一些小技巧與常見問題解決方法
更新時間：2007年10月08日 22:55:31 作者：
1、當你得到管理員密碼卻又無法找到后臺時不妨試試google。輸入site:xxx.com intext:admin / *意思是查找網址包含xxx.com 文字中包含admin的所有網頁*/ 或site:xxx.com inurl:admin /* 查詢地址中包含admin的鏈接*/ site:xxx.com intitle:admin /* 查詢tittle中包含admin的鏈接*/。你可以把admin換為你所知道的一些與后臺有關的關鍵字，如“管理員登錄”“后臺”等等。另外，使用maxthon的查看頁面鏈接也是個不錯的方法，適用于像sa-blog類隱藏后臺登錄頁面可見的web.
2、sa注射使用nbsi較好，批量注入，尋找諸如點使用啊D較好。啊D與google是批量注入的黃金組合：“inurl:.asp?id=”是標準的asp批量注入搜索關鍵字。關鍵字根據你在審核某代碼時發(fā)現問題的模塊而定。
3、尋找有漏洞代碼關鍵字不錯的方法是尋找他目錄下的特殊名文件，即一些不常見的文件名。index.asp啥的就免了不然google會被氣瘋的。當然，架設一套測試平臺是最好不過的，通過看他的footer就可以獲得比較準確的關鍵字，通過google使用復合關鍵字你會獲得更好的效果。
4、between是個很不錯的函數，注入中的合理使用會收獲意想不到的效果。
5、如果你不能確認你的后門可以躲過管理員的眾多工具那還是別放的好，有時候你一個本想加固控制的灰鴿子，pcshare會讓你的肉雞丟的更快。要記得系統自帶的東西才是最安全的。sqldebugger是個不錯的用戶，適當的使用可能會讓你收到比NX后門更好的效果。
6、不要使用那些所謂的cleanlog的軟件，要知道他們中的不少是去找默認目錄的（我的看法），遇到稍微有些BT的管理員都會去修改存放地址，大型公司的甚至會有專門的軟件與空間來對日志進行保護與轉移。所以我們還是選擇一些高強度的刪除軟件如WYWZ等，如果是大型公司那么內存，CPU等部分的數據也要進行擦出。
7、說道了擦PP，那么我們也要找找管理員沒有擦干凈的PP。final date是個不錯的軟件，我們總是習慣去記錄些難記的密碼在桌面，我的文檔中的txt里。final date查看下？也許你會有不錯的收獲。當然，去搜索*.txt *.ini等也會有不錯的效果。記得，要把在隱藏文件中搜索選上。
8、2000主機使用2.3/2.1版本的驅動。2003使用3.1bate4還是比較穩(wěn)定的。有人說小榕的ArpSniffer使用后會導致被嗅探方掉線，的確會有這種情況。解決方法如下：第一次不要加入后的/retset，對方掉線后加入/retset再次執(zhí)行，然后停止。這樣一來就不會再掉線了。(紫幻)
9、tlntadmn config sec = -ntlm exec master.dbo.xp_cmdshell \'tlntadmn config sec = -ntlm\'-- 其實是利用了tlntadmn這個命令。想要詳細了解，輸入/?看看吧。（這個是需要管理員權限的哦）建立相同用戶通過ntml驗證就不必我說了吧？
10、VPN連接提示733錯誤解決：取消DHCP自動分配，在“路由和遠程訪問”中的本地服務器上單擊右鍵，“屬性”“IP”在IP地址指派處選擇“靜態(tài)地址池”。自行輸入地址即可。地址因沒有被占用。在CMD中ping同C段IP無法ping通的基本可用。
11、遠程桌面連接下的地址無法直接刪除，可進入注冊表打開HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default 顯示出MRU0，MRU1類的值，刪除你想刪除的即可。
12、如果你使用的漢化版的ultraedit顯示仍為E文，那么移動鼠標到“help”處，右鍵選擇“高級”，即可顯示中文。如果你想把它加入右鍵，那么可以寫一個文檔，內容如下 REGEDIT4
[HKEY_LOCAL_MACHINESOFTWAREClasses*shellexContextMenuHandlersUltraEdit-32]
@="{b5eedee0-c06e-11cf-8c56-444553540000}"
[HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{b5eedee0-c06e-11cf-8c56-444553540000}]
@="UltraEdit-32"
[HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{b5eedee0-c06e-11cf-8c56-444553540000}InProcServer32]
@="D:\\Program Files\\IDM Computer Solutions\\UltraEdit-32\\ue32ctmn.dll"
"ThreadingModel"="Apartment"
