批處理(batch)腳本從零開始-資料下載頁(yè)
2025-06-17 04:32本頁(yè)面
【正文】 運(yùn)行CMD轉(zhuǎn)換目錄到system32dir *.exe amp。 dir *.dll, , 日后如發(fā)現(xiàn)異常但用傳統(tǒng)的方法查不出問題時(shí),則要考慮是不是系統(tǒng)中已經(jīng)潛入DLL木馬了. ,然后運(yùn)行: CMDfc amp。 fc .(用FC命令比較前后兩次的DLL和EXE文件,),這樣我們就能發(fā)現(xiàn)一些多出來的DLL和EXE文件,然后通過查看創(chuàng)建時(shí)間、版本、是否經(jīng)過壓縮等就能夠比較容易地判斷出是不是已經(jīng)被DLL木馬光顧了。沒有是最好，如果有的話也不要直接DEL掉，先用regsvr32 /u ,再把它移到回收站里，若系統(tǒng)沒有異常反映再將之徹底刪除或者提交給殺毒軟件公司。 3. 、amp。 、amp?！ ?從文件中而不是從鍵盤中讀入命令輸入?！ mp。 將一個(gè)句柄的輸出寫入到另一個(gè)句柄的輸入中。 amp。 從一個(gè)句柄讀取輸入并將其寫入到另一個(gè)句柄輸出中?！ ∵@些并不常用，也就不多做介紹?！ ?作注冊(cè)表 在入侵過程中經(jīng)常回*作注冊(cè)表的特定的鍵值來實(shí)現(xiàn)一定的目的，例如:為了達(dá)到隱藏后門、木馬程序而刪除Run下殘余的鍵值?；蛘邉?chuàng)建一個(gè)服務(wù)用以加載后門。當(dāng)然我們也會(huì)修改注冊(cè)表來加固系統(tǒng)或者改變系統(tǒng)的某個(gè)屬性，這些都需要我們對(duì)注冊(cè)表*作有一定的了解。*作注冊(cè)表.(我們可以用批處理來生成一個(gè)REG文件)關(guān)于注冊(cè)表的*作，常見的是創(chuàng)建、修改、刪除。 創(chuàng)建分為兩種，一種是創(chuàng)建子項(xiàng)(Subkey) 我們創(chuàng)建一個(gè)文件，內(nèi)容如下： Windows Registry Editor Version [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\hacker] 然后執(zhí)行該腳本，你就已經(jīng)在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft下創(chuàng)建了一個(gè)名字為“hacker”的子項(xiàng)?！ ×硪环N是創(chuàng)建一個(gè)項(xiàng)目名稱 那這種文件格式就是典型的文件格式，和你從注冊(cè)表中導(dǎo)出的文件格式一致，內(nèi)容如下： Windows Registry Editor Version [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] Invader=Ex4rch Door=C:\WINNT\system32\ Autodos=dword:02 這樣就在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]下 新建了:Invader、door、about這三個(gè)項(xiàng)目 Invader的類型是“String value” door的類型是“REG SZ value” Autodos的類型是“DWORD value” 修改相對(duì)來說比較簡(jiǎn)單，只要把你需要修改的項(xiàng)目導(dǎo)出，然后用記事本進(jìn)行修改，然后導(dǎo)入（regedit /s）即可。 我們首先來說說刪除一個(gè)項(xiàng)目名稱，我們創(chuàng)建一個(gè)如下的文件： Windows Registry Editor Version [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] Ex4rch= 執(zhí)行該腳本，[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]下的Ex4rch就被刪除了； 我們?cè)倏纯磩h除一個(gè)子項(xiàng)，我們創(chuàng)建一個(gè)如下的腳本： Windows Registry Editor Version [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 執(zhí)行該腳本，[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]就已經(jīng)被刪除了?！ ∠嘈趴吹竭@里，.reg文件你基本已經(jīng)掌握了。，記得我們前面說道的利用重定向符號(hào)可以很容易地創(chuàng)建特定類型的文件。 samlpe1:如上面的那個(gè)例子,如想生成如下注冊(cè)表文件 Windows Registry Editor Version [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] Invader=Ex4rch door=hex:255 Autodos=dword:000000128 只需要這樣： @echo Windows Registry Editor Version @echo [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] @echo Invader=Ex4rch @echo door=5C:\WINNT\system32\ @echo Autodos=dword:02 samlpe2: 我們現(xiàn)在在使用一些比較老的木馬時(shí),可能會(huì)在注冊(cè)表的[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion \Run(Runonce、Runservices、Runexec)],從而導(dǎo)致木馬被查殺,() @start @attrib +h +r @echo [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] @echo windsnx = @ create Windriversrv type= kernel start= auto displayname= WindowsDriver binpath= c:\winnt\system32\ @regedit /s @delete @REM [刪除DSNXDE在注冊(cè)表中的啟動(dòng)項(xiàng)，并config為自啟動(dòng)] @REM 這樣不是更安全^_^.
物理相關(guān)推薦
鄂ICP備17016276號(hào)-1