項目５網(wǎng)絡(luò)攻擊技術(shù)與防范模塊５－１網(wǎng)絡(luò)掃描技術(shù)模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)任務(wù)１使用Ｘ－Ｓｃａｎ進行漏洞掃描【任務(wù)描述】小李是公司網(wǎng)絡(luò)管理員，每周對所維護的Ｗｅｂ服務(wù)器進行一次漏洞掃描，從而發(fā)現(xiàn)服務(wù)器的各種ＴＣＰ端口的分配、提供的服務(wù)、Ｗｅｂ服務(wù)軟件版本和這些服務(wù)及軟件呈現(xiàn)在Ｉｎｔｅｒｎｅｔ上的安全漏洞。在計算機網(wǎng)絡(luò)系統(tǒng)安全保衛(wèi)戰(zhàn)中做到“有的放矢”，及時修補漏洞，就可以有效地阻止入侵事件的發(fā)生，從而構(gòu)筑堅固的安全防線。下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)【任務(wù)分析】小巧實用、功能強大是Ｘ－Ｓｃａｎ最大的特點，很多專業(yè)的安全公司都一直使用這款掃描工具，小李也選用了這款掃描分析工具。本任務(wù)分為２個子任務(wù)：任務(wù)１.１設(shè)置Ｘ－Ｓｃａｎ界面參數(shù)，進行掃描；任務(wù)１.２分析掃描報告，對服務(wù)器進行進行加固。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)【任務(wù)實施】任務(wù)１.１設(shè)置Ｘ－Ｓｃａｎ界面參數(shù)，進行掃描１.下載并安裝Ｘ－ＳｃａｎＶ３.３Ｘ－Ｓｃａｎ是完全免費的軟件，無須注冊，無須安裝（解壓縮即可運行，自動檢查并安裝ＷｉｎＰｃａｐ驅(qū)動程序）。若已經(jīng)安裝的ＷｉｎＰｃａｐ驅(qū)動程序版本不正確，可通過主窗口菜單的“工具”的“ＩｎｓｔａｌｌＷｉｎＰｃａｐ”命令，重新安裝“ＷｉｎＰｃａｐ３.１ｂｅｔａ４”或另行安裝更高版本。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)２.安裝好之后打開Ｘ－ＳｃａｎＶ３.３，填寫掃描的ＩＰ或ＩＰ段從“掃描參數(shù)”開始，打開“設(shè)置”菜單，在“基本設(shè)置”中的“指定ＩＰ范圍”中輸入要檢測的目標(biāo)主機的域名或ＩＰ。比如輸入“１９２.１６８.０.１－１９２.１６８.０.２５５”，這樣可對這個網(wǎng)段的主機進行檢測，如圖５－１所示。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)３.使用Ｘ－Ｓｃａｎ進行掃描分析現(xiàn)在進行一個簡單的ＣＧＩ漏洞掃描。在控制臺模式下，輸入命令：ｘｓｃａｎ２１１．１００．８．８７－ｐｏｒｔ。這個命令是讓Ｘ－Ｓｃａｎ掃描服務(wù)器２１１.１００.８.８７的開放端口，掃描器不會對６５５３５個端口全部進行掃描（太慢），它只會檢測網(wǎng)絡(luò)上最常用的幾百個端口，而且每一個端口對應(yīng)的網(wǎng)絡(luò)服務(wù)在掃描器中都已經(jīng)做過定義，從最后返回的結(jié)果很容易了解服務(wù)器運行了什么網(wǎng)絡(luò)服務(wù)。掃描結(jié)果顯示如下：Ｉｎｉｔｉａｌｉｚｅｄｙｎａｍｉｃｌｉｂｒａｒｙｓｕｃｃｅｅｄ.Ｓｃａｎｎｉｎｇ２１１.１００.８.８７......［２１１.１００.８.８７］：Ｓｃａｎｉｎｇｐｏｒｔｓｔａｔｅ...上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)［２１１.１００.８.８７］：Ｐｏｒｔ２１ｉｓｌｉｓｔｅｎｉｎｇ?。。。郏玻保?１００.８.８７］：Ｐｏｒｔ２５ｉｓｌｉｓｔｅｎｉｎｇ?。。。郏玻保?１００.８.８７］：Ｐｏｒｔ５３ｉｓｌｉｓｔｅｎｉｎｇ?。。。郏玻保?１００.８.８７］：Ｐｏｒｔ７９ｉｓｌｉｓｔｅｎｉｎｇ?。。。郏玻保?１００.８.８７］：Ｐｏｒｔ８０ｉｓｌｉｓｔｅｎｉｎｇ?。。。郏玻保?１００.８.８７］：Ｐｏｒｔ１１０ｉｓｌｉｓｔｅｎｉｎｇ?。?！上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)［２１１.１００.８.８７］：Ｐｏｒｔ３３８９ｉｓｌｉｓｔｅｎｉｎｇ?。。。郏玻保?１００.８.８７］：Ｐｏｒｔｓｃａｎｃｏｍｐｌｅｔｅｄ，ｆｏｕｎｄ７.［２１１.１００.８.８７］：Ａｌｌｄｏｎｅ.任務(wù)１.２分析掃描報告，對服務(wù)器進行進行加固１.ＴＣＰ掃描結(jié)果：警告ｌｏｇｉｎ（５１３／ｔｃｐ）的解決方法遠程主機正在運行ｒｌｏｇｉｎ服務(wù)，這是一個允許用戶登錄至該主機并獲得一個交互ｓｈｅｌｌ的遠程登錄守護進程。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)事實上，該服務(wù)是很危險的，因為數(shù)據(jù)并未經(jīng)過加密，也就是說，任何人可以嗅探到客戶機與服務(wù)器間的數(shù)據(jù)，包括登錄名和密碼以及遠程主機執(zhí)行的命令，應(yīng)當(dāng)停止該服務(wù)而改用ｏｐｅｎｓｓｈ。解決方案：在／ｅｔｃ／ｉｎｅｔｄ.ｃｏｎｆ中注釋掉“ｌｏｇｉｎ”一行并重新啟動ｉｎｅｔｄ進程。風(fēng)險等級：低上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)２.ＳＹＮ掃描結(jié)果：警告ｗｗｗ（８０／ｔｃｐ）的解決方法ＷｅｂＳｅｒｖｅｒ支持ＴＲＡＣＥ和／ＴＲＡＣＫ方式。ＴＲＡＣＥ和ＴＲＡＣＫ是用來調(diào)試Ｗｅｂ服務(wù)器連接的ＨＴＴＰ方式。支持該方式的服務(wù)器存在跨站腳本漏洞，通常在描述各種瀏覽器缺陷的時候，把“Ｃｒｏｓｓ－Ｓｉｔｅ－Ｔｒａｃｉｎｇ”簡稱為ＸＳＴ。