本文为U盘病毒杀毒教程系列，你可以参看前两篇文章：

• U盘病毒杀毒教程之一
• U盘病毒杀毒教程之二

对Autorun.inf类病毒(U盘病毒)的攻防经验总结

“RavMonE.exe"、"rose.exe"、"sxs.exe"、"copy.exe"、"setup.exe"…根目录下的神秘幽灵，系统安全的杀手，它们被称作“U盘病毒”。无数Windows用户，都在为它们而焦头烂额。这一篇文章是一篇对自己对U盘病毒的研究和与U盘病毒斗争的经验教训的总结。

Windows 95以后的系统都有一个“自动运行”的功能。通过在卷插入时读取磁盘卷上的Autorun.inf文件来获得Explorer中卷的自定义图标和对卷图标的上下文菜单进行修改，并对某些媒体自动运行Autorun.inf中定义的可执行文件。05年以后，随着各种可移动存储设备的普及，国内有些黑客制作了盗取U盘内容并将自身复制到U盘利用Autorun.inf传播的病毒。著名的伪ravmon、copy+host、sxs、Viking、熊猫烧香等著名病毒都有这种传播方式。它们有时是根目录下的神秘幽灵，有时是出现在不应该出现的地方的回收站，总之，它们是系统安全的严重威胁。

Autorun.inf被病毒利用一般有4种方式
1.OPEN=filename.exe
自动运行。但是对于很多XPSP2用户和Vista用户，Autorun已经变成了AutoPlay，不会自动运行它，会弹出窗口说要你干什么。

2.shellAutocommand=filename.exe
shell=Auto
修改上下文菜单。把默认项改为病毒的启动项。但此时只要用户在图标上点击右键，马上发现破绽。精明点的病毒会改默认项的名字，但如果你在非中文的系统下发现右键菜单里多出了乱码或者中文，你会认为是什么呢？

3.shellexecute=filename.exe
ShellExecute=….只要调用ShellExecuteA/W函数试图打开U盘根目录，病毒就会自动运行。这种是对付那些用Win+R输盘符开盘的人。

4.shellopen=打开(&O)
shellopenCommand=filename.EXE
shellopenDefault=1
shellexplore=资源管理器(&X)
这种迷惑性较大，是新出现的一种形式。右键菜单一眼也看不出问题，但是在非中文的系统下，原形毕露。突然出现的乱码、中文当然难逃法眼。

面对这种危险，尤其是第四种，仅仅依靠Explorer本身，已经很难判断可移动磁盘是否已经中毒。而在这种情况下，一部分人也根据自己的经验，做出了“免疫”工具。

免疫的办法（对可移动磁盘和硬盘）
1、同名目录
目录在Windows下是一种特殊的文件，而两个同一目录下的文件不能同名。于是，新建一个目录“autorun.inf"在可移动磁盘的根目录，可以防止早期未考虑这种情况存在的病毒创建autorun.inf，减少传播成功的概率。

2、autorun.inf下的非法文件名目录
有些病毒加入了容错处理代码，在生成autorun.inf之前先试图删除autorun.inf目录。
在Windows NT Win32子系统下，诸如"filename."这样的目录名是允许存在的，但是为了保持和DOS/Win9x的8.3文件系统的兼容性（.后为空非法），直接调用标准Win32 API中的目录查询函数是无法查询这类目录中的内容的，会返回错误。但是，删除目录必须要逐级删除其下的整个树形结构，因此必须查询其下每个子目录的内容。因此，在“autorun.inf"目录建一个此类特殊目录，方法如"MD x:autorun.infyksoft.."，可以防止autorun.inf目录轻易被删除。类似的还有利用Native API创建使用DOS保留名的目录（如con、lpt1、prn等）也能达到相似的目的。

3、NTFS权限控制
病毒制造 者也是黑客，知道Windows的这几个可算是Bug的功能。他们可以做一个程序，扫描目录时发现某目录名最后一个字节为’.'则通过访问 "dirfullname.."、或者通过利用Windows NT的Native API中的文件系统函数直接插手，删除该特殊目录。

