木马有几种启动方式？
5个回答
展开全部
键盘记录木马
这个特洛伊木马很简单。他们只做一件事，那就是记录受害者的键盘击键，并在LOG文件中找到密码，然后由Windows启动来启动它。他们具有在线和离线记录选项，当您在在线和离线状态下敲击键盘时，可以记录击键，以便您可以按一下按钮，黑客就可以从记录中知道，并且很容易就可以将您从它。有用的信息，例如密码，甚至您的信用卡帐户！当然，对于这种类型的特洛伊木马，许多都具有邮件发送功能，它将自动将密码发送到黑客指定的邮箱。
DoS攻击木马
当黑客入侵计算机并向其发出DoS攻击木马时，此计算机将不会反映在受感染的计算机中，而不是计算机中。受攻击控制的肉鸡数量越多，发起Dos攻击的可能性就越大。黑客使用它来攻击一台计算机，从而对网络造成巨大的破坏和损失。
还有一个类似DoS的木马，称为邮件炸弹木马。一旦机器被感染，特洛伊木马程序将随机生成各种主题的信件，并将继续向特定的邮箱发送电子邮件，直到对方感到尴尬并且无法接受邮件为止。
FTP木马
该木马可能是最简单，最古老的木马。它的唯一功能是打开21入口并等待用户连接。现在，新的FTP木马还增加了密码功能，以便只有攻击者才能知道正确的密码并进入另一台计算机。
反弹端口型木马
在分析了防火墙的特征之后，特洛伊木马开发人员发现防火墙通常对连接的链接执行非常严格的过滤，但是撤离了所连接的链接。与典型的Trojan相比，退回端口Trojan的服务器（控制台）使用主动端口，而客户端（控制台）使用被动端口。通常在80时开放，即使用户使用扫描软件检查自己的端口，他们也会发现类似的TCPUserIP：1026控制器IP：80ESTABLISHED的情况，有点疏忽，会认为他们正在浏览Web，因为正在浏览网络将打开80。
特洛伊木马
对于黑客而言，在入侵时掩盖自己的足迹非常重要。防止发现其身份非常重要。因此，代理特洛伊木马程序最重要的任务是为受控肉鸡种下特洛伊木马并将其转变为攻击者。。通过代理特洛伊木马，攻击者可以在匿名情况下使用Telnet，ICQ，IRC等隐藏自己的踪迹。
程序杀手木马
尽管以上木马的功能多种多样，但既要在另一台机器上发挥自己的作用，又要防范木马软件。常见的反木马软件是ZoneAlarm，NortonAnti－Virus等。程序杀手Trojan的功能是关闭在另一台计算机上运行的此类程序，以便其他Trojans可以更好地工作。
扩展资料：
检测和寻找木马隐藏的位置
木马侵入系统后，需要找一个安全的地方选择适当时机进行攻击，了解和掌握木马藏匿位置，才能最终清除木马。木马经常会集成到程序中、藏匿在系统中、伪装成普通文件或者添加到计算机操作系统中的注册表中，还有嵌入在启动文件中，一旦计算机启动，这些木马程序也将运行。
安装防火墙
防火墙在计算机系统中起着不可替代的作用，它保障计算机的数据流通，保护着计算机的安全通道，对数据进行管控可以根据用户需要自定义，防止不必要的数据流通。安装防火墙有助于对计算机病毒木马程序的防范与拦截。
已赞过
已踩过<
评论
收起
你对这个回答的评价是？
展开全部
我来回答
广场xyi1983退出关注此空间在这儿商城专业的在线购物商城，正品行货,网上直销，全城最低价，7天无条件退款。
2008-11-18 16:10木马在WINDOWS中的几种启动方式如果你的电脑中一种新型的木马病毒你能怎么办？特别是一些未知类型的木马病毒，使用一般的杀毒软件或防木马软件是很难将其根除的，这时候我们就需要手动来清除这些病毒文件了。
其实我们只要能破坏这些病毒的启动条件，就可以达到清除病毒的目的，为此，本人在这方面找了些资料供给大家，以供参考。
病毒的启动主要分为3类，分别是：一、随windows系统启动，二、映像劫持启动，三、捆绑和嵌入正常程序中启动。下面我们主要就第一和第二点进行详细介绍。
第一部分：Windows自启动程序
一、经典的启动——“启动”文件夹
单击“开始→程序”，你会发现一个“启动”菜单，这就是最经典的Windows启动位置，右击“启动”菜单选择“打开”即可将其打开，如所示，其中的程序和快捷方式都会在系统启动时自动运行。最常见的启动位置如下：
当前用户：
所有用户：
二、有名的启动——注册表启动项
注册表是启动程序藏身之处最多的地方，主要有以下几项：
1.Run键
Run键是病毒最青睐的自启动之所，该键位置是[HKEY_CURRENT_USER\Software \Microsoft\Windows\CurrentVersion\Run]
和[HKEY_LOCAL_MACHINE\Software\Microsoft \Windows\CurrentVersion\Run]，其下的所有程序在每次启动登录时都会按顺序自动执行。
还有一个不被注意的Run键，位于注册表[HKEY_CURRENT_USER\Software \Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
和[HKEY_LOCAL_MACHINE\ SOFTWARE\Microsoft\Windows\CurrentVersionPolicies\Explorer\Run]，也要仔细查看。
2.RunOnce键
RunOnce位于[HKEY_CURRENT_USER\Software\Microsoft\WindowsCurrentVersion\ RunOnce]
[HKEY_LOCAL_MACHINE\Software\MicrosoftWindows\CurrentVersion\RunOnce]键，与Run不同的是，RunOnce下的程序仅会被自动执行一次。
3.RunServicesOnce键
RunServicesOnce键位于[HKEY_CURRENT_USER\Software\MicrosoftWindows\Current Version\RunServicesOnce]
