发信人: rawrence()
整理人: jiaxu2000(2004-03-30 09:53:44), 站内信件
|
正如您所看到的，该服务器上的共享列表在建立了空IPC会话后才可用。这时，您
就
会意识到这个IPC连接有多么的危险，但我们现在已经掌握的IPC方法实际上是很
基本的方
法。与IPC共享一起出现的可能性还有待进一步研究。
WindowsNT 4.0资源工具的发布使得象管理员和网络入侵者这样的人能够用到新的
工
具。下面对一些资源工具实用程序进行描述。Rhino9小组运用这些实用程序与IP
C$空会话
一起收集信息。当您阅读这些工具的描述以及它们所提供的信息时，请记住：所
采用的空
会话不向远程网络提供任何真实的身份证明。
UsrStat: 这个命令行实用程序显示特定域中各个用户的用户名、全名以及最后一
次登
录的日期和时间。下面是根据远程网络通过一个空IPC会话采用这个工具进行的实
际剪切和
粘贴：
C:\NTRESKIT>usrstat domain4
Users at \\STUDENT4
Administrator - - logon: Tue Nov 17 08:15:25 1998
Guest - - logon: Mon Nov 16 12:54:04 1998
IUSR_STUDENT4 - Internet Guest Account - logon: Mon Nov 16 15:19:26 19
98
IWAM_STUDENT4 - Web Application Manager account - logon: Never
laurel - - logon: Never
megan - - logon: Never
我们现在来探讨一下整个俘获过程是怎么样发生的，以便于加深读者的理解。在
真正
的攻击发生前，把一个映射放到通过#PRE/#DOM标记映射Student4机器及其域活动
状态的
lmhosts文件中（下面详述）。然后把表目预加载到NetBIOS高速缓存器中，同时
建立一个
空IPC会话。正如您所看到的，这个命令是根据域名发出的。最后，该工具会向主
域控制
器查询这个域。
--
阿鲁的阿，阿鲁的鲁！
※ 来源:．月光软件站 http://www.moon-soft.com．[FROM: 202.101.167.139]
|
|