簡介
在“開始”菜單的“運行”中輸入Regedit, 打開注冊表編輯器,展開到HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExploer主鍵下,在右側窗格中找到“NoDriveTypeAutoRun”,就是這個鍵決定了是否執行CDROM或硬盤的AutoRun功能。
雙擊“NoDriveTypeAutoRun”,默認狀态下(即你沒有禁止過AutoRun功能),在彈出窗口中可以看到“NoDriveTypeAutoRun”默認鍵值為95,00,00,00。其中第一個值“95”是16進制值,它是所有被禁止自動運行設備的和。将“95”轉為二進制就是1001 01 01,其中每位代表一個設備,Windows中不同設備會用如下數值表示:
設備名稱 第幾位 值 設備用如下數值表示設備名稱含義
DRⅣE_UNKNOWN 0101h不能識别的設備類型
DRⅣE_NO_ROOT_DIR 1002h 沒有根目錄的驅動器(Drive without root directory)
DRⅣE_REMOVABLE2104h可移動驅動器(Removable drive)
DRⅣE_FⅨED3008h 固定的驅動器(Fixed drive)
DRⅣE_REMOTE 4110h網絡驅動器(Network drive)
DRⅣE_CDROM5020h光驅(CD-ROM)
DRⅣE_RAMDISK 6040h RAM磁盤(RAM Disk) 保留7180h未指定的驅動器類型(Not yet specified drive disk)
在上面所列的表中值為“0”表示設備運行,值為“1”表示該設備不運行(默認情況下,Windows禁止80h、10h、4h、01h這些設備自動運行,這些數值累加正好是16進制的95h,所以NoDriveTypeAutoRun”默認鍵值為95,00,00,00)。
由上面的分析不難看出,在默認情況下,會自動運行的設備是DRⅣE_NO_ROOT_DIR、DRⅣE_FⅨED、DRⅣE_CDROM、DRⅣE_RAMDISK這4個保留設備,所以要禁止硬盤自動運行AutoRun.inf文件,就必須将DRⅣE_FⅨED的值設為1,這是因為DRⅣE_FⅨED代表固定的驅動器,即硬盤。這樣一來,原來的1 00101 01(在表中“值”列中由下向上看)就變成了二進制的10011101,轉為16進制為9D。現在,将“No Drive Type AutoRun”的鍵值改為9D,00,00,00,關閉注冊表編輯器,重啟電腦就會關閉硬盤的AutoRun功能。
禁止功能
怎樣禁止光盤AutoRun功能?
其實就是将DRⅣE_CDROM設為1,這樣“No Drive TypeAutoRun”鍵值中的第一個值就變成了10110101,也就是16進制的B5。将第一個值改為B5後關閉注冊表編輯器,重啟電腦後就會關閉CDROM的Autorun功能。如果僅想禁止軟件光盤的AutoRun功能,但又保留對CD音頻碟的自動播放能力,這時隻需将“No Drive Type AutoRun”的鍵值改為:BD,00,00,00即可。如果想要恢複硬盤或光驅的AutoRun功能,進行反方向操作即可。
事實上,大多數的硬盤根目錄下并不需要AutoRun.inf文件來運行程序,因此,我們完全可以将硬盤的AutoRun功能關閉,這樣即使在硬盤根目錄下有AutoRun.inf這個文件,Windows也不會去運行其中指定的程序,從而可以達到防止黑客利用AutoRun.inf文件入侵的目的。
種類劃分
AutoRun.inf文件
autorun.inf文件是從Windows95開始的,最初用在其安裝盤裡,實現自動安裝,以後的各版本都保留了該文件并且部分内容也可用于其他存儲設備。
其結構有三個部分:[AutoRun] [AutoRun.Alpha] [DeviceInstall]
[AutoRun]适用于Windows95以上系統與32位以上CD-ROM,必選。
[AutoRun.alpha]适用于基于RISC的計算機光驅,适用系統為Windows NT 4.0,可選。
[DeviceInstall]适用于Windows XP以上系統,可選。
[AutoRun]部分的命令及其詳解。
1、DefaultIcon
含義:指定應用程序的默認圖标。
格式:
DefalutIcon=圖标路徑名[,序号]
參數:
圖标文件名:應用程序的默認圖标路徑名,格式可以為.ico、.bmp、.exe、.dll。當文件格式為.exe和.dll時,有時需要使用序号來指定圖标。
序号:當文件格式為.exe和.dll時,文件可能包括多餘一個圖标,此時需要使用序号來指定圖标,需要注意的是,序号是從0開始的。
備注:
應用程序的默認圖标将在windows explorer核心的驅動顯示窗口中替代設備的默認圖标來顯示。
圖标路徑名的默認目錄是設備根目錄。
2、Icon
含義:指定設備顯示圖标。
格式:
Icon=圖标路徑名[,序号]
參數:
圖标文件名:應用程序的默認圖标路徑名,格式可以為.ico、.bmp、.exe、.dll。當文件格式為.exe和.dll時,有時需要使用序号來指定圖标。