和[HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\Current Version\RunServicesOnce]下，其中的程序会在系统加载时自动启动执行一次。
4.RunServices键
RunServices继RunServicesOnce之后启动的程序，位于注册表[HKEY_CURRENT_USER \Software\Microsoft\Windows\CurrentVersion\RunServices]
和[HKEY_LOCAL_MACHINE \SOFTWARE\Microsoft\Windows\CurrentVersionRunServices]键。
5.RunOnceEx键
该键是Windows XP/2003特有的自启动注册表项，位于[HKEY_CURRENT_USER\ SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx]
和[HKEY_LOCAL_MACHINE\ SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx]。
6.load键
[HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows]下的load键值的程序也可以自启动。
7.Winlogon键
该键位于位于注册表[HKEY_CURRENT_USER\SOFTWAREMicrosoft\Windows NT\CurrentVersion\Winlogon]
和[HKEY_LOCAL_MACHINESOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]，注意下面的Notify、Userinit、Shell键值也会有自启动的程序，而且其键值可以用逗号分隔，从而实现登录的时候启动多个程序。
8.其他注册表位置
还有一些其他键值，经常会有一些程序在这里自动运行，如：
[HKEY_CURRENT_USER \Software\Microsoft\Windows\CurrentVersion\Policies\System\Shell]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
[HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System\Scripts]
[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\System\Scripts]
小提示：
注册表的[HKEY_LOCAL_MACHINE]和[HKEY_CURRENT_USER]键的区别：前者对所有用户有效，后者只对当前用户有效。
三、古老的启动——自动批处理文件
从DOS时代过来的朋友肯定知道autoexec.bat（位于系统盘根目录）这个自动批处理文件，它会在电脑启动时自动运行，早期许多病毒就看中了它，使用deltree、format等危险命令来破坏硬盘数据。如“C盘杀手”就是用一句“deltree /y c:\*.*”命令，让电脑一启动就自动删除C盘所有文件，害人无数。
小提示：
★在Windows 98中，Autoexec.bat还有一个哥们——Winstart.bat文件，winstart.bat位于Windows文件夹，也会在启动时自动执行。
★在Windows Me/2000/XP中，上述两个批处理文件默认都不会被执行。
四、常用的启动——系统配置文件
在Windows的配置文件（包括Win.ini、System.ini和wininit.ini文件）也会加载一些自动运行的程序。
1.Win.ini文件
使用“记事本”打开Win.ini文件，在[windows]段下的“Run=”和“LOAD=”语句后面就可以直接加可执行程序，只要程序名称及路径写在“＝”后面即可。
小提示：
“load=”后面的程序在自启动后最小化运行，而“run=”后程序则会正常运行。
2.System.ini文件
使用“记事本”打开System.ini文件，找到[boot]段下“shell=”语句，该语句默认为“shell=Explorer.exe”，启动的时候运行Windows外壳程序explorer.exe。病毒可不客气，如“妖之吻”病毒干脆把它改成“shell=c:\yzw.exe”，如果你强行删除“妖之吻”病毒程序yzw.exe，Windows就会提示报错，让你重装Windows，吓人不？也有客气一点的病毒，如将该句变成“shell=Explorer.exe 其他程序名”，看到这样的情况，后面的其他程序名一定是病毒程序如所示。
3.wininit.ini
wininit.ini文件是很容易被许多电脑用户忽视的系统配置文件，因为该文件在Windows启动时自动执后会被自动删除，这就是说该文件中的命令只会自动执行一次。该配置文件主要由软件的安装程序生成，对那些在Windows图形界面启动后就不能进行删除、更新和重命名的文件进行操作。若其被病毒写上危险命令，那么后果与“C盘杀手”无异。
小提示：
★如果不知道它们存放的位置，按F3键打开“搜索”对话框进行搜索；
★单击“开始→运行”，输入sysedit回车，打开“系统配置编辑程序”，如图2所示，在这里也可以方便的对上述文件进行查看与修改。
五、智能的启动——开/关机/登录/注销脚本
在Windows 2000/XP中，单击“开始→运行”，输入gpedit.msc回车可以打开“组策略编辑器”，在左侧窗格展开“本地计算机策略→用户配置→管理模板→系统→登录”，然后在右窗格中双击“在用户登录时运行这些程序”，单击“显示”按钮，在“登录时运行的项目”下就显示了自启动的程序。
六、定时的启动——任务计划
