黑色海岸线论坛 - Powered by Discuz! Board

标题: 3389端口入侵图文教程 [打印本页]

作者: fooler 时间: 2004-9-5 23:24 标题: 3389端口入侵图文教程

前言：由于微软对中国产品不付责任的态度，使得安装了终端服务和全拼的w2000 服务器存在着远程登陆并能获取超级用户权限的严重漏洞。
3389端口简介：WIN2000中文简体版存在的输入法漏洞，可以使本地用户绕过身份验证机制而进入系统内部。经实验，WIN2000中文简体版的终端服务，在远程操作时仍然存在这一漏洞，而且危害更大。
WIN2000的终端服务功能，能使系统管理员对WIN2000进行远程操作，采用的是图形界面，用户在远程控制计算机时其功能与在本地使用一样，其默认端口为3389，用户只要装了WIN2000的客户端连接管理器就能与开启了该服务的计算机相联。因此这一漏洞使终端服务成为WIN2000的合法木马。
这次我们要用到的工具有：SUPERSCAN2.03 WIN2000终端服务客户端。推荐使用流光4.6
下面我们来看看是怎么入侵的。
第一步：我们现在要做的是找到一台存在3389端口漏洞的主机，这是我们可爱的SUPERSCAN上场的时候了，

如果您对SUPERSCAN不太熟悉的话，你按照上图的配置就行了，在开始处填上你要扫描的IP地址段，结束处填上结束的IP地址段，如果你的网速和机器配置并不高的话，请不要扫描多个IP地址段。
第二步：假设我们现在已经得到一台存在3389漏洞的主机，现在我们要做的是进入到他的计算机中。这里我们就要用到上面所说到的终端客户端连接器了连接了。如下图所示：

我们需要在服务器处填上我们刚才扫描得到的3389端口主机，屏幕区域：640*480 800*600 1024*768……这个是你连接上去以后在你机器上显示的分辨率，建议为：800*600。在启用数据压缩处打上勾。其他的就不用调整了！就使用默认了！点连接，我们就可以看到熟悉的WIN2000登陆界面了！
第三步：我们要做的是利用输入法漏洞为我们创建一个用户，并加入到administrators中去，或者将guset激活。建议激活guset，因为这样不容易被网管发现。具体方法如下：
用终端连接器连接上几秒钟后，屏幕上显示出WIN2000登录界面（如果发现是英文或繁体中文版，放弃，另换一个地址）。用CTRL+SHIFT快速切换输入法，切换至全拼，这时在登录界面左下角将出现输入法状态条（如果没有出现，请耐心等待，因为对方的数据流传输还有一个过程）。用右键点击状态条上的微软徽标，弹出“帮助”（如果发现“帮助”呈灰色，放弃，因为对方很可能发现并已经补上了这个漏洞），下图中的计算机依然存在3389漏洞，帮助我们还可以使用！:)如图一

打开“帮助”一栏中“操作指南”，在最上面的任务栏点击右键，会弹出一个菜单，打开“跳至URL”。此时将出现WIN2000的系统安装路径和要求我们填入的路径的空白栏。比如，该系统安装在Ｃ盘上，就在空白栏中填入"c:\winnt\system32"。当然也不一定对方的2000是安装在C盘，如果出错的话，你可以用file:///c:查看C盘的文件名，我就遇的很多用户装的是双操作系统，C装98，D装WIN2000，您可以根据具体的位置定义跳转URL，我们这里的主机2000是安装在D盘上的，我们填入"d:\winnt\system32"如图三。然后按“确定”，就会在右边窗口出现图四所示，点显示文件，于是我们就成功地绕过了身份验证，进入了系统的SYSTEM32目录。

现在我们要获得一个账号，成为系统的合法用户。在该目录下找到"net.exe"，为"net.exe"创建一个快捷方式，右键点击该快捷方式，在“属性”－>“目标”－>d:\winnt\system32\net.exe后面空一格，填入"user guest active :yes"点“确定”。这一步骤目的在于用net.exe激活被禁止使用的guest账户，当然也可以利用"user 用户名　密码／add"，创建一个新账号。当然方法有很多种。我们这里将带领各位建立一个用户名为WINADMIN的用户，找到NET这个文件右键---创建快捷方式----属性----然后填加用户。

上图中，我们建立了一个名字为WINADMIN的用户，然后就是改变WINADMIN的密码，用到的命令是：net user winadmin xxxx XXXX是你要设置的密码！运行后可能没有什么反映，但是实际上已经填加了这个用户了。
第五步：
上一步我们已经填加了WINADMIN这个用户，但是光有一个普通用户的权限是不够的，我们需要提升一下自己的权限，也就是把我们加到管理员组中去。如下图所示：

