 苏拉病毒运行在Windows XP上 | |
| 基本资料 | |
| 本名 | 苏拉病毒、SOLA |
| 别号 | 死亡问答病毒、宅男病毒 |
| 类别 | 计算机病毒 |
| 针对对象 | 以NTLDR引导的Windows系统 （Windows NT 4.x和Windows NT 5.x） |
| 作者 | 百度用户“KAKENHI” |
| 诞生日期 | 2006年1月 |
苏拉病毒（英文名：SOLA）是一种针对Windows操作系统的病毒。诞生于2006年1月，在2006-2009年曾大规模流行过。可能是ACG圈相关的最早有过记载的电脑病毒。
目录
简介
苏拉病毒是个简单的脚本病毒。用WinRAR自解压文件加壳，往往伪装成一个文本文档、图片或doc文档。若打开它们，则系统被感染。病毒主体是批处理文件，也包含VBS脚本。因技术能力所限，危害性一般，而且非常容易破解。
据病毒作者KAKENHI所述，这款病毒是对国家广播电影电视总局[1][2]针对动漫和游戏歧视性政策的抗议。同时，作者也指责了当时中国国内民族情绪严重的问题（实则不然，当时网上有很多公知）。作为一个时代的产物当然有其思想的局限性。而如今时过境迁，不仅越来越多优秀的动漫游戏被正式引入，国产ACG产业也在飞速发展，人民思想也更加开放包容。苏拉病毒的故事也成为了历史记录。
病毒在感染系统后启动累计50次的时候爆发，破坏用户系统。用户必须通过病毒制造者安排的“考试”才能复原系统。病毒的具体行为请参见下文的病毒的行为、应对和局限性一节。
为甄别并确保不误伤同样爱好ACG的用户而不仅仅是萌娘百科的编辑者，作者制作了两份试卷，分动漫卷和游戏卷。择其一而答之。每份试卷5道题。如果正确率达到40%（答对2道或更多)则恢复被破坏的文件且病毒自毁，否则进一步破坏系统，使一般用户不得不重新安装系统。
在病毒文件夹里面有两个文件：Function.dll和SOLA.bat。这些文件藏在系统的字体文件夹和各磁盘根目录中。将Function.dll后缀改为rar并解压，就能提取出所有病毒相关的文件。其中的TENBATSU.BAT为病毒发作时启动的批处理文件，用记事本打开就能看到所有的问题以及答案。这什么感人病毒，连加密都不会的吗←大概那个年代没有什么批处理加密工具，或者作者偷懒不肯想办法
值得一提的是，这里面也附带着病毒制作者自己提供的病毒专杀压缩包“SolaKiller.rar”，解压密码[3]也明文保存在SOLA.bat里面，且其中内含的专杀软件会在用户通过测试后自动安装在计算机上。
作者将含有病毒的电子邮件批量发送，诱骗用户运行后感染用户计算机，然后通过感染可移动磁盘中的文件来将病毒传出到其他计算机。虽然病毒不具备局域网通信的能力，但同时也有可能通过已映射的有写入权限的网络驱动器感染局域网内的其他计算机（因为映射的网络驱动器会被赋予盘符）。
病毒的英文名“SOLA”可能取自《Sola》。
病毒的行为、应对和局限性
（注意：下文中的“文件夹”和“目录”是同一种东西的不同称呼。前者从Windows 95开始使用，后者的历史更为悠久。）
行为
该病毒被执行后，做出如下行为：
- 在系统字体文件夹生成病毒文件夹[4][5]，用来容纳病毒所有核心文件、记录启动次数（RunTime.txt）以及做标记。
- 病毒非常聪明地利用了Windows资源管理器（explorer.exe）的bug：它创建的文件夹叫做“hideself...”。名称中包含三个点。因为Windows认为，一个点代表当前目录，两个点代表上级目录。这里三个点什么也不代表，但是会让文件资源管理器处理出错而无法访问。而因为文件名超过了8个字符，所以病毒自己访问时，则使用“HIDESE~1”的短文件名，从而规避了bug。
- 遍历盘符C-Z的每一个磁盘（分区）。在它们的根目录下生成Autorun.inf和病毒文件夹，来保证每次点击盘符后都能运行病毒程序。这导致了在正常模式下查杀病毒尤为艰难。
- 如果光盘驱动器里插入了可刻录的光盘，也会中招。但光驱无故嗡嗡作响的时候你还不警惕？
- 如果磁盘分区采用“装入NTFS文件夹”的方式或根本没有分配盘符，则不会中此招，但几乎没人这样做。
- 病毒不会感染A盘和B盘。这两个盘符为软盘预留。但如果盘符占用已满24个（C-Z），那么第25/26个磁盘会使用盘符A和B。
