MoveFileEx 的特殊应用

最新推荐文章于 2021-05-21 19:49:04 发布
最新推荐文章于 2021-05-21 19:49:04 发布
阅读量988 收藏
点赞数
分类专栏： Windows 文章标签： delay 杀毒软件 manager session windows system

了解MoveFileEx

  (2012-01-18 11:01:36)
转载▼
标签： 

杂谈

 分类： 技术文章

当dwFlags被设为MOVEFILE_DELAY_UNTIL_REBOOT时，函数直到系统重启后才移动文件。注意文件的移动是发生在AUTOCHK执行之后，在页面文件创建之前。而此时用户还没有完全的进入操作系统，所以可以应用这点删除那些正常情况下很难删除的文件甚至是页面文件。


lpNewFileName为NULL时，MovefileEx实现的就是删除的功能。很多杀毒软件和一些恶意程序删除工具就是利用了MoveFileEx函数的这个特性来实现的重启后删除病毒。


MOVEFILE_DELAY_UNTIL_REBOOT标记使用时需要具有管理员或者LocalSystem用户的进程上下文。
MOVEFILE_DELAY_UNTIL_REBOOT标记不能和MOVEFILE_COPY_ALLOWED标记一同使用。因为在不同的卷下实现不了真正的移动，

 

MoveFileEx把重启后移动的文件和要移到的文件的位置存在下面的多字符注册表值（REG_MULTI_SZ）里：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session\Manager\PendingFileRenameOperations

 

 

MoveFileEx的利用:实现文件的隐藏、自删除以及自启动。


我们可以将一个程序运行后，就将它移动到一个不易发现的目录下，然后利用MoveFileEx,设置dwFlags为MOVEFILE_DELAY_UNTIL_REBOOT，使文件重启后移动到一个可以启动的目录下（对于中文的Windows XP操作系统，启动目录为“C:\Documents and Settings\All Users\「开始」菜单\程序\启动”）。这样文件运行后便立即不在它运行时的目录了，实现了“自删除”功能。下次重启后，系统还没有被登陆，便已经将文件移动到了启动目录里。当用户登陆时，程序启动，随即被移到其他目录中，此时在启动文件夹里也已经没有了它的踪迹，所以通过正常的检查是看不出来文件到底在那里被启动的。整个过程只是调用了一个系统API，没有直接的写注册表

