2007年8月20日

Cmd模式下的入侵:網路配置篇

註:以下文章非本人撰寫為中國大陸網路轉載文章,並經本人整理。

來源:Cmd模式下的入侵技术大全<黑客该有的技术>

作者:HMC

##CONTINUE##

註:為免版面凌亂[----]中間所包夾的範圍為指令或程式碼。

前言:

Cmd Shell(命令列介面)是駭客永恆的話題,它歷史悠久並且長盛不衰。

本文旨在介紹和總結一些在命令列下控制Windows系統的方法。這些方法都是盡可能地利用系統內建的工具實現的。

網路配置篇:

Windows 內建的關於網路的命令列工具很多,比如大家熟悉的ping,tracert,ipconfig,telnet,ftp,tftp,netstat,還有不太熟悉的nbtstat,pathping,nslookup,finger,route,netsh......

這些命令又可分成三類:網路檢測(如ping)、網路連接(如telnet)和網路配置(如netsh)。前面兩種相對簡單,本文只介紹兩個網路配置工具。

--------------------------------------------------------------------

netsh 指令

在遠端shell中使用netsh首先要解決一個對話模式的問題。前面說過,很多shell不能再次重定向輸出輸出,所以不能在這種環境下交互地使用ftp等命令列工具。解決的辦法是,一般互動式的工具都允許使用Script(或者叫應答檔)。比如ftp -s:filename。netsh也是這樣:netsh -f filename。

netsh命令的功能非常多,可以配置IAS、DHCP、RAS、WINS、NAT伺服器,TCP/IP協定,IPX協定,路由等。我們不是管理員,一般沒必要瞭解這麼多,只需用netsh來瞭解目標主機的網路配置資訊。

1:TCP/IP配置

echo interface ip >s

echo show config >>s

netsh -f s

del s

由此你可以瞭解該主機有多個網卡和IP,是否是動態分配IP(DHCP),內網IP是多少(如果有的話)。

這個命令和ipconfig /all差不多。

注意,以下命令需要目標主機啟動 remoteaccess 服務。如果它被禁用,請先通過導入註冊表解禁,然後

net start remoteaccess

2:ARP

echo interface ip >s

echo show ipnet >>s

netsh -f s

del s

這個比arp -a命令多一點資訊。

3:TCP/UDP連接

echo interface ip >s

echo show tcpconn >>s

echo show udpconn >>s

netsh -f s

del s

這組命令和netstat -an一樣。

4:網卡資訊

如果netsh命令都有其他命令可代替,那它還有什麼存在的必要呢?下面這個就找不到代替的了。

echo interface ip >s

echo show interface >>s

netsh -f s

del s

netsh的其他功能,比如修改IP,一般沒有必要使用(萬一改了IP後連不上,就"叫天不應叫地不靈"了),所以全部略過。

--------------------------------------------------------------------

IPSec 指令

首先需要指出的是,IPSec 和 TCP/IP 篩選是不同的東西,大家不要混淆了。TCP/IP 篩選的功能十分有限,遠不如 IPSec 靈活和強大。下面就說說如何在命令列下控制 IPSec。

XP系統用 ipseccmd,2000下用ipsecpol。遺憾的是,它們都不是系統自帶的。ipseccmd 在xp系統安裝盤的 SUPPORT\TOOLS\SUPPORT.CAB中,ipsecpol在2000 Resource Kit裡。而且,要使用 ipsecpol 還必須帶上另外兩個檔:ipsecutil.dll 和 text2pol.dll 。三個文件一共119KB。

IPSec 可以通過群組原則來控制,但我找遍MSDN,也沒有找到相應的安全範本的語法。已經配置好的IPSec策略也不能被匯出為範本。所以,群組原則這條路走不通。IPSec的設置保存在註冊表中(HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\IPSec\Policy\Local),理論上可以通過修改註冊表來配置IPSec。但很多資訊以駭客動畫吧形式存放,讀取和修改都很困難。相比之下,上傳命令列工具更方便。

