请有破解加密批处理文件经验的各位大侠进来帮帮小虾~~ - 中国DOS联盟论坛

偶有个加密的批处理文件,能麻烦您破解下么?
地址:文件下载
作者是用BAT2EXEC 1.5或者还加上其它手段弄的.
偶是菜鸟,让您见笑了,有空帮偶睇下了.非常谢谢!

忘记说了,原始文件是*.com,偶修改了扩展名~~

这个是那个ghost8.3全分区光盘的引导部分的DOS启动下的文件,因为偶朋友的机器经常需要重做系统,后来偶就找到这个光盘,但是共享版只能用来备份和恢复C区,其它分区的功能是关闭的.

所以期盼版主能帮忙搞定哈~

再次谢谢先!

[ Last edited by flyuu on 2006-11-30 at 01:35 PM ]

我怎么下下来是发现病毒啊~`

别吓偶啊,偶查了再传的卡巴和AVG Anti-Spyware 7.5,江民

再说在这里放毒,那不是,叫什么来着,关公门前耍大刀~~

楼主别误会啊~~ 我也不知道什么原因,我用的是金山毒霸6~试了好几次都提示发现病毒

不会啦,其它杀毒软件会不会把*.bat一概处理成病毒偶不清楚哈.

　　十分抱歉，其实我只对CMD下的批处理比较精通一点，其他方面完全是菜鸟，对纯DOS更是一知半解，并且根本不会破解之道。

　　好在本论坛里还是有其他高手，请各位出招吧^_^

　　另外，请楼主把标题修改一下。在标题里指定呼叫某人是不甚妥当的做法，容易引起他人反感的。

呵呵呵,因为实践阁下几篇贴子,效果不错,所以直接发贴起那样的名字找您啦,请别见怪.对论坛各位前辈失礼之处,在此一并致歉!

　　目前把标题修改为：各路大侠请进，仍属不妥当，在标题里最好能够让人能大概知道你想要做什么，也就是所谓的见名知义，请继续修改吧。

呵呵呵,改了,不好意思

这个可以还原成BAT文件的，我原来用过这个工具，不过反编译工具我忘记了叫什么名字，不过反编译过来的也有部分是乱码，不是很准确。
其实这个工具只能把BAT编译成COM文件，不能编译成EXE文件，如果你改成EXE文件，将无法运行。你使用记事本打开该文件，还是可以看到源代码的，只是有很多乱码，这些乱码不用理会它，是使用该加密工具加密后的垃圾字符

给个例子，前面有人发过DELABC删除智能ABC的COM。使用记事本打开DELABC.COM,代码如下:
?怌ompiled by BAT2EXEC 1.5
PC Magazine ?Douglas Boling
\媙嫤嫗碕?? 墕嫗 憬?S [孇O妴 PW?W鳻垎 [肧? DUMMY FCB DUMMY FCB [墻 WV嬿F??)???)?^_峎R?RW.媶 P嬡 K嬛?絓.媙屗鷰計? 碝?垎 [?S? COMSPEC[? 嬻W鶾肧QW巻 3嬣嬻嬍螃t2拦虍&€= u雼?嬿?=u麁< t氍
纑< r鱊?_Y[们? 嬛3筛<t?r)嬝t?B3覌释!r墳 S碋? ?墕 ? [碏?胋?
MS? PATH=COMEXEBAT Bad command or file name
/C [墂?嫋
兟艷1 ? 孃3?usRV3襽|:u
?€膺€闌G€<\t癨猇嬿碐?^2拦@ 虍O€}\t癨?垃=..u\? 虍虍麲腱獖?\u礼1< u轔嬜 ?虍黸G嬜孃^Z?€1 u媤W鰏峸W綦{笽 ? v<.t舭.獚w? イ2廓RVQ嬺W鶼^Zs
冿忾??凒u3峸.冴孃イ2拦虍艵 媤8Lw奓螭?
嬺嬊+聢DW螂?O?W嬺W鴂?[脢F
襱??塍?S? PATH[RV? 嬻W鶬??纓$<;u麟颥<;t
纓?&€}\t癨^Z[鸣滕嬜??嬛3纱N?r兦兙 t碏嫗 ? ??嫗 ?们? 嬛 =?r墕 P碋3弁!墕 3蒣碏?脙? t碏3蓩? ??嫗 ?枚? ????艶??柒?€ /C c:
/C CD \winnt\system32
AUX REG / delete "HKCU\Keyboard Layout\Preload" /f
AUX REG import myime.reg
please wait a little longer......
t RU.exe /quiet /nobackup /forcerestart
嵍! 竍袓? 竍袓禓竀袓禗嵕I 浮懈b袓秠竀袓秨嵕浮懈b袓稓跟袓毒竲袓独竀袓堵竀袓赌竀袓镀竀袓度竀袓妒竀袓短竀袓段竀袓缎嵕浮懈?懈b懈 L?