因此，基于更低层的文件系统权限控制的办法出现了。将U盘、移动硬盘格式化为NTFS文件系统，创建Autorun.inf目录，设置该目录对任何用户都没有任何权限，病毒不仅无法删除，甚至无法列出该目录内容。
但是，该办法不适合于音乐播放器之类通常不支持NTFS的设备。

这三步可谓是一步比一步精彩。但是，最大的问题不在怎么防止生成这个autorun.inf上，而是系统本身、Explorer的脆弱性。病毒作者很快就会做出更强大的方案。这是我的预想。

1、结合ANI漏洞，在autorun.inf里将icon设成一个ANI漏洞的Exploit文件（经过我的实验，发现Windows有一种特性，就算把 ani扩展名改为ico，还是可以解析出图标），这样只要一打开“我的电脑”，未打补丁、无杀软的系统就会直接遭殃。这样的东西还可以放到网上的各种资源 ISO中。

2、提高病毒的整体编程水平，综合以上各种反免疫方式，另外利用多数国内windows用户常以高权限登录系统的特点，自动将没有权限的Autorun.inf目录获得所有权、加读写删除权限，击破这最坚固的堡垒。

面对如此恐怖的东西，对付的办法已经不多了。但是它们其实是一切windows安全问题的基本解决方案，

1、一定要将系统和安全软件保持在最新状态。即使是盗版用户，微软也不会不给重要级别的安全更新，也从来没有过在重要级别安全更新中加入反盗版程序的记录。

2、尽量以受限制的帐户使用系统和上网，这样可以减少病毒进入系统的概率。Vista之所以加入UAC功能，正是因为它能够使用户在尽量方便的同时，享受到受限用户的安全。

3、某种程度上，可以说QQ、IE和某些装备能换真钱、什么都要真钱的网游是导致大量病毒木马编写者出现的“万恶之源”。通过IE漏洞，制作网页木马，安装盗号程序，盗取账号，获得人民币。这条黑色产业链中，IE其实是最容易剪断的一环。珍爱系统，系统一定要更新，要有能防止网页木马的杀毒软件，用IE不要乱上各种小型下载站、色情网站等高危站点，如果有可能，使用非IE引擎的浏览器。

4、恶意捆绑软件，现在越来越和病毒木马接近。部分恶意软件的FSD HOOK自我防御程序可能被病毒利用来保护自己（如SONY XCP事件），而一些恶意软件本身就是一个病毒木马的下载器。因此，不要让流氓接近你的机器。

Autorun.inf的攻防战还在继续，只会变得越来越精彩，网民的安全意识会在攻与防的对立与统一中获得突破性的进展。

注：本文非酷米原创，是我在整理收藏夹的时候发现的，觉得有很多实用之处，故为大家分享。请作者与我取得联系，我将为本文署名，若有侵权之处，我将立即删除本文。

相关文章

相关文章

• U盘病毒杀毒教程之二 (0)
• U盘病毒杀毒教程之一 (1)
• 趋势携手百名博主共倡网络安全 (8)
• 金山词霸2008个人版 免费公测 (1)

本站遵循 :  Copyright © 2008 By : 奇趣资讯 作者:KooMi (酷米) | Koore | Feed订阅
数字指纹: e241ea0ea5385ea3d05af58bec9a1679 (38.107.191.100)

相关文章

• U盘病毒杀毒教程之二 (0)
• U盘病毒杀毒教程之一 (1)
• 趋势携手百名博主共倡网络安全 (8)
• 金山词霸2008个人版 免费公测 (1)

一段时间后发现这篇文章被阅读量很大，加上现在U盘病毒相当猖獗，所以觉得有必要重新整理一下这篇文章，并重新加入一些新的技巧方法，但是以我个人和室友的能力还不能做的比较全面，所以也希望大家提出意见与建议。

