作者junorn (威廉华勒斯)
看板AntiVirus
标题Re: [软体] Combofix ( ￣ c￣)y▂ξ
时间Wed Jul 16 18:14:15 2008
我简单说明一下bug好了，目前发现的
应该还有但我不清楚他运作所以不知道问题出在哪
要看作者本身了...
位置是出在SetEnvmt.bat上面
这个是现在Combofix用来提取环境变数并设定变数用的批次档案
我大概测了一下他是在提取
hklm\software\microsoft\windows\currentversion\explorer\shell folders
hkcu
之後再使用DumpHive提取里面的文字，Dumphive我不清楚他的用途
但提取出来之後
碰到中文时有些位置会不对
EX:
"CommonAdministrativeTools=C:\DOCUME~1\ALLUSE~1\???~1\???\???~1"
"CommonProgramsB=C:\\Documents and Settings\\All Users\\「开始」功\能表\\程式
集"
"DefaultStartupB=C:\\WINDOWS\\system32\\config\\systemprofile\\「开始」功\能表
\\程式集\\启动"
这是部份，还有一些
可以看到因为中文的关系结果造成环境变数设定上去的时候可能会出错
前面有提过Combofix是用批次方式去跑的，这一错後面抓取的东西多多少少都会有出错
的情形发生。
我这边测了之後就发现Common startup的值被改成英文作业系统的值
也因为这边的值改了所以所有放在程式集\启动内的档案都不会执行
因为对应的位置已经变掉了...
目前我在研究要怎麽让环境变数回复，回复简单但是要抓取正确的值很困难0rz
头大....现在又头痛的要死______0rz
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 210.68.130.155
1F：推 hirokofan:问个无关的XD，下载网站的reinfors是祝福之风吗？ 07/16 20:31
2F：→ junorn:啊？那是什麽=.=a...我本来要用reinforce的结果好像拼错 07/16 20:51
3F：→ junorn:就变成reinfors了XD 07/16 20:51
4F：推 hirokofan:呃....某卡通曾出现的词啦XD，我以为有8个字限制 07/16 21:52
5F：→ hirokofan:才从reinforce变成reinfors的.... 07/16 21:53
6F：→ junorn:XD，英文太滥0rz 我是从梦幻模拟战5那一位帅哥取来的名子 07/16 22:01
7F：推 dever:虽然看不太懂，但CF真的很重要，加油~~ 07/17 12:55