由于熊猫烧香病毒源代码的暴露，该病毒的变种依然横行于世。玉兔病毒就是变种之一。它能够破坏系统的安保形式，让用户不可进入安保形式查毒。面对这种状况，咱们又该怎样办呢？安保诊所来了一位求诊者小王，他的电脑曾经中了病毒，恳求电脑安保医生诊治。医生发现小王电脑中可口头程序的图标都变成了玉兔的图标(图1)，双击盘符都不可进入磁盘，很多程序都不可反常运转。小王从新装置系统后，马上又被雷同的病毒感化而系统解体。安保医生凭着对病毒敏锐的直觉，判定小王的电脑感化了最近十分生动的玉兔病毒。玉兔病毒档案玉兔病毒会破坏安保形式，经常使用户不可进入该形式杀毒。玉兔病毒在每个盘符生成病毒文件和Autorun.inf文件后，只需双击盘符就可以感化。玉兔病毒会完结安保软件及其他一些罕用的安保辅佐工具运转。玉兔病毒还修正注册表造成用户不可反常检查暗藏的系统文件，从而到达不被查杀的目的。巧避矛头肃清病毒首先，要肃清盘符里的病毒文件和Autorun.inf文件，以防止病毒继续分散。由于病毒的要素，咱们不能够反常进入注册表和经常使用冰刃审核系统。然而咱们可以经常使用超级巡警绿色版本，由于病毒并不能封锁超级巡警。进入“进程治理”选项，很快发现bryato.exe、severe.exe、loveRabbit.exe等3个可疑的病毒进程。其中bryato.exe是盗取QQ明码的木马，而另外两个是玉兔病毒的进程。这三个进程都拔出了bryato.dll运转。由于病毒进程具无封锁后马上重启动的特点，首先选中三个进程，而后右键单击三个进程选用“制止进程创立”命令，接着右键单击三个进程选用“强迫卸载标志模块”命令（图2），这样便暂时中断了这几个进程。进入“启动治理→注册表”选项，很快发现了bryato.exe和severe.exe的合法启动名目（图3）。右键单击这两个启动名目，选用“删除启动项”命令予以肃清。揪出系统深处的病毒此时，病毒还潜伏在系统深处，还须要咱们进一步清算。进入“进程治理”，细心剖析一些系统进程，依据文件创立和其他消息马上发现了Winlogon.exe系统进程被拔出了msexch400.dll这个病毒文件，记下文件位置，接着选中该文件后右键单击选用“强迫卸载标志模块”命令（图4）中断病毒进程。在conime.exe进程发现被拔出了bryato.dll，选中该文件后右键单击选用“强迫卸载标志模块”命令中断病毒进程。接着从新启动计算机，删除记下的病毒文件。再次从新启动计算机，此时曾经可以进入注册表编辑器，进入HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL子项，发现右侧的ChekedValue键值为1，当然不可显示暗藏的病毒文件了，修正为0。之后便可以显示暗藏的病毒文件了，最后删除造成不可双击打收盘符的Autorun.inf文件以及关系的OSO.exe即可。
如何应用ntfs藏木马黑客自白：早就据说过NTFS文件系统存在一个重大的破绽，而破绽的构成又是由于“微软善意办坏事”，这次我要讲的暗藏木马的方法就是如何应用ntfs藏木马？即应用NTFS替换数据流（ADSs）来成功，以规避杀毒软件的查杀。介绍文章创立NTFS替换数据流Windows不可经常使用自带的系统工具启动ADSs的检测，但却能够口头ADSs中的恣意代码。创立一个数据替换流文件的方法很便捷，在Windows中输入命令：“echo 数据流内容 > 源文件名:数据流称号”。只管在命令提示符窗口中不能间接口头捆绑后的文件流 ，然而不用逆操作来分别出咱们的暗藏文件，间接运用start 命令就可以间接口头已暗藏的文件，这种方法相当隐蔽。小资料：NTFS替换数据流数据流（ADSs）便捷地讲就是这个文件在口头时口头的内容。在 NTFS 文件系统下，每个文件都可以有多个数据流。当在非 NTFS 卷（如 FAT32磁盘分区）下读取文件内容时，系统只能访问一个数据流。因此用户会感觉它是该文件真正的“惟一”的内容。然而当在 NTFS 卷上创立文件时，就可以经过在一个文件中创立多个数据流内容，这样很容易将一段恶意代码暗藏到某个文件之中。并且恶意代码在整个口头环节中，系统进程里也不会有这段代码的身影。应用ADSs捆绑木马ADSs原理看起来如同是十分的复杂，然而在实践运行环节中却十分的便捷。首先创立一个暂时文件夹，将预备好的木马程序如mm.exe复制到这个文件夹之中。接着关上命令提示符窗口，输入命令“echo ms.exe>mm.txt:wlf.txt”，这样就为木马创立了一个数据流文件（图1）。咱们应用WinRAR将木马程序暗藏到ADSs中，就相当于将数据流和木马程序启动捆绑操作。在暂时文件夹上单击右键对这个文件夹启动紧缩（图2）。双击创立的紧缩文件，点击WinRAR工具栏上的“减少”按钮，阅读选中暂时文件夹。在产生的“紧缩文件名和参数”面板中切换到“初级”标签中，接着选中其中的“保留文件数据流”选项，点击“确定”即可（图3）。在WinRAR当选中kunb文件夹，点击工具栏上的“自解压格局→初级自解压选项→惯例”选项标签，最后在“解紧缩之后运转”中输入“start wlf.txt:ms.exe”即可（图4）。点击“形式”选项标签，选中“所有暗藏”和“笼罩一切文件”这两个选项。所有设置成功后点击“确定”按钮前往，这样就创立了一个极为隐蔽的自解压木马，甚至可以躲过杀毒软件的查杀。当用户双击这个自解压文件后，就会运转外面的数据流木马了。破解《UAC防线形同虚设》攻打招数本周，一共有106位读者发来了破解招数。咱们依据大家的破招形容和成果，最后评进去自广州的K‘DASH为最佳进攻者，他将取得50元的鼓励，同时，可以再参与年度最佳进攻者的评比。堵住UAC破绽应用反常文件来“掩护”木马文件避过UAC，是一个好方法。但也不是完美的，上方我来引见几种方法启动进攻。1.要运转木马文件，就必定取得治理员的权限，这样才可以把木马文件写入到系统盘。咱们就可以不用治理员身份运转程序，毕竟咱们也不是时时都要装置系统文件的。2.Vista的系统要装在NTFS系统分区上，而NTFS有一个“安保”治理。咱们可以把SYSTEM32(由于很多木马或病毒都要把源文件复制到这个目录下)的权限只把“读取”选上，其他都不选，这样木马文件就写不入了。3.装置实时文件监控的杀毒软件。文件实时监控会在用户关上程序时先扫描运行程序，木马人造就无处可藏了。