將D:\\Program Files\\IDM Computer Solutions\\UltraEdit-32\\ue32ctmn.dll替換成你UE安裝目錄下ue32ctmn.dll的位置，保存為.reg導入注冊表即可。
13、當3389連接時提示超過最大數，可以考慮使用控制臺模式登錄，遠程注銷管理員帳戶(存在一定的危險性)。在開始中運行mstsc /console，輸入密碼后確認對話框即可。
14、sablog頁面顯示不正常，被撐裂，或上部分顯示空白解決方法：修改style.css的2個地方
1.#right width: XXXpx;
2.#outmain width: YYYpx;
把XXX和YYY都加50(如果問題依舊則繼續(xù)增加直到合適為止使用記事本即可編輯，查找更改即可)
15、入侵后漏洞修補、痕跡清理，后門置放：
基礎漏洞必須修補，如SU提權，SA注入等。DBO注入可以考慮干掉xp_treelist,xp_regread自行記得web目錄；你一定要記得清理痕跡~sqlserver連接使用企業(yè)管理器連接較好，使用查詢分析器會留下記錄，位于HKEY_CURRENT_USER\Software\Microsoft\Microsoft SQL Server\80\Tools\Client\PrefServers。刪除之；IISlog的清除可不要使用AIO類的工具直接完全刪除日志~可以選擇logcleaner類工具只刪除指定IP的訪問記錄，如果你能gina到管理員密碼則通過登陸他清理日志并通過WYWZ進行最后的痕跡清理。話說回來手動清理會比較安全。最后留下一個無日志記錄的后門。一句話后門數個，標準后門,cfm后門我一般都不會少。要修改時間的哦~還有一招比較狠滴，如果這個機器只是臺普通的肉雞，放個TXT到管理員桌面吧~提醒他你入侵了，放置了某個后門，添加了某個用戶~(當然不是你真正滴重要后門~)要他清理掉。這樣你有很大的可能性得以保留你的真實后門~
16、卡巴斯基KEY過期解決
360安全衛(wèi)士提供把年卡巴6.0免費使用，所提供KEY位于注冊表的HKEY_LOCAL_MACHINE\SOFTWARE\360Safe中的key鍵值。到期后刪除key鍵值，重新啟動360安全衛(wèi)士即可再次獲得新注冊碼繼續(xù)使用。
17、比較方便的服務器掛馬
站點過多，手動掛馬累，批量效果又不大好?？梢試L試如下方法：啟動IIS管理，右鍵單擊網站（或你要掛馬的虛擬目錄）屬性——文檔——啟用文檔頁腳——指定掛馬網頁就OK了。他在WEB上查找也是找不到文件的（最好不要放到虛擬目錄下）
18.、3389端口檢測
3389端口是否開啟可在注冊表進行查詢，位于HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp中的PortNumber鍵值讀取得d3d則為3389端口(16進制轉換可得)注入可使用xp_regread讀取(DBO權限或存在該存儲過程的其他帳戶即可)或導出后使用type命令讀取命令如下 regedit /e port.reg "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp"
然后 type port.reg | find "PortNumber"
當然你也可以去掃描所有端口，窮舉之~
19、VC編譯較小文件方法
release版比debug小得多，為了使編譯出來的文件更小可進行如下操作alt+F7彈出project settings窗口，選擇LINK(連接)屬性頁，將Object/library modules(工程選項):下編輯框中l(wèi)ib全部刪除，輸入MSVCRT.LIB kernel32.lib user32.lib)
編譯即可。
20、sablog修改類問題
首頁設置可在templates/default/index.htm(default為模板名，我這里使用的是默認模板，修改其他模板進入相應模板名目錄)其他設置可進入對應文件進行修改，如footer對應底部設置。請在不侵犯作者版權的前提下進行修改。如果你想刪除作者的默認友情連接，可進入include/目錄，修改cache.php中的更新鏈接模塊，刪除如下代碼即可(不推薦，應該更厚道些有人問俺俺才說出來的，被說我不厚道~) $tatol = $DB->num_rows($DB->query("SELECT linkid FROM ".$db_prefix."links WHERE visible='1' AND (url LIKE '%4ngel.net%' OR url LIKE '%sablog.net%')"));
if (!$tatol) {
