建站知識(shí)

網(wǎng)站資訊動(dòng)態(tài),網(wǎng)站建設(shè)知識(shí),網(wǎng)站優(yōu)化SEO,營銷型網(wǎng)站建設(shè),手機(jī)網(wǎng)站建設(shè),搜索引擎營銷,常見問題解答,外貿(mào)網(wǎng)站建設(shè)等相關(guān)知識(shí)與動(dòng)態(tài)。

您當(dāng)前所在位置:首頁 > 建站知識(shí) > 常見問題解答 > 正文

辨明是非 文件關(guān)聯(lián)型木馬的特殊化查殺

2012-01-05

有時(shí)候殺掉或刪除某個(gè)木馬后,系統(tǒng)也出了故障,所有應(yīng)用程序都打不開了。此時(shí),若用戶對(duì)計(jì)算機(jī)技術(shù)的了解不多的話,那么最終就只能選擇重裝系統(tǒng)解決問題了!

一、什么是并聯(lián)方式

令人費(fèi)解的是,自己明明已經(jīng)刪除了木馬文件和相應(yīng)的啟動(dòng)項(xiàng),卻為什么不能恢復(fù)正常呢?不少用戶都很疑惑,難道刪除的木馬竟然惡意修改了操作系統(tǒng)核心嗎?要想解開這些疑惑,我們就不得不從什么是文件的“并聯(lián)方式”說起,因?yàn)檫@種木馬修改了應(yīng)用程序文件(通常是EXE)的并聯(lián)方式。說起Windows系統(tǒng),就不能不談到注冊(cè)表,注冊(cè)表在Windows系統(tǒng)中的地位是高高在上的,如果用戶使用的是Windows系統(tǒng),而至今還不知道什么注冊(cè)表的話,那么還是先找些注冊(cè)表和Windows系統(tǒng)原理的資料好好補(bǔ)習(xí)補(bǔ)習(xí)吧!

在Windows系統(tǒng)中,幾乎所有文件的打開操作都是通過注冊(cè)表內(nèi)相應(yīng)鍵值指定的應(yīng)用程序來執(zhí)行的,這個(gè)部分位于注冊(cè)表的“HKEY_CLASSES_ROOT”主鍵內(nèi)。當(dāng)系統(tǒng)收到一個(gè)文件名請(qǐng)求時(shí),就會(huì)根據(jù)這個(gè)文件的后綴名結(jié)合注冊(cè)表里存儲(chǔ)的相應(yīng)鍵值來識(shí)別文件類型,從而調(diào)用相應(yīng)的程序?qū)⑵浯蜷_、執(zhí)行。無論是文件夾、文檔還是應(yīng)用程序,Windows系統(tǒng)都將其視為一個(gè)文件,當(dāng)然也擁有文件類型,同樣可以用其他方式開啟。例如:各種音頻、視頻文件(如:rm、avi、wmv、mp3等)都可以使用兩種以上的程序?qū)⑵浯蜷_播放。只不過Windows系統(tǒng)將應(yīng)用程序(EXE)設(shè)置它的調(diào)用程序?yàn)椤?%1" %*”,讓系統(tǒng)內(nèi)核理解為“可執(zhí)行請(qǐng)求”,它就會(huì)為使用這種打開方式的文件創(chuàng)建進(jìn)程,最終文件就被加載執(zhí)行了。如果有其他的程序更改了這個(gè)鍵值,Windows就會(huì)調(diào)用那個(gè)指定的文件來開啟它。

二、木馬原理

那些文件并聯(lián)木馬程序會(huì)把EXE后綴名對(duì)應(yīng)的exefile類型的“打開方式”改成為“木馬程序”%1" %*”,運(yùn)行程序時(shí)系統(tǒng)就會(huì)先為“木馬程序”創(chuàng)建進(jìn)程,把緊跟著的文件名作為參數(shù)傳遞給木馬執(zhí)行,這樣用戶就被木馬欺騙了,用戶會(huì)覺得程序已經(jīng)被正常啟動(dòng)了。因?yàn)槟抉R程序被作為所有EXE文件的調(diào)用程序,使得它可以長期駐留內(nèi)存,每次都能恢復(fù)自身文件,所以在一般用戶看來,這個(gè)木馬就做到了“永生不死”或認(rèn)為是又“死灰復(fù)燃”了,其實(shí)用戶了解這些木馬的原理后,就知道它既不能“長命百歲”,也沒有“死而復(fù)生”的能力。

