发信人: lonelywolf()
整理人: williamlong(2000-03-22 19:28:25), 站内信件
|
Bo 2000 详细介绍
BO是一个可以搜集信息，执行系统命令，重设置机器，重定向网络的客户端
/服务器应用程序。只要远程机器执行了BO SERVER程序，用户就可以连接这部机
器，执行上述的动作。虽然BO可以当作一个简单的监视工具，但它主要的目的还
是控制远程机器和搜集资料。BO匿名登陆和可能恶意控制远程机器的特点，使它
成为在网络环境里一个极其危险的工具。BO的命令会在这篇警报后面列出。
安装：
安装包括两部分：客户端和服务端。在服务端安装BO非常简单。只要执行BO
的服 务端程序，就装好了。这个可执行文件名字最初叫做bo2k.exe(译者多嘴：
聪明的看见就赶快删掉它！)，但可能会被改名。 这个可执行文件的名字是在BO
客户端安装时，或在BO2K设置向导里指定的。向导会指导用户进行几个设置, 括
服务端文件名（可执行文件）, 网络协议（TCP或UDP），端口，加密，密码。这
个过程完成后，运行bo2kgui.exe（BO图形用户界面）。设置向导允许服务端执行
快速安装，使用默认设置，以便立即使用BO控制远程机器。但是，可以用设置工
具手动设置很多选项。这些选项主要是防止BO被发现用的。
设置向导有以下几个步骤：
1.服务端文件名
2.网络协议（TCP或UDP）
3.端口
4.加密(XOR或3DES)
5.密码/加密钥匙
向导执行完后，会列出服务器的设置工具，有BO的运行状况，控制BO，客户端/服
务器的通讯协议，和程序的隐藏。
命令介绍
File Transfer
选项: File Xfer Net Type
描述: 列出/更改网络传输协议
选项: File Xfer Bind Str
描述: 文件传输的绑定，默认是RANDOM（随机）
选项: File Xfer Encryption
描述: 列出/更改加密方法
选项: File Xfer Auth
描述: 文件传输证明，默认是NULLAUTH（没有证明）
TCPIO
选项: Default Por
描述: 列出/更改TCP传输使用的端口
UDPIO
选项: Default Port
描述: 列出/更改UDP传输使用的端口
Built-In
选项: Load XOR Encryption
描述: 使用/禁止XOR加密，比3DES差劲
选项: Load NULLAUTH Authentication
描述: 使用/禁止文件证明
选项: Load UDPIO Module
描述: 使用/禁止UDP传输协议
选项: Load TCPIO Module
描述: 使用/禁止传输协议
XOR
选项: XOR Key
描述: 列出/更改XOR加密方式的密码
Startup
选项: Init Cmd Net Type
描述: 列出/更改启动时的网络协议
选项: Init Cmd Encryption
描述: 启动时列出当前的加密值
选项: Init Cmd Auth
描述: 列出/更改当前的文件证明设置
选项: Idle Timeout (ms)
描述: 更改服务端超时断开的时间（毫秒为单位）
Stealth
选项: Run at startup
描述: 使用/禁止BO在计算机启动是运行
选项: Delete original file
描述: 删除安装文件(Enable or Disable).
