4.1.2 入侵方法及过程

作者: 郭鑫/崔红霞/姜彬 出处:电子工业出版社 　2008-04-25 12:01　   砖    好    评论  条 　进入论坛

阅读提示：《企业网络安全致胜宝典》第4章为大家展示的是操作系统漏洞隐患,本节主要讲的是入侵方法及过程。

4.1.2  入侵方法及过程

1．在命令行下操作

黑客首先进入CMD命令行方式。需要说明的是，黑客的以下操作都是在目标主机没有禁止远程IPC$连接和启动Schedule服务的理想情况下进行的。

Windows NT远程登录的命令行语法如下：

net use \\IP Address\IPC$ "password" /user:username
以管理员shanlu的身份远程登录服务器，如图4-1所示。这个命令包含4部分：
（1）“net use”：是IPC特有的网络连接命令，在以后的讲解中会多次用到它。
（2）“\\*.*.17.82”：是服务器的IP地址，主要是告诉net use连接哪台服务器，在IP地址的后面加上“\ipc$”，意思是以共享形式登录。
（3）""：是密码。因为本例中的管理员密码为空，所以里面什么也没有输入。如果管理员的密码是123，键入命令时，密码部分就是"123"。
（4）“/user:shanlu”：意思是这个用户的名称是什么。如果用户名为aa，键入命令时，用户名部分就为“/user:aa”。

图4-1  与对方电脑建立IPC连接

连接成功后，需要进一步掌握目标服务器，黑客通常喜欢上传srv.exe和ntlm.exe这两个程序。srv是打开目标服务器的99端口，可以让黑客Telnet到服务器；ntlm程序主要把Telnet的默认NTLM验证改变。
黑客把程序复制到目标服务器的admin$目录下，盘符目录符对照表如下：

c$: c驱动器；
d$: d驱动器；
……依次类推。
需要特别注明的是：

admin$是Windows NT下面的一个默认共享，指WINNT所在的目录。
ipc$指的是服务器的共享，如果不存在ipc$，就不可以远程连接。如图4-2、图4-3所示。

图4-2  复制本地srv.exe到远程电脑

图4-3  复制本地ntlm.exe到远程电脑

srv.exe已经被黑客复制到目标服务器，下面黑客要做的，就是在目标服务器上启动这个程序。这里，黑客就要用到计划任务的at命令。首先，黑客通过“net time　\\*.*.17.82”这条命令来查看服务器的时间。服务器返回的时间为“下午11:09”，如图4-4所示。

图4-4  查看远程电脑时间

黑客用at命令来启动srv，at后面加上“\\*.*.17.82”是指在这个服务器上加一个任务。服务器上的时间是24小时制的，通过上一条的命令，黑客知道了服务器的时间是下午11:09，所以在命令后面加上时间23:11，比服务器晚两分钟，是因为以免加载任务时，服务器已经过了这个时间，那加载的任务就不会执行了。

完成命令后按【Enter】键，服务器会提示黑客，已经加载了一个作业，作业的ID=1（如果这个任务还没有执行，又在服务器上加载了另一个任务，服务器会显示新加了一个作业，其作业ID=2），如图4-5所示。

图4-5  添加srv.exe执行命令到计划任务

黑客键入“at \\*.*.17.82”（按【Enter】键）看看要执行的任务是否加载。服务器返回信息有一个ID在计划任务中。格式如图4-6所示。

图4-6  查看srv.exe是否被加载

等到命令的时间到了，黑客执行【开始】→【运行】命令，并键入“telnet *.*.17.82 99”（IP后面的99是srv打开的默认端口），如果显示“C:\WINNT\system32>”这样的提示符，那说明黑客就已经成功进入了目标服务器系统，如图4-7、图4-8所示。

图4-7  Telnet远程电脑的99端口

图4-8  登录到远程电脑

登录上去后，执行上边已经传上去的ntlm.exe文件，服务器返回成功信息，这时黑客已经改变了Telnet默认的NTLM登录方式。需要说明的是，通过src种植后登录的99端口，键入命令时是不显示的，当按【Enter】键时，就会显示出刚才输入的命令。如图4-9所示。

这时，黑客需要把服务器的“telnet”服务打开。

net start是启动服务的命令，后面加上Telnet，按【Enter】键后服务器返回Telnet服务已启动，这时可以退出，直接Telnet登录到这台服务器了，如图4-10所示。

图4-9  执行ntlm.exe更改Telnet验证值

图4-10  启动Telnet服务

当黑客Telnet目标服务器IP后，会出现提示“（y/n）”，来询问是否发送密码到目标服务器，这是NTLM认证设为1时的认证方式，黑客键入“y”并按【Enter】键，如图4-11所示。

图4-11  Telnet到远程电脑

目标服务器提示输入用户名和密码，用于验证是否有登录权限。“login”后面填入用户名，“password:”当然是密码了。输入完成后按【Enter】键，如图4-12所示。

图4-12  Telnet的用户名及密码

输入管理员的用户名及密码，按【Enter】键。看，就这么简单，黑客就进来了，黑客现在的权限是管理员，可以做任何事情，如图4-13所示。

图4-13  Telnet进远程电脑界面

黑客在退出系统之前，会建一个属于黑客自己的管理员账号，给自己留一个后门，方便下一次进入系统。

net user是建立用户的命令，命令行语法：net user 用户名 密码 /add。这里的用户名和密码可以任意添写，/add就是添加的意思。黑客建的用户名是winnt，密码为2 583 709。

net localgroup是添加用户到组的命令，命令行语法：net localgroup 组 用户名 /add。

如图4-14所示的命令是把Winnt这个用户加到管理员组里。Administrators是管理员组的意思，这个组的成员拥有服务器的一切权限。

图4-14  建立用户并提升到管理员

2．在窗口下操作

以上所讲的是黑客在命令行下操作的方法，下面再介绍一种在窗口下操作的方法。黑客第一步还是建立IPC$连接，与远程电脑建立一个通信管道，如图4-15所示。

把目标服务器的共享C盘映射到本地的x盘。
命令用法：net use 本地盘符 \\目标IP\目标盘符。
需要注意的是，选择本地盘符的范围是a~z的任意英文字母，并确保本地暂无此盘符，如图4-16所示。

图4-15  黑客与远程电脑建立IPC$连接

图4-16  映射远程电脑的盘符

命令执行成功后，打开“我的电脑”，会发现多了一个盘符，这个就是目标服务器的C盘，如图4-17所示。由此可以进行本地的复制、删除等操作，就像本地硬盘一样。

因为IPC管道是相互的，管理员可以通过此连接查找到黑客，所以黑客完成想办的事情后（比如更改网站的首页），通过单击鼠标右键断开与目标服务器之间的连接。

图4-17  映射远程电脑C盘的实例

回书目   上一节   下一节