摘 要 注冊(cè)表對(duì)于操作系統(tǒng)而言十分重要,記錄了操作系統(tǒng)的硬件和軟件的相關(guān)信息,直接的決定了操作系統(tǒng)的行為,而目前而言病毒或者木馬等十分容易通過(guò)修改注冊(cè)表來(lái)入侵操作系統(tǒng)從而實(shí)現(xiàn)某些非法的目的。修改注冊(cè)表是windows系統(tǒng)下面的計(jì)算機(jī)病毒對(duì)于系統(tǒng)進(jìn)行感染和破壞的一個(gè)經(jīng)常使用的手段,因此對(duì)其進(jìn)行防治顯得十分重要。本文主要對(duì)于計(jì)算機(jī)病毒修改windows操作系統(tǒng)的注冊(cè)表的相關(guān)原理進(jìn)行了詳細(xì)的分析,并且分析了現(xiàn)有的幾種注冊(cè)表常用的安全設(shè)置,希望能夠起到一定的參考價(jià)值。
關(guān)鍵詞 計(jì)算機(jī)病毒 windows操作系統(tǒng) 注冊(cè)表
中圖分類號(hào):TP309.5 文獻(xiàn)標(biāo)識(shí)碼:A
0引言
計(jì)算機(jī)病毒的出現(xiàn)給計(jì)算機(jī)用戶帶來(lái)了很多不必要的麻煩,而目前來(lái)看計(jì)算機(jī)病毒使用的最為廣泛的范圍就是對(duì)windows系統(tǒng)的入侵。病毒的種類十分繁多,且變化也很快,具有非常大的破壞能力。注冊(cè)表作為windows系統(tǒng)中的管理機(jī)制,能夠幫助操作系統(tǒng)控制硬件、軟件以及用戶環(huán)境等相關(guān)的一系列數(shù)據(jù),是保證系統(tǒng)能夠正常的運(yùn)行并且使得核心數(shù)據(jù)能夠得到保存的必要條件??梢赃@樣說(shuō),只要能夠掌握系統(tǒng)的注冊(cè)表,就是掌握了系統(tǒng)的整個(gè)操作情況以及所具備的軟件贏得情況,只要通過(guò)篡改注冊(cè)表就能夠使得系統(tǒng)滿足用戶的特點(diǎn)行為要求,從而達(dá)到自己的目的,因此在病毒的入侵方式中,修改windows操作系統(tǒng)的系統(tǒng)注冊(cè)表是十分常見(jiàn)的一種方式。因此,對(duì)計(jì)算機(jī)病毒如何修改windows系統(tǒng),以及對(duì)修改windows系統(tǒng)的注冊(cè)表原理進(jìn)行解析,對(duì)預(yù)防windows操作系統(tǒng)的注冊(cè)表被病毒非法入侵有著十分重要的意義。
1注冊(cè)表簡(jiǎn)介
注冊(cè)表對(duì)于操作系統(tǒng)來(lái)說(shuō)非常重要,其內(nèi)部存儲(chǔ)著操作系統(tǒng)的重要相關(guān)信息,是操作系統(tǒng)的關(guān)鍵組成部分。其主要是由根鍵以及子鍵一起構(gòu)成的,這種結(jié)構(gòu)和資源管理器中的目錄比較像。其中,根鍵是注冊(cè)表中的最基礎(chǔ)的的鍵,和磁盤(pán)中的根目錄十分相似,而子健則是在根鍵之下的,同時(shí)一個(gè)子鍵也可以嵌套在其他的子鍵之中。注冊(cè)表的根鍵主要分為5大類,這每個(gè)主鍵中又存在著上千萬(wàn)個(gè)子鍵。同時(shí),在每個(gè)根鍵和子鍵下有一些鍵值數(shù)據(jù)項(xiàng),也可以將其稱作為鍵值項(xiàng)。鍵值數(shù)據(jù)項(xiàng)主要包括鍵值的類型,鍵值的數(shù)據(jù)以及鍵值的名稱這幾個(gè)部分。