在默认情况下，“任务计划”程序随Windows一起启动并在后台运行。如果把某个程序添加到计划任务文件夹，并将计划任务设置为“系统启动时”或“登录时”，这样也可以实现程序自启动。通过“计划任务”加载的程序一般会在任务栏系统托盘区里有它们的图标。大家也可以双击“控制面板”中的“计划任务”图标查看其中的项目。
小提示：“任务计划”也是一个特殊的系统文件夹，单击“开始→程序→附件→系统工具→任务计划”即可打开该文件夹，从而方便进行查看和管理。
七、跟着别人的启动（病毒映像劫持，在下部分介绍）——随软件开启的程序
八、从“系统信息”查看启动程序
单击“开始→程序→附件→系统工具→系统信息”，双击“软件环境”，单击“启动程序”，在右边窗口出现的程序就是所有自启动程序，在“装载源”或“位置”下显出该程序是由注册表还是“启动”文件夹启动的。从这里只能查看自启动程序，不能对自启动程序进行禁止自启动等任何更改操作。
九、MSConfig
在Windows 98/Me/XP/2003中，单击“开始→运行”，输入msconfig回车即可打开“系统配置实用程序”窗口，单击“启动”标签，在列表框中显示的就是从注册表、“启动”文件夹和系统配置文件中自启动的程序。程序前有对号的是允许自启动的程序，没有对号的则不会自启动。如果想取消某个程序的自启动，单击取消程序前的对勾即可。还可以在autoexec.bat、system.ini和win.ini标签里面对它们进行编辑，取消其中的自启动程序。
十、以windows服务方式启动
这种方式目前已经少有病毒见到，但作为一种行之有效的启动方式，仍被以些病毒采用。这种启动方式的病毒，我们可以通过“开始→控制面板→管理工具→服务”来查看。一般通过这种方式启动的病毒服务状态都是“自动”和“已启动”状态的，我们可以通过修改其状态为“已停止”和“禁用”来停止病毒服务，并且，在该服务的“属性”中有此病毒程序的路径及名称，我们可以在此路径下删除病毒文件即可杀灭病毒。
第二部分：病毒的映象劫持技术
映像劫持的定义
所谓的映像劫持（IFEO）就是Image File Execution Options，位于注册表的[HKEY_LOCAL MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options]由于这个项主要是用来调试程序用的，对一般用户意义不大。默认是只有管理员和local system有权读写修改。
通俗一点来说，就是比如我想运行QQ.exe(记事本），结果运行的却是运行了notepad.exe(记事本），也就是说在这种情况下，QQ程序被notepad给劫持了，即你想运行的程序被另外一个程序代替了。
映像劫持病毒
虽然映像劫持是系统自带的功能，对我们一般用户来说根本没什么用的必要，但是就有一些病毒通过映像劫持来做文章，表面上看起来是运行了一个程序，实际上病毒已经在后台运行了。
但是与一般的木马，病毒不同的是，就有一些病毒偏偏不通过这些来加载自己，不随着系统的启动运行，而是等到你运行某个特定的程序的时候运行，这也抓住了一些用户的心理，一般的用户，只要发觉自己的机子中了病毒，首先要察看的就是系统的加载项，很少有人会想到映像劫持，这也是这种病毒高明的地方。
映像劫持病毒主要通过修改注册表中的[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution options] 项来劫持正常的程序，比如有一个病毒 vires.exe 要劫持 qq 程序，它会在上面注册表的位置新建一个qq.exe项，再这个项下面新建一个字符串的键值 debugger 内容是：C:\WINDOWS\SYSTEM32\ABC.EXE(这里是病毒藏身的路径)即可。当然如果你把该字符串值改为任意的其他值的话，系统就会提示找不到该文件。
映像胁持的基本原理
WINDOWS NT系统在试图执行一个从命令行调用的可执行文件运行请求时，先会检查运行程序是不是可执行文件，如果是的话，再检查格式的，然后就会检查是否存在。如果不存在的话，它会提示系统找不到文件或者是“指定的路径不正确”等等。把这些键删除后，程序就可以运行！
映像劫持的应用
★禁止某些程序的运行
先看一段代码：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\qq.exe]
"Debugger"="notepad.exe"
使用记事本，把上面这段代码复制到记事本中，并另存为 ABC.reg，双击导入注册表，打开你的QQ看一下效果！
这段代码的作用是双击运行QQ的时候，系统都打开记事本，原因就是QQ被重定向了。如果要让QQ继续运行的话，把notepad.exe改为QQ.exe的绝对路径就可以了。
★偷梁换柱恶作剧
每次我们按下CTRL+ALT+DEL键时，都会弹出任务管理器，想不想在我们按下这些键的时候让它弹出命令提示符窗口，下面就教你怎么玩：
Windows Registry Editor Version 5.00
[HKEY_LOCAL MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe]
"Debugger"="C:\WINDOWS\pchealth\helpctr\binaries\msconfig.exe"
将上面的代码在记事本中另存为 task_cmd.reg，双击导入注册表。按下那三个键看是什么效果，不用我说了吧，是不是很惊讶啊！精彩的还在后头呢！
★让病毒迷失自我
同上面的道理一样，如果我们把病毒程序给重定向了，是不是病毒就不能运行了，答案是肯定的！下面就自己试着玩吧！
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sppoolsv.exe]
