遠(yuǎn)程沖破telnet中NTLM權(quán)限驗(yàn)證的多種方法

遠(yuǎn)程沖破telnet中NTLM權(quán)限驗(yàn)證的多種方法

自從上大學(xué)后就很少寫這類文章了，謹(jǐn)以此文獻(xiàn)給我最愛(ài)的爸爸和媽媽，此文章是特別為我的好朋友中國(guó)暗域網(wǎng)絡(luò)會(huì)員 《閃客幽靈》 所寫，希望能對(duì)他有所幫助。感謝大家一如既往的支持中國(guó)暗域網(wǎng)絡(luò)。

原創(chuàng)聲明：
中國(guó)暗域網(wǎng)絡(luò)技術(shù)資訊站原創(chuàng)文章，文章作者 冰血封情<EvilOctal>，勞煩轉(zhuǎn)載請(qǐng)著名出處。我們將盡力將中國(guó)暗域網(wǎng)絡(luò)向?qū)W術(shù)性的站點(diǎn)偏移。
注意本文是在桂林電子工業(yè)學(xué)院計(jì)算機(jī)系專用學(xué)生機(jī)房做的實(shí)驗(yàn)，目標(biāo)機(jī)器的IP這里定為172.16.93.66。相關(guān)軟件將在文章末尾給出下載地址。

拙筆正文：
前幾天，我的一個(gè)朋友在我所在的中國(guó)暗域網(wǎng)絡(luò)的技術(shù)論壇（forum.hackway.net）問(wèn)了一個(gè)有關(guān)于telnet的問(wèn)題，我覺(jué)得的確是很有代表性，關(guān)于問(wèn)題具體內(nèi)容我就不說(shuō)了，為了節(jié)省時(shí)間空間這里只給出連接關(guān)于telnet中存在的疑問(wèn)。按照中國(guó)暗域網(wǎng)絡(luò)的技術(shù)承諾，如果會(huì)員問(wèn)了問(wèn)題，凡是有必要的，站里都會(huì)專門為這位會(huì)員寫一篇文章做詳細(xì)[答疑]。由于冰血封情覺(jué)得問(wèn)題太典型，所以我們單獨(dú)做了一個(gè)[原創(chuàng)]文章，為的是讓更多的朋友了解這個(gè)問(wèn)題。至于高手就不用看本文了，我所寫的也都是笨拙的技巧。
其實(shí)，這都是入侵后期的一個(gè)技巧。很多情況下，當(dāng)通過(guò)各種方式得到目標(biāo)計(jì)算機(jī)的權(quán)限之后，為了方便日后登錄我們通常會(huì)利用或者開(kāi)起一些目標(biāo)計(jì)算機(jī)的服務(wù)。telnet便是其中很主要的角色之一。但是眾所周知的是，一旦telnet服務(wù)開(kāi)啟了NTLM（NT Lan Manager）身份驗(yàn)證，那對(duì)入侵者來(lái)說(shuō)是件十分痛苦的事情。今天我們就來(lái)簡(jiǎn)單討論一下各種解除NTLM的條件和方法。
NO1使用榕哥的作品ntlm.exe
感謝：我們中國(guó)網(wǎng)絡(luò)安全界優(yōu)秀的程序員小榕，歡迎大家訪問(wèn)他的站點(diǎn)NetXEyes，也歡迎大家訪問(wèn)中國(guó)網(wǎng)絡(luò)安全最高學(xué)府安全焦點(diǎn)，個(gè)人比較敬佩小榕前輩。
如果您知道了一臺(tái)主機(jī)的管理員權(quán)限，并確切的知道他的用戶ID和password，而且對(duì)方允許網(wǎng)際進(jìn)程連接（ipc$）和AT命令，那么你可以使用這種方法�，F(xiàn)在先和目標(biāo)計(jì)算機(jī)建立一個(gè)ipc連接，然后將此文件copy到目標(biāo)計(jì)算機(jī)上，然后通過(guò)AT命令執(zhí)行就OK了！這個(gè)方法應(yīng)該是最方便的了，說(shuō)到頭還是得感謝榕哥。這里是淺談，所以一些實(shí)在太過(guò)于基礎(chǔ)的步驟我就不詳細(xì)說(shuō)了，如果有疑問(wèn)，歡迎訪問(wèn)中國(guó)暗域網(wǎng)絡(luò)技術(shù)論壇。
NO2通過(guò)自己編寫batch文件
感謝：其實(shí)這種方法N早就在《黑客X檔案》上有人寫過(guò)，我只是綜合一下，不知道會(huì)不會(huì)有'版權(quán)糾紛'？哈……不閑扯。這里很感謝2002年8月《黑客X檔案》第43頁(yè)文章《徒手屏蔽遠(yuǎn)程telnet服務(wù)的ntlm認(rèn)證》的作者h(yuǎn)eikeangel。
這個(gè)方法的實(shí)現(xiàn)條件和NO1相同。那么看看原文中heikeangel是怎么說(shuō)的呢
……大家可以看一下Win2000和NT4自帶的tlntadmn這個(gè)命令，它是用來(lái)控制臺(tái)修改telnet設(shè)置的。很可惜，這是一個(gè)控制臺(tái)的交互式工具，所以at命令沒(méi)有辦法直接調(diào)用�，F(xiàn)在我們執(zhí)行一下tlntadmn，然后按照以下的順序操作：停止服務(wù)(5)->更改設(shè)置(3)->NTLM(7)->確認(rèn)更改(y)->修改NTLM當(dāng)前值(0)->再次確認(rèn)(y)->退出菜單(0)->啟動(dòng)服務(wù)(4)->退出程序(0)……

