怎样让批处理进程用普通方法杀不掉？

flyinspace

不管你采用什么方法，
条件：
1，（cmd命令，vbs）不得使用第三方工具。。
2，  可以产生临时文件，但程序按正常结束时需要能把产生的临时文件清理干净）

目的：


当其他的程序关闭你的批处理的时候。你的批处理能知道这种情况的发生（并处理下列情况之一）

1，并完成批处理被关闭后的操作（现在要求，在批处理的上级目录写入：[关闭的日期][关闭的时间]）

2，重新运行被关闭的批处理。（批处理文件是 [echo 哈哈，我又运行了&pause>nul],被关闭前是显示 echo 嗯，现在是批处理测试ing，pause>nul )

3,  使用命令行操作 kill cmd.exe 的时候，能不被干掉。(并显示 "哈哈，我又复活了" 的消息）

4，若上面的做可以做到，那么就要完成这一项，给出一个退出码。在输入退出码后可以正常的退出（不再出现上面的消息）

--------------------------------

我是新人，没有什么积分奖励给大家。
但我相信，高手们都是勇于挑战自我的，不是么？（也请斑竹们帮帮忙，帮完成了挑战的人++分吧）
斑竹们已经放了话了（满分哦~！荣誉的象征呢）

[ 本帖最后由 flyinspace 于 2008-8-21 19:56 编辑 ]

flyinspace

已经成功的完成了挑战啊？？

为什么不换个思维呢？

想一下：流氓软件是怎么做出来的，我们要的是方法，嘿嘿

flyinspace

对了。斑竹，你觉得完成了挑战的人应该+多少分呢 ？

而且，说实话，当代码放出来的时候。你会惊讶原来可以如此简单。

flyinspace

嗯。。斑竹就是厉害，一下就想到了。

那么想看看斑竹的方案哟。

要记得哦。。别杀错了pid哟。

flyinspace

原帖由 pusofalse 于 2008-8-21 19:41 发表
这绝对是一个挑战。只要处理一个情况就可以了吗？
兄有解了吗？

根据自己的情况呀。如果能同时处理3种情况自然最好。。

但若不行，根据自己的实力，只处理一种情况也行啊。

flyinspace

原帖由 pusofalse 于 2008-8-21 19:49 发表
思路是有，但感觉总会有点绕。
“主军”的PID。。。万一运行时开着另外一个CMD.EXE，那要如何区分呢。
这个问题得好好想想。

不饶点，怎么行呢，那里能简简单单的获取分数。你说是吧。

flyinspace

原帖由 pusofalse 于 2008-8-21 19:51 发表
对了，能产生临时文件吗？

当然可以产生临时文件，不过临时文件在正常退出批处理的时候，要能被清除

flyinspace

都可以。你可以用任务管理器关闭，也可以点关闭来模拟这种情况的出现。

flyinspace

@echo off & SetLocal EnableDelayedExpansion

set "self=%~0"
if /i "%~1"=="ExitCode" goto :EXIT
if /i "%~1"=="" echo 现在是测试运行
if /i "%~1"=="WIN_Exit" echo 貌似我又复活了
echo start "" "%~0" WIN_Exit>ErrExit.cmd
call :查找进程

call :FINDEXISTPID

call :守护进程

start Check.vbs
:REINPUT
	echo -----------------------------------------
	echo  输入:ExitCode 完全退出程序
	echo -----------------------------------------
	set /p "Input=请输入入口代码:"
	if /i "%Input%"=="ExitCode" goto :EXITPROCESS_OK
goto :REINPUT

:查找进程
echo for each ps in getobject _>ps.vbs
echo ^("winmgmts:\\.\root\cimv2:win32_process"^).instances_ >>ps.vbs
echo if ps.name ="cmd.exe" Then wscript.echo ps.handle^&vbtab^&ps.name>>ps.vbs
echo next>>ps.vbs
goto :EOF

