一般的木马运行添加自启动就会被杀毒软件的主动防御或者360拦截,前几天在网上发现了几个注册表自启动的方法,效果还不错,也算是目前主动防御的一大死角了,连微点竟然也拦截不到。
1.cmd运行前执行的程序(被动启动)
| HKEY_CURRENT_USERSoftwareMicrosoftCommand Processor AutoRun REG_SZ "xxx.exe" |
| HKEY_LOCAL_MACHINESYSTEMControlSet001ControlSession Manager HKEY_LOCAL_MACHINESYSTEMControlSet002ControlSession Manager HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSession Manager BootExecute REG_MULIT_SZ "autocheck autochk * xxx" |
不过xxx.exe必须用Native API，不能用Win32API
3.屏幕保护程序(被动启动)
| HKEY_USERS.DEFAULTControl PanelDesktop SCRNSAVE.EXE REG_SZ "xxx.scr" |
4.
| HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionpolicies HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionpoliciesRun MSCONFIG"="%SystemRoot%xxx.exe" |
另外,还有一个偷换控制面板文件来被动启动的方式，控制面板文件在C:windowssystem32下的.cpl文件,这个文件类似与dll文件.方法给大家了,至于怎么利用,大家就各显神通吧!
