图2-2-5 下载更新程序cab.exe并启动更新

cabs.exe会判断当前计算机系统是否为Windows Server，只有当当前计算机系统为Windows Server时才会执行更新。

图2-2-6 判断当前系统是否为Windows Server

如果当前计算机系统为Windows Server，则访问http://ip:8888/update.txt获取最新的下载列表，并将下载列表下载到c:\\windows\\system路径下，命名为upslist.txt。

图2-2-7 下载下载列表

下载列表中包含两个文件ps.jpg和my1.html。

图2-2-8 下载列表内容

ps.jpg是末尾拼接了一个PE文件的图片。该PE文件就是最新版本的Bot程序。