兩種隱藏木馬的新方法(可能有些錯誤，請指正) －轉至20CN

鬱悶 以前看過沒注意看 今天翻出來了

作者: 四不象 [tabris17]    論壇使用者

回複   收藏

win9x下的裝置名稱DOS漏洞是眾所周之的，其實win2000下也有類似的漏洞。 我們姑且稱著個漏洞為“以裝置名稱命名的檔案夾拒絕服務漏洞”，雖然很早以前就有這個漏洞（大概 1年以前就有朋友告訴我這個漏洞的情況了），但我至今還沒有從各大漏洞資料庫中發現她的蹤跡。 根據常識，我們知道：在windows下無法以裝置名稱來命名檔案或檔案夾， 這些裝置名稱有：aux,com1,com2,prn,con,nul。 但win2000(win xp)有個漏洞，可以讓這一不可能成為可能。 我們可以嘗試如下實驗： 首先，你的作業系統必須是win2000或win xp， 運行cmd.exe，用"md c:/con//"命令可以建立一個和裝置名稱con相同的目錄。 你可以試著用資源管理員去開啟它，一切正常，但是你要是試圖在資源管理員裡刪除它，會發現這 根本就是徒勞。如用“del c:/aux”會提示“檔案名稱、目錄名或卷標文法不正確。” 刪不掉了，怎麼辦？哎呀，只有格式化了，呵呵~~~，騙你的啦。其實是有辦法刪的，要不然我怎麼 敢讓你試呢？辦法等會兒告訴你。 先一個個試過來"md c:/aux//","md c:/prn//","md c:/com1//","md c:/nul//"，然後把這些建立好 的檔案夾在資源管理員中一個個雙擊試試，你會發現，當試圖開啟以aux或com1命名的檔案夾時 explorer.exe失去響應了，這正是我想達到的目的（然而，在我實驗的過程中有個意外，在一次次的 explorer.exe失去響應後，竟然可以進入aux目錄和com1目錄，難道是explorer.exe已經“習慣”了？ 但是當我登出後再次嘗試就不行了，非常奇怪，而且在我以後的多次實驗中就再也沒有出現這種情況 了，有誰也發現這種情況告訴我一聲）。 要刪除它們的話一定要使用UNC路徑格式，就是網路位置的路徑格式啦。 命令如下： "rd //./c:/aux" 現在你可以把檔案copy到該目錄下，當然不能用普通的方法，命令如下： "copy test.exe //./c:/aux/" 然後再"開始"-"運行"中運行"c:/aux/test.exe",成功了。雖然在資源管理員裡是無法刪除該檔案了，但 是可以使用del命令刪除，"del c:/aux/"，提示"c:/aux/*, 是否確認 (Y/N) ? "，用"dir //./c:/aux" 命令後發現test.exe被刪除了。 目錄刪不掉了，但檔案還是能刪掉，現在要試著讓檔案也刪不掉。 同樣的方法"copy text.exe //./c:/con.exe"。現在行了，這個con.exe是無法通過普通方法刪掉了，只有 用"del //./c:/con.exe"才行，在命令列方式下運行"//./c:/con"，可以運行這個程式了，但在開始菜單的 "運行"中卻不行。只有使用命令"cmd /c //./c:/con"才行了。 不過這樣會產生一個cmd的視窗，改進的方法有很多，可以利用開機指令碼，也可以利用cmd.exe的autorun： 在註冊表HKEY_LOCAL_MACHINE/Software/Microsoft/Command Processor/下建一字串值AutoRun，值為要 啟動並執行.bat檔案或.cmd檔案的路徑，如：c:/winnt/system32/auto.cmd,建立相應的檔案，它的內容為： @//./c:/con 還有一種方法，這不是我原創的,就是利用windows目錄長度不能超過256位元組的特性，可以利用subst命令將 一長度達到256位元組的目錄映射為虛擬盤："subst b: testtesttesttesttesttesttes…………………………"。 然後在虛擬出來的b:中建立一個長檔名目錄"testtesttesttestte…………"，然後將一可執行檔copy到該 路徑下，去掉虛擬盤符映射："subst b: /d"，這樣用資源管理員是無法進入該目錄的，殺毒軟體也無法掃描 該路徑下的檔案，而且在資源管理員中是無法刪除該目錄的，但可以使用8.3檔案格式來運行該可執行檔： "c:/testte~1/testte~1/test.exe"，從而達到隱藏的目的。 WHO GOD LOVES BEST DIES EARLIEST 大風起兮雲飛揚，考出英語兮拿文憑，安得槍手兮過四級                  ——英語槍手招募中……