信息技术安全原实验2.docVIP

信息专业实验报告 课 程_ 信息系统安全 实验名称 系 别_____信息管理与信息系统__________日 期 2011 年 10 月 27 日 专业班级____________组别___________实验报告日期 2011 年 10 月 27 日 学 号______________ 姓名________报告退发( 订正 、 重做 ) 同 组 人___________________________________教 师 审 阅 签 字 一、环境 在具备系统还原功能的机器上进行实验操作，禁止在实验过程中使用U盘、软件等移动存储设备。 下载并运行“Word文档杀手”病毒体trojan.deldoc.exe和worm.dockill.a.exe 4、运行病毒后在cmd 中运行命令dir出现“任务书”和“病毒演示”都被改成.com的文件格式，表示病毒起作用了。这样，病毒就将硬盘里面的所有的DOC文档建立一个列表，输出到c:\ww.txt文件中，然后逐一将这些DOC文件删除，在删除的同时还会将这些Word文档复制到c:\windows\wj\ 目录中,并将文件扩展名改为.COM。 当你把文件夹选项的“隐藏文件和文件夹”改成“显示所有文件和文件夹”将改不了。 这是因为病毒还能修改注册表键值，以达到隐藏扩展名的目的这样用户无论如何修改文件夹选项都是无效的，因此查看文件扩展名都是无法显示的病毒运行后，每隔几分钟（大约每5分钟)都会在C盘根目录下生成病毒文件 c:\ww.bat 和c:\ww.txt ， 其中 ww.bat文件内含有批处理程序，搜索硬盘中所有的Word文档 ： 查看系统盘或C:\下是否出现新的文件wj.txt，里面的内容是UncheckedValue 被改成全为零的数值。 7、比较分析报告中的病毒发现后果和实际现象区别 病毒删除后 9、手工方式解除病毒 1、开机按F8进入安全模式。 2、备份文件：打开C:/WINDOWS，把WJ文件夹打包压缩并放到其他盘。 3、Ctrl+Alt+Delete或者Ctrl+Shift+Esc打开任务管理器，结束名字含有doc的进程。 doc进程已被删除 4、记事本写下以下内容，点“文件－另存为”，保存类型选择“所有文件”，文件名 为ackup.bat，然后双击运行文件。@echo?offtskill?docmd?D:\backupcopy?C:/WINDOWS/WJ/*.com?D:\backup\*.bakren?C:/WINDOWS/WJ/*.com?*.docdel?c:\ww.bat?c:\ww.txtdel?%0 5、解锁注册表以及显示所有文件及扩展名：记事本写下以下内容，点“文件－另存为”，保存类型选择“所有文件”，文件名为unlock.reg，然后双击运行文件。 Windows?Registry?Editor?Version?5.00[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]DisableRegistryTools=dwordDisableCMD=dword[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]Hidden=dwordHideFileExt=dwordShowSuperHidden=dword[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]CheckedValue=dword 6、在注册表里搜索doc.exe、doc1.exe、doc2.exe等，全部删除，再在C盘里面搜索doc