VC实现程序自删除（三种方法）

1、Gary Nebbett的方法

Gary Nebbett乃是WINDOWS NT/2000 NATIVE API REFERENCE的作者。乃NT系统一等一的高手。

下面就分析一些他的这段代码，这段代码在PROCESS没有结束前就将启动PROCESS的EXE文件删除了：

#include <windows.h> int main() { HMODULE module = GetModuleHandle(0); CHAR buf[MAX_PATH]; GetModuleFileName(module, buf, sizeof(buf)); CloseHandle(HANDLE(4)); __asm { lea eax, buf push 0 push 0 push eax push ExitProcess push module push DeleteFile push UnmapViewOfFile ret } return 0; }

 

现在，我们先看一下堆栈中的东西

偏移 内容
24  0
20  0
16  offset buf
12  address of ExitProcess
8    module
4    address of DeleteFile
0    address of UnmapViewOfFile

调用RET返回到了UnmapViewOfFile，也就是栈里的偏移0所指的地方。当进入UnmapViewOfFile的流程时，栈里见到的是返回地址

DeleteFile和HMODUL module。也就是说调用完毕后返回到了DeleteFile的入口地址。当返回到DeleteFile时，看到了

ExitProcess的地址，也就是返回地址。和参数EAX，而EAX则是buffer。buffer存的是EXE的文件名。由GetModuleFileName

(module， buf， sizeof buf)返回得到。执行了DeleteFile后，就返回到了ExitProcess的函数入口。并且参数为0而返回地址

也是0。0是个非法地址。如果返回到地址0则会出错。而调用ExitProcess则应该不会返回。
这段代码的精妙之处在于:
A、如果有文件的HANDLE打开，文件删除就会失败，所以，CloseHandle(HANDLE(4))是十分巧妙的一手。HANDLE4是OS的硬编码，对应于EXE的IMAGE。在缺省情况下，OS假定没有任何调用会关闭IMAGE SECTION的HANDLE，而现在，该HANDLE被关闭了。删除文件就解除了文件对应的一个句柄。
B、由于UnmapViewOfFile解除了另外一个对应IMAGE的HANDLE，而且解除了IMAGE在内存的映射。所以，后面的任何代码都不可以引用IMAGE映射地址内的任何代码。否则就OS会报错。而现在的代码在UnmapViewOfFile后则刚好没有引用到任何IMAGE内的代码。C、在ExitProcess之前，EXE文件就被删除了。也就是说，进程尚在，而主线程所在的EXE文件已经没了。（WINNT/9X都保护这些被映射到内存的WIN32 IMAGE不被删除。）

Gary Nebbett果然是WIN系列平台的顶尖高手之一。能写出如此代码。独辟蹊径啊！

2、使用远程线程

下面是使用远程线程，来实现程序自删除，有兴趣的看看：

#include <windows.h> #include <tchar.h> #include <TLHELP32.H> #include <stddef.h> /* push dwTime call Sleep mov eax, [esp + 4] push eax call DeleteFileA ret 4 */ #pragma pack(push, 1) typedef struct _tagDeleteStruct { BYTE byPush; DWORD dwTime; BYTE wCall1; DWORD dwSleep; DWORD dwMov; BYTE byPushEax; BYTE wCall2; DWORD dwDeleteFileA; BYTE byRet; WORD w4; CHAR szFile[1]; } DELETESTRUCT, *PDELETESTRUCT; #pragma pack(pop) void EnablePrivilege(void) { HANDLE hToken; TOKEN_PRIVILEGES tp = { 0 }; HANDLE hProcess = GetCurrentProcess(); if (!OpenProcessToken(hProcess, TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken)) return; if (!LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &tp.Privileges[0].Luid)) { CloseHandle(hToken); return; } tp.PrivilegeCount = 1; tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED; AdjustTokenPrivileges(hToken, FALSE, &tp, sizeof(TOKEN_PRIVILEGES), NULL, NULL); CloseHandle(hToken); } DWORD FindTarget(LPCTSTR lpszProcess) { DWORD dwRet = 0; HANDLE hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); PROCESSENTRY32 pe32; pe32.dwSize = sizeof( PROCESSENTRY32 ); Process32First(hSnapshot, &pe32); do { if (0 == lstrcmpi(pe32.szExeFile, lpszProcess)) { dwRet = pe32.th32ProcessID; break; } } while (Process32Next(hSnapshot, &pe32)); CloseHandle(hSnapshot); return dwRet; } DWORD WINAPI DelProc(LPVOID lpParam) { Sleep(50); DeleteFileA((LPCSTR)lpParam); return 0; } BOOL RemoteDel(DWORD dwProcessID, LPCSTR lpszFileName, DWORD dwTime) { // 打开目标进程 HANDLE hProcess = OpenProcess( PROCESS_CREATE_THREAD | PROCESS_VM_OPERATION | PROCESS_VM_WRITE, FALSE, dwProcessID); if (NULL == hProcess) return FALSE; // 向目标进程地址空间写入删除信息 DWORD dwSize = sizeof(DELETESTRUCT) + lstrlenA(lpszFileName); PDELETESTRUCT pDel = (PDELETESTRUCT)GlobalAlloc(GPTR, dwSize); HMODULE hKernel32 = GetModuleHandle(_T("kernel32.dll")); // push dwTime pDel->byPush = 0x68; pDel->dwTime = dwTime; // call Sleep pDel->wCall1 = 0xe8; pDel->dwSleep = (DWORD)GetProcAddress(hKernel32, "Sleep"); // mov eax, [esp + 4] pDel->dwMov = 0x0424448b; // push eax pDel->byPushEax = 0x50; // call DeleteFileA pDel->wCall2 = 0xe8; pDel->dwDeleteFileA = (DWORD)GetProcAddress(hKernel32, "DeleteFileA"); // ret 4 pDel->byRet = 0xc2; pDel->w4 = 0x0004; lstrcpyA(pDel->szFile, lpszFileName); LPVOID lpBuf = VirtualAllocEx(hProcess, NULL, dwSize, MEM_COMMIT, PAGE_READWRITE); if (NULL == lpBuf) { GlobalFree((HGLOBAL)pDel); CloseHandle(hProcess); return FALSE; } // 修正近调用 pDel->dwSleep -= (DWORD)lpBuf + offsetof(DELETESTRUCT, dwMov); pDel->dwDeleteFileA -= (DWORD)lpBuf + offsetof(DELETESTRUCT, byRet); DWORD dwWritten; WriteProcessMemory(hProcess, lpBuf, (LPVOID)pDel, dwSize, &dwWritten); // 创建线程，远程删除！ DWORD dwID; HANDLE hThread = CreateRemoteThread(hProcess, NULL, 0, (LPTHREAD_START_ROUTINE)lpBuf, (LPVOID)((DWORD)lpBuf + offsetof(DELETESTRUCT, szFile)), 0, &dwID); GlobalFree((HGLOBAL)pDel); CloseHandle(hThread); CloseHandle(hProcess); return TRUE; } int WINAPI _tWinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPTSTR lpCmdLine, int nShowCmd) { EnablePrivilege(); CHAR szMe[MAX_PATH]; GetModuleFileNameA(NULL, szMe, MAX_PATH); DWORD dwId = FindTarget(_T("Explorer.exe")); RemoteDel(dwId, szMe, 50); return 0; }

 

3、使用DOS命令

 

之前贴过代码，详情：http://blog.csdn.net/wangningyu/archive/2009/08/06/4417214.aspx