全面分析3721及上网助手

全面解密3721及上网助手(深山红叶)

3721真的还能卸载干净吗？

3721真的只是是一个中文上网那么简单吗？

3721对网络或者对国家安全的伤害只是是您如今所认识到的吗？

3721自称的“详细技术状况”真的帮您知情权了吗？

3721上网助手真的是您的哪些“助手”吗？

全面揭露触目惊心！

3721作为一种可手动安装的、普及率极广的一种网络程序，近年来对之的争议颇多。本文试图从安装、卸载工、服务、系统制约等各个方面阐述系列客观事实，有关观点仅代表笔者个人看法，拿出来与大方之家商榷，相信你们见仁见智各有自己的结论，同时也期望借此引发有关部门的留意。

测试环境：VMWare虚拟机，共享主机连接，以独立的公网IP 地址上网；操作系统为Windows XP Pro SP2，默认安装，仅以直接复制的方法拷贝了检测所需要的文件管理程序Total Commander、注册表跟踪软件Advanced Registry Tracer、抓图工具UltraSnap、打字必须的极点五笔输入法，未安装其它任何工具。另外，部分截图为削减篇幅采用了以重叠的形式显示多幅照片内容。

一、3721安装剖析

1、安装推广由“反复提醒”式为主为转向捆绑为主

自从Windows XP SP2推出强化的安全特征后，以前经常发生的3721安装提示被进行了有效阻断（图1），因此其推广安装方法除传统的借助浏览器植入安装、直接下载安装外，又开拓了在这些共享工具和免费硬件中捆绑的方法进行安装（图2）。新的捆绑安装方法，虽然有安装选项，但针对习惯了“一路回车法”安装工具的用户，被顺手装入系统的可能性极大！

图 1 Windows XP SP2的安全措施帮3721的安装带来不便

图 2通过免费或共享工具的捆绑并默认安装

2、“一拖三”的安装方法，偷偷植入另外模块

如果被安装上上网助手，则实际上同时被植入系统的只是上网助手一个程序，而是同时另外被静默地植入了“地址栏搜索”和“搜索助手”这两套独立的程序（图3）。

卸载上网助手时，额外植入的两套程序不会被卸载；卸载每一套程序时，卸载对话框中都添加保留另外模块的选项，以推动非故意卸载情况下的自我交叉修复。

图 3

3、完善的自我保护机制

从安装、保护、卸载、修复几个环节来看，各个环节环环相扣（图4），任何一环没有正确处理，则就能够实现表面的干净卸载（真正彻底卸载除非手工清除，否则难以实现完全卸载，，后文详述）。

图 4各个环节的保护措施环环相扣地址栏 清除上网痕迹，清除不易

二、3721及上网助手提供的“贴心”服务提供解密

号称提供各类贴心服务，其服务项目所标识的用途也十分的人。我们对其中几项进行了简单检测，看看3721到底提供的是一些什么性质、什么品质的“服务”。

1、黄毒横行触目惊心

安装3721中上网助手后，浏览器浏览器地址栏被无告知地植入20多项URL列表，其内容不外乎：性、娱乐、赚钱等几方面有关（图5）。

从其试图植入的地址栏URL列表来看，安装了3721或上网助手的手机就不折不扣地成了一台“少儿不宜”的电脑电脑！

看看其试图植入的“美女如云——15亿图片心情感受”链接，随意点击几个链接，结果如图6，什么“裸体”、“自拍”、“三级明星电影”、“诱惑放荡的美女”、“宾馆偷房”、“无限”……等不堪入目的字眼扑面而来！

如果说具体的内容提供与其它合作方有关系，那么看看3721推荐的“美女如云——15亿图片心情感受”的主页面，什么“波霸”、“”的类型项目赫然在目（图7）。

再看看3721推荐提供的“极速宽频影院”（图8）。“性的日记”、“姐妹”、“村妓”、“偷情家族”等占据了内容目录的绝大部分，您就能从中找到哪怕一丁点健康、积极、向上的内容吗？！