选项: Runtime pathname
描述: 更改运行时的路径
选项: Hide process
描述: 打开/关闭隐藏程序过程
选项: Host process name (NT)
描述: 更改宿主计算机上的程序过程名（默认是Back Orifice 2000）
选项: Service Name (NT)
描述: 把远程管理服务改名
使用BO
运行bo2kgui.exe后, 可以看见工作区,工作区包括了服务器的列表（如果你保存
了上次的结果）。指定要连接的服务器，开始使用BO。给这个服务器起个名字，
输入IP地址和连接的一些信息。指定了服务器后，服务器命令的客户端就出来了
。这个窗口里可以使用BO的功能....点个命令，功能就列给你看了，有的一定要
参数（如文件名和端口）。
命令：
BO里有70多条命令，这些命令用来在服务器上搜集数据和控制服务器。两台计算
机建立连接后，选个命令，加上参数（如果要），按 "Send Command"，就在选择
的服务器上执行了这个命令。服务器的回应会在回应窗显示出来。
Simple
命令: Ping
描述: 给一台计算机发个数据包看它能否被访问（译者多嘴：通俗的说就是看他
有没有中BO）
命令: Query
描述: 返回服务器上的BO的版本号
System
命令: Reboot Machine
描述: 重启动服务器
命令: Lock-up Machine
描述: 冻住服务器，要他重启动
命令: List Passwords
描述: 取得服务器上的用户和密码（译者多嘴：来偷别人的上网帐号）
命令: Get System Info
描述: 取得以下信息：
Machine Name--机器名
Current User--当前用户
Processor--CPU型号
Operating system version (SP version)--操作系统版本号（补丁版本）
Memory (Physical and paged)--内存（物理内存和虚拟内存）
All fixed and remote drives--所有的固定存储器和远程驱动器
Key Logging
命令: Log Keystrokes
描述: 把按键记录到一个文件里，要指定一个文件存储输出结果
命令: End Keystroke Log
描述: 停止记录按键
命令: View Keystroke Log
描述: 瞧按键记录文件
命令: Delete Keystroke Log
描述: 干掉按键记录文件
GUI
命令: System Message Box
描述: 在服务器的屏幕上显示一个有文本框的窗口，窗口的标题可文本由你定
TCP/IP
命令: Map Port -> Other IP
描述: 把服务器上一个端口的网络流通数据重定向到另一个IP地址和端口
(Redirects network traffic from a specified port on the server to anot
her IP address and port.)
命令: Map Port -> TCP File Receive
描述: 从一个指定的端口收取文件，要指定端口号和文件名，详细路径
命令: List Mapped Ports
描述: 列出所有重定向的端口和信息（源端口和目标端口）
命令: Remove Mapped Port
描述: 去掉指定的重定向的端口
命令: TCP File Send
描述: 连到指定的端口，发个文件给他。要指定目标IP地址和端口，当然文件名
，路径也不能少
M$ Networking
命令: Add Share
描述: 在远程机器上建个新的共享，要指定路径和共享名
命令: Remove Share
描述: 移除共享，要提供共享名
命令: List Shares
描述: 列出服务器上所有的共享
命令: List Shares on LAN
描述: 列出在LAN上的共享
命令: Map Shared Device
描述: 映射共享设备
命令: Unmap Shared Device
描述: 断开已映射共享设备
命令: List Connections
描述: 列出远程计算机的网络连接，包括当前的和永久的连接
Process Control
命令: List Processes
描述: 列出服务器上所有正在运行的程序过程，要指定机器名
命令: Kill Process
描述: 关闭指定的程序进程，要提供进程的ID号（可以用List Processes comma
nd获得）
命令: Start Process
描述: 在服务器上开始一个进程，要指定路径和参数
Registry
命令: Create Key
描述: 在注册表里生成新值，要完整的主键路径
命令: Set Value
描述: 设置注册表里的值，必须要完整的主键名，键名和键值
命令: Get Value
描述: 显示指定键名的键值
命令: Delete Key
描述: 删掉指定的主键
命令: Delete Value
描述: 删掉指定的键名
命令: Rename Key
描述: 给主键改名
命令: Rename Value
描述: 改键值，要提供键值所在位置
