一、踩點
ping
[url=http://www.xxx.com]www.xxx.com[/url]
發(fā)現(xiàn)超時，可以是有防火墻或做了策略。再用superscan掃一下，發(fā)現(xiàn)開放的端口有很多個，初步估計是軟件防火墻。
二、注入
從源文件里搜索關鍵字asp，找到了一個注入點。用nbsi注入，發(fā)現(xiàn)是sa口令登陸，去加了一個用戶，顯示命令完成。哈哈，看來管理員太粗心了。先上傳一個webshell，上傳了一個老兵的asp木馬，接下來的就是個人習慣了，我平時入侵的習慣是先上傳webshell，然后再把webshell提升為system權限，因為這樣說可以說在入侵之時會非常的方便，我個人覺得這個方法非常好。
三、提升權限
先看哪些特權的：
cscript C:\Inetpub\AdminScripts\adsutil.vbs get /W3SVC/InProcessIsapiApps
得到：
Microsoft (R) Windows 腳本宿主版本 5.1 for Windows
版權所有(C) Microsoft Corporation 1996-1999. All rights reserved.
InProcessIsapiApps : (LIST) (5 Items)
"C:\WINNT\system32\idq.dll"
"C:\WINNT\system32\inetsrv\httpext.dll"
"C:\WINNT\system32\inetsrv\httpodbc.dll"
"C:\WINNT\system32\inetsrv\ssinc.dll"
"C:\WINNT\system32\msw3prt.dll"
把把asp.dll加進去：
cscript C:\Inetpub\AdminScripts\adsutil.vbs
set /W3SVC/InProcessIsapiApps "C:\WINNT\system32\idq.dll" "C:\WINNT\system32
\inetsrv\httpext.dll" "C:\WINNT\system32\inetsrv\httpodbc.dll" "C:\WINNT\system32
\inetsrv\ssinc.dll" "C:\WINNT\system32\msw3prt.dll""c:\winnt\system32
\inetsrv\asp.dll"
然后用asp木馬加個用戶，顯示命令完成。
四、TerminalService
接下來就是開3389了，用net start顯示，發(fā)現(xiàn)已開了TS服務，但端口上沒有3389，覺得可能是改端口了，但事實上它們欺騙我的感情。
我用netstat -an察看了一下,發(fā)現(xiàn)有3389,再從net start 里發(fā)現(xiàn)是對方的防火墻搞的鬼。算了，上傳個木馬吧，上傳了一個改了特征碼的20CN反彈木馬。然后用木馬在GUI 下關掉了防火墻，再用3389登陸器登了上去。這里我這樣做是因為我知道管理員一定不會在旁邊，而對于這個時候，比較老道的方法大家可以用fpipe實現(xiàn)端口重定向，或者用httptunnel，和黑防里面說的那樣，不過我試過沒有成功過一次。還有一種工具是despoxy，(TCP tunnel for HTTP Proxies)，大家有興趣的話可以去試一下，它可以穿透http代理。
五、簡單后門
1、改了FSO名，這樣是讓我自己享受，這個有system權限的馬兒。
2、放了幾個rootkit和幾個網(wǎng)絡上少見的后臺。
3、我個從是不喜歡多放后臺，覺得很煩。
六、sniffer
1.TS界面下，down了些嗅探器。先ARPsniffer圖形的看了一下，沒有一臺內(nèi)網(wǎng)機子。又看了一個外網(wǎng)，整個IP段都是?？磥砦业倪\行不錯嘛。打開webdavscan查了一下，只有兩三個IP是網(wǎng)站，而且是很小型的，接下來就沒有什么動力了。

最新評論