木马开机启动的六种方法
一、通過"開始\程序\啟動"
隱蔽性：2星
應(yīng)用程度：較低
這也是一種很常見的方式，很多正常的程序都用它，大家常用的QQ就是用這種方式實(shí)現(xiàn)自啟動的，但木馬卻很少用它。因?yàn)閱咏M的每人會會出現(xiàn)在“系統(tǒng)配置實(shí)用程序”（msconfig.exe，以下簡稱msconfig）中。事實(shí)上，出現(xiàn)在“開始”菜單的“程序\啟動”中足以引起菜鳥的注意，所以，相信不會有木馬用這種啟動方式。
二、通過Win.ini文件
隱蔽性：3星
應(yīng)用程度：較低
同啟動組一樣，這也是從Windows3.2開始就可以使用的方法，是從Win16遺傳到Win32的。在Windows3.2中，Win.ini就相當(dāng)于Windows9x中的注冊表，在該文件中的[Windows]域中的load和run項(xiàng)會在Windows啟動時運(yùn)行，這兩個項(xiàng)目也會出現(xiàn)在msconfig中。而且，在Windows98安裝完成后這兩項(xiàng)就會被Windows的程序使用了，也不很適合木馬使用。
三、通過注冊表啟動
1、通過HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run，
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run和
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
隱蔽性：3.5星
應(yīng)用程度：極高
應(yīng)用案例：BO2000，GOP，NetSpy，IEthief，冰河……
這是很多Windows程序都采用的方法，也是木馬最常用的。使用非常方便，但也容易被人發(fā)現(xiàn)，由于其應(yīng)用太廣，所以幾乎提到木馬，就會讓人想到這幾個注冊表中的主鍵，通常木馬會使用最后一個。使用Windows自帶的程序：msconfig或注冊表編輯器（regedit.exe，以下簡稱regedit）都可以將它輕易的刪除，所以這種方法并不十分可靠。但可以在木馬程序中加一個時間控件，以便實(shí)時監(jiān)視注冊表中自身的啟動鍵值是否存在，一旦發(fā)現(xiàn)被刪除，則立即重新寫入，以保證下次Windows啟動時自己能被運(yùn)行。這樣木馬程序和注冊表中的啟動鍵值之間形成了一種互相保護(hù)的狀態(tài)。木馬程序未中止，啟動鍵值就無法刪除（手工刪除后，木馬程序又自動添加上了），相反的，不刪除啟動鍵值，下次啟動Windows還會啟動木馬。怎么辦呢？其實(shí)破解它并不難，即使在沒有任何工具軟件的情況下也能輕易解除這種互相保護(hù)。
破解方法：首先，以安全模式啟動Windows，這時，Windows不會加載注冊表中的項(xiàng)目，因此木馬不會被啟動，相互保護(hù)的狀況也就不攻自破了；然后，你就可以刪除注冊表中的鍵值和相應(yīng)的木馬程序了。
2、通過HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce，
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce和
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
隱蔽性：4星
應(yīng)用程度：較低
應(yīng)用案例：Happy99月
這種方法好像用的人不是很多，但隱蔽性比上一種方法好，它的內(nèi)容不會出現(xiàn)在msconfig中。在這個鍵值下的項(xiàng)目和上一種相似，會在Windows啟動時啟動，但Windows啟動后，該鍵值下的項(xiàng)目會被清空，因而不易被發(fā)現(xiàn)，但是只能啟動一次，木馬如何能發(fā)揮效果呢？
其實(shí)很簡單，不是只能啟動一次嗎？那木馬啟動成功后再在這里添加一次不就行了嗎？在Delphi中這不過3、5行程序。雖說這些項(xiàng)目不會出現(xiàn)在msconfig中，但是在Regedit中卻可以直接將它刪除，那么木馬也就從此失效了。
