无忧启动论坛

标题: UltraISO的一处妙用 [打印本页]

作者: 俊采星驰 时间: 2016-6-30 09:05
标题: UltraISO的一处妙用
本帖最后由俊采星驰于 2016-6-30 09:14 编辑

由于电脑以前感染病毒，把我辛苦整理的绿软都破坏了，所以从此把绿软及所需的东东都保存在ISZ文件（这个文件格式病毒一般不感兴趣，能加密码）中了。渐渐地，此文件（暂且叫tools.isz）随着软件的更新，最后超过了4G。

大家知道，FAT文件系统下是不允许拷贝超过4G的文件的。最近使用UltraISO打开tools.isz，另存到U盘（此盘就是P大0PE一拖一格制作，更新下工具，剩余分区格成FAT32，放了个EFI启动的8PEx64），戏肉来了：这个大于4G的tools.isz可以顺利分段保存到FAT分区上！

因此，可以将PETOOLS目录、GHO文件及安装系统需要的绿软都扔到ISO文件中，另存到U盘中。PE启动后，右键加载ISO文件，然后PETOOLS搜索，或者CGI还原；而ISO文件中的绿软也无惧病毒，实在是很爽啊！

作者: wwwsdzsgov 时间: 2016-6-30 09:15
有没有测试挂在到虚拟光驱后里面文件是否都能用？

作者: q8155128 时间: 2016-6-30 09:17
将PETOOLS目录、GHO文件及安装系统需要的绿软都扔到ISO文件中

使用上,调用上等都非常方便

俺用了快几十年啦

大家也用吧

作者: 俊采星驰 时间: 2016-6-30 09:23

wwwsdzsgov 发表于 2016-6-30 09:15
有没有测试挂在到虚拟光驱后里面文件是否都能用？

没有问题

作者: 俊采星驰 时间: 2016-6-30 09:29

q8155128 发表于 2016-6-30 09:17
将PETOOLS目录、GHO文件及安装系统需要的绿软都扔到ISO文件中

使用上,调用上等都非常方便

呵呵，以前吧就是把PETOOLS、绿软、系统安装盘分别整个ISO文件。后来吧有三分区法后扔NTFS数据区了。就忘记ultraiso有个分段压缩了。

作者: q8155128 时间: 2016-6-30 11:13

俊采星驰发表于 2016-6-30 09:29
呵呵，以前吧就是把PETOOLS、绿软、系统安装盘分别整个ISO文件。后来吧有三分区法后扔NTFS数据区了。就忘 ...

怎么感觉俺的话像是做广告呢?

作者: friend8179 时间: 2016-6-30 13:01
haod好多年没碰见病毒了

现在只有恶心的流氓

电脑都是随便用用，也没有年轻的基情了

作者: nttwqz 时间: 2016-6-30 14:12
NTFS权限比这更省事儿……

作者: wwwsdzsgov 时间: 2016-6-30 14:45

nttwqz 发表于 2016-6-30 14:12
NTFS权限比这更省事儿……

权限怎么设置？一般病毒都会获取system权限或everyone权限吧

作者: tt911 时间: 2016-6-30 16:20
打成7Z 或 WIM 的更省空间

RAR的差很多

ultraiso 默认不压的也大了很多

作者: nttwqz 时间: 2016-6-30 18:30

wwwsdzsgov 发表于 2016-6-30 14:45
权限怎么设置？一般病毒都会获取system权限或everyone权限吧

一般病毒都会获取system权限？

现在的一般病毒都这么牛逼了？！直接忽略了UAC和杀毒软件获取了system权限？是不是还会自动修改所有者和权限或者绕过权限操作啊？那还真不好治，本想着vhdx或者wim应该也可以，但是吧，估计也能自动挂载vhdx或者有直接读取的能力

作者: nttwqz 时间: 2016-6-30 18:33

wwwsdzsgov 发表于 2016-6-30 14:45
权限怎么设置？一般病毒都会获取system权限或everyone权限吧

一般病毒都会获取system权限？

现在的一般病毒都这么牛逼了？！直接忽略了UAC和杀毒软件获取了system权限？是不是还会自动修改所有者和权限或者绕过权限操作啊？那还真不好治，本想着vhdx或者wim应该也可以，但是吧，估计其也能自动挂载vhdx或者有直接读取的能力……

话说，近年来，电脑上一直装着小A，连真正的病毒都见得少了，一般就报个注册机，绿色软件，汉化软件之类的，像这样的一般病毒，没见过……

作者: h2bx86 时间: 2016-6-30 19:50
这个软件一年多没人更新了，估计是要倒下了。

作者: 俊采星驰 时间: 2016-6-30 23:29

tt911 发表于 2016-6-30 16:20
打成7Z 或 WIM 的更省空间

RAR的差很多

压缩率要靠后考虑，毕竟很多工具已经打包过了。
选择压成is*主要是没有什么病毒、木马对此类文件感兴趣。压缩文件倒是碰到过病毒感染的惨痛经历，杀也杀不净。

wim、vhd之类也可以考虑，只要方便挂载就好。

作者: nttwqz 时间: 2016-7-1 09:54

俊采星驰发表于 2016-6-30 23:29
压缩率要靠后考虑，毕竟很多工具已经打包过了。
选择压成is*主要是没有什么病毒、木马对此类文件感兴趣 ...

