您现在正在浏览：站长之家 >> 服务器 >> 详细内容

对Autorun.inf类U盘病毒的攻防经验总结

时间:2007-10-27 来源:不详作者:林仙

2、autorun.inf下的非法文件名目录　　

有些病毒加入了容错处理代码，在生成autorun.inf之前先试图删除autorun.inf目录。

在WindowsNTWin32子系统下，诸如"filename."这样的目录名是允许存在的，但是为了保持和DOS/Win9x的8.3文件系统的兼容性（.后为空非法），直接调用标准Win32API中的目录查询函数是无法查询这类目录中的内容的，会返回错误。但是，删除目录必须要逐级删除其下的整个树形结构，因此必须查询其下每个子目录的内容。因此，在“autorun.inf"目录建一个此类特殊目录，方法如"MDx:autorun.infyksoft.."，可以防止autorun.inf目录轻易被删除。类似的还有利用NativeAPI创建使用DOS保留名的目录（如con、lpt1、prn等）也能达到相似的目的。　

3、NTFS权限控制　　

病毒制造者也是黑客，知道Windows的这几个可算是Bug的功能。他们可以做一个程序，扫描目录时发现某目录名最后一个字节为’.’则通过访问"dirfullname.."、或者通过利用WindowsNT的NativeAPI中的文件系统函数直接插手，删除该特殊目录。　　

因此，基于更低层的文件系统权限控制的办法出现了。将U盘、移动硬盘格式化为NTFS文件系统，创建Autorun.inf目录，设置该目录对任何用户都没有任何权限，病毒不仅无法删除，甚至无法列出该目录内容。　　织梦内容管理系统

但是，该办法不适合于音乐播放器之类通常不支持NTFS的设备。　　

这三步可谓是一步比一步精彩。但是，最大的问题不在怎么防止生成这个autorun.inf上，而是系统本身、Explorer的脆弱性。病毒作者很快就会做出更强大的方案。这是我的预想。　　

1、结合ANI漏洞，在autorun.inf里将icon设成一个ANI漏洞的Exploit文件（经过我的实验，发现Windows有一种特性，就算把ani扩展名改为ico，还是可以解析出图标），这样只要一打开“我的电脑”，未打补丁、无杀软的系统就会直接遭殃。这样的东西还可以放到网上的各种资源ISO中。　　

2、提高病毒的整体编程水平，综合以上各种反免疫方式，另外利用多数国内windows用户常以高权限登录系统的特点，自动将没有权限的Autorun.inf目录获得所有权、加读写删除权限，击破这最坚固的堡垒。　　

面对如此恐怖的东西，对付的办法已经不多了。但是它们其实是一切windows安全问题的基本解决方案，　　

1、一定要将系统和安全软件保持在最新状态。即使是盗版用户，微软也不会不给重要级别的安全更新，也从来没有过在重要级别安全更新中加入反盗版程序的记录。　　