1.踩点（Footprinting）：上上签
七月十四，夜。
黑客营，漆黑一片。
每每到这样的夜色，就是我伸手干活的时候。今
天，大姐交给了我一个任务，攻陷留香客栈的服务
器，那是个色情网站的窝，里面的人还和大姐结了
梁子。我与大姐在网络中相依为命，我知道大姐恨
所有的男人，因为是男人把她抛弃的，大姐要报复
那些负心的男人。可千百年来，天下一直是男人的
天下，江湖也是男人的江湖。但大姐告诉我，江湖
是我们的江湖。
我问大姐做到什么程度，她说：鸡犬不留。
你也许听说过扫描，这是黑客营的人常用的手
段。在下手之前，我们都要完成这个最关键的一招，
这一招是让敌人漏出破绽的一招。
在扫描下手之前，黑客营的人都要先进行俗称
的踩点，就是收集目标服务器信息的细活儿。大姐
在黑客营常跟我说：震动江湖的天下大盗，在打劫
任何钱庄金铺之前，都会对打劫的目标摸索的一清
二楚、透透彻彻，熟悉得可以不假思索的直奔主题，
这样才能来去自如。踩点也是同样的道理，而且要
更加的精细准确，收放自如。大姐的每一句话我的
记得清清楚楚，不敢有丝毫遗漏。
hack.cpcw.com是留香客栈的窝儿，我决定先去
看看。我在国内最常用的几个域名注册的网站开始
查询留香客栈域名注册的信息，我常去万网找，理
由简单：快！没有想到输入之后还真的小有收获，留
香客栈服务器的所在的地址、联系人的电话、Email
信箱、他们的DNS 域名指向服务器等等我都掌握了。
得到电话很重要，因为我常听大姐说，很多愚蠢的
人就用电话做密码，所有的密码。我还听大姐说，有
一次她竟然直接给管理员打电话就问出了密码，灭
了那个网站后，管理员引咎辞职。
我看到留香客栈的网页网址在IE 的地址栏中显
示为：
http://hack.cpcw.com/usingdo14.asp?
typeid=1&usingdottid=44
这其中有一段.asp，不是什么php 和cgi，更不

是我们黑客营忌讳的jsp，我很高兴，这说明留香客
栈的服务器应该是Windows 2000或者以上等级的操
作系统，总之是逃不出我熟悉的Windows 的范围了。
黑客营书：
ASP 全程是Microsoft Active Server Pages，
它是服务器端脚本语言，使用它可以创建和运行动
态、交互的 Web 服务器应用程序。使用 ASP 可以组
合 HTML 页、脚本命令和 ActiveX 组件以创建交互
的 Web 页和基于 Web 的功能强大的应用程序。ASP
应用程序很容易开发和修改。ASP 的程序均在Windows
服务器下运行。
PHP 与CGI 同样是脚本语言，不过他们可以运行
在Windows 以外的如：Linux 和UNIX 等操作系统中。
<meta name="GENERATOR" content="Microsoft
FrontPage 4.0">
<meta name="ProgId" content="FrontPage.
Editor.Document">
在查看留香客栈的网页源文件头时，我看到了这
段信息，FrontPage，多么让我心醉的软件，简单得
不能再简单的功能。没有想到留香客栈的当家子竟然
用这么简单的软件搭建成了这个宾客云集的旺店。不
过今夜之后，江湖中将不会再有留香客栈，如此的信
心就来源于我在踩点中收集到的这些详细信息。
临走前，为了保险起见，我又Ping 留香客栈一
下，“Reply from 61.180.78.23: bytes=32
time=422ms TTL=113”TTL 的返回值是113，我断定
这绝对是Windows 2000 的机子。这是大姐最早教我
的一招，通过ping对方让对方返回给你TTL值大小，
粗略地判断对手的系统类型是Windows 系列还是
UNIX/Linux 系列，一般情况下Windows 系列的系统
返回的TTL 值在100-130 之间，而UNIX/Linux 系列
的系统返回的TTL值在240-255之间。当然江湖中的
高手知道修改TTL的值达到欺骗的目的，但是高手都
很忙，忙得忽略了这些小事儿。

次日，夜。
大姐对我说，再踩一次，万无一失。
每个人都会经过这个阶段，见到一座山，就想知
道山后面是什么。因为大姐知道，得不到的东西永
远是最好的。
这一次，我用百度、Google、天网、新浪的搜索
引擎分别搜索留香客栈的整个网址，果然，就像大姐
说的那样，丝毫不差，我找到了两个从来没有出
现在留香客栈的网页，其中一页的简讯上标着这样
几个字“建栈日记”，点击链接地址后，发现客栈当
家的早把这两页删除了，毕竟，年代太久远了。不
过还好，百度、Google 都有网页快照的功能，我点
开，果然有文字的存底，日记不多，3000 余字，但
是对我来说足够了，其中一段这样写：“飞刀门的老
李告诉我，他常常用绿箭口香糖上的大串英文字符
当作密码，我认为这招极好。”

