如何查询在酒店在宾馆和谁在一起的开房记录（偷偷查,发...
- >
- 话题 >
来源：菠萝的菠萝格Welcome!各位ScriptKid，欢迎来到脚本世界。今天忙了一天，比较累。不废话那么多了，切入正题。这个“三无”后门的核心就是WMI中的永久事件消费者ActiveScriptEventConsumer（以下简称ASEC）。WMI中有许多这 类的事件消费者，
来源：菠萝的菠萝格
Welcome!各位ScriptKid，欢迎来到脚本世界。
今天忙了一天，比较累。不废话那么多了，切入正题。
这个“三无”后门的核心就是WMI中的永久事件消费者ActiveScriptEventConsumer（以下简称ASEC）。WMI中有许多这 类的事件消费者，简单的来说，当与其绑定的事件到达时，消费者就会被触发执行预先定义好的功能。例如可以用来执行二进制程序的 CommandLineEventConsumer等等
ASEC是WMI中的一个标准永久事件消费者。它的作用是当与其绑定的一个事件到达时，可以执行一段预先设定好的JS/VBS脚本。
先来看一下其原型：
复制代码
代码如下:class ActiveScriptEventConsumer : __EventConsumer
{
uint8 CreatorSID = {1,1,0,0,0,0,0,5,18,0,0,0}; //事件消费者的CreatorSID 只读
uint32 KillTimeout = 0; //脚本允许被执行的时间 默认为0，脚本不会被终止
string MachineName;
uint32 MaximumQueueSize;
string Name; //自定义的事件消费者的名字。
string ScriptingEngine; //用于解释脚本的脚本引擎。VBScript或者JScript
string ScriptFileName; //如果你想从一个文件里面读取想执行的脚本的话，写上这里吧。
string ScriptText; //用于执行的脚本代码。与ScriptFileName不共戴天。有你没我，有我没你
};
ASEC的安装
对于XP以后的系统来说，ASEC已经默认安装到了root\subscription名称空间。我们可以直接调用。2000自带有ASEC的 mof文件，但是没有默认安装，需要我们自己安装。另外由于大部分的事件都是在root\cimv2里产生，所以如果你想直接捕获一些系统事件作为触发器 的话，还得在其他的名称空间中安装ASEC。来看一下在2000/XP/Vista下安装ASEC到root\cimv2的代码。
复制代码
代码如下:Function InstallASECForWin2K ’安装ASEC For Windows 2000’
Dim ASECPath2K
ASECPath2K = XShell.Expandenvironmentstrings(%windir%\system32\wbem\)
Set MofFile = FSO.opentextfile(ASECPath2K&scrcons.mof,1,False)
MofContent = MofFile.Readall
MofFile.Close
MofContent = Replace(MofContent,\\Default,\\cimv2,1,1) ‘替换默认的名称空间
TempMofFile=ASECPath2K&Temp.mof
Set TempMof=FSO.CreateTextFile(TempMofFile,False,True)
TempMof.Write MofContent
TempMof.close
XShell.run mofcomp.exe -N:root\cimv2 &TempMofFile,0,TRUE
FSO.DeleteFile(TempMofFile)
ASECStatus = Ready
’Wscript.Echo ASECForWin2K Install OK!
End Function
Function InstallASECForWinXP ’安装ASEC For Windows XP’
Dim ASECPathXP
XPASECPath = XShell.Expandenvironmentstrings(%windir%\system32\wbem\)
XShell.run mofcomp.exe -N:root\cimv2 &XPASECPath&scrcons.mof,0,TRUE ’直接运行安装即可
ASECStatus = Ready
’Wscript.Echo ASECForWinXP Install OK!
End Function
Function InstallASECForVista ’安装ASEC For Windows Vista’
Dim ASECPath2K
ASECPath2K = XShell.Expandenvironmentstrings(%windir%\system32\wbem\)
Set f = FSO.GetFile(ASECPath2K&scrcons.mof)
Set MofFile = f.OpenAsTextStream(1,-2)
’Set MofFile = FSO.opentextfile(ASECPath2K&scrcons.mof,1,False)
MofContent = MofFile.Readall
MofFile.Close
MofContent = Replace(MofContent,#pragma autorecover,,1,1) //需要删除autorecover，否则安装出错
TempMofFile=ASECPath2K&Temp.mof
Set TempMof=FSO.CreateTextFile(TempMofFile,False,True)
- 发表于 2021-02-14 07:54
- 阅读 ( 175 )
- 分类：互联网
0 条评论
请先 登录 后评论
