病毒木馬-資料下載頁
2025-08-26 09:24本頁面
【導讀】病毒木馬]映像劫持。一.奇怪的中毒現(xiàn)象。在辦公室的一臺電腦上折騰半個小時后，電。腦部的工程師只覺得眼皮不?？裉驗閺膭傞_始接手這個。任務開始，他就一直在做無用功：他隨身帶的U盤里引以為。豪的眾多維護工具包在這臺機器上全軍覆沒，無論他直接在。U盤上運行還是隨便復制到哪個目錄里，系統(tǒng)都是報告“找。不到文件”或者直接沒有運行起來的反應，他第一次感受到。了恐懼，文件分明就好好的在眼皮底下，可它們就是“找不。到”或死活不肯執(zhí)行，莫非是在這臺機器上被病毒破壞了？今年初，一種早已有之。的系統(tǒng)調試功能被應用到病毒技術上，從而搖身一變成為惡。魔的代言人，普通用戶很快就面臨了一場莫名其妙的病毒災。至少也應該稱為IFEOHijack而不是只有“IFEO”自身！的本意是為一些在默認系統(tǒng)環(huán)境中運行時可能引發(fā)錯誤的。一個可執(zhí)行程序位于IFEO的控制中時，它的內存分配則根。棧管理機制引發(fā)的問題，則程序得以正常運行，否則該程序
【正文】 表里建立一個 “” 項，然后設定它的 Debugger 參數(shù)為它自身即 “” ，根據(jù)原作 者解釋，其原理是遞歸死循環(huán)： “ 當 Debugger 的值等于本身時，就是調用自身來調試自己，結果自己不是調試器，又來一次，遞歸了，就進入了死循環(huán)，也就不能啟動了。 ” 這種方法雖然有效（最后的現(xiàn)象是 “ 找不到文件 ” ），但是它會導致系統(tǒng)在短時間內陷入一個CreateProcess 循環(huán)和命令參數(shù)的字符串累加狀態(tài)，會消耗一 定 的 資 源 ， 最 終 沒 能 執(zhí) 行 程 序 是 因 為 系 統(tǒng) 使 用 CreateProcess 啟動的實例會被它自身代替執(zhí)行，從而造成死循環(huán)，而且命令行的長度是有系統(tǒng)限制的，到一定范圍就會出錯了，尤其在可以接受命令行 參數(shù)的程序里，你甚至會發(fā)現(xiàn)硬盤狂轉了好一會兒才彈出錯誤提示，這段時間里就是在死循環(huán)傳遞狀態(tài)了，最終由于超過系統(tǒng)限制的命令行長度而導致系統(tǒng)傳遞執(zhí)行請求時出錯，才得以跳出這個死循環(huán)，換一個角度來看，如果系統(tǒng)沒有限制命令行長度，那么這個操作很可能直接導致系統(tǒng)所有資源都消耗在這個自己反復執(zhí)行自己的 “ 調試器 ” 上了。 至于 “ 利用映像劫持免疫大部分常見病毒 ”的做法，發(fā)起號召者模仿 “ 映像劫持 ” 后門屏蔽大部分常用安全工具的原理，搜集了許多流行危害程序的可執(zhí)行文件名加以前面提到的遞歸死循環(huán)方法達到目的，如果不計較 前面提到的遞歸死循環(huán)缺點，似乎這個方法是可行的。 然而這真的可行嗎？世界上存在許多與某些系統(tǒng)文件同名同姓的社交型后門，如位置不同而名字相同的命令提示符輸入法控制程序 “” （被 OSO 超級 U盤病毒借用名字）、重要程序 被某些木馬替換為自身、甚至 IE 瀏覽器主體 也存在被木馬偽造文件名的案例，如此一來不知道多少正常的系統(tǒng)程序可能會被這份 “ 免疫列表 ” 給誤殺了，我僅僅粗略瀏覽了一下就發(fā)現(xiàn) 居然存在 “ 免疫列表 ” 中，要知道這可是微軟安裝程序的主執(zhí)行體啊 ?? 爭議話題：是否禁止 IFEO 列表權限？ 同時，網(wǎng)上還流傳著一個讓初級用戶看不懂的做法，那就是關閉 IFEO 列表的寫入權限，具體操作如下： 執(zhí)行 32 位注冊表編輯器 定位到 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 確保焦點在 Image File Execution Options 上，選擇 “ 安全 ” — “ 權限 ” 將出現(xiàn)的用戶列表內 所有帶有 “ 寫入 ” 的權限去掉，確定退出 這樣一來，任何對 IFEO的寫入操作都失效了，也就起了免疫效果。這個方法對一般用戶而言還是不錯的，除非遭遇到一些特殊的需要往里面寫入堆管理參數(shù)的程序，否則我建議一般用戶還是禁止此項，從而杜絕一切 IFEO 類病毒來襲。 而爭議正在于此，因為從長計議來看，用戶很可能會遇到需要往 IFEO 列表里寫入數(shù)據(jù)的正常程序，徹底禁止了 IFEO 的寫入可能會導致不可預見的后果，既然如此，我們就采取折中的方法好了，使用 HIPS（主機入侵防御系統(tǒng)）的注冊表防御體系 RD（ Registry Defend），為我們提供一種兩者都能兼顧的 IFEO 管理方法！ 以 SSM 為例，首先確保 RD 體系模塊已經開啟，然后添加新監(jiān) 視 規(guī) 則 ， “ 鍵路徑 ” 指向HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options， “ 操作 ” 為 “ 當更改時報警 ” ，記得 “ 包含值 ” 選上，最后把“ 子鍵深度最大值 ” 設為 “3” ，點擊確定生成新的監(jiān)視規(guī)則，然后在 “ 規(guī)則 ” 主界面里確保 “ 存取 ” 、 “ 刪除 ” 、 “ 寫入 ” 的操作均為疑問狀態(tài)，這是表示在 相關鍵值被進行寫入操作時彈出消息詢問用戶，最后點擊 “ 應用設定 ” 讓規(guī)則生效，從此只需開著 SSM，映像劫持就離你遠去了。 五 . 總結時間到 俗話說：道高一尺，魔高一丈，當幾乎所有可能利用的啟動項都被安全工具翻了個遍以后，與安全對立的技術也就不得不往上提高一個檔次，于是無論什么歪門邪道的招數(shù)，只要能夠被利用，哪怕它原意是好的，也會被改寫定義，從這次的映像劫持事件可以看出，這個系統(tǒng)遠遠不如我們想像中那么容易被掌握，尤其對普通用戶而言，這次技術的誤用簡直是他們的滅頂之災！在安全技術與反安全技術斗爭激烈的今天，我們用戶越來越有在夾縫中生存的感覺了，當年輕松就可以得到的隨便開多少個網(wǎng)頁都不會帶來一個病毒的日子早已遠去，要想在這個瘋狂的世界里得以保全，我們只能借助于各種工具的守護，和學習更多本來可以不用接觸的安全知識，難道這真的要變成互聯(lián)網(wǎng)的生存法則嗎？
公司管理相關推薦
鄂ICP備17016276號-1