MoveFileEx 的特殊应用
来源:互联网 发布:ios app 耗电量优化 编辑:程序博客网 时间:2024/05/30 12:03
了解MoveFileEx
(2012-01-18 11:01:36)杂谈
分类: 技术文章当dwFlags被设为MOVEFILE_DELAY_UNTIL_REBOOT时,函数直到系统重启后才移动文件。注意文件的移动是发生在AUTOCHK执行之后,在页面文件创建之前。而此时用户还没有完全的进入操作系统,所以可以应用这点删除那些正常情况下很难删除的文件甚至是页面文件。
lpNewFileName为NULL时,MovefileEx实现的就是删除的功能。很多杀毒软件和一些恶意程序删除工具就是利用了MoveFileEx函数的这个特性来实现的重启后删除病毒。
MOVEFILE_DELAY_UNTIL_REBOOT标记使用时需要具有管理员或者LocalSystem用户的进程上下文。
MOVEFILE_DELAY_UNTIL_REBOOT标记不能和MOVEFILE_COPY_ALLOWED标记一同使用。因为在不同的卷下实现不了真正的移动,
MoveFileEx把重启后移动的文件和要移到的文件的位置存在下面的多字符注册表值(REG_MULTI_SZ)里:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session\Manager\PendingFileRenameOperati
MoveFileEx的利用:实现文件的隐藏、自删除以及自启动。
我们可以将一个程序运行后,就将它移动到一个不易发现的目录下,然后利用MoveFileEx,设置dwFlags为MOVEFILE_DELAY_UNTIL_REBOOT,使文件重启后移动到一个可以启动的目录下(对于中文的Windows XP操作系统,启动目录为“C:\Documents and Settings\All Users\「开始」菜单\程序\启动”)。这样文件运行后便立即不在它运行时的目录了,实现了“自删除”功能。下次重启后,系统还没有被登陆,便已经将文件移动到了启动目录里。当用户登陆时,程序启动,随即被移到其他目录中,此时在启动文件夹里也已经没有了它的踪迹,所以通过正常的检查是看不出来文件到底在那里被启动的。整个过程只是调用了一个系统API,没有直接的写注册表
- MoveFileEx 的特殊应用
- python的MoveFileEx
- movefileex的使用记录
- 有意思的MoveFileEx
- MoveFileEx
- MoveFileEx
- MoveFileEx 的MOVEFILE_DELAY_UNTIL_REBOOT 标志的用法!
- 做update的时候 用到的movefileex
- JS 的特殊应用
- Notification的特殊应用
- Notification的特殊应用
- Notification的特殊应用
- 让我吃亏的 API MoveFileEx
- “CMD /C”的特殊应用
- Makefile特殊语法的应用
- Html特殊元素的应用
- 边框border的特殊应用
- C# MoveFileEx删除难以删除的病毒,杀毒软件常用的
- C++进阶过程(Windows)
- 可怕的90后
- 三星直逼英特尔,半导体厂商排名起起伏伏
- Struts2常用的类ActionSupport
- Android获取文件的MD5值
- MoveFileEx 的特殊应用
- 做Mysql主从时,注意使用replicate_wild_do_table和replicate-wild-ignore-table
- 关于 ok6410sd卡usb不能烧写的问题
- C语言:输入一行字符,统计其中有多少单词,单词之间用空格分隔开
- JavaScript闭包导致的for循环问题解决 【转】
- Nginx_lua
- 关于线程
- asp.net C#如何上传指定路径的图片,不用FileUpload控件[转]
- 安全高性能网站搭建(六)