利用IPC$植入木马实验报告
利用IPC$植入木马实验
班级:113801
姓名:崔征
学号:080223
实验环境:
本机系统XP 或win7,虚拟机运行XP 或win003。
实验软件:
冰河2.2
实验目的:
掌握这类病毒入侵计算机的基本方法
实验内容:
Ipc$是windows 操作系统专有的远程管理工具,但由于其在相对应的安全策略上有漏洞,导致在整个windows 中存在巨大的隐患。本实验就是通过利用Ipc$向目标计算机(windowsXP 或windows2003)植入冰河木马来达到远程控制对方计算机,让大家了解windows 安全策略的重要性。
实验准备:
VM 中运行windowsXP 或2003,充当被控制机器,本机
充当攻击者,本机准备冰河木马软件,关闭两个机器的防火墙,关闭
两个机器的杀毒软件。配置虚拟机网卡连接到本机的Vnet1 网卡上,配置内外网络畅通,本例内部计算机地址为192.168.242.130。
实验步骤:
步骤1:
配置VM 计算机的安全策略,使攻击能顺利进行。
这个账户策略中指定administrator 在空白密码时只能进行控制台登陆,如果不关闭这个选项,则Ipc$攻击无法进行。所以这个策略在我们的计算机上一定要打开!
将网络访问:本地账户的共享和安全模式调整为经典模式,这样在登录时可以使用管理员账户获取到最大权限,否则只能以guest 模式运行,导致文件无法上传。
步骤2:
在攻击计算机上的命令行方式执行以下命令:注意net 和use,use 和\\中有空格,另一个空格在/user 前。
如果策略只允许控制台登录,攻击将得到上述信息,则攻击失败。
如果策略调整过后,则得到以下信息,表示连接建立成功。
此时,我们将可以直接向默认开放的共享目录上传木马。
如果你想知道机器都开有什么样的默认共享,请使用下述命令查看。注意:带$的都是系统默认的共享,即使你没有共享!
步骤3:向admin$下上传冰河木马主程序g_server.exe
注意:本例中冰河木马被放置在攻击机的c:\windows 目录下。上传完毕后可以使用命令查看。
步骤4:
查看被攻击计算机的系统时间。
步骤5:
创建计划任务,让被攻击计算机自动运行该木马。
执行完毕后可以在被攻击机的计划任务中看到这个任务。
接下来等待木马运行。
注意任务管理器中选中的即为刚刚运行起来的木马。
步骤6:
使用木马客户端连接被攻击计算机。
可以看到已经连接成功,至此,通过IPC$的攻击成功。
实验结论:这次试验在经历过数次的失败后终于在老师的指导下成功了,通过这次冰河木马的入侵实验,我知道了windows xp的安全漏洞,以及如何保护计算机的组策略以免受木马以及病毒的入侵,
灰鸽子实验报告
实 验 报 告 实验名称灰鸽子木马实验报告 课程名称网络安全 院系部:信息技术系专业班级:网络101 学生姓名:学号:20100901099
一、实验目的及要求: [目的] 1、了解灰鸽子是一个集多种控制方法于一体的木马病毒。 [内容及要求] 1、练习软件的哪些功能,自己总结 2、通过实验了解灰鸽子是一款的远程控制软件。 3、熟悉使用木马进行网络攻击的原理和方法。 [试验环境] 虚拟机下安装组建一个局域网,2台安装了win2000/win2003/XP系统的电脑,灰鸽子木马软件。 二、实验方法与步骤: (1)打开虚拟机,开启windows server 2003 A 与 windows server 2003 B ,将其网络设备器设置在同一局域网内(例vmnet2)
(2)打开灰鸽子,并查看本机IP地址: (3)点击配置服务程序,新建一个木马病毒:
密码可设置也可不设置 (3)将生产的木马病毒设法放入目标主机,并使其运行: (原始木马样子) (4)目标主机运行后,本机灰鸽子显示其登录: 我们可对目标及进行,下载上传等基本运行 (5)还可以进行更深层次的控制,例如屏幕捕捉与控制,广播,关机开机,注册表的编辑等(看红框标识处):
(6)灰鸽子木马的伪装,木马捆绑器: 现今社会杀毒软件的辨识度已然很高,而人们的警惕度也越来越 高,木马若想成功的被目标主机运行,必然要做一定的伪装
生成一个可执行文件,虽然风险乜很高,但不失为一种方法! (6)木马分离器: 三、使用心得 (1)熟悉灰鸽子之后,我们了解了木马的强大以及危害之处,如何防范木马,是当今信息社会的一种不可不重视的问题。 计算机病毒泛滥尤以木马病毒为甚。木马病毒是一种远程控制程 序,“黑客”利用计算机系统和软件的漏洞将一段程序植入远端电脑后,可以借助其配套的控制程序来远程控制中毒