攻擊者可以利用此漏洞欺騙合法用戶并得到他們的私人信息。解決方案：禁用這些方式。如果使用的是Ａｐａｃｈｅ，在各虛擬主機的配置文件里添加如下語句：ＲｅｗｒｉｔｅＥｎｇｉｎｅｏｎ上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)ＲｅｗｒｉｔｅＣｏｎｄ％｛ＲＥＱＵＥＳＴ＿ＭＥＴＨＯＤ｝＾（ＴＲＡＣＥ｜ＴＲＡＣＫ）ＲｅｗｒｉｔｅＲｕｌｅ.*－［Ｆ］【相關(guān)知識】１.Ｘ－Ｓｃａｎ簡介Ｘ－Ｓｃａｎ是由安全焦點開發(fā)的一個功能強大的掃描工具。采用多線程方式對指定ＩＰ地址段（或單機）進行安全漏洞檢測，支持插件功能，提供了圖形界面和命令行兩種操作方式，掃描內(nèi)容包括：遠程服務(wù)類型、操作系統(tǒng)類型及版本，各種弱口令漏洞、后門、應(yīng)用服務(wù)漏洞、網(wǎng)絡(luò)設(shè)備漏洞、拒絕服務(wù)漏洞等二十幾個大類。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)２.網(wǎng)絡(luò)掃描技術(shù)網(wǎng)絡(luò)掃描有地址掃描、端口掃描、漏洞掃描三種方式。漏洞掃描基于網(wǎng)絡(luò)系統(tǒng)漏洞庫，一般包括ＣＧＩ漏洞掃描、ＰＯＰ３漏洞掃描、ＦＴＰ漏洞掃描、ＳＳＨ漏洞掃描、ＨＴＴＰ漏洞掃描等。將掃描結(jié)果與漏洞庫相關(guān)數(shù)據(jù)匹配比較得到漏洞信息。漏洞掃描還包括沒有相應(yīng)漏洞庫的各種掃描，比如Ｕｎｉｃｏｄｅ遍歷目錄漏洞探測、ＦＴＰ弱勢密碼探測、郵件轉(zhuǎn)發(fā)漏洞探測等，這些掃描通過使用插件（功能模塊技術(shù)）進行模擬攻擊，測試出目標(biāo)主機的漏洞信息：上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)①得知目標(biāo)主機開啟的端口及端口上的網(wǎng)絡(luò)服務(wù)，將這些信息與網(wǎng)絡(luò)漏洞掃描系統(tǒng)的漏洞庫進行匹配，查看是否有滿足匹配條件的漏洞存在。②通過模擬黑客攻擊手法，對目標(biāo)主機系統(tǒng)進行攻擊性的漏洞掃描。例如，測試弱口令等。３.網(wǎng)絡(luò)監(jiān)聽技術(shù)“監(jiān)聽”行為是會對通信方造成損失的，一個典型例子是１９９４年的美國網(wǎng)絡(luò)竊聽事件，一個不知名的人在眾多的主機和骨干網(wǎng)絡(luò)設(shè)備上安裝了網(wǎng)絡(luò)監(jiān)聽軟件，利用它在美國骨干互聯(lián)網(wǎng)和軍方網(wǎng)竊取了超過１０００００個有效的用戶名和口令，引發(fā)了重大損失。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)任務(wù)２使用ＳｕｐｅｒＳｃａｎ進行漏洞掃描【任務(wù)描述】公司網(wǎng)絡(luò)管理員小王為了查找公司內(nèi)部網(wǎng)絡(luò)中的漏洞，決定利用Ｓｕｐｅｒ-Ｓｃａｎ對內(nèi)部局域網(wǎng)進行檢測，掃描目標(biāo)主機的指定端口，并檢測是否被種植木馬。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)【任務(wù)分析】ＳｕｐｅｒＳｃａｎ作為安全工具，可以幫助發(fā)現(xiàn)網(wǎng)絡(luò)中的弱點。ＳｕｐｅｒＳｃａｎ具有以下功能：通過Ｐｉｎｇ來檢驗ＩＰ是否在線；ＩＰ和域名相互轉(zhuǎn)換；檢查目標(biāo)主機提供的服務(wù)；檢查一定范圍內(nèi)的計算機是否在線和端口情況；自定義要檢查的端口。軟件自帶一個木馬端口列表ｔｒｏ-ｊａｎｓ.ｌｓｔ，通過這個列表可以檢測目標(biāo)計算機是否有木馬，也可以自己定義修改這個木馬端口列表?！救蝿?wù)實施】１.主機名和ＩＰ相互轉(zhuǎn)換①在“鎖定主機”的輸入框中，輸入需要轉(zhuǎn)換的主機名或者ＩＰ地址，單擊“鎖定”按鈕，就可以取得結(jié)果。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)②單擊“本機”按鈕來取得本機的主機名和ＩＰ地址，如圖５－３所示。③單擊“網(wǎng)絡(luò)”，可以取得本地ＩＰ設(shè)置情況，如圖５－４所示。２.Ｐｉｎｇ功能的使用輸入一個ＩＰ段，檢測該ＩＰ段在線的主機。輸入ＩＰ段的起始地址和終止地址，在“掃描類型”選擇“僅僅Ｐｉｎｇ計算機”，單擊“開始”按鈕，檢測到在線的主機，如圖５－５所示。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)３.端口檢測掃描某ＩＰ段計算機的指定端口。①ＩＰ的起始地址設(shè)為×××，終止地址設(shè)為本地ＩＰ×××。②單擊“端口配置”，添加要掃描的端口（這里假設(shè)為８０、２１、２３、２５、４４５端口），如圖５－６所示。③選中要掃描的端口，單擊“保存”按鈕，輸入文件名為“ｍｙｓｃａｎ.ｌｓｔ”。④單擊“確定”按鈕返回主界面。⑤在“掃描類型”中選擇“所有列表中選擇的端口”，單擊“開始”按鈕，結(jié)果如圖５－７所示?；顒又鳈C有３臺，打開的端口共７個，ＩＰ地址為１９２.１６８.１.１的主機打開了２５、８０端口。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)４.檢測目標(biāo)計算機是否被種植木馬①在主界面選擇“端口設(shè)置”，出現(xiàn)端口設(shè)置界面，單擊“端口列表清單”，單擊“載入”，選擇一個叫ｔｒｏｊａｎｓ.ｌｓｔ的端口列表文件，如圖５－８所示。這個文件是軟件自帶的，提供了常見的木馬端口，可以使用這個端口列表來檢測目標(biāo)計算機是否被種植木馬。