-
-
[分享]很有时间系列：一种比较奇怪的启动方法
-
2018-5-18 16:23
-
//代码请勿用于违反当地法律的事情，代码仅供研究使用 //想吹水就来QQ群：48715131
通过比较奇怪的注册表达到开机启动的目的。
开机登陆后由atbroker.exe作为一个启动程序来启动第二步的程序。
//利用代码,boot.exe是要开机启动的程序
install_ATs(_T("C:\\boot.exe"),_T("7777777"));效果：
具体写注册代码如下：（XorStringW来自https://github.com/Tai7sy/vs-obfuscation）
int get_rand(std::size_t _min,std::size_t _max)
{
std::random_device r;
std::mt19937 rand(r());
std::uniform_int_distribution<int> uniform_dist(_min, _max);
return uniform_dist(rand);
}
bool install_ATs(LPCTSTR ExePath, LPCTSTR Arg)
{
//ATS安装exe持久化
//HKEY_LOCAL_MACHINE
//SOFTWARE\Microsoft\Windows NT\CurrentVersion\Accessibility\ATs
HKEY hKey = nullptr;
HKEY hKey1 = nullptr;
HKEY hKey2 = nullptr;
auto exit_sope = std::experimental::make_scope_exit([&]() {
RegCloseKey(hKey);
RegCloseKey(hKey1);
RegCloseKey(hKey2);
});
do {
auto status = RegOpenKeyExW(
HKEY_LOCAL_MACHINE,
XorStringW(L"SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Accessibility\\ATs"),
0,
KEY_ALL_ACCESS,
&hKey);
if (status != ERROR_SUCCESS)
{
break;
}
//随机名字
WCHAR *pRandArray = XorStringW(L"qwertyuiopasdfghjklzxcvbnm1234567890");
WCHAR newName[8] = {};
for (auto i=0;i<RTL_NUMBER_OF(newName)-1;i++)
{
newName[i] = pRandArray[get_rand(0, wcslen(pRandArray))];
}
//创建子健
status = RegCreateKeyEx(hKey,
newName,
0,
nullptr,
REG_OPTION_NON_VOLATILE,
KEY_ALL_ACCESS,
nullptr,
&hKey1,
nullptr);
if (status!=ERROR_SUCCESS)
{
break;
}
status = RegSetValueExW(hKey1, XorStringW(L"StartExe"),
0, REG_SZ, (const BYTE*)ExePath, (DWORD)(sizeof(TCHAR)*(_tcslen(ExePath) + 1)));
if (status!=ERROR_SUCCESS)
{
break;
}
status = RegSetValueExW(hKey1, XorStringW(L"StartParams"),
0, REG_SZ, (const BYTE*)Arg, (DWORD)(sizeof(TCHAR)*(_tcslen(Arg) + 1)));
if (status != ERROR_SUCCESS)
{
break;
}
//SOFTWARE\Microsoft\Windows NT\CurrentVersion\Accessibility\Session1
status = RegCreateKeyEx(HKEY_CURRENT_USER,
XorStringW(L"SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Accessibility"),
0,
nullptr,
REG_OPTION_NON_VOLATILE,
KEY_ALL_ACCESS,
nullptr,
&hKey2,
nullptr);
if (status!=ERROR_SUCCESS)
{
break;
}
status = RegSetValueExW(hKey2, XorStringW(L"Configuration"),
0, REG_SZ, (const BYTE*)newName, sizeof(newName));
if (status != ERROR_SUCCESS)
{
break;
}
RegCloseKey(hKey2);
status = RegCreateKeyEx(HKEY_CURRENT_USER,
XorStringW(L"SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Accessibility\\Session1"),
0,
nullptr,
REG_OPTION_NON_VOLATILE,
KEY_ALL_ACCESS,
nullptr,
&hKey2,
nullptr);
if (status!=ERROR_SUCCESS)
{
break;
}
status = RegSetValueExW(hKey2, XorStringW(L"Configuration"),
0, REG_SZ, (const BYTE*)newName, sizeof(newName));
if (status != ERROR_SUCCESS)
{
break;
}
return true;
} while (0);
return false;
}效果一般般，只是这个启动点比较不常见。
阿里云助力开发者！2核2G 3M带宽不限流量！6.18限时价，开 发者可享99元/年，续费同价！
最后于 2018-5-18 17:04
被cvcvxk编辑
，原因： 贴图，补充缺少的一句代码
|
|
|---|---|
|
|
|
|
|
自行测试 |
|
|
吹水也要付费啊
|
|
|
|
|
|
是的，已经死了。 |
|
|
|
|
|
|
|
|
感谢，对文中的XorStringW比较感兴趣。
|
|
|
|
|
|
666
|
|
|
|
|
|
|
|
|
|
|
|
|
