蘇拉病毒
 蘇拉病毒運行在Windows XP上 | |
| 基本資料 | |
| 本名 | 蘇拉病毒、SOLA |
| 別號 | 死亡問答病毒、宅男病毒 |
| 類別 | 計算機病毒 |
| 針對對象 | 以NTLDR引導的Windows系統 （Windows NT 4.x和Windows NT 5.x） |
| 作者 | 百度用戶「KAKENHI」 |
| 誕生日期 | 2006年1月 |
蘇拉病毒（英文名：SOLA）是一種針對Windows作業系統的病毒。誕生於2006年1月，在2006-2009年曾大規模流行過。可能是ACG圈相關的最早有過記載的電腦病毒。
簡介
蘇拉病毒是個簡單的腳本病毒。用WinRAR自解壓文件加殼，往往偽裝成一個文本文檔、圖片或doc文檔。若打開它們，則系統被感染。病毒主體是批處理文件，也包含VBS腳本。因技術能力所限，危害性一般，而且非常容易破解。
據病毒作者KAKENHI所述，這款病毒是對國家廣播電影電視總局[1][2]針對動漫和遊戲歧視性政策的抗議。同時，作者也指責了當時中國國內民族情緒嚴重的問題（實則不然，當時網上有很多公知）。作為一個時代的產物當然有其思想的局限性。而如今時過境遷，不僅越來越多優秀的動漫遊戲被正式引入，國產ACG產業也在飛速發展，人民思想也更加開放包容。蘇拉病毒的故事也成為了歷史記錄。
病毒在感染系統後啟動累計50次的時候爆發，破壞用戶系統。用戶必須通過病毒製造者安排的「考試」才能復原系統。病毒的具體行為請參見下文的病毒的行為、應對和局限性一節。
為甄別並確保不誤傷同樣愛好ACG的用戶而不僅僅是萌娘百科的編輯者，作者製作了兩份試卷，分動漫捲和遊戲卷。擇其一而答之。每份試卷5道題。如果正確率達到40%（答對2道或更多)則恢復被破壞的文件且病毒自毀，否則進一步破壞系統，使一般用戶不得不重新安裝系統。
在病毒文件夾裏面有兩個文件：Function.dll和SOLA.bat。這些文件藏在系統的字體文件夾和各磁盤根目錄中。將Function.dll後綴改為rar並解壓，就能提取出所有病毒相關的文件。其中的TENBATSU.BAT為病毒發作時啟動的批處理文件，用記事本打開就能看到所有的問題以及答案。這什麼感人病毒，連加密都不會的嗎←大概那個年代沒有什麼批處理加密工具，或者作者偷懶不肯想辦法
值得一提的是，這裏面也附帶着病毒製作者自己提供的病毒專殺壓縮包「SolaKiller.rar」，解壓密碼[3]也明文保存在SOLA.bat裏面，且其中內含的專殺軟件會在用戶通過測試後自動安裝在計算機上。
作者將含有病毒的電子郵件批量發送，誘騙用戶運行後感染用戶計算機，然後通過感染可移動磁盤中的文件來將病毒傳出到其他計算機。雖然病毒不具備局域網通信的能力，但同時也有可能通過已映射的有寫入權限的網絡驅動器感染局域網內的其他計算機（因為映射的網絡驅動器會被賦予盤符）。
病毒的英文名「SOLA」可能取自《Sola》。
病毒的行為、應對和局限性
（注意：下文中的「文件夾」和「目錄」是同一種東西的不同稱呼。前者從Windows 95開始使用，後者的歷史更為悠久。）
行為
該病毒被執行後，做出如下行為：
- 在系統字體文件夾生成病毒文件夾[4][5]，用來容納病毒所有核心文件、記錄啟動次數（RunTime.txt）以及做標記。
- 病毒非常聰明地利用了Windows資源管理器（explorer.exe）的bug：它創建的文件夾叫做「hideself...」。名稱中包含三個點。因為Windows認為，一個點代表當前目錄，兩個點代表上級目錄。這裏三個點什麼也不代表，但是會讓文件資源管理器處理出錯而無法訪問。而因為文件名超過了8個字符，所以病毒自己訪問時，則使用「HIDESE~1」的短文件名，從而規避了bug。
- 遍歷盤符C-Z的每一個磁盤（分區）。在它們的根目錄下生成Autorun.inf和病毒文件夾，來保證每次點擊盤符後都能運行病毒程序。這導致了在正常模式下查殺病毒尤為艱難。
- 如果光盤驅動器里插入了可刻錄的光盤，也會中招。但光驅無故嗡嗡作響的時候你還不警惕？
- 如果磁盤分區採用「裝入NTFS文件夾」的方式或根本沒有分配盤符，則不會中此招，但幾乎沒人這樣做。
- 病毒不會感染A盤和B盤。這兩個盤符為軟盤預留。但如果盤符佔用已滿24個（C-Z），那麼第25/26個磁盤會使用盤符A和B。
