網路安全隱性殺手：三類危險的TXT檔案

技術小甜發表於2017-11-15
假如您收到的郵件附件中有一個看起來是這樣的檔案：QQ 放送.txt，您是不是認為它肯定是純文字檔案？我要告訴您，不一定！它的實際檔名可以是QQ 放送.txt{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}在登錄檔裡是HTML檔案關聯的意思。但是存成檔名的時候它並不會顯現出來，您看到的就是個.txt檔案，這個檔案實際上等同於QQ 放送.txt.html.那麼直接開啟這個檔案為什麼有危險呢？請看如果這個檔案的內容如下：
    您可能以為它會呼叫記事本來執行，可是如果您雙擊它，結果它卻呼叫了HTML來執行，並且自動在後臺開始格式化D盤，同時顯示“Windows正在配置系統。Plase不打斷這個過程。”這樣一個對話方塊來欺騙您。您看隨意開啟附件中的.txt的危險夠大了吧？
    欺騙實現原理：當您雙擊這個偽裝起來的。txt時候，由於真正副檔名是.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}，也就是.html檔案，於是就會以html檔案的形式執行，這是它能執行起來的先決條件。
    檔案內容中的第2和第 3行是它能夠產生破壞作用的關鍵所在。其中第3行是破壞行動的執行者，在其中可以載入帶有破壞性質的命令。那麼第 2行又是幹什麼的呢？您可能已經注意到了第 2行裡的“Ws cript”，對！就是它導演了全幕，它是幕後主謀！
    Ws cript全稱Windows s cripting主人，它是Win98中新加進的功能，是一種批次語言/自動執行工具——它所對應的程式“Ws cript.exe”是一個指令碼語言直譯器，位於c：WINDOWS下，正是它使得指令碼可以被執行，就象執行批處理一樣。在Windowss cripting主人指令碼環境裡，預定義了一些物件，通過它自帶的幾個內建物件，可以實現獲取環境變數、建立快捷方式、載入程式、讀寫登錄檔等功能。
    識別及防範方法：
    ①這種帶有欺騙性質的.txt檔案顯示出來的並不是文字檔案的圖示，它顯示的是未定義檔案型別的標誌，這是區分它與正常TXT檔案的最好方法。
    ②識別的另一個辦法是在“按網頁方式”檢視時在“我的電腦”左面會顯示出其檔名全稱（如圖 1），此時可以看到它不是真正的TXT檔案。問題是很多初學者經驗不夠，老手也可能因為沒留意而開啟它，在這裡再次提醒您，注意您收到的郵件中附件的檔名，不僅要看顯示出來的副檔名，還要注意其實際顯示的圖示是什麼。
    ③對於附件中別人發來的看起來是TXT的檔案，可以將它下載後用滑鼠右鍵選擇“用記事本開啟”，這樣看會很安全。
    二。 惡意碎片檔案
    另一類可怕的TXT檔案是一種在Windows中被稱作“碎片物件”（副檔名為“噓”）的檔案，它一般被偽裝成文字檔案通過電子郵件附件來傳播，比方說，這個樣子：QQ號碼放送。txt.shs，由於真正地字尾名“噓”不會顯示出來，如果在該檔案中含有諸如“形式”之類的命令將非常可怕！不僅如此，以下四點原因也是其有一定危害性的原因：
    ①碎片物件檔案的預設圖示是一個和記事本檔案圖示相類似的圖示，很容易會被誤認為是一些文字的文件，使用者對它的警惕心理準備不足。
    ②在Windows的預設狀態下，“碎片物件”檔案的副檔名（“.噓”）是隱藏的，即使你在“資源管理器”→“工具”→“資料夾選項”→“檢視”中，把“隱藏已知檔案型別的副檔名”前面的“√”去掉，“.噓”也還是隱藏的，這是因為Windows支援雙重副檔名，如“QQ號碼放送.txt.shs”顯示出來的名稱永遠是“QQ號碼放送.txt”。
    ③即使有疑心，你用任何防毒軟體都不會找到這個檔案的一點問題，因為這個檔案本身就沒有病毒，也不是可執行的，而且還是系統檔案。你會懷疑這樣的檔案嗎？