"Debugger"="123.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\logo_1.exe]
"Debugger"="123.exe"
上面的代码是以金猪报喜病毒和威金病毒为例，这样即使这些病毒在系统启动项里面，即使随系统运行了，但是由于映像劫持的重定向作用，还是会被系统提示无法找到病毒文件（这里是logo_1.exe和sppoolsv.exe）。是不是很过瘾啊，想不到病毒也有今天！
当然你也可以把病毒程序重定向到你要启动的程序中去，如果你想让QQ开机自启动，你可以把上面的123.exe改为你QQ的安装路径即可，但是前提是这些病毒必须是随系统的启动而启动的。
关于映像劫持的预防，主要通过以下几个方法来实现：
★权限限制法
如果用户无权访问该注册表项了，它也就无法修改这些东西了。打开注册表编辑器，进入[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options] ，选中该项，右键——>权限——>高级，将administrator 和 system 用户的权限调低即可（这里只要把写入操作给取消就行了）。
★快刀斩乱麻法
打开注册表编辑器，进入把[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options]项，直接删掉 Image File Execution Options 项即可解决问题。
第三部分：捆绑和嵌入（感染）正常程序启动
这种启动方式也是一种普遍的病毒启动方式，也是最让一般用户感到头疼的病毒感染方式，它通过感染和嵌入正常程序中达到使病毒启动的目的。
一、查看文件最后修改日期和字节大小
通过列出当前运行的程序目录，我们可以通过显示文件的“详细信息”来查看文件的最后修改日期和当前文件大小，一般来说，病毒感染的文件的修改日期都很近，而且被感染文件比正常程序文件体积要大一些。要注意的是，病毒嵌入后文件体积大小增加可能不明显，必须在该文件的属性中才可以看到最精确的文件体积，通过对比正常程序文件的正确体积和最后修改时间，才能判断该文件是否被感染。
一旦确定被感染文件，我们可以通过文件替换方式来修复被感染的程序。
小提示：
如果病毒感染了你的操作系统文件，无法在windows中直接置换该文件，可以考虑使用光盘虚拟操作系统或将硬盘挂载到其他计算机上的方法，来完成文件替换工作。
鉴于有部分初学者在修改了QQ重定向注册表键值后，出现QQ打开不了的问题，我在这里给出解决方法：在注册表中删除[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\qq.exe]项即可。#Pc分享到：浏览(23) 评论 转载评论 发布 帮助中心 | 空间客服 | 投诉中心 | 空间协议�0�82012 Baidu
广场xyi1983退出关注此空间在这儿商城专业的在线购物商城，正品行货,网上直销，全城最低价，7天无条件退款。
2008-11-18 16:10木马在WINDOWS中的几种启动方式如果你的电脑中一种新型的木马病毒你能怎么办？特别是一些未知类型的木马病毒，使用一般的杀毒软件或防木马软件是很难将其根除的，这时候我们就需要手动来清除这些病毒文件了。
其实我们只要能破坏这些病毒的启动条件，就可以达到清除病毒的目的，为此，本人在这方面找了些资料供给大家，以供参考。
病毒的启动主要分为3类，分别是：一、随windows系统启动，二、映像劫持启动，三、捆绑和嵌入正常程序中启动。下面我们主要就第一和第二点进行详细介绍。
第一部分：Windows自启动程序
一、经典的启动——“启动”文件夹
单击“开始→程序”，你会发现一个“启动”菜单，这就是最经典的Windows启动位置，右击“启动”菜单选择“打开”即可将其打开，如所示，其中的程序和快捷方式都会在系统启动时自动运行。最常见的启动位置如下：
当前用户：
所有用户：
二、有名的启动——注册表启动项
注册表是启动程序藏身之处最多的地方，主要有以下几项：
1.Run键
Run键是病毒最青睐的自启动之所，该键位置是[HKEY_CURRENT_USER\Software \Microsoft\Windows\CurrentVersion\Run]
和[HKEY_LOCAL_MACHINE\Software\Microsoft \Windows\CurrentVersion\Run]，其下的所有程序在每次启动登录时都会按顺序自动执行。
还有一个不被注意的Run键，位于注册表[HKEY_CURRENT_USER\Software \Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
和[HKEY_LOCAL_MACHINE\ SOFTWARE\Microsoft\Windows\CurrentVersionPolicies\Explorer\Run]，也要仔细查看。
2.RunOnce键
RunOnce位于[HKEY_CURRENT_USER\Software\Microsoft\WindowsCurrentVersion\ RunOnce]
[HKEY_LOCAL_MACHINE\Software\MicrosoftWindows\CurrentVersion\RunOnce]键，与Run不同的是，RunOnce下的程序仅会被自动执行一次。
3.RunServicesOnce键
RunServicesOnce键位于[HKEY_CURRENT_USER\Software\MicrosoftWindows\Current Version\RunServicesOnce]
和[HKEY_LOCAL_MACHINESoftware\Microsoft\Windows\Current Version\RunServicesOnce]下，其中的程序会在系统加载时自动启动执行一次。
4.RunServices键
