|
網絡技術是從1990年代中期發展起來的新技術，它把互聯網上分散的資源融為有機整體，實現資源的全面共享和有機協作，使人們能夠透明地使用資源的整體能力并按需獲取信息。資源包括高性能計算機、存儲資源、數據資源、信息資源、知識資源、專家資源、大型數據庫、網絡、傳感器等。 當前的互聯網只限于信息共享，網絡則被認為是互聯網發展的第三階段。 (2).“0001，000x”是部分名字。可以是數字和文字。
(3).“entry1，entryX”是指向一個要運行的程序文件的注冊表串值。
鍵值的說明：
Flags是一個定位在RunOnceEx鍵用來激活/禁止的DWORD值，具體如下：
值功能功能定義
0x00000000默認所有功能被禁止
0x00000004檢查殼狀況打開殼的讀寫校驗準備接受OLE命令
0x00000008無報錯對話錯誤對話框不顯示
0x00000010創建錯誤報告文件創建 C:WindowsRunOnceEx.err 文件如果有錯誤出現
0x00000020創建執行報告文件創建一個有命令狀態的C:WindowsRunOnceEx.log文件
0x00000040無例外限制當注冊DLL時不限制例外
0x00000080無狀態對話當RunOnceEx運行時狀態對話框不顯示
由于涉及篇幅較多，具體做法請瀏覽微軟網頁：
http://support.microsoft.com/support/kb/articles/Q232/5/09.ASP
2.特殊啟動1：
在注冊表中除了上述的普通的啟動方式以外，還可以利用一些特殊的方式達到啟動的目的：
[HKEY_CLASSES_ROOTexefileshellopencommand] @=\"%1\" %*
[HKEY_CLASSES_ROOTcomfileshellopencommand] @=\"%1\" %*
[HKEY_CLASSES_ROOTbatfileshellopencommand] @=\"%1\" %*
[HKEY_CLASSES_ROOThtafileshellopencommand] @=\"%1\" %*
[HKEY_CLASSES_ROOTpiffileshellopencommand] @=\"%1\" %*
[HKEY_LOCAL_MACHINESoftwareCLASSESbatfileshellopencommand] @=\"%1\" %*
[HKEY_LOCAL_MACHINESoftwareCLASSEScomfileshellopencommand] @=\"%1\" %*
[HKEY_LOCAL_MACHINESoftwareCLASSESexefileshellopencommand] @=\"%1\" %*
[HKEY_LOCAL_MACHINESoftwareCLASSEShtafileshellopencommand] @= \"%1\" %*
[HKEY_LOCAL_MACHINESoftwareCLASSESpiffileshellopencommand] @=\"%1\" %*
其實從注冊表的路徑上也許就隱約可以看出，這些都是一些經常被執行的可執行文件的鍵值。往往有些木馬是可以更改這些鍵值從而達到加載的目的：
如果我把“”%1”%*”改為“file.exe”%1”%*”則文件file.exe就會在每次執行某一個類型的文件（要看改的是哪一個文件類型）的時候被執行！ 當然，可以被更改的不一定只是可執行文件，譬如冰河就利用了TXT文件的鍵值：
[HKEY_CLASSES_ROOTtxtfileshellopencommand]實現木馬的一種啟動方式。
3.特殊啟動2：
在注冊表中：
HKEY_LOCAL_MACHINESystemCurrentControlSetServicesVxD
的位置上有這樣的地址。該地址是系統啟動VxD驅動文件放置的地址，就像PrettyPark這個蠕蟲一樣，可以建立一個主鍵之后把VxD文件添加到注冊表中在這里。
注意：不可以直接把一個EXE文件改名為VxD文件，需要另外進行編程，生成的VxD文件。
4.其他啟動方式：
(一).C:Explorer.exe啟動方式：
這是一種特殊的啟動方式，很少有人知道。
在Win9X下，由于SYSTEM.INI只指定了Windows的外殼文件EXPLORER.EXE的名稱，而并沒有指定絕對路徑，所以Win9X會搜索EXPLORER.EXE文件。
搜索順序如下：
(1).搜索當前目錄。
(2).如果沒有搜索到EXPLORER.EXE則系統會獲取
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSession ManagerEnvironmentPath]的信息獲得相對路徑。
(3).如果還是沒有文件系統則會獲取[HKEY_CURRENT_USEREnvironmentPath]的信息獲得相對路徑。
