poison's blog

电信DNS劫持引发的广告

180045@163.com(毒药) — Fri, 20 Jan 2012 16:46:58 +0800

前几天接到某网吧电话，说是狠久未逢的IE广告又开始遍地开花了，到我赶过去一看时，发现一个很诡异的情况：那广告也不是随便的主，想它出来时不出来，人一跑开又出来了。于是乎，留守一人观察，发现情况就立即报告。留守人员：泪奔，为神马又是我！
    时间滴过，经过留守人员一晚上观察，终于抓了一台现行的机子：IE进程无插件、系统无异常、IE广告页面无父进程。无奈之下我唯有把焦点定在PUBWIN、文化和某电影专用播放器上面逐一排除，漫长的排除过程过后，广告依然我行我素（排除过程中它不出来没的办法，只能靠网管的描述）。被打败了！
     第二天——情况依然。
     第三天——老板发飚
=========================
       最后的最后，我在进某国大片网站时打错了网址，元凶悄然现身，坑人的114SO.CN，他X的电信劫持。
     广告：IE弹窗——淘宝热卖
     关键字：114SO
       方法：跳转或禁止

PUBWIN挂机锁破解及防御

180045@163.com(毒药) — Sun, 27 Nov 2011 02:02:42 +0800

近期有网吧反映说PUBWIN挂机锁被破解，采用的方法也是最简单直接的方法“ALT+F4”，具体操作是重启挂机中的机器，在进系统的瞬间狂按ALT+F4（不能按住ALT键，需两个键以高频按下！）。到现场亲自操作后发现成功率达90%，于是乎，写下几行AU3代码解决：

 程序代码
 HotKeySet("!{F4}", "Nothing")
sleep(10000)
Func Nothing()
EndFunc

      原理就是将ALT+F4热键定义为空白，十称后退出程序，只是在加载进开机批处理的时候发觉运行优先级低于PUBWIN，没法子只好百度了一下，把程序加进USERINIT里与PUBWIN同时运行。

    附百度找到的加载开机启动项的多种方法：

一、当前用户专有的启动文件夹
　　这是许多应用软件自动启动的常用位置，Windows自动启动放入该文件夹的所有快捷方式。用户启动文件夹一般在：\Documents and Settings\<用户名字>\「开始」菜单\程序\启动，其中“<用户名字>”是当前登录的用户帐户名称。

二、对所有用户有效的启动文件夹
　　这是寻找自动启动程序的第二个重要位置，不管用户用什么身份登录系统，放入该文件夹的快捷方式总是自动启动——这是它与用户专有的启动文件夹的区别所在。该文件夹一般在：\Documents and Settings\All Users\「开始」菜单\程序\启动。

三、Load注册键
　　介绍该注册键的资料不多，实际上它也能够自动启动程序。位置：HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows\建一个字符串名为load键值为自启动程序的路径但是要注意短文件名规则，输入的路径文件名是短文件名。如c:\program files 应为c:\progra~1
    ps：这种方式用优化大师看不到

四、Userinit注册键
　　位置：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Userinit。这里也能够使系统启动时自动初始化程序。通常该注册键下面有一个userinit.exe，但这个键允许指定用逗号分隔的多个程序，例如“userinit.exe,OSA.exe”（不含引号）。后面加路径，再加逗号也可以。

五、Shell注册键
    HKEY_LOCAL_MACHINE\SHOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon 里面的shell建值在Explorer.exe的后面加上我门程序的路径。比如我门的c:\windows\system32\下有个hehe.exe木马。

六、Autorun注册键
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor，找到并双击“AutoRun”这项，然后将键值设置为需要启动的程序路径即可。

七、Explorer\Run注册键
　　和load、Userinit不同，Explorer\Run键在HKEY_CURRENT_USER和HKEY_LOCAL_MACHINE下都有，具体位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

八、RunServicesOnce注册键
　　RunServicesOnce注册键用来启动服务程序，启动时间在用户登录之前，而且先于其他通过注册键启动的程序。RunServicesOnce注册键的位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce

九、RunServices注册键
　　RunServices注册键指定的程序紧接RunServicesOnce指定的程序之后运行，但两者都在用户登录之前。RunServices的位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

