// UMU@2009/11/11 公布

// monitor_process.js

var strCScript = WScript.Path + "\\cscript.exe";
if (WScript.FullName != strCScript)
{
        new ActiveXObject("WScript.Shell").Run(strCScript + " \"" + WScript.ScriptFullName + "\" //Nologo");
        WScript.Quit(-1);
}

var objWMI = GetObject("winmgmts:{impersonationLevel=impersonate}!\\\\.\\root\\cimv2");
var ps = objWMI.ExecNotificationQuery( "select * from __instancecreationevent within 1 where TargetInstance isa 'Win32_Process'" );

WScript.Echo("monitor_process.js by UMU @ 2009-03-16");
WScript.Echo("Press Ctrl+C to quit");
WScript.Echo("监视进程创建鹰……");
WScript.Echo("");
for (;;)
{
        var p = ps.NextEvent();

        try
        {
                WScript.StdOut.WriteLine(p.TargetInstance.Name);
                WScript.StdOut.WriteLine(p.TargetInstance.ExecutablePath);
                WScript.StdOut.WriteLine(p.TargetInstance.CommandLine);
        }
        catch (ex)
        {
                WScript.StdOut.WriteLine(ex);
        }
        WScript.StdOut.WriteLine("");
}

delete ps;
delete objWMI;

程序和代码下载：

UMU 的网盘 http://umu.ys168.com/，目录 Tools\UMU_Script\GenBitCometTorrentURLviaHash.7z

或者在这里找：http://umu.download.csdn.net/

举例：

Hash 值为 004f50950256e66f128d528d0773fdefbc298cce 的种子，可以通过以下链接下载：

http://torrent-cache.bitcomet.org:36869/get_torrent?info_hash=004f50950256e66f128d528d0773fdefbc298cce&size=226920869&key=44a2a41842ff15b47cf54c1470356b32cba26730

　　产生这个 URL 的关键是 key 的计算，上例中 key=44a2a41842ff15b47cf54c1470356b32cba26730。UMU 做了一个 COM 对象，实现了 Hash 到 Key 的计算。

下面是脚本代码：

Dim objUMU
Dim strHash
Dim strURL

Set objUMU = CreateObject("UMU.UrlGenerator")

strHash = InputBox("请输入 torrent 种子散列值：", "输入 Hash 值", "004f50950256e66f128d528d0773fdefbc298cce")
If Len(strHash) <> 40 Then
WScript.Quit
End If

strURL = "http://torrent-cache.bitcomet.org:36869/get_torrent?info_hash=" & strHash & "&size=226920869&key=" & objUMU.GenBitCometTorrentKey(strHash)
Set objUMU = Nothing

If Not IsEmpty(InputBox("生成的 URL 如下，按“确定”打开链接。", "结果", strURL)) Then
        Dim objWSH

        Set objWSH = CreateObject("Wscript.Shell")
        objWSH.Run strURL
        Set objWSH = Nothing
End If

BOOL StartBrowser(LPCWSTR lpszFolderPath, INT nStyle);

　　参数说明

nStyle

0    Icon 模式，类似 Shell32.exe 的“程序”界面

1    Report 模式，类似 File Explorer 的界面

2    Report 模式，打开 \My Documents

3    和 0 一样，其它值自己试看看

　　例子

typedef BOOL (WINAPI * FPSTARTBROWSER)(LPCWSTR lpszFolderPath, INT nListViewStyle);
FPSTARTBROWSER StartBrowser;

HMODULE hModule;
hModule = LoadLibraryW(L"fbrowser.dll");
if (NULL != hModule)
{
        StartBrowser = (FPSTARTBROWSER)GetProcAddressW(hModule, (LPCWSTR)10);
        if (NULL != StartBrowser)
        {
                if (StartBrowser(L"\\", 4))
                {
                        MSG msg;

                        while (GetMessage(&msg, NULL, 0, 0))
                        {
                                TranslateMessage(&msg);
                                DispatchMessage(&msg);
                        }
                }
        }
        FreeLibrary(hModule);
}

　　效果图

　　同时也适用了几天 Foxmail 6.5 正式版，惊讶的发现安装后居然有 112M，相比之下 Windows Mail 才 9M 的体积就可以满足我。不愧是 TX 旗下的产品，继承了 QQ 的优良传统。不知道 TX，会不会照着 TM，再推出一个 TMail……

