风云小站|Connecting Lives With Infinite New Discoveries » 求助专区 » 大家看看，我该怎么办？谢谢援手

大家看看，我该怎么办？谢谢援手

回复发帖
收藏上一主题下一主题
xfei 风云精英
楼主 2008-01-06 21:51
私信 引用 编辑

大家看看，我该怎么办？谢谢援手

360安全卫兵通知我被镜像劫持了，我对镜像这快不太明白，请问大家我该怎么办
yuliguo2001 超级会员
#4 2008-01-06 23:20
私信 引用 编辑

将其他未中毒的机子上注册表一下键值导入：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options



HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
lg560852 超级会员
#6 2008-01-07 09:43
私信 引用 编辑

什么是IFEO?所谓的IFEO就是Image File Execution Options

在是位于注册表的:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

由于这个项主要是用来调试程序用的，对一般用户意义不大。默认是只有管理员和local system有权读写修改

先看看常规病毒等怎么修改注册表吧。。

那些病毒、蠕虫和，木马等仍然使用众所皆知并且过度使用的注册表键值，如下：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

等等。。。。。。。。。。。。。。。

随着网友的安全意识提高和众多安全软件的针对，都可以很容易的对上面的恶意启动项进行很好的处理

于是。。一种新的技术又产生了。。。。

那就是IFEO。。

简单的说就是你运行被劫持的文件不会运行反而运行了指定的文件
feimeng111 超级会员
#8 2008-01-07 11:18
私信 引用 编辑

我认为，镜像劫持是指
恶意程序会利用他 自启动
好意程序会利用他方便自身启动  双刃剑吧。
楼主点查看详细信息，就知道他是恶意程序利用的 还是好意程序利用的了
freelive 风云精英
#9 2008-01-07 13:38
私信 引用 编辑

先去看看的你的主页，是否被修改！

用360清理一下IE项，一般都是流氓插件而已。

风云墙-荣誉会员

其实一切与我无关~
whh8865903 中级会员
#10 2008-01-07 13:43
私信 引用 编辑

所谓的镜像劫持，就是在注册表的[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\ CurrentVersion\Image File Execution Options]处新建一个以杀毒软件主程序命名的项，例如Rav.exe。然后再创建一个子键“Debugger="C:\\WINDOWS\\system32\\drivers\\ceffen.com”。以后只要用户双击 Rav.exe就会运行OSO的病毒文件ceffen.com，类似文件关联的效果
  主要还是中了autorun.inf 和oobtwtr.exe这种恶意程序，下载一个autorun专杀试一下，应该就可以了
人生若只如初见，何事秋风悲画扇
xfei 风云精英
#11 2008-01-07 15:22
私信 引用 编辑

谢谢各位大佬
问题不明。请教各位，谢谢
昨天我的机子先是出现了镜像劫持（360通知），我用360的高级选项清理了，但是出现了启动时候反复进入不了系统，可以进入coms ，我只好重新做了系统，后来正常，我想请教各位大哥，我白度收索也不明原因，镜像劫持后怎么造成系统崩溃呢？
什么是镜像劫持(autorun.inf 和oobtwtr.exe手动去除法)2007-06-12 10:26镜像劫持


    附：在针对杀毒软件方面，OSO病毒还采用了一种新技术，这种技术被成为镜像劫持，通过这种技术也能够将杀毒软件置于死地。


      所谓的镜像劫持，就是在注册表的[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\ CurrentVersion\Image File Execution Options]处新建一个以杀毒软件主程序命名的项，例如Rav.exe。然后再创建一个子键“Debugger="C:\\WINDOWS\\system32\\drivers\\ceffen.com”。以后只要用户双击 Rav.exe就会运行OSO的病毒文件ceffen.com，类似文件关联的效果。by deyu260  QQ272873373

autorun.inf 和oobtwtr.exe手动去除法:

１．首先下载autoruns；(http://www.greendown.cn/soft/2151.html)

２．然后打开运行　镜像劫持；

３．接下来单击开始｜运行｜输入cmd，回车｜x：回车（x是你的盘符）

４．输入attrib autorun.inf -s -h -r

          attrib oobtwtr.exe -s -h -r (去隐藏属性)；

５．输入del　autorun.inf

　　　　del　oobtwtr.exe（删除
松鼠 超级会员
#17 2008-01-08 21:24
私信 引用 编辑

镜像劫持又叫映像劫持具体做法是这样：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\文件名1.EXE] >>kill.reg
echo "Debugger"="文件名2.EXE" >>kill.reg

在注册表中加入上面的项目以后，系统在启动文件名1.exe的时候就会调用文件名2.exe来调试1，结果2不是调试程序，所以就启动了2，而不是启动1。
如果1和2是同一个文件，启动时造成死循环，而进不了系统。
回复发帖