麻豆av一区二区_爽好多水快深点欧美视频_2021久久国产精品不只是精品_一区二区国产精品_中文字幕欧美区_亚洲欧洲精品成人久久奇米网_欧美精品在线一区二区_中文字幕亚洲字幕_国产精品久久久久久婷婷天堂_国产伦精品一区二区三区免

畜牧人

標題: 總結一下AUTORUN類病毒的防治方法 [打印本頁]

作者: szhilei 時間: 2007-7-25 10:17
標題: 總結一下AUTORUN類病毒的防治方法
分析這些病毒，基本上是AUTORUN病毒，去年10月和今年年初爆發的威金和熊貓燒香病毒，也是利用了AUTORUN。AUTORUN類的病毒比較可恨，因為如果系統沒做防護的話，可能導致插入U盤及感染——即使你重做系統，格式化了多次。在這里，忍不住大罵微軟，組策略里有禁止光盤自動運行和禁止所有驅動器自動運行，為什么少一個僅運行光盤自動運行？而現在大量病毒都是利用了微軟的AUTORUN，他們打這個補丁應該不難（設備是光驅或是其他驅動器，返回值是不同的）。既然微軟不做，我們就要想著兒，怎么能夠防止AUTORUN類的病毒。
AUTORUN的運行機制我就不說了，以下基本上是總結他人的成果，結合自己的體會。

一定在斷網情況下安裝系統，因為這時系統可能缺少足夠的補丁，易受病毒攻擊。
內置管理員帳號Administrator應加上密碼，而且密碼不要是111、123之類的
系統重新裝好后，先不要著急裝軟件，需先設置禁止自動運行：方法，開始——>運行——>gpedit.msc——>計算機配置——>管理模版——>系統——>找到“關閉自動播放”，雙擊，選擇“已啟用”，關閉自動播放里選擇“所有驅動器”。
　　當然，執行這一步后，即使插入了帶AUTORUN病毒的U盤，病毒也不會自動運行。但我在實際中發現，有些機器也這樣設置了，但仍然感染AUTORUN病毒，出現這種情況，不是因為插入帶有AUTORUN病毒的U盤后病毒自動運行，而是因為人為的原因讓病毒運行了，這就是很多人打開U盤的習慣——雙擊我的電腦或打開我的電腦，然后雙擊盤符（當然包括U盤盤符），如果該分區根目錄上有AUTORUN.INF，雙擊盤符的默認動作將是運行AUTORUN.INF里指定的內容，比如病毒程序。所以說，這時病毒的運行，完全是你自己的原因，解決辦法——別雙擊盤符，改用資源管理器或者類似的軟件（如TotalCmd)打開。
　　有的時候，第3步的操作不能進行，因為有的機器的系統是XP HOME版，而不是XP Professional版，不含組策略。另外，有的人只會雙擊盤符打開（我遇到的99%的人都是采用這種方式），一旦使用資源管理器打開，就不會操作了或者非常不習慣，即使在資源管理器下也習慣雙擊盤符的方式，又會導致病毒運行，那還有其他的方法嗎？當然有——使用權限控制，見第4步。
禁止含有AUTORUN.INF的磁盤的默認自動運行動作
方法：開始——>運行——>regedit——>HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\——>找到MountPoints2分支項，鼠標右鍵選擇權限——>高級——>去掉“從父項繼承……”那個勾選，在彈出的對話框中選擇“刪除”，然后確定。
這樣，即使U盤里含有AUTORUN病毒，雙擊U盤盤符后，默認動作將不是運行AUTORUN.INF指定的程序，而是“打開”，從而避免了AUTORUN病毒的運行。當然，我們從上面的注冊表分支里看到，這種情況僅適用于“當前用戶”，如果你的電腦上有多個用戶，那么對沒有進行上述設置的用戶是無效的，該用戶雙擊盤符時，如果含有AUTORUN，默認動作是運行。這個沒什么好的解決辦法，只能一個一個用戶地設置，好在大多數電腦上的用戶都是一個。

　　附件是一個別人做的小腳本，安裝運行后，可以增加鼠標右鍵“顯示/隱藏系統文件”，有了這個，那些隱藏的病毒文件就可以看到了。另外，碰到一些人，機器感染病毒，感覺很納悶——機器裝了殺毒軟件怎么還感染病毒？結果就換殺毒軟件，但換的結果還是不靈。其實，即使機器裝了殺毒軟件，也不見得能識別出病毒，這是很正常的，在我看來，各種殺毒軟件都差不多，有了附件這個小腳本，可能殺毒軟件就能看到病毒并殺之了。

作者: smith 時間: 2007-11-1 15:14
其實這種防治方法就很好，俺曾看到深山紅葉的解決辦法，就是修改shell32.dll，使之不能識別AUTORUN.INF，這種辦法雖然有效，但太BT了，因為修改了系統的內核文件，而且，深山紅葉的方法容易短壽，因為XP系統總出漏洞，微軟經常打補丁升級，其中shell32.dll就是一個重點關照的對象，一旦補丁更新了shell32.dll，深山紅葉的方法就不靈了。
附深山紅葉的解決辦法：
不少人都有這樣的經歷：中毒了，格式化C:盤了，重裝系統了。但重裝后片刻，居然發現病毒立即又卷土重來！原來這類病毒是利用了磁盤的 Autorun 即自動播放特性而實現自動激活的——當你重裝一套干凈系統后，只需點擊任何一只染毒的其他分區盤符，病毒應付立即被激活！

對此，有人說以后右擊盤符再選擇資源管理器打開；有人說格式化全部分區；有人說安裝系統后立即安裝殺毒軟件；有人說在PE下掃描病毒后再重裝，也有人說安裝后立即通過組策略關閉自動播放功能……但都有一個共同缺點：需要安裝后立即采取人工干預！而我們安裝系統后，經常可能會不經意間打開其他分區盤符——于是就算高手也仍然難免不小心重復中招！尤其是右擊盤符打開的操作，本來以前是安全的，但現在的病毒同樣在 Autorun.inf 中定義假的“打開”和“資源管理器”的選項了，右擊盤符也不安全！

對此，深山紅葉提出一種徹底解決這種麻煩的辦法：既然自動播放功能是如此的雞肋，其帶來的方便性遠遠比不上它帶來的安全威脅，那么何不干脆徹底“閹割”掉它！

“閹割”的原理是修改Windows系統文件，讓系統打開磁盤時，本來是尋找 Autorun.inf 這個文件以激活自動播放的，我們可讓它去尋找一個錯誤的文件名！即把系統文件中 Autorun.inf 隨意改成其他別的不太可能存在的怪名字即可！

經過一番跟蹤分析，發現調用 Autorun.inf 的功能是由 Shell32.dll 來完成的，那么就拿它開刀！

使用任意一款 16 進制編輯器，如 Ultra Edit 或 Winhex、Hedit 等均可，先將 Windows\system32\Shell32.dll 備份到一個臨時目錄，然后用 16 進制編輯器打開備份目錄中的 Shell32.dll，按 Ctrl+F，輸入 Autorun.inf，并以雙字節模式搜索（即搜索對話框中的16進制輸入框中每對字符之間手工添加一對0，即 00），搜索到 Autorun.inf 后，改成你自己愿意的字母，越古怪越好！

修改好后存盤，同時替換 System32\dllcache 目錄和 System32 目錄下的同名文件（可先把當前存在的文件改名后再復制修改過的文件過去），重啟后即可生效。

歡迎光臨畜牧人 (http://www.cqnsfzw.com/)