问题描述:

怎样攻击他人电脑？ 我已经知道了同学的IP，下面就请你门讲讲了！`

解析:

锁定目标INTERNET上每一台主机都有一个符合自己的名字，就像每个人都有一个合适得称呼一样，称做域名；然而一个人可能会有几个

名字，域名的定义也会有同样的情况，在INTERNET上能真正标识主机的是IP地址，域名只是用IP指定的主机用于好记的而起的名字。当然利

用域名和IP地址都可以顺利找到主机(除非你的网络不通)。要攻击谁首先要确定目标，就是要知

道这台主机的域名或者IP地址，例如：123、1.1.1.1等。知道了要攻击目标的位置还很

不够，还需要了解系统类型、操作系统、提供服务等全面的资料，才能做到“知己知彼，百战不

怠”，如何获取相关信息，下面我们将详细介绍，如果对网络域名和IP地址不清楚的，赶紧翻一下手头的书吧！并且现在练习一下 PING 命

令吧！相信在实战中会用得到！有什么用？如果 PING目标主机返回时间太长或你根本PING不通目标主机，你如何继续呢！(目标不在你的射

程之内)二、服务分析INTERNET上的主机大部分都提供WWW、MAIL、FTP、BBS等网络信息

服务，基本每一台主机都同时提供几种服务，一台主机为何

能够提供如此多的服务呢？UNIX系统是一种多用户多任务的系统，将网络

服务划分许多不同的端口，每一个端口提供一种不同服务，

一个服务会有一个程序时刻监视端 *** 动，并且给予应有的应答。并且端口的定义已经成为了标

准，例如：FTP服务的端口是21，TELENT服务的端口是23，

WWW服务的端口是80等，如果还想了解更多请进行下面的步骤： 进入MS-DOS PROMPT C:\WINDOWS>

edit services (回车) 慢慢阅读吧！不过很多的端口都没有什么用，不必把它们都记住！我们如何知道目标主机提供了什么

服务呢？很简单用用于不同服务的应用程序试一试就知道

了，例如：使用TELNET、FTP等用户软件向目标主机申请服务

，如果主机有应答就说明主机提供了这个服务，开放了这个端口的

服务，但我们现在只需知道目标主机的服务端口是否是“活

”的，不过这样试比较麻烦并且资料不全，我会经常使用一些象 PORTSCAN 这样的工具，

对目标主机一定范围的端口进行扫描。这样可以全部掌握目标主机的端口情况。现在介绍一个好

工具，缺少好工具，就不能顺利完成工作。 HAKTEK是一个非常实用的一个

工具软件，它将许多应用集成在一起的

工具，其中包括：PING 、IP范围扫描、目标主机端口扫描、邮件炸弹、过滤邮件、FINGER

主机等都是非常实用的工具。完成目标主机扫描任务，首先告诉HAKTEK目标主机的位置，

即域名或IP地址。然后选择端口扫描，输入扫描范围，开始扫描，屏幕很快返回“活”的端口号以及对应的

服务。对资料的收集非常迅速完整。为什么掌握目标的服务

资料？如果目标主机上几个关键的端口的服务都没有提供，还是放弃进攻的计划吧，不要浪费太多

时间放在这个胜率不大的目标上，赶紧选择下一个目标。先看一个扫描实例： Scanning host xx.xx.xx, ports 0 to 1000 Port 7 found.

Desc=echo Port 21 found. Desc=ftp Port 23 found. Desc=tel Port 25 found. Desc= *** tp Port 53 found.

Desc=domain/nameserver Port 79 found. Desc=finger Port 80 found. Desc= Port 90 found. Port 111 found.