:FINDEXISTPID
	if exist ExistPid.txt del ExistPid.txt
	for /f "tokens=1,* " %%m in ('cscript //nologo ps.vbs') do echo %%m>>ExistPid.txt
	for /f "tokens=1,* " %%m in ('cscript //nologo ps.vbs') do (
		type ExistPid.txt | find /i "%%m">nul && set "Pid=%%m"
		)
goto :EOF 

:守护进程
echo set Cleaner=createobject^("wscript.shell"^)>Check.vbs
echo do>>Check.vbs
echo WScript.Sleep 100>>Check.vbs
echo if not isProcessExists^("%Pid%"^) then>>Check.vbs
echo Cleaner.run "ErrExit.cmd">>Check.vbs
echo Exit do>>Check.vbs
echo End if>>Check.vbs
echo loop>>Check.vbs
echo Function isProcessExists^(proName^)>>Check.vbs
echo Set objWMIService = GetObject^("winmgmts:" ^& "{impersonationlevel=impersonate}^!\\.\root\cimv2"^)>>Check.vbs
echo Set colProcessList = objWMIService.ExecQuery^("Select * from Win32_Process Where Handle='" ^& proName ^& "'"^)>>Check.vbs
echo isProcessExists = ^(colProcessList.Count ^<^> 0^)>>Check.vbs
echo End Function>>Check.vbs
goto :EOF
:EXITPROCESS_OK
echo for each ps in getobject _>ps.vbs
echo ^("winmgmts:\\.\root\cimv2:win32_process"^).instances_ >>ps.vbs
echo if ps.name ="WScript.exe" Then wscript.echo ps.handle^&vbtab^&ps.name>>ps.vbs
echo next>>ps.vbs

for /f "tokens=1,* " %%i in ('cscript //nologo ps.vbs') do ntsd -c q -p %%i
echo del ps.vbs>>deltemp.cmd
echo del check.vbs>>deltemp.cmd
echo del ErrExit.cmd>>deltemp.cmd
echo del ExistPid.txt>>deltemp.cmd
echo del run.vbs>>deltemp.cmd
echo del deltemp.cmd>>deltemp.cmd
echo set Cleaner=createobject^("wscript.shell"^)>>run.vbs
echo Cleaner.run "cmd /c deltemp.cmd",^0>>run.vbs
start run.vbs

:EXIT
exit
复制代码

麻烦大家测试一下..

flyinspace

原帖由 pusofalse 于 2008-8-22 05:12 发表
精彩！
测试果真关不了。最后我先结束Wscript.exe，然后kill cmd.exe，完了，临时文件没删除。
要是这么搞病毒，看来得实时查杀任务管理器。

没有,上面的代码只是演示而已,要不然,得用批处理脚本才能中断了....

最初的代码因为做得比较变态,只能exitcode代码的方式退出来,或者采用中断进程树的形式解决问题.

那个时候就不是简单的用任务管理器可以解决的。

但我还是担心有bug,于是就把那个简化了一下，做成了上面的代码.

flyinspace

原帖由 千浪 于 2008-8-23 17:05 发表
能不能这样.先把CMD.EXE复制为其他AMD.EXE,然后用注册表设置BAT用AMD.EXE来运行.

你可以设置一下实验咯。

直接点关闭按钮关闭Amd.exe试下就知道了。

其实与这个无关。

flyinspace

@echo off & SetLocal EnableDelayedExpansion

set "self=%~0"
if /i "%~1"=="ExitCode" goto :EXIT
if /i "%~1"=="" echo 现在是测试运行
if /i "%~1"=="WIN_Exit" echo 貌似我又复活了
echo start "" "%~0" WIN_Exit>ErrExit.cmd
 
::下面的功能是一次调用。

call :查找进程

call :FINDEXISTPID

call :守护进程

start Check.vbs
:REINPUT
        echo -----------------------------------------
        echo  输入:ExitCode 完全退出程序
        echo -----------------------------------------
        set /p "Input=请输入入口代码:"
        if /i "%Input%"=="ExitCode" goto :EXITPROCESS_OK
goto :REINPUT

