新手學(xué)習(xí)注冊表 |
發(fā)布時間: 2012/7/2 9:59:45 |
括號里面的內(nèi)容為本人的注釋,寫文件的時候就不需要那些小括號了,其他上面所列的都必須包括。注意引號輸入時不能用中文輸入的引號,必須用英文的引號,否則會出錯。 那么,怎么寫.reg文件呢?我們需要一個文本編輯器,用windows的記事本就可以了。單擊鼠標(biāo)右鍵,選擇新建文本文檔,然后在生成的文本文件里輸入上面規(guī)格的內(nèi)容就可以了,最后,選擇另存為,輸入你想要的文件名+.reg保存即可。比如你要生成test.reg,輸入test.reg保存即可,你可以看到生成了一個帶圖標(biāo)的test.reg.雙擊運行這個test.reg文件就能相應(yīng)的修改注冊表了,系統(tǒng)會提示“是否導(dǎo)入注冊表”之類的信息,確定就可以了。OK,我們可以手動寫注冊表了。先別急,我們來看看一個標(biāo)準(zhǔn)范例,這是從注冊表里面導(dǎo)出來的,大家慢慢學(xué)習(xí),跟著模仿一下就能寫出自己的.reg文件了。 REGEDIT4 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoRun"=dword:00000000 "NoRecentDocsMenu"=hex:01,00,00,00 "NoFavoritesMenu"=dword:00000000 "user"="sundrink" 大家可以看到,dword是16進制,hex是二進制,字符串則可以直接賦值。只要將上面的內(nèi)容復(fù)制保存到文本文檔里,然后另存為你想要的.reg文件運行就可以了。呵呵,原來也不是很難嘛,耐心一點就可以了。當(dāng)然,你要模仿,要自己動手寫.reg文件,用記事本就可以了。 說多兩句,為什么要手寫注冊表?因為有時候我們會碰到一臺鎖定regedit的機子,有什么辦法解開呢?呵呵,如果你會手寫注冊表文件的話,那很簡單了......大家發(fā)揮想象吧!用不了很長時間的。 以上的手動修改的方法只針對那些電腦愛者來說的,一般新手朋友最好還是老實的用第三方軟件里自帶的方法來修改,這樣既方便又能看的清楚,不過還是建議大家在修改前一定要做好備份工作。好,關(guān)于注冊表的修改問題就說到這里了,網(wǎng)上有很多類似的教程,比如提高網(wǎng)速的,優(yōu)化性能的都有很多,大家可以勤用google搜索一下,自己學(xué)習(xí)。其實電腦很多東西都是自己摸索出來的,只有自己勤去摸索,你的計算機水平才能得到真正的提高。閑話不再多說,我們繼續(xù)。 現(xiàn)在我們說到了注冊表的安全問題。從計算機病毒的發(fā)展趨勢來看,蠕蟲和木馬類的病毒越來越多。與普通感染可執(zhí)行文件的文件型病毒不同,此類程序通常不感染正常的系統(tǒng)文件,而是將自身作為系統(tǒng)的一部分安裝到系統(tǒng)中。相對來說,此類病毒的隱蔽性更強一些,更不容易被使用者發(fā)覺。但是無論什么樣的病毒程序在感染系統(tǒng)時都會留下一些蛛絲馬跡。在此我們總結(jié)一下各種病毒可能會更改的地方,以便能夠更快速地找到它們。 一、更改系統(tǒng)的相關(guān)配置文件。這種情況主要是針對95/98系統(tǒng)。 病毒可能會更改autoexec.bat,只要在其中加入執(zhí)行病毒程序文件的語句即可在系統(tǒng)啟動時自動激活病毒。*更改drive:\windows\win.ini或者system.ini文件。病毒通常會在win.ini的“run=”后面加入病毒自身的文件名,或者在system.ini文件中將“shell=”更改。 二、更改注冊表健值。 目前,只要新出的蠕蟲/特洛伊類病毒一般都有修改系統(tǒng)注冊表的動作。它們修改的位置一般有以下幾個地方: HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\ 說明:在系統(tǒng)啟動時自動執(zhí)行的程序 HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\ 說明:在系統(tǒng)啟動時自動執(zhí)行的系統(tǒng)服務(wù)程序 HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ 說明:在系統(tǒng)啟動時自動執(zhí)行的程序,這是病毒最有可能修改/添加的地方。例如:Win32.Swen.B病毒將增加:HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ucfzyojza="cxsgrhcl.exeautorun" HKEY_CLASSES_ROOT\exefile\shell\open\command 說明:此鍵值能使病毒在用戶運行任何EXE程序時被運行,以此類推,..\txtfile\..或者..\comfile\..也可被更改,以便實現(xiàn)病毒自動運行的功能。 