Desc=portmap/sunrpc Port 512 found. Desc=biff/exec Port 513 found. Desc=login/who Port 514 found. Desc=shell/syslog Port

515 found. Desc=printer Done! 如果系统主要端口是“活”的，也不要高兴太早，因为系统可能加了某些限制，不允许任何用户远程连接

或不允许ROOT远程连接，或者进入后限制用户只能做指定的活动便又被强行中断，这仅仅指TELNET服务

而言，其实还会遇到很多复杂的情况。 这里只介绍目标主机是否开放了端口，而我们还不知目标主机使用的是什么系统，每一个端

口的服务程序使用的是什么版本的系统，不要急，先联系一下HAKTEK

工具吧！没有，快去下载吧！三、系统分析现在开始讲解如何了解系统，目标主机采用的

是什么操作系统，其实很简单，首先打开WI N95的RUN窗口，然后输入命令： TELNET xx.xx.xx.xx(目标主机) 然后[确定]，看一看你的屏

幕会出现什么？ Digital UNIX (xx.xx.xx) (ttyp1) login: 不用我说你也会知道你的目标主机和操作系统是什么啦！对，当然是DEC机，

使用的是 Digital UNIX啦！好，我们再看一个： UNIX? System V Release 4.0 (xx.xx.xx) login: 这是什么？可能是SUN主机，Sun Os或

Solaris，具体是什么？我也说不清楚！这一方法不是对所有的系统都有用，例如象下面的情况，就不好判断是什么系统： XXXX OS

(xx.xx.xx) (ttyp1) login: 有些系统将显示信息进行了更改，因此就不好判断其系统的信息，但根据一些经验可以进行初步的判断，它可

能是HP Unix。 另外利用上面介绍的工具HAKTEK，利用目标主机的FINGER功能也可以泄露

系统的信息。 Establishing real-time userlist… (Only works if the sysadmin is a moron) ---[ Finger session

]-------------------------------------- Wele to Linux version 2.0.30 at xx.xx.xx …上面的这句话就已经足够！ 如何知道系

统中其它端口使用的是什么服务？例如23、25、80等端口。 采用同样上面的手段，利用TELNET和本

身的应用工具，FTP等。 使用TELNET是请将端口号作为命令行参数，例如： tel

xx.xx.xx 25 就会有类似下面的信息提供给你： 220 xx.xx.xx Sendmail 5.65v3.2 (1.1.8.2/31Jan97-1019AM) Wed, 3 Jun 1998

13:50:47 +0900 这样很清楚目标主机Sendmail的版本。当然对很多端口和不同的系统根本没有用。 因此需要对应的应用

工具才能获得相应的信息。例如： Connected to xx.xx.xx.220 xx.xx.xx FTP server

(Digital UNIX Version 5.60) ready. User (xx.xx.xx none)): INTERNET上大多数是WWW主机，如何知道目标主使用的是什么样的WEB

SERVER，介绍一个页面的查询工具，只要你告诉它目标主机的地址和WEB

服务断口，它立刻会告诉你有关信息。

解析:

一、VBS.LoveLetter@MM

这是一个Loveletter病毒家族的变种，该病毒通过下面的邮件传播：

主题：: Where are you?

消息主体： This is my pic in the beach!

附件： JENNIFERLOPEZ_NAKED.JPG.vbs

VBS.Loveletter.CN@mm还安装文件Cih_14.exe，该文件是CIH病毒的安装器，并企图运行CIH病毒。

当执行时，病毒VBS.Loveletter.CN@mm将试图完成下面的工作：

1、修改注册键中的"Timeout" 键值，这样当 诵薪铣な奔湎低巢换嵯允鞠ⅰH缓螅《舅阉魉锌捎玫那鳎檎揖哂邢铝欣┱姑奈募?

--扩展名为.vbe, , .jpeg 的文件被替换成 《镜母北尽?

--扩展名为.js, .jse, .css, .wsh, .sct, 和.hta 的文件将被 《靖北咎婊唬⑶椅募睦┱姑崽砑?vbs 。例如：原文件Filename.wsh 变成Filename.wsh.vbs.