$contents.="\t'1018' => array(\n\t\t'name' => '".chr(83).chr(97).chr(98).chr(108).chr(111).chr(103).chr(45).chr(88)."',\n\t\t'url' => '".chr(104).chr(116).chr(116).chr(112).chr(58).chr(47).chr(47).chr(119).chr(119).chr(119).chr(46).chr(115).chr(97).chr(98).chr(108).chr(111).chr(103).chr(46).chr(110).chr(101).chr(116)."',\n\t\t'note' => '".chr(83).chr(97).chr(98).chr(108).chr(111).chr(103).chr(45).chr(88).chr(32).chr(83).chr(116).chr(117).chr(100).chr(105).chr(111).chr(115)."',\n\t\t),\n";
$contents.="\t'8717' => array(\n\t\t'name' => '".chr(97).chr(110).chr(103).chr(101).chr(108).chr(92).chr(39).chr(115).chr(32).chr(98).chr(108).chr(111).chr(103)."',\n\t\t'url' => '".chr(104).chr(116).chr(116).chr(112).chr(58).chr(47).chr(47).chr(119).chr(119).chr(119).chr(46).chr(52).chr(110).chr(103).chr(101).chr(108).chr(46).chr(110).chr(101).chr(116).chr(47).chr(98).chr(108).chr(111).chr(103).chr(47).chr(97).chr(110).chr(103).chr(101).chr(108)."',\n\t\t'note' => '".chr(97).chr(110).chr(103).chr(101).chr(108).chr(92).chr(39).chr(115).chr(32).chr(98).chr(108).chr(111).chr(103)."',\n\t\t),\n";
}
2、sa注射使用nbsi較好，批量注入，尋找諸如點使用啊D較好。啊D與google是批量注入的黃金組合：“inurl:.asp?id=”是標準的asp批量注入搜索關鍵字。關鍵字根據你在審核某代碼時發(fā)現問題的模塊而定。
3、尋找有漏洞代碼關鍵字不錯的方法是尋找他目錄下的特殊名文件，即一些不常見的文件名。index.asp啥的就免了不然google會被氣瘋的。當然，架設一套測試平臺是最好不過的，通過看他的footer就可以獲得比較準確的關鍵字，通過google使用復合關鍵字你會獲得更好的效果。
4、between是個很不錯的函數，注入中的合理使用會收獲意想不到的效果。
5、如果你不能確認你的后門可以躲過管理員的眾多工具那還是別放的好，有時候你一個本想加固控制的灰鴿子，pcshare會讓你的肉雞丟的更快。要記得系統自帶的東西才是最安全的。sqldebugger是個不錯的用戶，適當的使用可能會讓你收到比NX后門更好的效果。
6、不要使用那些所謂的cleanlog的軟件，要知道他們中的不少是去找默認目錄的（我的看法），遇到稍微有些BT的管理員都會去修改存放地址，大型公司的甚至會有專門的軟件與空間來對日志進行保護與轉移。所以我們還是選擇一些高強度的刪除軟件如WYWZ等，如果是大型公司那么內存，CPU等部分的數據也要進行擦出。
7、說道了擦PP，那么我們也要找找管理員沒有擦干凈的PP。final date是個不錯的軟件，我們總是習慣去記錄些難記的密碼在桌面，我的文檔中的txt里。final date查看下？也許你會有不錯的收獲。當然，去搜索*.txt *.ini等也會有不錯的效果。記得，要把在隱藏文件中搜索選上。
8、2000主機使用2.3/2.1版本的驅動。2003使用3.1bate4還是比較穩(wěn)定的。有人說小榕的ArpSniffer使用后會導致被嗅探方掉線，的確會有這種情況。解決方法如下：第一次不要加入后的/retset，對方掉線后加入/retset再次執(zhí)行，然后停止。這樣一來就不會再掉線了。(紫幻)
9、tlntadmn config sec = -ntlm exec master.dbo.xp_cmdshell \'tlntadmn config sec = -ntlm\'-- 其實是利用了tlntadmn這個命令。想要詳細了解，輸入/?看看吧。（這個是需要管理員權限的哦）建立相同用戶通過ntml驗證就不必我說了吧？
10、VPN連接提示733錯誤解決：取消DHCP自動分配，在“路由和遠程訪問”中的本地服務器上單擊右鍵，“屬性”“IP”在IP地址指派處選擇“靜態(tài)地址池”。自行輸入地址即可。地址因沒有被占用。在CMD中ping同C段IP無法ping通的基本可用。
11、遠程桌面連接下的地址無法直接刪除，可進入注冊表打開HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default 顯示出MRU0，MRU1類的值，刪除你想刪除的即可。
12、如果你使用的漢化版的ultraedit顯示仍為E文，那么移動鼠標到“help”處，右鍵選擇“高級”，即可顯示中文。如果你想把它加入右鍵，那么可以寫一個文檔，內容如下 REGEDIT4
