Autoruns使用介绍

系统管理员 2023-06-20 15:59 5阅读 0赞

**介绍**

当服务器被攻击后，基本都会留下后门，木马程序等，维护人员就需要找到他们并清除。 而对于木马后门，都需要有一个加载选项，例如直接以程序文件的形式运行，插入其他进程中运行，以服务的形式加载，以activex控件形式加载等。

随后木马病毒肯定会访问网络，从我们检查角度一般需要对运行的进程、启动的加载项、端口连接等方面进行。

Autoruns可以查看加载在启动、activex、explorer、logon、services等中的木马程序。

**使用**

打开autoruns后会看到everything栏，此栏列出了自动启动项，如下图。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZhZ2V3ZWlrZXRhbmc_size_16_color_FFFFFF_t_70][]

木马程序是没有数字签名的，我们可以多关注其description和publisher栏，如果都为空，而又不确定是否为木马程序，则可以选中右键search online进行在线搜索，个人认为如果搜索没有相应的名称结果，则木马可能性比较大，毕竟攻击者随意为木马取个名称是搜不出的。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZhZ2V3ZWlrZXRhbmc_size_16_color_FFFFFF_t_70 1][]

切换到logon栏列出了登录加载项，查看和排除方式与everything类似。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZhZ2V3ZWlrZXRhbmc_size_16_color_FFFFFF_t_70 2][]

其他选项也类似，autoruns对于木马常用的加载都有列出，everything启动加载，logon登录加载，explorer windows管理器加载，ie浏览器加载，scheduled tasks定时任务加载，services服务加载，drivers设备加载等。

确认木马病毒后可右键选择删除。

**总结**

通过autoruns检查木马程序，主要通过文件是否有数字签名，在公司和描述栏中是否有相应的内容，以及程序的物理路径等信息来判断是否为木马程序。

--------------------

**                                                                          公众号推荐：aFa攻防实验室**

**分享关于信息搜集、Web安全、内网安全、代码审计、红蓝对抗、Java、Python等方面的东西。**

![20191220230427373.jpg][]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZhZ2V3ZWlrZXRhbmc_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20191210210200378.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZhZ2V3ZWlrZXRhbmc=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZhZ2V3ZWlrZXRhbmc_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20191210210204388.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZhZ2V3ZWlrZXRhbmc=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZhZ2V3ZWlrZXRhbmc_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20191210210204435.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ZhZ2V3ZWlrZXRhbmc=,size_16,color_FFFFFF,t_70
[20191220230427373.jpg]: https://img-blog.csdnimg.cn/20191220230427373.jpg