我曾经就见过感染压缩文件的病毒，所有压缩文件的确不行，除非加个密码……

作者: zds1210 时间: 2016-7-1 10:30
三分区，数据区都是ntfs或exfat，存放大于4G的文件没有问题。
其实ultraisovi妙处不少。
有朋友U盘坏了，提示未格式化，用系统自带的命令格式化失败。
后来，用空文件U+hdd写入U盘，结果u盘就可以正常使用了。

作者: yjd 时间: 2016-7-1 11:30
我直接用udm
可见分区直接丢畸形目录。一般病毒也不感兴趣。名称随意。

作者: nttwqz 时间: 2016-7-1 11:45

yjd 发表于 2016-7-1 11:30
我直接用udm
可见分区直接丢畸形目录。一般病毒也不感兴趣。名称随意。

他说的一般病毒估计和你说的一般是不一样的……

作者: yjd 时间: 2016-7-1 12:40

nttwqz 发表于 2016-7-1 11:45
他说的一般病毒估计和你说的一般是不一样的……

都是感染病毒一样拉。
就是怕exe被感染文件破坏了。我才这么弄的。

作者: 527104427 时间: 2016-7-1 13:06
哪有这么复杂？改一下扩展名不就可以了？ .exe-->.exe1

作者: nttwqz 时间: 2016-7-1 13:32

yjd 发表于 2016-7-1 12:40
都是感染病毒一样拉。
就是怕exe被感染文件破坏了。我才这么弄的。

那还是权限比较简单，有空教教你，现在要睡觉了……

作者: q8155128 时间: 2016-7-1 14:07

nttwqz 发表于 2016-7-1 13:32
那还是权限比较简单，有空教教你，现在要睡觉了……

白天睡觉晚上工作??

作者: yjd 时间: 2016-7-1 16:50
本帖最后由 yjd 于 2016-7-1 16:56 编辑

那还是权限比较简单，有空教教你，现在要睡觉了…

我目的就是简单方便，自己定义目录名称。
写过程序的人都知道需要按一定规则。比如全盘搜索并遍历目录及子目录再根据文件类型实施感染。
当然你要我说复杂的。比如病毒像dg那种方式基于磁盘结构读取那我就没什么好说了^_^。
。我U盘fat32分区，你没得设置ntfs权限。

还有厉害的病毒前几年出过一个，是你没见过，驱动级别类xuetr，你设置ntfs对它来说是小意思，分分钟钟能改权限，自建文件系统都有，发个以前的：
费了不少劲帐号登不进邮箱收不到。最后还是google给力凭记忆总算搜到这篇文章。

TDL病毒于2008年首次被发现，作为当时最危险的Rootkit，其第一个版本使用了FSD过滤从而绕过当时的很多Anti-Rootkit软件。
第二代TDL病毒做了很多改善，其中包括更加积极的自我保护机制（比如基于白名单的IofCompleteRequest与IofCallDriver过滤）。
从3.0版本开始TDL的开发团队采用了大量的免杀手法，值得对此感兴趣的朋友学习：
3.24 锁定磁盘中的感染文件
3.25 修复由于微软MS10- 015补丁带来的蓝屏死机问题（由于几个硬编码值的问题，会导致系统蓝屏重启，而且将一直如此 -_-!）
3.26 锁定删除文件
3.27 绕过SPTI-based的专杀检查，也就是TDSSRemover的1.6版
3.27a 绕过了卡巴斯基TDSSKiller的检查
3.27b 添加了完整性检查机制
3.27c 改进了I/O过滤机制，绕过了更多专杀工具的查杀
3.27d 修改了感染策略，绕过了大部分专杀工具的查杀
4.00 2010年8月诞生，支持x64并使用了Bootkit技术

TDL4是一个异常强大的Rootkit，现在国内的很多牛人都在尝试逆向分析这个病毒，下面是关于这个病毒的一些信息……

技术特点：
1、目前地球上第一个已知的与Windows x64兼容的内核级Rootkit  ^_^。
2、使用bootkit技术加载自己，并绕过x64上的驱动签名验证机制。
3、使用dll注入（x86下使用cmd.dll，x64下使用cmd64.dll）。
4、为了保护病毒主体使用 VFS文件系统保存所有相关数据。

文件结构：
cfg.ini - 配置文本文件
cmd.dll - 被注入到x86进程
cmd64.dll - 同上（x64版本）
mbr    - 原主引导记录的副本
ldr16    - Rootkit的loader部分，由被感染的MBR获得控制权限，并进行下一步的Rootkit的加载
ldr32    - Rootkit驱动，负责加载主要的rootkit驱动
ldr64    - 同上（x64版本）
drv32    - 主Rootkit驱动，支持VFS
drv64    - 同上（x64版本）

-------------------------
上面5大说的改扩展名也不可取。这样看写病毒的人是怎么写了。要是只按扩展名判断来感染那算是小小菜写的比较低级了。

总的来说，一切取决于病毒编写者。

作者: tt911 时间: 2016-7-1 20:47
回来通知病毒作者随意扩展名全部不放过。

作者: lanmeizhuangyua 时间: 2016-7-1 22:35
学习了谢谢分享

作者: xzst110 时间: 2020-4-9 08:25
好好学习，谢谢

作者: wu0311 时间: 2020-4-18 10:04
不错，学习了

欢迎光临无忧启动论坛 (http://bbs.wuyou.net/)