病毒程式和木馬經常修改的系統檔和註冊表
[size=4][color=Blue]從電腦病毒的發展趨勢來看，蠕蟲和木馬類的病毒越來越多。與普通感染可執行檔的檔型病毒不同，此類程式通常不感染正常的系統檔，而是將自身作為系統的一部分安裝到系統中。相對來說，此類病毒的隱蔽性更強一些，更不容易被使用者發覺。
但是無論什麼樣的病毒程式在感染系統時都會留下一些蛛絲馬跡。在此我們總結一下各種病毒可能會更改的地方，以便能夠更快速地找到它們。
一、更改系統的相關設定檔
這種情況主要是針對老系統。
病毒可能會更改autoexec.bat，只要在其中加入執行病毒程式檔的語句即可在系統啟動時自動啟動病毒。*更改drive:\windows\win.ini或者system.ini檔。病毒通常會在win.ini的“run=”後面加入病毒自身的檔案名，或者在
system.ini檔中將“shell=”更改。
二、更改註冊表健值
目前，只要新出的蠕蟲/特洛伊類病毒一般都有修改系統登錄的動作。它們修改的位置一般有以下幾個地方：
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\
說明：在系統啟動時自動執行的程式
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\
說明：在系統啟動時自動執行的系統服務程式
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
說明：在系統啟動時自動執行的程式，這是病毒最有可能修改/添加的地方。 例如：Win32.Swen.B病毒將增加：HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ucfzyojza= “cxsgrhcl.exe autorun”
HKEY_CLASSES_ROOT\exefile\shell\open\command
說明：此鍵值能使病毒在使用者運行任何EXE程式時被運行，以此類推，..\txtfile\.. 或者 ..\comfile\.. 也可被更改，以便實現病毒自動運行的功能。
另外，有些健值還可能被利用來實現比較特別的功能：
有些病毒會通過修改下麵的鍵值來阻止使用者查看和修改註冊表：
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools =
為了阻止使用者利用.REG檔修改註冊表鍵值，以下鍵值也會被修改來顯示一個記憶體訪問錯誤視窗
例如：Win32.Swen.B 病毒 會將缺省健值修改為：
HKCR\regfile\shell\open\command\(Default) = “cxsgrhcl.exe showerror”
通過對以上地方的修改，病毒程式主要達到的目的是在系統啟動或者程式運行過程中能夠自動被執行，已達到自動啟動的目的。[/color][/size]
頁:
[1]