關於 ipsecpol 和 ipseccmd 的資料,網上可以找到很多,因此本文就不細說了,只是列舉一些實用的例子。

在設置IPSec策略方面,ipseccmd命令的語法和ipsecpol幾乎完全一樣,所以只以ipsecpol為例:

1:防禦rpc-dcom攻擊

ipsecpol -p myfirewall -r rpc-dcom -f *+0:135:tcp *+0:135:udp *+0:137:udp *+0:138:udp *+0:139:tcp *+0:445:tcp *+0:445:udp -n BLOCK -w reg -x

這條命令關閉了本地主機的TCP135,139,445和udp135,137,138,445埠。

具體含義如下:

-p myfirewall 指定策略名為myfirewall

-r rpc-dcom 指定規則名為rpc-dcom

-f ...... 建立7個篩選器。*表示任何位址(源);0表示本機位址(目標);+表示鏡像(雙向)篩選。詳細語法見ipsecpol -?

-n BLOCK 指定篩選操作是"阻塞"。注意,BLOCK必須是大寫。

-w reg 將配置寫入註冊表,重啟後仍有效。

-x 立刻啟動該策略。

2:防止被ping

ipsecpol -p myfirewall -r antiping -f *+0::icmp -n BLOCK -w reg -x

如果名為myfirewall的策略已存在,則antiping規則將添加至其中。

注意,該規則同時也阻止了該主機ping別人。

3:對後門進行IP限制

假設你在某主機上安裝了DameWare Mini Remote Control。為了保護它不被別人暴破密碼或溢出,應該限制對其服務埠6129的訪問。

ipsecpol -p myfw -r dwmrc_block_all -f *+0:6129:tcp -n BLOCK -w reg

ipsecpol -p myfw -r dwmrc_pass_me -f 123.45.67.89+0:6129:tcp -n PASS -w reg -x

這樣就只有 123.45.67.89 可以訪問該主機的6129埠了。

如果你是動態IP,應該根據IP分配的範圍設置規則。比如:

ipsecpol -p myfw -r dwmrc_block_all -f *+0:6129:tcp -n BLOCK -w reg

ipsecpol -p myfw -r dwmrc_pass_me -f 123.45.67.*+0:6129:tcp -n PASS -w reg -x

這樣就允許123.45.67.1至123.45.67.254 的IP 訪問6129埠。

在寫規則的時候,應該特別小心,不要把自己也阻塞了。如果你不確定某個規則

的效果是否和預想的一樣,可以先用計畫任務 "留下後路"。例如:

c:\>net start schedule

Task Scheduler 服務正在啟動 ..

Task Scheduler 服務已經啟動成功。

c:\>time /t

12:34

c:\>at 12:39 ipsecpol -p myfw -y -w reg

新加了一項作業,其作業 ID = 1

然後,你有5分鐘時間設置一個 myfw 策略並測試它。5分鐘後計畫任務將停止該策略。

如果測試結果不理想,就刪除該策略。

c:\>ipsecpol -p myfw -o -w reg

注意,刪除策略前必須先確保它已停止。不停止它的話,即使刪除也會在一段時間內繼續生效。持續時間取決於策略的刷新時間,默認是180分鐘。

如果測試通過,那麼就啟用它。

c:\>ipsecpol -p myfw -x -w reg

最後說一下查看IPSec策略的辦法。

對於 XP 很簡單,一條命令搞定:ipseccmd show filters

而ipsecpol沒有查詢的功能。需要再用一個命令列工具netdiag。它位於2000系統安裝盤的SUPPORT\TOOLS\SUPPORT.CAB中。(已經上傳了三個檔,也就不在乎多一個了。

netdiag 需要RemoteRegistry 服務的支援。所以先啟動該服務:

net start remoteregistry

不啟動RemoteRegistry就會得到一個錯誤:

[FATAL] Failed to get system information of this machine.

netdiag 這個工具功能十分強大,與網路有關的資訊都可以獲取!不過,輸出的資訊有時過於詳細,超過命令列控制台cmd.exe的輸出暫存記憶體,而不是每個遠端cmd shell都可以用more命令來分頁的。