2修改注冊(cè)表目的
無(wú)論是哪一種的計(jì)算機(jī)病毒,在準(zhǔn)備感染系統(tǒng)的時(shí)候都會(huì)想辦法盡可能的將自己隱藏起來(lái),從而更好地躲過(guò)計(jì)算機(jī)系統(tǒng)中的殺毒軟件以及用戶的追殺,然后在此趁機(jī)了解到計(jì)算機(jī)的環(huán)境,以便于在適當(dāng)?shù)臅r(shí)候可以在系統(tǒng)中進(jìn)行破壞達(dá)到自己的目的。而注冊(cè)表是操作系統(tǒng)的核心部分,修改注冊(cè)表恰好可以達(dá)到這些非法的目的,因此計(jì)算機(jī)病毒在入侵計(jì)算機(jī)的時(shí)候,主要通過(guò)修改注冊(cè)表的方式來(lái)完成,其主要的方法可以總結(jié)為如下幾種方式:
(1)得到系統(tǒng)基本信息。由于計(jì)算機(jī)計(jì)算機(jī)系統(tǒng)中的注冊(cè)表中記錄著系統(tǒng)基本的信息,例如操作系統(tǒng)的類型、系統(tǒng)安裝的服務(wù)程度、IE等應(yīng)用軟件具有的版本信息等。病毒可以通過(guò)注冊(cè)表獲得這些信息,從而分析出系統(tǒng)以及軟件本身具有的漏洞,然后對(duì)其加以利用。
(2)實(shí)現(xiàn)開(kāi)機(jī)自啟或內(nèi)存常駐。通常情況下,windows系統(tǒng)在啟動(dòng)的時(shí)候,會(huì)自動(dòng)的家在注冊(cè)表下的指定的鍵值所指向的程序以及相關(guān)的系統(tǒng)服務(wù),而病毒可以通過(guò)對(duì)注冊(cè)表中的鍵值的修改,使得windows系統(tǒng)在開(kāi)機(jī)的時(shí)候自動(dòng)的開(kāi)啟病毒從而達(dá)到感染其他的主機(jī)以及其內(nèi)部的文件的目的,這樣病毒就可以進(jìn)行更加長(zhǎng)久的破壞任務(wù)。簡(jiǎn)而言之,就是病毒可以通過(guò)修改系統(tǒng)中的注冊(cè)表,來(lái)達(dá)到開(kāi)機(jī)自啟病毒,以及病毒在系統(tǒng)中常駐的目的,從而更好的實(shí)現(xiàn)破壞系統(tǒng)或者實(shí)現(xiàn)自身非法目的的目標(biāo)。
(3)更改主頁(yè)設(shè)置,破壞系統(tǒng)功能。病毒可以通過(guò)修改windows系統(tǒng)中注冊(cè)表內(nèi)部的某些特定的鍵值項(xiàng)來(lái)改變系統(tǒng)的某些功能以及系統(tǒng)中軟件的配置情況,例如可以更改主頁(yè)的設(shè)置,從而禁止系統(tǒng)的IE安全選項(xiàng),禁止對(duì)內(nèi)部的臨時(shí)文件進(jìn)行更改等,從而使得系統(tǒng)的功能遭到破壞,系統(tǒng)難以正常的工作。
3修改注冊(cè)表方法
在通常的情況下,普通用戶想要對(duì)注冊(cè)表進(jìn)行修改主要可以通過(guò)這兩種方式:
(1)直接的通過(guò)軟件來(lái)對(duì)注冊(cè)表進(jìn)行修改。最常見(jiàn)的方式,是通過(guò)系統(tǒng)自帶的注冊(cè)表編輯器regedit.exe來(lái)對(duì)注冊(cè)表進(jìn)行直接的操作,同時(shí)也可以通過(guò)第三方的軟件進(jìn)行修改,例如windows優(yōu)化大師是一種比較常見(jiàn)的使用軟件。