②單擊“確定”按鈕，回到主界面，在“掃描類型”中選擇“所有列表中選擇的端口”。單擊“開始”按鈕，結(jié)果如圖５－９所示。結(jié)論：開啟的端口個數(shù)為０，該主機未被種植木馬。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)【相關(guān)知識】ＳｕｐｅｒＳｃａｎ功能介紹ＳｕｐｅｒＳｃａｎ具有以下功能：①通過Ｐｉｎｇ來檢驗ＩＰ是否在線；②ＩＰ和域名相互轉(zhuǎn)換；③檢驗?zāi)繕?biāo)計算機提供的服務(wù)類別；④檢驗一定范圍目標(biāo)計算機是否在線和端口情況；⑤自定義列表檢驗?zāi)繕?biāo)計算機是否在線和端口情況；⑥自定義要檢驗的端口，并可以保存為端口列表文件；上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)⑦軟件自帶一個木馬端口列表ｔｒｏｊａｎｓ.ｌｓｔ，通過這個列表可以檢測目標(biāo)計算機是否有木馬；同時，也可以自己定義修改這個木馬端口列表，更多的木馬列表可以參考以下網(wǎng)址：ｈｔｔｐ：／／ｗｗｗ.ｙｅｓｋｙ.ｃｏｍ／２００１１０１７／２０１１５１.ｓｈｔｍｌ。可以看出，這款軟件幾乎將與ＩＰ掃描有關(guān)的所有功能全部包含了，而且每一個功能都很專業(yè)。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)任務(wù)３使用流光進行漏洞掃描【任務(wù)描述】網(wǎng)絡(luò)專業(yè)的大學(xué)實習(xí)生小王到某公司信息安全中心實習(xí)，公司安排老王指導(dǎo)他熟悉工作內(nèi)容。第一天老王給小張演示每天日常工作：掃描公司各部門計算機，提交掃描結(jié)果報告。老王告訴小張公司局域網(wǎng)ＩＰ地址分配從１９２.１６８.０.１到１９２.１６８.０.１０５，宣傳部ＩＰ從１９２.１６８.０.１００到１９２.１６８.０.１０５，安裝的是Ｗｉｎｄｏｗｓ２０００系統(tǒng)，每天首先檢查宣傳部，并演示了操作過程。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)【任務(wù)分析】流光是一款非常優(yōu)秀的綜合掃描工具，不僅具有完善的掃描功能，而且自帶了很多猜解器和入侵工具，可方便地利用掃描的漏洞進行入侵。本任務(wù)分為３個子任務(wù)：①使用流光掃描工具掃描主機漏洞。②分析掃描結(jié)果并模擬入侵進行。③對漏洞加固，關(guān)閉１３９和４４５端口?！救蝿?wù)實施】啟動流光５.０工具后可以看到它的主界面，如圖５－１０所示，熟悉流光的菜單和界面。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)１.掃描主機漏洞①打開“文件”菜單下的“高級掃描向?qū)А边x項，如圖５－１１所示。②在“起始地址”和“結(jié)束地址”中填入要掃描的地址段。由于只掃描一臺主機，所以填入的主機ＩＰ地址一樣?！埃校桑危菣z查”選項一般要選上，因為這樣就會先Ｐｉｎｇ主機，如果成功，再進行掃描，可以節(jié)省掃描時間。在檢測項目中選上ＰＯＲＴＳ、ＦＴＰ、ＴＥＬＮＥＴ、ＩＰＣ、ＩＩＳ、ＰＬＵＧＩＮＳ，只對選中的這些漏洞進行掃描，接著單擊“下一步”按鈕，彈出對話框，如圖５－１２所示。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)③在“ＰＯＲＴＳ”對話框中可以“選擇標(biāo)準(zhǔn)端口掃描”或“自定端口掃描范圍”，一般建議選擇標(biāo)準(zhǔn)端口掃描，流光會掃描大約幾十個標(biāo)準(zhǔn)服務(wù)端口，而自定掃描端口可以在１～６５５３５范圍內(nèi)選擇?？梢赃x擇“標(biāo)準(zhǔn)端口掃描”，單擊“下一步”按鈕，打開“ＰＯＰ３”對話框，如圖５－１３所示。④在“ＰＯＰ３”對話框中可以設(shè)置ＰＯＰ選項，一般建議選中“獲?。校希校嘲姹拘畔ⅰ焙汀皣L試猜解用戶”復(fù)選框，單擊“下一步”按鈕，打開ＦＴＰ對話框，如圖５－１４所示。⑤單擊“下一步”按鈕，彈出打開“ＴＥＬＮＥＴ”對話框。在“ＴＥＬＮＥＴ”對話框中可以設(shè)置是否使用ＳｕｎＯＳＬｏｇｉｎ遠程溢出功能，如圖５－１５所示。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)⑥單擊“下一步”按鈕，出現(xiàn)對ＭＳＳＱＬ２０００數(shù)據(jù)庫的漏洞、ＳＡ密碼和版本信息進行掃描的對話框，如圖５－１６所示。⑦單擊“下一步”按鈕，彈出如圖５－１７所示的對話框?？蓪χ鳈C系統(tǒng)的ＩＰＣ漏洞進行掃描，查看是否有空連接、共享資源、獲得用戶列表并猜解用戶密碼。⑧選擇需要掃描的選項，如果不選擇最后一項，則此軟件將對所有用戶的密碼進行猜解，否則只對管理員用戶組的用戶密碼進行猜解。單擊“下一步”按鈕，彈出如圖５－１８所示的對話框。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)⑨在“ＩＩＳ”對話框中，可以設(shè)置針對網(wǎng)頁頁面和代碼漏洞的ＩＩＳ選項，建議選中所有復(fù)選框，然后單擊“下一步”按鈕，將對ＦＩＮＧＥＲ、ＲＰＣ、ＢＩＮＤ、ＭｙＳＱＬ、ＳＳＨ的信息進行掃描，之后單擊“下一步”按鈕，彈出如圖５－１９所示對話框。⑩流光提供了對１１個插件的漏洞掃描，可根據(jù)需要把對勾打上，單擊“下一步”按鈕，彈出對話框，如圖５－２０所示。這樣就設(shè)置好了要掃描的所有選項，單擊“完成”按鈕，彈出掃描引擎對話框，如圖５－２１所示?，伂嬤x擇默認(rèn)的本地主機作為掃描引擎，單擊“開始”按鈕開始掃描，經(jīng)過一段時間后，會有類似的掃描結(jié)果，如圖５－２２所示。