anhkgg
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
基于VC++2010利用API函数MoveFileEx实现程序的隐藏、自启动与自删除
尹成的技术博客
12-17 5388
<br /> <br />详细代码如下<br />#include "stdafx.h" //#include "shell.h" void usage(char *); #pragma comment(linker,"/SUBSYSTEM:WINDOWS") int WINAPI WinMain( HINSTANCE hInstance, // handle to current instance HINSTANCE hPrevInstance, // hand
Win 32API速查
Snake_74的博客
06-30 2096
文章目录Win32API用户篇内核篇参数表WinExecVirtualAllocExCreateProcessAdjustTokenPrivilegesNtQueryInformationProcessRtlCompressBufferRtlDecompressBufferCryptAcquireContextCryptGetHashParamCreateServiceCryptDeriveKey...
API函数MoveFileEx使用详解
热门推荐
Augusdi的专栏
08-21 1万+
{ 函数原型 }BOOL MoveFileEx(  lpExistingFileName: PChar;  // 来源文件名，指向一个以零结尾的字符串的指针。  lpNewFileName: PChar;       // 目标文件名，指向一个以零结尾的字符串的指针。  dwFlags: DWORD              // 移动标记，见定义  ): BOOL; stdcall;
MoveFileEx
oceanark的博客
07-13 2013
函数原型： 　　BOOL MoveFileEx( 　　LPCTSTR lpExistingFileName, // file name 　　LPCTSTR lpNewFileName, // new file name 　　DWORD dwFlags // move options 　　); 参数说明： 　　lpExistingFileName，一个存在的文件
windows API 第13篇 MoveFileEx
10-08 364
上一篇介绍了MoveFile，这次分析MoveFileEx，它是MoveFile的扩展函数，功能还要更加强大些。先看定义： BOOL WINAPI MoveFileEx( _In_LPCTSTR lpExistingFileName, _In_opt_LPCTSTR lpNewFileName, _In_DWORD dwFlags );返回...
Delphi 实现删除、移动正在使用的文件源代码.rar
07-09
在 Delphi 开发环境中，有时候我们需要处理一些特殊的情况，例如删除或移动正在被其他程序使用的文件。这种情况在常规操作中可能会遇到错误，因为操作系统通常不允许对正在使用的文件进行修改。然而，通过特定的技术...
计算机软件-商业源码-删除或移动正在使用的文件.zip
05-23
在Windows系统中，可以使用`MoveFileEx()`函数配合`MOVEFILE_DELAY_UNTIL_REBOOT`标志来实现延迟删除或移动，这样文件会在下次系统启动时被删除。而在Unix/Linux系统中，可以使用`rename()`函数配合特定的原子操作来...
计算机软件-商业源码-217 清空回收站.zip
05-21
在Windows操作系统中，回收站是一个特殊的地方，用户可以恢复不小心删除的文件，但在需要释放磁盘空间时，清空回收站是必要的步骤。 清空回收站的功能在编程中通常涉及到文件操作，可能是通过API调用来实现的。在...
延迟删除的故事（PDF格式）
10-11
1. **注册操作**：应用程序通过调用`MoveFileEx()`函数，并传递特定的参数`MOVEFILE_DELAY_UNTIL_REBOOT`来注册延迟删除/重命名操作。这些操作会被记录在注册表中的`HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\...
Delphi moveFileEx文件移动示例.rar
07-10
Delphi移动文件，其实就是模拟了剪切文件再粘贴文件的效果，比较简单的例子，核心的代码也没几行： 　　begin moveFileEx(pchar(OpenDialog1.FileName),pchar('C:\' extractfilename(opendialog1.FileName)),MOVEFILE_COPY_ALLOWED); 　　 showmessage('文件已移动到C盘跟目录下'); 　　end 　　else 　　 showmessage('无法复制文件'); 　　end; 　　需要更完整的代码，请下载本Delphi文件移动源码包。
有意思的MoveFileEx
天道酬勤
09-13 1134
有趣的MoveFileEx？MoveFileEx只有一个API函数，有趣？ MSDN:http://msdn.microsoft.com/en-us/library/windows/desktop/aa365240(v=vs.85).aspx 真正有趣的是我们可以用它来做一些有趣的操作，比如： 移动正在运行的程序（运行中不能删除，但是能移动），使用MOVEFILE_REPLACE_E
python的MoveFileEx
dodobear的小窝窝
07-31 649
今天，python的中文问题毁掉了我整天的心情，win32api的MoveFileEx，我传入的中文文件路径老是报123，32错误，我都快发疯了，函数你到底想要什么编码格式的字符串参数啊？？这使原本就不怎么喜欢python的我，觉得python实在是太差了。不过我还是会客观地看待这个问题的，只能说python的跨平台是有点问题的，python自带的库居然没有剪切文件的api，如果要跨平台的话，这怎
MoveFileEx 的MOVEFILE_DELAY_UNTIL_REBOOT 标志的用法！
lbird
04-24 6466
该标志一般由安装程序使用，比如你想安装新的驱动程序时，由于旧的驱动程序仍被系统使用而无法删除或覆盖它。在这种情况下，安装程序可以把新的驱动程序拷贝到一个临时的目录中，然后用MOVEFILE_DELAY_UNTIL_REBOOT标志调用MoveFileEx，。当系统重启后，系统就在启动之前用新的驱动程序代替旧的驱动程序。因为该标志可以用来在重启后覆盖一个文件。        它还可以在重启后
利用MoveFileEx实现程序的隐藏、自启动与自删除
FreshMan
09-30 4622
摘要：程序的自启动与自删除几乎是所有后门或者木马所必须具备的功能。程序实现自启动的方法有很多种，最常见的方法莫过于写注册表，添加服务，或者将自身复制到启动目录。自删除通常的办法是写批处理。但是这些方法都已经众所周知，均被各杀毒软件、防护软件，主动防御软件以及经验丰富的管理员视为可疑行为。本文利用API函数MoveFileEx的dwFlags参数实现了上述功能，并且具有一定的隐蔽性。 一、了解Mo
winAPI之MoveFileEx
erikaIT的博客
01-06 1091
MoveFileEx（__in LPCSTR lpExistingFileName, __in LPCSTR lpNewFileName, __in DWORD dwFlags） 1、本意为移动文件到指定位置 2、MOVEFILE_REPLACE_EXISTING标识设置后，如果指定位置有同名文件，则覆盖之，不能对目录使用 3、MOVEFILE_DELAY_UNTIL_REBOOT标
windows删除文件c语言函数,技术分享 - 使用MoveFileEx函数实现重启删除文件
weixin_28990983的博客
05-21 858
背景在使用一些管理监控软件的时候，都会发现这些软件里都会提供这样的一个功能：重启删除文件。也就是，让计算机重启之后，立马删除文件。删除发生在AUTOCHK执行之后，在页面文件创建之前。而此时用户还没有完全的进入操作系统，所以可以应用这点删除那些正常情况下很难删除的文件甚至是页面文件。起初，我还以为这种技术实现起来很难。想不明白如何设置重启之后，程序会自动删除指定文件，是将信息存储在注册表里？还是存...
MoveFile的坑
fatacy的专栏
08-25 1457
输入法在这儿栽过两次，都是因为MoveFile不能跨分区。用MoveFileEx代替吧。另外MoveFileEx之前最好去掉隐藏属性。
做update的时候 用到的movefileex
pirate97的专栏
06-05 868
当dwFlags被设为MOVEFILE_DELAY_UNTIL_REBOOT时，函数直到系统重启后才移动文件。注意文件的移动是发生在AUTOCHK执行之后，在页面文件创建之前。而此时用户还没有完全的进入操作系统，所以可以应用这点删除那些正常情况下很难删除的文件甚至是页面文件。 lpNewFileName为NULL时，MovefileEx实现的就是删除的功能。很多杀毒软件和一些恶意程序删除
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值