荔园在线
荔园之美，在春之萌芽，在夏之绽放，在秋之收获，在冬之沉淀
[回到开始]
[上一篇][下一篇]
发信人: General (萬.中.選.壹), 信区: Internet
标 题: 小心三类危险的TXT文件
发信站: 荔园晨风BBS站 (Thu May 8 11:10:51 2003), 站内信件
什么，TXT文件也有危险？是的！TXT文件不仅有危险，而且可以是非常的危险
！不 过，严格说来，应该给这个所谓的“TXT”文件加个引号，因为它们是看起来
是TXT文 件，实则是隐藏了期真实扩展名的其它文件，但在普通人看来它们的确是
“TXT”文件 ！下面就让我们一起来了解一下这些危险的“TXT”文件。 一. 隐藏
HTML扩展名的TXT文件
假如您收到的邮件附件中有一个看起来是这样的文件：QQ靓号放送.txt，您是
不是 认为它肯定是纯文本文件？我要告诉您，不一定！它的实际文件名可以是QQ
靓号放送 .txt.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}。
{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}在注册表里是HTML文件关联的意思。但
是存 成文件名的时候它并不会显现出来，您看到的就是个.txt文件，这个文件实
际上等同于 QQ靓号放送.txt.html。那么直接打开这个文件为什么有危险呢？请看
如果这个文件的 内容如下：
您可能以为它会调用记事本来运行，可是如果您双击它，结果它却调用了
HTML来运 行，并且自动在后台开始格式化D盘，同时显示“Windows is
configuring the system。Plase do not interrupt this process。”这样一个
对话框来欺骗您。您看 随意打开附件中的.txt的危险够大了吧？
欺骗实现原理：当您双击这个伪装起来的.txt时候，由于真正文件扩展名是
.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}，也就是.html文件，于是就会以
html文件 的形式运行，这是它能运行起来的先决条件。
文件内容中的第2和第3行是它能够产生破坏作用的关键所在。其中第3行是破
坏行 动的执行者，在其中可以加载带有破坏性质的命令。那么第2行又是干什么的
呢？您可 能已经注意到了第2行里的“Ws cript”，对！就是它导演了全幕，它是
幕后主谋！
Ws cript全称Windows s cripting Host，它是Win98中新加进的功能，是一种
批次语 言/自动执行工具——它所对应的程序“Ws cript.exe”是一个脚本语言解
释器，位于 c:\WINDOWS下，正是它使得脚本可以被执行，就象执行批处理一样。
在Windows s cripting Host脚本环境里，预定义了一些对象，通过它自带的几个
内置对象，可以实 现获取环境变量、创建快捷方式、加载程序、读写注册表等功
能。 识别及防范方法：
①这种带有欺骗性质的.txt文件显示出来的并不是文本文件的图标，它显示的
是未 定义文件类型的标志，这是区分它与正常TXT文件的最好方法。
②识别的另一个办法是在“按WEB页方式”查看时在“我的电脑”左面会显示
出其 文件名全称（如图1），此时可以看到它不是真正的TXT文件。问题是很多初
学者经验不 够，老手也可能因为没留意而打开它，在这里再次提醒您，注意您收
到的邮件中附件的 文件名，不仅要看显示出来的扩展名，还要注意其实际显示的
图标是什么。
③对于附件中别人发来的看起来是TXT的文件，可以将它下载后用鼠标右键选
择 “用记事本打开”，这样看会很安全。 二. 恶意碎片文件
另一类可怕的TXT文件是一种在Windows中被称作“碎片对象”(扩展名为“
SHS”) 的文件，它一般被伪装成文本文件通过电子邮件附件来传播，比方说，这
个样子：QQ号 码放送.txt.shs，由于真正地后缀名“SHS”不会显示出来，如果在
该文件中含有诸如 “format”之类的命令将非常可怕！不仅如此，以下四点原因
也是其有一定危害性的原 因：
①碎片对象文件的缺省图标是一个和记事本文件图标相类似的图标，很容易会
被误 认为是一些文本的文档，用户对它的警惕心理准备不足。
②在Windows的默认状态下，“碎片对象”文件的扩展名(“.SHS”)是隐藏的
，即 使你在“资源管理器”→“工具”→“文件夹选项”→“查看”中，把“隐
