反黑风暴-第27部分

快捷操作: 按键盘上方向键 ← 或 → 可快速上下翻页 按键盘上的 Enter 键可回到本书目录页 按键盘上方向键 ↑ 可回到本页顶部! 如果本书没有阅读完，想下次继续接着阅读，可使用上方 "收藏到我的浏览器" 功能 和 "加入书签" 功能！


创建专用文件夹的方法如下：

在Windows中新建一个文件夹，将它重命名为“myrecycled。｛645FF040…5081…101B…9F08…00AA002F954E｝”，此时，该文件夹的图标也变成了回收站的图标。而且该文件夹具有系统中的默认专用文件夹所具有的功能，能够清空文件和查看已经删除的文件等。表11…1中列出了一些常用的专用文件夹的名称及类型。

表11…1常用专用文件夹的名称及类型

文件夹名称文件夹类型

｛2227A280…3AEA…1069…A2DE…08002B30309D｝添加、删除打印机

｛645FF040…5081…101B…9F08…00AA002F954E｝回收站

｛7007ACC7…3202…11D1…AAD2…00805FC1270E｝与其它计算机、互联网连接

｛BDEADF00…C265…11d0…BCED…00A0C90AB50F｝网络文件夹

｛D20EA4E1…3957…11d2…A40B…0C5020524153｝管理工具

｛D4480A50…BA28…11d1…8E75…00AA0060F5BF｝连接到共享文件夹

｛D6277990…4C6A…11CF…8D87…00AA0060F5BF｝计划任务

｛21EC2020…3AEA…1069…A2DD…08002B30309D｝控制面板

11。2。3利用文件属性隐藏文件

Windows系统中自带有一个attrib。exe文件，该文件可以修改文件的可读属性、隐藏属性以及系统属性等，其命令格式为：ATTRIB＇＋R｜…R＇＇＋A｜…A＇＇＋S｜…S＇＇＋H｜…H＇＇＇drive：＇＇path＇filename＇＇/S＇/D＇＇。默认情况下，Windows不会显示具有系统属性和隐藏属性的文件和文件夹。attrib命令的各参数说明如下：

●＋：给目标设置属性。

●…：给目标清除属性。

●R：只读文件属性。

●A：存档文件属性。

●S：系统文件属性。

●H：隐藏文件属性。

●＇drive：＇＇path＇filename＇：指定要处理的文件所在磁盘的路径以及文件名称。

●/S：处理当前文件夹及其子文件夹中的匹配文件。

黑客在入侵计算机时，常常会利用attrib将一些目录或文件设置为隐藏和系统属性，一般情况下，用户和管理员不会察觉，因此可以达到隐藏这些文件的目的。

如何利用attrib将文件设置为系统以及隐藏属性呢？下面介绍其具体的操作方法：

步骤01准备需要隐藏的文件。将要隐藏的文件复制到一个文件夹中，如D：tools，这些文件的默认属性为文档。通过资源管理器可以查看这些文件。

步骤02在命令提示符窗口中查看文件。打开命令提示符窗口，在命令提示符下依次输入命令“cdc：”、“d：”和“cdd：tools”，进入要查看的文件目录中。在其中分别输入命令“dir/a”和“attrib”，查看文件以文件的属性，可以看出，这些文件的属性均为存档属性（A）。

步骤03将D：tools中的所有文件隐藏。在命令提示符下输入命令“attrib＋h*。*”，即可将D：tools中的所有文件设置为隐藏属性。此时，再输入命令“dir”，也看不到该目录下的文件了。

步骤04若要想查看被设置为隐藏属性的文件，在命令提示符下输入命令“dir/a”，即可查看当前目录下隐藏的文件。

由于默认情况下Windows不会显示具有系统属性和隐藏属性的文件和文件夹，所以将文件设置为隐藏属性后，在资源管理器中是看不出这些文件的。若要在资源管理器中查看这些被隐藏的文件，可先打开资源管理器，选择【工具】→【文件夹选项】菜单项，打开【文件夹选项】对话框。

