摘 要 注冊表對于操作系統(tǒng)而言十分重要,記錄了操作系統(tǒng)的硬件和軟件的相關(guān)信息,直接的決定了操作系統(tǒng)的行為,而目前而言病毒或者木馬等十分容易通過修改注冊表來入侵操作系統(tǒng)從而實現(xiàn)某些非法的目的。修改注冊表是windows系統(tǒng)下面的計算機病毒對于系統(tǒng)進行感染和破壞的一個經(jīng)常使用的手段,因此對其進行防治顯得十分重要。本文主要對于計算機病毒修改windows操作系統(tǒng)的注冊表的相關(guān)原理進行了詳細的分析,并且分析了現(xiàn)有的幾種注冊表常用的安全設(shè)置,希望能夠起到一定的參考價值。
關(guān)鍵詞 計算機病毒 windows操作系統(tǒng) 注冊表
中圖分類號:TP309.5 文獻標識碼:A
0引言
計算機病毒的出現(xiàn)給計算機用戶帶來了很多不必要的麻煩,而目前來看計算機病毒使用的最為廣泛的范圍就是對windows系統(tǒng)的入侵。病毒的種類十分繁多,且變化也很快,具有非常大的破壞能力。注冊表作為windows系統(tǒng)中的管理機制,能夠幫助操作系統(tǒng)控制硬件、軟件以及用戶環(huán)境等相關(guān)的一系列數(shù)據(jù),是保證系統(tǒng)能夠正常的運行并且使得核心數(shù)據(jù)能夠得到保存的必要條件??梢赃@樣說,只要能夠掌握系統(tǒng)的注冊表,就是掌握了系統(tǒng)的整個操作情況以及所具備的軟件贏得情況,只要通過篡改注冊表就能夠使得系統(tǒng)滿足用戶的特點行為要求,從而達到自己的目的,因此在病毒的入侵方式中,修改windows操作系統(tǒng)的系統(tǒng)注冊表是十分常見的一種方式。因此,對計算機病毒如何修改windows系統(tǒng),以及對修改windows系統(tǒng)的注冊表原理進行解析,對預(yù)防windows操作系統(tǒng)的注冊表被病毒非法入侵有著十分重要的意義。
1注冊表簡介
注冊表對于操作系統(tǒng)來說非常重要,其內(nèi)部存儲著操作系統(tǒng)的重要相關(guān)信息,是操作系統(tǒng)的關(guān)鍵組成部分。其主要是由根鍵以及子鍵一起構(gòu)成的,這種結(jié)構(gòu)和資源管理器中的目錄比較像。其中,根鍵是注冊表中的最基礎(chǔ)的的鍵,和磁盤中的根目錄十分相似,而子健則是在根鍵之下的,同時一個子鍵也可以嵌套在其他的子鍵之中。注冊表的根鍵主要分為5大類,這每個主鍵中又存在著上千萬個子鍵。同時,在每個根鍵和子鍵下有一些鍵值數(shù)據(jù)項,也可以將其稱作為鍵值項。鍵值數(shù)據(jù)項主要包括鍵值的類型,鍵值的數(shù)據(jù)以及鍵值的名稱這幾個部分。
2修改注冊表目的
無論是哪一種的計算機病毒,在準備感染系統(tǒng)的時候都會想辦法盡可能的將自己隱藏起來,從而更好地躲過計算機系統(tǒng)中的殺毒軟件以及用戶的追殺,然后在此趁機了解到計算機的環(huán)境,以便于在適當?shù)臅r候可以在系統(tǒng)中進行破壞達到自己的目的。而注冊表是操作系統(tǒng)的核心部分,修改注冊表恰好可以達到這些非法的目的,因此計算機病毒在入侵計算機的時候,主要通過修改注冊表的方式來完成,其主要的方法可以總結(jié)為如下幾種方式:
(1)得到系統(tǒng)基本信息。由于計算機計算機系統(tǒng)中的注冊表中記錄著系統(tǒng)基本的信息,例如操作系統(tǒng)的類型、系統(tǒng)安裝的服務(wù)程度、IE等應(yīng)用軟件具有的版本信息等。病毒可以通過注冊表獲得這些信息,從而分析出系統(tǒng)以及軟件本身具有的漏洞,然后對其加以利用。
(2)實現(xiàn)開機自啟或內(nèi)存常駐。通常情況下,windows系統(tǒng)在啟動的時候,會自動的家在注冊表下的指定的鍵值所指向的程序以及相關(guān)的系統(tǒng)服務(wù),而病毒可以通過對注冊表中的鍵值的修改,使得windows系統(tǒng)在開機的時候自動的開啟病毒從而達到感染其他的主機以及其內(nèi)部的文件的目的,這樣病毒就可以進行更加長久的破壞任務(wù)。簡而言之,就是病毒可以通過修改系統(tǒng)中的注冊表,來達到開機自啟病毒,以及病毒在系統(tǒng)中常駐的目的,從而更好的實現(xiàn)破壞系統(tǒng)或者實現(xiàn)自身非法目的的目標。
