软件运行后生成配置文件并立即删除的拦截或提取

jideco · 发表于 2022-2-17 09:17

提示: 作者被禁止或删除内容自动屏蔽

马云爱逛京东 · 发表于 2022-2-17 09:24

用动态调试器在程序相应位置设置断点，然后应该就可以获得了

Joe1921567817 · 发表于 2022-2-17 09:31

本帖最后由 Joe1921567817 于 2022-2-17 09:43 编辑

就直接用火绒，高级防护里面设置针对这个exe的自定义规则，文件里面填上“*”（表示针对任意文件），操作钩上“删除”。然后别忘了回去启用这个规则。这样子在它删除文件的时候火绒就会断下来，有点类似于API断点。挺好用的

JuncoJet · 发表于 2022-2-17 09:51

下断DeleteFile，就删不掉了

断桥隔爱 · 发表于 2022-2-17 10:45

方法千万种，自己随便选一种，以前我用一个方法，分享给你：用软件写个程序，定义个时钟，时钟周期下面写代码，复制这个文件，这样只要软件生成了这个文件，就被我们自己写的软件复制出来了

boxer · 发表于 2022-2-17 11:08

可以利用NTFS权限设置, 设置ini文件的父目录权限,禁止删除就可以了,如下面的设置
微信截图_20220217110709.png

mxiaomin · 发表于 2022-2-17 11:17

学习学习

582828767 · 发表于 2022-2-17 12:06

hook啊，条件竞争啊

jideco · 发表于 2022-2-17 13:22

提示: 作者被禁止或删除内容自动屏蔽

jideco · 发表于 2022-2-17 13:56

提示: 作者被禁止或删除内容自动屏蔽

帐号		自动登录	找回密码
密码			注册[Register]

jideco jideco 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	jideco 发表于 2022-2-17 09:17 提示: 作者被禁止或删除内容自动屏蔽
	发帖前要善用【论坛搜索】功能，那里可能会有你要找的答案或者已经有人发布过相同内容了，请勿重复发帖。
	回复举报

jideco jideco 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	楼主\| jideco 发表于 2022-2-17 13:22 提示: 作者被禁止或删除内容自动屏蔽

	回复支持举报

jideco jideco 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	楼主\| jideco 发表于 2022-2-17 13:56 提示: 作者被禁止或删除内容自动屏蔽

	回复支持举报

[求助] 软件运行后生成配置文件并立即删除的拦截或提取