黑客营书：
在利用搜索引擎时，你可以在搜索网之前加入
如下字符串
C:\winnt
可找到页面引用了Windows 系统文件夹内容的
服务器
C:\inetpub
可找到夜眠引用了Windows Internet服务根目
录的服务器
Sweb/default.htm
可找到通过浏览器中内嵌的ActiveX 控件的
Windows 系统
十五日，小暑，夜。
通过口香糖的提示，我连夜灭了整个飞刀门。鸡
犬不留。我想到了大姐念过的两句诗，我很喜欢的
诗——
弃我去者昨日之日不可留，乱我心者今日之日
多烦忧！
这诗好美&#8943;&#8943;

2．扫描（Scan）：真相
大姐笑了。
因为大姐知道留香客栈的人比飞刀门聪明不了
多少，一样是一群蠢驴子。
十七日，4 时清晨。
大姐吩咐我，针对留香客栈服务器的漏洞扫描
开始了。
一位前辈告诉我，扫描工具是漏洞入侵过程中
最关键的一步，选好兵器才能够十步一杀。而一个
好的扫描器必须有简洁和易于使用的操作界面，强
大的分析和扫描信息范围，对最新漏洞的扫描判断
能力（也就是通常所说的升级概念），详细的分析结
果报告和对漏洞的描述与对策。这样的兵器才能算
得上是黑客营黑客手中的一把宝刀。
对于这台Windows服务器，我最爱用的扫描器是
“安全焦点”的X-Scan 和小溶的流光，很多地方都有
这两款兵器，不过我只喜欢在黑客营中拿，因为顺
手，安全。大姐说，X-Scan 在Windows 2000 的环境
下运行的最爽。
流光是需要安装的，而且补丁包也是一堆，繁琐
得很。X-Scan 就要顺手多了，拿回来用WinRAR 解压
缩一下，就立刻可以用了，这自然是我当选之首。XScan
中最重要的是扫描参数，设置得好可以很快令
我们事半功倍，当然如果你要是干一件粗活儿，根
本就不用动那些默认的设置，直接在扫描参数的基
本设置中输入你要扫描的IP 地址即可。IP 地址当然
是通过Ping 网址得到的。
不过今夜我要灭的是留香客栈。

这个最新版本的X-Scan 我也是第一次用，我点
开“扫描模块”，仔细地看着每一个模块右边的说明
文字，这些就是X-Scan 让人致命的利刃。我在“参
数设置”中的“高级设置”里钩选上了“显示详细
进度”，我要记下灭掉留香客栈的每一个细节，而这
样X-Scan 扫描留香客栈的每一个细节我都可以看得
清清楚楚。留香客栈用的是Windows 2000，脆弱的
系统，别的还用我动吗？不需要了，大姐说，不要
太高估你的对手，X-Scan 默认设置足矣。
我开始用X-Scan对留香客栈下手了，X-Scan先检
查了留香客栈主机是否在线，同时被动识别目标主机
操作系统类型，报告与我分析的一样，果然是Windows
2000主机。随后X-Scan扫描了留香客栈TCP端口状态，
并根据我的设置主动识别出留香客栈服务所有开放的
端口和正在运行的服务的类型。这时我注意到，除了
传统的21、80等端口外，留香客栈竟然还打开了3389
这个端口，此端口一开，留香客栈必灭无疑。
X-Scan此时开始通过139端口对WIN NT/2000服
务器弱口令进行检测了。这一点极其重要，是能否
通过3389 端口打开留香客栈大门的关键。X-Scan这
一点设计得非常完美，因为即便当从服务器获取用
户列表失败时，它会加载字典文件中的用户列表。我
还可以通过编辑“dat”目录下的“nt_user.dic”和
“nt_pass.dic”扩充用户名/密码字典，也可以通过
“扫描参数”窗口中的“字典文件设置”页加载我需
要的字典。我选择了攻破飞刀门的那本字典，那里
面除了有飞刀门老李的密码以外，我还收集了箭牌

其它口香糖的关键字符。
X-Scan 以开始调用插件载入字典对留香客栈的
“SQL Server”弱口令进行检测了。留香客栈果然使
用了SQL Server 的数据库。但是并没有我字典里的
弱口令。
十分钟后，完成了整个扫描过程，X-Scan自动成生
的检测报告结果让我愤怒，留香客栈虽然开了无数常用
功能的端口，但是不存在一个弱口令。我似乎无法轻松
简单地灭掉留香客栈，难道真的山穷水尽了吗？
黑客营书：
可以通过编辑“dat”目录下的“sql_user.dic”
和“sql_pass.dic”扩充用户名/密码字典，也可以
通过“扫描参数”窗口中的“字典文件设置”页加
载其他字典。
SQL Server：微软出品的数据库系统软件。

