收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 原创工具区 › 关于木马的问题！（求各位过路的英雄帮助一下）
返回列表 发新帖
查看: 2203|回复: 8
收起左侧

[讨论] 关于木马的问题！（求各位过路的英雄帮助一下）

[复制链接]
shao801119
发表于 2007-8-27 01:02:10 | 显示全部楼层 |阅读模式
卡6刚出的时候，发现卡6比卡5杀毒能力强很多，而且资源占用、杀毒速度都好很多，所以对卡6也很信任，有什么杀不了的毒就用卡6一杀了之。但杀软不是万能的，病毒更新太快了，特别是最近三个月，郁闷的事越来越多，很多木马杀软都无能为力。我用过卡6、蜘蛛、小红伞、咖啡，同时查杀一种木马都无能为力，而且有时连木马都查不到。说到AVG的话，去年用的时候感觉还好，不过今年就不用提了，让人很不放心。360对有些木马还是比较有效的，不过估计也是时间问题。所以我觉得只能自己掌握木马的原理，配合杀软才能有效保证系统的相对安全。（虽说重装系统简单方便而且做得到彻底，但必竟不是所有电脑都能重装系统的。）

       我想请教卡饭的高手，这些木马都是怎么启动自身的，如何将自身隐藏让杀软无法查到，如何注入到正常进程中的，我们对于这些高级的木马如何防范？
       求卡饭的高手伸出援助之手！！
回复

举报

ALEXBLAIR
发表于 2007-8-27 01:27:28 | 显示全部楼层
这个问题很广泛阿
以注册表为例，常见的启动项目就包括

  2. [anyfile_open]
  3. key=HKEY_CLASSES_ROOT\*file\shell\open\command
  4. 1=*

  6. [anyfile_runas]
  7. key=HKEY_CLASSES_ROOT\*file\shell\runas\command
  8. 1=*

  10. [AEDebug]
  11. key=*\Software\Microsoft\Windows NT\CurrentVersion\AEDebug
  12. 1=Debugger

  14. [Winlogon_Shell]
  15. key=*\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
  16. 1=Shell
  17. 2=UserInit
  18. 3=System

  20. [Winlogon_Notify]
  21. key=*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\*
  22. 1=DllName

  24. [Main_Run]
  25. key=*\Software\Microsoft\Windows*\CurrentVersion\Run*
  26. 1=*

  28. [ICQ_Agent]
  29. key=HKCU\Software\Mirabilis\ICQ\Agent\Apps
  30. 1=*

  32. [ICQ_Path]
  33. key=HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\ICQ*
  34. 1=Path

  36. [ActiveSetup]
  37. key=HKLM\Software\Microsoft\Active Setup\Installed Components\*
  38. 1=StubPath

  40. [WOW_BOOT]
  41. key=HKLM\Software\Microsoft\Windows NT\CurrentVersion\WOW\BOOT
  42. 1=*

  44. [WOW_NonWindowsApp]
  45. key=HKLM\Software\Microsoft\Windows NT\CurrentVersion\WOW\NonWindowsApp
  46. 1=*

  48. [WOW_Standard]
  49. key=HKLM\Software\Microsoft\Windows NT\CurrentVersion\WOW\Standard
  50. 1=*

  52. [CurrentVersion_Drivers]
  53. key=HKLM\Software\Microsoft\Windows NT\CurrentVersion\Drivers
  54. 1=*

  56. [CurrentVersion_Drivers32]
  57. key=HKLM\Software\Microsoft\Windows NT\CurrentVersion\Drivers32
  58. 1=*

  60. [AppInit_DLLs]
  61. key=HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows
  62. 1=AppInit_DLLs

  64. [ShellServiceObjectDelayLoad]
  65. key=*\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
  66. 1=*

  68. [BootExecute]
  69. key=HKLM\system\currentcontrolset\control\Session Manager
  70. 1=BootExecute

  72. [VBA_Monitors]
  73. key=HKLM\SOFTWARE\Microsoft\VBA\Monitors\*
  74. 1=CLSID

  76. [SCRNSAVE]
  77. key=*\Control Panel\Desktop
  78. 1=SCRNSAVE.EXE

  80. [SharedTaskScheduler]
  81. key=*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler
  82. 1=*

  84. [ShellExecuteHooks]
  85. key=*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks
  86. 1=*

  88. [System_Scripts]
  89. key=*\Software\Policies\Microsoft\Windows\System\Scripts\*
  90. 1=*

  92. [Explorer_Run]
  93. key=*\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
  94. 1=*

  96. [WinSock2_Parameters]
  97. key=HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries
  98. recursive=1
  99. 1=*

  101. [Taskman]
  102. key=*\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
  103. 1=Taskman

  105. [Policies_Shell]
  106. key=*\Software\Microsoft\Windows\CurrentVersion\Policies\System
  107. 1=Shell