查看ipsec規則的命令是:

netdiag /debug /test:ipsec

然後是一長串輸出資訊。IPSec規則位於最後。

--------------------------------------------------------------------

軟體安裝

一個軟體/工具的安裝過程,一般來說只是做兩件事:拷貝檔案到特定目錄和修改註冊表。只要搞清楚具體的內容,那麼就可以自己在命令列下實現了。(不考慮安裝後需要註冊啟動等情況)

WinPcap 是個很常用的工具,但必須在視窗介面下安裝。在網上也可以找到不用GUI的版本(但還是有版權頁),其實我們完全可以自己做一個。

以WinPcap 3.0a 為例。通過比較安裝前後的檔案系統和註冊表快照,很容易瞭解整個安裝過程。

除去反安裝的部分,關鍵的檔有三個:wpcap.dll,packet.dll和npf.sys。前面兩個檔位於system32目錄下,第三個在system32\drivers下。而註冊表的變化是增加了一個系統服務NPF。注意,是系統服務(即驅動)不是Win32服務。

作為系統服務,不但要在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下增加主鍵,在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root下也增加主鍵。而後者默認只有SYSTEM身份才可以修改。幸運的是,並不需要手動添加它,winpcap被調用時會自動搞定。甚至完全不用手動修改註冊表,所有的事winpcap都會自己完成,只需要將三個檔複製到合適的位置就行了。

作為範例,還是示範一下如何修改註冊表:利用前面說過的 inf 檔來實現。

--------------------------------------------------------------------

[Version]

Signature="$WINDOWS NT$"

[DefaultInstall.Services]

AddService=NPF,,winpcap_svr

[winpcap_svr]

DisplayName=Netgroup Packet Filter

ServiceType=0x1

StartType=3

ErrorControl=1

ServiceBinary=%12%\npf.sys

--------------------------------------------------------------------

將上面這些內容保存為_wpcap_.inf文件。

再寫一個批次處理_wpcap_.bat:

--------------------------------------------------------------------

rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %CD%\_wpcap_.inf

del _wpcap_.inf

if /i %CD%==%SYSTEMROOT%\system32 goto COPYDRV

copy packet.dll %SYSTEMROOT%\system32\

copy wpcap.dll %SYSTEMROOT%\system32\

del packet.dll

del wpcap.dll

:COPYDRV

if /i %CD%==%SYSTEMROOT%\system32\drivers goto END

copy npf.sys %SYSTEMROOT%\system32\drivers\

del npf.sys

:END

del %0

--------------------------------------------------------------------

然後用winrar將所有檔(5個)打包為自動解壓的exe,並將『進級自動解壓選項』->『解壓後運行』設置為_wpcap_.bat,命令列的winpcap安裝包就製作完成了。

注意,批次處理最後一行沒有Enter鍵。否則會因為正在運行而無法刪除自己。

所有的軟體安裝,基本上可以套用這個思路。但也有例外的,那就是系統修補程式的安裝。由於系統修補程式有可能要替換正在被執行或存取的檔案,所以用copy命令是不行的。

幸好,Windows修補程式支援命令列安裝。

例如:

KB824146.exe -n -z -q

-n 不保留備份

-z 不重起

-q 安靜模式

如果有一堆補丁要打,那麼用RAR打包成自動解壓檔,外加一個批次檔處理。

for %%f in (KB??????.exe) do %%f -n -z -q

for %%f in (KB??????.exe) do del %%f

del %0

--------------------------------------------------------------------

Windows Script

很多事情用Script來做是很簡潔的。

下面幾個常用Script的echo版本程式語法。

1:顯示系統版本

--------------------------------------------------------------------

@echo for each ps in getobject _ >ps.vbs

@echo ("winmgmts:\\.\root\cimv2:win32_operatingsystem").instances_ >>ps.vbs

@echo wscrīpt.echo ps.caption^&" "^&ps.version:next >>ps.vbs

cscrīpt //nologo ps.vbs & del ps.vbs

--------------------------------------------------------------------

2:列舉程序

--------------------------------------------------------------------

@echo for each ps in getobject _ >ps.vbs

@echo ("winmgmts:\\.\root\cimv2:win32_process").instances_ >>ps.vbs

@echo wscrīpt.echo ps.handle^&vbtab^&ps.name^&vbtab^&ps.executablepath:next >>ps.vbs