其中：
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSession ManagerEnvironmentPath]和[HKEY_CURRENT_USEREnvironmentPath]所保存的相對路徑的鍵值為：“%SystemRoot%System32;%SystemRoot%”和空。
所以，由于當系統啟動時，“當前目錄”肯定是%SystemDrive%（系統驅動器），這樣系統搜索EXPLORER.EXE的順序應該是：
(1).%SystemDrive%（例如C:）
(2).%SystemRoot%System32（例如C:WINNTSYSTEM32）
(3).%SystemRoot%（例如C:WINNT）
此時，如果把一個名為EXPLORER.EXE的文件放到系統根目錄下，這樣在每次啟動的時候系統就會自動先啟動根目錄下的EXPLORER.EXE而不啟動Windows目錄下的EXPLORER.EXE了。
在WinNT系列下，WindowsNT/Windows2000更加注意了EXPLORER.EXE的文件名放置的位置，把系統啟動時要使用的外殼文件（EXPLORER.EXE）的名稱放到了：
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNTCurrentVersionWinlogonShell]
這個位置。
作為默認這個位置是不存在的，默認為是Explorer.exe。
具體請參考：http://www.microsoft.com/technet/security/bulletin/fq00-052.asp
注意：
一定要確定根目錄下的EXPLORER.EXE要能啟動Windows目錄下的EXPLORER.EXE，否則會導致Windows無法啟動！
現在流行的病毒CodeRed就會在C:和D:目錄下放置兩個約8KB的EXPLORER.EXE的文件！
在Windows 2000 SP2中微軟已經更改了這一方式。
(二).屏幕保護啟動方式：
Windows的屏幕保護程序是一個.scr文件。這是一個PE格式的可執行文件。如果把屏幕保護程序.scr更名為.exe的文件，則該程序仍然可以正常啟動。類似的.exe文件更名為.scr文件也是一樣可以被運行！
.scr文件默認存在于C:Windows目錄中，他的名字就是在“顯示”屬性中的“屏幕保護程序”中的名稱。在C:Windows目錄下的所有*.scr文件都會被Windows的“屏幕保護程序”顯示，而文件路徑本身保存在System.ini中的SCRNSAVE.EXE=的這條中。有意思的是在SCRNSAVE.EXE=這條中，其規定的路徑也包含了目錄名稱。即如果我想安裝一個.scr文件時，譬如安裝路徑為D:SCR1.scr，而D:SCR這個目錄中還有2.scr，則在這個目錄中的所有.scr（1.scr，2.scr）文件都會被顯示在“屏幕保護程序”設置中。如果屏幕保護程序設為“（無）”，則SCRNSAVE.EXE=這條不存在。但如果SCRNSAVE.EXE=這條所指的文件或目錄是錯誤的，則在“屏幕保護程序設置”中仍然會顯示“（無）”。
屏幕保護程序的啟動時間保存在注冊表中的這個位置上：
HKEY_USERS.DEFAULTControl PaneldesktopScreenSaveTimeOut
時間單位為秒，不過雖然是秒，可啟動時間卻為分，即從60秒開始記錄，如果記錄時間小于60秒，則自動定為1分鐘。
屏幕保護是否設置密碼的鍵值為：
HKEY_USERS.DEFAULTControl PaneldesktopScreenSaveUsePassword
有密碼則值為1沒有密碼則值為0。
由此可見，如果有人把自己所作的.exe程序更名為.scr的程序，并使程序能夠在SYSTEM.INI中添加“SCANSAVE.EXE=/%Path%”f/ile.scr”（/%Path%/file.scr為所需要設置的文件的路徑和文件名，如C:Program filestrojan.scr），修改注冊表中的HKEY_USERS.DEFAULTControl PaneldesktopScreenSaveTimeOut，定時間為60，則系統只要閑置一分鐘該文件就會被啟動！
另外一個簡單的破壞方式就是可以隨機產生屏幕保護密碼并寫入相應文件的相應位置，定時間為1分鐘，則系統只要閑置一分鐘則會被被鎖！（由于涉及問題并非自啟動問題，所以不加以討論。）
注意：由于SCANSAVE.EXE=這里還會定義.scr文件的路徑，所以最好不要把要啟動的文件放置在.scr文件較多的一些目錄，否則容易引起懷疑。（Windows目錄除外） （三）.依附啟動：
