WinRAR另类隐藏危险

引言：WinRAR是很常用的解压缩工具，因为其提供了创建自解压包的功能，因此也成了病毒制作者和黑客们的“最爱”。不过现在大家已经对这类捆绑包产生了足够的警惕，配合杀毒软件的监控和围捕，这类恶意自解压包已经无法轻易对系统造成损害了。其实，除了在WinRAR自解压包中捆绑恶意程序外，黑客还会常用特殊的方法，在其中添加各种危害系统安全的代码，对用户发起出其不利的袭击。而且，杀毒软件对这种破坏方式是无法进行拦截的，因此其危险性不容小觑。

提防挂马术

当从网上得到某个自解压包后，使用杀毒软件对其扫描，没有发现什么威胁，直接对其解包，也不会发现可疑程序。但是，如果直接双击运行该包，就会执行诸如自动创建黑客账户，让黑客可以从容入侵；自动进入恶意网站，招来隐藏在其中的病毒木马的攻击等动作。这类自解包中究竟存在什么猫腻，可以逃避杀毒软件的监视呢？其实，这就是黑客玩弄的一些小花招，在自解压包中添加了恶意代码恶意，黑客可以从自解压包提供的“注释”或者“文本和图标”两个部分下手，来插入恶意代码。对于前者来说，黑客可以选中任意文件，在其右键菜单中点击“添加到压缩文件”项，在弹出窗口的“常规”面板中勾选“创建自解压格式的压缩包”项，来创建自解压包。之后在“注释”面板中的“手动输入注释内容”栏中输入恶意代码，之后创建自解压包。一旦运行该包，就会打自动进入预设的挂马网站。

为了实现更好的隐蔽运行效果，黑客还会在“注释“栏中添加“silent=1”，这样当运行时就不会出现任何提示信息，直接打开预设的网页或者执行命令。为了防止用户直接使用WinRAR打开该自解压包，查看“注释”面板中的内容，黑客还会在真正的注释内容前添加N个空行，让粗心的用户以为注释内容为空而放松警惕。另外一种添加恶意代码的方法是借助于特殊的文本，来打造恶意自解压包。黑客会使用使用WinRAR创建自解压包，在设置窗口中的“高级”面板中点击“自解压选项”按钮，在高级自解压选项窗口中的“自解压文件窗口中显示的文本”栏中输入恶意代码（如图1所示）。可以创建预设尺寸的网页显示界面。这样当用户双击该自解压包时，就会在自解压说明窗口中打开预设的恶意网页了。对付隐藏在自解压中的上述威胁，既可以使用WinRAR直接进入自解压包内部，查看注释等信息来发现危险信息，也可以通过安装防火墙等安全软件，来防范和拦截挂马网站，避免其对系统造成危害。

危险文件删除指令

仅仅在自解压包中添加以上恶意代码，对系统的危害还不是太大。但是黑客一旦利用自解压包执行文件自动删除操作，那么其危害就很大了。轻则造成重要文件丢失，重则造成磁盘内容被清空甚至系统崩溃。黑客的操作手法并不复杂，但是其破坏力破坏力却很大。例如，黑客可以选中任意文件，在其右键菜单中点击“添加到压缩文件”项，在弹出窗口中勾选“创建自解压格式的压缩包”项，之后在“高级”面板中点击“自解压选项”按钮，在弹出窗口中的“常规”面板中的“解压路径”栏中输入目标路径。取消“保存并恢复路径”项的选择状态，之后在“高级”面板（如图2所示）中的“目标文件夹中要删除的文件”中输入“*.*”。然后点击确定按钮，创建该自解压包。只要双击该压缩包，在弹出窗口中点击“安装”按钮，之后进入目标路径文件夹中，可以看到其中原有的文件和文件夹都消失了，只显示自解压包中释放的文件。

图2 高级自解压选项

图3 深入自解压包内部查看代码信息

如果将上述路径更换为系统路径，那么系统路径中所有内容就被悄无声息的删除，其危害是十分严重的。例如，黑客可以将某个游戏软件压缩成自解压包，在其中添加删除某个分区内容的信息，那么当不知情的用户下载并安装该游戏后，就会惊讶的发现某个磁盘变得空空如也。一旦在其中存储了重要数据，恐怕想找回来就要很费一番功夫了。有的用户觉得只要在运行这种类型的自解压包时，在解压界面中将目标路径指定一个空文件夹，就可以避免损失，但是狡猾的黑客会在制作自解压包时，在该机自解压选项窗口中的“模式”面板中的“安静模式”栏中选择“全部隐藏”项，在“覆盖方式”栏中选择“覆盖所有文件”项。这样当运行该自解压包时，就不会出现任何操作界面，直接完成解压操作，根本不给您更改自解压参数的机会。对于这种自解压包，杀毒软件也是无能无力的，因为在其中没有捆绑或者隐藏病毒，木马等“显眼”的目标，即使其中包含了恶意删除指令，杀毒软件对其也是视而不见的。

难道对于上述恶意自解压包就没有有效的防御方法吗，其实防御的办法并不少。例如，可以在自解压包的右键菜单上点击“解压文件”项，将其手工解压到预设的路径中，让其中的恶意代码无法执行。或者现将可疑的自解压文件更名，例如将其后缀更改为“.aaa”的类型，避免直接运行。之后启动WinRAR，在其主界面中双击更名后的自解压包，进入其内部查看其包含的文件内容，在右侧会显示其中包含的注释，代码等内容（如图3所示），如果发现其中存在“delete=*.*”等内容，就要提高警惕，不要轻易双击运行。也可以在自解压包的右键菜单上点击“属性”项，在其属性窗口中的“注释”面板中查阅相关信息，来识别其中隐藏的危险。