IT你好

加入 |登录

IT你好技术论坛广场安全宝典 › 查看主题

76

查看

1

回复
返回列表

Administrator

Administrator

Rank: 20Rank: 20Rank: 20Rank: 20Rank: 20

帖子
297 
精华
积分
1400 
UID
1467 
go

清理系统垃圾批处理里面发现恶意代码!

1
发表于 2012-1-23 13:53 | 只看该作者 | 倒序看帖 | 打印

本文转载自360论坛,仅供参考


首先,让我们来了解一下代码结构

一、函数结构图纸
del /?
删除一个或数个文件。
DEL [/P] [/F] [/S] [/Q] [/A[[:]attributes]] names
ERASE [/P] [/F] [/S] [/Q] [/A[[:]attributes]] names
names 指定一个或数个文件或目录列表。通配符可被用来
删除多个文件。如果指定了一个目录,目录中的所
有文件都会被删除。
/P 删除每一个文件之前提示确认。
/F 强制删除只读文件。
/S 从所有子目录删除指定文件。
/Q 安静模式。删除全局通配符时,不要求确认。
/A 根据属性选择要删除的文件。
attributes R 只读文件 S 系统文件
H 隐藏文件 A 存档文件
- 表示“否”的前缀
如果命令扩展名被启用,DEL 和 ERASE 会如下改变:
/S 开关的显示句法会颠倒,即只显示已经删除的文件,而不显示找不到的文件。

二、系统变量解释
在批处理中,有很多变量代码,被%*%所扩
现在,看看有哪些系统变量
%homedrive%——系统盘根目录(常指代安装系统的硬盘分区C:等,并无其他扩展支持路径)
%systemroot%——系统盘根目录(常指代安装系统的硬盘分区C:等,并无其他扩展支持路径)
%TEMP% 和 %TMP%——系统和用户 返回对当前登录用户可用的应用程序所使用的默认临时目录。有些应用程序需要 TEMP,而其他应用程序则需要 TMP。
%WINDIR%——返回操作系统目录的位置。(常见的是C:\WINDOWS)

三、分析笔误
原帖http://bbs.360.cn/4004079/40191497.html
批处理如下:
  1. @echo off
  2. echo 正在清除系统垃圾文件,请稍等......
  3. del /f /s /q %systemdrive%\*.tmp
  4. del /f /s /q %systemdrive%\*._mp
  5. del /f /s /q %systemdrive%\*.gif
  6. del /f /s /q %systemdrive%\*.log
  7. del /f /s /q %systemdrive%\*.gid
  8. del /f /s /q %systemdrive%\*.chk
  9. del /f /s /q %systemdrive%\*.old
  10. del /f /s /q %systemdrive%\recycled\*.*
  11. del /f /s /q %windir%\*.bak
  12. del /f /s /q %windir%\prefetch\*.*
  13. rd /s /q %windir%\temp & md %windir%\temp
  14. del /f /q %userprofile%\cookies\*.*
  15. del /f /q %userprofile%\recent\*.*
  16. del /f /s /q "%userprofile%\Local Settings\Temporary Internet Files\*.*"
  17. del /f /s /q "%userprofile%\Local Settings\Temp\*.*"
  18. del /f /s /q "%userprofile%\recent\*.*"
  19. echo 清除系统LJ完成!
  20. echo. & pause
复制代码
1.
del /f /s /q %systemdrive%\*.old
改成
del /f /s /q %systemroot%\*.old
解释:*.old是某些程序的备份文件,例如备份的boot.ini默认为boot.bak或者boot.old,如果删去,在boot还原时会造成系统无法启动
笔误分析:系统盘根目录下的OLD,特别是boot.old更可能是灰鸽子种子文件,建议删除根目录下的OLD,其他不做更改
2.
del /f /s /q %systemdrive%\*.gif
删去
解释:执行这段代码会造成在系统盘中的图片文件被删除
笔误分析:还是系统根目录下的文件,研究证明,系统盘根目录下的GIF会生成更大的LJ,只要不把GIF图片放在C盘根目录就是了
3.
del /f /s /q %systemdrive%\*.log
改成
del /f /s /q %systemroot%\*.log
解释:执行源代码会造成一些程序无法卸载,甚至记录丢失,对系统有极大危害,会造成大量的垃圾文件和碎片。
笔误分析:这个倒还有理,不过在系统盘根目录里,根本没有LOG文件
4.
del /f /s /q %systemdrive%\recycled\*.*
建议删除
解释:执行该代码会导致回收站被清空,如果有些时候回收站的有用文件也会被删除
笔误分析:很有才!
5.
另外对这个脚本作下解释,这个本子几乎没用,他唯一有用的代码是:
del /f /s /q %systemdrive%\*.tmp
del /f /s /q %systemdrive%\*._mp
放在%systemroot%下,这两个根本没用,改成
del /f /s /q %temp%\*.tmp

6.
能够清理出不到10MB的系统空间仅此而已
叹息,我发现这个代码的时候已经太晚了,这个可恶的所谓高手制作的脚本已经危害了不少网友,我发现这个也是个网友问我的,他家电脑运行出现问题,我才发现是这个闹得,请大家转发,转告更多人,防止造成更多不必要的损失!
谁都不知道今天过去明天会如何,你现在要做的就是善待眼下的这一分钟、这一小时、这一天。

TOP

Administrator

Administrator

Rank: 20Rank: 20Rank: 20Rank: 20Rank: 20

帖子
297 
精华
积分
1400 
UID
1467 
2
发表于 2012-1-23 14:02 | 只看该作者
Dc_Eve 已于 2012-01-23 14:02:30 对本主题帖做出如下表态

握手
希望大家注意
谁都不知道今天过去明天会如何,你现在要做的就是善待眼下的这一分钟、这一小时、这一天。

TOP

IT你好技术论坛

GMT+8, 2026-1-13 07:34, Processed in 0.015653 second(s), 14 queries.

Powered by Discuz! X1

© 2001-2010 Comsenz Inc.