了解MoveFileEx

 当dwFlags被设为MOVEFILE_DELAY_UNTIL_REBOOT时，函数直到系统重启后才移动文件。注意文件的移动是发生在AUTOCHK执行之后，在页面文件创建之前。而此时用户还没有完全的进入操作系统，所以可以应用这点删除那些正常情况下很难删除的文件甚至是页面文件。

lpNewFileName为NULL时，MovefileEx实现的就是删除的功能。很多杀毒软件和一些恶意程序删除工具就是利用了MoveFileEx函数的这个特性来实现的重启后删除病毒。

MOVEFILE_DELAY_UNTIL_REBOOT标记使用时需要具有管理员或者LocalSystem用户的进程上下文。
MOVEFILE_DELAY_UNTIL_REBOOT标记不能和MOVEFILE_COPY_ALLOWED标记一同使用。因为在不同的卷下实现不了真正的移动，

 

MoveFileEx把重启后移动的文件和要移到的文件的位置存在下面的多字符注册表值（REG_MULTI_SZ）里：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session\Manager\PendingFileRenameOperations

 

 

MoveFileEx的利用:实现文件的隐藏、自删除以及自启动。

我们可以将一个程序运行后，就将它移动到一个不易发现的目录下，然后利用MoveFileEx,设置dwFlags为MOVEFILE_DELAY_UNTIL_REBOOT，使文件重启后移动到一个可以启动的目录下（对于中文的WindowsXP操作系统，启动目录为“C:\Documents and Settings\AllUsers\「开始」菜单\程序\启动”）。这样文件运行后便立即不在它运行时的目录了，实现了“自删除”功能。下次重启后，系统还没有被登陆，便已经将文件移动到了启动目录里。当用户登陆时，程序启动，随即被移到其他目录中，此时在启动文件夹里也已经没有了它的踪迹，所以通过正常的检查是看不出来文件到底在那里被启动的。整个过程只是调用了一个系统API，没有直接的写注册表