仔细分析上面的代码,可以发现源代码如下:
＠ECHO off
C:
CD \winnt\system32
AUX REG /delete "HKCU\Keyboard Layout\Preload" /f
AUX REG import myime.reg
ECHO please wait a little longer......
PAUSE
RU.EXE /quiet /nobackup /forcerestart

关于金山毒霸报毒, 请放心, 经检测没发现任何病毒特性. 也许这年头病毒太多, 导致病毒误报机率增大.

对该加密批处理分析, 发现太神奇了. 它不像正常的二进制文件, 也没有往硬盘释放正式的BAT文件, 而且它的加密方法也非常特别(跟以往BAT2EXE有很大区别). 以前也分析过BAT2EXE的C语言源码, 由于功底太浅, 至今没有搞懂. 呵呵~

对这种加密方法, 我只得到一段小小的资料, 这可能是该加密机制的突破口, 贴出来高手给分析一下.


REM Windows MS-DOS Startup File
REM
REM CONFIG.SYS vs CONFIG.NT
REM CONFIG.SYS is not used to initialize the MS-DOS environment.
REM CONFIG.NT is used to initialize the MS-DOS environment unless a
REM different startup file is specified in an application's PIF.
REM
REM ECHOCONFIG
REM By default, no information is displayed when the MS-DOS environment
REM is initialized. To display CONFIG.NT/AUTOEXEC.NT information, add
REM the command echoconfig to CONFIG.NT or other startup file.
REM
REM NTCMDPROMPT
REM When you return to the command prompt from a TSR or while running an
REM MS-DOS-based application, Windows runs COMMAND.COM. This allows the
REM TSR to remain active. To run CMD.EXE, the Windows command prompt,
REM rather than COMMAND.COM, add the command ntcmdprompt to CONFIG.NT or
REM other startup file.
REM
REM DOSONLY
REM By default, you can start any type of application when running
REM COMMAND.COM. If you start an application other than an MS-DOS-based
REM application, any running TSR may be disrupted. To ensure that only
REM MS-DOS-based applications can be started, add the command dosonly to
REM CONFIG.NT or other startup file.
REM
REM EMM
REM You can use EMM command line to configure EMM(Expanded Memory Manager).
REM The syntax is:
REM
REM EMM =   
REM
REM     AltRegSets
REM         specifies the total Alternative Mapping Register Sets you
REM         want the system to support. 1 <= AltRegSets <= 255. The
REM         default value is 8.
REM     BaseSegment
REM         specifies the starting segment address in the Dos conventional
REM         memory you want the system to allocate for EMM page frames.
REM         The value must be given in Hexdecimal.
REM         0x1000 <= BaseSegment <= 0x4000. The value is rounded down to
REM         16KB boundary. The default value is 0x4000
REM     RAM
REM         specifies that the system should only allocate 64Kb address
REM         space from the Upper Memory Block(UMB) area for EMM page frames
REM         and leave the rests(if available) to be used by DOS to support
REM         loadhigh and devicehigh commands. The system, by default, would
REM         allocate all possible and available UMB for page frames.
REM
REM     The EMM size is determined by pif file(either the one associated
REM     with your application or _default.pif). If the size from PIF file
REM     is zero, EMM will be disabled and the EMM line will be ignored.
REM
dos=high, umb
device=C:\WINDOWS\system32\himem.sys
files=40
country=086,936,C:\WINDOWS\system32\country.sys
shell=C:\WINDOWS\System32\command.com /p C:\WINDOWS\system32

本人不支持批处理加密, 当时研究加密也只是好奇. 支持开源, 共享...

[ Last edited by pengfei on 2006-12-5 at 02:35 AM ]

加密了的东西我从来不用也不看

偶已经破解啦,等把整个案例处理完全,偶发跟贴把处理思路和办法的贴子贴上来.谢谢楼上诸位仁兄前辈支持.

第1楼　flyuu	发表于 2006-12-01 00:17
初级用户　发帖 21　积分 41
请有破解加密批处理文件经验的各位大侠进来帮帮小虾~~ 偶有个加密的批处理文件,能麻烦您破解下么? 地址:文件下载作者是用BAT2EXEC 1.5或者还加上其它手段弄的. 偶是菜鸟,让您见笑了,有空帮偶睇下了.非常谢谢! 忘记说了,原始文件是.com,偶修改了扩展名~~ 这个是那个ghost8.3全分区光盘的引导部分的DOS启动下的文件,因为偶朋友的机器经常需要重做系统,后来偶就找到这个光盘,但是共享版只能用来备份和恢复C区,其它分区的功能是关闭的. 所以期盼版主能帮忙搞定哈~ 再次谢谢先! [ Last edited by flyuu on 2006-11-30 at 01:35 PM* ]

