刀，兵器譜上排名第六。
刀；
一把好刀，光亮如雪；
刃；
一抹利刃，吹發(fā)即斷；
黑客手中的掃描器如同刺客手中之刀，殺人、保命；攻擊、補(bǔ)漏。
如果一個黑客手中沒有一兩個掃描器，那么他算不上是一個黑客，至少他是一個手里沒有“刀”的黑客。沒有“刀”的黑客是難以生存的……】
“前輩，您為何如此看好掃描器？為什么黑客必須要有掃描器？”
“后生，你上次木馬害我不淺，你這次又像搞什么花樣？”
“上次小生只是跟前輩開了一個玩笑，還望前輩見諒。”
“罷了，我老人家還不止于和你如此一般見識。此次你又有什么不清楚的？”
“我不太清楚掃描器為何會像您所說的有如此大的威力，掃描器在黑客攻擊中能起到什么作用？”
“看來你現(xiàn)在也是一個手里沒有刀的黑客，掃描器在一個成熟的黑客手里有著相當(dāng)大的作用。因?yàn)檫M(jìn)化到會用掃描器一級的黑客，他們就會很少有人在對那些無知的個人用戶感興趣，注意力更多的被吸引到了服務(wù)器上。而對付服務(wù)器最好的方法就是找到服務(wù)器系統(tǒng)的漏洞，或者服務(wù)器相關(guān)軟件的漏洞。對于傳統(tǒng)的手工查找來說，不但查找漏洞的速度過于緩慢，而且多數(shù)情況下只能針對某一個特定的漏洞，感覺有點(diǎn)大海撈針的味道。而掃描器就是一種快速尋找服務(wù)器系統(tǒng)相關(guān)漏洞的工具，通過它們，黑客可以根據(jù)自己的帶寬和系統(tǒng)情況，以他們自己喜歡的速度和方式來快速的尋找系統(tǒng)漏洞，而且這多數(shù)掃描器可以同時掃描多種漏洞，很容易找到系統(tǒng)的漏洞和弱點(diǎn)，此時黑客就可以根據(jù)掃描器提供的漏洞報告和信息，采用合適的攻擊方法對目標(biāo)給以致命的一擊。”
“前輩，那我如何找到掃描器，平時我好像很少接觸到這些東西啊。”
“呵呵，你用過小榕的流光系列嗎？”
“這個當(dāng)然是接觸過了。”
“其實(shí)小榕的流光就是一款結(jié)合強(qiáng)大掃描功能的軟件，只不過他在流光中加入了一些攻擊和破解成份。”
“掃描器果然強(qiáng)大，我就曾用流光攻破過許多的黃色和反動網(wǎng)站，特別是他的FTP和新加入的SQLCMD功能，非常的強(qiáng)大。而且界面非常的友好，讓我這種菜鳥用戶很容易上手。”
“你說的不錯，但是雖然小榕的流光非常出色，并兼?zhèn)鋸?qiáng)大的破解和攻擊成份，但是總的來說它不能算的上是一個真正的掃描器。而且流光主要體現(xiàn)在破解，攻擊性很強(qiáng)，沒有太多的對目標(biāo)系統(tǒng)掃描后的分析報告，所以流光在我看來只能算是是一個涵蓋掃描功能的強(qiáng)大破解軟件。”
“那么在前輩的眼中，什么樣的軟件是一個強(qiáng)大的掃描軟件，什么樣的掃描器才能成為黑客手中的屠龍刀？”
“一個好的掃描器必須有簡潔和易于使用的操作界面，強(qiáng)大的分析和掃描信息范圍，對最新漏洞的掃描判斷能力（也就是通常所說的升級概念），詳細(xì)的分析結(jié)果報告和對漏洞的描述與對策。這樣的“刀”才能算的上是黑客手中的一把寶刀。”
“前輩能否給我點(diǎn)評一下如今最為流行的掃描器的特點(diǎn)和性能呢？”
“說道當(dāng)今網(wǎng)絡(luò)安全界流行的掃描器，其中最為優(yōu)秀的就要算是ISS公司出品的商業(yè)掃描器了。它能針對上千種的系統(tǒng)和軟件漏洞對服務(wù)器作出全面的細(xì)微掃描，而且能夠生成比較詳細(xì)的掃描報告，應(yīng)該說是先進(jìn)最好的掃描器了。”
“前輩這個掃描器我可以從什么地方下載？”
“無知！商業(yè)掃描器，當(dāng)然是不能免費(fèi)下載的了，你要花錢去買！”
“還需要花錢啊，哪有沒有不花錢的掃描器呢？”