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)２.分析掃描結(jié)果并模擬入侵（１）端口漏洞分析１３９端口，是ＮｅｔＢＩＯＳ會話服務(wù)端口，主要用于提供Ｗｉｎｄｏｗｓ文件和打印機共享以及ＵＮＩＸ中的Ｓａｍｂａ服務(wù)。雖然１３９端口可以提供共享服務(wù)，但是攻擊者常常利用其進行攻擊，比如使用流光，如果發(fā)現(xiàn)有漏洞，會試圖獲取用戶名和密碼，這是非常危險的。４４５端口，通過它可以在局域網(wǎng)中輕松訪問各種共享文件夾或共享打印機，但黑客們也有了可乘之機，能通過該端口共享硬盤。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)（２）ＩＰＣ$漏洞分析ＩＰＣ$（ＩｎｔｅｒｎｅｔＰｒｏｃｅｓｓＣｏｎｎｅｃｔｉｏｎ）是共享“命名管道”的資源，它是為了讓進程間通信而開放的命名管道，通過提供可信任的用戶名和口令，連接雙方可以建立安全的通道并以此通道進行加密數(shù)據(jù)的交換，從而實現(xiàn)對遠程計算機的訪問。利用ＩＰＣ$，連接者可以與目標(biāo)主機建立一個空的連接而無需用戶名和密碼。利用這個空的連接，連接者還可以得到目標(biāo)主機上的用戶列表。３.關(guān)閉１３９端口單擊“開始”按鈕，選擇“設(shè)置”中的“網(wǎng)絡(luò)連接”，在彈出的“網(wǎng)絡(luò)連接”窗口中單擊“本地連接”，選中“屬性”，如圖５－２３所示。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)然后選擇“Ｉｎｔｅｒｎｅｔ協(xié)議（ＴＣＰ／ＩＰ）”選項并單擊“屬性”按鈕，如圖５－２４所示。進入“高級ＴＣＰ／ＩＰ設(shè)置”窗口，選擇“ＷＩＮＳ”選項卡，選擇“禁用ＴＣＰ／ＩＰ的Ｎｅｔ-ＢＩＯＳ”，這樣就關(guān)閉了１３９端口，如圖５－２５所示。４.關(guān)閉４４５端口在“運行”中輸入“ｒｅｇｅｄｉｔ”，如圖５－２６所示。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)單擊“確定”按鈕，打開注冊表編輯器，找到左窗格中的分支項ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡ-ＣＨＩＮＥ＼Ｓｙｓｔｅｍ＼ＣｕｒｒｅｎｔＣｏｎｔｒｏｌＳｅｔ＼Ｓｅｒｖｉｃｅｓ＼ＮｅｔＢＴ＼Ｐａｒａｍｅｔｅｒｓ，在編輯窗口的右邊空白處單擊鼠標(biāo)右鍵，在出現(xiàn)的“新建”菜單中選擇“ＤＷＯＲＤ值”，將新建的ＤＷＯＲＤ參數(shù)命名為“ＳＭＢＤｅｖｉｃｅＥｎａｂｌｅｄ”，數(shù)值為缺省的“０”，如圖５－２７所示。【相關(guān)知識】黑客對目標(biāo)主機發(fā)動攻擊前，會通過使用漏洞掃描器進行漏洞掃描，漏洞掃描能夠模擬黑客的行為，對系統(tǒng)設(shè)置進行攻擊測試。黑客利用系統(tǒng)漏洞攻擊時，會在對方計算機上巧妙建立隱藏的超級用戶。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)Ｗｉｎｄｏｗｓ２０００有兩個注冊表編輯器：ｒｅｇｅｄｉｔ.ｅｘｅ和ｒｅｇｅｄｔ３２.ｅｘｅ。ＷｉｎｄｏｗｓＸＰ中ｒｅｇｅ-ｄｉｔ.ｅｘｅ和ｒｅｇｅｄｔ３２.ｅｘｅ實為一個程序，修改鍵值的權(quán)限時，右擊，選擇“權(quán)限”來修改。ｒｅｇｅｄｉｔ.ｅｘｅ不能對注冊表的項鍵設(shè)置權(quán)限，而ｒｅｇｅｄｔ３２.ｅｘｅ最大的優(yōu)點就是能夠?qū)ψ员淼捻楁I設(shè)置權(quán)限，ＷｉｎｄｏｗｓＮＴ／２０００／ＸＰ的賬戶信息都在注冊表的ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ／ＳＡＭ／ＳＡＭ鍵下，但是除了系統(tǒng)用戶ＳＹＳＴＥＭ外，其他用戶都無權(quán)查看到里面的信息，因此首先用ｒｅｇｅｄｔ３２.ｅｘｅ將ＳＡＭ鍵設(shè)置為“完全控制”權(quán)限，這樣就可以對ＳＡＭ鍵內(nèi)的信息進行讀寫。具體步驟如下：上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)①假設(shè)是以超級用戶ａｄｍｉｎｉｓｔｒａｔｏｒ登錄到開有終端服務(wù)的計算機上的，首先在命令行下或賬戶管理器中建立一個賬戶“ｈａｃｋｅｒ?”。在命令行下建立這個賬戶：ｎｅｔｕｓｅｒｈａｃｋｅｒ?１２３４／ａｄｄ②單擊“開始”→“運行”，輸入“ｒｅｇｅｄｔ３２.ｅｘｅ”，回車，運行ｒｅｇｅｄｔ３２.ｅｘｅ。③單擊“權(quán)限”后會彈出窗口，單擊“添加”將登錄時的賬戶添加到安全欄內(nèi)，這里是以ａｄｍｉｎｉｓｔｒａｔｏｒ的身份登錄的，所以就將ａｄｍｉｎｉｓｔｒａｔｏｒ加入，并設(shè)置權(quán)限為“完全控制”。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)這里需要說明一下：最好是添加你登錄的賬戶或賬戶所在的組，切莫修改原有的賬戶或組，否則將會帶來一系列不必要的問題。等隱藏超級用戶建好以后，再在這里將添加的賬戶刪除即可。④單擊“開始”→“運行”，輸入“ｒｅｇｅｄｉｔ.ｅｘｅ”，回車，啟動注冊表編輯器ｒｅｇｅｄｉｔ.ｅｘｅ。⑤將ｈａｃｋｅｒ?、０００００４０９、０００００１Ｆ４導(dǎo)出為ｈａｃｋｅｒ.ｒｅｇ、４０９.ｒｅｇ、１ｆ４.ｒｅｇ，用記事本分別將這幾個導(dǎo)出的文件進行編輯，將超級用戶對應(yīng)的項０００００１Ｆ４下的鍵“Ｆ”的值復(fù)制，并覆蓋ｈａｃｋｅｒ?對應(yīng)的項０００００４０９下的鍵“Ｆ”的值，再將０００００４０９.ｒｅｇ與ｈａｃｋｅｒ.ｒｅｇ合并。⑥在命令行下執(zhí)行ｎｅｔｕｓｅｒｈａｃｋｅｒ?