還有一種方法，不是在啟動的時候加而是在退出Windows的時候加，這要求木馬程序本身要截獲WIndows的消息，當(dāng)發(fā)現(xiàn)關(guān)閉Windows消息時，暫停關(guān)閉過程，添加注冊表項(xiàng)目，然后才開始關(guān)閉Windows，這樣用Regedit也找不到它的蹤跡了。這種方法也有個缺點(diǎn)，就是一旦Windows異常中止（對于Windows9x這是經(jīng)常的），木馬也就失效了。
破解他們的方法也可以用安全模式。
另外使用這三個鍵值并不完全一樣，通常木馬會選擇第一個，因?yàn)樵诘诙€鍵值下的項(xiàng)目會在Windows啟動完成前運(yùn)行，并等待程序結(jié)束會才繼續(xù)啟動Windows。
四、通過Autoexec.bat文件，或winstart.bat，config.sys文件
隱蔽性：3.5星
應(yīng)用程度：較低
其實(shí)這種方法并不適合木馬使用，因?yàn)樵撐募赪indows啟動前運(yùn)行，這時系統(tǒng)處于DOS環(huán)境，只能運(yùn)行16位應(yīng)用程序，Windows下的32位程序是不能運(yùn)行的。因此也就失去了木馬的意義。不過，這并不是說它不能用于啟動木馬。可以想象，SoftIce for Win98（功能強(qiáng)大的程序調(diào)試工具，被黑客奉為至寶，常用于破解應(yīng)用程序）也是先要在Autoexec.bat文件中運(yùn)行然后才能在Windows中呼叫出窗口，進(jìn)行調(diào)試的，既然如此，誰能保證木馬不會這樣啟動呢？到目前為止，我還沒見過這樣啟動的木馬，我想能寫這樣木馬的人一定是高手中的高手了。
另外，這兩個BAT文件常被用于破壞，它們會在這個文件中加入類似"Deltree C：\*.*"和"Format C：/u"的行，這樣，在你啟動計算機(jī)后還未啟動Windows，你的C盤已然空空如也。
五、通過System.ini文件
隱蔽性：5星
應(yīng)用程度：一般
事實(shí)上，System.ini文件并沒有給用戶可用的啟動項(xiàng)目，然而通過它啟動卻是非常好用的。在System.ini文件的[Boot]域中的Shell項(xiàng)的值正常情況下是"Explorer.exe"，這是Windows的外殼程序，換一個程序就可以徹底改變Windows的面貌（如改為Progman.exe就可以讓W(xué)in9x變成Windows3.2）。我們可以在"Explorer.exe"后加上木馬程序的路徑，這樣Windows啟動后木馬也就隨之啟動，而且即使是安全模式啟動也不會跳過這一項(xiàng)，這樣木馬也就可以保證永遠(yuǎn)隨Windows啟動了，名噪一時的尼姆達(dá)病毒就是用的這種方法。這時，如果木馬程序也具有自動檢測添加Shell項(xiàng)的功能的話，那簡直是天衣無縫的絕配，我想除了使用查看進(jìn)程的工具中止木馬，再修改Shell項(xiàng)和刪除木馬文件外是沒有破解之法了。但這種方式也有個先天的不足，因?yàn)橹挥蠸hell這一項(xiàng)嘛，如果有兩個木馬都使用這種方式實(shí)現(xiàn)自啟動，那么后來的木馬可能會使前一個無法啟動，呵呵以毒攻毒啊。
六、通過某特定程序或文件啟動
1、寄生于特定程序之中
隱蔽性：5星
應(yīng)用程度：一般
即木馬和正常程序捆綁，有點(diǎn)類似于病毒，程序在運(yùn)行時，木馬程序先獲得控制權(quán)或另開一個線程以監(jiān)視用戶操作，截取密碼等，這類木馬編寫的難度較大，需要了解PE文件結(jié)構(gòu)和Windows的底層知識（直接使用捆綁程序除外）。
2、將特定的程序改名
隱蔽性：5星
應(yīng)用程度：常見
這種方式常見于針對QQ的木馬，例如將QQ的啟動文件QQ2000b.exe，改為QQ2000b.ico.exe（Windows默認(rèn)是不顯示擴(kuò)展名的，因此它會被顯示為QQ2000b.ico，而用戶會認(rèn)為它是一個圖標(biāo)），再將木馬程序改為QQ2000b.exe，此后，用戶運(yùn)行QQ，實(shí)際是運(yùn)行了QQ木馬，再由QQ木馬去啟動真正的QQ，這種方式實(shí)現(xiàn)起來要比上一種簡單的多。
