最易被黑客盯上的注册表位置

　　对于Widnows 9X系统，常见的是病毒修改可能会更改autoexec.bat，只要在其中加入执行病毒程序文件的语句即可在系统启动时自动激活病毒。*更改drive:\windows\win.ini或者system.ini文件。病毒通常会在win.ini的“run=”后面加入病毒自身的文件名，或者在system.ini文件中将“shell=”更改。......

　　系统设置文件

　　对于Widnows 9X系统，常见的是病毒修改可能会更改autoexec.bat，只要在其中加入执行病毒程序文件的语句即可在系统启动时自动激活病毒。*更改drive:\windows\win.ini或者system.ini文件。病毒通常会在win.ini的“run=”后面加入病毒自身的文件名，或者在system.ini文件中将“shell=”更改。

　　注册表键值

　　目前，只要新出的蠕虫/特洛伊类病毒一般都有修改系统注册表的动作。它们修改的位置一般有以下几个地方:

　　在系统启动时自动执行的程序

HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\

　　在系统启动时自动执行的系统服务程序

　　HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\

　　在系统启动时自动执行的程序，这是病毒最有可能修改/添加的地方

　　HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ HKEY_CLASSES_ROOT\exefile\shell\open\command

　　说明:此键值能使病毒在用户运行任何EXE程序时被运行，以此类推，..\txtfile\.. 或者 ..\comfile\.. 也可被更改，以便实现病毒自动运行的功能。

　　另外，有些健值还可能被利用来实现比较特别的功能:

　　有些病毒会通过修改下面的键值来阻止用户查看和修改注册表:

　　HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools =

　　为了阻止用户利用.REG文件修改注册表键值，以下键值也会被修改来显示一个内存访问错误窗口

　　例如:Win32.Swen.B 病毒 会将缺省健值修改为:

　　HKCR\regfile\shell\open\command\(Default) = "cxsgrhcl.exe showerror"

　　通过对以上地方的修改，病毒程序主要达到的目的是在系统启动或者程序运行过程中能够自动被执行，已达到自动激活的目的。

本文出自 “Wyulnnhtg's Blog” 博客，转载请与作者联系！