　　除了体积大，Foxmail 的存储机制比 Windows Mail 和 Windows Live Mail 落后，Foxmail 使用一个文件存储一个邮件夹的方式，极易使个别文件过大；而后两者每个邮件保存成一个 .eml 文件，然后使用 Data Jet 引擎索引邮件。而且 Foxmail 常常无法退出，只能强行结束进程……于是……删除之……

　　总而言之，Foxmail 是和 OE 一个时代（等级）的产品。

　　但是微软已经决定放弃 Windows Mail，Windows 7 RTM 上已经没有了。因为有 Windows Live Mail，一样免费的，没必要搞两个，考虑到 Windows Live Mail 升级比较快，UMU 决定用他了。目前版本是 v14，大概 30M。

　　个人一向偏爱微软的免费产品，所以排除从未使用过的 Outlook，推荐 Windows Live Mail，个人意见，仅供参考。

　　HVS2008 是基于 Windows Server 2008 Server Core x64 的虚拟机服务器系统，经过一些优化可以当作 WS2008 Server Core 来用，最重要的是它是免费的。

　　HVS2008 要正常提供虚拟机服务，服务器 CPU 必须满足 3 个条件：x64、DEP (Data Execution Prevention)、HV (Hardware Virtualization)，但我们不需要虚拟机服务，所以只需要有 x64 CPU 就可以了。

　　安装和优化：

1. 驱动要使用支持 Windows Server 2008 x64 的，至少要使用 Vista-64 的

2. 安装完系统，登录就会出现设置界面（蓝色命令行窗口）：

3) 网络设置 -- 配置好 IP、DNS 等
5) Windows Update 设置 -- 设为自动
6) 下载并安装更新 -- 立刻手动更新
7) 远程桌面 -- 启用(所有客户端)，虽然可以用 WinRM 管理，但有时候还是需要图形界面的。

3. 关闭下列服务，并设为手动启动：

vmms
vhdsvc
nvspwmi   // 这三个是虚拟机服务
RemoteRegistry // 远程注册表连接

参考命令行：

sc stop vmms
sc stop vhdsvc
sc stop nvspwmi
sc stop RemoteRegistry

sc config vmms start= demand
sc config vhdsvc start= demand
sc config nvspwmi start= demand
sc config RemoteRegistry start= demand

4. 打开 WinRM，方便管理，输入：winrm qc，回答 y

　　HVS2008 适用范围：如果您想跑 .NET 程序或者 IIS7，那您就不能使用它了。它最适合的情况是您开发了一些系统服务（NT Service）类的应用，比如游戏服务端、聊天软件服务端，想发布到 Windows Server 上，但您又不愿意购买价格不菲的 Windows Server 系统。

　　研究的过程如下：

1. 用 exeScope 打开现有的迅雷插件，发现导出函数有 DllGetClassObject，这是 COM DLL 的特征；

2. 写一个 dummy COM DLL，把迅雷向自己（我们写的 COM DLL）查询的接口 IID 打印出来；

3. 给已知 IID 的接口写一些接口函数，参数随便写几个，然后在这些函数下断点，调试迅雷，在函数返回的时候，会看到迅雷的汇编代码，其中我们关心的是 call 指令之前有多少个 push，至于参数是什么意义，得自己多试试猜猜，也可以再配合一些逆向工程的技巧。或者直接逆向迅雷和现有的迅雷插件，不过这似乎是犯法的……

　　下载地址 1：http://umu.ys168.com/，Tools\XunleiKillAdPlugin.7z。

　　下载地址 2：http://download.csdn.net/source/1230722

　　脚本实现 Base64 编码、MD5 Hash 的代码在网上可以找到很多，这些代码都是按照“算法”写出来的，所以都很长……如果您不关心算法，只想使用的话，那么使用 COM 对象是最好的方法。

　　XP 后系统，%ProgramFiles%\Common Files\Microsoft Shared\CAPICOM\CapiCom.dll 提供了专门用于“加密解密编码解码”的 COM 对象，如果下面的例子代码提示无法创建对象，需要注册一下这个 CapiCom.dll。

　　例子一：

// UMU @ 10:03 2009-04-14
// [UMU WSH 教程](36) CAPICOM 对象
// 36_CAPICOM_Base64.js

var objCAPI = new ActiveXObject("CAPICOM.Utilities");
var str = objCAPI.Base64Encode("UMU");
WScript.Echo("编码后：" + str);
WScript.Echo("解码后：" + objCAPI.Base64Decode(str));
WScript.Echo("BinaryToHex(\"小开\") = " + objCAPI.BinaryToHex("小开"));
delete objCAPI;

