全方位瞭解黑客如何入侵WindowsNT系統

現在的企業當中一般都是使用的NT系統，也不得不承認，NT系統的確是非常適合企業使用的操作系統，然而“黑客”的攻擊引來了企業信息安全危機…… 得到了NT的管理員密碼還能做什麼，還不是想做什麼就做什麼唄。但到底能做什麼呢？能詳細答出來的只怕不會很多，而且很多企業系統管理員就認爲密碼爲空沒什麼，因爲他們壓根就不知道“黑客”會怎麼做。本文介紹的就是得到NT的管理員密碼以後入侵一個企業計算機羣的初級和中級手法，尤其是在一個大型企業當中，企業系統管理員的密碼往往關係着整個公司的信息泄密，以及公司的數據的丟失，嚴重的影響到一個企業的發展和生存。 首先，我們先假定得到了某個企業的一臺服務器192.168.0.1的Administrator的密碼，而對方沒有關閉139端口。 1.普通共享資源的入侵 這種入侵手法可說是NT最簡單的入侵了。隨便在自己機器的哪個窗口的地址欄裏輸入“//192.168.0.1”大概等1-2秒，對方就會要求你輸入用戶名和密碼，輸入所得到的用戶名和密碼以後就可以進入，並可以看到這臺服務器在企業中的共享資源了。由於權限是Admin所以你幾乎可以刪除對方共享資源裏的任何東西。(如果設置了共享爲只讀那就沒辦法了) 2.默認及隱藏共享資源的入侵 在說這種入侵方法之前我先來給大家介紹一個NT的IPC$連接，在默認情況下NT系統有一個特殊的隱藏共享，就是IPC$共享。IPC$是專門用在NT中的一種管道通訊，NT系統之間的通訊大部分都在IPC$通訊中完成的。 這次手法相對高明一點，但還是很簡單的。不過關鍵還是要看“黑客”如何利用了，有的人可能只能刪刪文件，有的人卻可以利用這個留下後門，以便下次如果密碼改變了後可以利用後門進入。同樣在機器裏隨便打開一個窗口，在地址欄輸入“//192.168.0.1”就會要求輸入密碼，輸入以後所看到的東西和前面介紹的一樣。好了，現在同時也建立好IPC$連接了，其實在提示你輸入密碼時從輸入窗口中也知道了是建立IPC$連接。然後我們再次在地址欄輸入地址，這次輸入的就有點不同了，輸入“//192.168.0.1/c$”大概過一會就出現了對方C盤裏所有的內容了。想看對方D盤嗎？同樣，輸入“//192.168.0.1/D$”就看見對方D盤了。然後想換這個企業的主頁(假如對方還是一個Web服務器)可以說是輕而易舉。記住由於權限是管理員當然可以寫了，留不留後門就看“黑客”的想法咯。一般他們會在C盤(假設在C://WINNT下)建立一個批處理文件，假設文件名爲hack.bat，其內容一般爲： net user hack 1234 /add (建立一個用戶名爲hack的用戶，密碼爲1234) net localgroup administrators hack /add (讓hack也是管理員) del C:/Documents and Settings/Administrator/開始/菜單/程序/啓動/hack.lnk (刪除啓動文件夾裏 的快捷方式消除足跡) del c:/winnt/hack.bat (刪除hack.bat這個文件消除足跡) 這樣當企業系統管理員在下次登陸時就會偷偷的添加一個用戶了。當然其實添加用戶算是一個比較愚蠢的留“後門”的方法了，所以其實很多“黑客”會放一個可以常駐內存的小程序，然後建立一個類似的批處理文件和快捷方式，那麼“黑客”基本上可以長期的佔有企業中的這臺主機了。 3.IPC$連接入侵的高級手段 然而每個“黑客”都不可能那麼笨，非要一直等到下次企業系統管理員登陸以後纔可以佔有，往往“黑客”會使用更加巧妙的手法，迅速的留下後門。首先他們還是先建立IPC$連接，連接以後他們會使用各種手法開後門，比如打開Telnet服務，“黑客”怎麼打開Telnet服務呢？其實有很多種方法，比如微軟公司自己就出了一個小程序“netsvc.exe”就是專門讓系統管理員在建立IPC$連接以後遠程打開服務用的管理工具，但這個工具到了“黑客”手中自然也成了必不可少的“黑客”工具了。在命令符下輸入“netsvc //192.168.0.1 telnet /start”大概等5分鐘對方的Telnet服務就打開了，然後“telnet 192.168.0.1”嘿嘿……等！需要NTLM驗證，這下又把“黑客”攔在了外面了，這時他們又會用到一個小程序了，就是專門關閉一個NTLM驗證的程序ntlm.exe。(當然也可以是其他名字)“copy ntlm.exe //192.168.0.1/admin$/system32”把ntlm.exe複製到對方企業服務器的system32目錄下。複製過去了，可怎麼讓他運行呢？當然多的是辦法了。“net time //192.168.0.1”看看對方系統時間爲多少假設爲18:00。現在再輸入“at //192.168.0.1 18:02 ntlm.exe”，等一會後，命令提示符顯示新加任務 ID=１，意思是對方系統在18：02時運行ntlm.exe這個程序，等到18:02以後，然後再“telnet 192.168.0.1”這回是提示需要輸入用戶和密碼了，輸入所得到的管理員用戶名和密碼以後就成功的Telnet到了企業服務器了…… 不過這樣一下是Netsvc，一下又是At實在是麻煩，現在就介紹另一個方法，首先還是先感謝微軟爲NT系統管理員提供的方便的管理功能，這一功能到了“黑客”手中可說是“黑客”的福音，不用“黑客”再這麼麻煩的輸入這樣那樣的命令了。