三、后果嚴(yán)重

然而,用戶一旦將木馬程序刪除,Windows系統(tǒng)就會(huì)找不到相應(yīng)的調(diào)用程序,于是正常程序就無法執(zhí)行了,這就是所謂的“所有程序都無法運(yùn)行”的情況來源。并不是木馬更改了系統(tǒng)核心,當(dāng)然用戶也就沒必要因此重裝整個(gè)操作系統(tǒng)啦。

四、根除方法

根除這種木馬的最簡單方法只需要查看EXE文件的打開方式被指向了什么程序,立即停止這個(gè)程序的進(jìn)程,如果它還產(chǎn)生了其他木馬文件的話,也一起停止。緊隨其后,在保持注冊(cè)表編輯器開啟著的情況下(否則你的所有程序都會(huì)打不開了)刪除掉所有木馬文件(前提是用戶知道哪些是目木馬文件,所以還不熟悉系統(tǒng)的用戶抓緊時(shí)間惡補(bǔ)吧),把exefile的“打開方式”項(xiàng)(HKEY_CLASSES_ROOT\exefile\shell\open\command)改回原來的“”%1” %*”即可。

注冊(cè)表鍵值

如果刪除木馬前忘記把并聯(lián)方式改回來,就會(huì)發(fā)現(xiàn)程序打不開了,這時(shí)候千萬不要亂了方寸。如果你是Win9x用戶,請(qǐng)使用“外殼替換大法”:重啟系統(tǒng)后,按F8進(jìn)入啟動(dòng)菜單選擇MS-DOS模式,把Explorer.exe隨便改個(gè)名字,再把REGEDIT.EXE改名為Explorer.exe,再次重啟后會(huì)發(fā)現(xiàn)進(jìn)入Windows只剩下一個(gè)注冊(cè)表編輯器了,趕快把并聯(lián)方式改回來吧!再次重啟的時(shí)候,別忘記恢復(fù)以前的Explorer.exe程序名。

對(duì)于Win200用戶而言,這個(gè)操作就更簡單了,只要在開機(jī)時(shí)按F8進(jìn)入啟動(dòng)菜單,選擇“命令提示符的安全模式”進(jìn)行啟動(dòng),系統(tǒng)就會(huì)自動(dòng)調(diào)用命令提示符界面作為外殼,直接在里面輸入REGEDIT即可打開注冊(cè)表編輯器!

而XP用戶甚至不需要重啟系統(tǒng),就可以直接在“打開方式”里輸入“CMD”后回車,就能打開“命令提示符”界面,然后運(yùn)行注冊(cè)表編輯器REGEDIT.EXE就OK了。接下來需要做的就是把程序的打開方式改成“”%1” %*”即可。

結(jié)束語:很多剛接觸計(jì)算機(jī)的用戶都會(huì)遇到一些問題,此時(shí)需要靜下心來仔細(xì)分析自己遇到的現(xiàn)象,多向“高手”請(qǐng)教,不斷提高自己的“功力”才是最根本的解決之道!

以上部分內(nèi)容(文字、圖片)收集于互聯(lián)網(wǎng),版權(quán)歸原作者所有。感謝每一位辛勤著寫的作者,感謝每一位的分享。免責(zé)聲明:如有侵犯您的原創(chuàng)版權(quán)請(qǐng)告知,我們將盡快刪除相關(guān)內(nèi)容,感謝您的理解與支持。
上一篇:三個(gè)小命令 檢查電腦是否被安裝木馬 下一篇:中小企業(yè)應(yīng)使用什么企業(yè)郵箱?

服務(wù)項(xiàng)目查看更多

免責(zé)聲明

非常感謝您訪問我們的網(wǎng)站,并請(qǐng)您仔細(xì)閱讀本聲明的所有條款:

1、本站部分內(nèi)容來源自網(wǎng)絡(luò),涉及到的部分文章和圖片版權(quán)屬于原作者,本站轉(zhuǎn)載僅供大家學(xué)習(xí)和交流,切勿用于任何商業(yè)活動(dòng)。

2、本站不承擔(dān)用戶因使用這些資源對(duì)自己和他人造成任何形式的損失或傷害。

3、本聲明未涉及的問題參見國家有關(guān)法律法規(guī),當(dāng)本聲明與國家法律法規(guī)沖突時(shí),以國家法律法規(guī)為準(zhǔn)。

4、如果侵害了您的合法權(quán)益,請(qǐng)您及時(shí)與我們聯(lián)系,我們會(huì)在第一時(shí)間刪除相關(guān)內(nèi)容!

聯(lián)系方式:023-65309616
電子郵件:543874515@qq.com

ENABLE YOUR BRAND
TO BURST INTO EXCELLENCE
中高端定制開發(fā)服務(wù)商
掃一掃,微信咨詢
130-7236-3699 543874515