    ④這種噓附件病毒製造起來非常容易，5分鐘就可以學會，也不需要程式設計知識（格式化C盤的命令：“形式c：”大家都知道吧^ _ ^）。
    1、 具體例項
    那麼，碎片物件到底對使用者的計算機會造成什麼威脅呢？我們一起來作個測試就明白了。以下測試環境是在Windows 2000伺服器中文版上進行的。我們先在硬碟上建立一個測試用的檔案test.txt（我建立的位置是D： est.txt），然後我們來製作一個能刪除這個測試檔案的碎片物件檔案。
    ①先執行一個物件包裝程式（packager.exe），我的Win2000服務者安裝在/winnt/system32下。
    ②新建一個檔案後，開啟選單“檔案”→“匯入”，這時會彈出一個檔案對話方塊，讓你選擇一個檔案。不用考慮，隨便選擇一個檔案就可以了。
    ③然後開啟“編輯”→“命令列”，在彈出的命令列輸入對話方塊中輸入“cmd.exe /c del d： est.txt”，點“確定”。
    ④然後，在選單中選擇“編輯”→“複製資料包”。
    ⑤接著，隨便在硬碟上找個地方，我就直接在桌面上了。在桌面上點選滑鼠右鍵，在彈出選單中選擇“貼上”，這時我們可以看到在桌面建立了一個碎片物件檔案。
    現在我們可以雙擊一下這個檔案，CMD視窗一閃而過後，再到D盤看看，測試檔案D： est.txt已經被刪除了！現在你該知道了，當時在物件包裝中輸入地命令被執行了。好危險啊，如果這條命令是要刪除系統中的一個重要檔案，或者是格式化命令形式之類的危險命令，那該有多麼的可怕！
    下面讓我們一起來看看這個“隱身殺手”的真正面目吧！
    2、 技術原理
    依照微軟的解釋，噓檔案是一類特殊的物件連結與嵌入（物件連結與嵌入，物件連線和嵌入）物件，可以由詞文件或優秀電子表格建立。通過選擇文件中文字或影像的一塊區域，然後拖放該區域到桌面上的某處，就可以建立一個Windows碎片物件，或稱為噓檔案（此檔案是不可讀檔案）。但是你可以用任何其它你想要的檔名重新命名噓檔案，或者拖放噓物件到另一個文件（同樣地，你可以剪下和貼上）。
    也就是說，我們所輸入的命令作為物件連結與嵌入物件嵌入到物件包裝程式新建的檔案中了， 而微軟為了能方便的將嵌入到檔案的物件進行復制，使用了一種技術殼廢料賓語（簡稱噓），就是說，當你在不同檔案間複製物件時，Windows是將物件包裝成一個碎片物件來進行復制的。因此，一旦我們不是在檔案間進行復制貼上，而是直接將碎片物件貼上到硬碟上，就會產生一個。噓檔案。這個碎片物件檔案儲存了原來物件的所具備的功能，原來物件包含的命令同樣會被解析執行，這正是其可怕這處！
    3、防範方法
    （1）“野蠻”法
    噓檔案既然不是可執行檔案，當然需要其他的程式來解析執行了，我們去掉解析執行的關聯就可以簡單防止這種檔案中潛伏的威脅了。 執行登錄檔編輯器regedit.exe，在HKEY_CLASSES_ROOT.shs主鍵下，將預設值ShellScrap刪除，現在雙擊。噓檔案，看，不會執行了吧？彈出了一個對話方塊，讓我們選擇開啟。噓檔案需要的程式，此時你選擇“記事本”程式看就非常安全了。 更徹底一點的辦法是將HKEY_CLASSES_ROOTShellScrapshellopencommand下的開啟。噓檔案的關聯完全去掉，現在雙擊。噓檔案，連選擇執行程式的對話方塊也不出現了，它會直接要求在控制皮膚重建檔案關聯。
    （2）“文明”法
    ①在登錄檔編輯器HEY_CLASSES_ROOTShellScrap鍵下，有一個鍵值“NeverShowExt”，它是導致“。噓”副檔名無法顯示的罪魁禍首。刪除這個鍵值，你就可以看到“。噓”副檔名了。
