ActiveX启动其实非常简单，仅仅是在注册表中HKEY_LOCAL_MACHINE下的Software\\Microsoft\\Active Setup\\Installed Components\\中注册一条信息就可以了。这条信息的键类似{36f8ec70-c29a-11d1-b5c7-0000f8051515}就可以。其实，我们可以随便的更改这些数字，只要不重复就可以了，而且我们还可以在这个键的下面新增子键StubPath和子键的值，如c:\\Windows\\system32\\muma.exe即可。这样系统每次启动就会运行c:\\Windows\\system32\\muma.exe这个程序。
这里有一个疑问，前面我们提到的{36f8ec70-c29a-11d1-b5c7-0000f8051515}这是什么？其实这就是GUID，即全球唯一标识，对应着ActiveX接口的唯一标识。GUID是一个字母数字标识符，用于指示产品的唯一性安装。在许多流行软件应用程序（例如Web浏览器和媒体播放器）中，都使用GUID。GUID的格式为“xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx”，其中每个x 是0-9或a-f范围内的一个十六进制的数字。例如：
6F9619FF-8B86-D011-B42D-00C04FC964FF即为有效的GUID值。为什么要用GUID？世界上的任何两台计算机都不会生成重复的GUID值。GUID主要用于在拥有多个节点、多台计算机的网络或系统中，分配必须具有唯一性的标识符。在Windows平台上，GUID应用非常广泛：注册表、类及接口标识、数据库、甚至自动生成的机器名、目录名等。
下面看一下poison lvy配置及检测方法。 打开木马所在文件夹，找到毒药程序。
新建一个服务器端程序profile，我们这里命名为goods。
- 28 -
配置goods的客户端连接地址，这里的截图为本机的，我们可以在这里配置为192.168.10.246，及上线主机都默认连接这台主机。
我们这里选择木马的启动方式为ActiveX。
- 29 -
这里默认就可以，下方的inject server into the default browser为 默认插入一个explorer中来隐藏。
这里也选择默认，当然也可以选择加壳。
- 30 -
选择generate生成服务器端
把服务器端木马程序传到另外一台XP主机上(192.168.10.236）
- 31 -
稍等一会儿后主机上线
目标主机上ActiveX在注册表中的保存位置。
- 32 -
百度搜索“77cn”或“免费范文网”即可找到本站免费阅读全部范文。收藏本站方便下次阅读，免费范文网，提供经典小说教育文库应急响应技术指南(7)在线全文阅读。
相关推荐：