／ｄｅｌ，將用戶ｈａｃｋｅｒ?刪除。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)⑥在命令行下執(zhí)行ｎｅｔｕｓｅｒｈａｃｋｅｒ?／ｄｅｌ，將用戶ｈａｃｋｅｒ?刪除。⑦在ｒｅｇｅｄｉｔ.ｅｘｅ的窗口內(nèi)按Ｆ５鍵刷新，然后將修改好的ｈａｃｋｅｒ.ｒｅｇ導(dǎo)入注冊表即可。⑧至此，隱藏的超級用戶ｈａｃｋｅｒ?就建好了，然后關(guān)閉ｒｅｇｅｄｉｔ.ｅｘｅ。在ｒｅｇｅｄｔ３２.ｅｘｅ窗口內(nèi)把ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＡＭ＼ＳＡＭ鍵權(quán)限改回原來的樣子（只要刪除添加的賬戶ａｄｍｉｎｉｓｔｒａｔｏｒ即可）。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)任務(wù)４常見端口的加固與防范【任務(wù)描述】黑客入侵的一個主要手段是利用目標(biāo)機的開放端口進行入侵，因此，防范黑客攻擊一個有效的方法是對常見端口進行加固?！救蝿?wù)分析】任務(wù)４.１查看計算機上開放了哪些端口任務(wù)４.２１３５端口的防范上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)【任務(wù)實施】任務(wù)４.１查看計算機上開放了哪些端口使用Ｎｅｔｓｔａｔ命令查看計算機上開放了哪些端口，步驟為：依次單擊“開始”→“運行”，鍵入“ｃｍｄ”并回車，打開命令提示符窗口。在命令提示符狀態(tài)下鍵入“ｎｅｔｓｔａｔ－ａ－ｎ”，按下回車鍵后就可以看到以數(shù)字形式顯示的ＴＣＰ和ＵＤＰ連接的端口號及狀態(tài)。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)任務(wù)４.２１３５端口的防范方法一：防火墻攔截因為防火墻有攔截數(shù)據(jù)的功能，如果利用該功能將通往１３５端口的接收和發(fā)送數(shù)據(jù)全部攔截下來，就可以阻止他人連接１３５端口，下面以天網(wǎng)防火墻為例。①打開天網(wǎng)防火墻，如圖５－２８所示，單擊“自定義ＩＰ規(guī)則”，再單擊“增加規(guī)則”。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)②出現(xiàn)“增加ＩＰ規(guī)則”對話框，如圖５－２９所示。規(guī)則的名稱和說明沒有限制，為“攔截１３５端口”；數(shù)據(jù)包方向：接收或發(fā)送（同時阻止通過１３５端口接收和發(fā)送數(shù)據(jù)）；對方ＩＰ地址：任何地址；數(shù)據(jù)包協(xié)議類型：ＴＣＰ（因為１３５端口是一種ＴＣＰ協(xié)議端口）；本地端口：從１３５到１３５（定義了要攔截的端口只為１３５端口）；對方端口：從０到０（端口為０時，為對方的任何端口）；ＴＣＰ標(biāo)志：ＳＹＮ；當(dāng)滿足上面條件時：攔截。由此，一個ＩＰ規(guī)則制作完成了，單擊“確定”。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)如圖５－３０所示，把剛剛制作好的規(guī)則放到同類規(guī)則的最頂端，使用向上箭頭直到不能再向上，并選上勾，然后保存。其他端口的關(guān)閉的設(shè)置方法類似，如要開放端口，把“攔截”改為“通行”。方法二：自定義安全策略如果暫時沒有防火墻工具，那么可以利用Ｗｉｎｄｏｗｓ服務(wù)器自身的ＩＰ安全策略功能來自定義一個攔截１３５端口的安全策略。①打開控制面板，找到管理工具里面的本地安全設(shè)置。②看到如圖５－３１所示的界面，選擇左邊的ＩＰ安全策略。然后在右邊空白處單擊右鍵，選擇創(chuàng)建ＩＰ安全策略。出現(xiàn)了一個設(shè)置向?qū)В鐖D５－３２所示，單擊“下一步”按鈕。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)方法３：篩選ＴＣＰ端口利用Ｗｉｎｄｏｗｓ系統(tǒng)的篩選ＴＣＰ端口功能，將來自１３５網(wǎng)絡(luò)端口的數(shù)據(jù)包全部過濾掉。先打開“Ｉｎｔｅｒｎｅｔ協(xié)議（ＴＣＰ／ＩＰ）”的“屬性設(shè)置”對話框，可以在控制面板中的網(wǎng)絡(luò)連接中找到本地連接，打開，單擊“屬性”按鈕。選擇ＴＣＰ／ＩＰ協(xié)議，再單擊“屬性”按鈕，在右下角找到高級，單擊進入后找到選項標(biāo)簽，選擇其中的“ＴＣＰ／ＩＰ篩選”，進入屬性對話框選中啟用ＴＣＰ／ＩＰ篩選選項，同時在ＴＣＰ端口處選中“只允許”，并單擊“添加”按鈕，填入常用的２１.２３.８０.１１０端口，最后單擊“確定”按鈕，這樣其余端口就會被自動排除了。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)【相關(guān)知識】１.Ｎｅｔｓｔａｔ命令用法命令格式：Ｎｅｔｓｔａｔ－ａ－ｅ－ｎ－ｏ－ｓ－ａ表示顯示所有活動的ＴＣＰ連接，以及計算機的ＴＣＰ和ＵＤＰ端口。－ｅ表示顯示以太網(wǎng)發(fā)送和接收的字節(jié)數(shù)、數(shù)據(jù)包數(shù)等。－ｎ表示只以數(shù)字形式顯示所有活動的ＴＣＰ連接的地址和端口號。－ｏ表示顯示活動的ＴＣＰ連接并包括每個連接的進程ＩＤ（ＰＩＤ）。－ｓ表示按協(xié)議顯示各種連接的統(tǒng)計信息，包括端口號。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)２.常用端口及其分類計算機在Ｉｎｔｅｒｎｅｔ上相互通信需要使用ＴＣＰ／ＩＰ協(xié)議，根據(jù)ＴＣＰ／ＩＰ協(xié)議規(guī)定，計算機有２５６×２５６（６５５３６）個端口，這些端口可分為ＴＣＰ端口和ＵＤＰ端口兩種。