“當(dāng)然有了，掃描器是黑客必備的工具之一，要是都花錢去買那不符合黑客的風(fēng)格。我們可以在網(wǎng)上找到很多免費(fèi)的而且同樣很優(yōu)秀的黑客掃描器。在國外比較常用的有Cerberus Internet Scanner簡稱CIS，還有烏克蘭SATAN。我們國內(nèi)的也有安全焦點(diǎn)的X-Scanner，與小榕的流光。”
“前輩說的這幾種掃描器我只用過流光，我個人認(rèn)為流光很出色，其他的掃描器也只有所耳聞，但不知道有什么特點(diǎn)，還請前輩賜教。”
“比起你用過的流光來說，ISS算得上是一個真正的管理員使用的系統(tǒng)掃描工具，首先它能掃描一些眾所周知的系統(tǒng)漏洞和系統(tǒng)弱點(diǎn)，包括一些往往被用戶忽略的問題，這些問題是一些經(jīng)常被黑客利用的漏洞和弱點(diǎn)。ISS有更為強(qiáng)大的漏洞分析功能，并且它不會允許非法訪問，但是實(shí)際情況是ISS已經(jīng)背離了它的初衷目的。”
“任何好的事物都有不利的一面，更何況一把刀，而且是把寶刀。”
“這話不錯，ISS的確是安全界最為出色的掃描器，而且他還是第一個可以公開得到的多層次掃描器。特別是它的可移植性和靈活性，眾多的UNIX的平臺上都可以運(yùn)行ISS，ISS的掃描時間和效率也是很快的，很適合于企業(yè)級的用戶。”
“前輩，我插一句話，雖然ISS足夠強(qiáng)大，但是它畢竟不是免費(fèi)的午餐，這就不符合我們的黑客精神了。您那里有沒有一些強(qiáng)大而且免費(fèi)的掃描器？”
“掃描器龐大的家族中怎么會沒有免費(fèi)的，你聽說過NMAP嗎？”
“NMAP倒是有所耳聞，以前在許多安全網(wǎng)站上見到過這個名字，但是我不知道它是干什么用的一個東西。”
“NMAP其實(shí)就是一個功能強(qiáng)大的掃描器。它的強(qiáng)大之處在于它支持UDP，TCP (connect)，TCP SYN(half open)，ftp proxy(bounce attack)，Reverse-ident，ICMP(ping sweep)，F(xiàn)IN，ACK sweep，Xmas Tree，SYN sweep，Null等多種掃描協(xié)議和掃描方式。但是總的來說它的最大的優(yōu)點(diǎn)莫過于隱蔽性高，這是由于它采用的是“半開”的一種掃描方式，此外它提供的Stealth FIN，Xmas Tree與Null掃描模式更是讓被掃描者難以發(fā)現(xiàn)。也正是因?yàn)檫@一點(diǎn)的原因，NMAP深受一些骨灰級黑客的喜愛。像一般黑客喜歡的秘密掃描、動態(tài)延遲、重發(fā)與平行掃描、欺騙掃描、端口過濾探測、RPC直接掃描、分布掃描等，NMAP均可以實(shí)現(xiàn)，可以說NMAP是一個靈活性很大的掃描器。通過強(qiáng)大系統(tǒng)的掃描，它還可以分析出服務(wù)器的端口處于Open狀態(tài)還是被防火墻保護(hù)狀態(tài)?？傊膹?qiáng)大是不言而喻的，如果你有一臺聯(lián)網(wǎng)的Linux或者UNIX計算機(jī)，那么你就可以去
http://www.insecure.org/nmap/ 下載得到它。我知道遠(yuǎn)程控制是種武器，在十八般兵器中名列第七，木馬呢?”
“木馬也是種武器，也是遠(yuǎn)程控制。”
“既然是遠(yuǎn)程控制，為什么要叫做木馬？”
“因?yàn)檫@個遠(yuǎn)程控制，無論控制了什么都會造成離別。如果它鉤住你的E-Mail，你的E-Mail就要和你離別；如果它鉤住你的QQ，你的QQ就要和你離別。”
“如果它鉤住我的機(jī)器，我就和整個網(wǎng)絡(luò)離別了?”
“是的。”
“你為什么要用如此殘酷的武器?”
“因?yàn)槲也辉副蝗藦?qiáng)迫與我所愛的人離別。”
“我明白你的意思了。”
“你真的明白?”