再运行一下，呵呵！现在我们已经可以进入他的电脑了。
第六步----连接到对方计算机上去
我们使用终端连接器连接上去，填上你刚才建立的用户和密码，然后…………总之就象使用你的电脑一样！我们可以利用这台电脑为我们干很多事情，也可以当做跳板利用。如果他安装了IIS的话，你还可以放上个江湖！（我觉得还是先通知网管）建议大家给在桌面上留下一个TXT文件，告诉他怎么修复，让他尽快补上漏洞！（又干了一件好事）
最后教大家一招，登陆进入以后local-machine->software->microsoft->winnt->currentversion->winlogon
DontDisplayLastUserName:1
修改注册表相应健值,这样网管就不会查到你了
防范方法：
1.最简单的一个防范方法就是删除帮助文件。具体方法是在搜索中查找输入法的帮助文件，可以利用的有：PINTLGNT.CHM（微软拼音输入法），WINSP.CHM（双拼输入法帮助文件），WINZM.CHM（郑码输入法帮助文件），WINPY.CHM（全拼输入法帮助文件）WINIME.CHM（输入法操作指南）将以上文件全部删除
2.http://download.microsoft.com/downl..._SP2_x86_CN.EXE安装输入法补丁
3.停止终端服务
后记：本文非本人作品，而是在网上看见了觉得应该是一个比较好的入门教程，所以才发出来，高手请不要取笑！文章出自：http://www.cnitt.net

作者: 一只蛐蛐 时间: 2004-9-6 00:25 标题: 3389端口入侵图文教程

很早以前得漏洞了..
不过我们比较出道晚...
如果也可以过瘾一下.嘿嘿
小TTT一下.

作者: singbirds 时间: 2004-9-6 07:13 标题: 3389端口入侵图文教程

谢谢

作者: fooler 时间: 2004-9-6 16:12 标题: 3389端口入侵图文教程

看来是个垃圾帖子，都没人给我回复！！！！！！！

作者: 冰辰 时间: 2004-9-11 11:46 标题: 3389端口入侵图文教程

不是吧~好象这个帖子好久就可以用了~
还是SP1的时候
现在ＷＩＮ２０００打上了ＳＰ２就不可以用了～
兄弟～是不是～可以给我来邮件～
loveaqo@163.com

作者: wjp522 时间: 2004-9-12 02:14 标题: 3389端口入侵图文教程

看了一下~！比以前多懂一点~！谢了

作者: 黑色海岸线 时间: 2004-9-18 21:04 标题: 3389端口入侵图文教程

输入法漏洞补丁已经在两年前就公布了

作者: Jesse 时间: 2004-10-5 17:00 标题: 3389端口入侵图文教程

很早以前的漏洞了

作者: kkting 时间: 2004-10-7 01:59 标题: 3389端口入侵图文教程

有点老,估计很少有这样的漏洞的主机了啊!

作者: 情绪 时间: 2004-10-7 09:06 标题: 3389端口入侵图文教程

n久以前的了，还拿出来吖！！！！

作者: ycool 时间: 2004-10-9 09:09 标题: 3389端口入侵图文教程

这样的漏洞你就是扫两天两夜，如果扫的到一台我叫你老大。
绝种了

作者: 宇翔 时间: 2004-10-15 14:24 标题: 3389端口入侵图文教程

是哦！
不信，你试试
218.4.202.19
连接下载（我备好了的）  http://3389.3a3.net (直接下载）
连上去看看，  早没你哪  全拼了哦！
呵呵

作者: 笑书侠少 时间: 2004-12-8 14:15 标题: 3389端口入侵图文教程

呵呵~我试试~~去``1

作者: nainiou 时间: 2004-12-8 17:17 标题: 3389端口入侵图文教程

是不是的哦！~

作者: sniperyj 时间: 2004-12-8 19:11 标题: 3389端口入侵图文教程

顶一下。可是我看不见图片！！晕死

作者: 刺客 时间: 2004-12-8 19:19 标题: 3389端口入侵图文教程

还试什么啊~
都说了是N年前的了
现在我们是温习功课~
知道是有这回事~

作者: nainiou 时间: 2004-12-9 22:18 标题: 3389端口入侵图文教程

工具不好找的啊

作者: nainiou 时间: 2004-12-9 22:50 标题: 3389端口入侵图文教程

我扫描了一晚上
都没有搞到事的！~~

欢迎光临黑色海岸线论坛 (http://bbs.thysea.com/)