【二次开发】幽灵EXE1.1，完美删除运行中的EXE，防护利器

jmwrub

吃水不忘打井人：原作者1.0地址

1：原作者采用E2EE支持编写 ，改变原作者  更改为纯APi编写


2：更改打开方式 采用图片资源方式打开更为隐蔽

  

窗口程序集名	保 留	保 留	备 注
窗口程序集_启动窗口

子程序名	返回值类型	公开	备 注
__启动窗口_创建完毕

' 结束 ()

子程序名	返回值类型	公开	备 注
启动幽灵EXE
参数名	类 型	参考	可空	数组	备 注
exe	字节集
进程名	文本型
启动参数	文本型
隐藏窗口	逻辑型
指定运行目录	文本型
创建运行目录	逻辑型
傀儡exe	字节集

变量名	类 型	静态	数组	备 注
path	文本型
c	文本型
tmp	文本型
tmp2	文本型
tmp3	文本型

path ＝ 取特定目录 (11)
如果 (指定运行目录 ＝ “”)
tmp ＝ path ＋ 取文件名 (取临时文件名_文件 (), 假)
tmp ＝ 指定运行目录 ＋ 取文件名 (取临时文件名_文件 (指定运行目录), 假)
创建目录 (tmp)
tmp2 ＝ path ＋ 取文件名 (取临时文件名_文件 (), 假) ＋ “.vhd”
c ＝ 取文本 (“create vdisk file=%s maximum=1000 type=expandable%n”, tmp2)
c ＝ c ＋ 取文本 (“select vdisk file=%s%n”, tmp2)
c ＝ c ＋ 取文本 (“attach vdisk%n”, )
c ＝ c ＋ 取文本 (“create partition primary%n”, )
c ＝ c ＋ 取文本 (“assign mount=%s%n”, tmp)
c ＝ c ＋ 取文本 (“format fs=ntfs quick%n”, )
tmp3 ＝ path ＋ 取文件名 (取临时文件名_文件 (), 假)
写到文件 (tmp3, 到字节集 (c))
运行 (“sc stop ShellHWDetection”, 真, 1)
运行 (“diskpart -s ” ＋ tmp3, 真, 1)
写到文件 (tmp ＋ “\” ＋ 选择 (进程名 ＝ “”, “”, 进程名), exe)
运行 (tmp ＋ “\” ＋ 选择 (进程名 ＝ “”, “”, 进程名) ＋ 选择 (启动参数 ＝ “”, “”, “ ” ＋ 启动参数), 假, 选择 (隐藏窗口, 1, 2))
c ＝ 取文本 (“select vdisk file=%s%n”, tmp2)
c ＝ c ＋ 取文本 (“detach vdisk%n”, )
写到文件 (tmp3, 到字节集 (c))
运行 (“diskpart -s ” ＋ tmp3, 真, 1)
删除文件 (tmp3)
删除文件 (tmp2)
删除目录 (tmp)
如果真 (创建运行目录 或 傀儡exe ≠ {  })
创建目录 (tmp)
如果真 (傀儡exe ≠ {  })
写到文件 (tmp ＋ 选择 (进程名 ＝ “”, “\.exe”, “\” ＋ 进程名), 傀儡exe)

运行 (“sc start ShellHWDetection”, 真, 1)

子程序名	返回值类型	公开	备 注
_按钮1_被单击

启动幽灵EXE ( #sdasfs, “360netman.exe”, , , , , )
结束 ()