“你用木馬，只不過為了要相聚。”
“是的。”
一
在眾多的黑客武器中特洛伊木馬（Trojan horse）這種攻擊性武器無論是菜鳥級的黑客愛好，還時研究網(wǎng)絡(luò)安全的高手，都視為最愛。雖然有的時候高手將木馬視為卑鄙的手段。但是作為最為有效的攻擊工具，木馬的威力要比其他的黑客工具大得多。
“木馬既然如此有效，為何在Hacker兵器譜中排名靠后？”
“因?yàn)槭褂媚抉R往往不是很光明正大。”
“哦？為何？”
“在使用木馬的人群中菜鳥黑客居多，他們往往接觸網(wǎng)絡(luò)不久，對黑客技術(shù)很感興趣，很想向眾人和朋友顯示一番，但是去駕馭技術(shù)不高，不能采取別的方法攻擊。于是木馬這種半自動的傻瓜式且非常有效的攻擊軟件成為了他們的最愛。而且隨著國產(chǎn)化的木馬不斷的出現(xiàn)，多數(shù)黑客的入門攻擊幾乎無一例外都是使用木馬。當(dāng)然對于那些黑客老手來說他們也并不是不使用木馬了，他們通常會在得到一個服務(wù)器權(quán)限的時候植入自己編寫的木馬，以便將來隨時方便進(jìn)出這臺服務(wù)器。”
“但如此一來木馬的名聲不就隨之降低了嗎？”
“是的，所以現(xiàn)在的黑客高手都恥于用木馬，更恥于黑個人的計算機(jī)。”
“不過木馬在很多人的眼中仍然是一等一的絕好兵器。”
在眾多的木馬之中Cult of Dead Cow開發(fā)的Back Orific2000應(yīng)該算是名氣比較大的一個。這款軟件是在Back Orific2.1的基礎(chǔ)之上開發(fā)的，但是他最大的改動就是增加了對Windows NT服務(wù)器系列的支持。作為微軟的高端產(chǎn)品，BO2000的這個功能無疑對Windows NT來說是致命的，就Windows NT本身而言，由于硬盤采取了NTSF的加密，普通的木馬，包括冰河也無法控制，當(dāng)然要想要讓多數(shù)木馬無法對Windows NT發(fā)揮作用最好將Windows NT轉(zhuǎn)化為NTSF的格式下才會比較好用一些。
而正因?yàn)槿绱薆O2000才深得黑客高手的喜愛，因?yàn)樗麄兏信d趣的也只有服務(wù)器，也只有Web Server才能夠提起他們的胃口，那是一種來自深層感官的刺激。
通常情況下木馬大致可分為兩個部分：服務(wù)器端程序和客戶端程序。服務(wù)器端通常就是被控制端，也是我們傳統(tǒng)概念上的木馬了。
二
“你說BO2000好，但是絕大多數(shù)的殺毒招數(shù)都能夠溝將其制服，而且我感覺他在使用上不如我手里的冰河銳利，況且我也不想黑什么服務(wù)器。我認(rèn)為，個人電腦中隱藏有更大的寶藏，而且個人電腦脆弱的我能夠利用任何一種方法摧毀它。
“你說的很對，冰河確實(shí)銳利，而且稱霸中華江湖一年之久，也可謂武林中少見的好兵刃，但是兵器雖然鋒利，但兵器在打造的時候卻留下來一個致命的缺點(diǎn)，這也是木馬冰河為何在武林衰敗的原因。”
“這是一個什么樣的弱點(diǎn)那？竟然如此致命？”
“呵呵，說白了也很簡單，冰河的作者在打造冰河2.X版本時就給它留下了一個后門，這個后門其實(shí)就是一個萬能密碼，只要擁有此密碼，即便你中的冰河加了密碼保護(hù)，到時候仍然行同虛設(shè)。”
“什么！真有此事？想我許多朋友還因?yàn)楸雍糜冒阉?dāng)作了一個免費(fèi)的遠(yuǎn)程控制程序來用，如此這般，他們的機(jī)子豈不暴露無遺？”
“呵呵，在黑客中瞞天過海、借花獻(xiàn)佛這些陰險的招數(shù)都不算什么，多數(shù)木馬軟件的作者為了擴(kuò)大自己的勢力范圍和爭取主動權(quán)都會留一手，致命的一招。冰河的作者當(dāng)然也不例外，而且由于作者鐘愛許美靜，所以每一個冰河中都包含許美靜的歌詞。當(dāng)然作者為自己以后行事方便也留了幾個萬能密碼。”
“噢？萬能密碼？”
“通常黑客在植入冰河這種木馬的時候，為了維護(hù)自己的領(lǐng)地通常的要為自己的獵物加一個密碼，只有輸入正確的密碼你才能夠正常的控制對方的計算機(jī)，但是冰河的打造者為了方便自己的使用在冰河中加入了一個萬能的密碼，就像萬能鑰匙一樣。冰河各版本的通用密碼：
2.2版：Can you speak Chinese?
