巧用WinRAR捆绑木马技巧与防范(2)
Path=c:Windows Setup=regedit /s change.reg Silent=1 Overwrite=1
完成后按“确定”按扭，就会建立出一个名为del.exe的Winrar自解压程序，双击运行这个文件，将不会有导入注册表时的提示信息（这就是给regedit加上“/s”参数的原因）就修改了注册表键值，并把change.reg拷贝到C:Windows文件夹下。此时你的注册表已经被修改了！不仅如此，攻击者还可以把这个自解压文件del.exe和木马服务端程序或硬盘炸弹等用WinRAR捆绑在一起，然后制作成自解压文件，那样对大家的威胁将更大！因为它不仅能破坏注册表，还会破坏大家的硬盘数据，想想看是不是很可怕？ 从上面的实例中不难看出，WinRAR的自解压功能真的是太强大了，它能使得不会编程的人也能在短时间内制作出非常狠毒的恶意程序。而且对于含有木马或恶意程序的自解压文件，目前许多流行的杀毒软件和木马查杀软件竟无法查出其中有问题存在！不信的话，大家可以做个试验，就知道结果了。 那么该怎样识别用WinRAR捆绑过的木马呢？只要能发现自释放文件里面隐藏有多个文件，特别是多个可执行文件，就可以判定其中含有木马！那么怎样才能知道自释放文件中含有几个文件，是哪些文件呢？一个简单的识别的方法是：用鼠标右击WinRAR自释放文件，在弹出菜单中选择“属性”，在“属性”对话框中你会发现较之普通的EXE文件多出两个标签，分别是：“档案文件”和“注释”，单击“注释”标签，看其中的注释内容，你就会发现里面含有哪些文件了，这样就可以做到心中有数，这是识别用WinRAR捆绑木马文件的最好方法。
最后再告诉大家一个防范方法，遇到自解压程序不要直接运行，而是选择右键菜单中的“用WinRAR打开”，这样你就会发现该文件中到底有什么了。
