■鐵生

防御流氓軟件和惡意網(wǎng)站對系統(tǒng)修改的方法

■鐵生

網(wǎng)頁上瀏覽也會中木馬?當(dāng)然，由于IE自身的漏洞，使這樣的新式入侵手法成為可能，方法就是利用了微軟的可以嵌入ex文件的eml文件的漏洞，將木馬放在eml文件里，然后用一段惡意代碼指向它上網(wǎng)者瀏覽到該惡意網(wǎng)頁，就會在不知不覺中下載了木馬并執(zhí)行，其間沒有任何提示和警告!

現(xiàn)在使用IE5瀏覽器的已經(jīng)很少了,現(xiàn)在最低的也差不多是用I6以上版本吧,當(dāng)然現(xiàn)在還是存在一些牛人些的網(wǎng)站掛馬腳本,做好自身的網(wǎng)絡(luò)安全防御也是很有必要的。

好在現(xiàn)在網(wǎng)絡(luò)上的流氓軟件可謂是多如牛毛,大家在下載的時候最好去官方下載。1.啟動時彈出對話框現(xiàn)象描述∶

系統(tǒng)啟動時彈出對話框，通常是一些廣告信息，例如歡迎訪問某某網(wǎng)站等等。

開機彈出網(wǎng)頁，通常會彈出很多窗口，讓你措手不及，惡毒一點的可以重復(fù)彈出窗口直到死機。

解決方法∶

(1).彈出對話框。打開注冊表編輯器，找到HKEY_LOCA L_MA

CHINESoftwareMicrosoftWindowsCurrentVersion

Winlogon主鍵

然后在右邊窗口中找到”LegalNoticeCaption”和”LegalNoticeText”這兩個字符串，刪除這兩個字符串就可以解決在啟動時出現(xiàn)提示框的現(xiàn)象了

(2).彈出網(wǎng)頁。點擊”開始-運行-輸入msconfig”,選擇”啟動”把里面后綴為urlhtmlhtm網(wǎng)址文件都勾掉。

2.IE窗口定時彈出

現(xiàn)象描述∶中招者的機器每隔一段時間就彈出IE窗口，地址指向網(wǎng)絡(luò)注氓的個人主頁。不曉得是不是網(wǎng)絡(luò)流氓以為這樣你就會經(jīng)常光顧?

解決方法∶點擊”開始-運行-輸入msconfig”,選擇”啟動”把里面后綴為hta都勾掉，重啟。

3.篡改IE標題欄

現(xiàn)象描述∶系統(tǒng)默認狀態(tài)下，由應(yīng)用順序自身來提供標題欄的信息。但是有些網(wǎng)絡(luò)流氓為了達到廣告宣傳的目的將串值”WindowTitle”下的鍵值改為其網(wǎng)站名或更多的廣告信息，從而達到改變IE標題欄的目的非要別人看他東西，而且是通過非法的修改手段，除了”無恥”兩個字，再沒有其他形容詞了

解決方法∶展開注冊表到HKEY_LOCA L_MA CHINESoftwareMicrosoftInternetExplorerMain下，右半局部窗口找到串值”WindowTitle”將該串值刪除。重新啟動計算機。

4.篡改默認搜索引擎

現(xiàn)象描述∶IE瀏覽器的工具欄中有一個搜索引擎的工具按鈕，可以實現(xiàn)網(wǎng)絡(luò)搜索，被篡改后只要點擊那個搜索工具按鈕就會鏈接到網(wǎng)絡(luò)注氓想要你去的網(wǎng)站。

解決方法∶運行注冊表編輯器，依次展開HKEY_LOCA L_MA CHINESoftwareMicrosoftInternetExplorerSearch

CustomizeSearch和HKEY_LOCA L_MA CHINESoftware

MicrosoftInternetExplorerSearchSearchA ssistant,將Customize Search及SearchA ssist鍵值改為某個搜索引擎的網(wǎng)址即可。

5.IE右鍵修改

現(xiàn)象描述∶有的網(wǎng)絡(luò)流氓為了宣傳的目的將你右鍵彈出的功能菜單進行了修改，并且加入了一些亂七八糟的東西，甚至為了禁止你下載，將IE窗口中單擊右鍵的功能都屏蔽掉。

解決方法∶

（1）右鍵菜單被修改。打開注冊表編輯器，找到HKEY_CURRENT_USERSoftwareMicrosoftInternetExplorer MenuExt刪除相關(guān)的廣告條文。

（2）右鍵功能失效。打開注冊表編輯器，展開到HKEY_CURRENT_USERSoftwarePoliciesMicrosoftInternetExplorerRestrict將其DWORD值”NoBrowserContextMenu”值改為0