藏已知文件 类型的扩展名”前面的“√”去掉，“.SHS”也还是隐藏的，这是因
为Windows支持双 重扩展名，如“QQ号码放送.txt.shs”显示出来的名称永远是“
QQ号码放送.txt”。
③即使有疑心，你用任何杀毒软件都不会找到这个文件的一点问题，因为这个
文件 本身就没有病毒，也不是可执行的，而且还是系统文件。你会怀疑这样的文
件吗？
④这种SHS附件病毒制造起来非常容易，5分钟就可以学会，也不需要编程知识
（格 式化C盘的命令：“format c:”大家都知道吧^_^）。 1. 具体实例
那么，碎片对象到底对用户的计算机会造成什么威胁呢？我们一起来作个测试
就明 白了。以下测试环境是在Windows 2000 server中文版上进行的。我们先在硬
盘上创建 一个测试用的文件test.txt(我创建的位置是D:\test.txt)，然后我们来
制作一个能删 除这个测试文件的碎片对象文件。
①先运行一个对象包装程序(packager.exe)，我的Win2000 server安装在
/winnt/system32下。
②新建一个文件后，打开菜单“文件”→“导入”，这时会弹出一个文件对话
框， 让你选择一个文件。不用考虑，随便选择一个文件就可以了。
③然后打开“编辑”→“命令行”，在弹出的命令行输入对话框中输入“
cmd.exe /c del d:\test.txt”，点“确定”。
④然后，在菜单中选择“编辑”→“复制数据包”。
⑤接着，随便在硬盘上找个地方，我就直接在桌面上了。在桌面上点击鼠标右
键， 在弹出菜单中选择“粘贴”，这时我们可以看到在桌面创建了一个碎片对象
文件。
现在我们可以双击一下这个文件，CMD窗口一闪而过后，再到D盘看看，测试文
件 D:\test.txt已经被删除了！现在你该知道了，当时在对象包装中输入地命令被
执行 了。好危险啊，如果这条命令是要删除系统中的一个重要文件，或者是格式
化命令 format之类的危险命令，那该有多么的可怕！
下面让我们一起来看看这个“隐身杀手”的真正面目吧！ 2. 技术原理
依照微软的解释，SHS文件是一类特殊的OLE（Object Linking and
Embedding，对 象连接和嵌入）对象，可以由Word文档或Excel电子表格创建。通
过选择文档中文本或 图像的一块区域，然后拖放该区域到桌面上的某处，就可以
创建一个Windows碎片对 象，或称为SHS文件（此文件是不可读文件）。但是你可
以用任何其它你想要的文件名 重新命名SHS文件，或者拖放SHS对象到另一个文档
（同样地，你可以剪切和粘贴）。
也就是说，我们所输入的命令作为OLE对象嵌入到对象包装程序新建的文件中
了， 而微软为了能方便的将嵌入到文件的对象进行复制，使用了一种技术Shell
Scrap Object(简称SHS)，就是说，当你在不同文件间复制对象时，Windows是将对
象包装成一 个碎片对象来进行复制的。因此，一旦我们不是在文件间进行复制粘
贴，而是直接将碎 片对象粘贴到硬盘上，就会产生一个.SHS文件。这个碎片对象
文件保存了原来对象的所 具备的功能，原来对象包含的命令同样会被解析执行，
这正是其可怕这处！ 3. 防范方法 (1)“野蛮”法
SHS文件既然不是可执行文件，当然需要其他的程序来解析执行了，我们去掉
解析 执行的关联就可以简单防止这种文件中潜伏的威胁了。 运行注册表编辑器
regedit.exe，在HKEY_CLASSES_ROOT\.shs主键下，将默认值ShellScrap删除，现
在双 击.SHS文件，看，不会执行了吧？弹出了一个对话框，让我们选择打开.SHS
文件需要的 程序，此时你选择“记事本”程序看就非常安全了。 更彻底一点的办
法是将 HKEY_CLASSES_ROOT\ShellScrap\shell\open\command下的打开.SHS文件的
关联完全去 掉，现在双击.SHS文件，连选择运行程序的对话框也不出现了，它会
直接要求在控制面 板重建文件关联。 (2)“文明”法
①在注册表编辑器HEY_CLASSES_ROOT\ShellScrap键下，有一个键值 “
NeverShowExt”，它是导致“.SHS”文件扩展名无法显示的罪魁祸首。删除这个键
值，你就可以看到“.SHS”扩展名了。
②更换“碎片对象”文件的默认图标。由于碎片对象文件的默认图标与文本文
件图 标非常相似，容易麻痹人，所以我们要更换它的图标。打开资源管理器，选