- 將所有的txt、doc、jpg、exe（僅限體積比較小的）文件與病毒程序混在一起，加上「系統、隱藏、只讀」三個屬性，打包成WinRAR自解壓文件（後綴名exe），圖標不變。這有助於用戶在打開常用文件時感染。
- 在系統的啟動目錄里加入VBS腳本編寫的觸發器，以進行啟動次數累加（SOLA.VBS）和進入破壞模式（TENBATSU.VBS）。
- TENBATSU.BAT雖然只是病毒組成的一部分，但是它幾乎是整個病毒程序中唯一負責向用戶展示內容的部分。其餘的組件都是靜默運行的。
- 值得一提的是，破壞模式的觸發器叫做TENBATSU.VBS，用戶界面為TENBATSU.BAT，這個TenBatsu是日語天罰（てんばつ）的羅馬字。
- 當累計開機達到50次後即進入破壞模式，此時的行為是：
- 用VBS引導主程序隱匿地運行，不創建窗口。新窗口打開TENBATSU.BAT準備引導用戶答題。然後自己倒計時10分鐘進行破壞操作。
- 把NTLDR文件（NT Loader，系統啟動引導器，用於讀取boot.ini並加載作業系統）備份到病毒的文件夾，然後破壞原來的文件。（這就是為什麼作者有底氣說「如果關閉計算機，計算機將無法啟動！！！」。）
- 終止winlogon.exe（Windows Log On，系統登錄註銷程序），此時無法再進行正常的登陸註銷關機
- 將system32下dllcache目錄備份的任務管理器（taskmgr.exe）刪除，把任務管理器和文件資源管理器的.exe後綴改為.xxx，並不停地掃描終止這兩個程序。（這就是為什麼作者有底氣說「因為你已經無法打開任務管理器，更無法上網查找信息」。）
每次啟動時的行為：
- 運行SOLA.VBS，用來累加啟動次數。
- 當啟動次數達到50時，產生TENBATSU.VBS，準備第51次啟動時破壞。
應對
在確認計算機已經感染，但還沒有爆發時，應該：
- 刪除啟動文件夾里的SOLA.VBS和TENBATSU.VBS（如果有）
- 找到字體文件夾里的「hideself...」文件夾，刪除裏面的所有東西，唯獨必須保留sola.sign。這個sola.sign代表病毒曾感染過系統，不會重複感染。
- 刪除各磁盤根目錄下的sola文件夾和autorun.inf。
- 手工修復被感染的文件。將一個感染後的文件（後綴為exe）的後綴改rar，然後解壓，把解壓出來的文件去除隱藏、只讀和系統屬性，這就是原始文件了。
已經進入破壞模式後：
- 在顯示文字的時候按下Ctrl+C停止批處理。
- 定位到系統啟動目錄（以Windows XP為例，目錄是「%ALLUSERSPROFILE%\「開始」菜單\程序\啟動」）
- 通過echo命令破壞SOLA.VBS和TENBATSU.VBS內容。切忌直接刪除，否則病毒會立刻恢復它們。
- 刪除系統盤根目錄下的ntldr文件。
- 從病毒根目錄下複製（移動也行）原本完好的ntldr文件到系統盤根目錄下。（位置一般是X:\Windows\fonts\hidese~1。X為系統盤符。）
- 定位到Windows安裝目錄，改名explorer.xxx為explorer.exe；繼續定位到system32目錄，改名taskmgr.xxx為taskmgr.exe，並把它複製到system32下的dllcache目錄里。
- 為ntldr加上只讀、系統、隱藏屬性（非必須，但能保證它不會被誤刪除）
- 立即重新啟動作業系統。
- 進行上文「沒有爆發」時的操作。
| 詳細步驟 |
|---|
|
局限性
- 病毒無法感染Windows NT 6（Windows Vista、Windows Server 2008及以上版本的作業系統）
- 自Windows Vista開始，不再使用NTLDR引導作業系統，Windows啟動管理器（bootmgr）取而代之。已經不能破壞ntldr來阻止系統啟動。
- 64位的Windows Vista開始支持UEFI，而自Windows 7開始，對UEFI的支持更為完善。若通過UEFI加載系統，所有系統啟動文件在單獨的EFI分區中。多數作業系統需要單獨掛載才能讀寫。普通的批處理文件想改寫，極為困難。
- 自Windows Vista開始，系統引入了更完備的權限管理機制——用戶賬戶控制（User Account Control）。除非用Administrator賬戶登錄，否則任何程序若想改寫Windows目錄，必須手動以管理員身份運行。