(2)通過(guò)編寫(xiě)特定的執(zhí)行文本。用戶可以通過(guò)對(duì)注冊(cè)表文件進(jìn)行編寫(xiě),然后將其導(dǎo)入到注冊(cè)表中的方式來(lái)對(duì)注冊(cè)表進(jìn)行修改,還可以通過(guò)編寫(xiě)特定的批處理文件來(lái)對(duì)注冊(cè)表進(jìn)行修改。
而對(duì)于病毒來(lái)說(shuō),病毒想要修改注冊(cè)表文件往往會(huì)采用一些非常規(guī)的方式,從而達(dá)到自己的隱蔽性要求。不同的病毒修改注冊(cè)表文件的方式不同,病毒可以分為宏病毒、劍本病毒、網(wǎng)頁(yè)病毒以及win32 PE病毒這常見(jiàn)的四類,下面對(duì)其進(jìn)行具體的分析。
3.1宏病毒的修改
所謂宏病毒,就是使用宏語(yǔ)言進(jìn)行編寫(xiě)的一種程序,是一種特殊的宏,能夠自動(dòng)的修改office軟件的一些自動(dòng)的宏,這樣在打開(kāi)office文件的時(shí)候,文件就可以自動(dòng)的啟動(dòng)了,并且能夠通過(guò)將其附加在文檔中從而進(jìn)行傳播。目前來(lái)看,宏語(yǔ)言的功能非常的強(qiáng)大,宏病毒對(duì)注冊(cè)表的修改的原理非常的簡(jiǎn)單,主要就是通過(guò)對(duì)宏語(yǔ)言程序的表寫(xiě)來(lái)實(shí)現(xiàn)的,從而調(diào)動(dòng)紅語(yǔ)言提供的操作系統(tǒng)的注冊(cè)表的功能,來(lái)實(shí)現(xiàn)對(duì)注冊(cè)表的修改的目的。宏病毒可以通過(guò)使宏菜單的安全性選項(xiàng)失效的原則,或者采用使工具菜單的宏失效的原則,來(lái)改變宏的安全級(jí)別,使得office軟件失去了自身的免疫力,從而能夠在一定的程度上對(duì)病毒進(jìn)行自我保護(hù),防止系統(tǒng)將病毒查殺出來(lái)。
3.2腳本病毒修改
所謂腳本病毒,指的往往是使用腳本語(yǔ)言來(lái)編寫(xiě)的病毒,例如使用VBscript、PHP或者JavaScript語(yǔ)言等編寫(xiě)。在這里,我們使用VBscript作為例子來(lái)進(jìn)行腳本病毒的介紹,其他的腳本病毒都是與此相似的。腳本病毒主要是使用WSH,也就是windows scripting host,來(lái)為腳本語(yǔ)言提供的操作注冊(cè)表的語(yǔ)言來(lái)實(shí)現(xiàn)對(duì)于注冊(cè)表的修改。WSH是那些內(nèi)嵌在windows系統(tǒng)中的腳本語(yǔ)言所在的工作環(huán)境,其主要的架構(gòu)是在ActiveX之上的,它能夠通過(guò)作為activex的腳本引擎控制器來(lái)擴(kuò)大腳本語(yǔ)言的指令所具有的功能。因此,在腳本語(yǔ)言對(duì)注冊(cè)表進(jìn)行修改的過(guò)程中,系統(tǒng)中內(nèi)嵌的WSH是一個(gè)關(guān)鍵的因素。腳本病毒可以通過(guò)創(chuàng)建WSH中的shell實(shí)例的方式來(lái)讀取注冊(cè)表中特定的鍵值,然后對(duì)注冊(cè)表進(jìn)行修改,能夠很好地防止由于操作超時(shí)而造成的程序終止的問(wèn)題。其主要的原理就是通過(guò)對(duì)注冊(cè)表的修改來(lái)防止由于病毒本身的一些超時(shí)操作而導(dǎo)致的程序終止的問(wèn)題。所以,這種方式能夠在一定的程度上保證病毒的完整運(yùn)行,達(dá)到病毒篡改系統(tǒng)內(nèi)容的目的。endprint