这就是3721和上网助手提供的服务中的内容品味的冰山一角。

图 5自动植入的浏览器浏览器地址栏URL列表

图 6自动植入浏览器地址历史中的链接内容之一

图 7自动植入浏览器地址栏历史链接的部分内容之二

图 8自动植入浏览器地址栏历史链接的部分内容之三

2、“网络钓鱼”炉火纯青

除了上述明目张胆的低俗（公开传播的内容中这些不是还有是？）宣传推广，其还引入了一种诱惑点击的网络钓鱼方式：以“免费电影”为旗号，播放器上覆盖广告，用户点击播放器时将触发对广告的点击（图9）。

此种诱惑点击的方法只是是一种方式。有了这些“先进的”方式，还有什么事情不能做呢？

图 9自动植入浏览器地址栏历史链接中开启的免费电影（网络钓鱼：以一Flash广告与播放按钮重叠的方法，诱惑用户点击。这里设置不显示Flash以显露其重叠的框架结构）

3、贴心功能不贴心

不少人看中了上网助手的弹出广告过滤功能。让我们说说真实状况！

用;http://www.kephyr.com/popupkillertest>的检测页面进行弹出窗口过滤测试。为防止干扰干扰，先关闭Windows XP SP2本身的跳出窗口过滤功能（没有人会说上网助手的弹出窗口过滤是依赖Windows XP 的SP2相关功能实现的吧？！）。

测试结果，27项测试中，未能借助的有：第3 项、第6项（1、2）、第8项、第9项、第10项、第11项、第12项、第16项、第17项、第20项、第21项、第22项、第24项、第26项、第27项（1、2、3），共计未借助测试的有15项（18种），过滤失败的项目占整体的55%，失败的类型占整体的66%（图10）。即按百分制评判，上网助手的跳出窗口过滤能力连及格分都没有捞到！

而启用Windows XP SP2的跳出窗口过滤功能，或者使用Maxthon等带有弹出窗口过滤功能的第三方浏览器，同样的项目测试结果就截然不同！具体状况笔者暂不提供，大家可以自己测试对比一下，以便好好体会这位上网“助手”的能力！

图 10弹出窗口过滤测试中惨不忍睹的过滤结果

4、“清理痕迹”清理了谁的痕迹？

图11是上网助手的“清理痕迹”功能测试。执行清除并受到“当前没有网址记录！”的结果，但开启浏览器的历史侧边栏，结果怎样？

图 11“痕迹清理”清理了谁的痕迹？

5、插件管理专家别有私心

打开上网助手的软件管理学者，其中只是“虚心”地把搜索助手列了下来；但开启浏览器的加载项对话框，3721和上网助手植入的十几个加载项却赫然在目（图12）！别家的软件算插件，自己偷偷植入的诸多玩艺一律不算插件，这是哪个逻辑？！

图 12“插件管理人士”对自己植入的垃圾插件视而不见

6、把自己的“搜一搜”右键菜单视为系统默认菜单

再看看“恢复IE外观”中的“清理IE右键菜单”功能。清理后，报告“没有可清理的菜单！”

但实际上，在浏览器中右击鼠标，“！搜一搜”的3721附加的菜单项已经如同系统默认菜单项那样被保存下去（图13）。令人不解的是，“！搜一搜”这种表达形式不知在国内语言学中算是一种什么技巧？

图 133721自动添加的单击菜单不算清理对象

7、自欺欺人的“清理IE工具条”

试试“清理IE工具条”的效果如何。清理后，报告“没有可清理的工具条！”，但IE工具栏上被3721自动植入的那种带有扫把图标的工具条和其它几个按钮好好的毫发无损（图14）。难道它自己的这种就不属于平台之外的第三方工具条吗？工具栏按钮清理也是这么。

图 14清理IE工具条结果

8、IE 工具栏“重置”功能不能重置3721植入的工具栏按钮

既然上网助手拒绝给我干活，那么就用IE本身的功用设置来修复软件栏图标吧。

打开自定义工具栏对话框，点击“重置”，那些被强制植入的按钮闪动了一下，片刻又立刻得到恢复（图15）。

系统的基本功能在3721的作用下终于部分失效！

图 15“重置”工具栏按钮后的效果

9、对系统稳定性的妨碍

在虚拟机环境下，直接在浏览器地址栏输入“合工大”进行搜索，前后测试6次，每次都是立即蓝屏（图16）。

虽然虚拟机环境与真实环境或许有一些变化，但虚拟机对存储要求较高，系统资源占用较大，据此我们不能确定在真实系统环境也有极其，但至少可以确认，搜索助手对平台资源的分配必定存在某些负面影响（或者是存在某些BUG），在对资源需求较大时，会对系统造成不利影响。