文章所涉及的文件夹、程序、文件基本上都隐藏，并且它们的属性都被设为系统文件、隐藏、只读、存档。所以我们很难发现它们。

在特殊情况下：窗口 → 工具 → 文件夹选项 → 查看 → 勾掉“隐藏已知文件类型的扩展名”和“隐藏受保护的操作系统文件（推荐）”→ 勾上“显示系统文件夹的内容” → 选择“显示所有文件和文件夹”→ 确定。 这样就能看见那些隐藏的文件夹、程序、文件了。

在一般情况下，病毒会修改系统的注册表，让上面的操作方法失效，所以即使你按照上面的方法做了，也不能看见这个被隐藏的文件夹、程序、文件。而简单、直接的方法也就只有使用修复软件。我将在教程的后半部分推荐一些常用、并实用的软件给大家。

技巧篇

• 删除顽固的文件夹-runauto…

中了一类U盘病毒后，病毒会在移动设备（U盘或者移动硬盘等）或本地硬盘中自动创建一个名称为“runauto…”，请大家注意该文件夹的名称后面最后的三个“.”

其实这个文件夹是在MS-DOS下建立的，其真实名称应为“runauto…\ ”

删除方法（以 D 盘为例）:

开始 → 运行 → 输入“cmd” → 输入“D:” →输入“rd/s/q runauto…\ ”

• 删除autorun.inf 文件

该文件是一个自动运行文件，能让移动设备里面的文件、程序在双击进入移动设备的时候同步运行文件、程序。当然也就能让移动设备里面的病毒主程序启动并感染你的电脑，达到复制传播的目的。

autorun.inf 文件一般存在于移动设备的根目录，也有一部分病毒创建的autorun.inf 文件存在于移动设备里面的每一个文件夹里面。

删除办法：

开始 → 运行 → 输入“cmd”
然后打移动设备的盘符→ 回车 如:“ g: 回车 ”
输入“ attrib autorun.inf -s -r -h ”
再输入 “ del autorun.inf ”
即可把autorun.inf删掉

软件篇

• 360安全卫士

拥有最强大的恶意软件查杀功能，将隐藏在系统中的恶意软件一网打尽，保障电脑安全。全面诊断您的系统，让您一键搞定系统诸多问题。清理使用window时留下的痕迹，最有效的保护您的隐私。

同时具备比较强大移动设备病毒防护措施。

网址：http://360safe.qihoo.com/download.html

• Autorun病毒防御者 2.0

Autorun病毒防御者（英文名：AutoGuarder）是一款集查杀Autorun病毒、实时防御Autorun病毒为一体的专杀软件。她为查杀通过Autorun传播的病毒和木马提供了整套的解决方案。此外，软件中还附带了几个有用的工具，以解决Autorun病毒遗留下来的种种问题。

网址：http://www.rensoft.com.cn/

• U盘病毒专杀工具 6.0

U盘病毒又称Autorun病毒,是通过AutoRun.inf文件使对方所有的硬盘完全共享或中木马的病毒,随着U盘,移动硬盘,存储卡等移动存储设备的普及,U盘病毒也随之泛滥起来。近日,国家计算机病毒处理中心发布公告称U盘已成为病毒和恶意木马程序传播的主要途径。面对这一需要,U盘病毒专杀工具USBCleaner应运而生了.USBCleaner是一种纯绿色的辅助杀毒工具,具有检测查杀70余种U盘病毒,U盘病毒广谱扫描,U盘病毒免疫,修复显示隐藏文件及系统文件,安全卸载移动盘盘符等功能,全方位一体化修复杀除U盘病毒.同时USBCleaner能迅速对新出现的U盘病毒进行处理.USBCleaner是你学习,工作,娱乐的好帮手!