十、RunOnce\Setup注册键
　　RunOnce\Setup指定了用户登录之后运行的程序，它的位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\Setup
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\Setup

十一、RunOnce注册键
　　安装程序通常用RunOnce键自动运行程序，它的位置在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE下面的RunOnce键会在用户登录之后立即运行程序，运行时机在其他Run键指定的程序之前。
HKEY_CURRENT_USER下面的RunOnce键在操作系统处理其他Run键以及“启动”文件夹的内容之后运行。

十二、RunOnceEx注册键
     如果是XP，你还需要检查一下HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx

十三、Run注册键
　　Run是自动运行程序最常用的注册键，位置在：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER下面的Run键紧接HKEY_LOCAL_MACHINE下面的Run键运行，但两者都在处理“启动”文件夹之前。

十四、组策略方法
    在“开始→运行”中键入“gpedit.msc”，启动“组策略”，展开“用户配置→管理模板→系统→登录”，
启用“在用户登录时运行这些程序”项，并单击“显示”按钮，添加某个程序，重新登录后该程序就会自动运行。

ps：这个启动项是注册表中找不到的。

十五、木马对文件关联的利用
    具体说来，就是更改文件的打开方式，这样就可以使程序跟随您打开的那种文件类型一起启动。
举例来说，打开注册表，展开注册表到HKEY_CLASSES_ROOT\exefile\shell\open\command
这里是exe文件的打开方式，默认键值为："%1" %*(有空格)。如果把默认键值改为Trojan.exe"%1" %*，您每次运行exe文件，这个Trojan.exe文件就会被执行。木马灰鸽子就采用关联exe文件的打开方式，
而大名鼎鼎的木马冰河采用的是也与此相似的一招——关联txt文件。

十六、木马对设备名的利用******
     大家知道，在Windows下无法以设备名来命名文件或文件夹，这些设备名主要有aux、com1、com2、prn、con、nul等，但Windows 2000/XP有个漏洞可以以设备名来命名文件或文件夹，让木马可以躲在那里而不被发现。
具体方法是：点击“开始”菜单的“运行”，输入cmd.exe，回车进入命令提示符窗口，然后输入md c:con\命令，可以建立一个名为con的目录。默认请况下，Windows是无法建立这类目录的，正是利用了Windows的漏洞我们才可以建立此目录。再试试输入md c:aux\命令，可以建立aux目录，输入md c:prn\可以建立prn目录，输入md c:com1\目录可以建立Com1目录，而输入md c: ul\则可以建立一个名为nul的目录。在资源管理器中依次点击试试，您会发现当我们试图打开以aux或com1命名的文件夹时，explorer.exe失去了响应，而许多“牧马人”就是利用这个方法将木马隐藏在这类特殊的文件夹中，从而达到隐藏、保护木马程序的目的。

最后语：启动顺序

RunServicesOnce》》RunServices》》用户登陆》》HKEY_LOCAL_MACHINE下面的RunOnce和RunOnce\Setup和RunOnceEx》》HKEY_LOCAL_MACHINE下面的Run》》HKEY_CURRENT_USER下面的Run》》系统“启动”文件夹》》用户“启动”文件夹》》HKEY_CURRENT_USER下面的RunOnce

8111E网卡为何如此慢?

180045@163.com(毒药) — Sun, 06 Nov 2011 17:58:39 +0800

这个问题很久以前就开始纠结了，不过也没怎样去管它，但多转几圈始终是个问题：（于是乎，在老板的压力下找到了解决方案。

"Jumboframe"="0"
"FlowControl"="0"
"Largesend"="0"
"HwParaMask"=dword:00000000
"HwFPSM"=dword:00000000
"HwOption"=dword:00000000
"HwOptimize"=dword:00000000
"Diskless"="1"
"GreenEthernet"="0"
"EEE"="0"

在注册表找到网络适配器相关键值，改成以上的就差不离了，注意红色字体的键值，这是最主要的一个，但意思是啥没个出处~汗！

经测试，任意驱动都有效，半圈至一圈直接进系统（不禁声卡），原文是谁发的找不到，在此谢过广大同学的辛苦劳动！

CPU温度监控、网卡速率获取(改进版)