cscrīpt //nologo ps.vbs & del ps.vbs

--------------------------------------------------------------------

3:終止程序

--------------------------------------------------------------------

@echo for each ps in getobject _ >pk.vbs

@echo ("winmgmts:\\.\root\cimv2:win32_process").instances_ >>pk.vbs

@echo if ps.handle=wscrīpt.arguments(0) then wscrīpt.echo ps.terminate:end if:next >>pk.vbs

--------------------------------------------------------------------

要終止PID為123的程序,使用如下語法:

cscrīpt pk.vbs 123

如果顯示一個0,表示終止成功。

然後:del pk.vbs

4:重啟系統

--------------------------------------------------------------------

@echo for each os in getobject _ >rb.vbs

@echo ("winmgmts:{(shutdown)}!\\.\root\cimv2:win32_operatingsystem").instances_ >>rb.vbs

@echo os.win32shutdown(2):next >>rb.vbs & cscrīpt //nologo rb.vbs & del rb.vbs

--------------------------------------------------------------------

5:列舉自動啟動的服務

--------------------------------------------------------------------

@echo for each sc in getobject("winmgmts:\\.\root\cimv2:win32_service").instances_ >sc.vbs

@echo if sc.startmode="Auto" then wscrīpt.echo sc.name^&" - "^&sc.pathname >>sc.vbs

@echo next >>sc.vbs & cscrīpt //nologo sc.vbs & del sc.vbs

--------------------------------------------------------------------

6:列舉正在運行的服務

--------------------------------------------------------------------

@echo for each sc in getobject("winmgmts:\\.\root\cimv2:win32_service").instances_ >sc.vbs

@echo if sc.state="Running" then wscrīpt.echo sc.name^&" - "^&sc.pathname >>sc.vbs

@echo next >>sc.vbs & cscrīpt //nologo sc.vbs & del sc.vbs

--------------------------------------------------------------------

7:顯示系統最後一次啟動的時間

--------------------------------------------------------------------

@echo for each os in getobject _ >bt.vbs

@echo ("winmgmts:\\.\root\cimv2:win32_operatingsystem").instances_ >>bt.vbs

@echo wscrīpt.echo os.lastbootuptime:next >>bt.vbs & cscrīpt //nologo bt.vbs & del bt.vbs

--------------------------------------------------------------------

顯示結果的格式是:

yyyymmddHHMMSSxxxxxxZZZZ

_年_月日時分秒_微秒_時區

--------------------------------------------------------------------

8:顯示系統執行時間

--------------------------------------------------------------------

@echo for each os in getobject _ >rt.vbs

@echo ("winmgmts:\\.\root\cimv2:win32_perfrawdata_perfos_system").instances_ >>rt.vbs

@echo s=os.timestamp_sys100ns:l=len(s):s=left(s,l-7):for i=1 to l-7 >>rt.vbs

@echo t=t^&mid(s,i,1):d=t\86400:r=r^&d:t=t mod 86400:next >>rt.vbs

@echo wscrīpt.echo cint(r)^&"d "^&t\3600^&"h "^&t\60 mod 60^&"m "^&t mod 60^&"s":next >>rt.vbs

cscrīpt //nologo rt.vbs & del rt.vbs

--------------------------------------------------------------------

這個執行時間是從效能計數器中獲得的64位整型數,不會出現在49.7天後溢出的情況。

--------------------------------------------------------------------

相關連結:

Cmd模式下的入侵:檔案傳輸篇

Cmd模式下的入侵:註冊表、服務和群組原則篇