--扩展名为.mp2 和.mp3的文件被复制，副本的扩展名中将添加.vbs的后缀，原文件被标记为隐藏。

2、创建下面的注册键：

HKEY_CURRENT_USER\Sofare\JENNIFFERLOPEZ_NAKED\Worm made in algeria

3、添加注册键值：

HKEY_LOCAL_MACHINE\Sofare\Microsoft\Windows\CurrentVersion\Run

值：WORM w exe \\JENNIFERLOPEZ_NAKED.JPG.vbs %

以便每次windows启动都运行该病毒。

4、检查注册键：

HKEY_CURRENT_USER\Sofare\JENNIFFERLOPEZ_NAKED的值是否为：mailed = 1

如果不是，则执行发送邮件功能，发送完邮件，将其值设为1。

5、蠕虫编写十六进制的文件并将其保存为\Windows\Cih_14.exe。该文件包含一个CIH病毒的安装器，之后执行该文件。一旦执行，病毒将驻留内存（win98/me），并感染PE可执行文件。

二、W32.Nimda

Worms.Nimda 是一个新型蠕虫，也是一个病毒，它通过email、共享网络资源、IIS服务器传播。同时它也是一个感染本地文件的新型病毒。

Worms.Nimda运行时，会搜索本地硬盘中的HTM和HTML文件和EXCHANGE邮箱，从中找到EMAIL地址，并向这些地址发邮件；搜索网络共享资源，并试图将带毒邮件放入别人的共享目录中；利用CodeBlue病毒的方法，攻击随机的IP地址，如果是IIS服务器，并未安装补丁，就会中毒。该蠕虫用它自己的的SMTP服务器去发出邮件。同时用已经配置好的DNS获得一个mail服务器的地址。

Worms.Nimda运行时，会查找本地的HTM/ASP文件，将生成的带毒邮件放入这些文件中，并加入java 疟尽U庋康备猛潮淮蚩保突嶙远蚩萌径镜膔eadme.eml。

Worms.Nimda感染本地PE文件时，有两种方法，一种是查找所械腤INDOWS 应用程序(在HKEY_LOCAL_MACHINE/Sofare/Microsoft/Windows/Currentversion/App Paths中)，并试图感染之，但不感染WINZIP32.EXE；第二种方法搜索所有文件，并试图感染之。被感染的文件会增大约57KB。

如果用户游览了一个已经被感染的web 页时，就会被提示下载一个.eml(Outlook Express)的电子邮件文件，该邮件的MIME头是一个非正常的MIME头，并且它包含一个附件，即此蠕虫。这种邮件也可能是别人通过网络共享存入你的计算机中，也可能是在别人的共享目录中，无论如何，只要你在WINDOWS的资源管理器中选中该文件，WINDOWS将自动预览该文件，由于Outlook Express的一个漏洞，导致蠕虫自动运行，因此即使你不打开文件，也可能中毒，相关信息请参见微软安全网站：microsoft/tech/security/bulletin/MS01-020，同时，该漏洞已有安全补丁：microsoft/windows/ie/downloads/critical/q290108/default。

当这个蠕虫执行的时候，它会在WINDOWS目录下生成MMC.EXE文件，并将其属性改为系统、隐藏；它会用自己覆盖SYSTEM目录下的RICHED20.DLL，这个文件是OFFICE套件运行的必备库，WINDOWS的写字板等也要用到这个动态库，任何要使用这个动态库的程序试图启动时，都会激活该它；它会将自己复制到SYSTEM目录下，并改名为LOAD.EXE，同时将SYSTEM.INI文件中的SHELL项改为“explorer．exe load．exe － dontrunold”，这样，在系统每次启动时，将自动运行它；这个蠕虫会在已经感染的计算机共享所有本地硬盘，同时，这个蠕虫会以超级管理员的权限建立一个guest的访问帐号，以允许别人进入本地的系统。这个蠕虫改变Explorer的设置这样就让它无法显示隐藏文件和已知文件的扩展名

