梦影 2008-6-19 22:46
雷特反病毒教学第6课:再探注册表,服务详解
第4课:[url=http://www.ratebbs.cn/thread-1977-1-1.html]http://www.ratebbs.cn/thread-1977-1-1.html[/url]
{c$M:MDcp3u
雷特反病毒学员每次看帖后必须回复(无特殊情况连续三次不回复取消学员资格),回复格式如下(非学员可自由回复):
i j2i3v+}7t w+HX
ID:+SK F!r
M1z
看帖日期:;L d?Je$L%M
看帖前是否已掌握:
.C[K
ay5`r-W
看帖后是否已掌握:
ni(pZ;nqtW
意见或建议:
5Yh n a&a0Er
提问:7t9v7X0Z u ZWy
其他:4Q Ms nQf
P.fH#Ce
现有学员名单: dM"b$N)m-Z4^&s
ayong 死性不改 狐狸 ℡o风︶ㄣ 零点 江湖游龙 弧光 chaplin_jia boobbgirl 梦笔生花 iloveloli 玉之舞 edufengfei(大花猫)
/y6f(k
ezt I{ b)j9?!f
.Cs,a }b%l IN,s`
[color=red]一,环境变量与命令[/color]t(v&r'n:U L9`GX H
命令分为内部命令和外部命令,以前用到的cd就是一个内部命令,内部命令只能在cmd中执行,其他的还有del(删除文件的命令),rd(删除目录的命令),md(创建目录的命令)等.外部命令很多,每个外部命令都有一个与命令同名的文件,这些文件都可以在path环境变量所设定的目录中找到.
E/O&?L0|KL
广义上讲,窗体程序也可以算命令,如regedit(注册表编辑器),services.msc(服务)等.-wrq'V(h C2a hs
我们天天用的QQ当然也可以算哈,试下在运行中输入QQ,结果如图:N zg5f?R(a
w6_*nM,E&@
[attach]1345[/attach]LbX
? r;PO m
L y2^Oa7yJ
让QQ这个命令可用吧,跟我操作: J(mP)}5?*gh$Q*yH
我的电脑,属性,高级,环境变量,系统变量(用户变量也是一样的)
$ed \ _K ? _K
找到变量Path,双击,可以看到变量值是由很多文件路径组成的,每个路径是用分号隔开的. ~ FX{3h,TOh v~
所有在最后面先加个分号,再在后面加上QQ的安装目录,比如我的就加X:\Program Files\Tencent\QQ:Eg!Wp"}z[
确定,再点确定.)K4d A:a2z g
如果没有path变量,可以新建一个,然后直接输入QQ的目录.(没有的话,后面的结果就会有不同)
)Lg%xg
~kr
现在在运行中输入qq就可以直接运行了.
hi [&Iy&}p
| a
path变量的值也是系统搜索目录)E9e2F7dFW
到%SystemRoot%\System32目录(或%SystemRoot%目录)把notepad.exe重命名为qq.exe,然后在运行中输入qq
7D8A
j7UST ^
这时运行的程序不再是QQ,而是记事本. U(`)Xyh
原因是系统优先搜索%SystemRoot%\System32目录,再是我设定的目录,如果在前面的目录中可以找到名为qq的程序,则直接运行它了,不再搜索后面的目录.
Rib.KV)f:T
把那个文件改回notepad.exe吧.P(g3wR*nc D
z)h,[k I)]&D9p:I
[color=red]二,减少开机自动运行的程序[/color]4b?xs4] M(t(v/j
Win+R,输入msconfig,确定,切换到启动页.软件装多了的话,这里可以看到好多.