建立好IPC$連接以後(IPC$連接果然是一種功能非常強大的管理連接)，打開本地計算機裏的“計算機管理”，用鼠標右鍵點計算機管理窗口裏的“計算機管理(本地)”裏面有“連接到另一臺計算機”選擇它，在“名稱”裏輸入“192.168.0.1”確定以後，首先你的NT系統會看是否建立IPC$連接，“有”就連接上去了，現在你就可以直接管理192.168.0.1了，比如看他的日誌，啓動他的服務(當然包括Telnet了)，管理他的IIS，什麼都有。多研究一下，連註銷對方系統當前登陸的用戶，重新啓動對方計算機，關閉對方計算機都有，真是強大。NT系統到了“黑客”手中，整個系統都成了一個“黑客”工具了，而且是功能非常強大的“黑客”工具。啓動了Telnet了，可還是要NTLM驗證怎麼辦？簡單，在本地計算機建立一個用戶名和密碼相同的用戶，如果已有就把密碼改爲相同，然後使用這個用戶在本地重新登陸，“telnet 192.168.0.1”嘿嘿~連密碼都不用輸入了！因爲通過NTLM驗證了啊。 現在那些安全意識差的企業系統管理員們知道了暴露了管理員密碼的危險性了吧？還沒完呢。都到這一步了還沒完？機器都被“黑客”完全控制了呀——是的，還沒完，看吧！ 4.深入入侵 這一步就需要“黑客”有豐富的經驗，實戰操作能力要求很高，也不再是文字能描述清楚的了，下面就只能粗略的介紹一下。 “黑客”當然不會僅僅在攻餡一臺服務器以後就立刻罷手了，他會深入入侵你的內網，尤其是在一個企業中，往往都是計算機羣。那些商業間諜“黑客”當然就更加的想入侵到企業內部去了。而很多企業系統管理員喜歡把所有的服務器的密碼設爲相同，就給“黑客”提供了一個良好的入侵條件。Telnet到對方服務器以後，輸入“net view”企業中整個一個工作組或域的計算機這時都一展無餘。同樣在Telnet裏建立IPC$連接以後象入侵這臺服務器一樣的入侵了。前面說的建立IPC$連接都是使用的圖形界面，然而這時候已經不再擁有圖形界面了，現在假設企業內網的192.168.0.2的密碼和這臺服務器密碼相同，這時可以使用“net use //192.168.0.2/IPC$ passwd/user:username”來建立IPC$連接了，然後是映射驅動盤，輸入“net use z: //192.168.0.2/c$”這樣就把192.168.0.2的C盤映射到192.168.0.1的Z盤去了。輸入“z:”就可以象瀏覽192.168.0.1的硬盤一樣，瀏覽192.168.0.2的C盤。而如果他是商業間諜“黑客”，一旦發現裏面有價值的東西自然不用說將來會發生什麼事了。當然這往往還算是最好的條件，其實還是有相當一部分企業系統管理員不會把密碼設爲一樣的。現在就看網絡的情況了，如果入侵的正好是一臺主域控制器，嘿嘿，那對於商業間諜來說可是高興死了，趕快把自己升級成域管理員，這下整個企業的一個域的機器都落在了他的手中。當然在“黑客”手中這也算是一種非常好的情況，但現在微軟行行色色的漏洞越來越多，同時也根據“黑客”的經驗的多少，決定着入侵內網的機會的大小。 在一個企業中，往往直接連接Internet的是Web服務器。而一個有耐性的“黑客”，一個想入侵這個企業的商業間諜當然會不惜一切手段入侵，其中一個手法就是利用Web服務。微軟公司在今年出現的MIME漏洞就有很好的利用價值。這裏順便介紹一下MIME漏洞，MIME在處理不正常的MIME類型中存在問題，攻擊者可以建立一個包含可執行文件的附件的HTML，E-mail並修改MIME頭，使IE不正確處理這個MIME，而執行所指定的可執行文件附件。有了這個漏洞，“黑客”將會更換Web服務器的主頁，在主頁裏把MEMI漏洞攻擊代碼插進HTML中，使得企業內部的員工在瀏覽自己公司主頁時運行指定的程序。(企業內部絕對不可能從來不看自己的主頁的，尤其是企業負責人，他們一般都會不定期的檢查主頁。)那麼他們在瀏覽自己的主頁時就無聲無熄的執行了“黑客”所指定的程序，這個程序可能是木馬，也可能同樣是添加用戶的批處理文件。 由上面可以看出一旦NT系統的密碼泄露是一件多麼危險的事情，尤其在一個企業當中。同時一個企業網絡的拓撲是否合理也起着非常重要的作用，並且“黑客”尤其是商業間諜所利用的手法遠遠不只有這些，他們還可以利用其它方式，比如電子郵件等各種途徑來得到企業內部的敏感信息或保密信息。 5.其它入侵　　 其它還可以通過3389端口入侵。3389是Win2000系統的自帶的，並且是圖形界面的，遠程管理服務的端口。“黑客”一旦有了管理員密碼，危險性也更加直觀化。另外就是通過IIS的管理入侵，在默認情況下IIS提供一個Web方式的管理服務，在c:/inetpub/wwwroot裏有一個叫iisstar.asp的東西，如果可以訪問，而且有管理員密碼(NT4裏不是管理員也可以，只要是NT的合法賬號)就可以遠程通過Web方式管理IIS信息服務，然後通過特殊手法進一步控制整個機器，然後是整個企業……