- 将所有的txt、doc、jpg、exe（仅限体积比较小的）文件与病毒程序混在一起，加上“系统、隐藏、只读”三个属性，打包成WinRAR自解压文件（后缀名exe），图标不变。这有助于用户在打开常用文件时感染。
- 在系统的启动目录里加入VBS脚本编写的触发器，以进行启动次数累加（SOLA.VBS）和进入破坏模式（TENBATSU.VBS）。
- TENBATSU.BAT虽然只是病毒组成的一部分，但是它几乎是整个病毒程序中唯一负责向用户展示内容的部分。其余的组件都是静默运行的。
- 值得一提的是，破坏模式的触发器叫做TENBATSU.VBS，用户界面为TENBATSU.BAT，这个TenBatsu是日语天罰（てんばつ）的罗马字。
- 当累计开机达到50次后即进入破坏模式，此时的行为是：
- 用VBS引导主程序隐匿地运行，不创建窗口。新窗口打开TENBATSU.BAT准备引导用户答题。然后自己倒计时10分钟进行破坏操作。
- 把NTLDR文件（NT Loader，系统启动引导器，用于读取boot.ini并加载操作系统）备份到病毒的文件夹，然后破坏原来的文件。（这就是为什么作者有底气说“如果关闭计算机，计算机将无法启动！！！”。）
- 终止winlogon.exe（Windows Log On，系统登录注销程序），此时无法再进行正常的登陆注销关机
- 将system32下dllcache目录备份的任务管理器（taskmgr.exe）删除，把任务管理器和文件资源管理器的.exe后缀改为.xxx，并不停地扫描终止这两个程序。（这就是为什么作者有底气说“因为你已经无法打开任务管理器，更无法上网查找信息”。）
每次启动时的行为：
- 运行SOLA.VBS，用来累加启动次数。
- 当启动次数达到50时，产生TENBATSU.VBS，准备第51次启动时破坏。
应对
在确认计算机已经感染，但还没有爆发时，应该：
- 删除启动文件夹里的SOLA.VBS和TENBATSU.VBS（如果有）
- 找到字体文件夹里的“hideself...”文件夹，删除里面的所有东西，唯独必须保留sola.sign。这个sola.sign代表病毒曾感染过系统，不会重复感染。
- 删除各磁盘根目录下的sola文件夹和autorun.inf。
- 手工修复被感染的文件。将一个感染后的文件（后缀为exe）的后缀改rar，然后解压，把解压出来的文件去除隐藏、只读和系统属性，这就是原始文件了。
已经进入破坏模式后：
- 在显示文字的时候按下Ctrl+C停止批处理。
- 定位到系统启动目录（以Windows XP为例，目录是“%ALLUSERSPROFILE%\「开始」菜单\程序\启动”）
- 通过echo命令破坏SOLA.VBS和TENBATSU.VBS内容。切忌直接删除，否则病毒会立刻恢复它们。
- 删除系统盘根目录下的ntldr文件。
- 从病毒根目录下复制（移动也行）原本完好的ntldr文件到系统盘根目录下。（位置一般是X:\Windows\fonts\hidese~1。X为系统盘符。）
- 定位到Windows安装目录，改名explorer.xxx为explorer.exe；继续定位到system32目录，改名taskmgr.xxx为taskmgr.exe，并把它复制到system32下的dllcache目录里。
- 为ntldr加上只读、系统、隐藏属性（非必须，但能保证它不会被误删除）
- 立即重新启动操作系统。
- 进行上文“没有爆发”时的操作。
| 详细步骤 |
|---|
|
局限性
- 病毒无法感染Windows NT 6（Windows Vista、Windows Server 2008及以上版本的操作系统）
- 自Windows Vista开始，不再使用NTLDR引导操作系统，Windows启动管理器（bootmgr）取而代之。已经不能破坏ntldr来阻止系统启动。
- 64位的Windows Vista开始支持UEFI，而自Windows 7开始，对UEFI的支持更为完善。若通过UEFI加载系统，所有系统启动文件在单独的EFI分区中。多数操作系统需要单独挂载才能读写。普通的批处理文件想改写，极为困难。
- 自Windows Vista开始，系统引入了更完备的权限管理机制——用户账户控制（User Account Control）。除非用Administrator账户登录，否则任何程序若想改写Windows目录，必须手动以管理员身份运行。