w'W)J3oyj Z M E&z2B%M
我这里可以看到5个,三个打勾的,表示已启用,如图: b D yFP
8b;W%jU]:r
[attach]1346[/attach]/p7V&Kn/^5A$BQx
&gP2O(t|W!d'P
启动项目的名字一般就是程序的文件名或描述
[5qA t5K
第二列,命令,就是开机自动运行的程序所在的路径,可以带参数运行.)ee;n_T i{
第三列是位置,很多是注册表路径.-L
K#X Hj3b7LG'X;i J
aW
tOAZ4\
Startup这个位置表示的是当前用户的开始菜单,所有程序,启动这个位置,文件路径为C:\Documents and Settings\你的用户名\「开始」菜单\程序\启动,也就是说你往这个目录放程序,下次及以后一开机就会自动运行这个程序了(只对指定的用户有效).%L3D
Cl
p
l(M*c J
Common Startup,路径为C:\Documents and Settings\All Users\「开始」菜单\程序\启动,这里放的程序对所有用户有效,其他和上面的一样,可以是程序快捷方式等.5m tL9q(|@R3F @
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run,这个大家肯定熟悉,是注册表路径,只是前面的根键缩写了,写全了就是HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run,只是这个位置比较特殊,大家打开注册表定位到这里,和刚才在系统配制实用程序中看到的对比下.Qn2dZ ~:j/o%N J5z
这里的键名和msconfig中的名称是不一样的,但键值却和命令是一样的.ZZ"f:\z
a I6m
DR_6^HK&b
J&tE3[
事实上这里的键名可以任意更改,键值就是你想开机时自动运行的命令(或程序)
B%K0L,})m
这里就可以把不需要的删除,哪些不需要?DG2L1^+C
百度一下文件名就知道了,比如我这里第二个wesec.exe,搜索下就知道了,它是365门神,一款优秀的恶意网页广告等的标示及拦截工具
*[E\6v{H4R#C
(对于进程名,不知道的也去百度一下吧,百度不到的google) {8Wsc x
第三个估计大部分都有吧,输入法图标,呵.Z4p&_G2LLm ^
第一个google工具条.+z.RJ G l4W9T
&P
X,_;FRT
开始,运行,输入services.msc,确定.(或者,控制面板,管理工具,服务).b$L,FVz }G
选中某个服务时,左上角会显示该服务的具体描述(如果你的不显示,请点击左下角的扩展)
w k]C/v_2|$pD%X3O
@
p'{!o7\)QN"K
[attach]1347[/attach]4|}+Z"|Z0G
4T [/M5MM:G]
图中是部分已被我禁用的服务,因为我根本不需要它们,开了只会浪费资源.当然需要的时候可以再次开启它.
nlD
{8@:c O;jj2y
双击或者右键选择属性就可以看到更多的信息,我们所要关注的就是可执行文件的路径,依存关系,启动类型,服务状态.
u-z
E1b ]+~%sx`"^2s
比如这个Print Spooler,因为我根本就没有打印机,更不需要打印,所以我把它停止并禁用了,于是任务管理器中将看不到映像名为spoolsv.exe的进程了./Z5VxL},^e${
作为服务启动的程序在任务管理器中看到的用户名一列均为system.
*V)v \ah
g
~[fv&[d c0Z1s
所有服务在注册表中都有相对应的位置,这些位置有如下几个(可能你的没有第三个或还有其他的):
#^!W'X+a'N8vb
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services
rrg!`+GF tZ*@zA@y
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services
's0Y5Nh~u:v
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services N x#@z Wz
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
"heF9eB
j c
不过这样找某个具体的服务麻烦了点,因此一般不直接找,而是搜索.
.T:]lu#F7Z
qa9or+bfr4GZ
怎么来搜索打印服务?
xVi1ATS!@L5b
展开到并选中该项,点编辑,查找,输入spoolsv.exe,查看那里的三个全选上(也可以只选数据,这样搜索速度会快一点),全字匹配不要选上,点查找下一个. y}7`0T [1b$Kz@ LV
很快就搜索到了,在左边空白处点一下,可以看到它的完整注册表路径为HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Spooler,f*E/n$v5HU%}
%x]7\?1Y7S9Oi,ND D8g|
项名即为服务名称.
r;a~ r$^.O Ms
DisplayName为服务的显示名称s/Pj8o h.Q3C6I
Description的值为该服务的描述,这些都可以修改h \ \&~ c C3u^4H
ImagePath的值为可执行文件的路径i(] bf
L u5~5u H
Start的值表示服务的启动方式,4表示禁用,3表示手动,2表示自动X `E3o3e
ObjectName的值表示服务类型,如本地服务(LocalSystem),网络服务等. T'_z6w^-r1h6h[
j}|/Z:_'W
将整个项删除可以完全删除这个服务,不建议这样做.按F3继续查找,在HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services下又发现有... @0j)Ik u3lC s
t+R7~3dp q(j%S&v v
这里有必要解释一下了:{9T~-Y d)W
Currentcontrolset一般是ControlSet001的映射,也就是当前生效的项.修改其中的一个,另一个会跟着变化.
{H f3YcC}
ControlSet002保存上次生效的配置(最后一次正确配制所加载的内容.开机时按F8就知道了)
.qD ea6c8Y4@6e
ControlSet003如果使用过上次有效的配置则这里的是备份的ControlSet001
#\*F&i n f*\
后面如果还有的话以此类推.