　　例子二：

<?XML version="1.0" encoding="UTF-8" ?>
<!-- UMU @ 15:08 2009-4-14 -->
<!-- 36_CAPICOM_HashedData.WSF -->
<package>
<job id="36_CAPICOM_HashedData">

<object id="objCHD" progid="CAPICOM.HashedData" />
<reference object="CAPICOM.HashedData" />

<script language="JScript">
<![CDATA[
objCHD.Algorithm = CAPICOM_HASH_ALGORITHM_SHA1;
objCHD.Hash("UMU");
WScript.Echo("SHA1 = " + objCHD.Value);

objCHD.Algorithm = CAPICOM_HASH_ALGORITHM_MD5;
objCHD.Hash("UMU");
WScript.Echo("MD5 = " + objCHD.Value);
]]>
</script>

</job>
</package>

　　更高级的加密解密对象，请参考文章：Writing a C++ Program with the CAPICOM Component to Encrypt and Decrypt Files

　　手动创建的方法：

1. 创建一个文件夹叫 ShortcutFolder，并给它加上只读属性；

2. 在 ShortcutFolder 里放一个 desktop.ini，内容如下：

[.ShellClassInfo]
CLSID2={0AFACED1-E828-11D1-9187-B532F1E9575D}
Flags=2

3. 创建一个目标文件夹的普通快捷方式，改名为 target（实质为 target.lnk），放在 ShortcutFolder 下，完成。

　　其中前两步可以改为一步：创建一个文件夹叫 ShortcutFolder.{0AFACED1-E828-11D1-9187-B532F1E9575D}，并给它加上只读属性，但是名字中出现这么长的 GUID 字符串比较不好看。

　　注意这种方式创建出来的“文件夹快捷方式”只对资源管理器和IE 有效，在命令提示符下是原形毕露，和 Junction（Reparse Points）是不同的。

[UMU WSH 教程](33) 正则表达式

[UMU WSH 教程](34) ScriptingUtils.DateTimeObject 对象

　　本文适用于 XP 后系统（包括 XP）。hnetcfg.dll 提供了管理 Windows 内置防火墙的对象：HNetCfg.HNetShare、HNetCfg.NATUPnP、HNetCfg.FwMgr、HNetCfg.FwOpenPort、HNetCfg.FwAuthorizedApplication。

　　参考 URL：

http://msdn.microsoft.com/en-us/library/bb736292(VS.85).aspx
http://www.activexperts.com/activmonitor/windowsmanagement/scripts/networking/windowsfirewall/

　　下面举几个例子：

// UMU @ 2009-3-20 09:17
// AddAllowedPort.js
// 防火墙 - 例外 - 添加例外端口

var NET_FW_IP_PROTOCOL_TCP = 6;
var NET_FW_IP_PROTOCOL_UDP = 17;

function WFW_AddAllowedPort(name, protocol, port, state)
{
        var objFirewall = new ActiveXObject("HNetCfg.FwMgr");
        var objProfile = objFirewall.LocalPolicy.CurrentProfile;
        var objPort = new ActiveXObject("HNetCfg.FwOpenPort");

        objPort.Name = name;
        objPort.Port = port;
        objPort.Protocol = protocol;
        objPort.Enabled = state;

        var colPorts = objProfile.GloballyOpenPorts;
        colPorts.Add(objPort);

        delete colPorts;
        delete objPort;
        delete objProfile;
        delete objFirewall;
}

WFW_AddAllowedPort("UMU", NET_FW_IP_PROTOCOL_UDP, 618, true);

// UMU @ 2009-3-23 15:51
// AddAuthorizedApplication.js
// 防火墙 - 例外 - 添加例外程序

var objFirewall = new ActiveXObject("HNetCfg.FwMgr");
var oProfile = objFirewall.LocalPolicy.CurrentProfile;
var objAuthApp = new ActiveXObject("HNetCfg.FwAuthorizedApplication");
objAuthApp.Name = "notepad.exe";
objAuthApp.IPVersion = 2;
objAuthApp.ProcessImageFileName = "C:\\Windows\\system32\\notepad.exe";
objAuthApp.RemoteAddresses = "*";
objAuthApp.Scope = 0;
objAuthApp.Enabled = true;

var colApplications = oProfile.AuthorizedApplications;
colApplications.Add(objAuthApp);

delete objAuthApp;
delete objFirewall;

