全面防御注册表自启动与被动启动

《全面防御注册表自启动与被动启动》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、全面防御注册表自启动与被动启动张东辉[shineast][http://hi.baidu.com/shineastdh]1.什么是自启动，什么是被动启动自启动，想必大家再熟悉不过了。很多木马，病毒为了使自己在电脑重启后，依然能存活在主机中，使用各种猥琐的自启动方式，不过用的最多的还是“HKLMSoftwareMicrosoftWindowsCurrentVersionRun”，事实上，这个注册表键基本上都被木马，病毒用烂了。当然还有一些大家不熟悉的注册表键也可以用来实现自启动。本文第二部分将揭示这些注册表键。“被动启动”，原本没有这个名词，是我自己提出的，呵呵！欢迎

2、拍砖！为什么提出这个“被动启动”呢？主要是考虑到有些注册表键可以用来实现一些程序的依附启动或间接触发启动，不像自启动那样，随系统启动而自动的运行起来。因此我称这些注册表键的启动方式为被动启动。举个例子吧，“HKCRexefileShellOpencommand”，如果你改这个注册表键的默认值为你的程序路径的话，知道这意味着什么吗？这意味着，当你open任意一个exe文件时候，这个exe不会运行，而是执行你刚才指定的程序。这就是说，你的程序的运行不是随系统自启动的，而是由于用户open了exe文件，而触发启动的。当然了，关于被动启动的注册表键还有很多很多，要比自启动多的

3、多，被动启动最大的作用就是可以唤醒潜伏在系统系统中的病毒，木马，一旦这些病毒，木马活过来后，就可以再次想方设法让自己永久的存在于整个系统的各个角落里。同样，在本文的第二部分对这些被动启动，将有详细的介绍和说明。本文下面将在罗列清楚目前我所知的自启动和被动启动的基础上，提出防御思路，并实现一个防御系统，供大家参考，欢迎讨论！2.注册表中哪些涉及自启动，哪些涉及被动启动2.1自启动相关注册表键2.1.1Run系列HKLMSoftwareMicrosoftWindowsCurrentVersionRunHKLMSoftwareMicrosoftWindowsCur

4、rentVersionRunOnceHKLMSoftwareMicrosoftWindowsCurrentVersionRunServicesHKLMSoftwareMicrosoftWindowsCurrentVersionRunServicesOnceHKCUSoftwareMicrosoftWindowsCurrentVersionRunHKCUSoftwareMicrosoftWindowsCurrentVersionRunOnce这些应该说是最常见的自启动方式了，就不多说了。2.1.2Winlogon系列HKLMSoftw

5、areMicrosoftWindowsNTCurrentVersionWinlogonShellHKLMSoftwareMicrosoftWindowsNTCurrentVersionWinlogonNotifyHKLMSoftwareMicrosoftWindowsNTCurrentVersionWinlogonUserinitHKLMSoftwareMicrosoftWindowsNTCurrentVersionWinlogonUIHostHKCUSoftwareMicrosoftWindowsNTCurrentVersio

6、nWinlogonShellHKCUSoftwareMicrosoftWindowsNTCurrentVersionWinlogonNotifyHKCUSoftwareMicrosoftWindowsNTCurrentVersionWinlogonUserinitHKCUSoftwareMicrosoftWindowsNTCurrentVersionWinlogonUIHost这些是系统登陆时，自启动相关的一些注册表键和valuename。Services系列HKLMSYSTEMCurrentControlSetServicesHKLM

7、SYSTEMCurrentControlSetServicesVxD包括服务和驱动、内核模块的加载SessionManager系列HKLMSystemControlSet001ControlSessionManagerBootExecuteHKLMSystemControlSet002ControlSessionManagerBootExecuteHKLMSystemCurrentControlSetControlSessionManagerBootExecuteHKLM