3.3網(wǎng)頁(yè)病毒修改
這里提到的網(wǎng)頁(yè)病毒,主要指的是那些能夠?qū)τ?jì)算機(jī)的用戶配置中進(jìn)行非法修改的html網(wǎng)頁(yè)文件。網(wǎng)頁(yè)病毒主要是使用軟件或者系統(tǒng)中的一些安全漏洞,然后通過(guò)執(zhí)行嵌入在HTML文件中的一些java小程序等方式來(lái)對(duì)操作系統(tǒng)中的用戶的配置以及系統(tǒng)中的注冊(cè)表進(jìn)行修改。對(duì)于大多數(shù)的網(wǎng)頁(yè)病毒,都是通過(guò)這種方式倆丟注冊(cè)表進(jìn)行修改的,其中最著名的一種網(wǎng)頁(yè)病毒就是“萬(wàn)花谷”病毒,這種病毒能夠?qū)⒆?cè)表改的和以前完全不一樣。其主要的工作原理就是通過(guò)將
3.4 win32 PE病毒修改
所謂win32PE病毒,指的就是能夠?qū)indows系統(tǒng)下的PE格式的文件進(jìn)行感染的一種病毒。PE格式的文件,是windows系統(tǒng)下最為常見(jiàn)的一種文件,因此這種病毒對(duì)于操作系統(tǒng)的危害非常大。我們了解到,windows系統(tǒng)下為了用戶提供了非常多的功能以及種類十分多的API函數(shù),而對(duì)這些API函數(shù)進(jìn)行調(diào)用是win32 PE病毒常用的一種手法,通過(guò)對(duì)其進(jìn)行調(diào)用來(lái)進(jìn)行某些非法的活動(dòng)。Win32 API大概提供了有30多個(gè)和注冊(cè)表相關(guān)的函數(shù),這些函數(shù)能夠?qū)ψ?cè)表中的指定的鍵或者鍵值進(jìn)行打開(kāi)、讀取依舊寫(xiě)入等修改操作,這些API函數(shù)會(huì)集中地由系統(tǒng)中提供的動(dòng)態(tài)鏈接庫(kù)中的導(dǎo)出。但是由于WIN32PE病毒通常情況下是寄存在寄主文件中的,本身沒(méi)有引入的節(jié)點(diǎn),因此無(wú)法直接的對(duì)這些函數(shù)進(jìn)行調(diào)用,因此病毒必須通過(guò)API函數(shù)來(lái)對(duì)動(dòng)態(tài)鏈接庫(kù)進(jìn)行加載,然后取得這些函數(shù)的地址并且對(duì)其進(jìn)行調(diào)用。因此,對(duì)于win32 PE病毒來(lái)說(shuō),能否成功的對(duì)注冊(cè)表的內(nèi)容進(jìn)行修改,其關(guān)鍵的操作就在于是否能夠?qū)ο到y(tǒng)中的動(dòng)態(tài)鏈接庫(kù)進(jìn)行成功的定位。
4清除病毒方法
計(jì)算機(jī)病毒對(duì)于注冊(cè)表進(jìn)行修改從而對(duì)系統(tǒng)進(jìn)行入侵對(duì)于計(jì)算機(jī)系統(tǒng)來(lái)說(shuō)有著十分大的危害,因此應(yīng)該對(duì)其進(jìn)行處理,可以使用系統(tǒng)注冊(cè)表對(duì)計(jì)算機(jī)病毒進(jìn)行清除。因?yàn)橛?jì)算機(jī)并且通過(guò)將自己寫(xiě)入到注冊(cè)表中的方式來(lái)完成自身的啟動(dòng),但是從預(yù)防的角度來(lái)看,這同時(shí)也進(jìn)一步的暴露了病毒的藏身所在地,給系統(tǒng)管理員找到病毒并且將其清除提供了條件。
