恶意代码启动手法汇总

一、开始菜单启动目录

“开始——程序——启动菜单“，其中的程序和快捷方式都会在系统启动时自动运行。
最常见的启动位置如下：

当前用户

**<C:\Documents and Settings\用户名\「开始」菜单\程序\启动> **
C:\Users\Current user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

所有用户

**<C:\Documents and Settings\All Users\「开始」菜单\程序\启动> **
C:\Users\All Users\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

二、注册表启动

注册表是启动程序藏身之处最多的地方，主要有以下几项：

1.Run键

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
其下的所有程序在每次启动登录时都会按顺序自动执行。

2.RunOnce键

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]
与Run键不同的是，RunOnce下的程序仅会被自动执行一次。

3.RunServicesOnce键

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]
键值下的程序会在系统加载时自动启动执行一次。

4.RunServices键

RunServices继RunServicesOnce之后启动的程序，位于:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]

5.RunOnceEx键

该键是Windows XP/2003特有的自启动注册表项，位于:
[HKEY_CURRENT_USER\\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunOnceEx]

6.load键

[HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows]
load键值下的程序也可以自启动。

7.Winlogon键

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
注意下面的Notify、Userinit、Shell键值也会有自启动的程序，而且其键值可以用逗号分隔，从而实现登录的时候启动多个程序。

8.其他注册表位置

还有一些其他键值，经常会有一些程序在这里自动运行，如：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\Shell]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
[HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System\Scripts]
[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\System\Scripts]

9.注册表注入启动

更改AppInit_DLLs和LoadAppInit_DLLs注册表键值，User32.dll被加载到进程时，会获取AppInit_DLLs注册表项，若有值，则调用LoadLibrary() API加载用户DLL。所以，DLL注册表注入，并不会影响所有进程，只会影响加载了user32.dll的进程。该键值位于:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

10.创建服务

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services]
该键值下关联本机启动的服务进程，通过创建相应的服务去关联恶意样本实现启动。

注册表的[HKEY_LOCAL_MACHINE]和[HKEY_CURRENT_USER]键的区别：
前者对所有用户有效，后者只对当前用户有效。

32位和64位的在注册表中的区别会多了一个Wow6432Node.

三、自动批处理文件

autoexec.bat（位于系统盘根目录）这个自动批处理文件，它会在电脑启动时自动运行，早期许多病毒利用它，使用deltree、format等危险命令来破坏硬盘数据。如“C盘杀手”就是用一句“deltree /y c:\*.*”命令，让电脑一启动就自动删除C盘所有文件。在Windows 98中，Winstart.bat文件，winstart.bat位于Windows文件夹，也会在启动时自动执行。
在Windows Me/2000/XP中，上述两个批处理文件默认都不会被执行

四、常用的启动——系统配置文件

在Windows的配置文件（包括Win.ini、System.ini和wininit.ini文件）也会加载一些自动运行的程序。

1.Win.ini文件

打开Win.ini文件，在[windows]段下的“Run=”和“LOAD=”语句后面就可以直接加可执行程序，只要程序名称及路径写在“＝”后面即可。“load=”后面的程序在自启动后最小化运行，而“run=”后程序则会正常运行。

2.System.ini文件

打开System.ini文件，找到[boot]段下“shell=”语句，该语句默认为“shell= Explorer.exe”，启动的时候运行Windows外壳程序explorer.exe。如将该句变成“shell=Explorer.exe 恶意程序名”。

3.wininit.ini

wininit.ini文件是很容易被许多电脑用户忽视的系统配置文件，因为该文件在Windows启动时自动执后会被自动删除，这就是说该文件中的命令只会自动执行一次。该配置文件主要由软件的安装程序生成，对那些在Windows图形界面启动后就不能进行删除、更新和重命名的文件进行操作。

五、组策略编辑器启动——开/关机/登录/注销脚本

在Windows 2000/XP中，单击“开始→运行”，输入gpedit.msc回车可以打开“组策略编辑器”，在左侧窗格展开“本地计算机策略→用户配置→管理模板→ 系统→登录”，然后在右窗格中双击“在用户登录时运行这些程序”，单击“显示”按钮，在“登录时运行的项目”下就显示了自启动的程序。

六、定时启动——任务计划

在默认情况下，“任务计划”程序随Windows一起启动并在后台运行。如果把某个程序添加到计划任务文件夹，并将计划任务设置为“系统启动时”或“登录时”，这样也可以实现程序自启动。通过“计划任务”加载的程序一般会在任务栏系统托盘区里有它们的图标。大家也可以双击“控制面板”中的“计划任务”图标查看其中的项目。

“任务计划”也是一个特殊的系统文件夹，单击“开始→程序→附件→系统工具→任务计划”即可打开该文件夹，从而方便进行查看和管理。

七、白加黑——服务进程加载被替换过的恶意dll模块

利用系统本身自启服务进程，通过替换其服务所加载的dll,实现自启动。

八、dll劫持

因为WIndows上的Dll加载有一个默认的加载顺序，就是先在主程序当前目录下查找dll,如果没有就在系统路径下找，如果还没有，就去环境变量路径里找，就因为这个我们可以优先级高的位置放入我们准备好的恶意dll,这个就可以优先加载恶意dll,实现启动。

九、Bootkit

1.通过感染MBR(磁盘主引记录）

实现绕过内核检查和隐藏启动。

2.修改固件系统

通过修改固件系统实现自启动。例如方程式（EQUATION）组织的攻击组件，通过修改硬盘固件，不依靠文件载体，而是完整的存在于注册表中，依靠bootkit在操作系统启动时执行，这一机制穿透了安全产品以文件为检测对象的机制，也穿透了相关基于白名单和可信计算的解决方案。