利用MoveFileEx实现程序的隐藏、自启动与自删除

• 作者: hkRalf／RalfPla
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: MOVE FILE EX 文件隐藏 程序自启动
• 年，卷（期）: 2008,（7）
• 页码范围: 85-87
• 页数: 3页
• 分类号: TP311.56

摘要

程序的自启动与自删除几乎是所有后门／木马必须具备的功能。程序实现自启动的方法有很多种，最常见的方法莫过于写注册表、添加服务，或者将自身复制到启动目录。自删除通常的办法是写批处理。但这些方法都已经众所周知，均被各杀毒软件、防护软件，主动防御软件以及经验丰富的管理员视为可疑行为。本文则利用API函数MoveFileExI的dwFlags参数实现了上述功能，并且具有一定的隐蔽性。