3、文件關(guān)聯(lián)
隱蔽性：5星
應(yīng)用程度：常見
通常木馬程序會將自己和TXT文件或EXE文件關(guān)聯(lián)，這樣當(dāng)你打開一個文本文件或運(yùn)行一個程序時，木馬也就神不知鬼不覺的啟動了。
這類通過特定程序或文件啟動的木馬，發(fā)現(xiàn)比較困難，但查殺并不難。一般地，只要刪除相應(yīng)的文件和注冊表鍵值即可。
一些常見的開機(jī)啟動的地方，差不多都被殺軟“盯”著了，希望朋友們盡量發(fā)覺一些不常用的方法，以達(dá)到驚人的目的！呵呵！
=================================================================================================
很多監(jiān)控軟件要求軟件能夠在系統(tǒng)重新啟動后不用用戶去點(diǎn)擊圖標(biāo)啟動項(xiàng)目，而是直接能夠啟動運(yùn)行，方法是寫注冊表Software\\Microsoft\\Windows\\CurrentVersion\\Run 。
參考程序可以見下：(查找程序目錄的執(zhí)行文件，存在則進(jìn)行添加注冊表操作)
//實(shí)用代碼一
int C***Dlg::CreateRun(void)
{
//添加以下代碼
HKEY?? RegKey;???
CString?? sPath;???
GetModuleFileName(NULL,sPath.GetBufferSetLength(MAX_PATH+1),MAX_PATH);???
sPath.ReleaseBuffer();???
int?? nPos;???
nPos=sPath.ReverseFind('\\');???
sPath=sPath.Left(nPos);???
CString?? lpszFile=sPath+"這里加上你要查找的執(zhí)行文件名稱???
CFileFind?? fFind;???
BOOL?? bSuccess;???
bSuccess=fFind.FindFile(lpszFile);???
fFind.Close();???
if(bSuccess)???
{???
CString?? fullName;???
fullName=lpszFile;???
RegKey=NULL;???
RegOpenKey(HKEY_LOCAL_MACHINE,"Software\\Microsoft\\Windows\\CurrentVersion\\Run",&RegKey);???
RegSetValueEx(RegKey,"getip",0,REG_SZ,(const?? unsigned?? char*)(LPCTSTR)fullName,fullName.GetLength());//這里加上你需要在注冊表中注冊的內(nèi)容???
this->UpdateData(FALSE);???
}???
else???
{???
//theApp.SetMainSkin();???
::AfxMessageBox("沒找到執(zhí)行程序，自動運(yùn)行失敗");???
exit(0);???
}???
return 0;
}
//把上面的getip（共2處）替換成自己想啟動程序的名字。
================================================
實(shí)用代碼二：
//寫入注冊表,開機(jī)自啟動?
HKEY hKey;?
//找到系統(tǒng)的啟動項(xiàng)?
LPCTSTR lpRun = "Software\\Microsoft\\Windows\\CurrentVersion\\Run";?
//打開啟動項(xiàng)Key?
long lRet = RegOpenKeyEx(HKEY_LOCAL_MACHINE, lpRun, 0, KEY_WRITE, &hKey);?
if(lRet == ERROR_SUCCESS)?
{?
char pFileName[MAX_PATH] = {0};?