  109. [Shell Extensions]
  110. key=HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved
  111. 1=*

  113. [Command_Processor_AutoRun]
  114. key=*\Software\Microsoft\Command Processor
  115. 1=AutoRun

  117. [Explorer_FileExts]
  118. key=HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.exe
  119. 1=*

  121. [MPRServices]
  122. key=HKLM\System\CurrentControlSet\Control\MPRServices\*
  123. 1=DLLName

  125. [Common Startup]
  126. key=HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
  127. 1=Common Startup

  129. [Users_Startup]
  130. key=HKEY_USERS\*\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
  131. 1=Startup

  133. [Environment_ComSpec]
  134. key=HKLM\SYSTEM\ControlSet???\Control\Session Manager\Environment
  135. 1=ComSpec

  137. [GinaDLL]
  138. key=HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
  139. 1=GinaDLL

  141. [BootVerificationProgram]
  142. key=HKLM\SYSTEM\ControlSet???\Control\BootVerificationProgram
  143. 1=ImagePath

  145. [VirtualDeviceDrivers]
  146. key=HKLM\SYSTEM\ControlSet???\Control\VirtualDeviceDrivers
  147. 1=VDD

  149. [SafeBoot_AlternateShell]
  150. key=HKLM\SYSTEM\ControlSet???\Control\SafeBoot
  151. 1=AlternateShell

  153. [SafeBoot_Minimal]
  154. key=HKLM\SYSTEM\ControlSet???\Control\SafeBoot\Minimal\*
  155. 1=ImagePath

  157. [SafeBoot_Network]
  158. key=HKLM\SYSTEM\ControlSet???\Control\SafeBoot\Network\*
  159. 1=ImagePath
  160.    
  161. [SafeBoot_Minimal_Parameters]
  162. key=HKLM\SYSTEM\ControlSet???\Control\SafeBoot\Minimal\*\Parameters
  163. 1=ServiceDll

  165. [Main_Run_CUser]
  166. key=HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
  167. 1=load
  168. 2=run

  170. [SafeBoot_Network_Parameters]
  171. key=HKLM\SYSTEM\ControlSet???\Control\SafeBoot\Network\*\Parameters
  172. 1=ServiceDll

  174. [ImageFileExecutionOptions]
  175. key=HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*
  176. 1=Debugger

复制代码
回复

举报

ALEXBLAIR
发表于 2007-8-27 01:30:29 | 显示全部楼层
当然，从特征码的角度看，还有常见的花指令，加壳等方法。
方法有很多，系统漏洞利用也算一种
只有想不到，没有做不到。
杀毒软件不可能杀遍所有的病毒，如果真的要防御的话，建议用FF+HIPS的策略
这样可以把损失降到比较客观的程度。
回复

举报

ALEXBLAIR
发表于 2007-8-27 01:36:50 | 显示全部楼层
如果你对系统比较了解，建议使用TINY这个HIPS，可以做到秒杀一切木马。
如果你对系统不是很感兴趣，那么简单易用的EQ和PS或者犀牛也都是不错的HIPS选择。
回复

举报

shao801119
 楼主| 发表于 2007-8-27 10:42:13 | 显示全部楼层
嗯，谢谢楼上的，我也知道这个问题很广泛，没办法，现在的木马真的很厉害，真的是只有想不到没有做不到的。

如果是我自己的电脑我可以去做防御，我现在也准备重做系统，装个HIPS的软件来试试。

因为每个人的电脑水平都不一样，HIPS对于使用者的水平应该有一定要求的，而且听说用起来比较麻烦，一般人都不愿意用这种软件。对于已经中了毒的，不知道 HIPS软件能做到何种程度(还没用过HIPS软件)，比如对付注入正常进程的木马，还有就是利用驱动程序自动启动。

我现在想重装系统，想问一下，咖啡配什么HIPS软件比较好用。
回复

举报

ALEXBLAIR
发表于 2007-8-27 10:53:01 | 显示全部楼层

回复 #5 shao801119 的帖子

咖啡企业版本还是个人版本？
回复

举报

shao801119
 楼主| 发表于 2007-8-27 11:19:34 | 显示全部楼层
8.5I的企业版的
回复

举报

ALEXBLAIR
发表于 2007-8-27 11:51:01 | 显示全部楼层
企业版本的貌似可以用EQ，但是要关闭它的FD功能。
其实，咖啡的FD本身就是业界最强之一的，用得好的话，也可以百毒不侵哦！
回复

举报

shao801119
 楼主| 发表于 2007-8-27 15:09:18 | 显示全部楼层
必竟是工作的电脑,杀毒软件偶是必装了,先装咖啡+EQ试试,不知道会不会死机,
关于一楼问题,希望大家多多帮助啊,,,
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-12-24 00:37 , Processed in 0.145827 second(s), 17 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表