映像劫持 最常用的劫持伎俩

大家也许都遇到过这样的场景——原本正常的杀软等安全工具突然无法启动了，系统出现各种奇怪症状。这很有可能说明恶意程序对杀软进行了映像劫持。

映像劫持技术（IFEO）本意是为一些在默认系统环境下运行时，又可能发生错误的程序执行体提供一个特殊的环境设定，主要用于调试程序的目的。当一个可执行程序位于IFEO的控制中时，其内存分配则根据其参数而定，而Windows NT架构的系统可以通过相关注册表项的使用与可执行程序文件名匹配的项目作为程序加载时的控制依据，最终得以设定一个程序的堆管理机制和一些辅助机制等。

出于简化的目的，IFEO使用忽略路径的方法来匹配它所要控制的程序文件名，因此无法将程序放置在哪个目录，只有其名称没有变化，其运行就会出现问题。所以，将被劫持的程序更换一个名称，就可以顺利启动了。

运行“regedit.exe”程序，展开“HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options”分支，在其下可以查看被劫持的程序。

也可以自建有益的劫持项目，例如当您不希望运行某个程序（例如“xxx.com”），可以在该主键的右键菜单上点击“新建”→“项”，之后将新建的子健改名为“xxx.exe”，选中该子健，在右侧窗口中建立一个字符串类型的名称为“debugger”的键值名，并将其值修改为“C:denyrun.exe”。这样，当运行该“XXX.exe”程序时，会触发一个根本不存在的程序，自然无法运行了。

除了在上述路径中删除被劫持的程序项目外，也可以运行“regedit32.exe”程序，在其中打开上述路径，在其右键菜单上点击“权限”项，在弹出窗口中分别选 择“Administrators”和“SYSTEM”账户，在“拒绝”列中选择所有项目，就可以禁止操作映像劫持项目。……