| 蓝图湾 | |
 | |
| 博客首页 | |
| 博客主人 | |
| 聚合订阅 | |
| 标签列表 | |
| 引用列表 | |
| 控制面板 | |
| 博客日历 | ||||||||||||||||||||||||||||||||||||||||||||||||||
|
||||||||||||||||||||||||||||||||||||||||||||||||||
| 日志分类 |
|
[RSS] 默认分类 [6] [RSS] 原创文章 [51] [RSS] 随笔涂鸦 [4] [RSS] 网文采撷 [58] [RSS] 典藏软件 [21] [RSS] 自编程序 [3] [RSS] 学习笔记 [54] [RSS] 内部资料 [5] [RSS] 非技术类 [2] |
| 日志排序 |
| 时间 |
| 点击 |
| 评论 |
| 引用 |
| 日志归档 |
|
三月, 2006 四月, 2006 五月, 2006 六月, 2006 七月, 2006 十月, 2006 十一月, 2006 十二月, 2006 一月, 2007 二月, 2007 三月, 2007 四月, 2007 全部... |
| 搜索文章 | ||
|
||
| 搜索评论 |
| 最新评论 |
|
目前无任何评论 07-17 - System
|
| 更多... |
| 博客统计 |
| 分类: 9 文章: 204 评论: 0 标签: 3 附件: 103 引用: 0 今日访问: 21321 总访问量: 24990851 |
| 程序版权 | |
 |
|
| 冀ICP备05030027号 | |
| 浏览模式 | 标准模式 | 列表模式 | 所有时间均为 GMT +8:00 北京时间 |
| cmd的终极防守 |
| cmd的终极防守 一 前言 翻开网络上的入侵资料看看吧！大多数的入侵都是在cmd下完成的，比较典型的有溢出得到一个system权限的cmdshell，然后种植一个Tcmd之类绑定了cmd.exe的后门。也有利用web程序的漏洞得到一个webshell然后利用低权限的cmdshell来提升权限，最后再种植后门……各种各样的攻击都说明入侵和cmd.exe是相关的，因为一个cmd.exe就是一个用户与系统交互的一个接口，是入侵者进入系统的首要目标。当然，我们不能在这里坐以待毙，如何防止别人通过溢出得到你的cmdshell，如何知道别人已经进入系统并且获得cmdshell，如何在人家登陆到我们机器的时候抓住入侵者呢？现在就让我们打造一个cmd下的终极防线吧。 二 原理 网络上谈得比较多的一种防范的方法是将cmd.exe设置权限，这样的确可以起到很大的作用，但是权限比较难以确定，并且如果别人自己上传cmd.exe的话还是可以突破的，然后用nc绑定cmd.exe到一个端口还是可以得到cmdshell。今天我给大家介绍一种新的方法，不用设置cmd的权限哦！首先说说原理，还是打开你的cmd命令窗口，运行命令cmd /?，看看得到了什么吧！如图一。
注意以下内容： 如果 /D 未在命令行上被指定，当 CMD.EXE 开始时，它会寻找以下 REG_SZ/REG_EXPAND_SZ 注册表变量。如果其中一个或两个都存在，这两个变量会先被执行。 HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor\AutoRun 和/或 HKEY_CURRENT_USER\Software\Microsoft\Command Processor\AutoRun 也就是说如果存在HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor\AutoRun和HKEY_CURRENT_USER\Software\Microsoft\Command Processor\AutoRun这两个键值并且你不是用cmd.exe /D启动cmd进程的话会在启动cmd.exe之前先去执行这两个键值指定的程序。嘿嘿，想到什么了，既然可以先于cmd.exe之前执行自己的程序或者脚本，我们就完全可以控制cmd.exe的动作了。 三 实战 我们找到了我们可以利用的东西，现在看看如何利用cmd.exe的这个特性来做些什么吧！关键是编辑
假设你的机器并不是经常及时打上补丁，你就可以编辑system32下cmd.bat的内容为exit，这样就抵御黑客的远程溢出攻击了，因为一般的溢出要么是反弹一个cmdshell要么是绑定一个cmdshell，而溢出的shellcode执行cmd之后会首先运行的是我们指定的cmd.bat里面的内容，而内容正是exit退出，这里为了给大家示范我指定的命令是pause命令，如图三。
这样不知道真相的人肯定会很郁闷的，即使知道真相如果他是一般的菜鸟的我想对这样的问题他也是束手无策吧，除非他使用的是其他的shellcode。 @echo off \\关闭命令回显\@netstat -an>>c:\winnt\system32\net.log \\取得当前的网络连接状态并输出到net.log文件，用>>重定向是避免日志被后来的冲洗掉\@date /t>>c:\winnt\system32\date.log \\取得入侵发生的时间\@time /t>>c:\winnt\system32\time.log 这样当有人溢出的时候他的IP就在日志里啦！你完全可以根据自己的情况补充这个脚本的内容，如查看进程，查看端口关联等等，因为不是系统自带的程序我就不给大家展示了！ @echo off \\关闭命令回显\@netstat -an>>c:\winnt\system32\net.log \\取得当前的网络连接状态并输出到net.log文件，用>>重定向是避免日志被后来的冲洗掉\@date /t>>c:\winnt\system32\date.log \\取得入侵发生的时间\@time /t>>c:\winnt\system32\time.log 这样我们就可以对入侵者喊话了，喊些什么呢？骂人的话就不要喊了，我这里就给自己做个广告吧，别人telnet上来我的机器上时如图四
我的日志内容如图五。
其实从任何的cmd后门上登陆时都是这样的效果，我的Tcmd就很郁闷，呵呵！这些在webshell里也是很有奇效的，大家还可以发挥自己的想象力哦，没有什么做不到的。 四 总结 附： @echo off cmd.reg Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor] |
| Submitted by 多情浪子 on 2006, December 12, 11:47 AM |
此主题相关图片如下：
 引用(0) |
| 引用地址: http://www.lantowan.org/trackback.php?id=38 只支持GB2312和UTF-8两种编码的Trackback |
| 访客评论 | ||
| 当前Blog无任何评论 |
||
|
||
| 还没有人参与评论, 你说两句吧 |
添加评论