tireless

尾部有个 exit，exe里面的bat应该不会被执行。要不你测试下 cs.exe

zqz0012005

exe里面释放的bat虽然不会执行，但exe本身可能含有恶意功能。

zqz0012005

我曾经也是用的给CMD加启动项的方法：

reg.exe add "HKCU\Software\Microsoft\Command Processor" /v "AutoRun" /d "wmic process where \"name='cmd.exe'\" get commandline | findstr /irc:\"cmd[.exe]* /c\"&pause&exit" /f
复制代码

找到bat后拖到此解密脚本上

attrib -s -h -r %1
echo.>tmp.txt
copy tmp.txt+%1 "%~dp0%~n1.crack.bat"
del tmp.txt
复制代码

tireless

测试发现，利用映像劫持或者修改 Command Processor AutoRun 的方法都不太可靠。例如以下两个测试文件，用这两个方法就行不通：

关卡巴程序.exe 用OllyDBG解出来了，批处理工具箱.exe 没解出来...

[ 本帖最后由 Batcher 于 2009-5-9 21:52 编辑 ]

Batcher

经测试，批处理工具箱.exe使用方案三可以破解，其它方法还没试，最近工作比较忙。

@shift 1
              @shift 1
@ECHO off
color 0A
MODE con: COLS=62 lines=24
:main
cls
title 东拼西凑个人批处理工具   作者:冰剑  www.is28.cn
echo.
echo           www.is28.cn  ╭──────────────╮
echo    ╭─────────┤    东拼西凑批处理工具箱    ├─╮
echo    │ 主菜单           │                 V1.5.1027  │  │
echo    │                  ╰──────────────╯  │
echo    │ [1]系统优化     [2]系统安全     [3]系统修复        │
echo    │ [4]系统个性化   [5]系统工具     [6]                │
echo    │ [7]             [8]网络搜索     [9]其他功能        │
echo    │                                                    │
echo    │ [V]进入作者特别推荐的批处理学习与交流论坛！        │
echo    │ [A]关于程序     [W]作者主页     [Q]退出程序        │
echo    ╰──────────────────────────╯
::下面的代码省略了
复制代码

zqz0012005

用我18楼给CMD加启动项的方法可以得到。

cmd /c ""C:\WINDOWS\Temp\a00785.bat" "C:\Documents and Settings\user\桌面\关卡巴程序.exe" "
cmd.exe /c C:\DOCUME~1\USER\LOCALS~1\Temp\bt3410.bat "C:\Documents and Settings\user\桌面\批处理工具箱.exe"

其中关卡巴程序.exe启动的CMD是隐藏的，但我运行批处理工具箱.exe时，把两个都显示出来了。

[ 本帖最后由 zqz0012005 于 2009-2-18 21:01 编辑 ]

xouou_53320

用HIPS轻松拦截temp目录的bat文件

xiaojinglf

如果安装有hips软件。例如eq。可以轻易处理这个
bat或者cmd生成时会被其fd提示。允许创建，禁止删除。就可以在%temp%得到释放的bat。

tireless

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor]
"AutoRun"="echo %cmdcmdline%>\"%temp%\\batpath.txt\"&start \"\" \"%temp%\\batpath.txt\"&exit"
复制代码

hacker_

救命啊！
我复制了楼主那段代码来运行之后CMD和所有的bat文件打不开！
有什么方法解决啊！

weiyepin

很好很强大的方法！呵呵，又学了一招

dahual

根据11楼 54cml 所述原理，动手写了个可检查 .exe动态释放.bat的；程序完全智能、绿色无污染，方便新手使用。
xp sp3下测试通过。

问题已解决，这里：http://dahual.ys168.com/   工具\DIY\

huziivy

谢谢  学习下  正在需要

iamjyb

不必这么麻烦，我已经发现了破解了QUICK BFC加密程序

yzyd110

这个要学习一下