自删除技术浅析(一）

传说，常用的有三种“自删除”技术

1.利用windows的批处理命令

 

2.多进程的方式

 

3.远程注入的方式

 

 

主要的问题在于，当前程序正在执行过程中，是删除不掉的。

如果当前进程的任务是将程序注入到其他进程，在其他进程的地址空间中运行，然后关掉当前进程。再删除文件就可以删除成功了，这个原理就是方式2，3.

方式1是利用批处理任务可以删除自己的特性实现的。

 

目前已经会的是批处理命令的方式，其他的两个目前只知道原理，还没有动手实践过。

下面，写点关于字处理方式实现自删除的细节。

 

/* * A program del itself when it run */ #include <windows.h> #include <stdio.h> int main(void) { HMODULE hmod; int ret = 0; char strFileName[256] = {0}; FILE *fp; /* Get the module handle itself*/ hmod = GetModuleHandle(NULL); ret = GetModuleFileName(hmod, (LPTSTR)strFileName, 256); if(ret == 0) { printf("Module Get file name error!/n"); return -1; } /* Create a .bat to delete program */ fp = fopen("self_del.bat", "w+"); if(fp == NULL) { printf("create self_del.bat error!/n"); return -1; } fprintf(fp, "@echo del file yourself/r/n"); fprintf(fp, ":start/r/n/tif not exist %s goto done/r/n", strFileName); fprintf(fp, "/tdel /f /q %s/r/n", strFileName); fprintf(fp, "goto start/r/n"); fprintf(fp, ":done/r/n"); fprintf(fp, "/tdel /f /q %0/r/n"); fclose(fp); /*Run .bat*/ ShellExecute(NULL, "open", "self_del.bat", NULL, NULL, SW_HIDE); return 0; }

 

有一点需要说明：最后的批处理命令中，利用一个死循环，来确保程序已经退出了，只有批处理命令在跑，来删除程序。

如果没有死循环，可能命令行在执行批处理命令时，程序还没有退出去，这时候，是删除不掉程序的。

 

另外在批处理命令中 “%0”代表批处理命令本身。

这个程序还有点问题，就是程序删除成功了，但是批处理命令还在，没有被删除。我在找原因。

 

原因找到了，是因为批处理命令中的最后一行不对。

如果c语言想要输出"%",需要使用转义字符“%%”，所以需要将上述程序的

fprintf(fp, "/tdel /f /q %0/r/n");

修改为：fprintf(fp, "/tdel /f /q %%0/r/n");

测试OK。