图2-4-5 ServerAgent模块计算并选取随机ip段
图2-4-6 测试中生成的随机ip段
图2-4-7 从抓包数据中发现此轮扫描中Bot程序扫描其随机生成的ip段
Cracker模块分析
Cracker模块是Bot程序中最重要的模块。该模块用于入侵目标计算机并在目标计算机上执行恶意代码。Cracker模块分为多个小模块，在分析的样本中包括Cracker:CCTV，Cracker:mssql， Cracker:RDP，Cracker:Telnet四个小模块。按照入侵的端口的不同，Cracker模块提供不同的攻击方式。下面将介绍每一种攻击的实现。
5.1 Cracker:mssql
由于Bot程序默认的密码字典wpd.dat中指定扫描的服务为msSQL，因此Cracker:mssql模块是所有Cracker模块中功能最为完善的。在大部分被感染的服务器的msSQL服务中都可以发现该模块所执行的恶意动作。
Cracker:mssql模块首先使用爆破字典爆破目标的msSQL服务。如果成功爆破目标，则登陆SQL Server执行下一步操作。
登陆SQL Server之后，需要在SQL Server中获得执行shell的权限，因此Cracker:mssql模块使用多种方式尝试获得执行shell的权限，包括：
恢复xp_cmdshell。
图2-5-1 恢复xp_cmdshell
开启被禁止的xp_cmdshell。
