遇强则强！如何用 takeown 和 icacls 强杀锁死的顽固病毒

原创

网安cs
网安cs

cs攻防

2026年10月23日 16:07
北京

去阅读

记一次“传奇”私服导致的系统劫持事件

事件时间： 2026年10月23日 事件起因： 用户运行“传奇”私服客户端后，电脑游戏报错，网页被劫持，疑似被恶意劫持。

话不多说，直接远程上机排查。

01. 破局：Autoruns 揪出异常服务

上机后，我习惯性地打开 Autoruns64。在快速扫视过登录项、计划任务后，我在 Services（服务） 选项卡中发现了突破口。

有一个服务极其可疑：它没有数字签名，且映像路径指向了 C:\ProgramData\RP 这种不常规的目录。

果断右键，定位到该服务的资源文件夹。

02. 交锋：被“剥夺权限”的顽固文件

进入 C:\ProgramData\RP\ca 目录后，我发现这里的几个文件创建时间高度一致，疑似恶意程序释放的载荷。

本着“先打包带走分析”的原则，我尝试复制文件，却遇到了阻碍——系统提示拒绝访问，文件被彻底锁死了。

这是病毒常用的“ACL保护机制”。我右键查看文件属性 -> 安全，发现权限被清空；点击“高级”进入安全设置，更是直接弹出了“你没有权限查看该对象的安全属性”的警告。

在 Windows 底层机制中，出现这个提示意味着该文件的“安全描述符”被恶意篡改或损坏，甚至可能指向了无效的 SID。此时即便是 Administrator 账户，在图形界面下也无能为力。

03. 终结：命令行强夺所有权

图形界面改不动，直接上底层命令。我以管理员身份打开 CMD，祭出强制夺权的连招：

cmd takeown /f \"C:\ProgramData\RP\" /a /r /d y icacls \"C:\ProgramData\RP\" /reset /t takeown 强行将目录所有权转移给 Administrators 组。

icacls 重置了所有子文件的安全权限，恢复默认继承。

执行完毕后，恶意文件的“金钟罩”被打破，成功打包提取，随后将整个 RP 目录连根拔起，彻底删除。

来源

通过与用户沟通问题现象出现在18号用户打开电脑之后出现的异常 结合17号出现的文件，及浏览器的搜索，最终锁定用户疑似在传奇私服下载到了可疑程序，博主还在逆向中，由于博主是逆向小白，哈哈，所以时间会久一点，之后会把该程序中他的动作分享出来。