[HKEY_LOCAL_MACHINESOFTWAREClasses*shellexContextMenuHandlersUltraEdit-32]
@="{b5eedee0-c06e-11cf-8c56-444553540000}"
[HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{b5eedee0-c06e-11cf-8c56-444553540000}]
@="UltraEdit-32"
[HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{b5eedee0-c06e-11cf-8c56-444553540000}InProcServer32]
@="D:\\Program Files\\IDM Computer Solutions\\UltraEdit-32\\ue32ctmn.dll"
"ThreadingModel"="Apartment"
將D:\\Program Files\\IDM Computer Solutions\\UltraEdit-32\\ue32ctmn.dll替換成你UE安裝目錄下ue32ctmn.dll的位置，保存為.reg導入注冊表即可。
13、當3389連接時提示超過最大數，可以考慮使用控制臺模式登錄，遠程注銷管理員帳戶(存在一定的危險性)。在開始中運行mstsc /console，輸入密碼后確認對話框即可。
14、sablog頁面顯示不正常，被撐裂，或上部分顯示空白解決方法：修改style.css的2個地方
1.#right width: XXXpx;
2.#outmain width: YYYpx;
把XXX和YYY都加50(如果問題依舊則繼續(xù)增加直到合適為止使用記事本即可編輯，查找更改即可)
15、入侵后漏洞修補、痕跡清理，后門置放：
基礎漏洞必須修補，如SU提權，SA注入等。DBO注入可以考慮干掉xp_treelist,xp_regread自行記得web目錄；你一定要記得清理痕跡~sqlserver連接使用企業(yè)管理器連接較好，使用查詢分析器會留下記錄，位于HKEY_CURRENT_USER\Software\Microsoft\Microsoft SQL Server\80\Tools\Client\PrefServers。刪除之；IISlog的清除可不要使用AIO類的工具直接完全刪除日志~可以選擇logcleaner類工具只刪除指定IP的訪問記錄，如果你能gina到管理員密碼則通過登陸他清理日志并通過WYWZ進行最后的痕跡清理。話說回來手動清理會比較安全。最后留下一個無日志記錄的后門。一句話后門數個，標準后門,cfm后門我一般都不會少。要修改時間的哦~還有一招比較狠滴，如果這個機器只是臺普通的肉雞，放個TXT到管理員桌面吧~提醒他你入侵了，放置了某個后門，添加了某個用戶~(當然不是你真正滴重要后門~)要他清理掉。這樣你有很大的可能性得以保留你的真實后門~
16、卡巴斯基KEY過期解決
360安全衛(wèi)士提供把年卡巴6.0免費使用，所提供KEY位于注冊表的HKEY_LOCAL_MACHINE\SOFTWARE\360Safe中的key鍵值。到期后刪除key鍵值，重新啟動360安全衛(wèi)士即可再次獲得新注冊碼繼續(xù)使用。
17、比較方便的服務器掛馬
站點過多，手動掛馬累，批量效果又不大好?？梢試L試如下方法：啟動IIS管理，右鍵單擊網站（或你要掛馬的虛擬目錄）屬性——文檔——啟用文檔頁腳——指定掛馬網頁就OK了。他在WEB上查找也是找不到文件的（最好不要放到虛擬目錄下）
18.、3389端口檢測
3389端口是否開啟可在注冊表進行查詢，位于HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp中的PortNumber鍵值讀取得d3d則為3389端口(16進制轉換可得)注入可使用xp_regread讀取(DBO權限或存在該存儲過程的其他帳戶即可)或導出后使用type命令讀取命令如下 regedit /e port.reg "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp"
然后 type port.reg | find "PortNumber"
當然你也可以去掃描所有端口，窮舉之~
19、VC編譯較小文件方法
release版比debug小得多，為了使編譯出來的文件更小可進行如下操作alt+F7彈出project settings窗口，選擇LINK(連接)屬性頁，將Object/library modules(工程選項):下編輯框中l(wèi)ib全部刪除，輸入MSVCRT.LIB kernel32.lib user32.lib)
編譯即可。
20、sablog修改類問題
