木马技术：木马隐藏与自启动

【注册表】

①. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

类型：字符串值。

使用：新建一个字符串值，名字任意，填写程序正确路径即可，每一项代表一个程序。

级别：低，易暴露。

②. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

类型：字符串值。

使用：新建一个字符串值，名字任意，填写程序正确路径即可，每一项代表一个程序。

级别：低，易暴露。

③. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

级别：低，易暴露。

④. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit

默认：C:\WINDOWS\system32\userinit.exe,

类型：字符串值。

说明：系统启动时的初始化程序。

使用：在逗号之后填写要自启动的程序路径，文件可以是 exe、bat。

级别：高，不易暴露。

⑤. HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows\load

类型：字符串值。

级别：高，不易暴露。

⑥. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

类型：主键。

级别：未知。

说明：系统加载的服务，优先级别最高，最先加载。

⑦. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell

默认：explorer.exe

类型：字符串值。

级别：未知。

说明：木马程序可能会在此加入自身并以木马参数的形式调用资源管理器。