网络安全实验报告-冰河木马实验
网络安全实验报告 冰河木马实验 网络10-2班 XXX 08103635 一、实验目的 通过学习冰河木马远程控制软件的使用,熟悉使用木马进行网络攻击的原理和方法。 二、实验内容 1、在计算机A上运行冰河木马客户端,学习其常用功能; 2、在局域网内另一台计算机B上种入冰河木马(服务器),用 计算机A控制计算机B; 3、打开杀毒软件查杀冰河木马; 4、再次在B上种入冰河木马,并手动删除冰河木马,修改注 册表和文件关联。 三、实验准备 1、在两台计算机上关闭杀毒软件; 2、下载冰河木马软件; 3、阅读冰河木马的关联文件。 四、实验要求 1、合理使用冰河木马,禁止恶意入侵他人电脑和网络; 2、了解冰河木马的主要功能; 3、记录实验步骤、实验现象、实验过程中出现的意外情况及
解决方法; 4、总结手动删除冰河木马的过程。 五、实验过程 作为一款流行的远程控制工具,在面世的初期,冰河就曾经以其简单的操作方法和强大的控制力令人胆寒,可以说达到了谈冰色变的地步。鉴于此,我们就选用冰河完成本次实验。 若要使用冰河进行攻击,则冰河的安装(是目标主机感染冰河)是首先必须要做的。 冰河控制工具中有三个文件:,,以及。 简单介绍冰河的使用。是监控端执行程序,可以用于监控远程计算机和配置服务器。是被监控端后台监控程序(运行一次即自动安装,开机自启动,可任意改名,运行时无任何提示)。运行后,该服务端程序直接进入内存,并把感染机的7626端口开放。而使用冰河客户端软件()的计算机可以对感染机进行远程控制。 冰河木马的使用: 1、自动跟踪目标机屏幕变化,同时可以完全模拟键盘及鼠标输入,即在同步被控端屏幕变化的同时,监控端的一切键盘及鼠标操作将反映在被控端屏幕(局域网适用)。 2、记录各种口令信息:包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出现的口令信息。 3、获取系统信息:包括计算机名、注册公司、当前用户、系统路径、操作系统版本、当前显示分辨率、物理及逻辑磁盘信息等多项系统数据。 4、限制系统功能:包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定注册表等多项功能限制。 5、远程文件操作:包括创建、上传、下载、复制、伤处文件或目录、文件压缩、快速浏览文本文件、远程打开文件(正常方式、最小化、最大化、隐藏方式)等多项文件操作功能。 6、注册表操作:包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表操作功能。
查木马的简单方法
查木马的简单方法 当前最为常见的木马通常是基于TCP/UDP协议进行client端与server端之间的通讯的,既然利用到这两个协议,就不可避免要在server端(就是被种了木马的机器了)打开监听端口来等待连接。例如鼎鼎大名的冰河使用的监听端口是7626,Back Orifice 2000则是使用54320等等。那么,我们可以利用查看本机开放端口的方法来检查自己是否被种了木马或其它黑客程序。以下是详细方法介绍。 1.Windows本身自带的netstat命令 关于netstat命令,我们先来看看windows帮助文件中的介绍: Netstat 显示协议统计和当前的TCP/IP 网络连接。该命令只有在安装了TCP/IP 协议后才可以使用。 netstat [-a] [-e] [-n] [-s] [-p protocol] [-r] [interval] 参数 -a 显示所有连接和侦听端口。服务器连接通常不显示。 -e 显示以太网统计。该参数可以与-s 选项结合使用。 -n 以数字格式显示地址和端口号(而不是尝试查找名称)。 -s 显示每个协议的统计。默认情况下,显示TCP、UDP、ICMP 和IP 的统计。-p 选项可以用来指定默认的子集。 -p protocol 显示由protocol 指定的协议的连接;protocol 可以是tcp 或udp。如果与-s 选项一同使用显示每个协议的统计,protocol 可以是tcp、udp、icmp 或ip。 -r 显示路由表的内容。 interval 重新显示所选的统计,在每次显示之间暂停interval 秒。按CTRL+B 停止重新显示统计。如果省略该参数,netstat 将打印一次当前的配置信息。 好了,看完这些帮助文件,我们应该明白netstat命令的使用方法了。现在就让我们现学现用,用这个命令看一下自己的机器开放的端口。进入到命令行下,使用netstat命令的a和n两个参数: C:\>netstat -an Active Connections Proto Local Address Foreign Address State TCP 0.0.0.0:80 0.0.0.0:0 LISTENING TCP 0.0.0.0:21 0.0.0.0:0 LISTENING TCP 0.0.0.0:7626 0.0.0.0:0 LISTENING UDP 0.0.0.0:445 0.0.0.0:0 UDP 0.0.0.0:1046 0.0.0.0:0 UDP 0.0.0.0:1047 0.0.0.0:0
