入侵Windows NT.docVIP

入侵Windows NT 如果要防范从远程对你的Windows NT的入侵，最好的办法还是研究一下入侵的基本方法。只有做到“知己知彼”，才能更好地防范入侵。 第一节　通过NetBIOS入侵 所有的入侵都涉及到以root或admin权限登录到某一计算机或网络。入侵的第一步往往是对目标计算机或的端口扫描（portscan）。建立在目标计算机开放端口上的攻击是相当有效的。NT机器的端口信息的显示和UNIX的不同。因此，一般能区分出目标计算机所运行的是哪个操作系统。 攻击NT为基础的网络时，NetBIOS是首选的进攻点。 使用端口扫描软件，比如Sam，看看目标计算机的端口139是否打开。139端口是NetBIOS session端口，用来进行文件和打印共享的，是NT潜在的危险。注意：运行SAMBA的Linux和UNIX系统的139端口也是打开的，提供类似的文件共享。找到了这样的目标计算机后，接下来是使用nbtstat命令。 NBTSTAT命令是用来询问有关NetBIOS的信息的，也能清除NetBIOS 缓冲区能的内容和将LMHOSTS文件预先装入其中。通过运行这一命令能得到许多有用信息。 NBTSTAT命令解释：nbtstat [-a RemoteName] [-A IP_address] [-c] [-n] [-R] [-r] [-S] [-s] [interval]开关： -a 列出给定主机名的远程计算机的名字表（name table） -A 列出给定IP地址的远程计算机的名字表 -c 列出远程名字缓冲区（name cache），包括IP地址 -n 列出本地NetBIOS 名字 -r 列出通过广播（broadcast）和WINS解析的名字 -R 清除和重新装入远程的缓冲的名字表 -S 列出和目标IP地址会话的表 -s 列出会话表转换 NBTSTAT命令的输出的每一栏都有不同的含义，它们的标题有下面几个，含义也在下面做了相应的解释： Input 接收到的字节数。 Output 发送的字节数。 In/Out 这个连接是来自该计算机（outbound）还是来自另外的系统（inbound）。 Life 在你的计算机清除名字表之前存在时间。 Local Name 连接时本地的名字。 Remote Host 远程计算机的名字或IP地址。 Type 一个名字可以有两种类型： unique 或group。 NetBIOS名字的最后16个字符经常代表一些内容。因为同样的名字可以在同一计算机出现几次。 该类型表示名字的最后一个字节（用16进制表示）。 State 你的NetBIOS连接将是下面几个状态之一： State MeaningAccepting 正在处理一个进入的连接Associated 一个连接的端点已经建立，你的计算机与它以一个IP地址相关Connected 你已经联系到了远程资源。Connecting 你的会话正试图对目标资源进行名字到IP地址的解析Disconnected 你的计算机发出一个断开请求，正在等待远程计算机的响应Disconnecting 正在结束你的连接 Idle 远程计算机在当前会话已经打开，但目前不接受连接 Inbound 一个inbound会话正试图连接 Listening 远程计算机可以使用了 Outbound 你的会话正在建立一个TCP 连接 Reconnecting 如果第一次失败，它会在重新连接时显示这一信息下面是一个NBTSTAT命令的实例： C:nbtstat -A x.x.x.x NetBIOS Remote Machine Name Table Name Type Status DATARAT 00 UNIQUE Registered R9LABS 00 GROUP Registered DATARAT 20 UNIQUE Registered DATARAT 03 UNIQUE Registered GHOST 03 UNIQUE Registered DATARAT 01 UNIQUE Registered MAC Address = 00-00-00-00-00-00 上面的输出是什么意思呢？尤其是Type这一栏，代表的是什么呢。再看看下面的表，它能告诉你什么？ Name Number Type Usage===================================================== computername 00 U Workstation Service computernam