這類啟動方式已經有幾分類似病毒了。這種方法是利用病毒的傳染機制把要啟動的EXE文件附著在另外的一個和多個EXE文件上，從而達到啟動這個EXE文件就可以啟動要啟動的文件的目的。記得1999年YAI這個木馬流行的時候，它就使用了依附一個EXE文件而達到啟動的目的，但是由于BUGS和方式問題該木馬的破壞作用卻體現在了它“病毒”的一面。
使用這種啟動方法一定要注意不能破壞EXE文件（否則會很容易被發現），而且最好把木馬定位在固定的一個或者幾個EXE文件上。如：IEXPLORE.EXE（IE的EXE文件），RNAPP.EXE（撥號網絡的EXE文件）等等。
注意：這種方法的使用比較危險，技術上也需要相當功底，而且和病毒的距離很近，慎用。
（四）.計劃任務啟動方式：
Windows的計劃任務是Windows的一個預置實現某些操作而使用的一個功能。但是如果利用這個功能也是能夠實現自啟動的目的的！由于很多電腦都會自動加載“計劃任務”所以隱蔽性相對不錯。
在Windows默認的情況下，計劃任務是一個個保存在C:WindowsTasks目錄下的.job文件。.job文件里包括了啟動方式、文件路徑等一系列的信息。編制出或者使軟件自己可以寫出.job文件，則是關鍵。之后在相關地方寫入標記啟動即可。
由于時間關系，這個方法沒有來得及試驗，讀者可以自己試驗一下。
（五）.AutoRun.inf啟動方式：
Autorun.inf這個標識也許大家都見過。是的，這個最常出現在光盤中，用于光盤自啟動。每次把光盤放入光驅中的時候，系統會通過這個文件來決定是否自動啟動光盤。但是有沒有想過，這個文件也可以用來自啟動一些文件！
Autorun.inf的內容通常是：
[AUTORUN]
OPEN=file.exe
ICON=icon.ico
OPEN中是插入光盤或者雙擊光盤盤符就會運行的可執行文件的名稱。
ICON中是該光驅驅動器的圖標文件。該文件可以是其他文件。如：
[AUTORUN]
OPEN=file.exe
ICON=icon.exe,2
其中icon.exe是一個有圖標文件的可執行文件，“,2”則是該文件中的第3個圖標。（“,0”是第一個圖標，無數字則默認為第一個圖標）。
最關鍵的是該Autorun.inf文件是可以被用在硬盤的驅動器上的。也就是說，如果把光盤上的所有文件及目錄原封不動的復制到某一硬盤的根目錄下，則雙擊盤符會出現自動運行文件！
如果是木馬的話，打一個比方：一個木馬如果執行后被命名為aaa.exe放置在C:Windows目錄下。那么該木馬可以生成一個autorun.inf
文件于C:下，內容如下： [AUTORUN]
OPEN=Windowsaaa.exe
ICON=aaa.exe
這樣的話，盤符圖標為aaa.exe的第一個圖標文件。則在每次雙擊C盤的時候都會執行aaa.exe文件了。但要注意的是，aaa.exe文件
最好能夠打開C盤目錄。（比較容易偽裝）
注意：
（1）.autorun.inf的屬性被改為隱藏后仍可以正常使用。
（2）.autorun.inf中的路徑對相對路徑和絕對路徑都是可以實現的。也就是說，如果autorun.inf被放在1盤符下，也可以2盤符上的文件！如：
如果把autorun.inf文件放在C盤根目錄下，內容為
[AUTORUN]
OPEN=D:CCCbbb.exe
ICON=bbb.exe
則這時如果雙擊C盤則可以執行D盤CCC目錄上的bbb.exe文件！
（3）.如果沒有OPEN項目，則系統不執行任何文件，而去執行下一個命令。
（4）.如果沒有ICON項目，則該盤符的圖標為原Windows盤符圖標，但如果有ICON項卻設置錯誤，或者所設置的文件沒有圖標，則系統會顯示為默認的空白圖標。
（5）.自動啟動相關：
a.代啟動：
這種啟動方式其實只是一個方法的問題。即可以用啟動一個正常文件來啟動另一個文件，SubSeven就用過啟動Windos.exe從而啟動SubSeven的Sever文件的方法。
b.Start啟動：
在“運行“中或“MS-DOS”方式中輸入start回車，則會顯示
Runs a Windows program or an MS-DOS program.
START [options] program [arg...]
START [options] document.ext
/m[inimized] Run the new program minimized (in the background).
/max[imized] Run the new program maximized (in the foreground).
/r[estored]Run the new program restored (in the foreground). [default]
/w[ait]Does not return until the other program exits.