(3)更改主頁設(shè)置,破壞系統(tǒng)功能。病毒可以通過修改windows系統(tǒng)中注冊表內(nèi)部的某些特定的鍵值項來改變系統(tǒng)的某些功能以及系統(tǒng)中軟件的配置情況,例如可以更改主頁的設(shè)置,從而禁止系統(tǒng)的IE安全選項,禁止對內(nèi)部的臨時文件進行更改等,從而使得系統(tǒng)的功能遭到破壞,系統(tǒng)難以正常的工作。
3修改注冊表方法
在通常的情況下,普通用戶想要對注冊表進行修改主要可以通過這兩種方式:
(1)直接的通過軟件來對注冊表進行修改。最常見的方式,是通過系統(tǒng)自帶的注冊表編輯器regedit.exe來對注冊表進行直接的操作,同時也可以通過第三方的軟件進行修改,例如windows優(yōu)化大師是一種比較常見的使用軟件。
(2)通過編寫特定的執(zhí)行文本。用戶可以通過對注冊表文件進行編寫,然后將其導入到注冊表中的方式來對注冊表進行修改,還可以通過編寫特定的批處理文件來對注冊表進行修改。
而對于病毒來說,病毒想要修改注冊表文件往往會采用一些非常規(guī)的方式,從而達到自己的隱蔽性要求。不同的病毒修改注冊表文件的方式不同,病毒可以分為宏病毒、劍本病毒、網(wǎng)頁病毒以及win32 PE病毒這常見的四類,下面對其進行具體的分析。
3.1宏病毒的修改
所謂宏病毒,就是使用宏語言進行編寫的一種程序,是一種特殊的宏,能夠自動的修改office軟件的一些自動的宏,這樣在打開office文件的時候,文件就可以自動的啟動了,并且能夠通過將其附加在文檔中從而進行傳播。目前來看,宏語言的功能非常的強大,宏病毒對注冊表的修改的原理非常的簡單,主要就是通過對宏語言程序的表寫來實現(xiàn)的,從而調(diào)動紅語言提供的操作系統(tǒng)的注冊表的功能,來實現(xiàn)對注冊表的修改的目的。宏病毒可以通過使宏菜單的安全性選項失效的原則,或者采用使工具菜單的宏失效的原則,來改變宏的安全級別,使得office軟件失去了自身的免疫力,從而能夠在一定的程度上對病毒進行自我保護,防止系統(tǒng)將病毒查殺出來。
3.2腳本病毒修改
所謂腳本病毒,指的往往是使用腳本語言來編寫的病毒,例如使用VBscript、PHP或者JavaScript語言等編寫。在這里,我們使用VBscript作為例子來進行腳本病毒的介紹,其他的腳本病毒都是與此相似的。腳本病毒主要是使用WSH,也就是windows scripting host,來為腳本語言提供的操作注冊表的語言來實現(xiàn)對于注冊表的修改。WSH是那些內(nèi)嵌在windows系統(tǒng)中的腳本語言所在的工作環(huán)境,其主要的架構(gòu)是在ActiveX之上的,它能夠通過作為activex的腳本引擎控制器來擴大腳本語言的指令所具有的功能。因此,在腳本語言對注冊表進行修改的過程中,系統(tǒng)中內(nèi)嵌的WSH是一個關(guān)鍵的因素。腳本病毒可以通過創(chuàng)建WSH中的shell實例的方式來讀取注冊表中特定的鍵值,然后對注冊表進行修改,能夠很好地防止由于操作超時而造成的程序終止的問題。其主要的原理就是通過對注冊表的修改來防止由于病毒本身的一些超時操作而導致的程序終止的問題。所以,這種方式能夠在一定的程度上保證病毒的完整運行,達到病毒篡改系統(tǒng)內(nèi)容的目的。endprint
3.3網(wǎng)頁病毒修改
這里提到的網(wǎng)頁病毒,主要指的是那些能夠?qū)τ嬎銠C的用戶配置中進行非法修改的html網(wǎng)頁文件。網(wǎng)頁病毒主要是使用軟件或者系統(tǒng)中的一些安全漏洞,然后通過執(zhí)行嵌入在HTML文件中的一些java小程序等方式來對操作系統(tǒng)中的用戶的配置以及系統(tǒng)中的注冊表進行修改。對于大多數(shù)的網(wǎng)頁病毒,都是通過這種方式倆丟注冊表進行修改的,其中最著名的一種網(wǎng)頁病毒就是“萬花谷”病毒,這種病毒能夠?qū)⒆员砀牡暮鸵郧巴耆灰粯?。其主要的工作原理就是通過將
3.4 win32 PE病毒修改
