为了顺应当前形势和更好的发展,黑基网已于9月19日正式更名为【安基网】,域名更换为www.safebase.cn,请卸载旧的APP并安装新的APP,给您带来不便,敬请理解!谢谢

黑基Web安全攻防班
安基网 首页 IT技术 安全攻防 查看内容

浅析局域网脚本蠕虫的传播

2004-9-29 20:05| 投稿: security

摘要: 我近日在网络上看到了一些关于局域网脚本蠕虫的传播方式的一些讨论,这里提供一些思路。1. 利用WSH里的MapNetworkDrive方法。该方法是将网络驱动器映射到本地。MapNetworkDrive...
我近日在网络上看到了一些关于局域网脚本蠕虫的传播方式的一些讨论,这里提供一些思路。1. 利用WSH里的MapNetworkDrive方法。该方法是将网络驱动器映射到本地。MapNetworkDrive方法:object.MapNetworkDrive(strLocalName, strRemoteName, [bUpdateProfile], [strUser], [strPassword])参数object WshNetwork 对象。 strLocalName 表示映射驱动器的本地名的字符串值。 strRemoteName 表示共享的 UNC 名称 (\\xxx\yyy) 的字符串值。 bUpdateProfile 可选。表示映射信息是否存储在当前的用户配置文件中的布尔值。如果提供的 bUpdateProfile 的值为 true,则该映射存储在用户的配置文件中(默认值为 false)。 strUser 可选。表示用户名的字符串值。如果使用当前用户以外的其他用户的凭据来映射网络驱动器,则必须提供该参数。 strPassword 可选。表示用户密码的字符串值。如果使用当前用户以外的其他用户的凭据来映射网络驱动器,则必须提供该参数。 说明尝试映射非共享的网络驱动器时将产生错误。主要原理是:得到本机的LAN地址后(一般为192.168.*.*)将其他主机的共享目录映射为本地的驱动器(如Z:),然后将病毒复制到映射的本地驱动器Z:,这样就把病毒复制到其他主机的目录去了。最后,还要使用RemoveNetworkDrive方法删除映射,以免被发现。RemoveNetworkDrive方法:object.RemoveNetworkDrive(strName, [bForce], [bUpdateProfile])参数object WshNetwork 对象。 strName 表示要删除的映射驱动器名的字符串值。strName 参数可以是本地名称,也可以是远程名称,这取决于驱动器的映射方法。 bForce 可选。表示是否强制删除映射驱动器的布尔值。如果提供的 bForce 的值为 true,则无论该资源是否正在使用,该方法都删除这些连接。 bUpdateProfile 可选。表示是否从用户的配置文件中删除映射的字符串值。如果提供 bUpdateProfile 且其值为 true,则从用户配置文件中删除该映射。bUpdateProfile 的默认值为 false。 说明如果在本地名称(驱动器名)和远程名称(UNC 名称)之间存在映射关系,则 strName 必须设置为本地名称。如网络路径中不存在本地名称(驱动器字母)映射,则 strName 必须设为远程名称。我这里给一段VBS的示例代码:Set myfso= CreateObject("Scripting.FileSystemObject") Set WshNetwork = WScript.CreateObject("WScript.Network") WshNetwork.MapNetworkDrive "I:", "\\" & unc fso.copyfile "c:\virus.vbs " ,"I:\virus.vbs.txt"WshNetwork.RemoveNetworkDrive "I:"2. 利用IPC$进行连接。这种方式估计玩HACK的朋友比较熟悉啦!原理就是利用WSCRIPT.SHELL来执行。具体可以参考各种IPC$攻击傻瓜教程,这里仅提供一段代码:Set objshell=wscript.createobject("wscript.shell")Dim st,scst="net use \\" & "192.168.0.1 \IPC$ "& pass &" /" & "administrator"objshell.run stsc="copy c:\virus.vbs \\192.168.0.1\admin$"objshell.run sc3. 就是像“新欢乐时光”病毒一样的利用FOLDER.HTT的被动式进行传播。Desktop.ini: 活动桌面的配置文件Desktop.ini定义了它所在的文件夹在桌面上或者在资源管理器中的显示风格以及文件夹的某些属性。关键:WebViewTemplate.NT5=file://Folder.htt就是修改desktop.ini使其指向同目录下的folder.htt,当以WEB视图打开文件夹时,就会按照desktop.ini里面的设置执行folder.htt。这样我们就可以把病毒写入folder.htt,使之不断复制。具体参见其他有关新欢乐时光的病毒分析。这是我个人所了解的传播方式,如果您还有更好的想法,不妨告诉我。

小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册黑基账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!



免责声明:本文由投稿者转载自互联网,版权归原作者所有,文中所述不代表本站观点,若有侵权或转载等不当之处请联系我们处理,让我们一起为维护良好的互联网秩序而努力!联系方式见网站首页右下角。


鲜花

握手

雷人

路过

鸡蛋

相关阅读

最新评论

最新

返回顶部