- Windows XP的「啟動」文件夾被翻譯成了不同語言。如中文版是「啟動」，英文版是「StartUp」。病毒只兼顧了中文版作業系統，導致在外文版作業系統（哪怕安裝了中文語言包）上無法寫入啟動文件夾。自Windows Vista開始，啟動文件夾名稱統一改為英文「StartUp」，由desktop.ini顯示成不同的語言。
- 病毒終止winlogon.exe系統關鍵進程是用的Windows NT內核調試工具（ntsd.exe），但自Windows Vista開始，它已經被移除。
- 自從Windows Server 2012開始，Windows支持ReFS文件系統。ReFS文件系統拋棄了對短文件名的支持。也就是說「hideself...」再也無法翻譯成「HIDESE~1」。不過達到這一條件的可能性微乎其微。
- 自Windows Vista開始，不再使用NTLDR引導作業系統，Windows啟動管理器（bootmgr）取而代之。已經不能破壞ntldr來阻止系統啟動。
- 病毒對於以MS-DOS為內核的Windows破壞力有限。
- Windows 1.0-Windows 3.2為16位系統。哪怕可以以「386增強模式運行」，獲得部分32位作業系統的特性，也無法運行32位應用程式。
- Windows 95、Windows 98、Windows 98 SE和Windows Me可以有限地運行病毒。但是病毒無法破壞其啟動加載程序，也無法通過Windows NT內核調試工具終止應用程式。
- 上述作業系統的啟動加載程序和Windows加載程序分別為IO.SYS和WIN.COM（直至Windows NT 5.x，擔負同樣職能的程序分別為 NTLDR和winload.exe）
- 如果作業系統沒有安裝在硬盤的第一個分區，則有可能無法破壞ntldr。
- 作者聰明一世，糊塗一時。他想過系統盤卷標不一定是C，但他恰恰忘了ntldr不一定非得保存在系統盤裏。
- 「為什麼沒有安裝在第一分區就破壞不了ntldr」這個問題比較複雜。詳見下面的敘述。
- 病毒在每一個硬盤的根目錄布下「Autorun.inf」以做到每一次掛載硬盤或點擊硬盤盤符後都能進行指定的操作，但在Windows 7及以上版本或安裝了更新KB967940的Windows XP（Windows Server 2003）、Windows Vista（Windows Server 2008）的系統中，Autorun.inf僅對光盤驅動器有效。如果光盤被感染，就是另外一個故事了。
- 病毒的傳播方式受限。病毒沒有任何網絡通信的能力，只能通過感染可移動驅動器上的文件，再帶到其他計算機上打開（或autorun.inf觸發）來感染其它計算機。
- 在通過測試後，病毒會糾正系統。但不包括被轉為exe自解壓文件的txt、doc、jpg、exe文件。需要自行恢復。
| 為什麼系統沒有安裝在第一個分區就不一定能破壞ntldr？ |
|---|
|
假設你硬盤的第一個分區是C盤，第二個分區是D盤。 如果你在C盤和D盤裏都安裝了Windows XP，那麼ntldr只會保存在C盤。而D盤的作業系統信息會寫在C盤的boot.ini里。ntldr讀取boot.ini後知道D盤裏也有一個系統，然後轉而開始引導D盤。 之所以僅僅在C盤創建ntldr，不在D盤也搞一個，是因為MBR（主引導記錄）的特性。 MBR有一個「活動分區」的概念。MBR規定：「主分區（用來引導作業系統的分區，最多4個）都可以設置為活動分區，活動分區只能有一個。」當然以後UEFI+GPT變了：只要硬盤最前面放一個ESP分區，哪個引導隨你改…… 正因為這樣，ntldr必須放在活動分區內才能順利地引導。 當Windows XP試圖安裝到D盤時，發現C盤已經是活動分區，就把ntldr放在C盤裏，然後再在boot.ini里寫明「從D盤引導作業系統……」 …… 並且，按照Windows的盤符分配機制：系統無論安裝在硬盤的第幾個分區，盤符默認一律是C；然後從第一個分區開始順序D、E、F……。 所以，「C盤」很大概率是系統盤，但是是不是引導盤就很難說了。 |
文字內容
（注意：作者言論不代表萌娘百科觀點。）
開場白
警告：如果關閉計算機，計算機將無法啟動！！！
I'm a virus. My name is sola.