第2楼　online365	发表于 2006-12-01 00:31
初级用户　发帖 75　积分 182
我怎么下下来是发现病毒啊~`

第3楼　flyuu	发表于 2006-12-01 00:48
初级用户　发帖 21　积分 41
别吓偶啊,偶查了再传的卡巴和AVG Anti-Spyware 7.5,江民

第4楼　flyuu	发表于 2006-12-01 00:52
初级用户　发帖 21　积分 41
再说在这里放毒,那不是,叫什么来着,关公门前耍大刀~~

第5楼　online365	发表于 2006-12-01 01:47
初级用户　发帖 75　积分 182
楼主别误会啊~~ 我也不知道什么原因,我用的是金山毒霸6~试了好几次都提示发现病毒

第6楼　flyuu	发表于 2006-12-01 01:51
初级用户　发帖 21　积分 41
不会啦,其它杀毒软件会不会把*.bat一概处理成病毒偶不清楚哈.

第7楼　namejm	发表于 2006-12-01 01:59
荣誉版主　发帖 1,737　积分 5,226　来自成都
十分抱歉，其实我只对CMD下的批处理比较精通一点，其他方面完全是菜鸟，对纯DOS更是一知半解，并且根本不会破解之道。　　好在本论坛里还是有其他高手，请各位出招吧^_^ 　　另外，请楼主把标题修改一下。在标题里指定呼叫某人是不甚妥当的做法，容易引起他人反感的。

第8楼　flyuu	发表于 2006-12-01 02:18
初级用户　发帖 21　积分 41
呵呵呵,因为实践阁下几篇贴子,效果不错,所以直接发贴起那样的名字找您啦,请别见怪.对论坛各位前辈失礼之处,在此一并致歉!

第9楼　namejm	发表于 2006-12-01 02:24
荣誉版主　发帖 1,737　积分 5,226　来自成都
目前把标题修改为：各路大侠请进，仍属不妥当，在标题里最好能够让人能大概知道你想要做什么，也就是所谓的见名知义，请继续修改吧。

第10楼　flyuu	发表于 2006-12-01 02:35
初级用户　发帖 21　积分 41
呵呵呵,改了,不好意思

第11楼　HUNRYBECKY	发表于 2006-12-04 21:56
银牌会员　发帖 442　积分 1,179
这个可以还原成BAT文件的，我原来用过这个工具，不过反编译工具我忘记了叫什么名字，不过反编译过来的也有部分是乱码，不是很准确。其实这个工具只能把BAT编译成COM文件，不能编译成EXE文件，如果你改成EXE文件，将无法运行。你使用记事本打开该文件，还是可以看到源代码的，只是有很多乱码，这些乱码不用理会它，是使用该加密工具加密后的垃圾字符

第12楼　HUNRYBECKY	发表于 2006-12-04 22:03
银牌会员　发帖 442　积分 1,179
给个例子，前面有人发过DELABC删除智能ABC的COM。使用记事本打开DELABC.COM,代码如下: ?怌ompiled by BAT2EXEC 1.5 PC Magazine ?Douglas Boling \媙嫤嫗碕?? 墕嫗 憬?S [孇O妴 PW?W鳻垎 [肧? DUMMY FCB DUMMY FCB [墻 WV嬿F??)???)?^_峎R?RW.媶 P嬡 K嬛?絓.媙屗鷰計? 碝?垎 [?S? COMSPEC[? 嬻W鶾肧QW巻 3嬣嬻嬍螃t2拦虍&€= u雼?嬿?=u麁< t氍纑< r鱊?_Y[们? 嬛3筛<t?r)嬝t?B3覌释!r墳 S碋? ?墕 ? [碏?胋? MS? PATH=COMEXEBAT Bad command or file name /C [墂?嫋兟艷1 ? 孃3?usRV3襽\|:u ?€膺€闌G€<\t癨猇嬿碐?^2拦@ 虍O€}\t癨?垃=..u\? 虍虍麲腱獖?\u礼1< u轔嬜 ?虍黸G嬜孃^Z?€1 u媤W鰏峸W綦{笽 ? v<.t舭.獚w? イ2廓RVQ嬺W鶼^Zs 冿忾??凒u3峸.冴孃イ2拦虍艵 媤8Lw奓螭? 嬺嬊+聢DW螂?O?W嬺W鴂?[脢F 襱??塍?S? PATH[RV? 嬻W鶬??纓$<;u麟颥<;t 纓?&€}\t癨^Z[鸣滕嬜??嬛3纱N?r兦兙 t碏嫗 ? ??嫗 ?们? 嬛 =?r墕 P碋3弁!墕 3蒣碏?脙? t碏3蓩? ??嫗 ?枚? ????艶??柒?€ /C c: /C CD \winnt\system32 AUX REG / delete "HKCU\Keyboard Layout\Preload" /f AUX REG import myime.reg please wait a little longer...... t RU.exe /quiet /nobackup /forcerestart 嵍! 竍袓? 竍袓禓竀袓禗嵕I 浮懈b袓秠竀袓秨嵕浮懈b袓稓跟袓毒竲袓独竀袓堵竀袓赌竀袓镀竀袓度竀袓妒竀袓短竀袓段竀袓缎嵕浮懈?懈b懈 L? 仔细分析上面的代码,可以发现源代码如下: ＠ECHO off C: CD \winnt\system32 AUX REG /delete "HKCU\Keyboard Layout\Preload" /f AUX REG import myime.reg ECHO please wait a little longer...... PAUSE RU.EXE /quiet /nobackup /forcerestart

