Chinaunix首页 | 论坛 | 博客
  • 博客访问: 3057767
  • 博文数量: 317
  • 博客积分: 10010
  • 博客等级: 上将
  • 技术积分: 2820
  • 用 户 组: 普通用户
  • 注册时间: 2006-03-29 17:04
文章分类

全部博文(317)

文章存档

2020年(1)

2010年(1)

2008年(40)

2007年(114)

2006年(161)

我的朋友

分类: 系统运维

2006-07-15 01:20:34

Archive for 网络安全-安全防范

  离开网吧的环境已经很久了,在各种各样的杂志上也很少见到关于突破网吧限制的文章了,因为本人曾在网上发表过关于突破pubwin4的文章,在那之后就有很多的朋友加我要和我讨论关于突破pubwin的方法,尽管我的那些方法有点过时,但是在本人看来,那些方法是永远都不会过时的,因为方法是死的,人的思维是灵活的,如果我们只想着按照书上的方法去做,那成功的几率当然是很小的,在此,小弟就讲给大家仔细讲解一下突破网吧或者学校机房的管理系统。


  首先我给大家理一下思路,在突破网吧限制之前,我们要先弄清楚我们面对的是什么样的管理系统,然后试试该管理系统都做了什么样的限制,接下来就是用各种各样的方法去突破管理软件的限制了。首先我们要看看他都作了什么样的限制,经过自己尝试知道网吧限制下载了,而且使用的是使用虚拟桌面,别的都没有限制,还好,我可以通过快捷键打开运行,然后进入他的注册表(regedit)。

  然后我们就按照以下路径来查看HKEY_USERS/.DEFAULT/Software/Policies/Microsoft/Internet Explorer/Restrictions里面的NoBrowserOptions键,双击该键会弹出一个修改键值的窗口,只要把那个1改成0就可以了,或者打开IE浏览器,在菜单栏里面的“工具”选项,然后会弹出一个子菜单,这时选中“Internet选项”,然后选择“安全”选项里的自定义级别,

  将文件下载改成启用就可以,如果你的网吧已经把注册表给禁止了,可以选择用下面这种方法来解决,首先想办法弄出来一个记事本,右键肯定会被老板屏蔽,这时你可以选择IE浏览器里的功能来完成,我们选择IE浏览器菜单栏里的“查看”选项然后选择“查看源文件”,怎么样?是不是有记事本了?如果网吧老板连IE浏览器都作了手脚,不要急,我们还有一个我们经常用的工具“QQ”,这时可以让网友传一个记事本文件过来,不要忘了,QQ能接文件,当然就能向硬盘里面写文件了!这时我们可以用这种方法来实现了,在记事本文件里面输入如下内容:

REGEDIT4

HKEY_CURRENT_USER/Software/Microsoft/ Windows/CurrentVersion/Policies/System
” DisableRegistryTools”=dword:00000000

  注意,大小写不要写错,我曾经在写错过,结果导致失败。这样我们就能使用注册表了,写完之后保存为.reg格式,这时会出现一个注册表一样的图标,然后我们想办法去双击他,也就是说把他加入到注册表里就可以了。如果这招还不好使,我们可以去下载一个我以前在网吧写的一个小软件

  虽然界面没有美化,但是的确很实用,让朋友下载然后用QQ传给你就可以只用了,当你用那个小软件的时候,你会发现,里面有很多你在网吧时需要的功能,好了,注册表的突破就讲到这里了。只要注册表被我们搞定,别的什么都会很简单的实现。比如网吧把C盘隐藏了,把运行和一些我们用得着的东西给屏蔽了,都可以用注册表来实现了,功能全都在我写的那个小软件里面体现出来了,有需要的可以去下一个。

  有的朋友可能会想进他的硬盘里看看他的硬盘里面有什么东东,或者想在网吧的那台机子上溜达溜达,而硬盘又隐藏了,没关系,我们不是还有注册表在呢嘛!进入注册表的HKEY_LOCAL_MACHINE/Software/Microsoft/Internet Explorer/Extensions/C18CB140-0AAA-11D4-8FE8-0088CC102438里,修改”ButtonText”=”帮助”
“CLSID”=”1FBA04EE-3024-11D2-8F1F-0000F87ABD16″
“Default Visible”=”Yes”
“Exec”=”c://windows//explorer.exe”
“HotIcon”=”C://WINDOWS//system//shell32.dll,24″
“Icon”=”C://WINDOWS//system//shell32.dll,24″
“MenuStatusBar”=”帮助”
“MenuText”=”帮助”

  然后就可以了。以上是进入资源管理器中。

  当然,单单是突破限制肯定会有朋友觉得不过瘾,还想破解管理员的密码,近期的管理系统我不太了解,但是至少pubwin,美萍和万象我还是比较了解的,只要一个原理明白了,我想,别的应该也差不多吧,方法和破解pubwin的那些方法一个原理,具体方法请在google里面找《轻松搞定网吧》,里面有很详细的方法,在此,我还要详细的说说,用debug的方法,其实在windows里面都有debug,只要我们在cmd(98是ms-dos)就可以了想使用debug搞破解,首先要学好汇编,才能弄明白,在有快速入门,并且还有关于使用debug的详细方法,有空可以去看一看学一学。

