|
本人喜欢东躲西藏,所以总结出了一些隐藏的方案,具体看情况定了。 : D* w, e3 y& J0 e7 @8 a
* M4 E6 j9 Y' f9 L+ D- E4 ]9 j那么一般进入一台服务器后隐藏自己的手段有:
: p0 j2 }( [0 B* v, X* ^$ c
5 M4 u3 p/ C, P! ]1。superdoor克隆,但是有bug。榕哥的ca克隆,要依赖ipc,也不是很爽。 ; w$ h) x l7 M* B8 \: X
- j: ~! _) X7 ^7 ]2。创建count$这样的隐藏帐号,netuser看不到,但是在管理》用户里可以看到,而且在我得电脑属性》用户配置文件里显示未知帐号,而且在document and setting里,会有count$的文件夹,并不是特别好,我在3台左右机子上作了结果都被kill了。 v0 \0 S1 t# f1 {
/ G9 z+ _" R. j/ f$ g- d% e8 t3。写一个guest.vbs启动时创建一个帐号或者激活guest用户或者tsinternetuser用户,在注册表里的winlogon里导入键值(事先做好),让他开机自运行guest.vbs,这样就创建了一个幽灵帐号。
+ W( ?0 ]* s, Z( a) B6 Z3 Y7 [# m, }' M' g# _/ \% ^1 l
或者导入在[HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor]
& Y0 I/ e% L, _! y- u& {5 C
6 W6 \; P' m+ P- [) f S; C/ C"AutoRun"="C:\\Program Files\\guest.vbs" 0 J/ |5 r0 ~9 z6 o' N0 ^
; l# j+ e5 O. V& L) [- F+ Q这样是关联到cmd,只要运行就创建。 7 z! R/ I1 F0 m8 T1 I0 K
0 O# t- g, z% ^" [8 X
4。像冰河那样关联到txt,exe,运行txt就运行我们的程序 ( d$ j) U; G: z: B: T8 o
1 U( {) @1 e( O5 z F8 y5。在组策略里配置自运行项。
/ @8 w( v7 c/ o) `, y r
5 v1 _4 c5 z6 Y- ?8 }5 X# ?6。设置文件关联,重要运行记事本或者什么就激活vbs。 * e# _1 B' S, q* C
- R6 S; D. W# z% A7。种植hackdefender,hack’sdoor,winshell,武汉男生之类的后门,但是容易被查杀,如果没有改造几乎没有效果,如果不被杀,那就。。。嘿嘿!!
; j9 d7 k1 a. `4 E2 E
7 S) P0 K9 E' `* W+ A/ c8。夹杂文件,把经常用到的文件替换成rar自解压文件,既包含原exe文件又运行自己的程序(就是winrar做的不被查杀的捆绑)运行后就重复3,4,5的步骤,谁便你了。 1 q4 |7 `2 }8 ]- O' ^7 I' d; K
1 o. c9 \( _: O3 W2 X7 d/ I: D- G9。寻寻觅觅之间,发现hideadmin这个玩意好不错,要求有administrator权限,隐藏以$结尾的用户,帅呆了!命令行,管理界面,用户配置文件里都找不到他的身影,一个字,强!强到我搞了好半天都不知道怎么去除了,只有让他呆着吧!倒~ 接着教主也有一个工具,有异曲同工之妙。 / O } I% B4 _) { ]% k/ `2 y
$ }. j+ u& V0 r# {3 V/ s( A& D4 y
10。替换服务,将telnet或者termsvc替换成别的服务或者建一个新的。 ( u+ [( i1 d: j8 A# A2 w
+ X- ?/ X* @1 u9 |9 t1 E
11。手工在注册表中克隆隐藏账号,网上流传的一个看似很爽的方法,但经本人的2000 server测试也许是不在域中的原因根本不存在domains或者account这个键值,所以也就无从找起了。 6 v5 }! ~7 z9 y4 ^# e$ G
, y# j* N- r5 j4 o. I2 L/ j8 @
但还是详述一下: ' Y' M$ z) i/ t& }
/ Y1 d& W. r1 X& R) nWindows 2000和Windows NT里,默认管理员帐号的SID是固定的500(0x1f4),那么我们可以用机器里已经存在的一个帐号将SID为500的帐号进行克隆,在这里我们选择的帐号是IUSR_MachineName (为了加强隐蔽性)。 1 \, l7 R$ Z' q0 N' ?# o
8 ?; b9 g& }8 |% [9 _. i* u7 K3 Jcmd 下
. Q" s: a1 c# J9 [2 Y0 d8 W" [* Y- x4 m0 k4 R W; u0 d
regedit /e admin.reg HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4
! Y) a6 t! m7 k- f8 u! r2 G& w3 {
将SID为500的管理员帐号的相关信息导出,然后编辑admin.reg文件,将admin.reg文件的第三行
( ~' b) w2 u. f6 {% y6 W' J% B
, D& q+ S( [% {3 \* b6 L/ i[HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4] - b9 H" D; r) Q
! M, v% _! A+ x3 C9 q$ }# k, b
最后的’1F4’修改为IUSR_MachineName的SID(大部分的机器该用户的SID都为0x3E9,如果机器在最初安装的时候没有安装IIS,而自己创建了帐号后再安装IIS就有可能不是这个值),将Root.reg文件中的’1F4’修改为’3E9’后执行然后另外一个是你需要修改那个账号的值。
( z6 g% h, n+ J2 @$ t
/ a5 |1 Z: @1 D: W" s* u5 L. [5 |regedit /e iusr.reg HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000003E9 9 u4 B& t: n* j o) M
3 c7 v( t9 y9 z: ^
将iusr.reg文件中“’V’=hex:0”开始一直到iusr.reg文件结束部分复制下来,然后替换掉adam.reg中同样位置的部分。最后使用 regedit /s adam.reg 导入该Reg文件,然后运行 net user IUSR_MachineName password 修改IUSR_MachineName的密码。ok,大功告成! % F4 I) Y, d4 M! W) n
' D3 c7 q% a. {4 ~8 I" Z( j
现在IUSR_MachineName账号拥有了管理员的权限,但是你使用net.exe和管理工具中的用户管理都将看不到任何痕迹,即使你去察看所属于的组和用户,都和修改前没有任何区别。 3 l2 W! d& y; k% B% ]% A. ]
+ w8 {' w4 n9 B- V
大概就知道这么多了,各位如果有更好的方法不吝赐教。。。。。。。 |
|