一开始先跟大家提到一个在XP时代有名的随身碟病毒KAVO， 当时让随身碟免疫的方法就是在随身碟根目录下建立autorun.inf目录， 然候应该很多人还有印象，再下一层有一个无法读取及删除的目录123. 为什麽要提到这个，因为不论是使用者帐号限制也好，档案设唯读权限也好， 都是让绑架软体无法覆写档案的方式来保护， 而在这个123.的资料夹下的档案，有点不一样， 於是就有了这次的实验。 注：要跟着下面实作的人，一点基础需要。 ***重要*** 第一步需在XP或XPE的环境下於C或D槽直接建立123.的资料夹 http://i.imgur.com/MjyNtVK.png C:\>mkdir 123..\ 资料夹名称有限制必须6个半型字元以下， http://i.imgur.com/tccQuLM.png 於是就得到看起来名称为123.的资料夹。 http://i.imgur.com/ks8LlNn.png 无论在XP或WIN7以上环境直接双击左键开启都会有同样的提示， 并且无法直接读取及删除。 http://i.imgur.com/9l3Pfrv.png http://i.imgur.com/0cOPmb8.png 本篇重点： 再来这个应该就很少人知道了！这个资料夹并非完全无法存取！ 它其实如同一般资料夹可读取可覆写， 只是！！！无法使用一般路径来作读写的动作！！！！ 前面提到限制6个半型字元就是因为在这边要用短档名的方式去开启， 超过6个半型字元好像就无法正常开启了。 因为方便，这里我使用写入记事本存.bat的方式用於直接双击执行开启， 命令也可以直接输入 C:\>start C:\123~1 便可发现此资料夹被开启了。 题外一下，这指令是在WIN7後才适用的， 在XP下我记得直接在路径栏打上C:\123..就进去了， 升到WIN7时打不开差点崩溃，好久才在不知哪的外国论坛看到这个方法， 一直到现在WIN10依然可用，当时我觉的这真的是超适合拿来装秘密， 内建搜寻不到，everything之类的搜寻软体虽然看的到但不能摸， 不过现在不需要了就是... 实作的教学也就到这了，其实也不是很难，下面就看一些测试吧。 首先在一般资料夹和123.各放入相同及不同的档案资料， http://i.imgur.com/OafRFu6.png 1.作者良心发现的Crypt0L0cker http://i.imgur.com/yVlD4A7.png 执行直到跳出讯息，就可以看到差别了，执行途中两个资料夹仍然是开着的。 就可以知道在这个短档名路径下，绑架软体无作用。 http://i.imgur.com/xgtKhdq.png 2.Cerber http://i.imgur.com/TdR0YFh.png 一样执行直到跳出讯息。 超凶连档名也覆写了，有趣的是会听到播放声音： attention! attention! attention! your documents photos databases and other important files have been encrypted. 然候重复十遍左右吧.... http://i.imgur.com/8THnX7N.png 3.最後大概会是本月 MVP CryptXXX3.0 试着换到WIN10看看。 http://i.imgur.com/LioJsRl.png 完美加密。除了123.资料夹 http://i.imgur.com/JhOLuFj.png 看最新的应该是.crypz，但我看了几个样本网站好像还没有， 有善心人士抓给我玩我会很开心的。 最後就提醒一下， 保护档案最好的方式还是离线备份， 上面的方法也不保证对以後绑架软体有用， 因为这方法目前看起来似乎还有可用性， 所以就提供给各位了。 大概这样。 --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 220.132.60.208 ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/AntiVirus/M.1465230874.A.1AF.html ※ 编辑: pendoth (220.132.60.208), 06/07/2016 00:45:18 测试的确可以！分区挂123.资料夹下依然可达到不被目前已知的勒索软体加密的效果。 你好聪明！ 这句话应该标重点起来的，在XP下和在WIN7下同样mkdir指令建出来的资料夹可不一样， WIN7下建的档名会变123..，XP下则是123.，前者可以直接开启但内容档案开启会产生 路径上的错误；後者需靠指令进入，但内容档案可正常开启使用。 mkdir就是建立资料夹目录的指令，rmdir就是删除资料夹目录的指令，会砍掉是理所当然 的，就跟右键能建立资料夹也能删除是一样的，重点是绑架软体目前无法针对到只能用短 档名去开启的资料夹内部档案作加密的动作，所以这个资料夹才形成类似安全地带的现象 ※ 编辑: pendoth (220.132.60.208), 06/07/2016 22:21:56 因为123..和123终究不是同一个目录，只是你双击开启123..资料夹时会被导向123，试着 先删除123资料夹再去执行123..内的档案，是不能正常开启的；假如先在123..放一个档案 再建立123资料夹，123..就会被导向123而变成空目录。SO，还是得在XP下建立123.资料夹 才行。 会，但不是每支勒索软体都会。 ※ 编辑: pendoth (220.132.60.208), 06/09/2016 04:27:29 ※ 编辑: pendoth (220.132.60.208), 06/09/2016 04:34:00 ※ 编辑: pendoth (220.132.60.208), 06/09/2016 04:36:35 ※ 编辑: pendoth (220.132.60.208), 06/09/2016 04:38:41 ※ 编辑: pendoth (220.132.60.208), 06/09/2016 04:39:11 ※ 编辑: pendoth (220.132.60.208), 06/09/2016 04:42:32 ※ 编辑: pendoth (220.132.60.208), 06/09/2016 04:43:27 ※ 编辑: pendoth (220.132.60.208), 06/09/2016 04:43:43