 。 这 样 木 马 程
时 候 加 而 是 在 退 出 Ｗ ｉｄｗｓ的 时 候 ｎｏ
加 ， 这 要 求 木 马 程 序 本 身 要 截 获 Ｗ ｉ ｄ ｗｓ的 消 息 ． 当 发 现 关 闭 Ｗ ｉ～ ｎｏ ｎ
鸟 的 注 意 ， 以 ， 信 不 会 有 木 马 用 所 相 这种启动方 式。 通 过 ｗ ｉ． 文 件 ｎ
同 启 动 组 一 样 ， 这 也 是 从 Ｗ ｉ一 ｎ ｄ ｗ ３ ２开 始 就 可 以 使 用 的 方 法 ， ｏ ｓ． 是 从 Ｗ ｉ１ 遗 传 到 Ｗ ｉ３ 的 。 在 ｎ６ ｎ２
ｄ ｗｓ 动 完 成 前 运 行 ， 并 等 待 程 序 ｏ 启
的 【 ｉｄ ｗｓ域 中 的 ｌａ Ｗ ｎｏ ］ ｏｄ和 ｒｎ项 会 ｕ
在 Ｗ ｉｄ ｗｓ 动 时 运 行 ， 这 两 个 项 ｎｏ 启 目 也 会 出 现 在 ｍｓｏ ｆ ｃ ｎ ｇ中 。而 且 ， ｉ 在