20CN网络安全小组论坛 - 菜鸟乐园 - 老调重弹~windows的设备名漏洞

论坛: 菜鸟乐园标题: 老调重弹~windows的设备名漏洞

作者: yimarong [yimarong]

版主

Windows 98的死机漏洞大家都知道吧，就是“\\对方主机名或IP地址\共享资源\con\con（con可改为aux、nul、clock$、config$）”这种格式。你知道这些英文字母是什么意思吗？他们就是Windows系统中的设备名。
Windows中“con”、“aux”、“nul”分别代表了输入输出设备驱动程序、空设备驱动程序和辅助设备驱动程序。
微软号称很安全的NT系列系统也存在这种漏洞（我在Windows XP上做试验），可能很多人还不知道吧。

文件夹
你能否在驱动器或文件夹下建立一个名为“con”（或aux、nul、prn、com1、com2）的文件夹？跃跃欲试了？怎么，点击回车后文件夹的名称是不是又变回来了，这是因为他们都是系统保留名。
怎么建呢？Just follow me，打开命令提示符或MS-DOS方式（不是运行），输入“md c:\con\（注意不要忘带后边的“\”）”。现在打开C盘，里边不是好好地躺这一个con的文件夹吗？试一试能够正常访问。
先看看它和别的文件夹有什么不同。打开文件夹属性，里边是不是少了共享和web共享两个选项卡。对于自定义里边地更改图标更是形同虚设，没有什么作用！
是不是还能把这个文件夹删掉呢？出现了错误对话框？那就对了，而且对话框的“样子”还不一样。有的朋友可能想起来怎么删了，就是用“rd c:\con\”，再看看C盘里没有了吧。

文件
在建好的con文件夹里点新建，是可以新建文件夹和文件的。如果复制－粘贴文件就会出现磁盘写保护的对话框，但是可以在命令提示符下输入“copy mm.exe c:\con\（注意有“\”，不然出现乱码）”。在con文件夹内将“mm.exe”删除是可以的，有的朋友问了：这对我们安放木马有什么帮助？往下看↓
再次打开命令提示符输入“copy mm.exe \\.\c:\con\con.exe（如果不输入“\\.\”就会出现“The system cannot find the path specified.”）”，con文件夹下已经有一个con.exe了，但图标是一个很难看的框框。试图删除它，出现找不到指定文件对话框。双击运行出现对话框（Windows怎么老搞对话框啊）告诉我无法访问指定文件，还说我没有权限……汗~~~
以上的理论知识对我们“才鸟”用处不大，我们研究点有实际应用的，帮助我们的木马“坚守阵地”。
应用
既然用户没办法运行和删除，那固然对我们安置木马有很大的好处，但是我们怎么运行呢？最后一次打开命令提示符输入“\\.\c:\con\con.exe”，如果是拿非木马软件做试验就会出现软件窗口了，运行成功！
我想没有人会种了木马之后不想让它自启动吧。经过我测试这种方法能够成功：在注册【HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run】下建立一个字符串值，数值数据为:“\\.\c:\con\con.exe”。
如果想删除con.exe，可以在命令提示符下输入“del \\.\c:\con\con.exe”。
注意：普通情况下可以查到的木马，在这里竟然查不到！真是个安放木马的好地方啊！
试想当管理员发现某驱动器或文件夹下多了一个con.exe，想删除又删不掉，还不气得半死。

经过多此探索，还发现如下规律：
①con文件夹名也改为aux、nul、prn、com1、com2
②con.exe也可改为aux.exe、nul.exe、prn.exe、com1.exe、com2.execon.exe
③con.exe不一定要保存在以设备名命名的文件夹下边
④任何软件保存文件都不能存为con.*
⑤如果创建快捷方式指向con文件夹，打开时提示缺少快捷方式
⑥如果文件夹名为nul则在我的电脑下复制文件时不出现对话框
⑦在命令提示符下不能进去con文件夹

总结
以上操作都是利用Windows的设备名漏洞，可以看出利用它建立的文件夹方便了我们菜鸟隐藏木马，希望大家不要搞破坏！

地主发表时间: 04-04-03 12:06

回复: chiru [chiru]

论坛用户

确实是老调。但是确有用处。

B1层发表时间: 04-04-03 12:10

论坛: 菜鸟乐园