// UMU @ 2009-3-23 15:51
// AllowInboundEchoRequest.js
// 防火墙 - ICMP 设置 - 允许传入回显请求

var objFirewall = new ActiveXObject("HNetCfg.FwMgr");
var objProfile = objFirewall.LocalPolicy.CurrentProfile;
objProfile.IcmpSettings.AllowInboundEchoRequest = true;
delete objProfile;
delete objFirewall;

// UMU @ 2009-3-23 15:58
// DisableFirewall.js
// 防火墙 - 禁用防火墙

var objFirewall = new ActiveXObject("HNetCfg.FwMgr");
var objProfile = objFirewall.LocalPolicy.CurrentProfile;
//objProfile.FirewallEnabled = true;
objProfile.FirewallEnabled = false;
delete objProfile;
delete objFirewall;

// UMU @ 2009-3-23 16:05
// EnableRemoteDesktop.js
// 防火墙 - 例外 - 启用远程桌面

var NET_FW_SERVICE_FILE_AND_PRINT = 0;
var NET_FW_SERVICE_UPNP = 1;
var NET_FW_SERVICE_REMOTE_DESKTOP = 2;

var NET_FW_SCOPE_ALL = 0;
var NET_FW_SCOPE_LOCAL_SUBNET = 1;

var objFwMgr = new ActiveXObject("HNetCfg.FwMgr");
var objProfile = objFwMgr.LocalPolicy.CurrentProfile;
var objService = objProfile.Services.Item(NET_FW_SERVICE_REMOTE_DESKTOP);
objService.Enabled = true
objService.RemoteAddresses = "*"
//objService.Scope = NET_FW_SCOPE_ALL
delete objService;
delete objProfile;
delete objFwMgr;

　　原理请参考 API RegOverridePredefKey。

下载：UMU 的网盘\Tools\CrackTools\RegSvrOverride.7z

// UMU @ 2009-02-13 19:53
// [UMU WSH 教程](34) ScriptingUtils.DateTimeObject 对象
// 43_DateTimeObject.js

var objDTO = new ActiveXObject("ScriptingUtils.DateTimeObject");
WScript.Echo(objDTO.GetDateAndTime("20090210111923.000000+480"));
delete objDTO;

Vbs2Exe 4.0

http://www.vbs2exe.com/

VBS2EXE V2.7 绿色特别版

　　这些 Vbs2Exe 程序不仅可以在一定范围内保护您的脚本源代码，还可以扩展脚本的功能，比如 xNeat Inc. 的 Vbs2Exe 增加了使脚本调用 Win API 的功能。

　　不过，正像 UMU 在《[UMU WSH 教程](18) 脚本加密》中说到的：“那么解释型语言怎么保护代码呢？答案是不行”、“由于最后只能解码回宿主认识的语言，所以这种加密必须是可逆的，所以要破解是轻而易举的”。

　　UMU 的程序（ScriptSnap）是使用了 COM Interface Hook 的方法，把 vbscript.dll / jscript.dll 提供的 IActiveScriptParse 接口的 ParseScriptText 方法给 Hook 了，所以可以获得源代码。

　　下载地址：http://download.csdn.net/source/1018872，或 UMU 的网盘，Tools\CrackTools\ScriptSnap.7z，如果网盘失效，请联系 MSN: umu618@msn.com 或 QQ: ExplorerEx@qq.com。

　　0. 第 5 行，TryParse 可以保证输入非法 IP 时程序不会异常，很多人没考虑这点，失败！

　　1. 第 8 行，IPAddress.Address 已经被弃用，UMU 都把警告当成错误，所以不用它。但很多人无所谓，很失败！

　　2. 第 10 行，很多人不检查 AddressFamily，如果传入的是 IPv6 地址，他们还继续 Address，失败中的失败！

　　3. IP 地址使用的是网络字节序，也就是大尾字节序，应该转为主机字节序，x86 下是小尾字节序，这样方便做一些额外的加工。

　　4. 如果您希望把整型数存入数据库，那应该直接用下列的代码，返回值类型是 Int32，因为有的数据库不支持 Unsigned，必须用更大长度的类型来存放，浪费了；如果您希望能进行 IP 大小比较，比如 128.0.0.0 > 127.0.0.2 > 127.0.0.1，则要把返回值改为 UInt32，否则 128.0.0.0 将变成负数，所以会 128.0.0.0 < 127.0.0.2。