- Windows XP的“启动”文件夹被翻译成了不同语言。如中文版是“启动”，英文版是“StartUp”。病毒只兼顾了中文版操作系统，导致在外文版操作系统（哪怕安装了中文语言包）上无法写入启动文件夹。自Windows Vista开始，启动文件夹名称统一改为英文“StartUp”，由desktop.ini显示成不同的语言。
- 病毒终止winlogon.exe系统关键进程是用的Windows NT内核调试工具（ntsd.exe），但自Windows Vista开始，它已经被移除。
- 自从Windows Server 2012开始，Windows支持ReFS文件系统。ReFS文件系统抛弃了对短文件名的支持。也就是说“hideself...”再也无法翻译成“HIDESE~1”。不过达到这一条件的可能性微乎其微。
- 自Windows Vista开始，不再使用NTLDR引导操作系统，Windows启动管理器（bootmgr）取而代之。已经不能破坏ntldr来阻止系统启动。
- 病毒对于以MS-DOS为内核的Windows破坏力有限。
- Windows 1.0-Windows 3.2为16位系统。哪怕可以以“386增强模式运行”，获得部分32位操作系统的特性，也无法运行32位应用程序。
- Windows 95、Windows 98、Windows 98 SE和Windows Me可以有限地运行病毒。但是病毒无法破坏其启动加载程序，也无法通过Windows NT内核调试工具终止应用程序。
- 上述操作系统的启动加载程序和Windows加载程序分别为IO.SYS和WIN.COM（直至Windows NT 5.x，担负同样职能的程序分别为 NTLDR和winload.exe）
- 如果操作系统没有安装在硬盘的第一个分区，则有可能无法破坏ntldr。
- 作者聪明一世，糊涂一时。他想过系统盘卷标不一定是C，但他恰恰忘了ntldr不一定非得保存在系统盘里。
- “为什么没有安装在第一分区就破坏不了ntldr”这个问题比较复杂。详见下面的叙述。
- 病毒在每一个硬盘的根目录布下“Autorun.inf”以做到每一次挂载硬盘或点击硬盘盘符后都能进行指定的操作，但在Windows 7及以上版本或安装了更新KB967940的Windows XP（Windows Server 2003）、Windows Vista（Windows Server 2008）的系统中，Autorun.inf仅对光盘驱动器有效。如果光盘被感染，就是另外一个故事了。
- 病毒的传播方式受限。病毒没有任何网络通信的能力，只能通过感染可移动驱动器上的文件，再带到其他计算机上打开（或autorun.inf触发）来感染其它计算机。
- 在通过测试后，病毒会纠正系统。但不包括被转为exe自解压文件的txt、doc、jpg、exe文件。需要自行恢复。
| 为什么系统没有安装在第一个分区就不一定能破坏ntldr？ |
|---|
|
假设你硬盘的第一个分区是C盘，第二个分区是D盘。 如果你在C盘和D盘里都安装了Windows XP，那么ntldr只会保存在C盘。而D盘的操作系统信息会写在C盘的boot.ini里。ntldr读取boot.ini后知道D盘里也有一个系统，然后转而开始引导D盘。 之所以仅仅在C盘创建ntldr，不在D盘也搞一个，是因为MBR（主引导记录）的特性。 MBR有一个“活动分区”的概念。MBR规定：“主分区（用来引导操作系统的分区，最多4个）都可以设置为活动分区，活动分区只能有一个。”当然以后UEFI+GPT变了：只要硬盘最前面放一个ESP分区，哪个引导随你改…… 正因为这样，ntldr必须放在活动分区内才能顺利地引导。 当Windows XP试图安装到D盘时，发现C盘已经是活动分区，就把ntldr放在C盘里，然后再在boot.ini里写明“从D盘引导操作系统……” …… 并且，按照Windows的盘符分配机制：系统无论安装在硬盘的第几个分区，盘符默认一律是C；然后从第一个分区开始顺序D、E、F……。 所以，“C盘”很大概率是系统盘，但是是不是引导盘就很难说了。 |
文字内容
（注意：作者言论不代表萌娘百科观点。）
开场白
警告：如果关闭计算机，计算机将无法启动！！！
I'm a virus. My name is sola.
