利用Windows系统建立超长目录然后在其中隐藏木马就是手段之一。
请大家和我一起做一个实验。打开“资源管理器”,在任意一个磁盘(假设是E盘)下建立一个目录,假设为good,然后进入此目录,在它的下面再建立一个子目录,假设为123,然后在123子目录下再建立一个子目录test,现在test这个目录的绝对路径就是:E:\good\123\test。接下来把你要隐藏的目录和文件都拷贝test子目录下。然后点击“向上”按钮,来到123子目录,对着它点击鼠标右键,在弹出菜单中选择“重命名”,把这个123子目录改名为1111……1111,这个“1111……1111”字串能写多长就写多长(一直按着数字键1不松手,直到没有反应为止),接下来,再点击“向上”按钮,来到最外层的good目录,用同样的办法把它也重命名,假设改名为goodluck123,现在test子目录的绝对路径就是E:\goodluck123\1111……1111\test。试试看,看你能否进入test子目录,呵呵,会出现一个提示:无法访问此文件夹,路径太长(图5)。既然在视窗界面下无法看到里面的内容,那么到DOS下试试看能否进入此文件夹,还是不行!这样隐藏在里面的目录和文件就被巧妙的隐藏起来了!谁能想到里面会有个test子目录呢?谁能想到test子目录下还有文件和文件夹呢?木马文件就这样堂而皇之的隐藏起来了!
这只是利用了Windows系统的一个小Bug,这个Bug就是Windows目录的绝对路径是不能超过254个字符的,如果你建立的目录的绝对路径超过254个字符的话,系统是绝对看不到的。反过来讲,系统也不允许你直接建立一个超过绝对路径长度超过254个字符的目录,而我们前面所做的就是迂回建立了一个目录,其绝对路径超过了254个字符,所以别人就无法访问其里面包含的子目录和文件了,这样变相地把目录和文件隐藏了起来!更妙的是整个目录根本无法直接删除,不信试试看,会弹出一个窗口,提示我们:无法删除*.*:找不到文件,请确定指定的文件名是否正确。换到DOS下试试也无法删除该目录,再试试工具软件Windows Commander等同样无法删除该目录!哈哈,没想到还多了一层保护哦。当然,如果你真的想删除该目录的话,我们也有办法,继续往下看就知道怎么办了。
让我们再用其他软件来检验一下利用这种方法隐藏木马的效果如何。大家知道,一般的隐藏文件或目录的方法,如特殊空格法、给文件夹设定空白图标法、修改注册表隐藏目录法等,都会在文件管理软件Windows Commander、看图软件ACDSee或压缩软件WinZIP或WinRAR中显露原形!而用本方法隐藏的目录不会被显示在上述软件中,它们只能看到受保护文件夹的上一层目录,而无法看到里面隐藏的内容!以ACDSee为例,打开ACDSee,可以看到它的界面与资源管理器很相似。左上窗口有Windows树型目录结构,右边主窗口能显示文件夹中的文件,包括具有“隐藏”属性的文件。找到我们隐藏目录和文件的那个E盘,看,根本无法看到goodluck123文件夹里面的test目录(图6)!同理,使用杀毒软件也无法扫描该文件夹的内容,而且在资源管理器中是无法删除该目录的,所以说这种方法对木马来说是一种非常好的保护方法!