第13楼　pengfei	发表于 2006-12-05 02:30
银牌会员　发帖 485　积分 1,218　来自湖南.娄底
关于金山毒霸报毒, 请放心, 经检测没发现任何病毒特性. 也许这年头病毒太多, 导致病毒误报机率增大. 对该加密批处理分析, 发现太神奇了. 它不像正常的二进制文件, 也没有往硬盘释放正式的BAT文件, 而且它的加密方法也非常特别(跟以往BAT2EXE有很大区别). 以前也分析过BAT2EXE的C语言源码, 由于功底太浅, 至今没有搞懂. 呵呵~ 对这种加密方法, 我只得到一段小小的资料, 这可能是该加密机制的突破口, 贴出来高手给分析一下. REM Windows MS-DOS Startup File REM REM CONFIG.SYS vs CONFIG.NT REM CONFIG.SYS is not used to initialize the MS-DOS environment. REM CONFIG.NT is used to initialize the MS-DOS environment unless a REM different startup file is specified in an application's PIF. REM REM ECHOCONFIG REM By default, no information is displayed when the MS-DOS environment REM is initialized. To display CONFIG.NT/AUTOEXEC.NT information, add REM the command echoconfig to CONFIG.NT or other startup file. REM REM NTCMDPROMPT REM When you return to the command prompt from a TSR or while running an REM MS-DOS-based application, Windows runs COMMAND.COM. This allows the REM TSR to remain active. To run CMD.EXE, the Windows command prompt, REM rather than COMMAND.COM, add the command ntcmdprompt to CONFIG.NT or REM other startup file. REM REM DOSONLY REM By default, you can start any type of application when running REM COMMAND.COM. If you start an application other than an MS-DOS-based REM application, any running TSR may be disrupted. To ensure that only REM MS-DOS-based applications can be started, add the command dosonly to REM CONFIG.NT or other startup file. REM REM EMM REM You can use EMM command line to configure EMM(Expanded Memory Manager). REM The syntax is: REM REM EMM = REM REM AltRegSets REM specifies the total Alternative Mapping Register Sets you REM want the system to support. 1 <= AltRegSets <= 255. The REM default value is 8. REM BaseSegment REM specifies the starting segment address in the Dos conventional REM memory you want the system to allocate for EMM page frames. REM The value must be given in Hexdecimal. REM 0x1000 <= BaseSegment <= 0x4000. The value is rounded down to REM 16KB boundary. The default value is 0x4000 REM RAM REM specifies that the system should only allocate 64Kb address REM space from the Upper Memory Block(UMB) area for EMM page frames REM and leave the rests(if available) to be used by DOS to support REM loadhigh and devicehigh commands. The system, by default, would REM allocate all possible and available UMB for page frames. REM REM The EMM size is determined by pif file(either the one associated REM with your application or _default.pif). If the size from PIF file REM is zero, EMM will be disabled and the EMM line will be ignored. REM dos=high, umb device=C:\WINDOWS\system32\himem.sys files=40 country=086,936,C:\WINDOWS\system32\country.sys shell=C:\WINDOWS\System32\command.com /p C:\WINDOWS\system32 本人不支持批处理加密, 当时研究加密也只是好奇. 支持开源, 共享... [ Last edited by pengfei on 2006-12-5 at 02:35 AM ]

第14楼　vkill	发表于 2006-12-05 04:34
金牌会员　发帖 1,744　积分 4,103　来自甘肃.临泽
加密了的东西我从来不用也不看

第15楼　flyuu	发表于 2006-12-05 22:11
初级用户　发帖 21　积分 41
偶已经破解啦,等把整个案例处理完全,偶发跟贴把处理思路和办法的贴子贴上来.谢谢楼上诸位仁兄前辈支持.