在清除病毒的過(guò)程中,首先需要明確地找到計(jì)算機(jī)病毒的隱藏的位置,通常情況下,注冊(cè)表中管理啟動(dòng)的主要鍵值的位置也是計(jì)算機(jī)病毒中最為常見(jiàn)的一個(gè)藏身的地方,因此可以在這個(gè)區(qū)域進(jìn)行病毒的查找。在查找到病毒的所在位置以后就可以對(duì)病毒進(jìn)行清理了,可以根據(jù)鍵值所在的路徑找到病毒在系統(tǒng)中的一個(gè)具體位置,或者是按照病毒的名字在文件系統(tǒng)中進(jìn)行一個(gè)仔細(xì)的搜索,在搜索到以后將其刪掉。然后,還必須根據(jù)病毒的名稱在注冊(cè)表中搜索,找到病毒對(duì)應(yīng)的鍵值項(xiàng),對(duì)其進(jìn)行刪除或者是修改。在結(jié)束這些工作以后,對(duì)計(jì)算機(jī)進(jìn)行重新的啟動(dòng)就可以了。
5結(jié)論
現(xiàn)在計(jì)算機(jī)已經(jīng)成為了人們生活中重要的組成部分,而計(jì)算機(jī)病毒則對(duì)計(jì)算機(jī)系統(tǒng)造成了巨大的危害。本文首先對(duì)于windows系統(tǒng)中的注冊(cè)表進(jìn)行了詳細(xì)的介紹,然后對(duì)于計(jì)算機(jī)入侵進(jìn)算計(jì)windows系統(tǒng)的方式,也就是經(jīng)常采用的對(duì)操作系統(tǒng)的注冊(cè)表進(jìn)行修改的方式進(jìn)行了詳細(xì)的分析,其中主要包括幾種不同病毒的修改方式,最后對(duì)于注冊(cè)表如何反過(guò)來(lái)清理病毒進(jìn)行了簡(jiǎn)單的介紹,希望能夠起到一定的參考價(jià)值。
參考文獻(xiàn)
[1] 教你由注冊(cè)表防御黑客的入侵[J].計(jì)算機(jī)與網(wǎng)絡(luò),2011,37(12):33.
[2] 牟曉東. Windows7,向腳本病毒說(shuō)再見(jiàn)[J].電腦知識(shí)與技術(shù)(經(jīng)驗(yàn)技巧),2010(09):45-46.
[3] 注冊(cè)表基礎(chǔ)功能解析[J].計(jì)算機(jī)與網(wǎng)絡(luò),2009,35(21):28-29.
[4] 李朋.應(yīng)用程序文件保護(hù)的研究與應(yīng)用[D].長(zhǎng)沙:國(guó)防科學(xué)技術(shù)大學(xué),2009.
[5] 隱藏文件失效注冊(cè)表中破玄機(jī)[J].電腦愛(ài)好者,2009(02):37.
[6] 謝億鑫,孫樂(lè)昌.計(jì)算機(jī)病毒修改Windows操作系統(tǒng)注冊(cè)表原理解析[J].計(jì)算機(jī)安全,2008(08):117-121.
[7] 壞小子.網(wǎng)頁(yè)病毒癥狀分析及修復(fù)方法[J].網(wǎng)絡(luò)與信息,2005(06):60-62.
[8] 譚竹洲.什么是網(wǎng)頁(yè)病毒[J].中國(guó)電子與網(wǎng)絡(luò)出版,2003(11):70.
客服熱線:400-656-5456??客服專線:010-56265043??電子郵箱:longyuankf@126.com
電信與信息服務(wù)業(yè)務(wù)經(jīng)營(yíng)許可證:京icp證060024號(hào)
Dragonsource.com Inc. All Rights Reserved