  当然,网吧的管理系统还有刷卡制的,我也遇到过,我也在网吧亲手实验过,有一个叫长春同联的管理系统的确很BT,方法也很简单,首先只要我们能进他的系统就可以了,我们只要花5毛钱的时间就可以了,我们去注册表的HKEY_CURRENT_USER/Software/Microsoft/windows/CurrentVersion/run下看看就可以了,既使你将里面的所有键值删掉也没有问题,然后在HKEY_CURRENT_USER/Software/Microsoft/windows/CurrentVersion/runonce下也许会有键值。然后去
HKEY_LOCAL_MACHINE/Software/Microsoft/windows/CurrentVersion/run里面HKEY_LOCAL_MACHINE/Software/Microsoft/windows/CurrentVersion/runonce和HKEY_LOCAL_MACHINE/Software/Microsoft/windows/CurrentVersion/runservice里面会有键值,只要删掉就可以了,如果重启生效,只要还原卡被破解了,重启一下也没有关系啦,呵呵!

  好了,以上是手工突破网吧限制的方法,如果有朋友觉得麻烦,还可以使用软件来突破,或者自己写申请一个免费的空间,然后写脚本文件加在里面不就可以啦?(谁扔东西砸我呢?)我们想用工具突破网吧限制或者破解网吧管理员管理系统的密码,可以去cy07的站看看啊,那里有很多是在线破解的,如果你的网吧不能在线破解,或者说干脆把cy07 的站给封杀掉了,没关系,你现在把那些工具放到你的站里,也做成在线破解的不就可以了?或者还是用QQ来和别人合作!只要我们有了相应网管密码读取器就什么都会变得容易,如果没有相应的密码读取软件的管理系统,可以按照我在网上发表的那篇《轻松搞定网吧》的方法来得到管理员的密码。比如pubwin4我们可以清除管理员密码,用pubwin4管理员密码清除器

  这样就可以清除管理员密码了,在pubwin4的环境里面你就可以为所欲为了。如果你是万象幻境的话,可以用相应的软件来破解管理员密码

  如果你那里是美萍管理系统,可以用专门破解美萍的软件来破解美萍的管理员的密码,其实使用这些软件的方法都是很简单的,只要你用心去琢磨,什么都是一样,现在连还原卡的破解工具都出来了,可能有的网吧还在用还原精灵,其实现在网吧的突破软件差不多被提供得很完美了,只要你的思维是灵活的,自己肯去动脑,动手,再难的问题都会迎刃而解的。其他的网吧或者机房管理系统的原理基本是一样的。

  好了,关于突破网吧的限制的总结就是这么多了,如果哪位朋友还不明白,多去查查google或者baidu就会明白了,网络是很大的。

  在32位系统时代,我们会先在任一电脑上安装操作系统及应用软件,再用系统安装光盘提供的setupmgr.exe和sysprep.exe工具对系统进行封装处理(注:本文以Windows XP为例,setupmgr.exe和sysprep.exe一般可通过系统安装光盘SUPPORTTOOLS目录下的DEPLOY.CAB解压而得),然后用Ghost制作出万能镜像文件。此镜像文件适合绝大部分的电脑,而且整个安装过程一般不会超过20分钟。

  当我们想制作64位Windows XP万能镜像文件时,将DEPLOY.CAB用WinRAR解压后,却发现仅有setupmgr.exe而不见sysprep.exe的踪影。现在我们只能借用Windows XP SP2下的sysprep.exe文件来实现这一功能(注:如果同时使用32位Windows XP SP2的setupmgr.exe和sysprep.exe文件会出现32位程序不能在64位系统下运行的提示,通过Windows XP SP1安装光盘也可得到上述两个文件,但两者都不能在64位系统下正常运行,系统会提示Windows版本不符之错)。之后的镜像制作方法与在32位系统下制作基本相同,这里就不重复介绍了。

  还有一个值得注意的问题就是在32位系统下制作万能镜像文件时,我们须要修改电脑的管理模式为“Standard PC”,可在64位系统下无法对其进行修改,用网上流行的另一款小工具软件“ACPI”也不能进行有效的修改。要解决这一问题,可将Ghost镜像文件克隆到其他电脑后,将该电脑的主板驱动程序重新安装一遍即可。

  比比有话说:在32位系统下,将管理模式修改为“Standard PC”的目的是让安装镜像文件的电脑能找回自己的电源管理模式,否则关机时屏幕会一直停留在“正在关闭计算机”的画面而无法自动切断电源。

  WinXP 64 Pro全称Windows XP 64bit Edition,是微软公司专门为Opteron/Athlon 64和Intel EM64T设计的操作系统。它可以满足今后海量内存和浮点性能应用的需求,有着更快速的代码执行效率。面对新的操作系统,我作为一个使用者,同样在兴奋期待之余,怀着一丝担心,带着一些疑问……在拿到WinXP 64 RC2后,带着我最关心的问题进行了一番试用。

  在 网页完成在线注册,填写正确的Email地址,这样微软就会给你寄一份含有WinXP 64 Pro RC2下载地址的邮件,按邮件说明下载ISO即可。记得把里面的安装序列号用笔记下来,后面会用到。须激活才能使用360天,否则只有14天的期限。

  32位芯“碎”?

