“System Volume Information”文件夹里的NTFS木马(安全问题) 1、参考原理: 在一个NTFS分区里,把分区权限删到只剩EVERYONE权限,并只设一个“列出文件夹的目录”权限,其他复选框都去钩。在这种情况下,该分区是没有写权限的,照理说不会再自动生成“System Volume Information”文件夹。但是,无论你这么设置,该硬盘的分区在任何一个电脑上插上去后依旧会自动生成“System Volume Information”文件夹。 2、木马原理:利用“System Volume Information”文件夹自动生成的原理,进行线程插入免杀下载器到自动生成“System Volume Information”文件夹的系统进程里面,然后把加壳加密的木马下载到“System Volume Information”文件夹。在“System Volume Information”文件夹的保护下,杀毒软件无权查杀该木马。在设定条件下夺取SYSTEM权限运行木马预运行模块查杀杀软,然后再脱壳解密启动木马,启用保护进程防止该目录被删。此类木马无法手工删除,杀软无权查杀,就算FAT32的分区也由于加密原因无法脱壳。 3、解决方案:阻止“System Volume Information”文件夹的自动生成。(可以用unlocker删除) 4、解决的具体方法:右击用unlocker删除,unlocker就会删除这个文件夹,打开回收站,再看看,是不是多了很多文件,这时还无法删除,现在打开x:/RECYCLER(“x:/”表示“System Volume Information”所在的分区),右击unlocker点击移动到桌面,桌面就会生成一些隐藏文件,这时选中这些文件,右击属性,将“只读”去掉,再选中之后,用unlocker删除,并且清空回收站,这样“System Volume Information”文件夹就从电脑中消失了。如何获得对“System Volume Information”文件夹的访问 使用 FAT32 文件系统的 Microsoft Windows XP Professional 或 Windows XP Home Edition 1、打开任意一个文件夹。 2、在“工具”菜单上,单击“文件夹选项”。 3、在“查看”→“隐藏文件和文件夹”选项卡上,单击“显示所有文件和文件夹”。 4、清除“隐藏受保护的操作系统文件(推荐)”复选框。当系统提示您确认是否更改时,请单击“是”。 5、清除“使用简单文件夹共享(推荐)”复选框 6、单击“确定”。 7、在文件夹中双击“System Volume Information”文件夹以将其打开。 8、操作后建议选择“还原为默认值”点确定