如果按照端口號劃分，有以下兩大類：（１）系統(tǒng)保留端口（０～１０２３）這些端口不允許使用，它們都有確切的定義，對應(yīng)著因特網(wǎng)上常見的一些服務(wù)。每一個打開的此類端口，都代表一個系統(tǒng)服務(wù)，例如８０端口代表Ｗｅｂ服務(wù)、２１對應(yīng)著ＦＴＰ、２５對應(yīng)著ＳＭＴＰ、１１０對應(yīng)著ＰＯＰ３等。上一頁下一頁返回模塊５－１網(wǎng)絡(luò)掃描技術(shù)（２）動態(tài)端口（１０２４～６５５３５）當(dāng)需要與別人通信時，Ｗｉｎｄｏｗｓ會從１０２４起，在本機上分配一個動態(tài)端口，如果１０２４端口未關(guān)閉，還需要端口時，就會分配１０２５端口，依此類推。但是有個別的系統(tǒng)服務(wù)會綁定在１０２４～４９１５１的端口上，如３３８９端口（遠程終端服務(wù)）。４９１５２～６５５３５這一段端口通常沒有捆綁系統(tǒng)服務(wù)，允許Ｗｉｎｄｏｗｓ動態(tài)分配使用。上一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范任務(wù)１ＩＰＣ$入侵與防范【任務(wù)描述】ＩＰＣ$是Ｗｉｎｄｏｗｓ系統(tǒng)特有的一項管理功能，是微軟公司為了方便用戶使用計算機而設(shè)計的，主要用來遠程管理計算機。但事實上，使用這個功能最多的人不是網(wǎng)絡(luò)管理員，而是“入侵者”！他們通過建立ＩＰＣ$連接與遠程主機實現(xiàn)通信和控制。通過ＩＰＣ$連接的建立，入侵者能夠做到：建立、拷貝、刪除遠程計算機文件；在遠程計算機上執(zhí)行命令。本任務(wù)根據(jù)黑客入侵計算機的過程設(shè)計，要求同學(xué)們通過掌握黑客入侵的手段和方法，找到真正的防范措施，并檢驗防范措施是否有效。下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范【任務(wù)分析】①利用掃描工具掃描目標(biāo)主機的系統(tǒng)漏洞；②發(fā)現(xiàn)目標(biāo)主機存在ＩＰＣ$漏洞后，利用該漏洞連接目標(biāo)主機；③編寫添加用戶的批處理文件；④利用ＩＰＣ$漏洞連接目標(biāo)主機后，將批處理文件復(fù)制到遠程主機的本地磁盤；⑤利用ａｔ命令在指定時間執(zhí)行批處理文件，在遠程主機添加用戶，并將用戶添加到管理組；⑥利用添加的用戶登錄遠程計算機，如果能夠成功登錄，表示入侵成功；根據(jù)前面的入侵過程采取禁止建立空連接或關(guān)閉ＩＰＣ$服務(wù)等多種方法防范ＩＰＣ$入侵。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范【任務(wù)實施】準(zhǔn)備工作：①配置虛擬機網(wǎng)卡，采用橋接模式實現(xiàn)虛擬機和主機通信；②給虛擬機管理員設(shè)置簡單密碼；③從ＦＴＰ服務(wù)器下載流光掃描器，并安裝在虛擬機系統(tǒng)中。任務(wù)１.１分別查看虛擬機和真實主機是否存在ＩＰＣ$漏洞上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范【任務(wù)分析】根據(jù)需要選擇掃描工具，探測目標(biāo)主機是否存在ＩＰＣ$漏洞。本任務(wù)要求使用流光掃描器查看目標(biāo)主機是否存在漏洞，先在虛擬機中安裝流光掃描器，然后按下面步驟分別掃描真實主機和虛擬機是否有ＩＰＣ$漏洞。【任務(wù)實施】①啟動流光掃描器，如圖５－３３所示。在主界面上按Ｃｔｒｌ＋Ｒ組合鍵，彈出掃描框，如圖５－３４所示。在掃描范圍欄里輸入要掃描的ＩＰ地址范圍，在掃描主機類型里選擇ＷｉｎｄｏｗｓＮＴ／９８，確定后進行掃描。這樣，在線的ＷｉｎｄｏｗｓＮＴ／９８機器就會被掃描出來。根據(jù)實際情況，分別設(shè)置ＩＰ地址為自己的虛擬機和真實主機進行掃描。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范②鼠標(biāo)右擊主界面上的“ＩＰＣ$主機”，選擇“探測”下面的“探測所有ＩＰＣ$用戶列表”命令，就會探測出給出ＩＰ地址范圍的機器里的ＩＰＣ$用戶列表，關(guān)鍵是這里也可以掃描出用戶列表中沒有密碼或是簡單密碼的用戶，如圖５－３５所示。當(dāng)然，得到用戶列表后，也可以選用專門的黑客字典試探出密碼。③有了用戶名和密碼，在ＩＥ瀏覽器的地址欄輸入“＼＼ＩＰ地址”，就會彈出一個對話框，要求輸入用戶名和密碼，將得到的用戶名和密碼輸入后就可輕松進入目標(biāo)機器。不過這里看到的僅是目標(biāo)機器主動共享出來的文件夾。如果在地址欄輸入“＼＼ＩＰ地址Ｃ?（或是Ｄ?、Ｅ?等）”，則可以看到目標(biāo)機器Ｃ盤（或是Ｄ?、Ｅ?等）的全部內(nèi)容。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范任務(wù)１.２利用ＩＰＣ$漏洞入侵主機【任務(wù)分析】通過建立和斷開ＩＰＣ$連接，查看入侵者是如何將遠程磁盤映射到本地的。通過ＩＰＣ?連接進行入侵的條件是已獲得目標(biāo)主機管理員賬號和密碼。本任務(wù)利用真實主機入侵虛擬機，將虛擬機的Ｃ盤映射成本機的Ｚ盤?！救蝿?wù)實施】①單擊“開始”→“運行”，在“運行”對話框中鍵入“ｃｍｄ”命令。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范②使用命令“ｎｅｔｕｓｅ＼＼ＩＰ＼ＩＰＣ$＂ＰＡＳＳＷＤ＂／ＵＳＥＲ：＂ＡＤＭＩＮ＂”與目標(biāo)主機建立ＩＰＣ$連接。例如，鍵入命令：ｎｅｔｕｓｅ＼＼１９２.１６８.８０.２０＼ＩＰＣ$“密碼”／ｕｓｅｒ：“ａｄｍｉｎｉｓｔｒａｔｏｒ”，如圖５－３６所示。