RunServices继RunServicesOnce之后启动的程序，位于注册表[HKEY_CURRENT_USER \Software\Microsoft\Windows\CurrentVersion\RunServices]
和[HKEY_LOCAL_MACHINE \SOFTWARE\Microsoft\Windows\CurrentVersionRunServices]键。
5.RunOnceEx键
该键是Windows XP/2003特有的自启动注册表项，位于[HKEY_CURRENT_USER\ SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx]
和[HKEY_LOCAL_MACHINE\ SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx]。
6.load键
[HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows]下的load键值的程序也可以自启动。
7.Winlogon键
该键位于位于注册表[HKEY_CURRENT_USER\SOFTWAREMicrosoft\Windows NT\CurrentVersion\Winlogon]
和[HKEY_LOCAL_MACHINESOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]，注意下面的Notify、Userinit、Shell键值也会有自启动的程序，而且其键值可以用逗号分隔，从而实现登录的时候启动多个程序。
8.其他注册表位置
还有一些其他键值，经常会有一些程序在这里自动运行，如：
[HKEY_CURRENT_USER \Software\Microsoft\Windows\CurrentVersion\Policies\System\Shell]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
[HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System\Scripts]
[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\System\Scripts]
小提示：
注册表的[HKEY_LOCAL_MACHINE]和[HKEY_CURRENT_USER]键的区别：前者对所有用户有效，后者只对当前用户有效。
三、古老的启动——自动批处理文件
从DOS时代过来的朋友肯定知道autoexec.bat（位于系统盘根目录）这个自动批处理文件，它会在电脑启动时自动运行，早期许多病毒就看中了它，使用deltree、format等危险命令来破坏硬盘数据。如“C盘杀手”就是用一句“deltree /y c:\*.*”命令，让电脑一启动就自动删除C盘所有文件，害人无数。
小提示：
★在Windows 98中，Autoexec.bat还有一个哥们——Winstart.bat文件，winstart.bat位于Windows文件夹，也会在启动时自动执行。
★在Windows Me/2000/XP中，上述两个批处理文件默认都不会被执行。
四、常用的启动——系统配置文件
在Windows的配置文件（包括Win.ini、System.ini和wininit.ini文件）也会加载一些自动运行的程序。
1.Win.ini文件
使用“记事本”打开Win.ini文件，在[windows]段下的“Run=”和“LOAD=”语句后面就可以直接加可执行程序，只要程序名称及路径写在“＝”后面即可。
小提示：
“load=”后面的程序在自启动后最小化运行，而“run=”后程序则会正常运行。
2.System.ini文件
使用“记事本”打开System.ini文件，找到[boot]段下“shell=”语句，该语句默认为“shell=Explorer.exe”，启动的时候运行Windows外壳程序explorer.exe。病毒可不客气，如“妖之吻”病毒干脆把它改成“shell=c:\yzw.exe”，如果你强行删除“妖之吻”病毒程序yzw.exe，Windows就会提示报错，让你重装Windows，吓人不？也有客气一点的病毒，如将该句变成“shell=Explorer.exe 其他程序名”，看到这样的情况，后面的其他程序名一定是病毒程序如所示。
3.wininit.ini
wininit.ini文件是很容易被许多电脑用户忽视的系统配置文件，因为该文件在Windows启动时自动执后会被自动删除，这就是说该文件中的命令只会自动执行一次。该配置文件主要由软件的安装程序生成，对那些在Windows图形界面启动后就不能进行删除、更新和重命名的文件进行操作。若其被病毒写上危险命令，那么后果与“C盘杀手”无异。
小提示：
★如果不知道它们存放的位置，按F3键打开“搜索”对话框进行搜索；
★单击“开始→运行”，输入sysedit回车，打开“系统配置编辑程序”，如图2所示，在这里也可以方便的对上述文件进行查看与修改。
五、智能的启动——开/关机/登录/注销脚本
在Windows 2000/XP中，单击“开始→运行”，输入gpedit.msc回车可以打开“组策略编辑器”，在左侧窗格展开“本地计算机策略→用户配置→管理模板→系统→登录”，然后在右窗格中双击“在用户登录时运行这些程序”，单击“显示”按钮，在“登录时运行的项目”下就显示了自启动的程序。
六、定时的启动——任务计划
在默认情况下，“任务计划”程序随Windows一起启动并在后台运行。如果把某个程序添加到计划任务文件夹，并将计划任务设置为“系统启动时”或“登录时”，这样也可以实现程序自启动。通过“计划任务”加载的程序一般会在任务栏系统托盘区里有它们的图标。大家也可以双击“控制面板”中的“计划任务”图标查看其中的项目。
