Delete yourself(C#)

一種巧妙的删除程式自己的方法

關鍵字 一種巧妙的删除程式自己的方法

大家都知道，一般的程式運作的時候，可執行檔案本身是被作業系統保護的，不能用改寫的方式通路，更别提在本身還在運作的時侯删除自己了。在Lu0的首頁上看到一種UNDOCUMENT的方法，通過改變系統底層的檔案通路模式實作删除自己，那是實在功夫。我看 了很是佩服。但是有沒有一種用在MSDN上就能查到的函數實作呢？有!Jeffrey Richter給我們做了一個範例：

　

DeleteMe.CPP

　

Module name: DeleteMe.cpp

Written by: Jeffrey Richter

Description: Allows an EXEcutable file to delete itself

**************************************************/

　

#include

#include

#include

　

/

　

int WINAPI WinMain(HINSTANCE h, HINSTANCE b, LPSTR psz, int n) {

　

// Is this the Original EXE or the clone EXE?

// If the command-line 1 argument, this is the Original EXE

// If the command-line >1 argument, this is the clone EXE

　

if (__argc == 1) {

　

// Original EXE: Spawn clone EXE to delete this EXE

// Copy this EXEcutable image into the user's temp directory

　

TCHAR szPathOrig[_MAX_PATH], szPathClone[_MAX_PATH];

GetModuleFileName(NULL, szPathOrig, _MAX_PATH);

GetTempPath(_MAX_PATH, szPathClone);

GetTempFileName(szPathClone, __TEXT("Del"), 0, szPathClone);

CopyFile(szPathOrig, szPathClone, FALSE);

　

//***注意了***:

// Open the clone EXE using FILE_FLAG_DELETE_ON_CLOSE

HANDLE hfile = CreateFile(szPathClone, 0, FILE_SHARE_READ, NULL, OPEN_EXISTI

NG, FILE_FLAG_DELETE_ON_CLOSE, NULL);

　

// Spawn the clone EXE passing it our EXE's process handle

// and the full path name to the Original EXE file.

TCHAR szCmdLine[512];

HANDLE hProcessOrig = OpenProcess(SYNCHRONIZE, TRUE, GetCurrentProcessId());

wsprintf(szCmdLine, __TEXT("%s %d /"%s/""), szPathClone, hProcessOrig, szPat

hOrig);

STARTUPINFO si;

ZeroMemory(&si, sizeof(si));

si.cb = sizeof(si);

PROCESS_INFORMATION pi;

CreateProcess(NULL, szCmdLine, NULL, NULL, TRUE, 0, NULL, NULL, &si, &pi);

CloseHandle(hProcessOrig);

CloseHandle(hfile);

　

// This original process can now terminate.

} else {

　

// Clone EXE: When original EXE terminates, delete it

HANDLE hProcessOrig = (HANDLE) _ttoi(__targv[1]);

WaitForSingleObject(hProcessOrig, INFINITE);

CloseHandle(hProcessOrig);

DeleteFile(__targv[2]);

// Insert code here to remove the subdirectory too (if desired).

　

// The system will delete the clone EXE automatically

// because it was opened with FILE_FLAG_DELETE_ON_CLOSE

}

return(0);

}

　

看懂了嗎？

　

這一段程式思路很簡單：不是不能在運作時直接删除本身嗎？好，那麼程式先複制（CLONE）一個自己，用複制品起動另一個程序，然後自己結束運作，則原來的EXE檔案不被系統保護.這時由新程序作為殺手删除原來的EXE檔案，并且繼續完成程式其他的功能。

　

新程序在運作結束後，複制品被自動删除。這又是值得介紹的一個把戲了，注意：

// Open the clone EXE using FILE_FLAG_DELETE_ON_CLOSE

HANDLE hfile = CreateFile(szPathClone, 0, FILE_SHARE_READ, NULL,OPEN_EXISTIN

G, FILE_FLAG_DELETE_ON_CLOSE, NULL);

這裡面的FILE_FLAG_DELETE_ON_CLOSE标志,這個标志是告訴作業系統，當和這個檔案相關的所有句柄都被關閉之後(包括上面這個CREATEFILE建立的句炳)，就把這個檔案删除。幾乎所有的臨時檔案在建立時，都指明了這個标志。另外要注意的是:在複制品程序對原始程式操刀之前,應該等待原程序退出.在這裡用的是程序同步技術.用HANDLE hProcessOrig = OpenProcess(SYNCHRONIZE, TRUE,GetCurrentProcessId());得到原程序句柄.SYNCHRONICE标志在NT下有效,作用是使OpenProcess得到的句柄可以做為同步對象.複制品程序用WaitForSingleObject函數進行同步,然後一個DeleteFile,以及進行其它銷毀證據（Jeffrey說：比如删目錄）的工作,打完收工！

　

程式是基于CONSOLE的，通過傳入的參數确定是原始的程序還是複制品新程序，并且得到需要操作的目标檔案的資訊（主要是路徑），複制品放在系統的TEMP目錄（GetTempPath得到），你也可以随便找個你認為安全的地方（比如：WINDOWS/SYSTEM32等等）。這裡面沒有甚麼深的技術.再看其他的一些實作删除自己的例子,比如說在程序退出前,用fwrite等方法輸出一個.BAT檔案,在裡面寫幾句DEL,然後WINEXEC一下這個BAT檔案即可.玩兒過DOS的蟲蟲大多都會。今天又學一招，爽。