我是一個病毒。我的名字叫蘇拉。
今天，在這片墮落的土地上，我甦醒過來。
我曾經很快樂地活着，與我的朋友，ACG，快樂地活着。
我曾經也對病毒深惡痛絕。
然而.............
自從我來到了這片土地上，這片自稱偉大，崇高，光明的土地上。
這片名為中國的土地上
我的朋友，已遍體鱗傷。
他死了
Death Note
《死亡筆記》
她死了
Koihime Musou
《戀姬無雙》
還有好多好多的同胞，慘死在你們的蹂躪之下。
廣電總局的一紙通告，無數隻骯髒的手便掩蓋了她的氣息。
互聯網上的一句咒罵，無數聲污穢的咒罵便淹沒了她的蹤跡。
我終於知道了，信息，原來是無法透過國界線而傳播的。
即使是愛，即使是恨，即使是那一個個愛恨與淚水交織的故事。
也無法透過G F W，更無法透過這個國度的某些人心中，那道厚厚的屏障。
於是，我願做這個罪惡的病毒，來再次查看，你的心靈。
你，是誰？？？
是中國人嗎？
是民族情緒的受害人嗎？
還是知道，世界上有一個詞語叫ACG，並能夠容忍，接納它呢？
那，讓我們來做一個遊戲吧。
也許你的記憶中，還有1000年前夏天的傳說。
還有120元的車票，
還有銀河鐵道，
還有鋼琴之森，
還有澄澈的天空下，響起的祈禱之歌。
你需要做的，僅僅是回答幾個問題。
你喜歡動畫嗎？
你喜歡漫畫嗎？
你喜歡GAL遊戲嗎？
選擇你最擅長的測試卷吧，然後用你聰明的頭腦思考，寫出心中的答案。
如果你的試卷能及格，我將痛悔我的罪行，並刪除自己。
如果你的試卷是零分，我將繼承同伴的憤怒，破壞你的計算機。
另外我必須說，我只能把10分鐘的時間留給你。
如今，你無法逃避。
因為你已經無法打開任務管理器，更無法上網查找信息。
選擇吧，但是要快，容不得猶豫。我已經打開了我的計時器。
我最擅長的測試卷：
請輸入 A 或 G 。A=動畫，G=GAL遊戲。輸入後按回車。
動畫區問題
----------------問題1---------------------
（註：一共有5個問題。只要答對兩個或兩個以上就過關。）
男主角在入學第一天就聽到女主角驚天動地的發言，並加入了女主角創建的一個社團，這個社團教室原本是文學社的，但被女主角強行佔用。主要社團成員有：眼睛娘、很有氣勢的社長、有着魔鬼身材，比男主角高一個年級的吉祥物、被社長指揮得團團轉的男主角。
請問這個社團叫什麼團？（3個英文字母）
如果無法回答，請輸入next，跳轉到下一個問題。
答案：SOS（涼宮春日系列）
----------------問題2---------------------
男主角與女主角在小鎮上相遇，女主角非常喜歡恐龍，有模仿某種動物叫聲的口癖，並且女主角與n(n大於或等於618，小於或等於1321)年前某個夏天的故事有關係，這個女主角和n年前夏天故事的女主角的姓氏的第一個字都是「神」。
請寫出這部作品的名稱（3個英文字母）
如果無法回答，請輸入next，跳轉到下一個問題。
回答：
答案：AIR(AIR)
----------------問題3---------------------
如果用B、C分別代表2種人或物體的名稱，那麼每隔一段時間，就會有7個被B選中的人參加一種名為B戰爭的戰鬥，獲勝者可以獲得B，而C是B召喚出來的，擁有強大的力量，幫助主人為了B而戰鬥。
請問這部作品的名稱的前4個英文字母是什麼？
如果無法回答，請輸入next，跳轉到下一個問題。
回答：
答案：FATE(Fate系列)
----------------問題4---------------------