网址：http://www.usbcleaner.cn/

• USBkill U盘防火墙 V8.4

1.内置强力清除技术针对各种变种autorun自动播放病毒都可以轻松清除，采用不基于特征码查毒方式更准确安全可靠查杀U盘病毒。

2.支持随Windows启动后台运行，实时保护USB移动设备安全，实时保护硬盘、mp3、u盘、mp4、sd卡、tf卡、psp、移动硬盘中的自动播放类病毒。

3.实时侦测系统日期修改类病毒，可以有效查杀最新autorun类U盘病毒。

4.软件提供了强大的系统修复功能，全面修复病毒对系统破坏，修复文件夹选项丢失、无法显示隐藏文件等问题。

5.安全打开USB移动设备且可选禁止自动播放，双重保护，不会触发病毒，安全可靠。

6.支持最新通过ani感染方式传播的autorun类病毒以及系统ani漏洞扫描功能。

7.强力修复能力使系统杀毒后轻松解决硬盘双击无法打开等系统问题。

8.支持设备安全移除功能

网址：http://www.greendown.cn/soft/7342.html

• SafeUSB(U盘病毒专杀程序) V2.5

SafeUSB可以解决U盘,软盘,硬盘这些移动存储设备出现的autorun,open,自动播放等等病毒菜单。
同时autorun还能自动扫描危险文件,查杀340多种常见病毒,简洁快速!
SafeUSB在U盘插入后才开始扫描病毒,占用系统资源极少,该程序为绿色软件,只有两个文件,不需要安装

网址：http://www.greendown.cn/soft/7056.html

文章评论：

• 2008-01-23, 酷米 评论道: 测试一下哦！

相关文章

相关文章

• U盘病毒杀毒教程之二 (0)
• U盘病毒杀毒教程之三 (0)
• 趋势携手百名博主共倡网络安全 (8)
• 金山词霸2008个人版 免费公测 (1)

本站遵循 :  Copyright © 2008 By : 奇趣资讯 作者:KooMi (酷米) | Koore | Feed订阅
数字指纹: e241ea0ea5385ea3d05af58bec9a1679 (38.107.191.100)

相关文章

• U盘病毒杀毒教程之二 (0)
• U盘病毒杀毒教程之三 (0)
• 趋势携手百名博主共倡网络安全 (8)
• 金山词霸2008个人版 免费公测 (1)

软件名称：Autorun病毒防御者

软件版本：Autorun病毒防御者 2.1.2.215 正式版

软件语言：简体中文

软件截图：

应用平台：

- 操作系统：Windows 2000/XP/2003/Vista
- 内存需求：实时监控需要6MB，主程序约需要16MB的内存空间，推荐32MB以上可用内存空间。
- 磁盘空间：最小需要4MB的可用磁盘空间

软件简介：

Autorun病毒防御者软件是专门针对流行的U盘病毒和部分木马开发的查杀程序。它独有的精确查杀与扩展查杀双查杀机制能够彻底清除病毒和木马的相关文件和注册表项，不留残余。此外，软件还有U盘病毒免疫、系统修复、残余清理、病毒分析、系统诊断、顽固目录删除、应急浏览器、隐藏文档恢复、隐藏目录恢复、U盘解锁、U盘软件写保护等一系列完整的辅助工具，能够让您彻底远离U盘病毒的困扰。
本软件绿色、免费，程序小巧，查杀和清除能力强。是您查杀U盘病毒的好助手！

软件详细介绍、下载请点击：http://www.rensoft.com.cn/releases/1.html

好的，废话不多说，开始进入正题。下面我就开始给大家讲解我使用这款软件的方法。

一.查杀病毒

是我们最熟悉的数据存储工具，当然，随着U盘等移动存储设备的价格日益走低，越来越多的朋友都拥有了这种便携设备，从而便数据交换更为便捷。成也萧何，败也萧何。正因为移动存储设备这种移动性强这种优点，病毒也有了可乘之机，使电脑操作系统屡屡成为被侵犯的对象。

启动Autorun病毒防御者之后，第一个窗口即使U盘、硬盘病毒“查杀功能”。当然你也可以点击左侧功能列表上面的“查杀病毒”选项，即可使用该功能进行病毒的查杀。

接着，插入你的U盘，在右侧页面的“请选择本次要扫描范围”列表中选择“仅移动磁盘”选项，然后点击“扫描病毒”即对U盘病毒进行扫描；如果点击“查杀病毒”按钮，不仅可以对U盘病毒进行扫描，也可以同时进行杀毒处理。