  安装WinXP 64 Pro RC2,它首先会检测CPU是否符合要求。当检测到32位CPU时,它“无情”地拒绝了安装,在VMWare等虚拟机软件中也不能进行安装。看来微软暂时没有考虑让64位的WinXP来兼容32位CPU,也就是说,目前绝大多数的电脑是与WinXP 64“无缘”了。

  安装有何不同?

  将下载的ISO映像刻盘,重启系统用光盘引导后进入安装界面,WinXP 64 Pro RC2的安装界面以及安装过程都与32位版的WinXP极为相似。在WinXP 64 Pro RC2下安装SATA硬盘时需要注意一下,SATA硬盘在32位WinXP下安装时有些主板需要加载随盘附带的SATA驱动程序才行,在WinXP 64 Pro RC2下也是如此。笔者用的是VIA KT800+SATA硬盘,因此首先登录VIaA官方网站下载相应的64位驱动程序(VIA_HyperionPro64_V099.zip文件),解压后把HyperionPro64-099VIARaidDrvDisk目录下的所有文件复制到软盘上。在安装WinXP 64 Pro RC2时,当屏幕提示“Press F6 if you need to install a third party SCSI or RAID driver…”便按“F6”键,按“S”键插入刚才制作的软盘来加载驱动程序,不一会儿,SATA硬盘就可以顺利找到了。在文件复制完成后,安装向导会提示输入序列号,这时把先前用笔抄下来的序列号填写进去即可。

  与32位WinXP并存?

  笔者的PC配置为AMD64 3200+,WinXP 64 Pro RC2整个安装过程持续大约40分钟,与32位版WinXP相比稍微慢点。安装程序非常智能,它允许电脑中原来的操作系统与之并存,比如笔者C盘原来有个32位的WinXP,WinXP 64 Pro RC2就顺利地安装到另一个硬盘上,并且在开机启动项中增加了一条“Windows XP x64 Edition”选项。

  硬件如何适应64位系统?

  WinXP 64 Pro RC2是一款64位的操作系统,目前常用的32位硬件驱动程序不能在它下面正常工作,好在微软已经在系统中内置了大部分主流硬件的64位驱动程序,像笔者的微星MS-6072主板集成的声卡和网卡、FX5900显卡等都能够正常驱动。当然,也有例外,笔者的天敏TV卡在设备管理器中就只显示为未知多媒体设备,目前暂无64位驱动程序,因此不能使用。总之,WinXP 64 Pro RC2硬件整体的兼容性与32位WinXP相似,只要不是太另类的硬件都可以实现最基本的功能。

  要发挥硬件设备的全部性能,完全依赖操作系统自带的硬件驱动程序是远远不够的,比如要让笔者的FX5900显卡在游戏(如DOOM3、半条命2等)中流畅运行(默认的驱动程序没有包含DOOM3等游戏所需的OpenGL1.4),就要安装nVIDIA提供的64位驱动程序,到官方网站下载后安装即可。

  小知识:Athlon 64和Intel EM64T实现64位的技术

  AMD64选择了发展向下兼容32位的64位处理器技术,称为x86-64。x86-64实现的途径是,在64位处理器基础上添加对32位处理器的支持,这种技术的成品就是我们已熟悉的AMD64处理器,包括Athlon 64和Athlon FX。Intel 64位处理器技术是在目前IA-32架构处理器的基础上增加了对64bit的扩展支持。很快,我们就可以见到平民级的Intel 64位处理器实物。

32位程序能运行吗?

  这的确是一个值得关心的问题,如果32位的程序不能在64位的系统中得到兼容,那么如此多的软件要一下子实现64位的升级,太困难了。在WinXP 64 Pro中微软提供了一个叫WOW64的子系统(Windows-32-on-Windows-64),它为现有的32位应用软件提供了一个模拟环境,可以使大多数32位应用软件无须修改就平稳地运行在Windows 64位版本上。



  常用的32位应用软件通过WOW64子系统都运行得不错,而且性能损失很小,特别是对目前主流游戏的支持令人非常满意。大家注意,凡是涉及到虚拟设备的应用软件,如Alcohol、daemon等虚拟光驱软件都被拒绝安装,看来如果想在WinXP 64 Pro里继续使用虚拟光驱只有等新的64位版本了。Realplayer 10简体中文版在WinXP 64 Pro RC2下会拒绝安装,但可以用暴风影音5.0来代替使用。极点中文输入法4.2虽然可以流畅运行,但不能在纯64位应用软件如IE for 64bit下输入中文,而微软自带的“微软智能拼音”则可以。