6.篡改地址欄文字

現(xiàn)象描述∶中招者的IE地址欄下方出現(xiàn)一些莫名其妙的文字和圖標，地址欄里的下拉框里也有大量的地址，并不是以前訪問過的

解決方法∶

（1）地址欄下的文字。HKEY_CURRENT_USERSoftwareMicrosoftInternetExplorerToolBar下找到鍵值LinksFolderNam將其中的內(nèi)容刪去即可。

（2）地址欄中無用的地址。HKEY_CURRENT_USERSoftwareMicrosoftInternetExplorerTypeURL中刪除無用的鍵值即可。

7.注冊表的鎖定

現(xiàn)象描述∶有時瀏覽了惡意網(wǎng)頁后系統(tǒng)被修改，想要用Regedit更改時，卻發(fā)現(xiàn)系統(tǒng)提示你沒有權(quán)限運行該程序，然后讓你聯(lián)系管理員。暈了!動了東西還不讓改，這是哪門子的道理!

解決方法∶能夠修改注冊表的又不止Regedit一個，找一個注冊表編輯器，例如∶Reghanc將注冊表中的HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrent VersionPoliciesSystem下的DWORD值”DisableRegistryTools”鍵值恢復(fù)為”0″即可恢復(fù)注冊表。

8.默認主頁修改

現(xiàn)象描述∶一些網(wǎng)站為了提高自己的訪問量和做廣告宣傳，利用IE漏洞，將訪問者的IE不由分說地進行修改。一般改掉你起始頁和默認主頁，為了不讓你改回去，甚至將IE選項中的默認主頁按鈕變?yōu)槭У幕疑?。不愧是網(wǎng)絡(luò)流氓的一慣做風(fēng)。

解決方法∶

(1)起始頁的修改。展開注冊表到HKEY_LOCA L_MA CHINESoftwareMicrosoftInternetExplorerMain右半局部窗口中將”StartPage”鍵值改為”about∶blank”即可。同理，展開注冊表到HKEY_CURRENT_USERSoftwareMicrosoftInternet

ExplorerMain右半局部窗口中將”StartPage”鍵值改為”about∶blank”即可。

注意∶有時進行了以上方法后仍然沒有生效，估計是有程序加載到啟動項的緣故，就算修改了下次啟動時也會自動運行順序，將上述設(shè)置改回來，解決方法如下∶

運行注冊表編輯器Regedit.ex然后依次展開HKEY_LOCA L_MA CHINESoftwareMicrosoftWindows

CurrentVersionRun主鍵，然后將下面的”registry.exe”子鍵(名字不固定)刪除，最后刪除硬盤里的同名可執(zhí)行程序。

退出注冊編輯器，重新啟動計算機，問題就解決了

(2)默認主頁的修改。運行注冊表編輯器，展開HKEY_LOCAL_MACHINESoftwareMicrosoftInternetExplorerMain將Default-Page-URL子鍵的鍵值中的那些惡意網(wǎng)站的網(wǎng)址改正，或者設(shè)置為IE默認值。

(3).IE選項按鈕失效。運行注冊表編輯器，將HKEY_CURRENT_USERSoftwarePoliciesMicrosoftInternet

ExplorerControlPanel中的DWORD值”Settings”=dword∶1″Links”=dword∶1″SecA ddSites”=dword∶1全部改為”0″將HKEY_USERS.DEFA ULTSoftwarePoliciesMicrosoftInternetExplorerControlPanel下的DWORD值”homepage”鍵值改為”0″

9.禁止使用電腦

現(xiàn)象描述∶盡管網(wǎng)絡(luò)流氓們用這一招的不多，但是一旦你中招了后果真是不堪設(shè)想!瀏覽了含有這種惡意代碼的網(wǎng)頁其后果是∶”關(guān)閉系統(tǒng)””運行””注銷”注冊表編輯器、DOS順序、運行任何順序被禁止，系統(tǒng)無法進入”實模式”驅(qū)動器被隱藏。

解決方法∶一般來說上述現(xiàn)象你都遇上了話，基本上系統(tǒng)就給“廢”建議重裝。

10.格式化硬盤

現(xiàn)象描述∶這類惡意代碼的特征就是利用IE執(zhí)行ActiveX功能，讓你無意中格式化自己的硬盤。

只要你瀏覽了含有它網(wǎng)頁，瀏覽器就會彈出一個警告說“當(dāng)前的頁面含有不安全的ctiveX可能會對你造成危害”問你是否執(zhí)行。

如果你選擇“是”的話，硬盤就會被快速格式化，因為格式化時窗口是最小化的可能根本就沒注意，等發(fā)現(xiàn)時已悔之晚矣。

解決方法∶除非你知道自己是做什么，否則不要隨便回答，否則該提示信息可以被修改，如改成”Window正在刪除本機的臨時文件，否繼續(xù)”所以千萬要注意!此外，將計算機上Format.comFdisk.exDel.exDeltree.ex等命令改名也是一個辦法。