二.最新信息

在这里面你可以时刻关注该软件的最新动向，以及其他网友对病毒的处理方法以及求助。

三.软件设置

软件设置不难，一个人喜好定，不过我推荐把以下几项勾选中：

1.开机启动实时监控

2.当病毒库过期时提示更新

3.启用光谱查杀引擎

4.其他软件推荐的选项

四.修复工具

1.系统修复工具。如果你的系统出现了在该项里面所列出的问题，那么你可以使用该项功能进行系统修复。其中常见的就是：显示所有文件和文件夹 失效，而不能正常查看隐藏文件。

2.IFEO映像修复。如果你的系统有IFEO映像问题，那么该软件会自动检测，并显示出问题到该项列表之中。

3.恢复隐藏文档。该项与第一项相配合，如何你不能通过第一项修复隐藏文件问题，那么你可以试试这项。

4.文件清理工具。现今，常见的U盘病毒、木马通常会被“挂接”到某网站，当你打开该网站，同时并没有防护措施，那么你就可能中招了，而这些病毒、木马通常会寄存到windows或IE临时文件目录。所以我们要常常清理这些目录，不仅能够防止病毒，也能为系统腾出空间，加快系统速度。

五.辅助工具

1.免疫工具、流行病毒免疫。该软件通过建立一个类似自动运行文件的文件夹，来防止病毒被感染到U盘、硬盘。同时通过禁用系统自动播放功能、服务，这两项功能也能有效的防止U盘病毒的侵犯。我重点推荐这两项功能！

2.U盘工具、流行病毒免疫、隐藏文件现身。该项中有详细说明，我就不过多阐述。

3.应急游览器。有些病毒相当厉害，不仅感染你的系统，还通过寄生、替换文件的方式让你的许多软件不能使用，其中受害最深的就是最常用的IE，不仅让你不能正常浏览网页，也不能及时访问、下载一些杀毒软件。当然当你的IE中招之后，你就可以通过这项功能及时到各大杀毒软件网页去下载最新的软件，了解最新的修复方法。

六.分析工具

1.病毒智能分析。这项功能比较智能化，当然也不太成熟，只能分析出常见病毒，所以在不得意的情况下可以试试。

2.生成诊断报告。你可以将生成的诊断报告发布到该软件的论坛，或是各大杀毒专业论坛，请求他人帮助。

七.病毒上报

如果你发现了病毒的踪迹，那么你可以在安全的情况保存，并提取出来，通过“上报病毒样本”功能将该病毒发送到该软件的作者，让他将该病毒分析，并加入最新的病毒库，以增强软件病毒查杀功能。

八.其他

当然，这只是我对该软件的一些理解，以及使用方法。但是，方法不是一成不变的，我的水平也有限，所以还请各位网友多看软件的“使用帮助”，或是去论坛提问，以及时解决大家的问题。

最后强调一点：如果软件没有自动升级，那么也请你记住经常点击软件主界面右上侧的“检查更新”这个链接，以及时更软件病毒库，为你的系统做最好的保护。

当然，如果你不放心该软件的使用效果，你也可以同时使用 360安全卫士 对你的系统进行保护。我也会在何时的情况下再写一篇 360安全卫士 的一些使用技巧！

相关文章

相关文章

• U盘病毒杀毒教程之一 (1)
• U盘病毒杀毒教程之三 (0)
• 趋势携手百名博主共倡网络安全 (8)
• 金山词霸2008个人版 免费公测 (1)

本站遵循 :  Copyright © 2008 By : 奇趣资讯 作者:KooMi (酷米) | Koore | Feed订阅
数字指纹: e241ea0ea5385ea3d05af58bec9a1679 (38.107.191.100)

相关文章

• U盘病毒杀毒教程之一 (1)
• U盘病毒杀毒教程之三 (0)
• 趋势携手百名博主共倡网络安全 (8)
• 金山词霸2008个人版 免费公测 (1)