好了按照所提示的方法，這里我們就編寫一個(gè)批處理文件，首先用AT命令取得對(duì)方系統(tǒng)時(shí)間。假設(shè)得到對(duì)方時(shí)間為20:11，然后鍵入……
at \\172.16.93.66 20:18 "echo 5 >> c:\evilin.txt"
at \\172.16.93.66 20:18 "echo 3 >> c:\evilin.txt"
at \\172.16.93.66 20:18 "echo 7 >> c:\evilin.txt"
at \\172.16.93.66 20:18 "echo y >> c:\evilin.txt"
at \\172.16.93.66 20:18 "echo 0 >> c:\evilin.txt"
at \\172.16.93.66 20:18 "echo y >> c:\evilin.txt"
at \\172.16.93.66 20:18 "echo 0 >> c:\evilin.txt"
at \\172.16.93.66 20:18 "echo 4 >> c:\evilin.txt"
at \\172.16.93.66 20:18 "echo 0 >> c:\evilin.txt"
at \\172.16.93.66 20:18 "c:\winnt\system32\tlntadmn.exe < c:\evilin.txt"
at \\172.16.93.66 20:18 "del c:\evilin.txt /f"
然后再用AT命令執(zhí)行at 172.16.93.66 20:18 tlntadmn,c:\evilin.txt就一切搞掂了！
NO3通過(guò)工具opentelnet.exe
感謝：工具OpenTelnet.exe和ResumeTelnet.exe的作者refdom前輩，他的文章WIN2K的Telnet服務(wù)Hacking吐血推薦閱讀。當(dāng)然也歡迎訪問(wèn)中國(guó)網(wǎng)絡(luò)安全最高學(xué)府安全焦點(diǎn)。
如果您知道了一臺(tái)主機(jī)的管理員權(quán)限，并確切的知道他的用戶ID和password，并且對(duì)方還沒(méi)開(kāi)telnet，那么我們就厚起臉皮用高手寫的工具開(kāi)始吧。具體過(guò)程refdom前輩已經(jīng)很詳細(xì)的介紹在文章中了。（為了方便和本文的結(jié)合，我修改了target IP希望refdom前輩理解）

