Amaliy ish №1 Mavzu: Windows ot zararkunanda

Windows Registri

Windows registri o’zida OT va dasturlarning sozlanma fayllari va qatorlarini o’zida saqlaydi. U xam WinAPIga o’xshab ZD lar haqida axborot berishi mumkin. Oldin Windows OT ma’lumotlari . ini faylida saqlangan. U o’zida tarmoq sozlanmalarini, driverlarni, ishga tushirish(sturtup), foydalanuvchi ma’lumotlarini va boshqa ma’lumotlarni saqlaydi. Unda quyidagi ko’rinishda kalitlar mavjud:
Root key: u ikki turda bo’ladi – HKEY va hive;
Subkey: u subkatalogga o’xshaydi;
Key: unda aniq kataloglar va ularning qiymatlari saqlanadi; Root Keys – unda quyidagi 5 ta root key saqlanadi:
HKEY_LOCAL_MACHINE (HKLM) kompyuterdagi global sozlanmalarni saqlaydi;
HKEY_CURRENT_USER (HKCU) mavjud foydalanuvchi ma’lumotlarini saqlaydi;
HKEY_CLASSES_ROOT root turidagi ma’lumotlarni saqlaydi;
HKEY_CURRENT_CONFIG mavjud qurilmalar haqidagi ma’lumotlarni va standart qurilmalar bilan farqlarini saqlaydi;
HKEY_USERS kompyuterdagi mavjud, dastlabki va yangi foydlanuvchi ma’lumotlarni saqlaydi.

6. 1-rasm. Restrning dastlabki ko’rinishi
.reg fayllari - bu fayllar o’zida ma’lum sozlanmalarni saqlaydi va uni ishga tushirganimizda o’zining ma’lumotlarini restrga yozib qo’yadi. Uni ko’pchilik ZD lar restrda o’zining ma’lumotlarini saqlash uchun foydalanadi.

6. 2-rasm. Evil. exe ni restrga yozish

Bunda ko’rinib turibdiki, [HKLM\SOFTWARE\Microsoft\ Windows\CurrentVersion\Run] manziliga C:\Windows\evil. exe dasturini yozib qo’ydi, natijada OT yuklanishi bilan ushbu dastur avtomatik ishga tushadi.

Tarmoq APIlari

ZDlarning ko’pchiligi tarmoq xizmalaridan foydalanishadi. U ws2_32. dll kutubxonasi bilan bog’liq bo’lgan - socket, connect, bind, listen, accept, send va recv amallarini bajaradi.