首頁設置可在templates/default/index.htm(default為模板名，我這里使用的是默認模板，修改其他模板進入相應模板名目錄)其他設置可進入對應文件進行修改，如footer對應底部設置。請在不侵犯作者版權的前提下進行修改。如果你想刪除作者的默認友情連接，可進入include/目錄，修改cache.php中的更新鏈接模塊，刪除如下代碼即可(不推薦，應該更厚道些有人問俺俺才說出來的，被說我不厚道~) $tatol = $DB->num_rows($DB->query("SELECT linkid FROM ".$db_prefix."links WHERE visible='1' AND (url LIKE '%4ngel.net%' OR url LIKE '%sablog.net%')"));
if (!$tatol) {
$contents.="\t'1018' => array(\n\t\t'name' => '".chr(83).chr(97).chr(98).chr(108).chr(111).chr(103).chr(45).chr(88)."',\n\t\t'url' => '".chr(104).chr(116).chr(116).chr(112).chr(58).chr(47).chr(47).chr(119).chr(119).chr(119).chr(46).chr(115).chr(97).chr(98).chr(108).chr(111).chr(103).chr(46).chr(110).chr(101).chr(116)."',\n\t\t'note' => '".chr(83).chr(97).chr(98).chr(108).chr(111).chr(103).chr(45).chr(88).chr(32).chr(83).chr(116).chr(117).chr(100).chr(105).chr(111).chr(115)."',\n\t\t),\n";
$contents.="\t'8717' => array(\n\t\t'name' => '".chr(97).chr(110).chr(103).chr(101).chr(108).chr(92).chr(39).chr(115).chr(32).chr(98).chr(108).chr(111).chr(103)."',\n\t\t'url' => '".chr(104).chr(116).chr(116).chr(112).chr(58).chr(47).chr(47).chr(119).chr(119).chr(119).chr(46).chr(52).chr(110).chr(103).chr(101).chr(108).chr(46).chr(110).chr(101).chr(116).chr(47).chr(98).chr(108).chr(111).chr(103).chr(47).chr(97).chr(110).chr(103).chr(101).chr(108)."',\n\t\t'note' => '".chr(97).chr(110).chr(103).chr(101).chr(108).chr(92).chr(39).chr(115).chr(32).chr(98).chr(108).chr(111).chr(103)."',\n\t\t),\n";
}
相關文章
簡單的說來，webshell就是一個asp或php木馬后門，黑客在入侵了一個網站后，常常在將這些 asp或php木馬后門文件放置在網站服務器的web目錄中，與正常的網頁文件混在一起。2008-06-06
MySQL注入中導出字段內容的研究通過注入導出WebShell
大家都知道，在MySQL中，無法像MSSQL那樣執(zhí)行script.asp?id=1;insert into table (field) values('angel');--來插入數據，因為MySQL里最多就是用union聯合查詢。2008-05-05
ART OF WEB-SQL-INJECTION第2卷 ORACLE篇
在國外對ORACLE的攻擊一直很收關注,只是國內研究的人不太多,或者技術不夠~這里我就打響第一炮吧2007-10-10
一個黑客所需的基本技能總結...2007-11-11
想用別人的 qq號碼，最主要的就是把別人的密碼偷來，那么怎么盜別人的qq密碼呢？不過，沒有人會告訴你：我的密碼是什么什么，請你盡情的用我的號碼吧！那么，黑客是怎么去把別人的密碼偷來呢2012-03-03
PHP 5.2.3 tidy擴展本地溢出漏洞利用代碼...2007-10-10
國內外黑客組織網址集錦...2007-06-06
NtGodMode.exe任意密碼登錄windows系統帳號下載
NTGod NT上帝模式,打開上帝模式可以用任意密碼登錄任意windows系統帳號,從而達到不增加帳號、不破壞被入侵主機系統的情況下,登錄系統帳號。2008-05-05
幾款雙功能免殺超強版asp小馬，對于需要查找后門的朋友可以參考下。2010-09-09
我寫這文章并不是教大家怎么跑去掛馬啊，掛馬是不對的！不過有的時候真的很想做些讓人覺得痛快的事情，因為我就碰到很多的管理員，你跟他說服務器有問題吧！他不信，你改些東西警告他吧，他比你還勤快，你一改他馬上覆蓋回去，讓人真的很郁悶。2008-04-04