180045@163.com(毒药) — Fri, 03 Jun 2011 07:14:01 +0800

    这是在文章《客户机最后连接时间》http://poison.net.cn/article.asp?id=143的基础上改进而来，利用EVEREST获取CPU温度、风扇转速等信息。

      EVEREST的设置如下：

1、

2、

这里的保存位置与文件名称是相对而言，看你需要而定，对易游有盘来说，我把报告定位到了d:\sysset\menu\everest里，everest整个文件夹放在了d:\sysset\menu。

3、自定义报告向导，只选择传感器，报告格式选择为纯文本文件。

最后显示如下：

上面所举只是一个雏形，可以再加入主板温度、硬盘温度等项目。

再看海阔天空-向家驹致敬

180045@163.com(毒药) — Tue, 03 May 2011 13:59:22 +0800

回忆少年，纯真的音乐时代，有点伤感。

Flash动画

在线播放

转：清华大学老师的一席话

180045@163.com(毒药) — Tue, 03 May 2011 13:55:07 +0800

1、一个人，如果你不逼自己一把，你根本不知道自己有多优秀。

2、赚钱是一种能力，花钱是一种水平，能力可以练，水平是轻易练不出来的。

3、年轻人不可以太狂。

4、一个人的知识，通过学习可以得到；一个人的成长，必须通过磨练。

5、这个世界上好书很多，可以改变命运的书很少。

6、这个世界上朋友很多，可以用一生托付的朋友很少。

7、如果发现一个人，一个地方，一件事，一本书，可以改变你的命运。一定要想办法跟他发生关系，否则，他就跟你没关系。

8、当一个人没有成功的时候，装也装出成功的样子。（因为装的时候，他已经成为你性格的一部分）

9、我们学习的目的，是为了使用，不是知识没有用，而是你没有使用，说明你没有用。

10、别人对你的态度，决定了你的命运。

11、笑由心生。

12、一个人出门的时候，口袋里都装的钱，装钱的目的，就是为了花出去，那里舒服就往那里花。一个人让别人舒服，他就是一个经营者；别人让你舒服，他就是一个消费者。

13、一个人，敢听真话，需要勇气；一个人敢说真话，需要魄力。

14、因为你的存在，让别人快乐起来，你叫朋友；因为你的存在，让别人卓越起来，你是教练；因为你的存在，让别人强大起来，你是领导。

15、一件事情，对你伤害的程度与事情本生没有任何关系，取决于你对这件事的态度。

16 、你，简单了，你的世界就简单了；你，简单了，事情就简单了。

17、一件事，会干了，好好干；不会干了，乱干。干的次数多了，自然会干，但是，首先，你要干。

18、一个人，想要优秀，你必须要接受挑战；一个人，你想要尽快优秀，就要去寻找挑战。

19、一个人想要创业，先要学会打工。

20、世界上，成功的有两种人，一种人是傻子，一种人是疯子。傻子是会吃亏的人，疯子是会行动的人。

去除易游混合部署(无盘系统+有盘回写)中发现新硬件的对话框

180045@163.com(毒药) — Fri, 22 Apr 2011 09:52:14 +0800

      最近将网吧的一些机子改了无盘，感觉真的是爽多了，但有点烦人的就是进系统后老是提示发现新硬件，没法子，本地硬盘还在那，总不能一台一台的拆掉吧：囧 ~

      一开始我想到的是利用AU3将对话框关掉，后来想到几年前就流行的方法：编辑SHELL32.DLL资源，过程就不说了，找个Resource Hacker 或其它资源编辑软件将字符串268整个删掉，立马解决。

    XPSP3测试通过，听说SP2还要编辑newdev.dll，需要的童鞋自行查找相关字符串。

关于病毒引起的控制台连接不通服务器的公告[LSN病毒公告]

