爱华网ANI（APPlicedonStartinsHourGlass）文件是MS－Windows的动画光标文件，其文件扩展名为“.ani”。它一般由四部分构成：文字说明区、信息区、时间控制区和数据区，即ACONLIST块。anih块、rate块和LIST块。
ani_ANI -文件
ANI
格式：
1，从（0000-006D）是Wnd0WS95&NTANI文件的文字说明区部分
如想对开发的ANI文件提供一点文字说明，并加入版权信息，且同时它们又要被ANI文件播放软件承认时，这是唯一的选择。要是没什么好写时，可以去掉本块中的全部内容，并将块的大小置为0。切记，“块识别码‘ACONLIST’”和标识“块的大小”这两部分，共计12字节，绝对不能被更改、移动及删除，否则后果自负。
可能为了让文字说明信息系统化，在ACONLIST块内部包容了若干子块，本例中用到的两个分别是：INFOINAM块（提供本文件的解释说明）和IART块（用于插入版本信息）。可以运用在AVI文件中插入自定义块的方法，加入自己的自定义块，其结果只是ANI播放软件把它当作一个“JUNK”罢了。
0000－0003：多媒体文件识别码：RIFF
0004－0007：文件大小（2052h字节）－8字节
0008－000F：ACONLIST块识别码，它是文字说明区开始的标志
0010－0013：ACONLIST块的大小（5Ah字节）
0014－001B：INFOINAM块识别码，标志文件说明信息子块的开始
001C－001F：INFOINAM块的大小（20h字节）0020-003F：文件说明信息子块的内容“ApplicationstartingHourGlass”
0040-0043：IART块识别码，标志版权说明信息于决的开始
0044－0047：IART块的大小（26h字节）
0048－006D：版权说明信息于块的内容“MicrosoftCorporation,Copyright1995”
2，从（006E－0099）是WindoWs95＆NTANI文件的信息区部分
前面已见识过AVI文件的信息区部分。只有两条数据流（一条图像，一条声音），且文件已足够的小了（就1MB左右）。不过ANI文件的信息区就不会有它那么”恐怖”了，只发现了由“anih”作识别码，且信息区长度恒定为24h，36字节的唯一一种信息区，且结构与AVI文件的信息区有几分相似。
006E-0071：anih识别码，它是信息区开始的标志
0072－0075：anih块的大小（24字节）
0076-0079：可能是标志，不知怎么修改它，还是不改为好
007A-007D：本文件中包含的光标帧数。ANI文件在播放时所形成的动画效果，其实就是一张张的光标或图标图像按一定的顺序，绘制到屏幕上，并保留指定的时间（见“时间控制区”说明），这和AVI文件的帧播放原理是一样的。本文件共有10帧用像。
007B－0081：定义从第一帧光标图像开始，播放到第几帧光标图像后重新开始。在一般情况下，AVI文件都要求播放软件播完全部图像后再重新开始（除非有一些其它的小企图，只需要播放开始的一部分帧图像）。就象本例定义为AH，即在播完全部的10帧图像后，再重新从第一帧图像开始播放0082－0091：未知，简单更改后对文件播放无影响
0092－0095:未知，可能是此文件在播放前需预读其中的多少帧图像作初始化
0096－0099：未知，可能是此文件中包含的数据流个数
3，从（009A－00C9）是Windows95＆NTANI文件的时间控制区部分
前面曾提到关于ANI文件播放，它是将每帧的光标或图标图像接一定的顺序，绘制到屏幕上，并保留指定的时间，从而达到动画效果。而它对每帧图像这一保留时间的控制。其实是一个烦琐的过程。它需要分别对每帧图像定一个时间，以一个长整数的形式表示，，并按光标或图标图像播放的顺序存放在本区域内。
ANI文件
009A－009D；rate识别码，它是时间控制区开始的标志
009E－00A1：rate块的大小（28h字节）
00A2－00A5：它对应第一帧图像显示后在屏幕上保留的时间
00A6-00A9：它对应第二帧图像显示后在屏幕上保留的时间
00C6－00C9：它对应第十帧图像显示后在屏幕上保留的时间
4，从（00CA-2051）是Wind0WS95&NTAsq文件的数据区部分
ANI文件的数据区，以“块”形式存放着全部图像的数据，即它包含了一个framicon子块和多个icon子块，它的形式很象AVI文件的数据块。framicon子块用于定义本文件的主要帧，也就是我们在windows95＆NT的文件管理器中见到的那张图像，到目前为止，见到的framicon子块都被作为动画光标的第一帧，而放在数据区的第一个子块的位置上；icon子块则用于定义本文件的其它图像帧。
00CA－00CD：LIST识别码，它是数据区开始的标志
00CE－00DI：LIST块的大小（1F80h字节）
00D2-00D99：framicon识别码，数据区中第一个子块的开始
00DA-00DD：framicon子块的大小
ani_ANI -动态光标
ANI格式动态光标制作