我是一个病毒。我的名字叫苏拉。
今天，在这片堕落的土地上，我苏醒过来。
我曾经很快乐地活着，与我的朋友，ACG，快乐地活着。
我曾经也对病毒深恶痛绝。
然而.............
自从我来到了这片土地上，这片自称伟大，崇高，光明的土地上。
这片名为中国的土地上
我的朋友，已遍体鳞伤。
他死了
Death Note
《死亡笔记》
她死了
Koihime Musou
《恋姬无双》
还有好多好多的同胞，惨死在你们的蹂躏之下。
广电总局的一纸通告，无数只肮脏的手便掩盖了她的气息。
互联网上的一句咒骂，无数声污秽的咒骂便淹没了她的踪迹。
我终于知道了，信息，原来是无法透过国界线而传播的。
即使是爱，即使是恨，即使是那一个个爱恨与泪水交织的故事。
也无法透过G F W，更无法透过这个国度的某些人心中，那道厚厚的屏障。
于是，我愿做这个罪恶的病毒，来再次查看，你的心灵。
你，是谁？？？
是中国人吗？
是民族情绪的受害人吗？
还是知道，世界上有一个词语叫ACG，并能够容忍，接纳它呢？
那，让我们来做一个游戏吧。
也许你的记忆中，还有1000年前夏天的传说。
还有120元的车票，
还有银河铁道，
还有钢琴之森，
还有澄澈的天空下，响起的祈祷之歌。
你需要做的，仅仅是回答几个问题。
你喜欢动画吗？
你喜欢漫画吗？
你喜欢GAL游戏吗？
选择你最擅长的测试卷吧，然后用你聪明的头脑思考，写出心中的答案。
如果你的试卷能及格，我将痛悔我的罪行，并删除自己。
如果你的试卷是零分，我将继承同伴的愤怒，破坏你的计算机。
另外我必须说，我只能把10分钟的时间留给你。
如今，你无法逃避。
因为你已经无法打开任务管理器，更无法上网查找信息。
选择吧，但是要快，容不得犹豫。我已经打开了我的计时器。
我最擅长的测试卷：
请输入 A 或 G 。A=动画，G=GAL游戏。输入后按回车。
动画区问题
----------------问题1---------------------
（注：一共有5个问题。只要答对两个或两个以上就过关。）
男主角在入学第一天就听到女主角惊天动地的发言，并加入了女主角创建的一个社团，这个社团教室原本是文学社的，但被女主角强行占用。主要社团成员有：眼睛娘、很有气势的社长、有着魔鬼身材，比男主角高一个年级的吉祥物、被社长指挥得团团转的男主角。
请问这个社团叫什么团？（3个英文字母）
如果无法回答，请输入next，跳转到下一个问题。
答案：SOS
----------------问题2---------------------
男主角与女主角在小镇上相遇，女主角非常喜欢恐龙，有模仿某种动物叫声的口癖，并且女主角与n(n大于或等于618，小于或等于1321)年前某个夏天的故事有关系，这个女主角和n年前夏天故事的女主角的姓氏的第一个字都是“神”。
请写出这部作品的名称（3个英文字母）
如果无法回答，请输入next，跳转到下一个问题。
回答：
答案：AIR
----------------问题3---------------------
如果用B、C分别代表2种人或物体的名称，那么每隔一段时间，就会有7个被B选中的人参加一种名为B战争的战斗，获胜者可以获得B，而C是B召唤出来的，拥有强大的力量，帮助主人为了B而战斗。
请问这部作品的名称的前4个英文字母是什么？
如果无法回答，请输入next，跳转到下一个问题。
回答：
答案：FATE
----------------问题4---------------------