三、W32.Elkern.cav.c

W32.ElKern.3326感染共享文件、映像驱动器，同时该病毒还会感染本机硬盘的\Windows\System目录中的文件。

如果病毒是在Windows NT/2000系统中被激活，当第一次被激活后，病毒变会蹦溃。

如果病毒在Windows 9x系统中被激活并且本机有带写保护的网络映像，很短的时间后，病毒将使机器当掉。

病毒感染文件后，文件的大小并不改变。

W32.ElKern.3326在感染文件时可能是空的感染源也可能是“添加器”，这就意味着，如果可能，病毒将拒绝将自身代码添加到宿主文件内，免得文件的尺寸变大。

一旦病毒被激活，它将创建一个自身的可执行文件后，直接控制对宿主文件。

在\Windows\System目录中创建自身的副本，文件名依不同的系统而不同：

1）Windows 95/98/Me： %System%\Wqk.exe

2）Windows NT/2000： %System%\Wqk.dll

根据不同的操作系统，W32.ElKern.3326创建不同的不同的注册键：

1）Windows 95/98/Me

HKEY_LOCAL_MACHINE\Sofare\Microsoft\Windows\CurrentVersion\Run

值：WQK %System%\Wqk.exe

2）HKEY_LOCAL_MACHINE\Sofare\Microsoft\Windows NT\CurrentVersion\Windows

值：AppInit_DLLs %System%\Wqk.dll

eeen each file that it tries to infect.

四、VBS.Redlof@M

1.此病毒属于脚本类病毒,此病毒感染脚本类型的文件。

2.此病毒运行时，全盘查找脚本类型的文件{vbs,, 等),如果找到，则将病毒自身加入这些文件的尾部，完成感染。

3.此病毒感染目录时，还会在一些目录下产生两个文件，一个名为：desktop.ini的目录配置文件，一个名为：folder.htt的病毒体文件。

五、W32.Klez

该病毒基本分为两部分：一部分是狭义上的病毒，它感染PE结构文件，病毒大小约为3K，用汇编语言编写；第二部分是蠕虫大小为56K，它在运行中会释放并运行一个11722字节的带毒的PE文件。第二部分是用VC++编写的，它只可以在WINDOWS 9X或WINDOWS2000上运行，在NT4上无法运行。

它的传播方式有四种：

第一种：通过INTERNET邮件，它搜索当前用户的地址簿文件中的类邮件地址的文本内容，或随机计算邮件地址，通过WINDOWS的SOCKET函数集用SMTP服务器发送自己这个带毒木马，邮件文件是由木马部分形成，并且该邮件会在OUTLOOK EXPRESS下自动执行，它的主题是随机的，但以下几种情况：

Hi

Hello

How are you?

Can you help me?

We want peace.

Where will you go?

Congratulations!!!

Don't cry.

Look at the pretty.

Some advice on your shorting.

Free XXX Pictures.

A free hot *** site.

Why don't reply to me?

How about have dinner with me together?

信的正文为：

I'm sorry to do so,but it's helpless to say sorry.

I want a good job,I must support my parents.

Now you have seen my technical capabilities.

How much my year-salary now? NO more than $5,500.

What do you think of this fact?..Don't call my names,I have no hostility.

Can you help me?

第二种：通过网络邻居，它搜索所有的网络连接，查找共享目录，将自己的文件放到享目录中，并试图让远程计算机将它作为一个服务启动。

第三种：通过磁盘传播，它创建专门的线程感染磁盘，如果当前日期奇数月的13号，将找到的文件内容进行复制。

第四种：方式病毒感染。

病毒部分的运行过程：

1、解密后面的代码长度258H字节

2、然后病毒在内存中查找KERNEL32模块，并根据名字的检验字找到一大批函数入口，这些函数供后面的代码调用。

3、申请内存，将所有代码拷贝到申请的内存中，并转申请的内存执行。

4、查检有无调试程序（调IsDebugPresent函数），如在调试程序下运行，终止病毒代码，返回到原宿主程序（如果是配套的木马，则返回到操作系统）。

5、启动感染代码，如未在调试程序下运行，在SYSTEM（由GetSystemDirectory）目录感染或建立WQK.EXE(WIN9X下)或WQK.DLL(NT下)。

6、将当前进程注册为服务进程。

7、创建感染线程，根据系统时间，如果为13号且为3月或9月，感染所有硬盘或网络盘文件。否则感染系统目录。某些条件下创始的感染线程会启动另一个感染线程，直到系统崩溃。

