CNNIC中文上网官方版
软件大小： 459 KB
软件语言： 简体中文
软件类别： 国产软件 / 免费版 / 浏览辅助
应用平台： Win9x/NT/2000/XP/2003
“中文上网官方版”软件是由信息产业部授权的我国互联网地址资源注册管理机构中国互联网络信息中心(CNNIC)推出，实现中文域名、通用网址访问，并支持中文域名邮件收发的功能，由此率先为网民提供了全方位中文上网解决方案。该软件符合多语种域名国际标准和《关键词网络定位服务解析协议技术规范》。网民一直渴望的完全意义的中文上网，目前基本涵盖两个方面：一是关键词自然语言上网，通俗来说就是在浏览器地址栏中输入中文关键词实现网页访问；另一点重要的是对域名层面的中文域名实现访问，举例来说就是实现对“www.北京大学.cn”的访问。由中国互联网络信息中心推出的“中文上网官方版”良好的解决了网民对这两方面需求，“中文上网官方版”由此成为唯一可实现此功能的全方位中文上网辅助软件。 “中文上网官方版”与以往版本相比，主要新增了以下三大功能点： 信息定位服务再增强除去中文域名和通用网址功能之外，“复合通用网址”也是另一亮点。这一功能使网民不需要登录相关网站，只需在浏览器地址栏直接输入“网站名称：任意查询词”的形式，其要获得的信息就直接反馈在页面上。如此以 来，网民不但可以减少繁琐的上网搜寻步骤，而且还能够节省在线时间，提高上网效率。目前CNNIC已经和一系列知名门户和搜索类、电子商务类、资讯类和游戏类站点达成合作，如新浪、网易、王朝、阿里巴巴、8848等，旨在为网民提供最便捷的网上服务。如在浏览器地址栏输入：“8848：数码相机”，8848网站上所有和数码相机相关的信息，包括数码相机配件等都会显示在用户眼前。
通用书签简便提示在眼前
上网获取各类生活资讯已经成为网民实现更方便生活和工作的必备方式之一，“中文上网官方版”整合了“通用书签”功能，以满足上网用户更为实际的应用需要。“通用书签”中列有“新闻、游戏、政府、搜索、教育、 音乐、下载、购物、电影、邮箱”等诸多方面，在每个书签中包含有该类知名站点。网民上网时，无需打开浏览器再敲入站点网址进行浏览，直接点击新插件显示图标即可以完成此步骤。 “迷你工具”营造服务快捷键“中文上网官方版”同时还拥有一系列“迷你”的工具包。尽管“迷你工具”功能只占不大的一部分，但是其中却另有乾坤。“IE一键清”针对上网的隐私保护问题提供帮助，IE历史记录、IE cookie、IE地址栏下拉列表 、Realone播放记录、Media player播放记录以及最近打开文档记录等，只需一个步骤，就可以解决用户的后顾之忧；而“实用查询”则提供了“天气预报、飞机航班、列车时刻表、股票查询、彩票查询”等和人们日常生活相关的信息情况。 本次“中文上网官方版”的推出，目的就是希望能够为广大网民提供功能全面的中文上网服务。同步提供的各种网络便利应用小功能，也是希望可以增加网民应用中文上网软件的趣味性，从而推动真正意义的中文上网在广大网民中的普及。
下载(460K,鼠标右键点击"目标另存为"或直接点击)软件安装程序；执行安装程序进入安装向导，根据提示，完成安装。
但据广大网民反映，CNNIC中文上网官方版普遍存在着安装后无法卸载、开启不明端口、增加系统负荷等问题，安装后可能经常出现蓝屏、死机。所以下载时需谨慎。
2007年8月，3万多网民共同举证，包括360安全卫士在内的的18款国内外知名安全软件均认定CNNIC中文上网是恶意软件，并提示用户删除。名单中包括：AVG、卡巴斯基、超级巡警、mcafee、费尔动态防御系统、nod32、bitdefender、微点、Avast、WINDOWS 清理助手、熊猫卫士、spyware doctor、spy sweeper、Dr.web、星空杀毒、ewido、驱逐舰、Trend PC-cillin等。
关于CNNIC的测评以及运行作用方式
先来看看它的安装和卸载，等会专门分析它的安装过程，先说一下卸载。卸载中文官方上网需要填一个随即生成的确认码，这是为了防止竞争同行或类似360安全助手之类的软件自动删除自己，然后执行正常的卸载程序。但是问题是卸载干净了吗？答案是没有，有一个残留的驱动程序仍然驻留在你的系统中，目的是干扰同行或类似360安全助手之类的软件正常运行，这个逻辑很简单，不用我？！别的同行软件你也别想用的好。证据：主驱动程序cdnprot.sys不能删除，有些安全程序能够删除cdnprot.sys，但是CNNIC可没有那么简单，他还有一个影子驱动程序，名字是随机生成的，可能是类似sdgwuwks.sys之类的名字，这些就残留在你的系统中了，请神容易送神难。CNNIC在安装的时候会释放一个驱动程序，这是一个临时的，安装完成后就会删除，这个驱动程序的目的是检测别的软件是否有破坏自己安装的行为，保证安装程序能够正常进行，同时，安装程序还有反调试的手段，当检测到自己处于被调试的状态时就主动退出，以保护关键代码的安全，做成这样大概也是同行竞争的结果吧，只是苦了用户，你们之间互相残杀，造成用户的系统不稳定，这个责任是不是到了应该用法律手段解决的时候了？！