命令: Enumerate Keys
描述: 统计一个主键下的键的数目
命令: Enumerate Values
描述: 统计键值数目
Multimedia
命令: Capture Video Still
描述: 从指定设备上抓图，要指定文件名和设备名
命令: Capture AVI
描述: 从指定的设备上抓一段AVI小电影
命令: Play WAV File
描述: 播放指定的WAV文件
命令: Play WAV File In Loop
描述: 循环播放指定的WAV文件
命令: Stop WAV File
描述: 停止正在播放的文件
命令: List Capture Devices
描述: 列出系统中可以抓小电影的设备
命令: Capture Screen
描述: 把当前的屏幕抓到指定的图片文件
File/Directory
命令: List Directory
描述: 列出指定路径里的目录和文件（相当于dir)
命令: Find File
描述: 在服务器上的某个目录里找文件
命令: Delete File
描述: 删掉服务器上的文件
命令: View File
描述: 查看一个文件
命令: Move/Rename File
描述: 移动/改名文件，要指定原文件和新文件的名字
命令: Copy File
描述: 在服务器上拷贝文件，要指定路径（译者多嘴：不是拷到自己家里，是在
别人的机子上拷贝）
命令: Make Directory
描述: 建个目录
命令: Remove Directory
描述: 删掉目录
命令: Set File Attributes
描述: 改文件属性(ARSHT 存档/只读/系统/隐藏)
命令: Receive File
描述: 从BO服务器下传文件,要绑定串（BINDSTR）, NET, ENC, 文件证明（AUTH
）和路径
命令: Send File
描述: 上传文件到服务器，要IP地址，NET, ENC, AUTH, 和路径
命令: List Transfers
描述: 列出正在传输的文件
命令: Cancel Transfer
描述: 取消一个传输
Compression
命令: Freeze File
描述: 把文件压缩（打包）输出到文件
命令: Melt File
描述: 解压缩文件到某个目录中
DNS
命令: Resolve Hostname
描述: 取回服务器的正式域名和IP地址
命令: Resolve Address
描述: 取回服务器的正式域名和IP地址
Server Control
命令: Shutdown Server
描述: 把服务器上的BO关掉（你解放了!）发送命令前要先打"删除"才行
命令: Restart Server
描述: 把关掉的BO服务器再启动
命令: Load Plugin
描述: 装载插件
命令: Debug Plugin
描述: 调试插件
命令: List Plugins
描述: 列出已安装的插件
命令: Remove Plugins
描述: 移除插件，要指定#
解决方案
Networking:
BO2k支持多个网络协议。它可以利用TCP或UDP来传送， 还可以用XOR加密算法或
更高级的3DES加密算法加密。 XOR算法加密很容易就可以破掉，甚至不用暴力法
就能解掉。早期发布的BO 1.2的算法都比这个强。这意味着BO2K不管用哪个端口
，都可以被检测软件轻易发现。 X-Force公司已经可以解开XOR加密的包，判断B
O执行的命令了。 虽然用3DES算法加密的BO2K也有可能被发现，但现在还没有方
法来判断其执行的命令。下一版发布的RealSecure将可以检测所有BO2K（包括XO
R加密算法和3DES加密算法）的动作。
BO2K数据包的格式是：
[Length (4 bytes)][Data that is 'Length' long]
只要找到一串的有4个字节长度的，跟着是数据的包， 就可以检测到不管是用什
么加密算法加密的B02K，这个格式在TCP和UDP传输中是一样的。
解密用XOR加密的包，把偏址4（值为0x3713C3CD）的4个字节XOR掉，就可以得到
XOR的加密钥匙，这个钥匙是客户端用户设定的。然后把包剩余的字节用这个4个
字节的钥匙XOR掉--在偏址8，12，16等XOR。这样就可以看到BO2K源程序里形容的
那个包的结构。
建议:
ISS Internet Scanner现在可以查到BO的存在， Real Secure也将可以检测BO。
要想把BO从你的系统中赶走，你必须向反病毒公司要最新版本的杀毒软件。BO2K
的高级设置使发现系统被感染的机会更少，从系统中发现BO2K是件很不容易的事
。在默认情况下，它把自己安装在你的WINDOWS\SYSTEM目录里，文件名为fileUM
GR 32.EXE，如果你跑的是WIN NT，他默认在你的服务列表里增加一个"Remote A
dmi nistration Service."这只是个默认的名字，可以变成任何便于隐藏名字。
--
※ 来源:．月光软件站 http://www.moon-soft.com．[FROM: 61.134.26.125]
|
|