20CN网络安全小组论坛 - 菜鸟乐园 - 浏览缺德网站的后遗症――全方位渗透

论坛: 菜鸟乐园标题: 浏览缺德网站的后遗症――全方位渗透

作者: wish [wish259]

论坛用户

网上浏览一些网站时，相信各位朋友都有过同样的经历。为啥？我们下线之后，这些网页自动留在我们的电脑里，而且在下一次启动时自动进入。如果只是在“启动”中增加这个网页名字，相信许多人都很容易发觉他并且把它给删除了，可今天我碰到的是一个非常难缠的网站，这个网站的网管真是舍得费心机来增加他的客流量啊。这个网站就是http://www.six8.net(嘿，内容可能不合各位的味口吧！）不过不用担心，这个网站不会是陷阱。接触这个网站之后菜鸟们还会有所收获呢。费话少说，出现的情况不外是在开机时自动弹出网页，可我们不能让它在我们的眼皮底下胡来啊，所以一定要把它除掉！！哼哼。
首先当我发现情况出现的时候，第一步就是检查WINDOWS中All Users/Start Menu/Programs/启动”中的内容，发现有这个网址，把他删除。直接在WINDOWS之下的START MENU中检查，也发现了该网址，同样把它删除。又在Favorites之下查看，又发现了该网址，又把它删除。安枕无忧了？可没呢。第二次开机又出现了。怎么办？？不经意之下，瞄见在浏览器工具栏上面出现了该网站名，点击不了，又删不了。这样还了得，我的IE不是给改了吗？无法忍受！！看来该网站把我的注册表给改了。查看注册表，经过检查，得出下列的结果：
1。在HKEY-CURRENT-USER/SEFTWARE/MICROSLFT/INTERNET EXPLORER/TOOLBAR之下有一个字符串值：LINKSFOLDER NAME 键值就是http://www.six8.net把整个键值删了。
2。在HKEY-CURRENT-USER/CONTROLPANEL/INTERNETIONAL之下又出现了该网址。键值为：“YYY”年“M”月“D”日��http://www.six8.net 肯定要把他删除了。
3。继续检查。（其实我每删除一个就以为完工了，谁知道还有那么多啊，让我重启了十次以上，冤啊！）又在HKEY-CURRENT-INTERNETEXPLORER/EXTENSIONS/之下发现了了个名为EXEC的字符串值。键值为http://www.six8.net.
4.又在HKEY-CURRENT-USER/SOFTWARE/MICROSOFT/INTERNET EXPLORER/MENUEXT/之下出现一个字符串值，键名为默认。键值为该页名。又产生一个DWORD值。名为CONTEXTS键值为0X000000F3（243）
这个网页的修改幅度真的非常全面啊,在C盘里出现了一个叫A字开头的浏览文件,从注册表上发现该网页直指这个文件,想把它删除,系统回复是系统文件,不要删除.真是个难缠的家伙!做了上面几项之后,大伙都以为完工了,谁知道呢?重启情况还是没有消失啊!
如果你还没有上网,那该网页肯定是无法显示的啦,可大家一定要注意,如果没有显示,那在网页打开的同时,浏览器的状态栏上会显示一条路径,这条路径就是存放该网址的地方,但是时间很短,只有一两秒钟.从状态栏里我们看到该网址的来源是C盘的SYSTEM.连系统配置文件都给改了，往里一看，那么多的文件，怎么找啊！可能是幸运吧！突然给我发现了一个浏览文件，名为INTERNET，一看之下，似乎没有什么联系，还以为是正常的系统文件呢！打开属性一看，哈哈，URL为http://www.six8.net这样结果就清楚得多了。把它删除，情况真的解决了。浏览这个网站一次性修改了我的注册表，系统配置，IE浏览器，要费很大的功夫才能把它删除。给人教训实在是太多了，起码我们可以知道网站能修改的内容，当然恶意的情况下比现在更加麻烦啦。如果某人想给自己的主页增加客流量，何不如法泡制一贴呢？让对方帮你忙。最好给在SYSTEM之下产生的文件更换图标和标题，这样就万无一失了。或者修改完注册表之后，给对方的注册表加锁：HKEY-CURRENT-USER/SLFTWARE/MICROSLFT/WINDOWS/CURRENTVERSION/POLICIES/SYSTEM
之下新建一个名为DISABLEREGISTRYTOOLS的DWORD值。将其值设为“1”，就可以锁住对方的注册表，至于解锁......我也不懂啊

地主发表时间: 04-07-06 00:39

论坛: 菜鸟乐园