8、如果是NT操作系统，同时感染所有网络邻居。

9、返回宿主或操作系统。

木马部分运行过程：

1、解码所有字符串。

2、改变当前进程访问权限。

3、启动线程1，线程1的作用如下：

检查当前所有进程，如果有以下进程（部分匹配），则终止这些进程：

_AVP32, _AVPCC, _AVPPM, ALERTSVC,AMON

AVP32,AVPCC,AVPM,N32SCANW,NAVAPSVC,

NAVAPW32,NAVLU32,NAVRUNR,NAVW32,NAVWNT,

NDD32,NPSSVC,NRESQ32,NSCHED32,NSCHEDNT,

NSPLUGIN,SCAN,SMSS

如果是WINDOWS9X系统，将当前程序设为自启动（Sofare\Microsoft\Windows\CurrentVersion\Run）线程永不终止。

4、启动线程2，作用如下：

复制自己，运行后删除，然后线程终止。

5、在系统目录中创建KRNL32.EXE，如果是9X，运行它，并将它放入 Sofare\Microsoft\Windows\CurrentVersion\Run 中自动运行。如果是2000系统，

将它作为Service启动。

6、创建线程3，发送EMAIL。

创建线程4，感染网络所有共享文件，每8小时搜索一次。

创建线程5，搜索磁盘文件。

创建线程6，检查当前日期是否为奇数月的13号，如是，将所有文件复制一次，线程5小时运行一次，永不退出。

六、W32.Nimda.eml

感染途径：

该病毒是一种传染途径很多的病毒，并且尝试利用多种已知系统漏洞，于第一版相似，它通过以下途径感染

l 电子邮件（附件）

l 局域网共享驱动器

l 利用没有安装Service Pack的IIS(Inter Information Server)

l 通过文件感染

利用了如下的系统漏洞：

l MIME漏洞，可以在没有得到用户许可的情况下自动执行附件

l IIS漏洞，使之可以被上载恶意代码与前版本的不同：

Win32.Nimda.E是Nimda.A的新变种，它修改了以前版本的一些错误，并且加入了对付多种对抗反病毒软件的设计，它与第一版的主要区别有：

l 附件名改名为Sample.exe

l 复制本身到系统目录下的名称改为Csrss.exe（原来为mmc.exe）

l 释放出的动态库名称变更为Httpodbc.dll

建议用户做如下系统升级，以便防患于未然：

升级到Inter Explorer 5.01 SP2 或

升级到Inter Explorer 5.5 SP2 或

升级到Inter Explorer 6.0

下载并安装升级包，NT4用户使用NT4 Service Pack 6a，Windows 2000用户使用 Windows 2000 Service Pack 2，并且到微软公司的主页（或用Windows Update）下载安全补丁。

注意磁盘共享的权限、口令设置，不要让所有用户对硬盘驱动器都可以读写不要打开来历不明的邮件附件，尤其是可执行文件。

七、W32.Klez.eml

新的Klez变种在以前的基础上增加了更多的工作线程，并且在驻留系统后可能会结束其它进程并且删除相应文件，所以有较大的破坏，提请用户注意！

蠕虫的流程：

1.蠕虫使用AdjustTokenPrivileges调整自己的特权，

2.拷贝自己的一个副本到系统目录下，名为win****.exe.

3.修改注册表，向SCM数据库中添加新的服务。

4.复制自己并运行，然后删除。

5.调用StartServiceCtrlDispatcher函数。

6.服务创建下面的线程。

7.结束。

第一个线程：

写注册表

遍历系统进程，结束正在运行的进程并删除进程的磁盘文件。

第二个线程：

发email.

第三个线程：

遍历本地网络。

第四个线程：

注册表操作

第六个线程：

搜索特定目录

第七个线程：

搜本地磁盘。

第八个线程：

搜索磁盘文。

第五个线程：

复制自己，运行后删除。

信件主题可能为以下内容：

Hi,

Hello,

Re:

Fw:

Undeliverable mail--"..."

Return

how are you

Let's be friends

Darling

Don't drink too much

your password

Honey

Some questions

Please try again

wele to my hometown

The Garden of Eden

Introduction on ADSL

Meeting notice

questionnaire

Congratulations

Sos!