③映射網(wǎng)絡(luò)驅(qū)動器。使用命令：ｎｅｔｕｓｅｚ：＼＼１９２.１６８.８０.２０＼ｃ?參數(shù)說明：“＼＼１９２.１６８.８０.２０＼ｃ?”表示目標(biāo)主機１９２.１６８.８０.２０上的Ｃ盤，其中“?”符號表示隱藏的共享。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范“ｚ：”表示將遠程主機的Ｃ盤映射為本地磁盤的盤符。該命令表示把１９２.１６８.８０.２０這臺目標(biāo)主機上的Ｃ盤映射為本地的Ｚ盤，如圖５－３７所示。映射成功后，打開“我的電腦”，會發(fā)現(xiàn)多了一個Ｚ盤，上面寫著“‘１９２.１６８.８０.２０’上的?（Ｅ：）”，該磁盤即為目標(biāo)主機的Ｃ盤，如圖５－３８所示。④查找指定文件。用鼠標(biāo)右鍵單擊Ｚ盤，在彈出菜單中選擇“搜索”，查找關(guān)鍵字如“賬目”，等待一段時間后得到結(jié)果。然后將該文件拷貝、粘貼到本地磁盤，其拷貝、粘貼操作就像在本地磁盤進行操作一樣。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范⑤斷開連接。鍵入“ｎｅｔｕｓｅ*／ｄｅｌ”命令斷開所有ＩＰＣ$連接，如圖５－３９所示。任務(wù)１.３使用ＩＰＣ$和ｂａｔ文件在遠程主機上建立賬戶【任務(wù)分析】ｂａｔ文件是在Ｗｉｎｄｏｗｓ系統(tǒng)中的一種文件格式，稱為批處理文件。簡單來說，就是把需要執(zhí)行的一系列ＤＯＳ命令按順序先后寫在一個后綴名為ｂａｔ的文本文件中。通過鼠標(biāo)雙擊或使用ＤＯＳ命令執(zhí)行該ｂａｔ文件，就相當(dāng)于執(zhí)行一系列ＤＯＳ命令。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范要執(zhí)行ｂａｔ文件，必須要有觸發(fā)條件，一般都會使用定時來執(zhí)行ｂａｔ文件，也就是添加計劃任務(wù)。計劃任務(wù)是Ｗｉｎｄｏｗｓ系統(tǒng)自帶的功能，可以在控制面板中找到，還可以用命令ＡＴ來添加計劃任務(wù)。因此，本任務(wù)需要先創(chuàng)建一個ｂａｔ文件，該文件用來在目標(biāo)主機上創(chuàng)建用戶，然后利用ＩＰＣ$漏洞與目標(biāo)主機連接，將ｂａｔ文件復(fù)制到目標(biāo)主機并在規(guī)定時間執(zhí)行，最后驗證創(chuàng)建的用戶是否成功。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范【任務(wù)實施】１.編寫ｂａｔ文件打開記事本，鍵入如下內(nèi)容：ｎｅｔｕｓｅｒｕｓｅｒ０１ｐａｓｓｗｏｒｄ／ａｄｄｎｅｔｌｏｃａｌｇｒｏｕｐａｄｍｉｎｉｓｔｒａｔｏｒｓｕｓｅｒ０１／ａｄｄ編寫好命令后，把該文件另存為“ｔｅｓｔ.ｂａｔ”。其中前一條命令表示添加用戶名為ｕｓｅｒ０１、密碼為ｐａｓｓｗｏｒｄ的賬號；后一條命令表示把ｕｓｅｒ０１添加到管理員組（ａｄｍｉｎｉｓｔｒａｔｏｒｓ）。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范２.與遠程主機建立ＩＰＣ$連接使用ＤＯＳ命令“ｎｅｔｕｓｅ＼＼１９２.１６８.８０.２０＼ＩＰＣ$＂＂／ｕｓｅｒ：＂ａｄｍｉｎｉｓｔｒａｔｏｒ＂”即可實現(xiàn)連接。３.拷貝文件至遠程主機命令格式：ｃｏｐｙｆｉｌｅ＼＼ｉｐ＼ｐａｔｈ———設(shè)置拷貝的路徑。操作過程：在ｃｍｄ命令行窗口內(nèi)鍵入命令“ｃｏｐｙｔｅｓｔ.ｂａｔ＼＼１９２.１６８.８０.２０＼ｃ?”，將本機的ｔｅｓｔ.ｂａｔ文件拷貝到目標(biāo)主機１９２.１６８.８０.２０的Ｃ盤內(nèi)。此外，也可以用對方Ｃ盤網(wǎng)絡(luò)映射的方式在圖形界面下復(fù)制ｔｅｓｔ.ｂａｔ，并粘貼到遠程主機中。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范４.通過計劃任務(wù)使遠程主機執(zhí)行ｔｅｓｔ.ｂａｔＱＸ文件命令格式：ｎｅｔｔｉｍｅ＼＼ｉｐ———查看遠程主機的系統(tǒng)時間；ａｔ＼＼ｉｐｔｉｍｅｃｏｍｍａｎｄ———在遠程主機上建立計劃任務(wù)。操作過程：在ｃｍｄ命令行窗口內(nèi)鍵入“ｎｅｔｔｉｍｅ＼＼１９２.１６８.８０.２０”。假設(shè)目標(biāo)系統(tǒng)時間為１２∶００，然后根據(jù)該時間為遠程主機建立計劃任務(wù)。鍵入“ａｔ＼＼１９２.１６８.８０.２０１２：０２ｃ：＼ｔｅｓｔ.ｂａｔ”命令，即在中午１２時０２分執(zhí)行遠程主機Ｃ盤中的ｔｅｓｔ.ｂａｔ文件。計劃任務(wù)添加完畢后，使用命令“ｎｅｔｕｓｅ*／ｄｅｌ”斷開ＩＰＣ$連接。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范５.驗證賬號是否成功建立等待時間到后，遠程主機就執(zhí)行了ｔｅｓｔ.ｂａｔ文件。可以通過建立ＩＰＣ$連接來驗證是否成功建立了“ｕｓｅｒ０１”賬號。在ｃｍｄ命令行窗口內(nèi)鍵入“ｎｅｔｕｓｅ＼＼１９２.１６８.８０.２０＼ｉｐｃ?”ｐａｓｓｗｏｒｄ“／ｕｓｅｒ：”ｕｓｅｒ０１“”命令，如能成功建立ＩＰＣ$連接，則說明管理員賬號“ｕｓｅｒ０１”已經(jīng)成功建立。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范【相關(guān)知識】１.關(guān)于Ｗｉｎｄｏｗｓ操作系統(tǒng)的默認(rèn)共享為了配合ＩＰＣ共享工作，Ｗｉｎｄｏｗｓ操作系統(tǒng)（不包括Ｗｉｎｄｏｗｓ９８系列）在安裝完成后，自動設(shè)置共享的目錄為Ｃ盤、Ｄ盤、Ｅ盤、ＡＤＭＩＮ目錄（Ｃ：＼ｗｉｎｎｔ＼）等，即為ＡＤＭＩＮ?、Ｃ?、Ｄ?、Ｅ?等。