  细心的用户在安装应用软件时可能还会发现这样的现象,系统默认把32位应用软件安装在“Program Files (x86)”目录,而64位应用软件则安装在“Program Files”目录。打开任务管理器,会看到进程列表中有很多带(*32)标志的程序,这些都是系统用于区分32位应用软件的标志。

  由于目前WinXP64还处于测试阶段,因此暂时还没有什么64位杀毒软件可装,笔者试装了手边的32位版本“瑞星2005”杀毒软件,很幸运,无论是瑞星实时监控还是杀毒,运行都很正常。在64位瑞星单机版还没出来之前暂时可以这样用着(据报道:近日瑞星和金山即将推出64位杀毒软件)。

  64位的优势何在?

  从表1中可以看到,虽然64位的WinXP系统都较好地兼容32位程序,但这样并不能体现出64位系统的优势,而且从3DMark的测试分数来看,性能反而很低。难道64位系统不是更好,而是更差了?其实不然,这是因为目前64位的应用程序还非常少,而且测试64位系统性能的方法与32位系统不同,所以才会有不升反降的现象。不过,现在Sciencemark.org已经推出了专门支持64位Windows的ScienceMark 2。它可以充分发挥64位系统的优势,获得更准确的系统得分。这个版本已经支持Pentium 4 EM64T和AMD 64位处理器。有兴趣的朋友可以到下载来使用。

  上网有变化吗?

  笔者采用ADSL固定IP上网,在WinXP 64 Pro RC2中可以直接按照32位WinXP的上网设置进行配置,在“Control Panel ”/“Network and Internet Connections”/“Network Connections”配置中打开连接属性,将电信提供的IP、网关、掩码、DNS等参数填入即可。浏览网页的工具可以选择系统自带的IE6或者第三方的浏览器(如Firefox)。须要注意的是,由于目前IE6 for 64位还是测试版,针对它的插件较少(包括Flash插件),因此在IE6 for 64位版本下可能不能正常浏览flash、在线视频播放等,局域网的设置和32位WinXP设置也是相同的,这里就不赘述。经笔者测试,WinXP 64 Pro RC2与32位WinXP SP2对等网互联、共享上网都正常。

   我们知道,在注册表HKEY_LOCAL_MACHINE SoftwareMicrosoftWindowsCurrentVersionRun下可以加载程序,使之开机时自动运行,类似“Run”这样的子键在注册表中还有几处,均以“Run”开头,如RunOnce、RunServices等。除了这种方法,还有一种修改注册表的方法也可以使程序自启动。

  具体说来,就是更改文件的打开方式,这样就可以使程序跟随您打开的那种文件类型一起启动。举例来说,打开注册表,展开注册表到HKEY_CLASSES_ROOTexefileshell
opencommand,这里是exe文件的打开方式,默认键值为:“%1”%*。如果把默认键值改为Trojan.exe“%1”%*,您每次运行exe文件,这个Trojan.exe文件就会被执行。木马灰鸽子就采用关联exe文件的打开方式,而大名鼎鼎的木马冰河采用的是也与此相似的一招——关联txt文件。

  对付这种隐藏方法,主要是经常检查注册表,看文件的打开方式是否发生了变化。如果发生了变化,就将打开方式改回来。最好能经常备份注册表,发现问题后立即用备份文件恢复注册表,既方便、快捷,又安全、省事。

  木马对设备名的利用

  大家知道,在Windows下无法以设备名来命名文件或文件夹,这些设备名主要有aux、com1、com2、prn、con、nul等,但Windows 2000/XP有个漏洞可以以设备名来命名文件或文件夹,让木马可以躲在那里而不被发现。

  具体方法是:点击“开始”菜单的“运行”,输入cmd.exe,回车进入命令提示符窗口,然后输入md c:con\命令,可以建立一个名为con的目录。默认请况下,Windows是无法建立这类目录的,正是利用了Windows的漏洞我们才可以建立此目录。再试试输入md c:aux\命令,可以建立aux目录,输入md c:prn\可以建立prn目录,输入md c:com1\目录可以建立Com1目录,而输入md c: ul\则可以建立一个名为nul的目录。在资源管理器中依次点击试试,您会发现当我们试图打开以aux或com1命名的文件夹时,explorer.exe失去了响应,而许多“牧马人”就是利用这个方法将木马隐藏在这类特殊的文件夹中,从而达到隐藏、保护木马程序的目的。