2al F}*u{q7^*p
@Sc w U-pft5p
为什么我上面说Currentcontrolset[b]一般[/b]是ControlSet001的映射,因为有些情况下并不是这样的,可能是ControlSet002的映射,这个由HKEY_LOCAL_MACHINE\SYSTEM\Select下面的键来决定.具体是:U
S&LKKd
H3z$^
Cturren 当前,值为1表示当前使用的是ControlSet001下面的配制,值为2表示使用的是ControlSet002下的配制,其他以此类推.
3]b9N5d c
Default 默认,通常和上面键的值一样
,g.e/N/nWdH$e4R
LastKnownGood 最后一次正确配置,默认应该是3吧,也就是指向了ControlSet003.W7j"V$|
t,Ym
Failed 指向上次启动失败的设置项
Zz'k1pv+G7eR
1dz
o#u,^MU N
禁用最后一次正确配置
^tW/D(W C
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]3KD2u%c$c!`
ReportBootOk的值改为0,没有就新建.
w)] \8N-IM0z$qK]
S*X3X(x2I7y
这一课的内容,想要完全掌握,是要下点工夫的,呵呵,不要以为很简单.$oc~)NjP*`'|
附件是一张服务对照图,比较完整,包括是否需要禁用等.图片大小908*2721,比较大,所以用windows图片和传真查看器打开时,请放大,否则看不清楚.
iloveloli 2008-6-20 00:37
ID:iloveloliHQ Tf:}M
看帖日期:08.6.20]DX7@6S6Q\
看帖前是否已掌握:50% {c/w$kL:@ T
看帖后是否已掌握:80%ad+Py A/t
意见或建议:尽快先做两个杀毒的帖子先看起来#e%W4L|,y?
提问:无'f#H1yj nk x h;e
其他:无
梦影 2008-6-20 01:07
[quote]原帖由 [i]弧光[/i] 于 2008-6-20 13:56 发表 [url=http://www.ratebbs.cn/redirect.php?goto=findpost&pid=9311&ptid=2049][img]http://www.ratebbs.cn/images/common/back.gif[/img][/url]
SHZN6h/G}pX
提问:我看了下自己的开机项。很多都是杀毒软件跟防护软件的。就没有管它。很机个看不出来是什么。好像是什么驱动的。还有我把表下下来了。看了下。里边命令好多。能归纳几个常用的就好了呵呵。[/quote]
cd7{K&UYHC0J
1t F
v }7q3z
杀毒的和防护的看需要,如果你以后安装其他安全相关软件时发生冲突了,就可以试着去掉其中的某个.{X/k+l }Bq
在msconfig中修改的好处是去掉后以后还可以加回来.. 直接删除注册表中的话就直接没了..
?;h:B(p1U6h
没了,也不用担心,可以新建,字符串值,名字任意,值为要开机自动运行的程序的路径..(X_!p1e P W
kF
(pA'U2qx;x!sb2e
附件中的只是所有服务的列表(不是命令哈),不用去记,你打开你的服务,看描述就知道了.. 我帖子中那个图上的是我禁用的几个..你可以参考下..
梦影 2008-6-20 08:07
[quote]原帖由 [i]梦笔生花[/i] 于 2008-6-20 21:31 发表 [url=http://www.ratebbs.cn/redirect.php?goto=findpost&pid=9406&ptid=2049][img]http://www.ratebbs.cn/images/common/back.gif[/img][/url]
{%L
[+W"Wm
ID:梦笔生花[#ufDH`)o*F
-ea1R"L7}O4gk
其他:注册表一直记不住，怎么样才能快速的记住，有时候还是看不懂 [/quote]RJ\3P'PX
E
心急吃不了热豆腐,慢慢来.. V
g`%Ol'Nm_ gz r'A
仔细回想一下,注册表路径我们学了几个了:8JKitu s
一,文件夹选项中与文件显示相关的.gP})V1P!j
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
e g$g!TT(H I4t
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden
}a.Yt!ji7te
二,开机自动运行的项目
FV8{2w.e7M
z\ T
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
b mDYq
V5y
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
|&U Uo d~ }X {5E8d
三,服务
n.\ c"Cb
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ServicesVWF
dnaP
四,是否启用最后一次正确配置:
m_T/uA L!x C