选择【查看】选项卡，在“高级设置”列表框中取消选中“隐藏受保护的操作系统文件（推荐）”复选框，并选中“隐藏文件和文件夹”下的“显示所有的文件和文件夹”选项。单击【确定】按钮，此时，即可在资源管理器中查看系统中的所有文件了。

11。2。4利用Desktop。ini特性隐藏文件

Desktop。ini是文件夹配置信息的文件，其自身并没有危害，但该文件却常常被病毒利用，达到传播病毒的作用。利用Desktop。ini来隐藏文件，可通过两种方法执行：一是把文件夹变成透明的，二是把文件夹伪装成系统文件。利用这两种方法来隐藏文件都是个不错的选择，而且不宜被用户和管理员发现。

1．将文件夹变成透明

通过将文件夹变透明来达到隐藏文件的目的，其实是一个比较有趣的操作，只需要几个简单的操作即可完成。其具体操作步骤如下：

步骤01在桌面上新建一个文件夹，并对其进行重命名操作，按下【Alt＋0160】组合键后，再按下【Enter】键，即可使文件名变成透明的。

步骤02在该文件夹上右键单击，在弹出的快捷菜单中选择【属性】菜单项，即可打开【属性】对话框。切换到【自定义】选项卡并单击【更改图标】按钮。

步骤03在弹出的对话框中的“从以下列表选择一个图标”列表框中选择空白的图标。《｜Ｚei8。Ｃom电子书》

步骤04单击【确定】按钮，即可发现桌面上的文件夹不见了，其实该文件夹此时处于透明状态，仍然存在。此时，按下F5键或是用鼠标在桌面上拉出选框，即可发现隐藏的文件夹。双击该文件夹，即可在打开的窗口中看到一个Desktop。ini文件。

步骤05双击Desktop。ini文件，用记事本打开后，可看到该文件的内容，其中“IconFile”和“IconIndex”分别是指向图标文件及索引的设置。

2．将文件夹伪装成系统文件

利用文件夹配置信息文件Desktop。ini，还可以将文件夹伪装成系统文件，以达到隐藏文件的目的。其具体操作方法：将要隐藏的文件夹重命名“bmp。｛d3e24b21…9d75…101a…8c3d…00aa001a1652｝”，此时，可发现该文件夹的图标变成了图像类型文件。

这样，粗心的用户和管理员就会把它当作真正的系统文件，而不予理睬。但这种隐藏效果只适用于WindowsXP系统，在其它Windows平台中则不适用。

11。2。5通过修改注册表值隐藏文件

通过修改注册表中的键值也可以达到隐藏文件的目的，而且这种方法可以真正的隐藏文件，即使在【文件夹选项】对话框中选中“隐藏受保护的操作系统文件（推荐）”复选框，并选中“显示所有的文件和文件夹”选项，也看不到隐藏的文件。

通过修改注册表值隐藏文件的具体操作步骤如下：

步骤01打开【注册表编辑器】窗口，在左侧列表中展开“HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL”分支。

步骤02在右侧的窗口中双击“CheckedValue”键，在弹出的对话框中将“数值数据”的值更改为“0”。

步骤03单击【确定】按钮，退出注册表编辑器。如果在修改注册表前，在【文件夹选项】对话框中选中“隐藏受保护的操作系统文件（推荐）”复选框，并选择“显示所有文件和文件夹”选项，则可以看到设置为“隐藏”属性的文件。但修改注册表值后，即使选中这两个选项，隐藏的文件也将永远隐藏，无法显示出来。

很多移动存储设备的病毒都是通过修改上面的注册表键值而达到记录隐藏病毒文件的目的，要修复这些文件，必须要将注册表中的“CheckedValue”键值再更改为“1”。

11。2。6Rootkit技术隐藏

Rootkit和其它的恶意软件不同，其主要功能和目的是隐藏，即隐藏其在系统中的各种表现，如进程、文件、注册表项和键值、端口以及服务等。正因为其在隐藏技术上的突出表现，Rootkit与木马等恶意软件有逐渐结合的趋势，随着影响范围不断扩大，对网络信息安全可能带来的危害也逐步增强。本节将利用Rootkit技术中的傻瓜工具AFXRootkit2005，它拥有文件隐藏功能，只要隐藏的文件和AFXRootkit2005工具程序在同一目录中，再执行一个命令即可隐藏文件。下面以隐藏“gvod。exe”文件为例，介绍其具体的操作方法。