为了更好的隐藏木马文件,对方还会在此方法的基础上略微变通一下,这样隐藏效果就会更好!首先,对方会进入C:\recycled(即回收站)目录下,用文中刚开始提到的方法建立超长目录,并把要隐藏的木马文件移动到其中,选定这些文件后按右键在弹出菜单中选择“属性”,将其属性设置为“隐藏”,这样在Windows就看不到这些文件了,并且清空回收站也依然还存在!是不是非得利用回收站才可以呢?当然不是!只要是特殊文件夹就可以起到和回收站同样的功效,如c:\windows\fonts等,所以你也可以把秘密文件和目录放到系统字体目录下。
还有一种方法,这不是我原创的,就是利用windows目录长度不能超过256字节的特性,可以利用subst命令将
一长度达到256字节的目录映射为虚拟盘:"subst b: testtesttesttesttesttesttes…………………………"。
然后在虚拟出来的b:中建立一个长文件名目录"testtesttesttestte…………",然后将一可执行文件copy到该
路径下,去掉虚拟盘符映射:"subst b: /d",这样用资源管理器是无法进入该目录的,杀毒软件也无法扫描
该路径下的文件,而且在资源管理器中是无法删除该目录的,但可以使用8.3文件格式来运行该可执行文件:
"c:\testte~1\testte~1\test.exe",从而达到隐藏的目的。
请大家和我一起做一个实验。打开“资源管理器”,在任意一个磁盘(假设是E盘)下建立一个目录,假设为good,然后进入此目录,在它的下面再建立一个子目录,假设为123,然后在123子目录下再建立一个子目录test,现在test这个目录的绝对路径就是:E:\good\123\test。接下来把你要隐藏的目录和文件都拷贝test子目录下。然后点击“向上”按钮,来到123子目录,对着它点击鼠标右键,在弹出菜单中选择“重命名”,把这个123子目录改名为1111……1111,这个“1111……1111”字串能写多长就写多长(一直按着数字键1不松手,直到没有反应为止),接下来,再点击“向上”按钮,来到最外层的good目录,用同样的办法把它也重命名,假设改名为goodluck123,现在test子目录的绝对路径就是E:\goodluck123\1111……1111\test。试试看,看你能否进入test子目录,呵呵,会出现一个提示:无法访问此文件夹,路径太长(图5)。既然在视窗界面下无法看到里面的内容,那么到DOS下试试看能否进入此文件夹,还是不行!这样隐藏在里面的目录和文件就被巧妙的隐藏起来了!谁能想到里面会有个test子目录呢?谁能想到test子目录下还有文件和文件夹呢?木马文件就这样堂而皇之的隐藏起来了!
这只是利用了Windows系统的一个小Bug,这个Bug就是Windows目录的绝对路径是不能超过254个字符的,如果你建立的目录的绝对路径超过254个字符的话,系统是绝对看不到的。反过来讲,系统也不允许你直接建立一个超过绝对路径长度超过254个字符的目录,而我们前面所做的就是迂回建立了一个目录,其绝对路径超过了254个字符,所以别人就无法访问其里面包含的子目录和文件了,这样变相地把目录和文件隐藏了起来!更妙的是整个目录根本无法直接删除,不信试试看,会弹出一个窗口,提示我们:无法删除*.*:找不到文件,请确定指定的文件名是否正确。换到DOS下试试也无法删除该目录,再试试工具软件Windows Commander等同样无法删除该目录!哈哈,没想到还多了一层保护哦。当然,如果你真的想删除该目录的话,我们也有办法,继续往下看就知道怎么办了。
让我们再用其他软件来检验一下利用这种方法隐藏木马的效果如何。大家知道,一般的隐藏文件或目录的方法,如特殊空格法、给文件夹设定空白图标法、修改注册表隐藏目录法等,都会在文件管理软件Windows Commander、看图软件ACDSee或压缩软件WinZIP或WinRAR中显露原形!而用本方法隐藏的目录不会被显示在上述软件中,它们只能看到受保护文件夹的上一层目录,而无法看到里面隐藏的内容!以ACDSee为例,打开ACDSee,可以看到它的界面与资源管理器很相似。左上窗口有Windows树型目录结构,右边主窗口能显示文件夹中的文件,包括具有“隐藏”属性的文件。找到我们隐藏目录和文件的那个E盘,看,根本无法看到goodluck123文件夹里面的test目录(图6)!同理,使用杀毒软件也无法扫描该文件夹的内容,而且在资源管理器中是无法删除该目录的,所以说这种方法对木马来说是一种非常好的保护方法!
为了更好的隐藏木马文件,对方还会在此方法的基础上略微变通一下,这样隐藏效果就会更好!首先,对方会进入C:\recycled(即回收站)目录下,用文中刚开始提到的方法建立超长目录,并把要隐藏的木马文件移动到其中,选定这些文件后按右键在弹出菜单中选择“属性”,将其属性设置为“隐藏”,这样在Windows就看不到这些文件了,并且清空回收站也依然还存在!是不是非得利用回收站才可以呢?当然不是!只要是特殊文件夹就可以起到和回收站同样的功效,如c:\windows\fonts等,所以你也可以把秘密文件和目录放到系统字体目录下。
还有一种方法,这不是我原创的,就是利用windows目录长度不能超过256字节的特性,可以利用subst命令将
一长度达到256字节的目录映射为虚拟盘:"subst b: testtesttesttesttesttesttes…………………………"。
然后在虚拟出来的b:中建立一个长文件名目录"testtesttesttestte…………",然后将一可执行文件copy到该
路径下,去掉虚拟盘符映射:"subst b: /d",这样用资源管理器是无法进入该目录的,杀毒软件也无法扫描
该路径下的文件,而且在资源管理器中是无法删除该目录的,但可以使用8.3文件格式来运行该可执行文件:
"c:\testte~1\testte~1\test.exe",从而达到隐藏的目的。