如果用A表示一个名词，那么有一部作品的名称为A少女，A少女们互相战斗，夺取对方的A之心，没有A之心的少女会永远沉睡，一个A少女收集齐了其他A少女的A之心之后，就有某种事情要发生。
请问A的汉语拼音字母是（8个字母）
如果无法回答，请输入next，跳转到下一个问题。
回答：
答案：QIANGWEI
----------------问题5---------------------
有一种战斗机，只有神经系统接受了改造的人才能驾驶。4个孩子作为该战斗机的驾驶员展开训练，3个孩子先后在事故中丧生。军方为了给最后一个孩子作战的理由，让她转入了某学校。她于一个晚上，在学校的游泳池里遇到了男主角。后来，女主角加入了一个社团，该社团连同女主角共有4人。
这部作品名称中有3个英文字母，请问这3个英文字母是？
如果无法回答，请输入next，跳转到计分程序。
答案：UFO
游戏区问题
----------------问题1---------------------
（注：一共有5个问题。只要答对两个或两个以上就过关。）
患病的男主角在医院里遇上患病的少女，并和她一起逃出医院，到达了某地。这个地方盛产某种花，而女主角也喜欢这种花。传说这种花是一个美男子被诅咒而变成的。
请问这部作品的名称是？（8个英文字母。）
如果无法回答，请输入next，跳转到下一个问题。
回答：
答案：NARCISSU
----------------问题2---------------------
男主角与女主角在小镇上相遇，女主角非常喜欢恐龙，有模仿某种动物叫声的口癖，并且女主角与n(n大于或等于618，小于或等于1321)年前某个夏天的故事有关系，这个女主角和n年前夏天故事的女主角的姓氏的第一个字都是“神”。
请写出这部作品的名称（3个英文字母）
如果无法回答，请输入next，跳转到下一个问题。
回答：
答案：AIR
----------------问题3---------------------
男主角遭遇车祸，醒来后发现世界已经变成地狱一般的景象，往昔的朋友变成了怪物。只有女主角在他的眼中才是正常的人类。于是，他守护着自己心中唯一的真实。
请写出这部作品的女主角的名字的中文拼音。（5个字母，字母中间不要加空格。）
如果无法回答，请输入next，跳转到下一个问题。
回答：
答案：SHAYE
----------------问题4---------------------
有如下词语来描述B：很小，有薄薄的翅膀，下雨也不会被淋湿。有如下词语来描述A：一种乐器，要靠魔力来演奏，与人声搭配最为恰当。而C是一个一年四季都下着雨的城市，D是一所音乐学院。
请写出故事情节中同时包含A、B、C、D的作品的中文名称的前三个字的汉语拼音字母。（12个字母，字母中间不要加空格。）
如果无法回答，请输入next，跳转到下一个问题。
回答：
答案：JIAOXIANGYUE
----------------问题5---------------------
在N年以后，人口暴涨。有些人就按下导弹开关，使细菌兵器袭击了地球，最终引起了一场恶战。在地球上的人类已经所剩无几的时候，有一个人为了寻找战前人类留下的有用物品，进入了一个废墟都市。在那里，他遇到了一个天象馆里的礼仪机器人，并和她发生了一段故事。
这部作品名称的中文拼音是？（11个字母。字母中间不要加空格。其中第一个字是后鼻音。）
如果无法回答，请输入next，跳转到计分程序。
回答：
答案：XINGZHIMENG
结束语
| 当你答不对足够题目时 |
|---|
|
你的成绩是？分，不及格！！！！！！！！！！ |
| 当你答对足够题目时 |
