权限维持——获取登陆账号及安装后门程序

最新推荐文章于 2021-12-18 11:46:14 发布

没有如果ru果

最新推荐文章于 2021-12-18 11:46:14 发布

阅读量858

点赞数 1

分类专栏：后渗透

本文链接：https://blog.csdn.net/cxrpty/article/details/104828799

版权

本文介绍了攻击者如何在获取服务器权限后，通过获取Windows和Linux系统登录账号以及安装不同类型的后门程序来维持权限。实验详细说明了在Windows系统中利用QuarksPwDump.exe和mimikatz工具获取账号密码，在Linux系统中使用john the ripper破解密码。此外，还列举了多种后门技术，如隐藏账户、404页面隐藏webshell、shift后门和DLL劫持等。

摘要由CSDN通过智能技术生成

当攻击者获取服务器权限后，通常会采用一些后门技术来维持自己当前得到的权限，服务器一旦被植入后门，那么攻击者下次进入就方便多了。由于攻击可能被发现，会清除一些shell，导致目标丢失，所以需要留下后门来维持权限，达到持续控制的目的。

实验一：获取windows系统登录账号

实验环境：windows2008

windows系统登陆账号存储位置：C:\Windows\System32\config\SAM

windows密码验证原理：
在Windows系统中，对用户账户的安全管理采用了SAM（Security Account Manager，安全账号管理）机制，用户账户以及密码经过Hash加密之后，都保存在SAM数据库中。
SAM数据库保存在C:\WINDOWS\system32\config\SAM文件中，当用户登录系统时，首先就要与SAM文件中存放的账户信息进行对比，验证通过方可登录。系统对SAM文件提供了保护机制，无法将其复制或是删除，也无法直接读取其中的内容。

-SAM文件两种加密方式介绍： LM加密和NTLM加密
对于Windows2003之前，包括win2003系统，采用的是LM口令散列，对于Windows 2003之后的系统，采用的是NTLM口令列。
LM和NTLM都是基于Hash加密，但是它们的安全机制和安全强度存在差别，LM口令散列的安全性相对比较差。尽管现在已很少有人使用Windows2k之前的老版本系统，但为了保持向后兼容性，默认情况下࿰