步骤01将要隐藏的文件“gvod。exe”和AFXRootkit2005程序“root。exe”放在目录D：YCWJ中。

步骤02打开命令提示符窗口，在其中分别输入命令“cdc：”、“d：”、“cdd：YCWJ”，进入存放这两个文件的目录中。在当前目录下输入命令“root/i”，即可隐藏D盘中WJ文件夹中的文件。

步骤03打开资源管理器，可看到目录D：YCWJ中的文件消失了。用户若要访问隐藏的目录，可在打开的【运行】对话框中输入完整的隐藏目录路径将其打开，即D：YCWJ。AFXRootkit2005能够隐藏任何类型的文件，实际上它是通过隐藏目录来隐藏文件的。而且这一版本的AFXRootkit能隐藏不同分区下的任何目录，但早期版本就办不到。

第三章　利用数据恢复软件窃取数据

FinalData工具是一款可以在回收站清空之后仍可进行数据恢复的软件，利用它可以回收在WindowsNT/2000/XP中被误删的文件、数据等。下面介绍利用FinalData企业版v3。0软件来恢复F盘中误删的压缩包“PS教程”的方法。

步骤01将下载的FinalData工具安装运行后，即可进入其主界面中。

步骤02选择【文件】→【打开】菜单项，即可打开【选择驱动器】对话框，在其中选择磁盘F。

步骤03单击【确定】按钮，弹出【正在扫描根目录】对话框，即可开始扫描选定的磁盘。

步骤04扫描完成后，出现【选择要搜索的簇范围】对话框，在其中可设置要扫描的簇范围，一般保持默认设置。

步骤05单击【确定】按钮，即可弹出【簇扫描】对话框，在其中开始按照设置的簇范围进行扫描。

步骤06扫描完成后，即可出现窗口，显示出刚才扫描的结果。在窗口右侧找到要恢复的文件压缩包“PS教程”，并右键单击，在弹出的快捷菜单中选择【恢复】菜单项。

步骤07此时，即可弹出【选择要保存的文件夹】对话框，在其中设置要保存恢复的文件的位置，如E盘。

步骤08设置完成后，单击【保存】按钮，即可弹出【保存】对话框。在完成保存后，可以检查一下恢复的文件是否能够正常使用。双击恢复的压缩包“PS教程”对其进行解压缩，经过检验，文件若能正常使用，就完成了对文件的恢复操作。

【提示】

在设置要保存恢复的文件的位置时，不能选择误删之前保存文件的磁盘，否则将会弹出提示对话框，警告用户。

第四章　不同的信息隐写技术

隐写是信息隐藏的一个重要分支；其目的是将信息秘密地、安全地传递给接收方，而不引起第三方的怀疑。相对于传统将信息加密为密文的方法，隐写是将有用信息隐藏到另一个公开的信息媒体中，是对信息存在本身或信息存在位置的保密。可以通过多种隐写技术实现对不同文件信息的隐写，如MP3音频文件、BMP与GIF图片、TEXT与PDF文档等。

11。4。1QR密文信息隐写

若要对一些信息进行隐写或是加密某些信息，都可以通过数字水印来隐藏信息，这种方式可以保证信息的安全。数字水印适用于音频、视频、图片等数字媒体形式，肉眼是无法辨别的，数码设备依据这类水印识别媒体文件是否为盗版。

但商业上的数字水印软件不是那么轻易就能买到的，因此，如果是普通用户的话，若要加密一段微型信息，比如私人的账号和密码、日志等，可以利用PsytecQR软件来代替数字水印软件。该软件是一款制作二维码信息的软件，可以隐写包括电话簿、电子邮件、网络地址、文本等信息，它可以将信息转换为无意义的JPG图片形式。不管是谁，无论用16进制或是记事本查看，也看不出来这张图片里到底隐藏了什么信息。因此，在一定程度上来说，能够较好地保证信息的安全。