Japanese girl VS playboy

Look,my beautiful girl friend

Eager to see you

spice girls' vocal concert

Japanese lass' sexy pictures

信件携带的附件虚假扩展名可能为以下之一：

txt wab doc xls cpp c pas mpg mpeg bak mp3

真实扩展名为EXE SCR PIF BAT之一。

病毒体内有以下加密信息：

Win32 Klez V2.0 &Win32 Elkern V1.1,(There nick name is Twin Virus*^__^*)

Copyright,made in Asia,announcement:

1.I will try my best to protect the user from some vicious virus,Funlove,Sircam,Nimda,CodeRed and even include 32.Klez1.X

2.Pitiful AVers,can't Elkern 1.0 &1.1 work on Win 2K&XP?Plz clear your eyes.

3.Well paid jobs are wanted

4.Poor life should be unblessed

5.Don't accuse me.Please accuse the unfair shit world

解决方法，本病毒无法手工杀毒，只能升级杀毒软件。并且由于会结束进程，所以建议用户在DOS下用杀毒软件清除。

八、Script.Exploit

1.此病毒利用脚本的SCAPE功能将自身加密,以达到隐藏自己的目的.

2.此病毒利用”万花谷病毒”的技术来破坏系统的正常使用.

3.将IE的首页通过系统注册表项

HKEY_LOCAL_CURRENT_USER\\Sofare\\Microsoft\\Inter Explorer\\Main\\Start Page",设置成为:” hunk.love.you/'>[url=hunk.love.you/]hunk.love.you/”

4.为了达到破坏性，该病毒对系统的注册表做了如下的修改：

1.通过系统注册表项HKCU\\Sofare\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoRun的修改使系统没有”运行”菜单。

2.通过系统注册表项HKCU\\Sofare\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoClose的修改使系统没有” 关闭系统”项目.

3.通过系统注册表项HKCU\\Sofare\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoLogOff的修改使系统没有”注销”项目.

4.通过系统注册表项HKCU\\Sofare\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoDrives的修改使系统没有所有的逻辑驱动器.

5.通过系统注册表项HKCU\\Sofare\\Microsoft\\Windows\\CurrentVersion\\Policies\\System\\DisableRegistryTools的修改使系统不能使用注册表的编辑工具REGEDIT.

6.通过系统注册表项HKCU\\Sofare\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\NoDesktop的修改使系统没有桌面.

7.通过系统注册表项HKCU\\Sofare\\Microsoft\\Windows\\CurrentVersion\\Policies\\WinOldApp\\Disabled的修改使系统禁止运行所有的DOS应用程序.

8.通过系统注册表项HKCU\\Sofare\\Microsoft\\Windows\\CurrentVersion\\Policies\\WinOldApp\\Disabled的修改使系统不能启动到"实模式（传统的DOS模式）"下.

9.通过系统注册表项"HKLM\\Sofare\\Microsoft\\Windows\\CurrentVersion\\Winlogon\\LegalNoticeCaption的修改使系统登录时显示一个登录窗口,此窗口的标题为:” HUNK提醒您中了※混客绝情炸弹※QQ:5604160”.

10.通过系统注册表项HKLM\\Sofare\\Microsoft\\Windows\\CurrentVersion\\Winlogon\\LegalNoticeText的修改使系统登录时显示一个登录窗口,此窗口内的文字为:” HUNK提醒您中了※混客绝情炸弹※QQ:5604160”.

11.通过系统注册表项HKLM\\Sofare\\Microsoft\\Inter Explorer\\Main\\Window Title的修改使系统在打开所有的IE窗口时, 窗口的标题为:” HUNK提醒您中了※混客绝情炸弹※QQ:5604160”.