另外,有些健值還可能被利用來實現(xiàn)比較特別的功能: 有些病毒會通過修改下面的鍵值來阻止用戶查看和修改注冊表: HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\ System\DisableRegistryTools= 為了阻止用戶利用.REG文件修改注冊表鍵值,以下鍵值也會被修改來顯示一個內(nèi)存訪問錯誤窗口 例如:Win32.Swen.B病毒會將缺省健值修改為: HKCR\regfile\shell\open\command\(Default)="cxsgrhcl.exeshowerror" 通過對以上地方的修改,病毒程序主要達到的目的是在系統(tǒng)啟動或者程序運行過程中能夠自動被執(zhí)行,已達到自動激活的目的。 總結(jié)完了各種木馬、病毒可能會更改的地方,下面就接著談防御問題了。當(dāng)然,在談之前繼續(xù)一貫強調(diào)的備份注冊表,說實話,應(yīng)對越來越厲害的木馬、病毒們,光靠現(xiàn)有的幾種辦法是遠遠不夠的,備份一個“徹底干凈”的注冊表就是重中之重。備份的方法依然很多,網(wǎng)上鋪天蓋地都有,這里也不再多做闡述,google一下就可以了。 安全隱患:在Windows2000/XP系統(tǒng)中,默認Messenger服務(wù)處于啟動狀態(tài),不懷好意者可通過“netsend”指令向目標(biāo)計算機發(fā)送信息。目標(biāo)計算機會不時地收到他人發(fā)來的騷擾信息,嚴(yán)重影響正常使用。 解決方法:首先打開注冊表編輯器。對于系統(tǒng)服務(wù)來說,我們可以通過注冊表中“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices”項下的各個選項來進行管理,其中的每個子鍵就是系統(tǒng)中對應(yīng)的“服務(wù)”,如“Messenger”服務(wù)對應(yīng)的子鍵是“Messenger”。我們只要找到Messenger項下的START鍵值,將該值修改為4即可。這樣該服務(wù)就會被禁用,用戶就再也不會受到“信”騷擾了。 安全隱患:如果黑客連接到了我們的計算機,而且計算機啟用了遠程注冊表服務(wù)(RemoteRegistry),那么黑客就可遠程設(shè)置注冊表中的服務(wù),因此遠程注冊表服務(wù)需要特別保護。 解決方法:我們可將遠程注冊表服務(wù)(RemoteRegistry)的啟動方式設(shè)置為禁用。不過,黑客在入侵我們的計算機后,仍然可以通過簡單的操作將該服務(wù)從“禁用”轉(zhuǎn)換為“自動啟動”。因此我們有必要將該服務(wù)刪除。 找到注冊表中“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices”下的RemoteRegistry項,右鍵點擊該項選擇“刪除”(圖1),將該項刪除后就無法啟動該服務(wù)了。 在刪除之前,一定要將該項信息導(dǎo)出并保存。想使用該服務(wù)時,只要將已保存的注冊表文件導(dǎo)入即可。 安全隱患:大家都知道在Windows2000/XP/2003中,系統(tǒng)默認開啟了一些“共享”,它們是IPC$、c$、d$、e$和admin$。很多黑客和病毒都是通過這個默認共享入侵操作系統(tǒng)的。 解決方法:要防范IPC$攻擊應(yīng)該將注冊表中“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLSA”的RestrictAnonymous項設(shè)置為“1”,這樣就可以禁止IPC$的連接。 對于c$、d$和admin$等類型的默認共享則需要在注冊表中找到“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParameters”項。如果系統(tǒng)為Windows2000Server或Windows2003,則要在該項中添加鍵值“AutoShareServer”(類型為“REG_DWORD”,值為“0”)。如果系統(tǒng)為Windows2000PRO,則應(yīng)在該項中添加鍵值“AutoShareWks”(類型為“REG_DWORD”,值為“0”)。 安全隱患:在Windows系統(tǒng)運行出錯的時候,系統(tǒng)內(nèi)部有一個DR.WATSON程序會自動將系統(tǒng)調(diào)用的隱私信息保存下來。隱私信息將保存在user.dmp和drwtsn32.log文件中。攻擊者可以通過破解這個程序而了解系統(tǒng)的隱私信息。因此我們要阻止該程序?qū)⑿畔⑿孤冻鋈ァ?br /> 解決方法:找到“HKEY_LOACL_MACHINESOFTWAREMicrosoftWindowsNTCurrentVersionAeDebug”,將AUTO鍵值設(shè)置為0,現(xiàn)在DR.WATSON就不會記錄系統(tǒng)運行時的出錯信息了。同時,依次點擊“DocumentsandSettings→ALLUsers→Documents→drwatson”,找到user.dmp和drwtsn32.log文件并刪除。