小提示：“任务计划”也是一个特殊的系统文件夹，单击“开始→程序→附件→系统工具→任务计划”即可打开该文件夹，从而方便进行查看和管理。
七、跟着别人的启动（病毒映像劫持，在下部分介绍）——随软件开启的程序
八、从“系统信息”查看启动程序
单击“开始→程序→附件→系统工具→系统信息”，双击“软件环境”，单击“启动程序”，在右边窗口出现的程序就是所有自启动程序，在“装载源”或“位置”下显出该程序是由注册表还是“启动”文件夹启动的。从这里只能查看自启动程序，不能对自启动程序进行禁止自启动等任何更改操作。
九、MSConfig
在Windows 98/Me/XP/2003中，单击“开始→运行”，输入msconfig回车即可打开“系统配置实用程序”窗口，单击“启动”标签，在列表框中显示的就是从注册表、“启动”文件夹和系统配置文件中自启动的程序。程序前有对号的是允许自启动的程序，没有对号的则不会自启动。如果想取消某个程序的自启动，单击取消程序前的对勾即可。还可以在autoexec.bat、system.ini和win.ini标签里面对它们进行编辑，取消其中的自启动程序。
十、以windows服务方式启动
这种方式目前已经少有病毒见到，但作为一种行之有效的启动方式，仍被以些病毒采用。这种启动方式的病毒，我们可以通过“开始→控制面板→管理工具→服务”来查看。一般通过这种方式启动的病毒服务状态都是“自动”和“已启动”状态的，我们可以通过修改其状态为“已停止”和“禁用”来停止病毒服务，并且，在该服务的“属性”中有此病毒程序的路径及名称，我们可以在此路径下删除病毒文件即可杀灭病毒。
第二部分：病毒的映象劫持技术
映像劫持的定义
所谓的映像劫持（IFEO）就是Image File Execution Options，位于注册表的[HKEY_LOCAL MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options]由于这个项主要是用来调试程序用的，对一般用户意义不大。默认是只有管理员和local system有权读写修改。
通俗一点来说，就是比如我想运行QQ.exe(记事本），结果运行的却是运行了notepad.exe(记事本），也就是说在这种情况下，QQ程序被notepad给劫持了，即你想运行的程序被另外一个程序代替了。
映像劫持病毒
虽然映像劫持是系统自带的功能，对我们一般用户来说根本没什么用的必要，但是就有一些病毒通过映像劫持来做文章，表面上看起来是运行了一个程序，实际上病毒已经在后台运行了。
但是与一般的木马，病毒不同的是，就有一些病毒偏偏不通过这些来加载自己，不随着系统的启动运行，而是等到你运行某个特定的程序的时候运行，这也抓住了一些用户的心理，一般的用户，只要发觉自己的机子中了病毒，首先要察看的就是系统的加载项，很少有人会想到映像劫持，这也是这种病毒高明的地方。
映像劫持病毒主要通过修改注册表中的[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution options] 项来劫持正常的程序，比如有一个病毒 vires.exe 要劫持 qq 程序，它会在上面注册表的位置新建一个qq.exe项，再这个项下面新建一个字符串的键值 debugger 内容是：C:\WINDOWS\SYSTEM32\ABC.EXE(这里是病毒藏身的路径)即可。当然如果你把该字符串值改为任意的其他值的话，系统就会提示找不到该文件。
映像胁持的基本原理
WINDOWS NT系统在试图执行一个从命令行调用的可执行文件运行请求时，先会检查运行程序是不是可执行文件，如果是的话，再检查格式的，然后就会检查是否存在。如果不存在的话，它会提示系统找不到文件或者是“指定的路径不正确”等等。把这些键删除后，程序就可以运行！
映像劫持的应用
★禁止某些程序的运行
先看一段代码：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\qq.exe]
"Debugger"="notepad.exe"
使用记事本，把上面这段代码复制到记事本中，并另存为 ABC.reg，双击导入注册表，打开你的QQ看一下效果！
这段代码的作用是双击运行QQ的时候，系统都打开记事本，原因就是QQ被重定向了。如果要让QQ继续运行的话，把notepad.exe改为QQ.exe的绝对路径就可以了。
★偷梁换柱恶作剧
每次我们按下CTRL+ALT+DEL键时，都会弹出任务管理器，想不想在我们按下这些键的时候让它弹出命令提示符窗口，下面就教你怎么玩：
Windows Registry Editor Version 5.00
[HKEY_LOCAL MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe]
"Debugger"="C:\WINDOWS\pchealth\helpctr\binaries\msconfig.exe"
将上面的代码在记事本中另存为 task_cmd.reg，双击导入注册表。按下那三个键看是什么效果，不用我说了吧，是不是很惊讶啊！精彩的还在后头呢！
★让病毒迷失自我
同上面的道理一样，如果我们把病毒程序给重定向了，是不是病毒就不能运行了，答案是肯定的！下面就自己试着玩吧！
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sppoolsv.exe]
"Debugger"="123.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\logo_1.exe]
"Debugger"="123.exe"
