tireless

54cml 的读取 cmd.exe 的参数的方法不错。鉴于此，也可以用 wmic。
导入以下reg文件，再运行加密的exe：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor]
"AutoRun"="wmic PROCESS where Name=\"cmd.exe\" get CommandLine>%temp%\\路径.txt&start notepad %temp%\\路径.txt&exit"
复制代码

恢复注册表键值：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor]
"AutoRun"=""
复制代码

tireless

尾部有个 exit，exe里面的bat应该不会被执行。要不你测试下 cs.exe

tireless

测试发现，利用映像劫持或者修改 Command Processor AutoRun 的方法都不太可靠。例如以下两个测试文件，用这两个方法就行不通：

关卡巴程序.exe 用OllyDBG解出来了，批处理工具箱.exe 没解出来...

[ 本帖最后由 Batcher 于 2009-5-9 21:52 编辑 ]

tireless

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor]
"AutoRun"="echo %cmdcmdline%>\"%temp%\\batpath.txt\"&start \"\" \"%temp%\\batpath.txt\"&exit"
复制代码