[转帖]我的黑色工具箱——几款黑客工具的使用方法3

<P><b><FONT color=#992e6b>我的黑色工具箱——几款黑客工具的使用方法3</FONT></b></P>
<P>Back Orifice 简介

　　黑客一旦找出调制解调器并破译口令成功后， 他会做什么? 通常，他会在系

统内安装后门程序以便他稍后再来。Back Orifice（或称BO） 是功能强大的后门

6 r6 J1 F- n) `: _1 ]制造工具, 它能轻而易举的使庞大的网络系统陷入瘫痪之中。

　　Back Orifice由黑客Cult of the Dead Cow （cDc）于1998年8月推出。BO包

7 T- u6 L2 n* l& V- A括服务器部分和客户部分。服务器部分安装在受侵者的Window 95机器上，而客户
* ?2 Z+ `; R& n6 O
4 W; m3 o, A' Y; o8 h部分在黑客系统中运行。安装BO主要目的是：黑客通过网络远程入侵并控制受攻
7 D, p; a3 j0 K" u
4 N8 n: i/ T" q2 c( g+ p( z击的Win95系统，从而使受侵机器“言听计从”。
3 c, G2 I1 }- e
$ K5 `7 p9 h  n$ }　　BO以多功能、代码简洁而著称。BO服务器只有121KB，安装迅速。BO客户软件
& y2 b2 z# w9 E7 G: N9 E, W. x
4 X& A( U+ C. X1 X+ [3 X& Y% B用UDP包与服务器沟通，可配置到系统任何端口上，缺省是UDP 31337（黑客术语
6 u7 L. ?( h9 h' I$ q- H, B
是“Elite”）。
  y& c6 m  s: z4 n$ P+ @
8 F# C. T: ^( n7 T2 U: N　　BO具有许多特点：

　　.黑客完全控制文件系统，可以移 动、编辑、删除及复制受侵机器的程序。

, J' g  L( d$ f2 x2 q$ @　　.可以捕获用户任何的键盘敲击。这点使BO产生强大的杀伤力。因为当受害者
; r+ L( i; U* T& Y; \4 \
键入的是口令或公钥密码时，BO也将它们如实地存在文件中，以便攻击者日后取

# p9 D$ O$ @! d" X用。
* h4 n9 [; l2 |& `. }& n
　　.黑客可以在受侵机器上运行任何进程，并使这些进程可在任何端口上聆听。
/ P$ h& H, h  a4 o
　　.BO试图隐藏自己，不在任务列上出现。

3 r/ R. f+ R  [6 f8 H2 ^7 G3 z　　.BO服务器自带Web服务器，这样黑客可以用Browser访问受害机器。

　　.其他黑客利用所谓的BO统一工具传输插件（即“BUTT plugs”），把BO功能
9 C* }1 P) e7 Q' x5 W% ~
& w1 @" x2 Q6 R进行扩充。已经推出的插件宣称可以经E-mail或IRC激活BO，这样，当工具在网络
3 F/ U, o! ?# p# [( p4 }8 L
# @8 r1 D5 n( }* v3 Q扩散时，就可以找到最新的目标。
. B8 V9 n- E9 I: I2 \
　　.一个有效的BO嗅探器插件已被编写完成。

3 e  |# S/ ?8 i, C! @( C　　BO很容易安装。只要安装一个必须的简单程序，就能很容易并快速地安装所

0 g* l8 U, _, u- I+ Q7 Q" s有BO组件。BO以多种形式传播，有时受侵者可能在毫不知情的情况下（经e-mail
7 G6 Q& I& R6 d3 W  J
附件或Web站点传播)就被强迫执行安装程序了。

　　wrappers是和BO相关的工具之一，它可以把BO与无害的程序合并。例如：它

, ?/ D6 F& }# l4 a把BO与一些不重要的软件（如文字处理器或是网络上流行的简单游戏）结合，然
4 t* c) c/ }+ H; ?5 n) N
后，黑客将BO附在game.exe上，并把结果文件用email方式发给用户，假装通知用

+ n# t5 L1 I6 [( V6 ~+ E户，软件该升级了。当用户执行升级程序时，此工具首先安装BO，之后运行被结

/ U% T8 u& x# C9 X: V! p  T  a合的应用程序。用户只看到游戏在运行，却根本不知道他们已成为BO的受害者。

! \) r: k5 X/ _: t最后，此工具可以由Web的不签名Java applets或activeX controls安装。

　　防范


　　虽然Bo试图隐藏自己（不出现在任务列上），但它仍然很容易被人发现。当
6 s3 ]1 ?: l! [9 ^: X! \1 M) X* \
2 c8 `4 ^6 G0 g5 S2 a) l: p" y进行人工检测BO时，只要在c:\windows\system 目录里找到122KB .exe文件，并
7 K, E# c! x$ v& E; B
+ C- {- H7 \$ s* F' e与在windows Registry
1 K8 f: i0 k! T! L
里的HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\Default