但要注意，這些共享是隱藏的，只有管理員能夠?qū)λ鼈冞M行遠程操作。在ＭＳ－ＤＯＳ中鍵入“ｎｅｔｓｈａｒｅ”命令來查看本機共享資源，如圖５－４０所示。２.ＤＯＳ命令下面介紹幾個比較基礎(chǔ)的ＤＯＳ命令，這些都是ＤＯＳ中經(jīng)常使用的命令。Ｄｉｒ命令：列出當(dāng)前路徑下的文件，常常用來查看想要找的文件是否在該路徑下，如圖５－４１所示。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范ｃｄ命令：進入指定的目錄。比如，想進入Ｃ盤中的ｍｙｄｏｃｕｍｅｎｔｓ文件夾，則在當(dāng)前目錄下鍵入“ｃｄｍｙｄｏｃｕｍｅｎｔｓ”命令，如圖５－４２所示。任務(wù)１.４ＩＰＣ$漏洞防范【任務(wù)分析】怎樣防止別人用ＩＰＳ?和默認(rèn)共享入侵目標(biāo)計算機？請參考以下幾種方法對虛擬機進行設(shè)置，用每種方法設(shè)置后請驗證，即用任務(wù)１.２中的方法進行ＩＰＣ$連接，看安全設(shè)置是否生效?！救蝿?wù)實施】方法一：把ＩＰＣ$和默認(rèn)共享都刪除了，但重啟后還會有，這就需要修改注冊表。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范（１）先把已有的刪除ｎｅｔｓｈａｒｅＩＰＣ$／ｄｅｌｎｅｔｓｈａｒｅａｄｍｉｎ?／ｄｅｌｎｅｔｓｈａｒｅｃ?／ｄｅｌ（２）禁止建立空連接首先運行ｒｅｇｅｄｉｔ，找到主鍵ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＹＳＴＥＭ＼ＣｕｒｒｅｎｔＣｏｎｔｒｏｌＳｅｔ＼Ｃｏｎｔｒｏｌ＼ＬＳＡ，把ＲｅｓｔｒｉｃｔＡｎｏｎｙｍｏｕｓ（ＤＷＯＲＤ）的鍵值改為：０００００００１。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范（３）禁止自動打開默認(rèn)共享對于Ｓｅｒｖｅｒ版，找到主鍵ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＹＳＴＥＭ＼ＣｕｒｒｅｎｔＣｏｎｔｒｏｌＳｅｔ＼Ｓｅｒｖｉｃｅｓ＼ＬａｎｍａｎＳｅｒｖｅｒ＼Ｐａｒａｍｅｔｅｒｓ，把ＡｕｔｏＳｈａｒｅＳｅｒｖｅｒ（ＤＷＯＲＤ）的鍵值改為：００００００００。對于Ｐｒｏ版，主鍵則是ＨＫＥＹ＿ＬＯＣＡＬ＿ＭＡＣＨＩＮＥ＼ＳＹＳＴＥＭ＼ＣｕｒｒｅｎｔＣｏｎｔｒｏｌＳｅｔ＼Ｓｅｒｖｉｃｅｓ＼ＬａｎｍａｎＳｅｒｖｅｒ＼Ｐａｒａｍｅｔｅｒｓ，把ＡｕｔｏＳｈａｒｅＷｋｓ（ＤＷＯＲＤ）的鍵值改為：００００００００。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范方法二：關(guān)閉ＩＰＣ$和默認(rèn)共享依賴的服務(wù)：ｎｅｔｓｔｏｐｌａｎｍａｎｓｅｒｖｅｒ?？赡軙刑崾菊f：ＸＸＸ服務(wù)也會關(guān)閉，是否繼續(xù)？因為還有些次要的服務(wù)依賴于ｌａｎ-ｍａｎｓｅｒｖｅｒ，一般情況單擊“ｙ”繼續(xù)就可以了。方法三：安裝防火墻或者端口過濾，通過配置本地策略來禁止１３９／４４５端口的連接。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范【相關(guān)知識】ＩＰＣ概念ＩＰＣ是英文ＩｎｔｅｒｎｅｔＰｒｏｃｅｓｓＣｏｎｎｅｃｔｉｏｎ的縮寫，可以理解為“命名管道”資源，它是Ｗｉｎｄｏｗｓ操作系統(tǒng)提供的一個通信基礎(chǔ)，用來在兩臺計算機進程之間建立通信連接，而ＩＰＣ后面的“?”是Ｗｉｎｄｏｗｓ系統(tǒng)所使用的隱藏符號，因此“ＩＰＣ$”表示ＩＰＣ共享，但是是隱藏的共享。ＩＰＣ$是ＷｉｎｄｏｗｓＮＴ及Ｗｉｎｄｏｗｓ２０００／ＸＰ／２００３特有的一項功能，通過這項功能，一些網(wǎng)絡(luò)程序的數(shù)據(jù)交換可以建立在ＩＰＣ上面，實現(xiàn)遠程訪問和管理計算機。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范任務(wù)２利用Ｔｅｌｎｅｔ入侵主機【任務(wù)描述】由于ＩＰＣ$入侵只是與遠程主機建立連接，并不是真正的登錄，所以入侵者常使用Ｔｅｌｎｅｔ方式登錄遠程主機，控制其軟、硬件資源。因此，掌握Ｔｅｌｎｅｔ的入侵和防范也是非常重要的?！救蝿?wù)分析】利用虛擬機作為服務(wù)器，配置虛擬機網(wǎng)卡，采用橋接模式實現(xiàn)虛擬機和主機通信。主機作為客戶端Ｔｅｌｎｅｔ遠程主機并入侵主機。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范【任務(wù)實施】１.開啟遠程主機中被禁用的Ｔｅｌｎｅｔ服務(wù)開啟遠程主機中被禁用的Ｔｅｌｎｅｔ服務(wù)有兩種方式：一種是通過批處理開啟；一種是利用ｎｅｔｓｖｃ.ｅｘｅ開啟。（１）批處理開啟遠程主機服務(wù)①編寫ｂａｔ文件：打開記事本，鍵入“ｎｅｔｓｔａｒｔｔｅｌｎｅｔ”命令，另存為Ｔｅｌｎｅｔ.ｂａｔ。其中“ｎｅｔｓｔａｒｔ”是用來開啟服務(wù)的命令，與之相對的命令是“ｎｅｔｓｔｏｐ”?！埃睿澹簦螅簦幔颍簟焙鬄榉?wù)的名稱，表示開啟何種服務(wù)，在本例中開啟Ｔｅｌｎｅｔ服務(wù)。上一頁下一頁返回模塊５－２常用網(wǎng)絡(luò)入侵技術(shù)與防范②建立ＩＰＣ$連接（圖５－４３），把Ｔｅｌｎｅｔ.ｂａｔ文件拷貝到遠程主機中。使用ＤＯＳ命令“ｎｅｔｕｓｅ＼＼１９２.１６８.８０.２０＼ＩＰＣ$＂＂／ｕｓｅｒ：＂ａｄｍｉｎｉｓｔｒａｔｏｒ＂”即可實現(xiàn)連接。③使用“ｎｅｔｔｉｍｅ”命令查看遠程主機的系統(tǒng)時間，“ａｔ”命令建立計劃任務(wù)。（２）利用ｎｅｔｓｖｃ.ｅｘｅ開啟遠程主機服務(wù)ｎｅｔｓｖｃ是Ｗｉｎｄｏｗｓ系統(tǒng)中附帶的一個管理工具，用于開啟遠程主