一开始先跟大家提到一个在XP时代有名的随身碟病毒KAVO,
当时让随身碟免疫的方法就是在随身碟根目录下建立autorun.inf目录,
然候应该很多人还有印象,再下一层有一个无法读取及删除的目录123.
为什么要提到这个,因为不论是使用者帐号限制也好,档案设唯读权限也好,
都是让绑架软件无法覆写档案的方式来保护,
而在这个123.的资料夹下的档案,有点不一样,
于是就有了这次的实验。
注:要跟着下面实作的人,一点基础需要。
***重要*** 第一步需在XP或XPE的环境下于C或D槽直接建立123.的资料夹
http://i.imgur.com/MjyNtVK.png
C:\>mkdir 123..\
资料夹名称有限制必须6个半型字符以下,
http://i.imgur.com/tccQuLM.png
于是就得到看起来名称为123.的资料夹。
http://i.imgur.com/ks8LlNn.png
无论在XP或WIN7以上环境直接双击左键开启都会有同样的提示,
并且无法直接读取及删除。
http://i.imgur.com/9l3Pfrv.png
http://i.imgur.com/0cOPmb8.png
本篇重点:
再来这个应该就很少人知道了!这个资料夹并非完全无法存取!
它其实如同一般资料夹可读取可覆写,
只是!!!无法使用一般路径来作读写的动作!!!!
前面提到限制6个半型字符就是因为在这边要用短档名的方式去开启,
超过6个半型字符好像就无法正常开启了。
因为方便,这里我使用写入记事本存.bat的方式用于直接双击执行开启,
命令也可以直接输入
C:\>start C:\123~1
便可发现此资料夹被开启了。
题外一下,这指令是在WIN7后才适用的,
在XP下我记得直接在路径栏打上C:\123..就进去了,
升到WIN7时打不开差点崩溃,好久才在不知哪的外国论坛看到这个方法,
一直到现在WIN10依然可用,当时我觉的这真的是超适合拿来装秘密,
内建搜寻不到,everything之类的搜寻软件虽然看的到但不能摸,
不过现在不需要了就是...
实作的教学也就到这了,其实也不是很难,下面就看一些测试吧。
首先在一般资料夹和123.各放入相同及不同的档案资料,
http://i.imgur.com/OafRFu6.png
1.作者良心发现的Crypt0L0cker
http://i.imgur.com/yVlD4A7.png
执行直到跳出讯息,就可以看到差别了,执行途中两个资料夹仍然是开着的。
就可以知道在这个短档名路径下,绑架软件无作用。
http://i.imgur.com/xgtKhdq.png
2.Cerber
http://i.imgur.com/TdR0YFh.png
一样执行直到跳出讯息。
超凶连档名也覆写了,有趣的是会听到播放声音:
attention!
attention!
attention!
your documents photos databases and other important files have been encrypted.
然候重复十遍左右吧....
http://i.imgur.com/8THnX7N.png
3.最后大概会是本月 MVP CryptXXX3.0
试着换到WIN10看看。
http://i.imgur.com/LioJsRl.png
完美加密。除了123.资料夹
http://i.imgur.com/JhOLuFj.png
看最新的应该是.crypz,但我看了几个样本网站好像还没有,
有善心人士抓给我玩我会很开心的。
最后就提醒一下,
保护档案最好的方式还是离线备份,
上面的方法也不保证对以后绑架软件有用,
因为这方法目前看起来似乎还有可用性,
所以就提供给各位了。
大概这样。