用WinRAR解析木马病毒的捆绑原理(2)

　　由于可以直接用WinRAR打开，笔者断定它就是由WinRAR制作的，现在笔者就开始解密它的制作过程。首先要有图片文件的ico（图标）文件（可以使用其他软件提取，笔者就不在这里讲述详细过程了），如图3。把图片文件和木马都选定，右点，选择"添加到档案文件"（WinRAR的选项），见图4，在"档案文件名"那输入压缩后的文件名，比如：我的照片.gif.exe，后缀如果为.exe就可以直接执行，如果不是.rar就会打开WinRAR，所以这里最后的后缀为.exe，根据自己的需要选择"压缩方式"，然后点击"高级"标签，选择"SFX　选项"，见图5，在"释放路径"中填入你需要解压的路径，笔者这里填的是"%systemroot% emp"（不包括引号），表示解压缩到系统安装目录下的temp（临时文件）文件夹下，并且在"安装程序"的"释放后运行"输入"server.exe"（不包括引号），在"释放前运行"输入"我的照片.gif"（不包括引号）。

　　这样在解压缩前将会打开我的照片.gif这个文件，造成朋友对文件判断的假象，会认为它就是一个图片文件，而释放完以后便会自动运行木马（即server.exe）。在"模式"标签的"缄默模式"中选择"全部隐藏"，"覆盖方式"中选择"覆盖所有文件"，在"文字和图标"标签的"自定义SFX图标"，载入刚才所准备的图片文件的ico文件，然后点击"确定"即可，这样即天衣无缝的制作了一个捆绑图片的木马。当打开这个文件时，会先运行图片文件，再自动打开木马文件，中间不会出现任何提示。

　　注：希望广大朋友不要进行非法用途，在这里解密木马捆绑是希望大家了解其原理。