一个浏览器辅助软件至于要用到系统底层驱动那种级别吗？如果仅仅是作个浏览器增强功能当然用不到，但是如果做别的流氓行为就需要啦。现在看看cdnprot.sys驱动程序都干了些什么，首先它Hook了几个系统关键函数，关于这一点我要特别说明一点，很多病毒都是采用这种技术，这些被称作rootkit。它和一般的API hook不太一样，它通过修改ntoskrnl.exe的System Services Descriptor Table，直接hook ntdll.dll中的内核函数，这样相关的用户态API最终都会调到这些底层API，通过hook相关的API可以分析用户的行为，同时干扰同行软件的运行。比如文中提到的中文上网，它就hook了ZwTerminateProcess，这样使别的程序（甚至是通过windows的进程管理器）都无法删除CNNIC的 cdnup.exe进程。因为所有的中止进程都调用的是TerminateProcess API，这最终调用的是ZwTerminateProcess，CNNIC的Hooker函数判断参数，发现是中止自己的程序时就直接返回错误，这样就永远无法中止cdnup.exe。中文上网还Hook了ZwDeleteValueKey，目的是相同的，所有注册表删除操作都要经过Hooker的过滤，发现是删除自己的东西的时候就直接返回错误。使用rootkit Hooker函数对系统安全构成了威胁，不仅影响系统的稳定性，严重的还会通过Hooker收集用户的信息，造成信息安全泄漏。对CNNIC的hooker还要进一步分析才能判定它到底有什么危害，不过有一点可以证明的是，CNNIC的中文上网Hooker了ZwSetSecurityObject，并严重干扰了这个函数的正常功能，这是一个给用户帐号赋予权限的函数，CNNIC的中文上网为了防止用户使用SDTrestore工具恢复系统的SSDT（System Services Descriptor Table），所以hooker了这个函数，使得SDTrestore工具无法获得权限正常运行，但是这种行为已经影响到了依赖与这个函数的软件的运行，SDTrestore就是受害者之一。顺便说一下，cdnup.exe一开始是正常的，可以中止，而且对用户没有任何功能（只是为了检查升级，这很无聊，我需要检查升级的时候我会运行你的，用不找你这么热心一直运行吧？），只是为了监控它的驱动程序是否受到了别的软件的进攻，如果发现有别的软件“恶意”删除自己，他就会处于一种癫狂状态，此时无法中止也不能从注册表中删除相关的启动项，这就算粘上你了。
中文上网的驱动程序不是只安装一个，而是一次装三个，目的是为了互相监视，互相保护，想的倒很周到，只是用户倒霉了，占用系统资源还不说，什么时候来个蓝屏也不知道是怎么回事。
CNNIC的中文上网还会在Winsock2的SPI接口上做手脚，先来介绍一下SPI。Winsock2提供了LSP（Layer Service Provider: 层服务提供者）接口标准SPI，允许应用软件开发商对Winsock进行扩展，对传输层的TCP/UDP等网络协议进行专门的数据流控制（如加密/解密、监控）和错误控制等。各层LSP实现不同开发商对Winsock DLL的扩展，以支持不同目的的网络数据流控制操作。而基本服务提供者实现最基本的TCP 协议堆栈的功能。明白了吧，这其实就是一个过滤器，给使用者提供了发现和使用任意数量的底层传输协议所提供的通信能力，中文上网用它来做一些URL重定向，其它还做了什么就不得而知了。很多广告弹出者就是利用了这一点，如果你上网时经常弹出一些广告窗口，又在注册表中找不到线索，那不妨研究一下你的机器上是否被装了SPI。
安装程序还会暗自生成一个BHO，这个是捆绑“销售”，不要也得要，这个BHO是随机命名的，被安置在windows目录下的Downloaded Program Files中，这一招够歹毒，因为在资源管理器中查看这个目录下是看不到文件的，很容易被忽略，不过在dos窗口中它就原形毕露。一个浏览器助手需要被装到这个地方，足以说明这不是什么好鸟。顺便说一下，这个BHO做的也是很歹毒的，用了壳，还对内部代码加密了，每次生成这个文件的时候都会修改文件的大小，同时还修改相应的注册GUID和CLSID，这使得一些靠判断注册表中GUID和CLSID来免疫和删除插件的一些小工具变得无效。删除方式很简单，将这个目录中的dll全部删除就行了。