Capturer un fichier

[sioban]

Hello,

J'ai un .exe qui créé à la volée un .bat dans un fichier temporaire.
Dès que le .exe se termine le .bat est supprimé (et c'est super rapide).

J'aimerais capturer ce fichier, avez-vous une idée quels outils utiliser ?

J'ai essayer photorec et recuva pour tenter de récupérer le fichier supprimé mais sans succés.

[Malekal_morte]

yop sio,

Essaye de faire un bat qui lance l'exe et un suspend derrière : http://technet.microsoft.com/en-us/sysi ... s/bb897540

Sinon faut lancer l'exe pas à pas, style avec un debugger.

[sioban]

merci, je vais tester.

PS : j'ai fait le ménage dans ma boite de réception... c'était plein ^^

[sioban]

c'est bon j'ai réussi en utilisant pssuspend ;)

[sioban]

Nouveau challenge.

un .exe qui crée un .vbs dans un répertoire de appdata\local\temp

Mais cette fois je n'y arrive pas avec pssuspend, le fichier s’exécute trop rapidement.
j'aurais bien freezé le .vbs créé mais il a un nom aléatoire, du coup ça ne fonctionne pas avec pssuspend...

Une autre idée ? (un mode debug en exécution pas à pas ou un autocopy par exemple)

[sioban]

C'est bon, j'ai utilisé moveout : http://www.donationcoder.com/Software/S ... ml#MoveOut

[Malekal_morte]

pas trop compris avec moveout.
Comment ça a permis de récup le VBS?

Comme il est plus dans temp, l'exe n'est pas foutu de le supprimer ?

[sioban]

moveout déplace le fichier quand il est créé, du coup il n'est plus supprimé

Mais je pense qu'on peut trouver mieux que moveout, car il ne scanne qu'au minimum que toutes les secondes.

[Malekal_morte]

Ca doit être aussi inérant à la manière dont c'est codé.
Genre si y a le chemin complet temp, ça doit marcher
mais si le fichier utilise les api de Windows, Windows doit renvoyer la dernière localisation.

Enfin j'imagine.