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
O
D6Z
`WS
%o`3{$R
}4r)`
关键词:/K
_+P2w:b
当前用户,软件,微软,windows,当前信息,资源管理器(浏览者),高级
+Ub~'F7]&V9P!wR
本地机器,文件夹,隐藏+^9J f
x,[I!_ S v
运行D7I#_nD
系统,当前控制设置,服务+R&SH(j:_.hD@m)RD3o
登陆
Icemellon 2008-6-21 23:53
ID:icemellon
:ZG;wL/x:J
G&E5}
看帖日期:2008年6月22日
{)F6Nb:F G TD
n
看帖前是否已掌握:除环境变量与命令掌握 sX{ P}t
看帖后是否已掌握:掌握
0}
^+d3Aa.o@ ?,d a
思路：环境变量是否可以用来劫持regedit，cmd等。病毒在其他目录下，然后将其目录在path变量提前。
}6gSQa$Os4b
当用户发现病毒时，想清理，使用regedit,cmd时候被劫持：33）
梦影 2008-6-25 01:47
[quote]原帖由 [i]Icemellon[/i] 于 2008-6-22 13:53 发表 [url=http://www.ratebbs.cn/redirect.php?goto=findpost&pid=9640&ptid=2049][img]http://www.ratebbs.cn/images/common/back.gif[/img][/url]@Z$W
yg? n
ID:icemellon*])D wO o JH)S6e
思路：环境变量是否可以用来劫持regedit，cmd等。病毒在其他目录下，然后将其目录在path变量提前。
7W y
R:G+?9Kp+VF!\0a!Z
当用户发现病毒时，想清理，使用regedit,cmd时候被劫持 [/quote]0f[V
P{*S-sn!Kb
是的
?y(cB
j6y
S PY#MS l d r\
在同一目录下,同名的com文件比exe文件优先运行.
梦影 2008-9-7 00:22
[quote]原帖由 [i]nochoice[/i] 于 2008-9-7 09:54 发表 [url=http://www.ratebbs.com/redirect.php?goto=findpost&pid=12287&ptid=2049][img]http://www.ratebbs.com/images/common/back.gif[/img][/url] D0Lr&a ['cY,|
ID:nochoice y;[.U
r^ |,K1O
提问："禁用最后一次正确配置" 有什么用? [/quote]
Xl6u%sm&w
由于某些服务出现问题导致系统崩溃无法进入时,我们可以在开机时按F8选择最后一次正确配置来恢复以前的正常状态,禁用后将失去这一功能.
B
r-Z$P.g9l
5sU _w^)C@
补充:内核加载过程
7])X)M^y#N$d
Q
在加载内核阶段中,NTLDR将加载NTOKRNL.EXE内核程序,然后NTLDR将加载硬件抽象层(HAL.dll),接着系统将加载注册表中的"HKEY_MACHINE\System"键值,这时NTLDR将读取"HKEY_MACHINE\Systemselect键值来决定哪一个ControlSet将被加载.所加载的ControlSet将包含设备的驱动程序以及需要加载的服务.再接着NTLDR加载注册表"HKEY_LOCAL_MACHINE\System\service"下的start键值为0的底层设备驱动(你在sreng中看到的启动类型为boot start的驱动就了,关于更多启动类型的内容可以参考[url=http://www.ratebbs.com/thread-2630-1-1.html]反病毒教学第11课[/url]中服务与驱动部分).当ControlSet的镜像CurrentControlSet被加载时,NTLDR将把控制权传递给NTOSKRNL.EXE,至此引导过程将结束.ntldr的使命也就结束了.
^!xb1o(U@
事实上ntldr的第一步工作是检测系统盘根目录下是否存在Hiberfil.sys文件,如果存在则会读取里面的内容.Hiberfil.sys文件只有当系统休眠时才会产生,它保存了上次关机时系统的所有状态,包括内存等一并恢复上次关机前的.当加载该文件后,系统将直接恢复至上次关机时的状态.如果不存在这个文件,则按正常流程,读取boot.ini中的内容,显示操作系统列表,停留时间由boot.ini中的第一个配制项TimeOut的值决定,如果只有一个操作系统,则此处基本不停留,这个时候,也就是你可以按F8键的时候,如果需要,可选择恢复上一次正确配制.然后才是上面一段的内容.
:[,HZQ h?^XB
9@u(v$U
k
有空就多写点喽,只是不知道有几个能完全理解上面两段话.
120870250 2008-9-20 10:13
ID:120870250
n,f
b} T8a
看帖日期:2008年9月21日'rs9Z7^3@/tJ!a
看帖前是否已掌握:没掌握I,b6b{!H/{ v@
看帖后是否已掌握:懂些.照跟着做
p6vh6a8p?r#H8y
#c OOz#U(q$`)W
确实，要完全掌握还真不简单~