2.2版：05181977
3.0版：yzkzero!
4.0版：05181977
3.0版：yzkzero.51.net
3.0版：yzkzero!
3.1-netbug版密碼: 123456!@
2.2殺手專版：05181977
2.2殺手專版：dzq20000!
你可以試試看，是不是很輕松的就能夠進(jìn)入任何一臺有冰河服務(wù)器端的電腦？”
“真的進(jìn)入了，果然有此事情，怪不得現(xiàn)在很多人都不再使用冰河。”
“此外冰河還存在著兩個嚴(yán)重的漏洞：
漏洞一：不需要密碼遠(yuǎn)程運(yùn)行本地文件漏洞。
具體的操作方法如下：我們選擇使用相應(yīng)的冰河客戶端，2.2版以上服務(wù)端用2.2版客戶端，1.2版服務(wù)端需要使用1.2版客戶端控制。打開客戶端程序G_Client，進(jìn)入文件管理器，展開“我的電腦”選中任一個本地文件按右鍵彈出選擇菜單，選擇“遠(yuǎn)程打開”這時會報告口令錯誤，但是文件一樣能上傳并運(yùn)行。
任何人都可以利用這個漏洞上傳一個冰河服務(wù)端就可以輕松獲得機(jī)器的生死權(quán)限了，如果你高興的話，還可以上傳病毒和其它的木馬。
漏洞二：不需要密碼就能用發(fā)送信息命令發(fā)送信息，不是用冰河信使，而是用控制類命令的發(fā)發(fā)送信息命令。”
“當(dāng)然這的確是一個原因，但更主要的是現(xiàn)在的多數(shù)殺毒軟件都能克制冰河。”
三
木馬通常會在三個地方做手腳：注冊表、win.ini、system.ini。這三個文件都是電腦啟動的時候需要加載到系統(tǒng)的重要文件，絕大部分木馬使用這三種方式進(jìn)行隨機(jī)啟動。當(dāng)然也有利用捆綁軟件方式啟動的木馬，木馬phAse 1.0版本和NetBus 1.53版本就可以以捆綁方式裝到目標(biāo)電腦上，可以捆綁到啟動程序上，也可以捆綁到一般程序的常用程序上。如果木馬捆綁到一般的程序上，啟動是不確定的，這要看目標(biāo)電腦主人了，如果他不運(yùn)行，木馬就不會進(jìn)入內(nèi)存。捆綁方式是一種手動的安裝方式，一般捆綁的是非自動方式啟動的木馬。非捆綁方式的木馬因?yàn)闀谧员淼任恢昧粝潞圹E，所以，很容易被發(fā)現(xiàn)，而捆綁木馬可以由黑客自己確定捆綁方式、捆綁位置、捆綁程序等，位置的多變使木馬有很強(qiáng)的隱蔽性。
“在眾多木馬中，大多數(shù)都會將自己隱藏在Windows系統(tǒng)下面，通常為C:\Windows\目錄或者C:\Windows\system\與C:\Windows\system32下隱藏。”
“眾多的目錄中為何選擇這兩個目錄？”
“呵呵，當(dāng)然是為了便于隱蔽。通常這幾個目錄為計算機(jī)的系統(tǒng)目錄，其中的文件數(shù)量多而繁雜，很不容易辨別哪些是良性程序哪些是惡性程序，即便高手往往也會有失誤刪除的情況。而且，即便放置在系統(tǒng)目錄下，就多數(shù)為重要的文件，這些文件的誤刪除往往會直接導(dǎo)致系統(tǒng)嚴(yán)重的癱瘓。”
“原來如此。”
“前輩，木馬冰河是否也做了這些手腳？”
“這是自然，木馬一旦被植入目標(biāo)計算機(jī)中要做的最重要的事就是如何在每次用戶啟動時自動裝載服務(wù)端。冰河也是如此了。首先，冰河會在你的注冊表中的HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run和RUNSERVICE 鍵值中加上了\kernl32.exe(是系統(tǒng)目錄)，
§c:\改動前的RUN下
默認(rèn)=""
§c:\改動后的RUN下
默認(rèn)="C:\\WINDOWS\\SYSTEM\\Kernel32.exe"
§c:\改動前RunServices下
默認(rèn)=""
§c:\改動后RunServices下
默認(rèn)="C:\\WINDOWS\\SYSTEM\\Kernel32.exe"
§c:\改動前[ HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command]的：