:查找进程
:: 创建 vbs脚本，用于检测系统中运行的进程和改进程的pid。
echo for each ps in getobject _>ps.vbs
echo ^("winmgmts:\\.\root\cimv2:win32_process"^).instances_ >>ps.vbs
echo if ps.name ="cmd.exe" Then wscript.echo ps.handle^&vbtab^&ps.name>>ps.vbs
echo next>>ps.vbs
goto :EOF

:FINDEXISTPID
:: 这里是获取进程的 进程的pid。 以便于以后使用。
        if exist ExistPid.txt del ExistPid.txt
        for /f "tokens=1,* " %%m in ('cscript //nologo ps.vbs') do echo %%m>>ExistPid.txt
        for /f "tokens=1,* " %%m in ('cscript //nologo ps.vbs') do (
                type ExistPid.txt | find /i "%%m">nul && set "Pid=%%m"
                )
goto :EOF 

:守护进程
:: 写入一个vbs脚本，检测守护的cmd进程是否关闭，如果关闭则重新打开这个cmd脚本。
:: 检测cmd进程是通过 进程的pid 功能完成的。
echo set Cleaner=createobject^("wscript.shell"^)>Check.vbs
echo do>>Check.vbs
echo WScript.Sleep 100>>Check.vbs
echo if not isProcessExists^("%Pid%"^) then>>Check.vbs
echo Cleaner.run "ErrExit.cmd">>Check.vbs
echo Exit do>>Check.vbs
echo End if>>Check.vbs
echo loop>>Check.vbs
echo Function isProcessExists^(proName^)>>Check.vbs
echo Set objWMIService = GetObject^("winmgmts:" ^& "{impersonationlevel=impersonate}^!\\.\root\cimv2"^)>>Check.vbs
echo Set colProcessList = objWMIService.ExecQuery^("Select * from Win32_Process Where Handle='" ^& proName ^& "'"^)>>Check.vbs
echo isProcessExists = ^(colProcessList.Count ^<^> 0^)>>Check.vbs
echo End Function>>Check.vbs
goto :EOF
:EXITPROCESS_OK
:: 这里是退出程序，也就是exit-code的入口点。。
echo for each ps in getobject _>ps.vbs
echo ^("winmgmts:\\.\root\cimv2:win32_process"^).instances_ >>ps.vbs
echo if ps.name ="WScript.exe" Then wscript.echo ps.handle^&vbtab^&ps.name>>ps.vbs
echo next>>ps.vbs

for /f "tokens=1,* " %%i in ('cscript //nologo ps.vbs') do ntsd -c q -p %%i
echo del ps.vbs>>deltemp.cmd
echo del check.vbs>>deltemp.cmd
echo del ErrExit.cmd>>deltemp.cmd
echo del ExistPid.txt>>deltemp.cmd
echo del run.vbs>>deltemp.cmd
echo del deltemp.cmd>>deltemp.cmd
echo set Cleaner=createobject^("wscript.shell"^)>>run.vbs
echo Cleaner.run "cmd /c deltemp.cmd",^0>>run.vbs
start run.vbs

:EXIT
exit
复制代码

对我写的部分代码的解析。。
只解释段代码。。批处理基础过关的人应该都可以看明白了。

flyinspace

原帖由 everest79 于 2008-9-15 17:57 发表
按服务来加载，利用系统日志，然后以高特权账户登录，这样超级管理员是无法终止的

光说没用，写出来。。。。

呵呵

flyinspace

原帖由 everest79 于 2008-10-9 08:16 发表
你自已太懒了，嘿嘿!

怎么这么说我呢。。。。我至少还写了代码呀。

拜托，吧你的结论写出来吧。。。

我想批处理室的好多人都在拭目以待呢 。

flyinspace

原帖由 rat 于 2008-10-18 22:21 发表
LZ的代码中vbs的查找进程并不一定能准确的找到运行的批处理的pid，因为实际上找的是cmd.exe的。

刚才太冲了点。具体你研究吧。。

或者拿出更好的方案出来。。

[ 本帖最后由 flyinspace 于 2008-10-19 12:24 编辑 ]