木馬是隨計算機(jī)或Windows的啟動而啟動并掌握一定的控制權(quán)的，其啟動方式可謂多種多樣，通過注冊表啟動、通過System.ini啟動、通過某些特定程序啟動等，真是防不勝防。其實(shí)只要能夠遏制住不讓它啟動，木馬就沒什么用了，這里就簡單說說木馬的啟動方式，知己知彼百戰(zhàn)不殆嘛。

　　一、通過"開始\程序\啟動"

　　隱蔽性：★★

　　應(yīng)用程度：較低

　　這也是一種很常見的方式，很多正常的程序都用它，大家常用的QQ就是用這種方式實(shí)現(xiàn)自啟動的，但木馬卻很少用它。因?yàn)閱�動組的每人都會出現(xiàn)在“系統(tǒng)配置實(shí)用程序”(msconfig.exe，以下簡稱msconfig)中。事實(shí)上，出現(xiàn)在“開始”菜單的“程序\啟動”中足以引起菜鳥的注意，所以，相信不會有木馬用這種啟動方式。

　　二、通過Win.ini文件

　　隱蔽性：★★★

　　應(yīng)用程度：較低

　　應(yīng)用案例：Asylum

　　同啟動組一樣，這也是從Windows3.2開始就可以使用的方法，是從Win16遺傳到Win32的。在Windows3.2中，Win.ini就相當(dāng)于Windows9x中的注冊表，在該文件中的[Windows]域中的load和run項(xiàng)會在Windows啟動時運(yùn)行，這兩個項(xiàng)目也會出現(xiàn)在msconfig中。而且，在Windows98安裝完成后這兩項(xiàng)就會被Windows的程序使用了，也不很適合木馬使用。

　　三、通過注冊表啟動

　　1、通過HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

　　 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run和

　　　 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices

　　 隱蔽性：★★★☆

　　 應(yīng)用程度：極高

　　 應(yīng)用案例：BO2000，GOP，NetSpy，IEthief，冰河……

　　這是很多Windows程序都采用的方法，也是木馬最常用的。使用非常方便，但也容易被人發(fā)現(xiàn)，由于其應(yīng)用太廣，所以幾乎提到木馬，就會讓人想到這幾個注冊表中的主鍵，通常木馬會使用最后一個。使用Windows自帶的程序：msconfig或注冊表編輯器(regedit.exe，以下簡稱regedit)都可以將它輕易的刪除，所以這種方法并不十分可靠。但可以在木馬程序中加一個時間控件，以便實(shí)時監(jiān)視注冊表中自身的啟動鍵值是否存在，一旦發(fā)現(xiàn)被刪除，則立即重新寫入，以保證下次Windows啟動時自己能被運(yùn)行。這樣木馬程序和注冊表中的啟動鍵值之間形成了一種互相保護(hù)的狀態(tài)。木馬程序未中止，啟動鍵值就無法刪除(手工刪除后，木馬程序又自動添加上了)，相反的，不刪除啟動鍵值，下次啟動Windows還會啟動木馬。怎么辦呢?其實(shí)破解它并不難，即使在沒有任何工具軟件的情況下也能輕易解除這種互相保護(hù)。

　　破解方法：首先，以安全模式啟動Windows，這時，Windows不會加載注冊表中的項(xiàng)目，因此木馬不會被啟動，相互保護(hù)的狀況也就不攻自破了;然后，你就可以刪除注冊表中的鍵值和相應(yīng)的木馬程序了。

　　2、通過HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce

　　 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce和

　　　 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

　　 隱蔽性：★★★★

　　　 應(yīng)用程度：較低

　　　 應(yīng)用案例：Happy99月

　　這種方法好像用的人不是很多，但隱蔽性比上一種方法好，它的內(nèi)容不會出現(xiàn)在msconfig中。在這個鍵值下的項(xiàng)目和上一種相似，會在啟動時啟動，但Windows啟動后，該鍵值下的項(xiàng)目會被清空，因而不易被發(fā)現(xiàn)，但是只能啟動一次，木馬如何能發(fā)揮效果呢?

　　其實(shí)很簡單，不是只能啟動一次嗎?那木馬啟動成功后再在這里添加一次不就行了嗎?在Delphi中這不過3、5行程序。雖說這些項(xiàng)目不會出現(xiàn)在msconfig中，但是在Regedit中卻可以直接將它刪除，那么木馬也就從此失效了。

　　還有一種方法，不是在啟動的時候加而是在退出Windows的時候加，這要求木馬程序本身要截獲WIndows的消息，當(dāng)發(fā)現(xiàn)關(guān)閉Windows消息時，暫停關(guān)閉過程，添加注冊表項(xiàng)目，然后才開始關(guān)閉Windows，這樣用Regedit也找不到它的蹤跡了。這種方法也有個缺點(diǎn)，就是一旦Windows異 常中止(對于Windows9x這是經(jīng)常的)，木馬也就失效了。

　　破解他們的方法也可以用安全模式。

　　另外使用這三個鍵值并不完全一樣，通常木馬會選擇第一個，因?yàn)樵诘诙�個鍵值下的項(xiàng)目會在Windows啟動完成前運(yùn)行，并等待程序結(jié)束后才繼續(xù)啟動Windows。

標(biāo)簽： 安全 選擇

版權(quán)申明：本站文章部分自網(wǎng)絡(luò)，如有侵權(quán)，請聯(lián)系：west999com@outlook.com
特別注意：本站所有轉(zhuǎn)載文章言論不代表本站觀點(diǎn)！
本站所提供的圖片等素材，版權(quán)歸原作者所有，如需使用，請與原作者聯(lián)系。