  现在,我们可以把文件复制到这个特殊的目录下,当然,不能直接在Windows中复制,需要采用特殊的方法,在CMD窗口中输入copy muma.exe \.c:aux\命令,就可以把木马文件muma.exe复制到C盘下的aux文件夹中,然后点击“开始”菜单中的“运行”,在“运行”中输入c:aux muam.exe,就会成功启动该木马。我们可以通过点击文件夹名进入此类特殊目录,不过,如果您要试图在资源管理器中删除它,会发现这根本就是徒劳的,Windows会提示找不到该文件。

  由于使用del c:aux\命令可以删除其中的muma.exe文件,所以,为了达到更好的隐藏和保护效果,下木马者会把muma.exe文件也改名,让我们很难删除。具体方法就是在复制木马文件到aux文件夹时使用命令copy muma.exe \.c:con.exe,就可以把木马文件muma.exe复制到aux目录中,并且改名为con.exe,而con.exe文件是无法用普通方法删除的。

  可能有的朋友会想,这个con.exe文件在“开始”菜单的“运行”中无法运行啊。其实不然,只要在命令行方式下输入cmd /c \.c:con就可以运行这个程序了。在运行时会有一个cmd窗口一闪而过,下木马者一般来说会对其进行改进,方法有很多,可以利用开机脚本,也可以利用cmd.exe的autorun:在注册表HKEY_LOCAL_ MACHINESoftwareMicrosoftCommand Processor下建一个字串AutoRun,值为要运行的.bat文件或.cmd文件的路径,如c:winntsystem32auto.cmd,如果建立相应的文件,它的内容为@\.c:con,就可以达到隐蔽的效果。

  对于这类特殊的文件夹,发现后我们可以采用如下方法来删除它:先用del \.c:con.exe命令删除con.exe文件(该文件假设就是其中的木马文件名),然后再用rd \.c:aux命令删除aux文件夹即可。

  好了,文章到这里就结束了。由于水平有限,文中如有不正确或值得商榷的地方欢迎大家批评指点,另外,写作时曾参阅过网上高手们的帖子,受益匪浅,在此一并谢过!


  不过,AutoRun不仅能应用于光盘中,同样也可以应用于硬盘中(要注意的是,AutoRun.inf必须存放在磁盘根目录下才能起作用)。让我们一起看看AutoRun.inf文件的内容吧。

  打开记事本,新建一个文件,将其命名为AutoRun.inf,在AutoRun.inf中键入以下内容:

[AutoRun]
Icon=C:WindowsSystemShell32.DLL,21
Open=C:Program FilesACDSeeACDSee.exe

  其中,“[AutoRun]”是必须的固定格式,一个标准的AutoRun文件必须以它开头,目的是告诉系统执行它下面几行的命令;第二行“Icon=C:WindowsSystemShell32.DLL,21”是给硬盘或光盘设定一个个性化的图标,“Shell32.DLL”是包含很多Windows图标的系统文件,“21”表示显示编号为21的图标,无数字则默认采用文件中的第一个图标;第三行“Open=C:Program FilesACDSeeACDSee.exe”指出要运行程序的路径及其文件名。

  如果把Open行换为木马文件,并将这个AutoRun.inf文件设置为隐藏属性,我们点击硬盘时就会启动木马。

  为防止遭到这样的“埋伏”,可以禁止硬盘AutoRun功能。在“开始”菜单的“运行”中输入Regedit,打开注册表编辑器,展开到HKEY_CURRENT_USERSoftware MicrosoftWindowsCurrentVersionPoliciesExploer主键下,在右侧窗口中找到“NoDriveTypeAutoRun”,就是它决定了是否执行CDROM或硬盘的AutoRun功能。将其键值改为9D,00,00,00就可以关闭硬盘的AutoRun功能,如果改为B5,00,00,00则禁止光盘的AutoRun功能。修改后重新启动计算机,设置就会生效。

在你离开宿舍、办公室之后,你可能会担心你的电脑是否被其他人动过;你可能一直找不出电脑关机速度慢的原因所在。

  如果没有专门安装控制、监测软件,这些问题就真的无从解决吗?并非如此,在Windows 2000中已经有了很详细的监听器,它可以帮你检查谁登录了你的电脑,谁在开机、关机,还能找出像关机速度慢这类问题的解决方法。

  第一步:打开注册表编辑器,找到[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system],在里面建立一个名为“verbosestatus”的DWORD值,然后将它值设为1。

  第二步:还是在这个位置,检查一下有没有“DisableStatusMessages”这个键值,如果有,将它的值修改为0,或者干脆删除它。

  第三步:关闭注册表编辑器,重启电脑。进入“开始→控制面板→管理工具→事件查看器”,然后点击“系统”,你就会看到更多内容了。用户登录、开机、关机等信息,都会有在这里得到体现。

  实例:给你“功力”增强的事件查看器

  在进行上述修改前,事件查看器具有较低的查看级别,一些事件不会被记录下来。修改后,可以更详细地了解系统状况。当Windows 2000关机速度缓慢时,只要进入“开始→控制面板→管理工具→事件查看器”,点一下“应用程序日志”,这时就会看到详细的故障信息。

  经过分析,我们得出结论:这是由于配置文件卸载出错造成的关机速度缓慢,我们曾经2004年第11期介绍过它的解决方法:只要安装一个微软出的小软件即可解决问题。(下载地址:)。

  小提示:

  你也可以把这个软件植入注册表,方法是打开注册表编辑器,找到[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\UPHClean\Parameters],在右侧窗格中找到REPORT_ONLY并将其值设定为1即可。

文章原作者:网路游侠


朋友的站点流量很大,这不,站做大了,黑客就来了……

X日,朋友打电话给我,说站被黑了。接着我打开页面看了下,见所有的页面都自动弹出一个比较恶心的窗口,郁闷。查看页面文件源代码,发现里面没有一个陌生的调用。郁闷中!

