先談雜七雜八的免疫方法：在磁盤下建立一個autorun.inf文件，將屬性設置為只讀，隱藏。防止被覆蓋.....不知道是誰想出來的，沒什么可操作性??！再者就是在組策略里設置關閉驅動器的自啟動，一樣沒什么技術含量，惡意軟件作者之需要幾行操作注冊表的代碼就讓這個方法毫無價值。
再談第1代免疫方法：讓我們看看是怎么實現的吧。
- md c:\autorun.inf
- rd c:\autorun.inf
- attrib c:\autorun.inf +s +h +r
- cacls c:\autorun.inf /d everyone
目的是用命名autorun.inf文件夾并加上只讀，隱藏，系統(tǒng)屬性來防止生成autorun.inf文件，但是很快被惡意軟件制作者發(fā)現，并以用代碼進行反免疫?。。?br>
接下來是第2代免疫方法第2代說白了就是所謂的人們傳為圣經的系統(tǒng)文件命名漏洞的利用方法。
看看是如何實現的。
- md c:\autorun.inf\dxl..\
- md c:\autorun.inf\" \"
但是由于用的人多了所以被惡意軟件作者關注，于有了下面的反免疫代碼：
- @echo off
- echo +++++++++++++++++++++++++++++++++++++
- echo +++++++++搞定免疫中++++++++++++++++++
- echo +++++++++++++++++++++++++++++++++++++
- del dxl.txt>nul
- for %%i in (d e f g h i j k l m n o p q r s t u v w x y z) do (fsutil fsinfo drivetype %%i:|findstr "可移動"&&echo %%i>>a132.txt)
- for /f %%i in (a132.txt) do attrib -r -a -s -h %%i:\autorun.inf>nul
- for /f %%i in (a132.txt) do rd %%i:\autorun.inf /s /q>nul
- del dxl.txt
- @pause
代碼的原理就不說了，自己看吧
第3代免疫由于上面的代碼，牛人們又想出了不能簡單刪除的文件或者文件夾來保護autorun.inf文件夾
這些技巧只在少數人群內傳播，我今天就放出來。
文件命名是不允許使用一些特殊的字符，這大家都知道，可你知道，上面的這些限制被解除了嗎…… 從DOS時代過來的朋友都知 道，“8.3”式的文件名（目錄名）是不允許使用一些特殊的字符如?、\、*、>、<等以及DOS的保留字（如con、aux、com1、 lpt1、prn和nul）的。進入Windows時代，“目錄”改稱“文件夾”，文件名的長度也大大增加，長文件名極大的方便了我們的操作。
如何建立這些文件或者是文件夾呢？
實現如下：
等等........
注意，建立了后，這些文件夾是無法刪除的!!!
在談下如何建立這些帶有特殊字符的文件。實現方法如下：
首先建立一個dxl.txt然后運行下面的代碼：
- copy c:\dxl.txt \\.\c:\com1
主流的方法就上面的了，但是棋差一著的就是autorun.inf文件夾是可以被任意更改的，要是被重命名了上面的方法就沒有什么意義了。怎么辦呢？呵呵，讓我們來展望下吧。
1.軟件實現新思路，USB Vaccination這軟件的特色是能在FAT/FAT32格式的移動盤中建立一個空白autorun.inf，無修改權限和刪除權限，在技術上是怎么樣實現的，此公司還沒有透露.....（自己也想不通，難道非要用逆向工程了么？反正現在沒這個實力，看以后吧）
2.修改shell32.dll文件
這里對這個技術很有必要說明一下，比較的有意思。
我們先來了解下shell32.dll是什么東東吧
DLL 文件：
shell32 - shell32.dll - DLL文件信息
DLL 文件： shell32 或者 shell32.dll
DLL 名稱： Microsoft Windows Shell Library(微軟視窗外殼要求生效的命令代碼集合)
描述：
shell32.dll是Windows的32位外殼動態(tài)鏈接庫文件，用于打開網頁和文件，建立文件時的默認文件名的設置等大量功能。
嚴格來講，它只是代碼的合集，真正執(zhí)行這些功能的是操作系統(tǒng)的相關程序，dll文件只是根據設置調用這些程序的相關功能罷了。
屬于： Microsoft Windows Shell (微軟視窗外殼)
系統(tǒng) DLL(動態(tài)連接庫)文件： 是
Explorer.exe有調用這個文件，作者的思路就是擦除進程Explorer中的Shell32.dll模塊中的特定內存字符串可以做到U盤自動執(zhí)行的動態(tài)免疫。這樣就一勞永逸了。這也就是指明autorun.inf就是在shell32.dll的設定下運行的，只要刪除了和autorun有關的字符串就可以達到免疫的效果。
用IDA打shell32.dll文件
關鍵代碼如下：
把
的地址中Autorun.Inf抹掉[注意是Unicode編碼],當然也可以修改成你喜歡的自動執(zhí)行名字.比如dxl.inf等
本站僅提供存儲服務，所有內容均由用戶發(fā)布，如發(fā)現有害或侵權內容，請
點擊舉報。