如果用A表示一個名詞，那麼有一部作品的名稱為A少女，A少女們互相戰鬥，奪取對方的A之心，沒有A之心的少女會永遠沉睡，一個A少女收集齊了其他A少女的A之心之後，就有某種事情要發生。
請問A的漢語拼音字母是（8個字母）
如果無法回答，請輸入next，跳轉到下一個問題。
回答：
答案：QIANGWEI(薔薇少女)
----------------問題5---------------------
有一種戰鬥機，只有神經系統接受了改造的人才能駕駛。4個孩子作為該戰鬥機的駕駛員展開訓練，3個孩子先後在事故中喪生。軍方為了給最後一個孩子作戰的理由，讓她轉入了某學校。她於一個晚上，在學校的游泳池裏遇到了男主角。後來，女主角加入了一個社團，該社團連同女主角共有4人。
這部作品名稱中有3個英文字母，請問這3個英文字母是？
如果無法回答，請輸入next，跳轉到計分程序。
答案：UFO（伊里野的天空、UFO的夏天）
遊戲區問題
----------------問題1---------------------
（註：一共有5個問題。只要答對兩個或兩個以上就過關。）
患病的男主角在醫院裏遇上患病的少女，並和她一起逃出醫院，到達了某地。這個地方盛產某種花，而女主角也喜歡這種花。傳說這種花是一個美男子被詛咒而變成的。
請問這部作品的名稱是？（8個英文字母。）
如果無法回答，請輸入next，跳轉到下一個問題。
回答：
答案：NARCISSU（水仙）
----------------問題2---------------------
男主角與女主角在小鎮上相遇，女主角非常喜歡恐龍，有模仿某種動物叫聲的口癖，並且女主角與n(n大於或等於618，小於或等於1321)年前某個夏天的故事有關係，這個女主角和n年前夏天故事的女主角的姓氏的第一個字都是「神」。
請寫出這部作品的名稱（3個英文字母）
如果無法回答，請輸入next，跳轉到下一個問題。
回答：
答案：AIR(AIR)
----------------問題3---------------------
男主角遭遇車禍，醒來後發現世界已經變成地獄一般的景象，往昔的朋友變成了怪物。只有女主角在他的眼中才是正常的人類。於是，他守護着自己心中唯一的真實。
請寫出這部作品的女主角的名字的中文拼音。（5個字母，字母中間不要加空格。）
如果無法回答，請輸入next，跳轉到下一個問題。
回答：
答案：SHAYE（沙耶之歌）
----------------問題4---------------------
有如下詞語來描述B：很小，有薄薄的翅膀，下雨也不會被淋濕。有如下詞語來描述A：一種樂器，要靠魔力來演奏，與人聲搭配最為恰當。而C是一個一年四季都下着雨的城市，D是一所音樂學院。
請寫出故事情節中同時包含A、B、C、D的作品的中文名稱的前三個字的漢語拼音字母。（12個字母，字母中間不要加空格。）
如果無法回答，請輸入next，跳轉到下一個問題。
回答：
答案：JIAOXIANGYUE(交響樂之雨)
----------------問題5---------------------
在N年以後，人口暴漲。有些人就按下導彈開關，使細菌兵器襲擊了地球，最終引起了一場惡戰。在地球上的人類已經所剩無幾的時候，有一個人為了尋找戰前人類留下的有用物品，進入了一個廢墟都市。在那裏，他遇到了一個天象館裏的禮儀機械人，並和她發生了一段故事。
這部作品名稱的中文拼音是？（11個字母。字母中間不要加空格。其中第一個字是後鼻音。）
如果無法回答，請輸入next，跳轉到計分程序。
回答：
答案：XINGZHIMENG(星之夢)
結束語
| 當你答不對足夠題目時 |
|---|
|
你的成績是？分，不及格！！！！！！！！！！ |
