系统安全之Windows启动安全隐患详解(5)

作为默认这个位置是不存在的，默认为是Explorer.exe。

注意：一定要确定根目录下的Explorer.exe要能启动Windows目录下的Explorer.exe，否则会导致Windows无法启动！现在流行的病毒CodeRed就会在C:\和D:\目录下放置两个约8KB的Explorer.exe的文件！

2．屏幕保护启动方式

Windows的屏幕保护程序是一个.scr文件。这是一个PE格式的可执行文件。如果把屏幕保护程序.scr更名为.exe的文件，则该程序仍然可以正常启动。类似的.exe文件更名为.scr文件也是一样可以被运行！

.scr文件默认存在于C:\Windows目录中，它的名字就是在“显示”属性中的“屏幕保护程序”中的名称。在C:\Windows目录下的所有.scr文件都会被Windows的“屏幕保护程序”显示，而文件路径本身保存在System.ini中的“Scrnsave.exe =”的这条中。

有意思的是在“Scrnsave.exe =”这条中，其规定的路径也包含了目录名称。即如果我们想安装一个.scr文件时，其安装路径为D:\SCR\1.scr，而D:\SCR\这个目录中还有2.scr，则在这个目录中的所有.scr（1.scr，2.scr）文件都会被显示在“屏幕保护程序”设置中。如果屏幕保护程序设为“（无）”，则“Scrnsave.exe =”这条不存在。但如果“Scrnsave.exe=”这条所指的文件或目录是错误的，则在“屏幕保护程序设置”中仍然会显示“（无）”。

屏幕保护程序的启动时间保存在注册表中的这个位置上：

HKEY_USERS\.DEFAULT\Control Panel\desktop\ScreenSaveTimeOut

时间单位为秒，不过虽然是秒，可启动时间却为分，即从60秒开始记录，如果记录时间小于60秒，则自动定为1分钟。

屏幕保护是否设置密码的键值为：

HKEY_USERS\.DEFAULT\Control Panel\desktop\ScreenSaveUsePassword

有密码则值为1，没有密码则值为0。

由此可见，如果有人把自己所作的.exe程序更名为.scr的程序，并使程序能够在System.ini中添加“Scrnsave.exe=/%Path%/file.scr”（/%Path%/file.scr为所需要设置的文件的路径和文件名，如C:\Program files\trojan.scr），修改注册表中的HKEY_USERS\.DEFAULT\Control Panel\desktop\ScreenSaveTimeOut，定时间为60，则系统只要闲置一分钟该文件就会被启动！

另外一个简单的破坏方式就是可以随机产生屏幕保护密码并写入相应文件的相应位置，定时间为1分钟，则系统只要闲置一分钟则会被被锁！

注意：由于“Scrnsave.exe=”还会定义.scr文件的路径，所以最好不要把要启动的文件放置在.scr文件较多的一些目录，否则容易引起怀疑。（Windows目录除外）

五、自动启动相关

1．代启动

这种启动方式其实只是一个方法的问题。即可以用启动一个正常文件来启动另一个文件，SubSeven就用过启动Windos.exe从而启动SubSeven的Sever文件的方法。

2．Start启动

在“运行”中或“MS-DOS”方式中输入“start”（回车），则会显示：

Runs a Windows program or an MS-DOS program.



START [options] program [arg…]



START [options] document.ext



/m[inimized] Run the new program minimized (in the background).



/max[imized] Run the new program maximized (in the foreground).



/r[estored] Run the new program restored (in the foreground). [default]



/w[ait] Does not return until the other program exits.

如果要启动的程序配合这个命令，则可以更加隐蔽，如：

start/m file.exe

3．控制面板启动

这是利用控制面板程序可以被类似DLL执行，从而达到启动目的。

在控制面板中，.cpl文件是控制面板的原文件。默认的这些文件都会被放置在/％Windows％/System/目录下的，如desk.cpl是桌面属性、inetcpl.cpl是Internet选项之类。但这些.cpl文件全都是PE格式文件，也就是说如果用户把一个可执行的类似DLL的.cpl文件放入%\Windows%\System\中，则在控制面板中可看到其图标，并可执行！

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有