这样子怎么行,要朋友说我技术不过关?——No!

我问他文章调用页面一共调用了几个js,然后挨个分析。我是这么想的:既然源代码没有陌生的调用,那么问题肯定在本地的服务器。我在浏览器打开 、这样子形式的链接,一个个提示我下载,最后一个却转向了另一个页面!htt://!一定就是这个的问题了!

说到这里,可能有的朋友会问,怎么会有这样子的问题呢?我点的是本地的链接,怎么转到人家网站去了?且听游侠细细道来:

在微软的IIS里面,有这样一个选择项,可能很多朋友没有注意过,在IIS选项的“主目录”-“此资源的内容来自”-“重定向到URL”:

看到了?即使你输入你的网址,你的网址也可以转到这个js文件,这个是对整个网站的重定向,你也可以用下面的这个对单个文件重定向:

在IIS管理里面,找一个你要重定向的文件,点右键,属性。出现下面的窗口:

这样子,随便你怎么输入aboutus.html这个文件,都会转到的页面去,黑客用也应该是这种方法了。既然他能做到这一步,推测他要么是高人,可以在CMD下面搞定,要么,也是最大的可能,就是和我一样,用GUI搞定。这么说,最大的可能是他已经可以完全操控这台计算机了,并且有基于GUI的远程控制工具。

朋友打电话问托管机房的管理员,管理员也证实了我上面的推测。于是,受朋友委托开始了“征服”这台服务器的路程!

渗透:

当然,既然朋友的网站在上面放着,当然不能做的很过分。不过既然人家黑客可以搞定,当然我也必然可以搞定。开始行动。

首先用老兵的whois查询工具,发现上面绑定了七八个网站,依次打开,最终只有两个可以显示的。就是朋友的这个,另外一个是某地政府的信息网。朋友的站用的系统我很熟悉,应该不存在什么问题,那么就对不住这个政府的了……

网站是asp的,用NBSI居然没有发现漏洞,出乎我的意料。但是有论坛……

可惜,是DVBBS 7 SP2的,好像截止现在还没有最新的漏洞出来。郁闷。

随手输入username:admin,password:admin888——居然进去了!天啊,中奖了!

好的,进入后台吧,输入这个用户名、密码却提示不正确,看来是被修改过了。没有办法了?No!输入:游侠的TT就提示我下载数据库了,到这里是不是很多读者羡慕我的运气了啊?呵呵,没办法,命好!^_^

发现有两个管理员,一边复制了md5字段用破解工具进行破解,一边想别的办法,因为暴力破解实在要靠运气,虽然命好,但是“上帝是不会永远把所有的运气都给你的”,还是要自力更生,就算艰苦也要奋斗!

打开数据库,找到Dv_log表,在l_content这一列里面搜索“oldusername”找到下面的这个:

——————————————
oldusername=admin&username2=admin&password2=beiheile&adduser=admin&id=9&Submit=¸ü+Д
——————————————

oldusername、username2、password2,看到了吧?嘿嘿,这个可是后台登陆的用户名和密码啊。赶快登陆哦!

对了,现在先在前台上传一个改名.gif的木马,进入后台用数据库备份的方法改成.asp的,详细方法偶也不说了,看图操作。呵呵

这样子我们就有了一个在aspmm目录下面的名为ok.asp的木马。

拿这个webshell查看硬盘,却一片空白。很明显的设置了目录的访问权限。

怎么办?上传个东东再说。随便建立个asp文件,上传,没有问题。好,有戏!看来要用ServU了?呵呵。试试看:

晕,怎么会这样子?设置过了哦,不过,可能是ServU修改的,先上传一个提升工具再说。

上传serv-u.exe,用webshell执行,居然有提示信息……嘿嘿。那就不客气了!下面的截图是这个权限提升工具的利用方法。偶直接调用cmd添加管理员帐号并添加到管理员组。

先执行:servu.exe “cmd.exe net user SQLBackUper fuckusa /add”

再执行:servu.exe “cmd.exe net localgroup administrators SQLBackUper /add”

