鬼仔's Blog

作者：陆羽

挺多朋友喜欢我的shfit后门。现在也发现出现很多模仿我的思路的shift后门。但是文件都很大。
避免大家使用有后门的文件
特此提供源代码。
让大家方便自己修改编译。和学习
如果有谁做出改进。欢迎上传共享

本文件VC6.0下编译通过。不需要任何特殊环境

下载地址：ShiftDoor_V1.2_VC6.rar

作者：lcx

ScriptCodingInfo.wsc代码如下，该文件可以改成任意后缀：

<?xml version="1.0" encoding="gb2312" standalone="yes"?>

<?component error="true" debug="true"?>

<package>

<component id="haiyangtop">
 阅读全文 »

Author: wzt
EMail: [email protected]
Site: http://www.xsec.org & hhtp://hi.baidu.com/wzt85
Date: 2008-8-29

一. 内核后门简介
二. 内核中系统调用
三. 使用kernel mode socket函数
四. 如何扩展后门
五. 参考资料
六. 相关源代码
阅读全文 »

鬼仔注：刚找xiaoyu要了文中所说的test文件，另外xiaoyu也发了我一个视频，一块放上来，下载地址：test、fstab后门视频.rar。test备份地址。

作者：xi4oyu

方法一：setuid的方法，其实8是很隐蔽。看看过程:

[root@localdomain lib]# ls -l |grep ld-linux
lrwxrwxrwx 1 root root       9 2008-06-07 17:32 ld-linux.so.2 -> ld-2.7.so
lrwxrwxrwx 1 root root      13 2008-06-07 17:47 ld-lsb.so.3 -> ld-linux.so.2
[root@localdomain lib]# chmod +s ld-linux.so.2
[root@localdomain lib]# ls -l |grep ld-2.7.so
-rwsr-sr-x 1 root root 128952 2007-10-18 04:49 ld-2.7.so
lrwxrwxrwx 1 root root       9 2008-06-07 17:32 ld-linux.so.2 -> ld-2.7.so
[root@localdomain lib]#
我们这里给/lib/ld-linux.so.2这个文件（在FC8里，它指向ld-2.7.so这个文件）加了setuid属性。然后我们看怎么利用它。
阅读全文 »

来源：菠萝的菠萝格

Welcome!各位ScriptKid，欢迎来到脚本世界。

今天给大家带来这个连载的最后一篇。

通过前面的几篇连载，有一定脚本编写功底和WMI技术知识的同学经过一定的修改，其实已经可以实现我们的这个无进程，无文件驻留，无端口的后门以及 前面所说的下载者，U盘识别和感染等等功能。当然了，如果想真正实现对后门的控制，你还要有一个WEB SERVER以及一个管理端。如下图：
阅读全文 »

来源：菠萝的菠萝格

Welcome!各位ScriptKid，欢迎来到脚本世界。

终于到周末。可以多陪陪家人，玩玩游戏，研究研究自己感兴趣的东西了。

今天继续的是两个很简单的功能，下载指定文件到目标机器与获取目标机器任意文件。

直接来看示例代码。
阅读全文 »

来源：菠萝的菠萝格

Welcome!各位ScriptKid，欢迎来到脚本世界。

一个好的后门，肯定要有一个比较好的传播方式。比如读取本地联系人列表发送邮件，U盘感染，QQ,MSN传播等等。利用WMI提供的强大windows管理接口来实现多样的传播方式非常简单。这里我只介绍一下U盘方式。

Win32_LogicalDisk类提供了很好的识别各类驱动器的接口。我们可以很轻易的识别出我们可以感染的移动设备。来看代码：
阅读全文 »

来源：菠萝的菠萝格

Welcome!各位ScriptKid，欢迎来到脚本世界。

今天忙了一天，比较累。不废话那么多了，切入正题。

这个“三无”后门的核心就是WMI中的永久事件消费者ActiveScriptEventConsumer（以下简称ASEC）。WMI中有许多这 类的事件消费者，简单的来说，当与其绑定的事件到达时，消费者就会被触发执行预先定义好的功能。例如可以用来执行二进制程序的 CommandLineEventConsumer等等

ASEC是WMI中的一个标准永久事件消费者。它的作用是当与其绑定的一个事件到达时，可以执行一段预先设定好的JS/VBS脚本。
阅读全文 »