1、第6讲 网络后门测试第1页，共46页。企业工作任务分析o在进行渗透测试时，一个重要的工作内容就是测试目标系统有没有可利用的弱点或漏洞来种植后门，从而排除相关的安全隐患。o测试通过后门进入目标系统的方式。第2页，共46页。本讲任务o利用telnet服务开启后门。o利用web服务开启后门。o利用guest来宾账号开启后门o利用后门远程进入目标系统的方法第3页，共46页。留后门的方法第4页，共46页。1.1 什么是网络后门 o网络后门是保持对目标主机长久控制的关键策略。可以通过建立服务端口和克隆管理员帐号来实现。n留后门的艺术 o只要能不通过正常登录进入系统的途径都称之为网络后门。后门的好坏取决于被
2、管理员发现的概率。只要是不容易被发现的后门都是好后门。留后门的原理和选间谍是一样的，让管理员看了感觉没有任何特别的。第5页，共46页。1.2 远程启动Telnet服务o利用主机上的Telnet服务，有管理员密码就可以登录到对方的命令行，进而操作对方的文件系统。如果Telnet服务是关闭的，就不能登录了。o默认情况下，Windows 2000 Server的Telnet是关闭的，可以在运行窗口中输入tlntadmn.exe命令启动本地Telnet服务，如图所示。第6页，共46页。启动本地Telnet服务o在启动的DOS窗口中输入4就可以启动本地Telnet服务了，如图所示。第7页，共46页。远程
3、开启目标系统的Telnet服务o利用工具RTCS.vbe可以远程开启对方的Telnet服务，使用该工具需要知道对方具有管理员权限的用户名和密码。o命令的语法是：“cscript RTCS.vbe 172.18.25.109 administrator 123456 1 23”，o其中cscript是操作系统自带的命令oRTCS.vbe是该工具软件脚本文件oIP地址是要启动Telnet的主机地址oadministrator是用户名o123456是密码o1是登录系统的验证方式o23是Telnet开放的端口o该命令根据网络的速度，执行的时候需要一段时间，开启远程主机Telnet服务的过程如图所示。第
4、8页，共46页。远程开启对方的Telnet服务第9页，共46页。确认对话框 o执行完成后，对方的Telnet服务就被开启了。在DOS提示符下，登录目标主机的Telnet服务，首先输入命令“Telnet 172.18.25.109”，因为Telnet的用户名和密码是明文传递的，首先出现确认发送信息对话框，如下图所示。第10页，共46页。登录Telnet的用户名和密码 o输入字符“y”，进入Telnet的登录界面，需要输入主机的用户名和密码，如下图所示。第11页，共46页。登录Telnet服务器 o如果用户名和密码没有错误，将进入对方主机的命令行，如下图所示。第12页，共46页。相关提示：o利用o
5、pentelnet等其他工具也可以开启目标系统的telnet服务。o注意在开启远程主机的telnet服务时要注意设置telnet的验证方式为或，不用telnet的验证方式。第13页，共46页。1.3记录管理员口令修改过程o当入侵到对方主机并得到管理员口令以后，就可以对主机进行长久入侵了，但是一个好的管理员一般每隔半个月左右就会修改一次密码，这样已经得到的密码就不起作用了。o利用工具软件Win2kPass.exe记录修改的新密码，该软件将密码记录在Winnttemp目录下的Config.ini文件中，有时候文件名可能不是Config，但是扩展名一定是ini，该工具软件是有“自杀”的功能，就是当执
6、行完毕后，自动删除自己。第14页，共46页。记录管理员口令修改过程o首先在对方操作系统中执行Win2KPass.exe文件，当对方主机管理员密码修改并重启计算机以后，就在Winnttemp目录下产生一个ini文件，如图所示。第15页，共46页。1.4 建立Web服务和Telnet服务 o使用工具软件wnc.exe可以在对方的主机上开启两个服务：Web服务和Telnet服务。其中Web服务的端口是808，Telnet服务的端口是707。执行很简单，只要在对方的命令行下执行一下wnc.exe就可以，如图所示。第16页，共46页。建立Web服务和Telnet服务o执行完毕后，利用命令“netstat
7、-an”来查看开启的808和707端口，如图所示。第17页，共46页。测试Web服务 o说明服务端口开启成功，可以连接该目标主机提供的这两个服务了。首先测试Web服务808端口，在浏览器地址栏中输入“http:/172.18.25.109:808”，出现主机的盘符列表，如图所示。第18页，共46页。看密码修改记录文件 o可以下载对方硬盘设置光盘上的任意文件（对于汉字文件名的文件下载有问题），可以到Winnt/temp目录下查看对方密码修改记录文件，如图所示。第19页，共46页。利用telnet命令连接707端口 o可以利用“telnet 172.18.25.109 707”命令登录到对方的命令
8、行，执行的方法如图所示。第20页，共46页。登录到对方的命令行 o不用任何的用户名和密码就可以登录对对方主机的命令行，如图所示。第21页，共46页。自启动程序o通过707端口也可以方便的获得对方的管理员权限。ownc.exe的功能强大，但是该程序不能自动加载执行，需要将该文件加到自启动程序列表中。o一般将wnc.exe文件放到对方的winnt目录或者winnt/system32目下，这两个目录是系统环境目录，执行这两个目录下的文件不需要给出具体的路径。第22页，共46页。将wnc.exe加到自启动列表 o首先将wnc.exe和reg.exe文件拷贝对方的winnt目录下，利用reg.exe文件