因为我知道这台机子装了SQL Server,所以起了这么个迷惑人的名字。现在就有了管理员权限了!接着用 3389.exe 远程开启终端服务。终于搞定了……

偶不急先登陆上去,webshell用习惯了,速度很快,比终端服务快一些。

这个是在命令行下面解除对用户访问权限的命令,我执行:

servu.exe “cacls.exe c: /E /T /G everyone:F”

这样子解除了C盘浏览的限制,当然我现在可以解除所有盘的限制嘿嘿

查看C盘下面,果然是装了Serv-U,不过版本却是6.0,晕的厉害,难道这个5.1提升工具也可以提升6.0的?幸福哦。

现在好了,用终端服务连接了。

询问任何熟悉安全的IT专业人员有关在企业环境中使用无线网络的问题,他们都会告诉你,普通的AP安全措施并不能真正解决问题。无线通信的广播性质、日益高级的无线监听工具和破解无线AP传输数据的手段,都表明不采用额外的措施,无线网络并不安全。大多数专家建议,把无线AP放在自己的网段中,并将这一网段用防火墙保护起来,防止内部网的其它部分与无线AP连接起来。

  采取的下一个步骤是让你的所有的无线客户使用虚拟专用网软件,你的无线网络会更安全一些。同时,如果你的网络有一个DMZ(半军事化区,内部网络与外部互联网之间的半安全区域),就使用这个DMZ。如果没有DMZ,就坚持使用老的方法, 使用单独的电缆隔离或者AP的虚拟网络,让数据在进入内部网之前通过一个防火墙,只让这个通信停留在网络的安全的一边。


  有两种方法可以把虚拟专用网和无线AP结合起来。第一种方法是把AP放在Windows服务器的接口上,使用Windows内置的虚拟专用网软件增加无线通信的覆盖范围。这种方法允许你使用内置的Windows客户端软件以及L2TP和IPSec软件,为你的无线网路的通信进行加密。这种技术也适用于支持同样的内置或者免费的虚拟专用网客户端软件的其它操作系统。这个方法的好处是使用内置的软件,客户端软件的变化很小,非常容易设置和应用,不需要增加额外的服务器或者硬件成本。这种方法的不足是增加了现有的服务器的额外负荷(根据你提供服务的AP的数量和使用这些AP的客户数量的不同,负荷也有所不同)。服务器执行其它的任务也许会效果不好。如果同一服务器还提供防火墙功能,额外负荷可能会提示使用其它的服务器或者采用不同的方法。


  第二种方法包括使用一个包含内置虚拟专用网网关服务的无线AP。SonicWall、WatchGuard和Colubris等公司目前提供一种单个机箱的解决方案。这种解决方案集成了AP和虚拟专用网功能,使应用无线安全网络更加容易。这种预先封装在一起的两种功能结合在一起设备很容易安装、设置、配置和管理,而且很容易强制规定政策,让每一个无线连接都使用虚拟专用网完成连接。由于这种方法在使用的时候很容易选择,加密也更加合理了,避免了802.1x加密为虚拟专用网连接增加的费用。这种方法的弱点包括价格昂贵,购买新的机器只能满足新的无线局域网子网的需求,在不更换硬件的情况下很难从一种无线技术升级到另一种技术。


  混合的方法也许包括与现有无线AP一起使用客户端软件,并且计划过渡到新的基于设备的产品。另一种方法是指定一台在DMZ(或者在自己的网段)的服务器,专门处理无线连接、VPN网关需求以及防火墙信息,开启或关闭无线网段。但是,在其中增加一个虚拟专用网,你可以提高安全性并且感到更有信心,有时日常网络通信在无线网络中像在有线网络中一样安全。

防范共享入侵

让我们假装表演一下。假设有一个恶意的内部人员在你的网络公司要寻找一个有价值的东西。我们把他称作“Eddie”。Eddie也许是一个咨询师,或者是一个销售员。他甚至可以在你们公司下班的时候进入公司担任安全“值班”。不管他做什么,他知道接入某个人的网络并且去做他想做的事情是非常容易的。为什么?就是因为Windows的缺省设置。

  Eddie并不知道Windows 2000的组策略对象。然而,由于他的恶意想法和希望得到信息,他知道大多数Windows并没有因为普通的威胁而增强安全措施。他认识到,你计算机中存储了许多值得他窃取的信息。


  现在,Eddie不需要无线局域网连接就可以接入你的网络。他可以直接接入整个大楼里面空房间和会议室内几十台电脑中的任何一台连接到网络的电脑。Eddie知道,如果需要的话,他可以很容易地成功地连接到没有采取保密措施的Wi-Fi接入点。他还知道,物理接触你的计算机是没有价值的。


  根据我的经验,Eddie将在你的Windows系统上做几件事情,很可能是Windows 2000系统,也有可能是Windows XP或者Windows Server 2003。(遗憾的是所有这些安全突破通过增强你的组策略设置都是可以避免的)


  你可以使用组策略预防十种攻击。如果不加强组策略设置,像Eddie这样的恶意的内部人员就可以做以下十种事情:


  1.查看最近一次登录服务器和工作站的用户ID。这是他收集用户名的最好机会。他可以利用窃取的用户名破解用户口令,入侵用户账户。


  2.开始猜测软弱的口令,然后就不用我说会发生什么事情了吧?