附 JScript 代码：

function IPv4StringToInt32(strIP)
{
        var strArrayPart = strIP.split(".");
        var nCountOfPart = strArrayPart.length;

        if (nCountOfPart == 0 || nCountOfPart > 4)
        {
                return 0;
        }

        var nPart = new Array(0, 0, 0, 0);
        var i;

        for (i = 0; i < nCountOfPart - 1; ++i)
        {
                nPart[i] = parseInt(strArrayPart[i]);

                if (nPart[i] < 0 || nPart[i] > 255)
                {
                        return 0;
                }
        }

        nPart[3] = parseInt(strArrayPart[i]);
        if (nPart[3] < 0 || nPart[3] > 255)
        {
                return 0;
        }

        return nPart[0] << 24 | nPart[1] << 16 | nPart[2] << 8 | nPart[3];
}

reg delete "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v TSAppCompat /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer" /v 1xwyqbcd /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer" /v dcbqywx1 /f
reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\nsky" /va /f

　　0. 安装后先不要运行，先备份安装目录下的 trjdcbqywx1hj.dat，复制为 trjdcbqywx1hj.dat.bak；

　　1. 资源管理器打开 %SystemRoot%\system32 目录，按“修改日期”排列，并把滚动条拉到底；

　　2. 运行此软件，注意看 %SystemRoot%\system32 目录，会出现一个新的 .dat 文件，大小是 748 字节。此文件每次安装都可能不同，UMU 的是 xdc8otinhc4wu.dat。

　　3. 删除 xdc8otinhc4wu.dat，并用备份的 trjdcbqywx1hj.dat.bak 覆盖新的 trjdcbqywx1hj.dat，就可以得到 3 天试用期，只要一直做这个操作就可以不过期了。

　　可以使用批处理脚本来操作，下面代码保存为 crack.cmd，放在安装目录下：

copy trjdcbqywx1hj.dat.bak trjdcbqywx1hj.dat /y
del %SystemRoot%\system32\xdc8otinhc4wu.dat
start KDJLJJ242003.exe

　　注意您机上不一定是 xdc8otinhc4wu.dat，需要相应修改，然后把软件的快捷方式改为指向 crack.cmd。

　　第零步，和前面一样，刚装的系统，用 Administrator 登录。

　　第一步，和前面不同，因为 Users 目录下有一些系统占用的文件，复制不了。如果您有双系统或者用 U 盘启动 WinPE，那可以试试，不必按照 UMU 的方法。但 UMU 懒得去搞 U 盘启动 WinPE，相信大部分人也和 UMU 一样不想这么麻烦。所以结论是，得先修改注册表，再复制文件。假设要移动到 E 盘：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList] 下的 Default、ProfilesDirectory、Public 三个值的数据改一下，把盘符都改为 E:。

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-5-21-3843801140-3458922274-3296897442-500] 下的 ProfileImagePath 数据改为 E:\Users\Administrator。

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders] 下的 "Common Desktop"、"Common Documents"、CommonMusic、CommonPictures、CommonVideo 五个值的数据把盘符都改为 E:。

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders] 下的值看到数据中有 C:\Users 的都改为 E:\Users。

　　第三步，注销，重新登录，会发现一些用户配置没正确加载的问题，但不用理会。

　　第四步，复制文件：

xcopy C:\Users E:\Users\ /E /H /K /X /Y /B /C

　　第五步，注销，重新登录，在第三步看到的问题，解决了。

　　第六步，删除 "E:\Users\Default User" 目录，因为这个目录被 xcopy 复制错误，重新创建：

mklink /J "E:\Users\Default User" E:\Users\Default

　　然后对照 "C:\Users\Default User" 的权限设置，把 "E:\Users\Default User" 设置成和它一样：

cacls "E:\Users\Default User" /S:"D:PAI(D;;CC;;;WD)(A;;0x1200a9;;;WD)(A;;FA;;;SY)(A;;FA;;;BA)"

　　第七步，删除 C:\Users 目录，直接用资源管理器删除，很顺利。

　　第八步，最后还是和前面的文章一样，创建映射：

mklink /J C:\Users E:\User

　　搞定了，比较麻烦，但也大同小异，至少原理是一样的。最后为了防止一些不必要的麻烦，请读者务必在刚装完的系统上试验，否则造成什么损失 UMU 可是不负责的！