電腦中毒現(xiàn)象

時間：2016-03-30 08:41:04 林輝766由分享

　　你的電腦是不是卡的要死，或者動不了呢，那是因為電腦中毒了，下面由學習啦小編給你做出詳細的介紹!希望對你有幫助!

　　電腦中毒現(xiàn)象：

　　1、所謂的映像劫持IFEO就是Image File Execution Options

　　(其實應該稱為“Image Hijack”。)

　　它是位于注冊表的

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

　　IFEO的本意是為一些在默認系統(tǒng)環(huán)境中運行時可能引發(fā)錯誤的程序執(zhí)行體提供特殊的環(huán)境設定。由于這個項主要是用來調(diào)試程序用的，對一般用戶意義不大。默認是只有管理員和local system有權(quán)讀寫修改。

　　當一個可執(zhí)行程序位于IFEO的控制中時，它的內(nèi)存分配則根據(jù)該程序的參數(shù)來設定，而WindowsN T架構(gòu)的系統(tǒng)能通過這個注冊表項使用與可執(zhí)行程序文件名匹配的項目作為程序載入時的控制依據(jù)，最終得以設定一個程序的堆管理機制和一些輔助機制等。出于簡化原因，IFEO使用忽略路徑的方式來匹配它所要控制的程序文件名，所以程序無論放在哪個路徑，只要名字沒有變化，它就運行出問題。

　　先看看常規(guī)病毒等怎么修改注冊表來達到隨機啟動吧。

　　病毒、蠕蟲和，木馬等仍然使用眾所皆知并且過度使用的注冊表鍵值，如下：

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

　　HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify

　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

　　等等。

　　2.另外一種劫持的方法是:在目標程序目錄下建立與系統(tǒng)DLL相同的導出函數(shù),執(zhí)行內(nèi)容為

　　f=LoadLibrary(byref "c:\windows\system32\"+dllname)

　　f=GetProcAddress(byval f,byref procname)

　　!jmp f