下面介绍利用PsytecQR软件来隐藏信息的方法。

步骤01运行PsytecQR软件，进入其主界面中。在界面下方的【电话簿信息】选项卡下填写要隐藏的信息，并切换到其它选项卡中，填写信息。然后设置界面右侧的各个选项，在左侧可以看到随着不同设置变化的QR码。

步骤02设置完成后，选择【文件】→【保存】菜单项，打开【另存为】对话框，将生成的JPG图片保存起来。

步骤03单击【保存】按钮，保存生成的JPG图片。若要解密信息时，可选择【文件】→【打开】菜单项，找到这张JPG图片，在PsytecQR软件中打开，即可查看图片中被隐藏的信息。QR码呈正方形，只有黑白两色。在4个角落的其中3个，印有较小的，像“回”字的正方图案。这3个是帮助解码软件定位的图案，使用者不需要对准，无论以任何角度扫描，资料仍可被正确读取。

11。4。2BMP与GIF图片信息隐写

对BMP与GIF图片信息的隐写涉及到图片的格式说明，BMP图像是由一连串的数字排列表示，我们可以用UE以十六进制进行查看，它表示了颜色的强度。而图片的隐写就是采用LSB（leastsig…nificantbit）最低比特位隐藏技术，这种技术主要是对图像中影响图像效果最小的色素进行改变，所生成的图像，肉眼是感觉不到任何改变的。

但GIF格式的图片与BMP图片的文件组织结构是不同的，对于GIF图片来说，采用这种数据隐写技术后，GIF图片会有少许失真，一般情况下，用肉眼就能看出来像素的丢失，这是一个缺点。

下面分别来介绍BMP图片和GIF图片文件信息的隐写。

1．BMP图片文件信息隐写

利用HIP（HideInPicture的缩写）工具可以实现BMP图片文件信息隐写，该工具采用了Blowfish、Rijndael算法加密，能够将任何类型的文件隐藏到图片中。而且图片仍然像以前一样显示正常，没有人能够看出来图片中隐藏有信息，大可放心隐藏信息的安全问题。

HIP工具有命令行与GUI版本，这里以命令行版本为例，为大家介绍如何利用HIP工具隐藏数据和找回数据。在此之前，需要先准备好一张BMP图片“jiemian。bmp”和要隐藏的记事本文件“jishiben。”，内容为“mimashi123456”，并将它们放到HIP当前目录中。

利用HIP工具隐藏数据和找回数据的具体操作步骤如下：

步骤01打开命令提示符窗口，输入相关的命令，进入HIP工具的当前目录中D：HIPHIP。在命令提示符下输入“HIP”命令。

步骤02在其中输入命令“hiphjiemian。bmpjishiben。newjiemian。bmp”后，此时，会要求用户设置密码。

步骤03连续两次输入正确密码，即可生成新图片“newjiemian。bmp”，这就说明数据隐写成功了。

数据隐写成功后，还可利用HIP工具分离出图片中隐藏的真实信息。具体操作步骤如下：

步骤01成功隐写数据后，在命令提示符下输入命令“hiprnewjiemian。bmpnewjishiben。”后，会要求用户输入上面设置的密码。在其中输入正确的密码后，即可分离出图片中的真实信息文件newjishiben。。

步骤02用记事本打开分离出来的newjishiben。文件，可以看到里面的正确内容，与原来的jishiben。文件中的内容一样。

步骤03此时，仔细对比“jiemian。bmp”图片（未隐写）和“newjiemian。bmp”图片（隐写）的效果，看不出来任何差别。

2．GIF图片文件信息隐写

利用HideandSeek工具可在GIF图片文件中针对不同类型的文件进行信息隐写，并为其加上密码。HideandSeek工具包括两个部分，隐写hide。exe与解码seek。exe，这两个应用程序都需要在CMD命令行下运行。

在利用HideandSeek工具隐写信息前，准备好要将信息