上面的代码是以金猪报喜病毒和威金病毒为例，这样即使这些病毒在系统启动项里面，即使随系统运行了，但是由于映像劫持的重定向作用，还是会被系统提示无法找到病毒文件（这里是logo_1.exe和sppoolsv.exe）。是不是很过瘾啊，想不到病毒也有今天！
当然你也可以把病毒程序重定向到你要启动的程序中去，如果你想让QQ开机自启动，你可以把上面的123.exe改为你QQ的安装路径即可，但是前提是这些病毒必须是随系统的启动而启动的。
关于映像劫持的预防，主要通过以下几个方法来实现：
★权限限制法
如果用户无权访问该注册表项了，它也就无法修改这些东西了。打开注册表编辑器，进入[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options] ，选中该项，右键——>权限——>高级，将administrator 和 system 用户的权限调低即可（这里只要把写入操作给取消就行了）。
★快刀斩乱麻法
打开注册表编辑器，进入把[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options]项，直接删掉 Image File Execution Options 项即可解决问题。
第三部分：捆绑和嵌入（感染）正常程序启动
这种启动方式也是一种普遍的病毒启动方式，也是最让一般用户感到头疼的病毒感染方式，它通过感染和嵌入正常程序中达到使病毒启动的目的。
一、查看文件最后修改日期和字节大小
通过列出当前运行的程序目录，我们可以通过显示文件的“详细信息”来查看文件的最后修改日期和当前文件大小，一般来说，病毒感染的文件的修改日期都很近，而且被感染文件比正常程序文件体积要大一些。要注意的是，病毒嵌入后文件体积大小增加可能不明显，必须在该文件的属性中才可以看到最精确的文件体积，通过对比正常程序文件的正确体积和最后修改时间，才能判断该文件是否被感染。
一旦确定被感染文件，我们可以通过文件替换方式来修复被感染的程序。
小提示：
如果病毒感染了你的操作系统文件，无法在windows中直接置换该文件，可以考虑使用光盘虚拟操作系统或将硬盘挂载到其他计算机上的方法，来完成文件替换工作。
鉴于有部分初学者在修改了QQ重定向注册表键值后，出现QQ打开不了的问题，我在这里给出解决方法：在注册表中删除[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\qq.exe]项即可。#Pc分享到：浏览(23) 评论 转载评论 发布 帮助中心 | 空间客服 | 投诉中心 | 空间协议�0�82012 Baidu
已赞过
已踩过<
评论
收起
你对这个回答的评价是？
展开全部
方式一：借助启动程序
此方式是最常见的，像一般的软件设置引导是一样的，但现在的木马一般不使用这种方式，因为当它们出现在 “开始” 菜单的 “开始”
时，很容易找到行踪并被处置。
方式二：借助注册表
直接调用注册表进行启动，这是很多Windows程序采用的方法，也是木马最常用的方法。使用起来很方便，但是很容易被发现。因为应用广泛，几乎一提到木马就会让人想到这些注册表中的主键，而木马通常使用最后一个。
方式三：通过DOS自启动程序
一般会借助一些在DOS系统下会自动启动的程序文件，这些文件在DOS环境下会自动启动木马也会借助这些文件来启动。
其实这种方法并不适合木马使用，因为该文件会在Windows启动前运行，这时系统处于DOS环境，只能运行16位应用程序，Windows下的32位程序是不能运行的。木马此时也就失效了，但是仍然要防范，因为木马的伪装就是要做到让你无从下手。
方式四：通过System.ini文件启动
实际上，System.ini文件并没有给用户可用的启动项目，然而通过它启动却是非常好用的。
在System.ini文件的“Boot”域中的Shell项的值正常情况下是explorer
exe”，这是Windows的外壳程序，换一个程序就可以彻底改变Windows 的面貌。
方式五：寄生于特定程序之中跟随程序启动
即木马和正常程序捆绑，有点类似于病毒，程序在运行时，木马程序先获得控制权或另开一个线程以监视用户操作、截取密码等，这类木马编写的难度较大，需要了解PE文件结构和Windows的底层知识。
方式六：将特定的程序改名
木马会将自己的图标修改为一些常用的程序图标，然后把原有的的程序卸载或者隐藏，一旦用户去启动这些程序则主动的启动了这些木马程序。
方式七：文件关联
一般情况下木马程序会将自己和TXT文件或EXE文件关联，这样当打开一个文本文件或运行一个程序时，木马也就偷偷地启动了。
此方式是最常见的，像一般的软件设置引导是一样的，但现在的木马一般不使用这种方式，因为当它们出现在 “开始” 菜单的 “开始”
时，很容易找到行踪并被处置。
方式二：借助注册表
直接调用注册表进行启动，这是很多Windows程序采用的方法，也是木马最常用的方法。使用起来很方便，但是很容易被发现。因为应用广泛，几乎一提到木马就会让人想到这些注册表中的主键，而木马通常使用最后一个。
方式三：通过DOS自启动程序
一般会借助一些在DOS系统下会自动启动的程序文件，这些文件在DOS环境下会自动启动木马也会借助这些文件来启动。
其实这种方法并不适合木马使用，因为该文件会在Windows启动前运行，这时系统处于DOS环境，只能运行16位应用程序，Windows下的32位程序是不能运行的。木马此时也就失效了，但是仍然要防范，因为木马的伪装就是要做到让你无从下手。
方式四：通过System.ini文件启动
实际上，System.ini文件并没有给用户可用的启动项目，然而通过它启动却是非常好用的。
在System.ini文件的“Boot”域中的Shell项的值正常情况下是explorer
exe”，这是Windows的外壳程序，换一个程序就可以彻底改变Windows 的面貌。
方式五：寄生于特定程序之中跟随程序启动