i支持库列表	支持库注释
shell	操作系统界面功能支持库
spec	特殊功能支持库

.版本 2<br /> .支持库 shell<br /> .支持库 spec<br /> <br /> .程序集 窗口程序集_启动窗口<br /> <br /> .子程序 __启动窗口_创建完毕<br /> <br /> <br /> <br /> ' 结束 ()<br /> <br /> .子程序 启动幽灵EXE<br /> .参数 exe, 字节集<br /> .参数 进程名, 文本型, 可空<br /> .参数 启动参数, 文本型, 可空<br /> .参数 隐藏窗口, 逻辑型, 可空<br /> .参数 指定运行目录, 文本型, 可空<br /> .参数 创建运行目录, 逻辑型, 可空<br /> .参数 傀儡exe, 字节集, 可空<br /> .局部变量 path, 文本型<br /> .局部变量 c, 文本型<br /> .局部变量 tmp, 文本型<br /> .局部变量 tmp2, 文本型<br /> .局部变量 tmp3, 文本型<br /> <br /> path ＝ 取特定目录 (11)<br /> .如果 (指定运行目录 ＝ “”)<br />     tmp ＝ path ＋ 取文件名 (取临时文件名_文件 (), 假)<br /> .否则<br />     tmp ＝ 指定运行目录 ＋ 取文件名 (取临时文件名_文件 (指定运行目录), 假)<br /> .如果结束<br /> 创建目录 (tmp)<br /> tmp2 ＝ path ＋ 取文件名 (取临时文件名_文件 (), 假) ＋ “.vhd”<br /> c ＝ 取文本 (“create vdisk file=%s maximum=1000 type=expandable%n”, tmp2)<br /> c ＝ c ＋ 取文本 (“select vdisk file=%s%n”, tmp2)<br /> c ＝ c ＋ 取文本 (“attach vdisk%n”, )<br /> c ＝ c ＋ 取文本 (“create partition primary%n”, )<br /> c ＝ c ＋ 取文本 (“assign mount=%s%n”, tmp)<br /> c ＝ c ＋ 取文本 (“format fs=ntfs quick%n”, )<br /> tmp3 ＝ path ＋ 取文件名 (取临时文件名_文件 (), 假)<br /> 写到文件 (tmp3, 到字节集 (c))<br /> 运行 (“sc stop ShellHWDetection”, 真, 1)<br /> 运行 (“diskpart -s ” ＋ tmp3, 真, 1)<br /> 写到文件 (tmp ＋ “\” ＋ 选择 (进程名 ＝ “”, “”, 进程名), exe)<br /> 运行 (tmp ＋ “\” ＋ 选择 (进程名 ＝ “”, “”, 进程名) ＋ 选择 (启动参数 ＝ “”, “”, “ ” ＋ 启动参数), 假, 选择 (隐藏窗口, 1, 2))<br /> c ＝ 取文本 (“select vdisk file=%s%n”, tmp2)<br /> c ＝ c ＋ 取文本 (“detach vdisk%n”, )<br /> 写到文件 (tmp3, 到字节集 (c))<br /> 运行 (“diskpart -s ” ＋ tmp3, 真, 1)<br /> 删除文件 (tmp3)<br /> 删除文件 (tmp2)<br /> 删除目录 (tmp)<br /> .如果真 (创建运行目录 或 傀儡exe ≠ {  })<br />     创建目录 (tmp)<br />     .如果真 (傀儡exe ≠ {  })<br />         写到文件 (tmp ＋ 选择 (进程名 ＝ “”, “\.exe”, “\” ＋ 进程名), 傀儡exe)<br />     .如果真结束<br /> <br /> .如果真结束<br /> 运行 (“sc start ShellHWDetection”, 真, 1)<br /> <br /> .子程序 _按钮1_被单击<br /> <br /> 启动幽灵EXE (#sdasfs, “360netman.exe”, , , , , )<br /> 结束 ()

mxsf梦醒时分

        感谢分享，很给力！~

guitar

好家伙，直接右键定位到临时目录，把图片资源的EXE文件直接暴露出来！！！ 太拉跨了~~~

jmwrub

yy750446 发表于 2025-3-12 23:48
移动到了临时目录，右键点进程打开文件所在位置，还是能看到文件，

文件没有落地

pshq123

感谢分享

zx896825328

我电脑为什么可以找到

方浩东

哇哦，听起来很酷啊！不知道效果咋样，回复看看。谢谢分享哈！

yy750446

移动到了临时目录，右键点进程打开文件所在位置，还是能看到文件，

103029110

支持开源~！感谢分享.

wuqingg

        感谢分享，很给力！~

qq2518

学习一下。感谢分享