×
简答题
简述蠕虫/特洛伊木马类样本提取方法。
答案解析
正确答案：这类病毒一般不感染其它的正常可执行文件，它会像正常的软件一样"安装"在系统中，只不过"安装"过程是秘密的。它们一般会更改系统配置文件及注册表：
一、更改系统的相关配置文件（这种情况主要是针对95/98/me系统）。
病毒可能会更改autoexec.bat，只要在其中加入执行病毒程序文件的语句即可在系统启动时自动激活病毒。
更改drive:＼windows＼win.ini或者system.ini文件。病毒通常会在win.ini的"run="后面加入病毒自身的文件名，或者在system.ini文件中将"shell="更改。
二、更改注册表健值。
目前，只要新出的蠕虫/特洛伊木马类病毒一般都有修改系统注册表的动作。它们修改的位置一般有以下几个地方：
HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼RunOnce＼
说明：在系统启动时自动执行的程序
HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼RunServices＼
说明：在系统启动时自动执行的系统服务程序
HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼Run＼
说明：在系统启动时自动执行的程序，这是病毒最有可能修改/添加的地方。例如：Worm.Netsky.h病毒将增加：HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼Run＼"antivirus"="%WINDIR%＼maja.exe-antivirusservice"
HKCU＼Software＼Microsoft＼WindowsNT＼CurrentVersion＼Windows＼run
说明：此键值相当于在Win.ini的"run="加入病毒自身文件名，能使在系统启动时自动激活病毒。HKLM＼Software＼Microsoft＼WindowsNT＼CurrentVersion＼Winlogon＼Shell
说明：此键值相当于在System.ini的"shell="加入病毒自身文件名，能使在系统启动时自动激活病毒。HKEY_CLASSES_ROOT＼exefile＼shell＼open＼command
说明：此键值能使病毒在用户运行任何EXE程序时被运行，即文件关联键值。以此类推，..＼txtfile＼..或者..＼comfile＼..也可被更改，以便实现病毒自动运行的功能。
另外，有些键值还可能被利用来实现比较特别的功能：
如有些病毒会通过修改下面的键值来阻止用户查看和修改注册表：
HKCU＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼
System＼DisableRegistryTools=
从以上键值找出可疑文件文件名，然后全盘查找这些文件作为附件上报。
一、更改系统的相关配置文件（这种情况主要是针对95/98/me系统）。
病毒可能会更改autoexec.bat，只要在其中加入执行病毒程序文件的语句即可在系统启动时自动激活病毒。
更改drive:＼windows＼win.ini或者system.ini文件。病毒通常会在win.ini的"run="后面加入病毒自身的文件名，或者在system.ini文件中将"shell="更改。
二、更改注册表健值。
目前，只要新出的蠕虫/特洛伊木马类病毒一般都有修改系统注册表的动作。它们修改的位置一般有以下几个地方：
HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼RunOnce＼
说明：在系统启动时自动执行的程序
HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼RunServices＼
说明：在系统启动时自动执行的系统服务程序
HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼Run＼
说明：在系统启动时自动执行的程序，这是病毒最有可能修改/添加的地方。例如：Worm.Netsky.h病毒将增加：HKLM＼Software＼Microsoft＼Windows＼CurrentVersion＼Run＼"antivirus"="%WINDIR%＼maja.exe-antivirusservice"
HKCU＼Software＼Microsoft＼WindowsNT＼CurrentVersion＼Windows＼run
说明：此键值相当于在Win.ini的"run="加入病毒自身文件名，能使在系统启动时自动激活病毒。HKLM＼Software＼Microsoft＼WindowsNT＼CurrentVersion＼Winlogon＼Shell
说明：此键值相当于在System.ini的"shell="加入病毒自身文件名，能使在系统启动时自动激活病毒。HKEY_CLASSES_ROOT＼exefile＼shell＼open＼command
说明：此键值能使病毒在用户运行任何EXE程序时被运行，即文件关联键值。以此类推，..＼txtfile＼..或者..＼comfile＼..也可被更改，以便实现病毒自动运行的功能。
另外，有些键值还可能被利用来实现比较特别的功能：
如有些病毒会通过修改下面的键值来阻止用户查看和修改注册表：
HKCU＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼
System＼DisableRegistryTools=
从以上键值找出可疑文件文件名，然后全盘查找这些文件作为附件上报。
相关题目
单选题
根据《移动帐号口令管理办法》的要求，用户应定期修改口令，期限为：（）。
单选题
各种系统和设备在系统功能测试前、初验前、入网运行前，应对此系统进行一次全面的（）及必要安全补丁加载。
单选题
风险评估的三个要素（）。
单选题
风险评估包括以下哪些部分：（）。
单选题
非本职工作需要或未经领导批准，公司员工不得将公司相关的保密信息复制到（）上。
单选题
防止用户被冒名所欺骗的方法是：（）。
单选题
防火墙作用中，错误的是：（）。
单选题
防火墙中地址翻译的主要作用是：（）。
单选题
防火墙是一种高级访问控制设备，它是置于）的组合，是不同网络安全域间通信流的）通道，能根据企业有关的安全策略控制允许、拒绝、监视、记录）进出网络的访问行为（）。
单选题
反向连接后门和普通后门的区别是（）。
