针对现在的木马替换系统文件所想到的：：：：： bbs.ikaka.com

Radios - 2008-12-6 20:28:00

1.被木马替换的系统文件名如何和正常的系统文件名相同，那么是否可以通过2者的MD5值不同来判断它就是木马文件
2.系统的操作系统，比如XP有很多版本，专业版，家庭版等，还有针对不同的客户群指定的版本，比如上海大客户版、北京版、上海版等等，这些不同版本中的系统正常文件之间的MD5值、大小是否都是一样的？:default7:
3.看到网友针对目前的木马群发现趋势来看，说明年必将称为趋势，是否可以把微软2K、XP、2K3、VISITA等常用系统的“system32”、“dllcache”、“常用的系统文件”这些系统原始文件的正常文件的文件名、正常所在的路径、是否有签名、MD5值、文件大小等详细的罗列出来，以便和毒文件进行对比来发现是否被替换！！！

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727)

aaccbbdd - 2008-12-6 20:29:00

1.可以
2.不一样
3.http://bbs.ikaka.com/showtopic-8417665.aspx
2楼

Radios - 2008-12-6 20:35:00

引用:

原帖由 aaccbbdd 于 2008-12-6 20:29:00 发表
1.可以
2.不一样
3.http://bbs.ikaka.com/showtopic-8417665.aspx
2楼

那贴贴的几个系统文件远远不够

Radios - 2008-12-6 20:37:00

现在有什么工具来检测WINDOWS系统的系统文件是否被替换？

aaccbbdd - 2008-12-6 20:38:00

发现替换新的了再加么

剑盟也是这个原则的:default6:

Radios - 2008-12-6 20:46:00

引用:

原帖由 aaccbbdd 于 2008-12-6 20:38:00 发表
发现替换新的了再加么

剑盟也是这个原则的:default6:

我晕，他们手里肯定有一套原始系统文件对比表，否则怎么判断是否被替换，来工具都没有，难道问微软MD5值是否是这样？可笑 :default11:

aaccbbdd - 2008-12-6 20:48:00

一般通过SRENG
是可以发现被替换、感染的系统文件

而且
MD5已经不代表唯一了！

backway - 2008-12-6 20:53:00

最可靠的是用系统sfc命令检测系统文件是否被篡改或感染。。。

undergraduated - 2008-12-6 22:24:00

问一个很菜的问题：什么是“系统sfc命令”？

backway - 2008-12-6 22:41:00

百度之。

zg1_2004 - 2008-12-6 23:06:00

该用户帖子内容已被屏蔽

undergraduated - 2008-12-6 23:21:00

呵呵，谢谢！又学到一点东西了

天月来了 - 2008-12-7 8:00:00

不现实

只有靠个人自己去学会备份自己的系统，以及使用正版系统，保留正版光盘

别的没办法

将整个Windows系统文件全部提供下载，这绝对不现实

因为制毒者的是可以随时根据安全论坛提供的系统文件而选择其没有的文件进行替换的。

所以最后得全部系统文件都提供下载

那得几百兆的文件量

所以不要空想这个了

除非微软官方提供这样的下载

其他论坛提供是不可能的了。

所以这贴锁了

瑞星卡卡安全论坛