网络安全实训一
《网络安全与管理》 实训报告 指导老师: 班级: 学号: 姓名: 实训一、Windows口令安全与破译 Pwdump导出本地sam散列 实验目的 1.理解saminside破解本地sam散列的原理。 2.学习psaminside破解本地sam散列的过程。 实验原理 1.Windows hash由LM HASH&NT HASH组成。 2.LM HASH生成规则 系统中用户密码编码使用了OEM内码页,用户密码被限制为最多14个字符,不足14字节用0补全,并转换为大写。固定长度的密码分成两个7 byte部分,每部分在末尾加0,组成新的编码。以上步骤得到的两部分8byte组,分别作为DES key 进行加密。将加密后的两组进行拼接,就成了LM HASH值。 3.NT HASH生成规则
把明文口令从ASCII使用little-endian序转换成Unicode字符,对所获取的Unicode串进行标准MD4单向哈希,无论数据源长度多少字节,MD4固定产生128-bit的哈希值,就得到了NT HASH值。 实验步骤 1.打开开始菜单,找到运行输入“cmd”,找到pwdump工具,在cmd中输入pwddump 工具路径。如下图 2.继续在cmd中输入pwdump.exe ,如图进入pwdump界面。
3.然后再输入pwdump.exe --dump-hash-local,获得当前用户的SAM值。 4.右键标记,复制到文本中,保存到桌面上。 5.打开文件夹C:\实验工具集\02主机安全\02_windows口令安全与破解\第三节 saminside破解本地sam散列,打开SAMinside.exe
灰鸽子网页木马从原理、制作到防范
灰鸽子”网页木马从原理、制作到防范 如果你访问××网站(国内某门户网站),你就会中灰鸽子木马。这是我一黑客朋友给我说的一句说。打开该网站的首页,经检查,我确实中了灰鸽子。怎么实现的呢?他说,他侵入了该网站的服务器并在网站主页上挂了网页木马;一些安全专家常说,不要打开陌生人发来的网址,为什么? 因为该网址很有可能就是一些不怀好意者精心制作的网页木马。 以上只是网页木马的两种形式,实际上网页木马还可以挂在多媒体文件(RM、RMVB、WMV、WMA、Flash)、电子邮件、论坛等多种文件和场合上。很可怕吧,那么用户如何防范网页木马呢?下面我们就先从网页木马 的攻击原理说起。 一、网页木马的攻击原理 首先明确,网页木马实际上是一个HTML网页,与其它网页不同的是该网页是黑客精心制作的,用户一旦访问了该网页就会中木马。为什么说是黑客精心制作的呢?因为嵌入在这个网页中的脚本恰如其分地利用了IE浏览器的漏洞,让IE在后台自动下载黑客放置在网络上的木马并运行(安装)这个木马,也就是说,这个网页能下载木马到本地并运行(安装)下载到本地电脑上的木马,整个过程都在后台运行,用户一旦打开这个网页,下载过程和运行(安装)过程就自动开始。 有朋友会说,打开一个网页,IE浏览器真的能自动下载程序和运行程序吗?如果IE真的能肆无忌惮地任意下载和运行程序,那天下还不大乱。
实际上,为了安全,IE浏览器是禁止自动下载程序特别是运行程序的,但是,IE浏览器存在着一些已知和未知的漏洞,网页木马就是利用这些漏洞获得权限来下载程序和运行程序的。下面我举IE浏览器早期的一个漏洞 来分别说明这两个问题。 ⒈自动下载程序 小提示:代码说明 a. 代码中“src”的属性为程序的网络地址,本例中“https://www.360docs.net/doc/5f3213400.html,/1.exe”为我放置在自己Web服务器上的灰鸽子服务端安装程序,这段代码能让网页下载该程序到浏览它的电脑上。 b. 也可以把木马程序上传到免费的主页空间上去,但免费空间出于安全的考虑,多数不允许上传exe文件,黑客可能变通一下把扩展名exe 改为bat或com,这样他们就可以把这些程序上传到服务器上了。 把这段代码插入到网页源代码的