序号:當文件格式為.exe和.dll時,文件可能包括多餘一個圖标,此時需要使用序号來指定圖标,需要注意的是,序号是從0開始的。
備注:
設備顯示圖标将在windows explorer核心的驅動顯示窗口中替代設備的默認圖标來顯示。
圖标路徑名的默認目錄是設備根目錄。
當存在應用程序默認圖标(DefaultIcon)時,本命令無效。
3、Label
含義:指定設備描述
格式:
Label=描述
參數:
描述:任意文字,可以包括空格。
備注:
設備描述将在windows explorer核心的驅動顯示窗口中替代設備的默認描述卷标來顯示。
在非windows explorer核心的驅動顯示窗口中(例如右擊設備選擇屬性)顯示的仍然是設備的卷标。
4、Open
含義:指定設備啟用時運行之命令行。
格式:
Open=命令行
(命令行:程序路徑名 [參數])
參數:
命令行:自動運行的命令行,必須是.exe、.com、.bat文件,其他格式文件可以使用start.exe打開或使用ShellExecute命令。
備注:
命令行的起始目錄是設備根目錄和系統的$Path環境變量。
5、ShellExecute
含義:
指定設備啟用時執行文件。(操作系統支持未知)
格式:
ShellExecute=執行文件路徑名 [參數]
參數:
執行文件路徑名:設備啟用時執行文件路徑名。可以是任意格式文件。系統會調用設置的程序執行此文件。
參數:參數,根據執行文件作調整
備注:
命令行的起始目錄是設備根目錄和系統的$Path環境變量。
6、Shell關鍵字Command
含義:
定義設備右鍵菜單執行命令行。
格式:
Shell關鍵字Command=命令行
(命令行:程序路徑名 [參數])
參數:
命令行:自動運行的命令行,必須是.exe、.com、.bat文件,其他格式文件可以使用start.exe打開。
備注:
命令行的起始目錄是設備根目錄和系統的$Path環境變量。
7、Shell關鍵字
含義:定義設備右鍵菜單文本。
格式:
Shell關鍵字=文本
參數:
關鍵字:用以标記菜單,可以使用任何字符表示,包括空格。
文本:在右鍵菜單中顯示的文本。可以使用任何字符,不能存在空格。
備注:
在同一Autorun.inf文件中,不同右鍵菜單關鍵字不同,相同右鍵菜單關鍵字相同。
右鍵菜單文本中可以使用&設定加速鍵,&&輸出一個&。
Shell關鍵字Command命令Shell關鍵字兩者缺一不可,順序無所謂。
當不存在Open、ShellExecute與Shell命令時,設備啟用時運行第一個設備右鍵菜單指定命令。
8、Shell
含義:定義設備啟用時運行之設備右鍵命令。
格式:
Shell=關鍵字
參數:
關鍵字:标記過的菜單關鍵字
備注:
Shell指定的關鍵字可以在AutoRun.inf文件的任意部分。
OpenShellExecuteShell命令後定義的優先級高。
如何删除autorun.inf文件夾?
在命令提示符中,輸入rd (文件夾位置)即可删除文件夾。
病毒資料
AUTORUN.INF病毒資料
MVS.exe Dropper.VB.acd
LaunchCd.exe Trojan.VB.vwp
Tel.xls.exe Worm.VB.lv
Ghost.exe,conime.exe Trojan.DL.Agent.blr
Autorun.exe Trojan.Agent.xkt
toy.exe Worm.Agent.av
autorun.exe soundmix.exe Worm.Clive.a
printer.exe Trojan.VB.wio
BootIO.exe Trojan/Agent.Bui
免疫程序
Autorun免疫程序
打開需要免疫的盤符,然後點擊免疫。移動硬盤先連接電腦後,然後打開程序。U盤、等其它移動設備如沒有檢測到盤符,可自行手動輸入盤符名稱,然後執行免疫。
我們知道,同一目錄下,兩個相同文件名的文件是不能共存的。經過免疫後的磁盤,會在磁盤的根目錄下生成一個防删除、替換并隐藏的Autorun.inf文件夾,并自動設置為隻讀和系統隐藏屬性,以防止病毒借助Autorun自動運行文件進行病毒的自動傳播。
步驟如下:
新建一個空文本文檔,并更名為"1.bat"(擴展名改成bat),輸入如下命令:
x:(x表示盤符,如果是h盤,就輸入h:)
md autorun.inf
cd autorun.inf
md con
(因為con文件夾在DOS中不可直接輸入命令,要加入“”)
然後打開此文件,就可免疫。可放到該U盤中,但不要放在U盤的文件夾中,否則會在這個文件夾裡新建一個這樣的免疫文件夾。
當有病毒的移動磁盤插入電腦時,如果您發現系統提示:“無法寫入AUTORUN:訪問被拒絕。請确定磁盤未滿或未被寫保護而且未被使用”時,此時病毒寫入電腦失敗。
如果您想删除磁盤目錄下的此免疫文件,請重新新建一個空文本文檔,并更名為"2.bat"(擴展名改成bat),輸入如下命令:
x:(x表示盤符,如果是h盤,就輸入h:)
cd autorun.inf
rd con
cd..
rd autorun.inf
然後打開此文件,就可解除免疫。可放到該U盤中,但不要放在U盤的文件夾中,否則無效。
注:在極小數系統下面點執行後會提示選擇盤符,這不影響使用。