flyinspace

原帖由 千浪 于 2008-8-23 17:05 发表
能不能这样.先把CMD.EXE复制为其他AMD.EXE,然后用注册表设置BAT用AMD.EXE来运行.

你可以设置一下实验咯。

直接点关闭按钮关闭Amd.exe试下就知道了。

其实与这个无关。

flyinspace

@echo off & SetLocal EnableDelayedExpansion

set "self=%~0"
if /i "%~1"=="ExitCode" goto :EXIT
if /i "%~1"=="" echo 现在是测试运行
if /i "%~1"=="WIN_Exit" echo 貌似我又复活了
echo start "" "%~0" WIN_Exit>ErrExit.cmd
 
::下面的功能是一次调用。

call :查找进程

call :FINDEXISTPID

call :守护进程

start Check.vbs
:REINPUT
        echo -----------------------------------------
        echo  输入:ExitCode 完全退出程序
        echo -----------------------------------------
        set /p "Input=请输入入口代码:"
        if /i "%Input%"=="ExitCode" goto :EXITPROCESS_OK
goto :REINPUT

:查找进程
:: 创建 vbs脚本，用于检测系统中运行的进程和改进程的pid。
echo for each ps in getobject _>ps.vbs
echo ^("winmgmts:\\.\root\cimv2:win32_process"^).instances_ >>ps.vbs
echo if ps.name ="cmd.exe" Then wscript.echo ps.handle^&vbtab^&ps.name>>ps.vbs
echo next>>ps.vbs
goto :EOF

:FINDEXISTPID
:: 这里是获取进程的 进程的pid。 以便于以后使用。
        if exist ExistPid.txt del ExistPid.txt
        for /f "tokens=1,* " %%m in ('cscript //nologo ps.vbs') do echo %%m>>ExistPid.txt
        for /f "tokens=1,* " %%m in ('cscript //nologo ps.vbs') do (
                type ExistPid.txt | find /i "%%m">nul && set "Pid=%%m"
                )
goto :EOF 

:守护进程
:: 写入一个vbs脚本，检测守护的cmd进程是否关闭，如果关闭则重新打开这个cmd脚本。
:: 检测cmd进程是通过 进程的pid 功能完成的。
echo set Cleaner=createobject^("wscript.shell"^)>Check.vbs
echo do>>Check.vbs
echo WScript.Sleep 100>>Check.vbs
echo if not isProcessExists^("%Pid%"^) then>>Check.vbs
echo Cleaner.run "ErrExit.cmd">>Check.vbs
echo Exit do>>Check.vbs
echo End if>>Check.vbs
echo loop>>Check.vbs
echo Function isProcessExists^(proName^)>>Check.vbs
echo Set objWMIService = GetObject^("winmgmts:" ^& "{impersonationlevel=impersonate}^!\\.\root\cimv2"^)>>Check.vbs
echo Set colProcessList = objWMIService.ExecQuery^("Select * from Win32_Process Where Handle='" ^& proName ^& "'"^)>>Check.vbs
echo isProcessExists = ^(colProcessList.Count ^<^> 0^)>>Check.vbs
echo End Function>>Check.vbs
goto :EOF
:EXITPROCESS_OK
:: 这里是退出程序，也就是exit-code的入口点。。
echo for each ps in getobject _>ps.vbs
echo ^("winmgmts:\\.\root\cimv2:win32_process"^).instances_ >>ps.vbs
echo if ps.name ="WScript.exe" Then wscript.echo ps.handle^&vbtab^&ps.name>>ps.vbs
echo next>>ps.vbs

for /f "tokens=1,* " %%i in ('cscript //nologo ps.vbs') do ntsd -c q -p %%i
echo del ps.vbs>>deltemp.cmd
echo del check.vbs>>deltemp.cmd
echo del ErrExit.cmd>>deltemp.cmd
echo del ExistPid.txt>>deltemp.cmd
echo del run.vbs>>deltemp.cmd
echo del deltemp.cmd>>deltemp.cmd
echo set Cleaner=createobject^("wscript.shell"^)>>run.vbs
echo Cleaner.run "cmd /c deltemp.cmd",^0>>run.vbs
start run.vbs

:EXIT
exit
复制代码

对我写的部分代码的解析。。
只解释段代码。。批处理基础过关的人应该都可以看明白了。

jellyhk

顶起哦！！！
期待！

plt

这批处理好牛，要是能用来控制其他程序不被杀就好了

everest79

按服务来加载，利用系统日志，然后以高特权账户登录，这样超级管理员是无法终止的

flyinspace

原帖由 everest79 于 2008-9-15 17:57 发表
按服务来加载，利用系统日志，然后以高特权账户登录，这样超级管理员是无法终止的

光说没用，写出来。。。。

呵呵

everest79

你自已太懒了，嘿嘿!

flyinspace

原帖由 everest79 于 2008-10-9 08:16 发表
你自已太懒了，嘿嘿!

怎么这么说我呢。。。。我至少还写了代码呀。

拜托，吧你的结论写出来吧。。。

我想批处理室的好多人都在拭目以待呢 。

rat

LZ的代码中vbs的查找进程并不一定能准确的找到运行的批处理的pid，因为实际上找的是cmd.exe的。

flyinspace

原帖由 rat 于 2008-10-18 22:21 发表
LZ的代码中vbs的查找进程并不一定能准确的找到运行的批处理的pid，因为实际上找的是cmd.exe的。

刚才太冲了点。具体你研究吧。。

或者拿出更好的方案出来。。

[ 本帖最后由 flyinspace 于 2008-10-19 12:24 编辑 ]

523066680

set a=createobject("wscript.shell")
a.run "cmd /c @echo Can you close me? &pause>nul &exit",,true
a.run "cmd /c @echo 这是第二次 &pause>nul &exit",,true
wscript.quit

523066680

流氓一下……
set a=createobject("wscript.shell")
for i =  1 to 2 step 0
a.run "cmd /k @echo Can you close me? &pause>nul &exit",,true
next

leaparde

这年头，人怎么这么强大的呢
批处理都能开发病毒了

qlcom

老大，我把你这个p文件直接按键"shift+delete",再点关闭就死翘翘了，呵呵
老大继续完善程序，屏蔽这个bug.期待ing

[ 本帖最后由 qlcom 于 2008-12-18 21:18 编辑 ]

mmfy

如果可以像Worm.Win32.AutoRun.enw的asue.exe和acer.exe进程互锁就可以了。