×
简答题
简述蠕虫/特洛伊木马类样本提取方法。
答案解析
正确答案：这类病毒一般不感染其它的正常可执行文件，它会像正常的软件一样"安装"在系统中，只不过"安装"过程是秘密的。它们一般会更改系统配置文件及注册表：
一、更改系统的相关配置文件（这种情况主要是针对95/98/me系统）。
病毒可能会更改autoexec.bat，只要在其中加入执行病毒程序文件的语句即可在系统启动时自动激活病毒。
更改drive:＼windows＼win.ini或者system.ini文件。病毒通常会在win.ini的"run="后面加入病毒自身的文件名，或者在system.ini文件中将"shell="更改。
二、更改注册表健值。
目前，只要新出的蠕虫/特洛伊木马类病毒一般都有修改系统注册表的动作。它们修改的位置一般有以下几个地方：
HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼RunOnce＼
说明：在系统启动时自动执行的程序
HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼RunServices＼
说明：在系统启动时自动执行的系统服务程序
HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼Run＼
说明：在系统启动时自动执行的程序，这是病毒最有可能修改/添加的地方。例如：Worm.Netsky.h病毒将增加：HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼Run＼"antivirus"="%WINDIR%＼maja.exe-antivirusservice"
HKCU＼Software＼Microsoft＼WindowsNT＼CurrentVersion＼Windows＼run
说明：此键值相当于在Win.ini的"run="加入病毒自身文件名，能使在系统启动时自动激活病毒。HKLM＼Software＼Microsoft＼WindowsNT＼CurrentVersion＼Winlogon＼Shell
说明：此键值相当于在System.ini的"shell="加入病毒自身文件名，能使在系统启动时自动激活病毒。HKEY_CLASSES_ROOT＼exefile＼shell＼open＼command
说明：此键值能使病毒在用户运行任何EXE程序时被运行，即文件关联键值。以此类推，..＼txtfile＼..或者..＼comfile＼..也可被更改，以便实现病毒自动运行的功能。
另外，有些键值还可能被利用来实现比较特别的功能：
如有些病毒会通过修改下面的键值来阻止用户查看和修改注册表：
HKCU＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼
System＼DisableRegistryTools=
从以上键值找出可疑文件文件名，然后全盘查找这些文件作为附件上报。
一、更改系统的相关配置文件（这种情况主要是针对95/98/me系统）。
病毒可能会更改autoexec.bat，只要在其中加入执行病毒程序文件的语句即可在系统启动时自动激活病毒。
更改drive:＼windows＼win.ini或者system.ini文件。病毒通常会在win.ini的"run="后面加入病毒自身的文件名，或者在system.ini文件中将"shell="更改。
二、更改注册表健值。
目前，只要新出的蠕虫/特洛伊木马类病毒一般都有修改系统注册表的动作。它们修改的位置一般有以下几个地方：
HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼RunOnce＼
说明：在系统启动时自动执行的程序
HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼RunServices＼
说明：在系统启动时自动执行的系统服务程序
HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼Run＼
说明：在系统启动时自动执行的程序，这是病毒最有可能修改/添加的地方。例如：Worm.Netsky.h病毒将增加：HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼Run＼"antivirus"="%WINDIR%＼maja.exe-antivirusservice"
HKCU＼Software＼Microsoft＼WindowsNT＼CurrentVersion＼Windows＼run
说明：此键值相当于在Win.ini的"run="加入病毒自身文件名，能使在系统启动时自动激活病毒。HKLM＼Software＼Microsoft＼WindowsNT＼CurrentVersion＼Winlogon＼Shell
说明：此键值相当于在System.ini的"shell="加入病毒自身文件名，能使在系统启动时自动激活病毒。HKEY_CLASSES_ROOT＼exefile＼shell＼open＼command
说明：此键值能使病毒在用户运行任何EXE程序时被运行，即文件关联键值。以此类推，..＼txtfile＼..或者..＼comfile＼..也可被更改，以便实现病毒自动运行的功能。
另外，有些键值还可能被利用来实现比较特别的功能：
如有些病毒会通过修改下面的键值来阻止用户查看和修改注册表：
HKCU＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼
System＼DisableRegistryTools=
从以上键值找出可疑文件文件名，然后全盘查找这些文件作为附件上报。
题目纠错
相关题目
单选题
创建数据库时不能添加辅助数据文件，只能在创建之后在添加。（）
单选题
为了保证安全性，密码算法应该进行保密。（）
单选题
Oracle的密码哈希值存储在SYSUSER$表中。可以通过像DBAUSERS这类的视图来访问。（）
单选题
SQLSERVER数据库只能有一个日志文件，不可以创建多个日志文件。（）
单选题
OSI网络安全体系结构的五类安全服务是鉴别访问控制可用性完整性抗否认。（）
单选题
SQLServer如果设置了不恰当的数据库文件权限，可能导致敏感文件被非法删除或读
取，威胁系统安全。（）
单选题
在4A系统的远期建设中，应用系统自身不需要保留系统从账户信息。（）
单选题
防范计算机病毒最有效方法是切断传播途径。（）
单选题
默认情况下需要关闭Cisco设备的Finger服务。（）
单选题
ARP是一个广播协议，并且使用了ARP高速缓存，原因是广播太昂贵。（）