//得到程序自身的全路徑?
DWORD dwRet = GetModuleFileName(NULL, pFileName, MAX_PATH);?
//添加一個子Key,并設(shè)置值 // 下面的"getip"是應(yīng)用程序名字（不加后綴.exe）
lRet = RegSetValueEx(hKey, "getip", 0, REG_SZ, (BYTE *)pFileName, dwRet);
??? //關(guān)閉注冊表?
RegCloseKey(hKey);?
if(lRet != ERROR_SUCCESS)?
{?
AfxMessageBox("系統(tǒng)參數(shù)錯誤,不能隨系統(tǒng)啟動");?
}?
}
一、當(dāng)前用戶專有的啟動文件夾
???? 這是許多應(yīng)用軟件自動啟動的常用位置，Windows自動啟動放入該文件夾的所有快捷方式。用戶啟動文件夾一般在：\Documents and Settings\<用戶名字>\「開始」菜單\程序\啟動，其中“<用戶名字>”是當(dāng)前登錄的用戶帳戶名稱。
?????
二、對所有用戶有效的啟動文件夾
???? 這是尋找自動啟動程序的第二個重要位置，不管用戶用什么身份登錄系統(tǒng)，放入該文件夾的快捷方式總是自動啟動——這是它與用戶專有的啟動文件夾的區(qū)別所在。該文件夾一般在：\Documents and Settings\All Users\「開始」菜單\程序\啟動。
?????
三、Load注冊鍵
???? 介紹該注冊鍵的資料不多，實(shí)際上它也能夠自動啟動程序。位置：HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows\load。
?????
四、Userinit注冊鍵
???? 位置：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Userinit。這里也能夠使系統(tǒng)啟動時自動初始化程序。通常該注冊鍵下面有一個userinit.exe，如圖，但這個鍵允許指定用逗號分隔的多個程序，例如“userinit.exe,OSA.exe”（不含引號）。
????
五、Explorer\Run注冊鍵
???? 和load、Userinit不同，Explorer\Run鍵在HKEY_CURRENT_USER和HKEY_LOCAL_MACHINE下都有，具體位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run，和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run。
?????
六、RunServicesOnce注冊鍵
???? RunServicesOnce注冊鍵用來啟動服務(wù)程序，啟動時間在用戶登錄之前，而且先于其他通過注冊鍵啟動的程序。RunServicesOnce注冊鍵的位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce，和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce。
?????
七、RunServices注冊鍵
???? RunServices注冊鍵指定的程序緊接RunServicesOnce指定的程序之后運(yùn)行，但兩者都在用戶登錄之前。RunServices的位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices，和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices。
?????
八、RunOnce\Setup注冊鍵
???? RunOnce\Setup指定了用戶登錄之后運(yùn)行的程序，它的位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\Setup，和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\Setup。
?????
九、RunOnce注冊鍵
???? 安裝程序通常用RunOnce鍵自動運(yùn)行程序，它的位置在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce和HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce。HKEY_LOCAL_MACHINE下面的RunOnce鍵會在用戶登錄之后立即運(yùn)行程序，運(yùn)行時機(jī)在其他Run鍵指定的程序之前。HKEY_CURRENT_USER下面的RunOnce鍵在操作系統(tǒng)處理其他Run鍵以及“啟動”文件夾的內(nèi)容之后運(yùn)行。如果是XP，你還需要檢查一下HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx。
?????
十、Run注冊鍵
???? Run是自動運(yùn)行程序最常用的注冊鍵，位置在：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run，和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run。HKEY_CURRENT_USER下面的Run鍵緊接HKEY_LOCAL_MACHINE下面的Run鍵運(yùn)行，但兩者都在處理“啟動”文件夾之前。
總結(jié)
以上是生活随笔為你收集整理的木马开机启动的六种方法的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： C/C++添加设置任务计划
- 下一篇： 绕过360安全卫士的部分代码