所謂win32PE病毒,指的就是能夠?qū)indows系統(tǒng)下的PE格式的文件進行感染的一種病毒。PE格式的文件,是windows系統(tǒng)下最為常見的一種文件,因此這種病毒對于操作系統(tǒng)的危害非常大。我們了解到,windows系統(tǒng)下為了用戶提供了非常多的功能以及種類十分多的API函數(shù),而對這些API函數(shù)進行調(diào)用是win32 PE病毒常用的一種手法,通過對其進行調(diào)用來進行某些非法的活動。Win32 API大概提供了有30多個和注冊表相關(guān)的函數(shù),這些函數(shù)能夠?qū)ψ员碇械闹付ǖ逆I或者鍵值進行打開、讀取依舊寫入等修改操作,這些API函數(shù)會集中地由系統(tǒng)中提供的動態(tài)鏈接庫中的導出。但是由于WIN32PE病毒通常情況下是寄存在寄主文件中的,本身沒有引入的節(jié)點,因此無法直接的對這些函數(shù)進行調(diào)用,因此病毒必須通過API函數(shù)來對動態(tài)鏈接庫進行加載,然后取得這些函數(shù)的地址并且對其進行調(diào)用。因此,對于win32 PE病毒來說,能否成功的對注冊表的內(nèi)容進行修改,其關(guān)鍵的操作就在于是否能夠?qū)ο到y(tǒng)中的動態(tài)鏈接庫進行成功的定位。
4清除病毒方法
計算機病毒對于注冊表進行修改從而對系統(tǒng)進行入侵對于計算機系統(tǒng)來說有著十分大的危害,因此應(yīng)該對其進行處理,可以使用系統(tǒng)注冊表對計算機病毒進行清除。因為計算機并且通過將自己寫入到注冊表中的方式來完成自身的啟動,但是從預(yù)防的角度來看,這同時也進一步的暴露了病毒的藏身所在地,給系統(tǒng)管理員找到病毒并且將其清除提供了條件。
在清除病毒的過程中,首先需要明確地找到計算機病毒的隱藏的位置,通常情況下,注冊表中管理啟動的主要鍵值的位置也是計算機病毒中最為常見的一個藏身的地方,因此可以在這個區(qū)域進行病毒的查找。在查找到病毒的所在位置以后就可以對病毒進行清理了,可以根據(jù)鍵值所在的路徑找到病毒在系統(tǒng)中的一個具體位置,或者是按照病毒的名字在文件系統(tǒng)中進行一個仔細的搜索,在搜索到以后將其刪掉。然后,還必須根據(jù)病毒的名稱在注冊表中搜索,找到病毒對應(yīng)的鍵值項,對其進行刪除或者是修改。在結(jié)束這些工作以后,對計算機進行重新的啟動就可以了。
5結(jié)論
現(xiàn)在計算機已經(jīng)成為了人們生活中重要的組成部分,而計算機病毒則對計算機系統(tǒng)造成了巨大的危害。本文首先對于windows系統(tǒng)中的注冊表進行了詳細的介紹,然后對于計算機入侵進算計windows系統(tǒng)的方式,也就是經(jīng)常采用的對操作系統(tǒng)的注冊表進行修改的方式進行了詳細的分析,其中主要包括幾種不同病毒的修改方式,最后對于注冊表如何反過來清理病毒進行了簡單的介紹,希望能夠起到一定的參考價值。
參考文獻
[1] 教你由注冊表防御黑客的入侵[J].計算機與網(wǎng)絡(luò),2011,37(12):33.
[2] 牟曉東. Windows7,向腳本病毒說再見[J].電腦知識與技術(shù)(經(jīng)驗技巧),2010(09):45-46.
[3] 注冊表基礎(chǔ)功能解析[J].計算機與網(wǎng)絡(luò),2009,35(21):28-29.
[4] 李朋.應(yīng)用程序文件保護的研究與應(yīng)用[D].長沙:國防科學技術(shù)大學,2009.
[5] 隱藏文件失效注冊表中破玄機[J].電腦愛好者,2009(02):37.
[6] 謝億鑫,孫樂昌.計算機病毒修改Windows操作系統(tǒng)注冊表原理解析[J].計算機安全,2008(08):117-121.
[7] 壞小子.網(wǎng)頁病毒癥狀分析及修復(fù)方法[J].網(wǎng)絡(luò)與信息,2005(06):60-62.
[8] 譚竹洲.什么是網(wǎng)頁病毒[J].中國電子與網(wǎng)絡(luò)出版,2003(11):70.
客服熱線:400-656-5456??客服專線:010-56265043??電子郵箱:longyuankf@126.com
電信與信息服務(wù)業(yè)務(wù)經(jīng)營許可證:京icp證060024號
Dragonsource.com Inc. All Rights Reserved