图 16半个工作日的搜索测试中系统蓝屏6次

三、3721对系统的写入情况分析

根据网络实名网站声称的“详细技术原理”，我们说说真实状况能否如网站上所告知的这样。图17是其对用户告知的内容。在之后的测试项目中，我们说说它“详细”到哪些程度，用户跟知情权体现在哪个地方。

图 17网络实名的“详细技术原理”

1、向系统植入的文件

除了有专门的程序文件夹，3721还在WindowsDownloaded Program Files目录以隐藏的方法储存其文件从而迅速恢复；在平台驱动程序目录植入驱动程序文件并确保安全机制（即使你不上网！）也无法被加载并且不能被直接删除（图18、图19）。

①安装3721后的文件植入情况：

● WindowsDownloaded Program Files目录被植入37个文件1个文件夹；

● WindowsSystem32Drivers目录植入CnMinPK.sys驱动程序文件。

● Program Files目录植入目录名为3721，共含15个文件和1个文件夹。

共计植入53个文件跟2个子文件夹。

②安装上网助手后的文件植入情况：

● WindowsDownloaded Program Files目录被植入30个文件1个文件夹；

● WindowsSystem32Drivers目录植入CnMinPK.sys驱动程序文件。

● Program Files目录植入目录名为3721，共含79个文件和7个文件夹。

● Program Files目录植入目录名为YDT，共含4个文件和1个文件夹。

共计植入114个文件跟9个子文件夹。

图 18以驱动形式植入系统，安全机制也可生效

图 19Windows资源管理器中能够查看的隐藏文件和目录

2、写入的注册表项目

据安装前后的注册表导出比较后得出的不完全统计，系统注册表被读取的内容大概如下（因浏览网站等操作会导致动态更改，因此可能会有一些误差）：

安装3721后，注册表中被读取122个键项、408个键值；

安装上网助手后，注册表中被读取251个键项、656个键值。

遗憾的是，按正确的方式删除、重启后注册表项目一直难以全部被清除！

3、多种途径推动的自动加载项

3721声明以标准平台接口实现自动读取，而且将这种标准接口利用得淋漓尽致！

⑴上网助手在注册表HLM下面的Run键项中添加helper.dll、YDTMain.exe、CnsMin三个自动读取模块，而且删除、重启后仍然存在（图20）；

⑵通过驱动程序模式加载CnMinPK.sys模块，实现进程隐藏，并且借助系统原本的Msconfig无法检测；

⑶通过其多个组件之间的互相修复和守护实现，实现交叉安装、修复、加载；

⑷通过嵌入浏览器帮助对象，实现功能的手动加载；

⑸通过各组件卸载对话框中的修复选项，诱导用户在卸载某个组件的同时，修复和手动加载另一些组件；

⑹通过捆绑到这些第三方安装程序，在调试过程中推动自动安装和手动加载。

图 20卸载后一直自动重启的模块

4、自我守护的进程

如图21，安装上网助手后，任务列表中会存在三个进程，其中以Rundll32.exe显示的两个进程可以推动自动交叉修复，即一个进程是另外一个进程的守护进程。因此，使用Windows任务管理器是能够成功将他们从内存中关闭的，这点相信多数人深有感受！

图 21创建多个进程以及能自我守护

5、植入系统的浏览器加载项

图22是上网助手自动植入系统中的8种浏览器加载项。用户的浏览器成为几大公司发财的财源基地。余下的就差没有拿着刀子直接抢钱了。

图 22一口气自动植入8种浏览器加载项

6、自动植入浏览器工具栏的多种无关按钮

呵呵，安装后，浏览器上哪个Yahoo!等乱七八糟的按钮一股脑儿给你安装上了，甚至连资源管理器也没有放过（图23，够贴心的吧）。

图 23资源管理器中被强制植入的按钮

7、控制面板添加删除程序列表中的多余项目

在已被确立告知的状况下，安装上网助手后，控制面板的添加删除程序列表中会额外加入两个程序项目（图24）。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/ruanjian/article-135404-1.html