以后要多加小心了---图片病毒

yjd · 发表于 2010-10-25 15:29:49

以前我的慨念是长期开着扩展名显示遇到图片格式应无大碍。不会特意去查看。
如果是exe不是常去的地方下载到的我一般会peid扫描下再考虑要不要运行。

刚才看到这彻底颠覆了呵呵。以后万事都要小心了。

原文：http://bbs.pediy.com/showthread.php?t=123162

当你拿到一个rar文件，打开后里面显示的内容是XXrcs.jpg或者XXrcs.png的时候，千万不要双击运行或者解压后运行，否则你将很可能着了某些人的道。。。

下面我将提供一个非病毒的样本，里面内容就只有一句MessageBox。该样本是一个rar文件，打开rar后，你可以看到一个JokeSrcs.png。将它解压出来，资源管理器里面也是JokeSrcs.png，这时候你可不能大意，不要以为看见扩展名是png，就是安全的。实际上这个文件的真实文件名是“Joke?gnp.scr”，你没有看错，文件名里面有一个问号，ascii码是3F的问号，但是由于系统的漏洞或者其他什么原因问号后面的部分将被反向显示，gnp.scr反向那就是rcs.png。scr是屏幕保护程序，它拥有和exe相同的执行权限，如果你不小心双击，那么你就中招了。

要制作这样的病毒文件，其实只要有一个样本那就简单了。文件的真实名称可以在cmd控制台里面看到，并且可以在控制台里面用copy命令进行替换，也就是说你的任何一个exe文件都可以用copy命令覆盖这个样本。

现在奇怪的是为什么问号后面的部分会被反向显示呢？不知道除了微软，是否还能有人可以给出一个答案呢？

测试样本，只是一个消息框不是病毒可以放心运行：

JokeSrcs.rar (4.82 KB, 下载次数: 44)

部分回复:

这个是windows资源管理器的一个UNICODE倒叙显示问题，我第一次见这个都是一年多以前了，花样很多的

tubaozi · 发表于 2010-10-25 15:47:51

原帖由 yjd 于 2010-10-25 15:29 发表
以前我的慨念是长期开着扩展名显示遇到图片格式应无大碍。不会特意去查看。
如果是exe不是常去的地方下载到的我一般会peid扫描下再考虑要不要运行。

刚才看到这彻底颠覆了呵呵。以后万事都要小心了。

...

是啊，要到dos下才能看见其真实的文件名。要多加小心了。

佳佳 · 发表于 2010-10-25 16:34:32

下载看看............

[ 本帖最后由佳佳于 2010-10-25 16:40 编辑 ]

shy999 · 发表于 2010-10-25 17:04:15

确实挺吓人的，以后要小心了。

haiou327 · 发表于 2010-10-25 17:11:56

试试这个！无病毒的

[ 本帖最后由 haiou327 于 2010-10-25 23:09 编辑 ]

yjd · 发表于 2010-10-25 17:38:56

原帖由佳佳于 2010-10-25 16:34 发表
下载看看............

102930

你这个没错。说的只是万一。。
像我这种习惯直接右键解压从不开winrar的界面的。然后解压完一看图片格式直接就双击了。
以前知道图片格式无法执行什么恶意代码通常不需要留意，今天看到这个彻底不能这样了呵呵。

具体分析看雪里都有人讨论了。

2010败亦枭雄 · 发表于 2010-10-25 17:42:15

好像显示不一样啊。。SCR不是显示图片的图标。

zxw · 发表于 2010-10-25 17:49:03

长见识了，汗，还以为自己不会中招！

lb30103 · 发表于 2010-10-25 18:29:41

我可是胆小鬼,你们可要保证安全啊..........

佳佳 · 发表于 2010-10-25 20:44:09

原帖由 haiou327 于 2010-10-25 17:11 发表
试试这个！

这个是什么呢?YY写写超版换头像了..............

my9823 · 发表于 2010-10-25 21:31:00

会不会烧了主板啊？:D

佳佳 · 发表于 2010-10-26 02:25:22

原帖由 my9823 于 2010-10-25 21:31 发表
会不会烧了主板啊？:D

先准备个灭火器

xianglang · 发表于 2010-10-26 06:04:33

还是吧，图片捆绑病毒，十几年前就有了。

坏小子 · 发表于 2010-10-26 08:45:59

yid啥时候去学破解啦！？都看雪学院！对那些编程高手羡慕中………………

intellect · 发表于 2010-10-26 09:08:00

是操作不规范，看到文件从来不双击，直接右击，看看能不能预览这个图片。再看看属性

gv282 · 发表于 2010-10-26 09:44:56

多谢提醒，以后要加倍小心了。

yjd · 发表于 2010-10-26 16:10:23

还是吧，图片捆绑病毒，十几年前就有了。

这个应该不同吧。。
以前也玩过
以前无非就是图标伪装成图片扩展名还是要exe或其他不然要扩展名是图片格式是无法执行的。
捆绑器，winrar自解压伪装等等。
但是现在这个算是explorer漏洞了，
很久不了解这些了我算是知道比较晚了-_-!!

lb30103 · 发表于 2010-10-26 16:33:49

盘上到处都是系统,也不知那天会被一锅端了

jie_china · 发表于 2010-10-26 23:08:44

特殊控制字符吧

最近看到有人着这个就可以制作特殊的QQ昵称

Hcrty · 发表于 2010-10-26 23:23:01

呵呵...病毒进化了...

xianglang · 发表于 2010-10-27 00:08:21

原帖由 yjd 于 2010-10-26 16:10 发表

这个应该不同吧。。
以前也玩过
以前无非就是图标伪装成图片扩展名还是要exe或其他不然要扩展名是图片格式是无法执行的。
捆绑器，winrar自解压伪装等等。
但是现在这个算是explorer漏洞了，
很久不了解 ...

错，是用病毒和图片文件捆绑在一起，图标和扩展名都是图片的，图片可以正常显示，病毒也照样可以感染。

yjd · 发表于 2010-10-27 13:21:51

错，是用病毒和图片文件捆绑在一起，图标和扩展名都是图片的，图片可以正常显示，病毒也照样可以感染。

哪里找个样本，我放虚拟机试试-_-!!。

纯纯 · 发表于 2010-10-27 19:41:13

好恐怖啊，高手是越来越多了

xianglang · 发表于 2010-10-27 22:05:15

不用找样本啊，有捆绑软件的，你自己也可以捆绑。

2010iris · 发表于 2010-10-27 23:22:24

.scr 是超级文件名，好似仲有 .shs 等几个，默认永不显示

yjd · 发表于 2010-10-28 11:20:50

不用找样本啊，有捆绑软件的，你自己也可以捆绑。

好的谢谢！有空测试下。

spadek · 发表于 2010-10-28 13:14:36

这个学习了哈。 ··········

2010kaka · 发表于 2010-10-28 13:30:54

俺可得注意点了
有一次朋友就和我开过玩笑的

		自动登录	找回密码
密码			注册