3．碰壁：纠结难解
我不由得苦笑——留香客栈若真的躲过了这一
劫，也势必会招来大姐亲自动手的恶运。这么想着，
我渐渐又回到了自己黑客的身份上。想着身份，我
不由得脊梁骨更加发寒！
我想到了大姐对我的失望，我想到了更多，我想
到改变计划的后果。
我像一头失职的猎犬，我听到了“嗖嗖”作响的
鞭声！
我浑身的毛孔都紧缩了。
我的表情很苦。
我惟有向天祈祷，请它向我保证，接下来的一切
将如我所希望的那样发生&#8943;&#8943;
可天是黑色的，像一个人沉着脸，天上只有一些
隐约的星星。
雾很浓，似永远不散。
我只能苦笑，不过我至少还明白一点：不要轻易
放弃，得不到的东西对于我来说永远是最好的。我
开始尝试着用流光进行扫描，可是得到了一样的结
果。留香客栈如铜墙铁壁般，根本无法渗入。虽然
客栈打开了135、139、445、3389这几个看似是漏洞
的端口，但是却没有给我任何下手的机会。
我反复地看着这几个端口，希望能够从中找到
破绽。沉思之时，突然我发现我的BlackICE 防火墙
在闪动，我打开一看，果然，留香客栈的娄罗发现
了我的行踪，他们也在用同样的手法扫描我的电脑。

虽然我也没有打全补丁，不过BlackICE 的防火墙已
经能够替我抵挡住所有的进攻了，要知道BlackICE
的Update 补丁我一个没有丢下。
留香客栈的喽罗中，似乎有一个人扫描得非常
带劲，短短十几分钟之内，此人已经试过了十几种
方式探视我的机器。但也许这个扫描得意的家伙自
己绝对没有想到，自己已经中了冲击波病毒，因为
在我的B l a c k I C E 中他的I P 同时显示
“MSRPC_RemoteActivate_Bo”，这是典型的中了冲击
波病毒后的症状，这个家伙肯定没有打完自己Windows
的补丁，不以其人之道还以其人之身太对不起
他了，我也开始用X-Scan 扫描他的IP 地址，果不出
我所料，此人的机器竟然漏洞百出。从SMB 到445，
几乎一个不差的全开着，看完漏洞报告后我暗自发
笑，大姐说的果然没有错，留香客栈的人和飞刀门
的一样是群蠢驴子。
我暗自揣测着用什么方法教训这小子一下，看
着X-Scan 生成的漏洞报表，看着那些红得让人眼晕
的严重漏洞提示，我究竟选什么方法教训他呢？选
择SMB 或者那些弱口令之类的简单东西太有失黑客
营的脸面。没想到，面对弱小的对手时，如何艺术
地杀死他也是一件难题。思量片刻，我突然看到，在
这个漏洞百出的机器中，那些红得耀眼的字符中有
这样一段“漏洞，cifs (445/tcp)”，后面的说明是
“运行某版本Microsoft操作系统的远程主机可能会
存在几种形式的漏洞：包括拒绝服务，远程执行任
意代码等。M i c r o s o f t 已经发布了修订补丁
(KB835732)来解决这些问题。MS04011”。天助我也，
这可是一个新东西，Windows 最新的LSA 溢出漏洞。
通过这漏洞，我可以轻松地拿到这小子的主机权限。

十五分钟后，面对屏幕我感到一丝寒意，我进去
了。不过这时是我才发现，此人竟然是留香客栈的
二当家“雪柔”。苍天不亡我，这个小丫头片子的机
器里肯定有我要的留香客栈的密码。如果能够得到
留香客栈3389 的密码，何愁灭不了留香客栈？我不
但要灭了留香客栈，我还要灭了所有留香客栈的这
群大大小小男男女女的马贼们。
雪柔的文档夹中果然又一个名为SNKey 的文本
文件，难道这就是留香客栈的密码？我下载回来打
开一看，内容是这样的：
黑白相间6 颗棋子一次成排直线摆开，棋子左方
有四颗空棋位。现在要将这六颗棋子移动成为3 颗白
色在左边，3 颗黑色在右边。同时必须一次并列移动
两颗棋子，把他们一起移动到空位上，不可以更动棋
子的顺序，只可移动三次，用户名和密码即可得到。
●○● ○●○
○○○ ●●●
注：连接方式 3389
我思考片刻之后，手起刀落，灭了整个留香客
栈&#8943;&#8943;