九、W32.FunLove.gen

这是WIN32类型的病毒，它可以感染Windows 9x 和Windows NT 4.0操作系统。它感染所有WIN32类型的文件（PE文件），如Windows 和 Program Files 目录及其子目录中的扩展名为.EXE, .SCR, and .OCX 的文件。该病毒搜索所有具有写访问的网络共享文件夹并感染那里的所有的文件。该病毒同时能够修补NT环境的完整性检测，以便能够感染系统文件。

病毒中有'~Fun Loving Criminal~'字样。 该病毒没有故意的破坏性，但是由于NT系统安全性很差而可能造成的破坏还是应当引起注意的。

同一个简单的添加一样，Win32/Funlove.4099将它的代码复制到宿主文件的最后一个扇区的结尾，然后，它修改PE文件头信息以显示新的扇区大小，使扇区的特征适应病毒的需要，同时病毒修改原文件入口点的程序代码以便执行病毒代码。

当一个染毒程序被运行，病毒代码程序获得系统控制权，Win32/Funlove.4099 病毒在系统目录下创建FLCSS.EXE文件，并从染毒宿主文件的最后提取出病毒代码，将其写入该文件中，然后FLCSS.EXE被执行。

如果是在NT的许可权限下运行，FLCSS.EXE会将自身像一个服务程序一样安装到NT机器上。它会以"FLC"显示在标准的NT服务列表中，并且被设置为在每次启动时自动运行此服务。在Windows 9X下，它像一个隐含程序一样运行，在任务列表中是不可见的。

在病毒程序第一次运行时，该病毒会按照一定的时间间隔，周期性地检测每一个驱动器上的EXE，SCR（屏保程序）和OCX（ActiveX control）文件，找到相应的文件就感染它们。它还搜索在网络上可使用的共享资源，并感染任何有访问权限的同一类型的文件。因此，它可以在机器间完全开放权限的共享文件上非常快地传播。该病毒检测以下文件名且不感染它们：ALER*, AMON*, _AVP*, AVP3*, AVPM*, F-PR*, NAVW*, SCAN*, SMSS*, DDHE*, DPLA*, MPLA*。

尽管该病毒对数据没有直接的破坏性，但是在NT下，Win32/Funlove.4099 病毒还是对NTOSKRNL.EXE 文件做了一个小的修改（patch），使得文件的许可请求总是返回允许访问（access allowed），这意味着被感染机器的安全已受到了极大地威胁。只要是在被修改的机器上，所有的用户都拥有了对每一个文件的完全控制访问权，即使是在系统中可能拥有最低权限的GUEST，也能读取或修改所有文件，包括通常只有管理员才能访问的文件。在NT启动时，NTLDR将检测NTOSKRNL.EXE 的完整性，所以病毒也修改NTLDR，因此NTLDR将允许系统加载修改后的NTOSKRNL文件。这种修改只能在某些NT服务包（service packs）中起作用，但是不管当前机器的SP级别病毒都会申请修改程序。在感染FLC病毒的NT机器上清除病毒后，需要用备份文件对这些被修改的文件进行恢复，或者重新安装这些文件。

如果FLCSS.EXE 运行在DOS下，病毒将显示'~Fun Loving Criminal~'字串，然后它试图通过键盘控制器重新启动系统。这大概是希望Windows被加载且病毒可能有另一个机会去执行。这种尝试经常失败，而计算机则被锁。

十、W95.Spaces.gen

这是一个危险的常驻内存寄生病毒。它只在WIN95/98下进行复制，而且会感染WIN32可执行文件。当一个受染文件运行的时候，病毒会自我安装到WINDOWS内存中。在感染的时候，病毒会增加文件最后区的空间病把自己写到这里。

在七月一日，病毒会破坏硬盘的MBR区病毒终止机器的运行。它会删除MBR载入程序的代码并修改磁盘的分区表格，这样只有一个区间被列出，然后指到MBR区。这种方式的破坏很危险：在DOS装载的时候会被终止。虽然磁盘上的数据没有被破坏，但是这个磁盘区不能被再次访问了。病毒能绕过BIOS防病毒保护程序把自己直接写到硬盘控制器的端口，这样就破坏了MBR区间。由于病毒程序存在缺陷，因此会产生"General Protection Fault"出错信息，这样MBR就会免于受到破坏。

注意：如果在一个文件的最后部分发现字符串ERL，这就能证明此病毒已经感染了这个文件。