第b章_计算机病毒原理.pptVIP

第9章 映像劫持简介 本章主要内容 映像劫持的概念 映像劫持工作原理 如何清除映像劫持技术病毒 映像劫持技术 映像劫持（IFEO），它的全称是就是Image File Execution Options，具体含义就是当系统执行某一个文件时，被映像劫持的系统会自动跳转到另一个程序去，而如果映像为空，则弹出错误提示了! 在注册表中的位置为HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options，在这里可以看到许多有关的动态链接库，他们主要是用来调试程序用的，对一般用户意义不大。默认是只有管理员和local system有权读写修改。 映像劫持工作原理 WINDOWS NT系统在试图执行一个从命令行调用的可执行文件运行请求时，先会检查运行程序是不是可执行文件，如果是的话，再检查格式的，然后就会检查是否存在。如果不存在的话，它会提示系统找不到文件或者是“指定的路径不正确等等。 (1)?偷梁换柱恶作剧?????每次我们按下CTRL+ALT+DEL键时，都会弹出任务管理器，想不想在我们按下这些键的时候让它弹出配置窗口. Windows Registry Editor Version 5.00[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe]“Debugger”=“C:\\WINDOWS\\pchealth\\helpctr\\binaries\\msconfig.exe” 。 ?让病毒迷失自我: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\logo_1.exe]Debugger=123.exe 关闭杀毒软件 HKLMSOFTWAREMicrosoftWindows?NTCurrentVersionImage?File?Execution?Options Rav.exe HKLMSOFTWAREMicrosoftWindows?NTCurrentVersionImage?File?Execution?Options RavMonD.exe HKLMSOFTWAREMicrosoftWindows?NTCurrentVersionImage?File?Execution?Options RavStub.exe HKLMSOFTWAREMicrosoftWindows?NTCurrentVersionImage?File?Execution?Options RavTask.exe 映像劫持的防范 1．注册项上添加访问权限。 2．尝试用专用工具 (IceSword.exe、 SREng.exe )。 如何清除映像劫持技术病毒 映像劫持病毒手动清除可以分为两大类： 1．利用工具。 2．改名实现。 小结: 本次课主要详细介绍了映像劫持技术的概念,工作原理,危害等等 。 　作业： 　　 * Hai Nan Software college * Hai Nan Software college