如果要啟動的程序配合這個命令，則可以更加隱蔽，如：
start/m file.exe
但似乎有些有啟動畫面的軟件（如金山詞霸）對這條命令并沒有反映。
c.控制面板啟動：
這是利用控制面板程序可以被類似DLL執行，從而達到啟動目的。
在控制面板中，.cpl文件是控制面板的原文件。默認的這些文件都會被放置在/％WINDOWS％/SYSTEM/目錄下的，如desk.cpl是桌面屬性、inetcpl.cpl是Internet選項之類。但這些.cpl文件全都是PE格式文件，也就是說如果用戶把一個可執行的類似DLL的.cpl文件放入%Windows%System中，則在控制面板中可看到其圖標，并可執行！
由于.cpl文件的特殊性，需要使用rundll32.exe來啟動該文件。rundll32.exe是Windows用來調用動態連接庫函數時所使用的文件，在運行中輸入： rundll32 shell32.dll,Control_RunDLL /%path%/desk.cpl,,X
其中shell32.dll為被調用的DLL文件，意思為調用shell32.dll中的Control_RunDLL來打開desk.cpl文件；/%path%/為.cpl文件的路徑，默認為C:WindowsSystem；最后的X為desk.cpl文件的頁數：從0開始，0為第一頁（如“顯示屬性”的“背景”），1為第二頁（如“桌面屬性”的“屏幕保護程序”），依此類推。
但如果照上面的方法做，則該文件會在控制面板中被顯示。有兩種方法可以不讓其顯示：
（1）.不要把自己的.cpl文件放在C:WINDOWSSYSTEM中。因為默認的情況下Windows會加載的所有.cpl文件。如果想讓其顯示則打開C:WINDOWS下的Control.ini文件，在[MMCPL]中寫入類似：
file.cpl=D:pathfile.cpl
的命令，從而達到顯示的目的。
（2）.當你看到Control.ini文件的時候一定可以看到在[MMCPL]上面的[don‘t load]。是的，如果把你的文件以file.cpl=no的格式寫入到這里面，那么文件就不被加載了。反之恢復。
d.其他：
注冊表中：
HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced
的“HideFileExt”這個鍵值是確定Windows是不是顯示擴展名的值，如果其值為1就隱藏擴展名，為0則不隱藏。
EXE文件中：
如SirCam蠕蟲一樣，*.EXE文件的擴展名可以改名稱為.BAT、.COM、.PIF、.SCR等，并且運行效果一樣，反過來不一定。但.EXE文件并不能更名為.LNK文件，這也許也是SirCam的一個BUG。
最后：
Windows的自啟動方式有很多樣式。這是Windows系統的一部分。一個隱蔽而又很少有人知道的自啟動方式是遠程監控軟件成為一個優秀的軟件的必要的條件。對于普通用戶來說，了解這些信息也是非常必要的。筆者試圖全面的介紹這些可以啟動的方法和想法。文中提到的一些自啟動方法有的很普通，有的則很少有人知道，有些方式甚至有可能是第一次被寫出來。其中的許多方式筆者加入了自己的想法，使一些方式雖然普通但卻很隱蔽。
其中所提的自啟動方式全部在Windows98或提到的相應的系統中默認測試通過。對Windows ME和Windows2000只有部分適用。通過對不同平臺的自啟動方式測試，也可以發現Windows系統還是朝著越來越完善的方向發展。所以在未來的某個WINDOWS版本中，筆者不能保證這些能被使用。但總會有一些可以利用的地方。如果這篇涂鴉能給各位讀者帶來一些啟發，那么筆者將會感到非常高興！
由于時間倉促再加上筆者所學有限，文中錯誤之處一定不少，望讀者海涵。
關于Windows的自啟動方式的探討可以與我聯系，我的E-mail是snaix@yeah.net。
本文轉載請注明作者及出處。若用于商業，請與作者聯系。
主要參考資料：
http://www.tlsecurity.net/auto.html
http://support.microsoft.com/support/kb/articles/Q232/5/09.ASP
Syntax for the RunOnceEx Registry Key
SUMMARY
MORE INFORMATION
RunOnceEx Sample to Run Notepad
Sample Syntax
Notes
Definition of Values and Subkeys
Wininit.ini與病毒（名稱為筆者所加）
http://www.microsoft.com/technet/security/bulletin/fq00-052.asp
網絡的神奇作用吸引著越來越多的用戶加入其中，正因如此，網絡的承受能力也面臨著越來越嚴峻的考驗―從硬件上、軟件上、所用標準上......，各項技術都需要適時應勢，對應發展，這正是網絡迅速走向進步的催化劑。
| 