    ②更換“碎片物件”檔案的預設圖示。由於碎片物件檔案的預設圖示與文字檔案圖示非常相似，容易麻痺人，所以我們要更換它的圖示。開啟資源管理器，選中“檢視”選單下的“資料夾選框”，在彈出的對話方塊中選擇“檔案型別”標籤，在“已註冊的檔案型別”下找到“碎片物件”。單擊右上角“編輯”按鈕，在開啟的“編輯檔案型別” 對話方塊中單擊上邊的“更改圖示”按鈕。開啟C：WINDOWSSYSTEMPifmgr.dll，從出現的圖示中選一個作為“。噓”檔案的新圖示即可。
    （3）更多防治手段
    ①如果是病毒檔案隱藏了其真實副檔名“噓”，而你在反病毒軟體中設定成掃描指定程式檔案、而不是掃描所有檔案（如只掃描可執行檔案），那麼反病毒軟體是無法發現病毒的，所以請在反病毒軟體的指定程式檔案中加入“。噓”檔案的掃描。各種防病毒軟體的設定大同小異，比較簡單，請大家自己進行設定。
    ②禁止“碎片物件”檔案及“指向文件的快捷方式”檔案。
    三。改頭換面的視野郵件附件
    除了上面所說的兩類危險的“TXT”檔案，還存在另一種危險的“TXT”檔案——改頭換面的視野郵件附件！即一個看起來是TXT的檔案其實是個EXE檔案！下面我以OutLook2000簡體中文版為例進行詳細說明。
    1. 開啟OutLook2000，新建一個郵件，選擇選單欄中的“格式”→“帶格式文字”，在郵件正文點選一下滑鼠左鍵，選擇選單“插入”→“物件”，點選“由檔案建立”→“瀏覽”，選擇Windows目錄下的notepad.exe，點選“確定”，在新郵件的主體部分出現notepad.exe及其圖示。
    2. 在剛出現的notepad.exe及其圖示上點選滑鼠右鍵，選擇“編輯包”，開啟物件包裝程式，選擇“插入圖示”按鈕，選擇“瀏覽”，選擇WINDOWSSYSTEMSHELL32.DLL，在當前圖示框中選擇一個你想要的圖示，比方說選擇一個文字檔案的圖示，然後按“確定”。然後選擇選單“編輯”→“卷標”，任意定義一個名字，比方說hello.txt，點選“確定”。
    3. 退出物件包裝程式，在提示是否更新時選擇“是”。
    4. 好，現在出現在面前的是hello.txt，一般人會認為它是一個地地道道的文字檔案附件，相信沒有人懷疑它是別的東西。請你雙擊這個圖表，看看會發生什麼？是不是發現它開啟的是notepad.exe！如果它是一個病毒檔案，結果可想而知！
    事實上，當你用OutLook2000收到這樣一個郵件時，它會顯示這是一個帶附件的郵件，當你以為它是一個文字檔案附件雙擊開啟時，視野會提示：部分物件攜帶病毒，可能對你的計算機造成危害，因此，請確保該物件來源可*.是否相信該嵌入物件？安全觀念強的人一般會選擇“不”（這就對了），一般的人可能會選擇是（你慘了！）。
    識別方法：不要怕，儘管它的迷惑性極大，但是仍然會露出一些馬腳：
    1. 它其實是一個物件連結與嵌入物件，並不是附件，選擇它時，選擇框會不同於選擇附件的選擇框。點滑鼠右鍵出現的選單不同。
    2. 雙擊開啟它時，安全提示與附件的安全提示不同，這點非常重要。這時，應該選擇“不”，然後點選滑鼠右鍵，選擇“編輯包”，提示是否信任該物件時選擇“是”，在物件包裝程式的右邊內容框中，將現出原形。在本例中，會顯示“NOTEPAD.EXE的備份”，檔案是否可執行，關鍵在這裡。
    3. 因為它不是附件，在選擇“檔案”→“儲存附件”時並無對話方塊出現。

    4. 由於並不是所有的郵件收發軟體都支援物件嵌入，所以這類郵件的格式不一定被某些軟體識別，如OutLook Express.但是視野的使用面很廣，尤其是在比較大的、有自己郵件伺服器的公司，所以還是有必要提醒大家小心嵌入物件，不光是視野，其實詞、優秀等支援嵌入物件的軟體可以讓嵌入物件改頭換面以迷惑人。

















本文轉自starger51CTO部落格，原文連結：http://blog.51cto.com/starger/17175 ，如需轉載請自行聯絡原作者



相關文章