后门发现（yuange）

转载来自：https://weibo.com/ttarticle/p/show?id=2309404140771757432459

dsn设置参考：https://computerstepbystep.com/dns_client_service.html

其它参考：http://www.cnblogs.com/17bdw/p/7760474.html

绿盟科技dns日志：http://blog.nsfocus.net/open-dns-client-service-log/

（1）查询模块基地址
微软的sysinternalssuite中的dlllist枚举系统模块。
查询基地址：0x100000

原文解释：
“dlllist过滤0x10000000地址查***，vc默认模块地址0x10000000,微软为了加快加载地址不冲突自己的模块都错开分配好了的，而绝大多数***开发者不懂这些，简单工具就过滤90%以上***”

（2）查询dns记录

       windows自己的dns请求有个记录文件，默认没有打开

system32目录下创建 ：echo aa > dnsrslvr.log
设置权限 ：cacls dnsrslvr.log /g everyone:f
重启动dns client ：
   net stop 'dns client' 
     net start 'dns client' 

或者使用
cacls dnsrslvr.log /E /G “NETWORK SERVICE”:W

提升文件权限：

开启服务：
dns stop Dnscache
dns start Dnscache

type nul > %systemroot%\system32\dnsrsvlr.log
type nul > %systemroot%\system32\dnsrslvr.log
type nul > %systemroot%\system32\asyncreg.log

cacls %systemroot%\system32\dnsrsvlr.log /E /G "NETWORK SERVICE":W
cacls %systemroot%\system32\dnsrslvr.log /E /G "NETWORK SERVICE":W
cacls %systemroot%\system32\asyncreg.log /E /G "NETWORK SERVICE":W

net start dnscache

转载于:https://blog.51cto.com/antivirusjo/2110983