|---|
|
您的成绩是？分，及格了。 |
| 病毒作者的道歉信（答对足够题目才会显示） |
|---|
|
各位OTAKU： |
主观评价
截止2020年8月，在steam上，上述游戏最便宜的是《Narcissu》，免费；而最贵的是《交响乐之雨》，中国区人民币112元。
应承认的是，该病毒从名字到内容提及的动漫和游戏，确实皆为或催人泪下、或引人深思的佳作。当然，并不是说ACG今不如昔。前述作品给人的观感虽然并不那么美好，但是它们讲述的故事却能十分为人称道，也确为同期作品中之出类拔萃者。
此病毒的兴亡，有其独特的时代背景，主要因素如下：
技术因素
- Windows XP本身安全性欠佳。时值2006年，Windows XP正以其易用性大行其道。技术更加先进的Windows Vista于2007年初方面世，且因为初期兼容性不佳和硬件要求过高而饱受诟病。Windows XP没有用户账户控制，权限管理机制非常机械。管理员账户只手遮天，为安全性埋下了隐患。
- 自动更新问题。2007年前后，微软向Windows XP推送KB905474补丁。该补丁能鉴别计算机运行的Windows XP是否为正版，如果不是，就设置桌面背景为全黑，并不住地劝告用户购买正版。于是人们习惯安装操作系统后关闭自动更新。这导致修正autorun问题的KB967940补丁（后由KB971029补丁接替）难免无法及时推送。这也为病毒的发作埋下了隐患。
- 传播到计算机上的第一份病毒是一个WinRAR自解压文件。受制于杀毒软件不如今天发达，没谁会无端地怀疑一个自解压文件。
- 这个环境下诞生的360安全卫士系列如同救世主一般，短短几个月内就在国内杀软市场站稳了脚跟。
社会因素
- 2006年，中国ACG行业方兴未艾。而日本ACG行业已经有了丰富的底蕴。
- 当时国人对动画和游戏有错误的认识，误认为动画是给小孩子看的，游戏是伤害身体和精神的。没认识到它们也是文化产业的重要力量，导致了ACG爱好者承受了更大的偏见。
- 受制于此，国产ACG游戏、国产动漫还没有发展起来。
- 当时中国的文化实力、军事实力和经济实力尚未获得广泛认可，导致当时整个网络环境充斥着怀疑指责祖国之声。当时还没有“四个自信”的概念，而这正是社会缺乏的。
- 2010年中国GDP超越日本，成为世界第二。
- 2012年辽宁号航空母舰改造完毕，新中国拥有了第一艘航空母舰。
- 目前中国对外开放程度已远大于2006年，我们能看到的优秀动漫多于2006年。人民思想观念也比2006年更加成熟和开放。
注释与外部链接
- ↑ 此称呼在1998年至2013年被使用，2013年至2018年由“中华人民共和国国家新闻出版广电总局”接替，2018年至今为“国家广播电视总局”（电影职能分离成“国家电影局”，新闻职能分离成“国家新闻出版署”）。以上机构通称“广电总局”。
- ↑ 曾经动漫和游戏的管理是由文化部负责的。但2018年国务院机构改革后：动漫继续由国家广播电视总局管理；本国/进口游戏由省级/国家新闻出版（总）署发放版号，并实际受新闻出版署和网信办监管。
- ↑ 密码为“kakenhi200601”
- ↑ 假定Windows系统盘是C，它往往位于C:\Windows\Fonts\hideself...
- ↑ 这里面包括一个第三方软件“sleep.exe”，是倒计时使用的。事实上，从Windows Vista开始，Windows提供一个“timeout.exe”程序，专门负责倒计时。但Windows XP及以下版本的Windows中不存在该程序。