即木马和正常程序捆绑，有点类似于病毒，程序在运行时，木马程序先获得控制权或另开一个线程以监视用户操作、截取密码等，这类木马编写的难度较大，需要了解PE文件结构和Windows的底层知识。
方式六：将特定的程序改名
木马会将自己的图标修改为一些常用的程序图标，然后把原有的的程序卸载或者隐藏，一旦用户去启动这些程序则主动的启动了这些木马程序。
方式七：文件关联
一般情况下木马程序会将自己和TXT文件或EXE文件关联，这样当打开一个文本文件或运行一个程序时，木马也就偷偷地启动了。
已赞过
已踩过<
评论
收起
你对这个回答的评价是？
展开全部
您好，
所以不能从启动方式来排查木马
你怀疑中木马的时候，可以使用电脑管家来查杀
电脑管家杀毒部分采用了4+1引擎，拥有管家第二代反病毒引擎鹰眼，采用新的机器智能技术，拥有自学习自进化的能力，查杀率非常的高，可以清除各种木马病毒
如果以后有其它问题，欢迎再来电脑管家企业平台咨询
本回答被网友采纳
已赞过
已踩过<
评论
收起
你对这个回答的评价是？
展开全部
方法一：注册表启动项
这个大家可能比较熟悉，请大家注意以下的注册表键值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows
\CurrentVersion\RunHKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
这里只要有“run”敏感字眼的都要仔细
方法二：利用系统文件
可以利用的文件有Win.ini ; system.ini ; Autoexec.bat ; Config.sys. 当系统启动的时候，上述这些文件的一些内容是可以随着系统一起加载的，从而可以被木马利用
用文本方式打开 C:\Windows 下面的system.ini文件 我们会看到
其它的几个所述文件也是经常被用来利用，从而达到开机启动的目的的
方法三：系统启动组
依次点击开始-->程序-->启动
WINXP: C:\Documents and Settings\gillispie\[开始]菜单\程序\启动
WIN98: C:\WINDOWS\Start Menu\Programs\启动
对应的注册表键值：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
方法四：利用文件关联
例如：正常情况下txt文件的打开方式为Notepad.exe文件，如果一旦中了文件关联类的木马，这样打开一个txt文件，原本应该用Notepad打开该文件的，现在却变成了启动木马程序了。
解决文件的关联问题有两种方法：
①修改注册表：
如果木马是关联的EXE文件：
找到键值：
HKEY_CLASSES_ROOT\exefile\shell\open\command
HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command
②进入控制面版，选择文件夹选项-->文件类型
然后点击"高级" 在弹出的菜单中选择“应用程序”
方法五：利用服务加载
系统要正常的运行，就少不了一些服务，一些木马通过加载服务来达到随系统启动的目的
控制面板-->管理工具-->服务
通过net start 服务名(开启服务)
net stop 服务名(关闭服务)
这个大家可能比较熟悉，请大家注意以下的注册表键值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runservices HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows
\CurrentVersion\RunHKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
这里只要有“run”敏感字眼的都要仔细
方法二：利用系统文件
可以利用的文件有Win.ini ; system.ini ; Autoexec.bat ; Config.sys. 当系统启动的时候，上述这些文件的一些内容是可以随着系统一起加载的，从而可以被木马利用
用文本方式打开 C:\Windows 下面的system.ini文件 我们会看到
其它的几个所述文件也是经常被用来利用，从而达到开机启动的目的的
方法三：系统启动组
依次点击开始-->程序-->启动
WINXP: C:\Documents and Settings\gillispie\[开始]菜单\程序\启动
WIN98: C:\WINDOWS\Start Menu\Programs\启动
对应的注册表键值：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
方法四：利用文件关联
例如：正常情况下txt文件的打开方式为Notepad.exe文件，如果一旦中了文件关联类的木马，这样打开一个txt文件，原本应该用Notepad打开该文件的，现在却变成了启动木马程序了。
解决文件的关联问题有两种方法：
①修改注册表：
如果木马是关联的EXE文件：
找到键值：
HKEY_CLASSES_ROOT\exefile\shell\open\command
HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command
②进入控制面版，选择文件夹选项-->文件类型
然后点击"高级" 在弹出的菜单中选择“应用程序”
方法五：利用服务加载
系统要正常的运行，就少不了一些服务，一些木马通过加载服务来达到随系统启动的目的
控制面板-->管理工具-->服务
通过net start 服务名(开启服务)
net stop 服务名(关闭服务)
本回答被网友采纳
已赞过
已踩过<
评论
收起
你对这个回答的评价是？
更多回答（3）
推荐律师服务：
若未解决您的问题，请您详细描述您的问题，通过百度律临进行免费专业咨询
