20CN网络安全小组论坛 - 菜鸟乐园 - 我看了觉得很牛B，你觉得呢？？

论坛: 菜鸟乐园标题: 我看了觉得很牛B，你觉得呢？？

作者: drckness [drckness]

论坛用户

我看了觉得很牛B，你觉得呢？？

用cmd躲避肉鸡杀毒软件的追杀
--------------------------------------------------------------------------------
编辑:地狱精灵来源:校园网络类别:自由黑客日期:2003.10.20 09:14:28 今日/总浏览: 3/261
　　因为我在学校上的是教育网。要扫国外的主机需要靠跳板。
但很多软件都已经被列为病毒!
比如：opentelnet，ca等，放到肉鸡上很可能就被杀掉....不爽
连SkSockServer都被列为病毒...郁闷啊！！

经过几次尝试，我想到了一种简单的躲过杀毒软件的方法。那就是更改可执行程序的扩展名。

比如我们可以把SkSockServer.exe更改为sk.jpg

这样的话，杀毒软件就查不出来了。

在直接双击执行更改过扩展名的程序时候，系统便会询问用什么方式打开，也就是说windows也认不出来。

但是我们在cmd命令行中却可以执行。是不是很神奇？？？而且和没改扩展名的时候效果是一样的。

不同的是，当我们要执行更改了扩展名的程序时候需要打全名(把扩展名也打上)。

下面是我在本机上安装sksockserver(sk.jpg)：

首先：
我们利用没改扩展名的程序：
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

E:\>SkSockServer -install
拒绝访问。

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
这时就弹出瑞星的病毒提示，说发现病毒！

下面我们看看改过扩展名的。

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
E:\>sk.jpg -install
Snake SockProxy Service installed.

E:\>sk.jpg -config port 1800
The Port value have set to 1800

E:\>sk.jpg -config starttype 2
The New StartType have set to 2 -- Auto

E:\>net start skserver
Snake SockProxy Service 服务正在启动 .
Snake SockProxy Service 服务已经启动成功。
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
ok！成功！

现在我们不怕杀毒软件了！而其他的在命令行执行的程序也可以用这种方法。

我就不一一叙述了。

原理：

其实原理很简单，我们利用了cmd判断文件类型的方法：

在CMD中，系统首先判断文件的类型是否是执行文件，

判断方法不是文件扩展名，而是文件头的PE段。

如是执行文件，则执行它。

如不是，再根据相应的关联启动相应程序。

如没有输入扩展名，则系统将默认扩展名为BAT，EXE,COM

依次判断。

也就是说，程序更改了扩展名后，只有cmd.exe能“认”出它来，

因为cmd不是根据扩展名来判断文件类型的。

而windows是靠扩展名来判断文件类型的.

这样，我们就可以骗过windows和杀毒软件

编辑: 地狱精灵
来源: 校园网络

地主发表时间: 11/05 15:06

论坛: 菜鸟乐园