| 當你答對足夠題目時 |
|---|
|
您的成績是？分，及格了。 |
| 病毒作者的道歉信（答對足夠題目才會顯示） |
|---|
|
各位OTAKU： |
主觀評價
截止2020年8月，在steam上，上述遊戲最便宜的是《Narcissu》，免費；而最貴的是《交響樂之雨》，中國區人民幣112元。
應承認的是，該病毒從名字到內容提及的動漫和遊戲，確實皆為或催人淚下、或引人深思的佳作。當然，並不是說ACG今不如昔。前述作品給人的觀感雖然並不那麼美好，但是它們講述的故事卻能十分為人稱道，也確為同期作品中之出類拔萃者。
此病毒的興亡，有其獨特的時代背景，主要因素如下：
技術因素
- Windows XP本身安全性欠佳。時值2006年，Windows XP正以其易用性大行其道。技術更加先進的Windows Vista於2007年初方面世，且因為初期兼容性不佳和硬件要求過高而飽受詬病。Windows XP沒有用戶賬戶控制，權限管理機制非常機械。管理員賬戶隻手遮天，為安全性埋下了隱患。
- 自動更新問題。2007年前後，微軟向Windows XP推送KB905474補丁。該補丁能鑑別計算機運行的Windows XP是否為正版，如果不是，就設置桌面背景為全黑，並不住地勸告用戶購買正版。於是人們習慣安裝作業系統後關閉自動更新。這導致修正autorun問題的KB967940補丁（後由KB971029補丁接替）難免無法及時推送。這也為病毒的發作埋下了隱患。
- 傳播到計算機上的第一份病毒是一個WinRAR自解壓文件。受制於殺毒軟件不如今天發達，沒誰會無端地懷疑一個自解壓文件。
- 這個環境下誕生的360安全衛士系列如同救世主一般，短短幾個月內就在國內殺軟市場站穩了腳跟。
社會因素
- 2006年，中國ACG行業方興未艾。而日本ACG行業已經有了豐富的底蘊。
- 當時國人對動畫和遊戲有錯誤的認識，誤認為動畫是給小孩子看的，遊戲是傷害身體和精神的。沒認識到它們也是文化產業的重要力量，導致了ACG愛好者承受了更大的偏見。
- 受制於此，國產ACG遊戲、國產動漫還沒有發展起來。
- 當時中國的文化實力、軍事實力和經濟實力尚未獲得廣泛認可，導致當時整個網絡環境充斥着懷疑指責祖國之聲。當時還沒有「四個自信」的概念，而這正是社會缺乏的。
- 2010年中國GDP超越日本，成為世界第二。
- 2012年遼寧號航空母艦改造完畢，新中國擁有了第一艘航空母艦。
- 目前中國對外開放程度已遠大於2006年，我們能看到的優秀動漫多於2006年。人民思想觀念也比2006年更加成熟和開放。
註釋與外部連結
- ↑ 此稱呼在1998年至2013年被使用，2013年至2018年由「中華人民共和國國家新聞出版廣電總局」接替，2018年至今為「國家廣播電視總局」（電影職能分離成「國家電影局」，新聞職能分離成「國家新聞出版署」）。以上機構通稱「廣電總局」。
- ↑ 曾經動漫和遊戲的管理是由文化部負責的。但2018年國務院機構改革後：動漫繼續由國家廣播電視總局管理；本國/進口遊戲由省級/國家新聞出版（總）署發放版號，並實際受新聞出版署和網信辦監管。
- ↑ 密碼為「kakenhi200601」
- ↑ 假定Windows系統盤是C，它往往位於C:\Windows\Fonts\hideself...
- ↑ 這裏面包括一個第三方軟件「sleep.exe」，是倒計時使用的。事實上，從Windows Vista開始，Windows提供一個「timeout.exe」程序，專門負責倒計時。但Windows XP及以下版本的Windows中不存在該程序。