  3.拷贝活动目录数据库,有可能获得所有的用户名和密码。


  4.使用功能强大的口令破解工具,如“Proactive Windows Security Explorer”或者“LC 5”,通过连接远程服务器破解口令或者直接从线上获取数据。 

默认安装带来安全漏洞

  记得有一次在和一位网管聊天的过程中他坚持认为自己Windows 2000 Server系统是不可能被入侵的。“我已经把IPC$的连接共享都禁止,入侵者根本无法得到我系统上的账户信息了,保证没有问题。”而经过我检查发现TCP 139和445端口确实被禁止了,但通过扫描器我却发现了一个重大漏洞——UDP 161D端口上的SNMP。询问管理员后得知是正在试用某公司的网络管理软件。我们知道Windows 2000后续的版本都可以通过“添加/删除程序→管理和监视工具”安装上SNMP,但在Windows系统中选择默认安装是非常不安全的。

  默认安装SNMP的密码都是一样的。而入侵者从SNMP代理服务中会轻易的完成入侵前的准备工作。还有一点提醒各位,SNMP的消息是以明文形式发送的,而这些消息很容易被Microsoft网络监视器或者Sniffer这样的网络分析程序截取并解码。入侵者可以轻易的捕获服务的密码,以获取有关网络资源的重要信息。

  获取SNMP服务信息非常容易

  1.Snmputil命令

  如果我们知道默认的SNMP服务密码,通过Resource Kit工具包里的Snmputil工具可以轻易地通过SNMP服务把Windows账户罗列出来,以便进行进一步的安全检测。语法如下:snmputil walk .1.3.6.1.4.1.77.1.2.25,例如输入:snmputil walk 192.168.0.1 ××××.1.3.6.1.4.1.77.1.2.25 命令后将得到所有的用户名,如图1所示。

  另外通过Snmputil Getnext可以用来检测 Windows 2000 SNMP服务内存消耗拒绝服务攻击的缺陷,有兴趣的朋友可以尝试一下。

  2.图形界面的IP Network Browser工具

  IP Network Browser工具是Solar Winds公司出品的一个检测工具,通过该程序可以对自己的系统了如指掌。而这个工具包中还包括可以向目标系统里的MIB写入信息等功能,可以轻易更改系统的配置。

  加固SNMP服务的方法

  由于SNMP服务为管理员带来了很多方便,我们也不能为了相对的安全而停止使用该服务,所以对于它的安全防范至关重要,而最简单的方法就是更改服务的密码和针对IP地址提供有效服务。

  运行Services.msc命令,找到SNMP Service,右键选择“属性”,切换到“安全”选项卡。修改Community Strings,也就是 “团体名称”改写,然后添加授权访问地连接地址,如图2所示。

  如果是NT的操作系统就要麻烦些,修改下面注册表的键值。

  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SNMP\Parameters\ValidCommunities ] 中将public改名。

  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SNMP\Parameters\PermittedManagers ] 添加字符串,名称为“1”,内容为授权访问地连接地址。

  另外,在入侵者企图利用SNMP入侵时,我们可以让系统日志记录入侵信息,Windows事件日志中的可用来创建包含这一事件的SNMP陷阱,所谓“陷阱”就是SNMP 事件转换器的意思。由于篇幅的限制,这里显示出界面,细节内容可以参考“日志与审核”的相关帮助,如图3所示。

  加密SNMP的通信的方法

  除了上述关于主机加固的内容,为了不使用明文形式发送SNMP消息。可以利用IP Sec策略保护SNMP服务的安全。

  1. 选择“管理工具→本地安全策略”,右键点击“IP安全策略”,选择“本地计算机→管理IP筛选器列表和筛选器操作”。

  2. 选择“管理IP筛选器列表”然后单击“添加”按钮。在“IP筛选器列表”中的名称栏输入“SNMP的管理”,去除“添加向导”复选框,然后点“添加”按钮,(一定要选择“镜像。需要选择匹配具有正好相反的源和目标地址的数据包”复选框。)生成策略。

  3. 根据需要在“协议”选项卡中配置,协议类型为UDP,端口输入161。单击“到此端口”,然后输入161,用同样的方法再次添加162的端口,如图4所示。

  总结:在网络管理中,非常小的安全漏洞的疏忽将导致整个系统崩溃,“细心”是要求我们每位管理员必须做到的。同时,值得庆幸的是Windows Server 2003对于SNMP的默认安装作了很大改进,能够抵御到上文提到的所有攻击手段。



  图1 显示Windows账户列表


  图2 添加授权访问连接地址


  图3 创建SNMP陷阱连接地


  图4 管理IP筛选

·
阅读(2677) | 评论(0) | 转发(0) |
给主人留下些什么吧!~~