默認(rèn)="Notepad.exe %1"
§c:\改動后[ HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command]的：
默認(rèn)="C:\\WINDOWS\\SYSTEM\\Sysexplr.exe %1"
可以看出之所以冰河可以自我恢復(fù)主要靠的是C:\\WINDOWS\\SYSTEM\\Sysexplr.exe，而且冰河服務(wù)器端的編制是加密的，沒法簡單的通過改注冊表得到或換掉。另外值得一提的是，即便你刪除了這個鍵值，也并非平安大吉，冰河還會隨時出來給你搗亂，主要因?yàn)楸拥姆?wù)端也會在c:\windows目錄下生成一個叫 sysexplr.exe文件，當(dāng)然這個目錄會隨你windows的安裝目錄變化而變化。
“這個文件名好像超級解霸啊，冰河竟然如此狠毒。”
“哈哈哈哈，你說的很對，也很聰明，這個文件的確很像超級解霸，但是這還是不夠稱得上為陰險，最為陰險的是這個文件是與文本文件相關(guān)聯(lián)的，只要你打開文本，sysexplr.exe程序就會重新生成一個krnel32.exe，此時你的電腦還是被冰河控制著。而且如果你失誤將sysexplr.exe程序破壞，你計算機(jī)的文本文件將無法打開。”
木馬都會很注意自己的端口，多達(dá)六萬多中的端口很容易讓我們迷失其中，如果你留意的話就會發(fā)現(xiàn)，通常情況下木馬端口一般都在1000以上，并朝著越來越大的趨勢發(fā)展。這主要是因?yàn)?000以下的端口是常用端口，況且用時占用這些端口可能會造成系統(tǒng)不正常，木馬也就會很容易暴露；此外使用大的端口也會讓你比較難發(fā)現(xiàn)隱藏其中的木馬，如果使用遠(yuǎn)程掃描端口的方式查找木馬，端口數(shù)越大，需要掃描的時間也就越多，故而使用諸如8765的端口會讓你很難發(fā)現(xiàn)隱藏在其中的木馬。
四
“既然木馬如此的陰險，那么前輩有何可知木馬的方法?。?#8221;
“現(xiàn)在的木馬雖然陰險，但終究逃不過幾個道理。平時出名的木馬，殺毒軟件就多數(shù)能夠?qū)Ω丁５乾F(xiàn)在木馬種類繁多，有很多殺毒軟件對付不了的。但是，只要我們謹(jǐn)記一下幾個方法，就能夠手到擒來。”
“首先，我們可以選擇端口掃描來進(jìn)行判斷，因?yàn)槟抉R在被植入計算機(jī)后會打開計算機(jī)的端口，我們可以根據(jù)端口列表對計算機(jī)的端口進(jìn)行分析。此外，查看連接也是一種好辦法，而且在本地機(jī)上通過netstat -a（或某個第三方的程序）查看所有的TCP/UDP連接，查看連接要比端口掃描快，而且可以直觀地發(fā)現(xiàn)與我們計算機(jī)連接的有哪些IP地址。當(dāng)然，如果你對系統(tǒng)很熟悉的話，也可以通過檢查注冊表來進(jìn)行木馬的殺除，但是這個方法不適合于那些菜鳥級用戶。查找木馬特征文件也是一種好方法，就拿冰河來說……”
“這個我知道前輩，木馬冰河的特征文件一定是G_Server.exe。”
“那有這么簡單。冰河植入計算機(jī)后真正的特征文件是kernl32.exe和sysexlpr.exe。”
“太狠毒了，一個跟系統(tǒng)內(nèi)核文件一樣，一個又像超級解霸。那么前輩我們把這兩個文件刪除掉，這冰河豈不就消失了。”
“的確，你要是在DOS模式下刪除了他們，冰河就被破壞掉了，但是你的計算機(jī)隨之會無法打開文本文件，因?yàn)槟銊h除的sysexplr.exe文件是和文本文件關(guān)聯(lián)的，你還必須把文本文件跟notepad關(guān)聯(lián)上。修改注冊表太危險，你可以在Windows資源管理器中選擇查看菜單的文件夾選項(xiàng)，再選擇文件類型進(jìn)行編輯。不過最簡單的方法是按住鍵盤上的SHIFT鍵的同時鼠標(biāo)右擊任何一個TXT為后綴的文本文件，再選擇打開方式，選中〖始終用該程序打開〗，然后找到notepad一項(xiàng)，選擇打開就可以了。”
“哈哈，按照前輩這么說來，我們只要抓住了這特征，天下的木馬也奈何不了我們了。”