刪除這兩個文件的目的是將DR.WATSON以前保存的隱私信息刪除。 提示:如果已經(jīng)禁止了DR.WATSON程序的運行,則不會找到“drwatson”文件夾以及user.dmp和drwtsn32.log這兩個文件。 安全隱患:不少木馬和病毒都是通過在網(wǎng)頁中隱藏惡意ActiveX控件的方法來私自運行系統(tǒng)中的程序,從而達到破壞本地系統(tǒng)的目的。為了保證系統(tǒng)安全,我們應(yīng)該阻止ActiveX控件私自運行程序。 解決方法:ActiveX控件是通過調(diào)用Windowsscriptinghost組件的方式運行程序的,所以我們可以先刪除“system32”目錄下的wshom.ocx文件,這樣ActiveX控件就不能調(diào)用Windowsscriptinghost了。然后,在注冊表中找到“HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}”,將該項刪除。通過以上操作,ActiveX控件就再也無法私自調(diào)用腳本程序了。 安全隱患:Windows2000的頁面交換文件也和上文提到的DR.WATSON程序一樣經(jīng)常成為黑客攻擊的對象,因為頁面文件有可能泄露一些原本在內(nèi)存中后來卻轉(zhuǎn)到硬盤中的信息。畢竟黑客不太容易查看內(nèi)存中的信息,而硬盤中的信息則極易被獲取。 解決方法:找到“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSessionManagerMemoryManagement”,將其下的ClearPageFileAtShutdown項目的值設(shè)置為1(圖2)。 這樣,每當(dāng)重新啟動后,系統(tǒng)都會將頁面文件刪除,從而有效防止信息外泄。 安全隱患:使用Windows系統(tǒng)沖浪時,常會遇到密碼信息被系統(tǒng)自動記錄的情況,以后重新訪問時系統(tǒng)會自動填寫密碼。這樣很容易造成自己的隱私信息外泄。 解決方法:在“HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionpolicies”分支中找到network子項(如果沒有可自行添加),在該子項下建立一個新的雙字節(jié)值,名稱為disablepasswordcaching,并將該值設(shè)置為1。重新啟動計算機后,操作系統(tǒng)就不會自作聰明地記錄密碼了。 安全隱患:現(xiàn)在的病毒很聰明,不像以前只會通過注冊表的RUN值或MSCONFIG中的項目進行加載。一些高級病毒會通過系統(tǒng)服務(wù)進行加載。那么,我們能不能使病毒或木馬沒有啟動服務(wù)的相應(yīng)權(quán)限呢? 解決方法:運行“regedt32”指令啟用帶權(quán)限分配功能的注冊表編輯器。在注冊表中找到“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices”分支,接著點擊菜單欄中的“安全→權(quán)限”,在彈出的Services權(quán)限設(shè)置窗口中單擊“添加”按鈕,將Everyone賬號導(dǎo)入進來,然后選中“Everyone”賬號,將該賬號的“讀取”權(quán)限設(shè)置為“允許”,將它的“完全控制”權(quán)限取消(圖3),F(xiàn)在任何木馬或病毒都無法自行啟動系統(tǒng)服務(wù)了。當(dāng)然,該方法只對沒有獲得管理員權(quán)限的病毒和木馬有效。 安全隱患:很多病毒都是通過注冊表中的RUN值進行加載而實現(xiàn)隨操作系統(tǒng)的啟動而啟動的,我們可以按照“禁止病毒啟動服務(wù)”中介紹的方法將病毒和木馬對該鍵值的修改權(quán)限去掉。 解決方法:運行“regedt32”指令啟動注冊表編輯器。找到注冊表中的“HKEY_CURRENT_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRUN”分支,將Everyone對該分支的“讀取”權(quán)限設(shè)置為“允許”,取消對“完全控制”權(quán)限的選擇。這樣病毒和木馬就無法通過該鍵值啟動自身了。 病毒和木馬是不斷“發(fā)展”的,我們也要不斷學(xué)習(xí)新的防護知識,才能抵御病毒和木馬的入侵。與其在感染病毒或木馬后再進行查殺,不如提前做好防御工作,修筑好牢固的城墻進行抵御。養(yǎng)成良好的安全上網(wǎng)習(xí)慣,盡量不接觸那些不安全的站點和下載不安全的軟件、視頻等,開機運行360和殺毒軟件,備份一份安全的注冊表文件,勤打補丁多學(xué)習(xí),“防患于未然”才是我們應(yīng)該追求的。 本文出自:億恩科技【www.allwellnessguide.com】 服務(wù)器租用/服務(wù)器托管中國五強!虛擬主機域名注冊頂級提供商!15年品質(zhì)保障!--億恩科技[ENKJ.COM] |