Opentelnet.exe的用法：
OpenTelnet.exe \\server <帳號(hào)> <密碼> <NTLM認(rèn)證方式> <Telnet端口>
比如下面的：（命令意思是連接172.16.93.66，帳號(hào)administrator，密碼123456 ，0表示不使用NTLM認(rèn)證方式，
Telnet的端口是90）
C:\>OpenTelnet.exe \\172.16.93.66 administrator 123456 0 90
當(dāng)程序運(yùn)行后得到：
BINGLE!!!Yeah!!
Telnet Port is 90. You can try:"telnet ip 90", to connect the server!
Disconnecting server...Successfully!
就說(shuō)明Telnet服務(wù)啟動(dòng)成功，并且使用的端口是90。這樣，我們就能夠得到一個(gè)開(kāi)90端口的Windows 2000 Telnet服務(wù)器。
Telnet 172.16.93.66
就可以登錄上去了，而且不使用 NTLM認(rèn)證方式。
ResumeTelnet.exe，是用來(lái)恢復(fù)Telnet配置的，并關(guān)閉Telnet服務(wù)器，它的用法是：
ResumeTelnet.exe \\ip <帳號(hào)> <密碼>
例如：
C:\>ResumeTelnet.exe \\172.16.93.66 administrator 123456
如果程序運(yùn)行后顯示：
BINGLE!!!
The config of remote telnet server is resumed!
Disconnecting server...Successfully!
就說(shuō)明服務(wù)器端Telnet 的配置又返回到原來(lái)的狀態(tài)中了。

再次以最高的敬意感謝refdom前輩。
NO4利用遠(yuǎn)程注冊(cè)表實(shí)現(xiàn)
如果您知道了一臺(tái)主機(jī)的管理員權(quán)限，并確切的知道他的用戶ID和password，并且對(duì)方開(kāi)啟了遠(yuǎn)程注冊(cè)表服務(wù)和telnet服務(wù)。
首先我們和172.16.93.66建立ipc$連接，然后啟動(dòng)本地的注冊(cè)表編輯器，選擇"工具"中的"連接網(wǎng)絡(luò)注冊(cè)表"，在出現(xiàn)的連接對(duì)話框中輸入172.16.93.66，回車后進(jìn)入遠(yuǎn)程注冊(cè)表，找到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TelnetServer\1.0下的NTLM鍵值，將其修改為0或者1，完成后斷開(kāi)所有連接，只要對(duì)方重新啟動(dòng)后就徹底擺平！
NO5利用系統(tǒng)新建用戶
如果您知道了一臺(tái)主機(jī)的管理員權(quán)限，并確切的知道他的用戶ID和password，并且對(duì)方開(kāi)啟了telnet服務(wù)。那么我們來(lái)介紹一下這種方法……大體上的目標(biāo)是在本地建立一個(gè)和對(duì)方帳號(hào)同名同權(quán)限的帳號(hào)，以這種修改連接身份的方法來(lái)繞過(guò)驗(yàn)證。
這里具體方法如下。首先照上面所說(shuō)的建立一個(gè)符合要求的用戶，這里我們把叫做"跳板"用戶，然后在c:\WINNT\SYSTEM32\cmd.exe上單擊右鍵選擇"屬性"，在"屬性"選項(xiàng)卡中勾選"以其他用戶身份運(yùn)行"，"確定"后，雙擊運(yùn)行它，輸入你所建立的那個(gè)"跳板"用戶的ID和password，然后直接可以在這個(gè)cmd.exe中實(shí)現(xiàn)Telnet而不需要NTLM身份驗(yàn)證了。多爽�。�
本文就寫到這里，這只是平時(shí)積累的點(diǎn)知識(shí)，拿出來(lái)給大家分享，本文完全免費(fèi)投放于網(wǎng)絡(luò)。希望我的拙劣技巧能給大家一點(diǎn)啟迪，開(kāi)放出更新的方法，歡迎來(lái)中國(guó)暗域網(wǎng)絡(luò)和我討論，我是菜鳥(niǎo)冰血封情。由于本人的水平不濟(jì)，文章有不到之處，請(qǐng)高手斧正！再次感謝所有為中國(guó)網(wǎng)絡(luò)安全發(fā)展做出貢獻(xiàn)的高手和前輩們，你們是偉大的。enjoy it! Good luck: )

億恩科技地址(ADD)：鄭州市黃河路129號(hào)天一大廈608室 郵編(ZIP)：450008 傳真(FAX)：0371-60123888
   聯(lián)系：億恩小凡
   QQ：89317007
   電話:0371-63322206

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]