钥匙里的钥匙名比较即可。若二者是一致的，则证明系统中存在BO。（值得注意

( h% W# m, P; B& _$ L4 r的是：文件名及钥匙名是由攻击者配置的，但缺省是：“.exe”）。最后，如系

# ~/ \: V7 K  l& j% Q0 i0 v5 b  b* s统中有BO存在，则可在c:\windows\system 目录内找到一个叫作“windll.dll”

的文件。
: R7 ~* J7 z3 \; m
　　尽管人工分析对少量机器有用，但进行大范围扫描则需要反病毒产品。有几

" c  A( B) m7 A+ K0 l家反病毒厂家已把检测BO功能融入其产品的最新的版本中。直至截稿，BO只针对w
, d  j# i( Y( R  w# Q' {, X, q
indow95进行破坏。但是，BO客户部分也可以在Windows及 UNIX下进行破坏工作。

不要因为你用NT系统就可以高枕无忧。请注意，Carl-Fredrik
* N0 Q* E& K. _, n  _, e$ \+ V
0 _' z' R, u+ w0 eNeikter所编写的Net Bus便是针对NT服务器进行破坏的，且功能与BO相同。Net
* c. k3 [( a9 Y* s9 @4 T
( c5 T5 q  P9 _2 I8 H! XBus 2.0在1999年1月已推出。
5 d  ]/ a8 u' f" }- p9 a- P% a
　　其他攻击工具
; ~" Y% T7 ]1 E0 V/ A+ l
　　ROOT EXPLOITS

; I- R9 E0 b3 ^　　攻击者利用ROOT EXPLOITS，使用普通UNIX帐号访问超级用户从而接管机器。
  U- g8 j$ }: Z: X) ?# G- Z& S
攻击者在UNIX系统里有无数方法把自己升级。

　　ROOT EXPLOITS的防范

; [) p* E* F" b) \+ y1 b  \. w; m　　安全从业人员及系统管理员应参照Carnegie Mellon
; K8 |4 ~/ _  [+ I7 e8 p
$ i- l2 [: m: ~: J: s的CERT（cert.org）及bugtrag (subscribe:list serve@net space.org)的安全
2 B/ z. A8 F! Z$ e5 \$ ]" f' r
简讯，密切注意新的exploits。当新的攻击被击破后，应迅速并且有步骤地为受
9 G" u- K, c  D& P; r/ Z: `/ y
影响的机器进行测试和安装厂家的补丁程序。对于对外公开使用的Web服务器、DN
, W2 ^% I- |5 Y+ X9 F5 |/ m
S系统、防火墙等，应该使用基于主机的安全监控软件检测寻找根目录的用户。

　　拒绝服务（Denial-of -service DoS）攻击
! \$ H; N9 {8 P# a/ t
. b1 l% w; ?" ]/ K8 F% E( V1 a　　这类攻击会使系统混乱或变慢，直至不能再使用。在过去的两年中，这类攻
3 b4 [" x7 v$ c/ b
击方法被黑客大量使用，而且攻击目标是操作系统、路由器、甚至是激光打印机
/ n$ i/ P9 ~$ x9 l2 Z0 c* }. C* l7 F( u
( u" t; D0 r- o! ?% `/ X，且攻击者使用的软件五花八门，如Ping O Death, Land, Smurf, Bonk, Boink
/ B$ U% N6 r8 B1 e0 R" G3 g8 t
  J2 e7 g7 o" H1 i# d及Latierra。这些攻击看起来不是那么凶猛，但公司却往往因此而导致系统瘫痪
. [4 J4 m( C" A/ `4 L
、员工闲置及交易流产，公司最终会付出昂贵代价。

　　Denial-of -service的防范
7 V1 l" {0 g, q8 [! Y
　　同样，密切注意最新攻击事件及频频安装系统补丁仍然是防范DoS攻击的最佳
5 P/ e' l. p4 W
+ d% _7 @8 o+ g4 `% r7 N方法。当然，你也可以尝试在外部路由器放置反欺骗过滤器或设置好内部网络路

由器以抵御DoS的攻击。
6 F& @; ^4 N, P+ `0 u( m2 O" U
　　Remote Explorer

+ M( ~/ m5 L5 n4 H7 g) \1 l) @　　Remote Explorer是一个有很强杀伤力的NT病毒。它在NT系统中将自己伪装成

一种服务。当管理员登录时，此病毒会使自己自动扩散到该域内所有NT机器上。
/ E3 Q4 _2 A3 j: T
在受影响的系统里，Remote Explorer会随机加密文件，而拒绝合法的访问。

　　Remote Explorer的防范
. L' a: j8 G8 g. w
2 S+ x; \8 i1 P　　严密的反病毒措施及有效的病毒防范工具可以防止Remote Explorer的攻击。
" Z( F  f/ M; U
3 v9 p) h) D1 E$ s" M& E5 s　　注：本文介绍以上工具的目的是为了让大家了解这些工具对我们的影响，了
* l6 \# E. Q( D. X; X( ]
解这些工具是为了更好的保护自己网络的安全，任何人不得利用上面的工具做违
1 p& C; J- s& f! Y2 U' z
法的事情。</P>

你是做黑客的吗？