动态光标（ANImationicons）。WINDOWS的一种文件格式（*.ani），通常在%systemroot%cursors下。用于WINDOWS2000后的操作系统。在VISTA中自带的AERO忙碌光标是ANI格式。
ANI获取方法
1、自己制作
Microangelo是一套功能强大的图标相关编辑软件。使用它可以创建或编辑图标(.ico)、静态指针(.cur)、动画指针(.ani)以及图标库(.icl)文件，编辑功能十分强大且很容易上手。该软件还有一个功能就是可以直接修改可执行程序中的图标（请注意图像格式一定要匹配）。除上述外，还可以使用附带的microangeloOnDisplay修改系统中的各种图标，使你的系统更漂亮，更具个性化。
2、手动查找
在访问某些网页时，会发现鼠标有了另外的鼠标效果。方法：
（1）访问该网站。
（2）打开“工具”“INTERNET选项”“浏览历史记录（IE7）”“查看文件”，在文件夹中查找ANI文件
ANI使用
打开“控制面板”，在“经典模式”下（对于XP/VISTA）选择“鼠标”项目，再选择“指针”选项卡，在列表中选择合适的项目，浏览ANI文件位置，最后“确定”退出。
ani_ANI -蠕虫
蠕虫病毒
ANI蠕虫
根据毒监测网的监测，被截获的“ANI蠕虫”在短短24小时内接连出现5个变种，在互联网上迅速扩散。这些“ANI蠕虫”的变种同样利用才刚出现的Vista、XP等操作系统的ANI高危漏洞。
在“ANI蠕虫”病毒的第一个变种中，病毒作者加入了“IHateAVP！（我恨AVP）”的字样。随后的变种病毒中又加入了辱骂瑞星公司的文字，并且试图和杀毒公司对话。在“ANI蠕虫”的多个变种中，作者写下了这样的信息：“HelloRuiXingankapersky!Idon'twanttodestroyanycomputers,Idon'tdestroyanydocuments,Idon'tinfectsystemfiles.Don'tKillme!!xV4（你好，瑞星和卡巴斯基！我不想破坏任何电脑、任何文档和感染系统文件。不要杀我！！）”。
反病毒专家称，该病毒并不是以破坏用户计算机为目的而编写，因此用户感染该病毒后几乎无法察觉。但该病毒会从网上下载多种木马、后门病毒，使得用户游戏等账号被盗，或者电脑变成被黑客控制的“肉鸡”，危害比单纯破坏用户计算机的病毒更大。
ani_ANI -漏洞
检测到的ANI病毒
ANI漏洞
该漏洞的利用程序通常伪装成一个图片，只要点击了带有恶意代码图片的网站或邮件就会被感染上恶意程序，无论是IE6或IE7或者是FireFoxOpera等非IE浏览器。无论是WindowsNT2000XP2003Vista操作系统，都有被感染的可能其他网络应用软件如QQ、MSN、各种邮件软件、RSS软件等也可能受到该漏洞的影响。
由于该漏洞的多个版本的利用程序使用了很多技巧，因此会绕过绝大多数杀毒软件、防漏洞软件以及主动防御软件使其失效。这样对用户机器产生极大危害。
一旦没有补丁的机器打开了包含恶意代码的网站或邮件，病毒或恶意程序就会立即悄悄在后台运行，在没有任何反应的情况下使用户的机器中上盗号木马、恶意广告软件、蠕虫病毒等等。
受影响系统
===========================
MicrosoftWindowsVista所有版本
MicrosoftWindowsXP所有版本
MicrosoftWindowsServer2003SP1
MicrosoftWindowsServer2003
MicrosoftWindows2000所有版本
============================
MicrosoftWindows是微软发布的非常流行的操作系统。
MicrosoftWindows在处理畸形的动画图标文件（.ani）时存在缓冲区溢出漏洞，远程攻击者可能利用此漏洞控制用户机器MicrosoftWindows在处理畸形文件（.ani）时没有正确地验证ANI头中所指定的大小，导致栈溢出漏洞如果用户受骗使用IE访问了恶意站点或打开了恶意的邮件消息的话，就会触发这个溢出，导致执行任意代码。
请注意Windows资源管理器也会处理一些文件扩展名的ANI文件，如.ani、.cur、.ico等。
ani_ANI -木马程序
木马程序
一款通过微软系统的“ANI鼠标指针”漏洞疯狂传播的木马程序，此木马程序主要以游戏盗号为目的，通过漏洞批量下载时下所有热门游戏的盗号木马。有特点的是，此款木马程序会通过web站点、局域网、U盘等多种渠道同时进行传播，扩散速度很快。
此木马程序的初始形式通常伪装成图片链接，只要点击了带有恶意代码图片的网站或邮件，就会被感染上木马程序。木马程序下载到用户本机后，使用arp欺骗的方式进行攻击，让整个局域网遭受感染，并且还能通过插入中毒机器的U盘感染后继续扩散。相比较于以往木马程序的单一传播方式，此次发现的木马程序更加先进了，它的传播形式几乎囊括了web网、局域网以及离线传播的各种方式。
一旦用户的电脑中被植入了木马程序，此木马会通过后台下载21个盗号木马，“ANI鼠标指针”漏洞已经被大量的恶意软件作者和木马作者利用，感染了数百万用户。网民尽快使用安全软件检查自己的电脑，养成随时更新系统漏洞补丁的良好习惯。