180045@163.com(毒药) — Thu, 21 Apr 2011 18:28:24 +0800

尊敬的网吧业主、网络管理员：

        您好！

        我公司自四月十二号下午陆续接到全国不同地区网吧老板和代理反映客户机连接不上服务器的问题。我们紧急安排人员排查，发现连不通的情况下ping命令也不能连接，确定是由于网络不通引起的，排除软件本身问题，再到网吧实地排查，于15日取得病毒样本。主要情况如下：
        *问题出现后现象:
        1. Pubwin客户端和控制台无法连接上Pubwin服务器，此时通过ping命令发现客户端和控制台ping向服务器的包都提示：Request timed out. ；（注；控制台提示连接服务器失败，客护端开机后一直显示红色叉，登陆提示：客户端不受管理状态）
        2.从服务器ping向控制台和已经开启的任一客户机都是通的；
        3.客户机相互任意双向ping都是通畅；
        注：在控制台和客户端ping服务器过程中发现，通常情况下，ping的结果是时断时续，一般会丢失十五个ping包以内就会在不做任何操作情况下就会自动恢复通畅；少数网吧会持续一个小时以上；
        *排查结果：
        经过几天全公司调查以及网吧的反应，我们已经成功提取了病毒样本，其中包括如下程序：
                1.abc.exe;2.7bNbgw.exe;3.Procmon.exe;4.sfc.exe;5.winhost.exe;6.HostService.exe;7.xs.exe;8.lsn1.exe
        此程序会从lsn1.exe慢慢涨到lsn25.exe.经过我们的高级底层驱动工程师脱壳分析这些几乎全部是木马程序，其中包括：
                a) QQ盗号木马；
                b) 游戏盗号木马；
                c) socket5代理（木马），可以反向找控制端通过端口发送数据，从而中断正常数据；
                d) 截包发现有篡改本机出去的数据的mac地址的行为；
                e) 使中毒机器成为“肉鸡”任意控制。
        总结：此次事件是病毒的蔓延所引起的，该批病毒能引起三个方面的后果。一是盗号；二是破坏计费软件的正常工作；三是使中毒机器成为“肉鸡”。
        这批病毒我们已提交上海市公安局，并报案。
        我们还在对病毒进一步的分析，为解决或减少病毒对网吧的影响，希望网吧能做如下的处理：
                1.升级Pubwin 2009新的版本（4月19日后的版本增加了相关处理）;
                2.关闭客户机135,137,138,139,445端口或停用共享服务（server）;
                3.升级微软4月13日发布的安全补丁(http://blogs.technet.com/b/gcrsec/archive/2011/04/13/20110413-4-13-17.aspx）;
                4.有带网管型的交换机对服务器进行Mac绑定。
        解决该问题的版本使用网吧自身的注册号登陆即可进行下载。若某些地区无法下载到版本请联系当地代理商。

上海新浩艺软件有限公司
2011年04月21日

===================

今次的事件让我几天睡不好觉，期间还在不断反思着，究竟是不是我太菜了以至于不适合干这行，看到这个公告，我释然了~PUBWIN都要报警，我这个不会底层驱动、汇编等技术活的人，还是继续当我的网管吧。

求生之路1没有声音、不能联机解决方法

180045@163.com(毒药) — Sun, 20 Mar 2011 22:11:33 +0800

在某一无盘网吧发现这事儿，用的是浩方版本4356，进游戏后提示：steam userid steam_1:0:1359329158 is already in use on this server。看提示应该是STEAM的破解问题。
与易游官方联系后说只能用旧版本，但奇怪的是几个3XXX版本进游戏虽然能联机，但是游戏没有声音，为这事重新测试声卡驱动似乎是小题大作，所以不得已之下求助度娘，寻找破解补丁解决。

PS：易游论坛上wangxiong回复说道，也有发现其他无盘反映相同问题的，可能还是破解的原因。

下载地址：

点击下载此文件

PUBWIN客户端缺少文件，谁搞的鬼

180045@163.com(毒药) — Fri, 11 Mar 2011 04:03:23 +0800

      今晚吃完夜宵跑了下网吧，刚坐下不久就发现全部机子都登不上卡，于是乎我就上论坛看了下帖子，原来都是11XXXX后的版本出现的事情，刚好这家是新开的也是用的新版本，那么就好办了，把客户端降级为1008301524版本，问题解决。

    为什么会引起这样的问题？额~其实是我开IE时看到首页被跳转到了http://www.baidu.com/index.php?tn=pubwin_11_pg，易游也拿它没撤，就只好把PUBWIN后台的Update.zip和Updates.zip删除后建了个假体文件夹，客户端11XXXX版本很不爽，干脆的不让登卡。

    PUBWIN，无所不极其极，利益所指，所向披靡。