9、将wnc.exe加载到注册表的自启动项目中，命令的格式为：o“reg.exe add HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun/v service/d wnc.exe”执行过程如图所示。第23页，共46页。修改后的注册表 o如果可以进入对方主机的图形界面，可以查看一下对方的注册表的自启动项，已经被修改，如图所示。第24页，共46页。1.5 让禁用的Guest具有管理权限 o操作系统所有的用户信息都保存在注册表中，但是如果直接使用“regedit”命令打开注册表，该键值是隐藏的，如图所示。第25页，共46页。查看winlogon.exe的进程号
10、o可以利用工具软件psu.exe得到该键值的查看和编辑权。将psu.exe拷贝对方主机的C盘下，并在任务管理器查看对方主机winlogon.exe进程的ID号或者使用pulist.exe文件查看该进程的ID号，如图所示。第26页，共46页。执行命令 o该进程号为192，下面执行命令“psu-p regedit-i pid”其中pid为Winlogon.exe的进程号，如图所示。第27页，共46页。查看SAM键值 o在执行该命令的时候必须将注册表关闭，执行完命令以后，自动打开了注册表编辑器，查看SAM下的键值，如图所示。第28页，共46页。查看帐户对应的键值 o查看Administrator和g
11、uest默认的键值，在Windows 2000操作系统上，Administrator一般为0 x1f4，guest一般为0 x1f5，如图所示。第29页，共46页。帐户配置信息 o根据“0 x1f4”和“0 x1f5”找到Administrator和guest帐户的配置信息，如图所示。第30页，共46页。拷贝管理员配置信息 o在图6-22右边栏目中的F键值中保存了帐户的密码信息，双击“000001F4”目录下键值“F”，可以看到该键值的二进制信息，将这些二进制信息全选，并拷贝到出来，如图所示。第31页，共46页。覆盖Guest用户的配置信息 o将拷贝出来的信息全部覆盖到“000001F5”目录
12、下的“F”键值中，如图所示。第32页，共46页。保存键值 oGuest帐户已经具有管理员权限了。为了能够使帐户已经具有管理员权限了。为了能够使Guest帐户在禁用的状态登帐户在禁用的状态登录，下一步将录，下一步将Guest帐户信息导出注册表。选择帐户信息导出注册表。选择User目录，然后选择菜单栏目录，然后选择菜单栏“注册表注册表”下的菜单项下的菜单项“导出注册表文件导出注册表文件”，将该键值保存为一个配置文件，将该键值保存为一个配置文件，如图所示。如图所示。第33页，共46页。删除Guest帐户信息 o打开计算机管理对话框，并分别删除Guest和“00001F5”两个目录，如图所示。第34页
13、，共46页。刷新用户列表 o这个刷新对方主机的用户列表，会出现用户找不到的对话框，如图所示。第35页，共46页。修改Guest帐户的属性 o然后再将刚才导出的信息文件，再导入注册表。再刷新用户列表就不在出现该对话框了。o下面在对方主机的命令行下修改Guest的用户属性，注意：一定要在命令行下。o首先修改Guest帐户的密码，比如这里改成“123456”，并将Guest帐户开启和停止，如图所示。第36页，共46页。查看guest帐户属性 o再查看一下计算机管理窗口中的Guest帐户，发现该帐户使禁用的，如图所示。第37页，共46页。利用禁用的guest帐户登录 o注销退出系统，然后用用户名：“g
14、uest”，密码：“123456”登录系统，如图所示。第38页，共46页。远程接入技术第39页，共46页。2.1 连接终端服务的软件 o终端服务是Windows操作系统自带的，可以远程通过图形界面操纵服务器。在默认的情况下终端服务的端口号是3389。可以在系统服务中查看终端服务是否启动，如图所示。第40页，共46页。查看终端服务的端口 o服务默认的端口是3389，可以利用命令“netstat-an”来查看该端口是否开放，如图所示。第41页，共46页。连接到终端服务 o管理员为了远程操作方便，服务器上的该服务一般都是开启的。这就给黑客管理员为了远程操作方便，服务器上的该服务一般都是开启的。这就给
15、黑客们提供一条可以远程图形化操作主机的途径。们提供一条可以远程图形化操作主机的途径。o利用该服务，目前常用的有二种方法连接到对方主机：利用该服务，目前常用的有二种方法连接到对方主机：n1、使用、使用Windows 2000的远程桌面连接工具。的远程桌面连接工具。n2、使用、使用Windows XP的远程桌面连接工具。的远程桌面连接工具。第42页，共46页。2.2 二种方法连接到终端服务 o第一种方法利用Windows 2000自带的终端服务工具：mstsc.exe。该工具中只要设置要连接主机的IP地址和连接桌面的分辨率就可以，如图所示。第43页，共46页。终端服务o如果目标主机的终端服务是启动的，可以直接登录到对方的桌面，在登录框输入用户名和密码就可以在图形化界面种操纵对方主机了，如图6-24所示。第44页，共46页。终端服务o第二种方法是使用Windows XP自带的终端服务连接器：mstsc.exe。界面比较简单，只要输入对方的IP地址就可以了，如图所示。第45页，共46页。小结u利用telnet服务开启后门。u利用web服务开启后门。u利用guest来宾账号开启后门u利用后门远程进入目标系统的方法第46页，共46页。
