54cml

http://bbs.verybat.org/thread-15664-1-1.html
这种方法也是挺不错的^_^

Batcher

可以到这里去下载一个
http://www.cn-dos.net/forum/viewthread.php?tid=25914

BBCC

网上有很多文章说更高级的做法是利用C里面的system函数，就是直接调用DOS命令的函数。。。

越高级,越累啊...

defanive

Batcher把那东西传上来吧，90年的东西啊，这么老了。。。

Batcher

据说这个软件不是动态释放类型的，根据我当时的测试，确实没有发现动态释放。

C:\Test>bat2exec.exe

BAT2EXEC 1.5 (c) 1990, 1991 Ziff Communications Co.
PC Magazine ?Douglas Boling

Syntax: BAT2EXEC filename.ext

可惜的是，这个软件对很多批处理中的常用特性写法都不支持。后来，个中高手根据该软件的源代码得出结论：只要注意某些批处理编写技巧，完全有可能被该软件转换成功。但我觉得他总结的方法太过复杂，而我又对这个不太感兴趣，就没有再深入下去。

Batcher

原理上是这样，修改那个注册表项也是轻而易举的事情。但我不了解转换软件的内部工作原理，如果某些转换软件以 cmd /k 之类的方式来调用，则可能跳过我们设置的障碍，恶意代码仍有可能被执行。我觉得还是映像劫持比较可靠些，所以当时也没有收录这个方法。

defanive

依照现在的软件来看，都是最普通的写BAT代码到EXE（或者重新编译EXE），然后EXE执行时动态释放。。。

网上有很多文章说更高级的做法是利用C里面的system函数，就是直接调用DOS命令的函数。。。

那都是纸上谈兵，system的问题很多，system函数就等于直接在CMD里面输入运行，不仅预处理有问题，而且不像用BAT文件一样可以有标签和CALL等等，所以system是不可行的。更重要的是，人家为了不让别人看到代码，下载一个附带C程序编译器的软件，几乎是不太可能的，头文件的动态链接库是很大的。。。

所以，现在，到目前为止，我还没有看过一个转换软件不是动态释放的，只要监视就可以了。。。

defanive

设置断点么。。。

其实直接在注册表里面加那个CMD启动自执行的BAT，然后在BAT里面加句Pause，暂停的时候直接拿走文件就可以了么，然后直接终止掉就不会执行下面的代码了。。。

Batcher

本帖收集的例子最大特点是：可以避免exe文件中可能存在的恶意代码对系统造成的损害。

如果不考虑这一点，可以使用filemon之类的软件监控exe释放文件的路径，这样确实简单，但没啥技术含量，因此该类方案在本帖中不予收录。

defanive

我以前破解都很简单的，有个软件可以动态跟踪EXE对文件的操作，直接就找到路径了。。。