中“查看” 菜单下的“文件夹选框”，在弹出的对话框中选择“文件类型”标签
，在“已注册的文 件类型”下找到“碎片对象”。单击右上角“编辑”按钮，在
打开的“编辑文件类型” 对话框中单击上边的“更改图标”按钮。打开C:
\WINDOWS\SYSTEM\Pifmgr.dll，从出现 的图标中选一个作为“.SHS”文件的新图
标即可。 (3)更多防治手段
①如果是病毒文件隐藏了其真实扩展名“SHS”，而你在反病毒软件中设置成
扫描 指定程序文件、而不是扫描所有文件（如只扫描可执行文件），那么反病毒
软件是无法 发现病毒的，所以请在反病毒软件的指定程序文件中加入“.SHS”文
件的扫描。各种防 病毒软件的设置大同小异，比较简单，请大家自己进行设置。
②禁止“碎片对象”文件及“指向文档的快捷方式”文件。 三.改头换面的
OutLook邮件附件
除了上面所说的两类危险的“TXT”文件，还存在另一种危险的“TXT”文件—
—改 头换面的OutLook邮件附件！即一个看起来是TXT的文件其实是个EXE文件！下
面我以 OutLook2000简体中文版为例进行详细说明。
1. 开启OutLook2000，新建一个邮件，选择菜单栏中的“格式”→“带格式文
本”，在邮件正文点击一下鼠标左键，选择菜单“插入”→“对象”，点击“由
文件创 建”→“浏览”，选择Windows目录下的notepad.exe，点击“确定”，在
新邮件的主体 部分出现notepad.exe及其图标。
2. 在刚出现的notepad.exe及其图标上点击鼠标右键，选择“编辑包”，打开
对象 包装程序，选择“插入图标”按钮，选择“浏览”，选择
WINDOWS\SYSTEM\SHELL32.DLL，在当前图标框中选择一个你想要的图标，比方说选
择一 个文本文件的图标，然后按“确定”。然后选择菜单“编辑”→“卷标”，
任意定义一 个名字，比方说hello.txt，点击“确定”。
3. 退出对象包装程序，在提示是否更新时选择“是”。
4. OK，现在出现在面前的是hello.txt，一般人会认为它是一个地地道道的文
本文 件附件，相信没有人怀疑它是别的东西。请你双击这个图表，看看会发生什
么？是不是 发现它打开的是notepad.exe！如果它是一个病毒文件，结果可想而知
！
事实上，当你用OutLook2000收到这样一个邮件时，它会显示这是一个带附件
的邮 件，当你以为它是一个文本文件附件双击打开时，OutLook会提示：部分对象
携带病 毒，可能对你的计算机造成危害，因此，请确保该对象来源可靠。是否相
信该嵌入对象 ？安全观念强的人一般会选择“NO”（这就对了），一般的人可能
会选择YES（你惨了 ！）。
识别方法：不要怕，尽管它的迷惑性极大，但是仍然会露出一些马脚：
1. 它其实是一个OLE对象，并不是附件，选择它时，选择框会不同于选择附件
的选 择框。点鼠标右键出现的菜单不同。
2. 双击打开它时，安全提示与附件的安全提示不同，这点非常重要。这时，
因该 选择“NO”，然后点击鼠标右键，选择“编辑包”，提示是否信任该对象时
选择 “YES”，在对象包装程序的右边内容框中，将现出原形。在本例中，会显示
“NOTEPAD.EXE的备份”，文件是否可执行，关键在这里。
3. 因为它不是附件，在选择“文件”→“保存附件”时并无对话框出现。
4. 由于并不是所有的邮件收发软件都支持对象嵌入，所以这类邮件的格式不
一定 被某些软件识别，如OutLook Express。但是OutLook的使用面很广，尤其是
在比较大 的、有自己MAIL服务器的公司，所以还是有必要提醒大家小心嵌入对象
，不光是 OutLook，其实WORD、EXCEL等支持嵌入对象的软件可以让嵌入对象改头
换面以迷惑人。
对上面所说的三种TXT文件您了解其可怕之处了吧？其实只要你够小心，再加
上按 本文所说的防范方法去做，就不会有危险了。
--
▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄▄ ▄
▄▄
如何让你遇见我 ▄ ▄ ▄▄
在我最美丽的时刻 ▄ ▄▄▄
为这 我已在佛前求了五百年 ▄
求它 让我们结一段尘缘 ◢◤◥
※ 来源:·荔园晨风BBS站 bbs.szu.edu.cn·[FROM: 61.144.235.40]
[回到开始]
[上一篇][下一篇]
荔园在线首页 友情链接：深圳大学 深大招生 荔园晨风BBS S-Term软件 网络书店