一 起因

　　同學說,只要我拿下他們學校的服務群,就請我吃一頓大的.

　　到北京這么久了,整天日夜倒,整個人瘦得像....

　　哎,能吃則吃,自己也很久沒寫東西交給黑板了,故這篇就當交差吧.

　　另,這篇文章送給BCT的成員,還有我的高中的鐵四角,阿棍,君明,溥卿,還有經偉,老大......

　　轉載請保留這段話,thx

　　二 開動

　　初步看一下,整個學校的網絡分布在IP段:1.1.1.xx,學校在上層做了些手腳,故只能訪問整個段的80.

　　就國內來說,最容易入手的地方當屬論壇了(個人見解),所有的程序全做了通用防注入,掃描了半天沒看到什么默認數據庫,phpmyadmin,上傳頁面等.

　　三 突然點

　　學校的論壇是dvbbs的,程序最新的,刪掉了boke,這樣boke 0day就沒法用,改了默認數據庫和默認的備份數據庫路徑,從論壇數上看90%是Access+dvbbs,因為注冊人數才幾百人,吼吼~~~

　　注冊一個用戶,查一下管理員的資料,找到管理員的id,mail,qq等資料.

　　再接下來的思路就是google管理的id,mail,qq等資料,查一下管理員在哪些地方注冊過會員,然后再把其注冊的那個站搞定,查一下管理員注冊時的密碼,再用注冊的密碼來登學校論壇.

　　這里只說一下思路,用這個方法我把其學校論壇的管理員的QQ,郵箱,還有他的十八代祖宗都找了出來,一層一層查嘛,上次動易出漏洞的時候,黑鷹某管理員的祖宗就是這樣挖出來D,QQ密碼全都偷過來了,搞幾次黑鷹都是利用其密碼沒改的"bug".很多時候,整理管理員的密碼檔和了解管理員習慣,往往是最大的后門.

　　先把自己當成管理員,想想我是管理員我會怎么做,再以一個黑客的角度去想想管理員那樣做會存在什么樣的漏洞,結果常常是事半功倍...

　　切回正題,進后臺后,可以先查一下數據庫的dv_log,有的時候有同道中人先備份過了,所以很多時候,我們可以看到其備份后的shell地址,直接拿,省點功夫,吼吼~~~~

　　拿下shell了,再說提權了...

　　三 提權

　　主機環境是NTFS,CDE盤,做的還算BT,但FSO,wscript.shell沒刪,另外當前目錄有執行權限,擴展方面只支持asp.開了終端,改了默認端口,讀一下鍵值

　　HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Control/Terminal Server/WinStations/RDP-Tcp/

　　發現改成了520.

　　主機沒裝其它第三方程序,打全補丁,目錄除了當前目錄外,其它目錄權限和萬網做的一樣,估計是參考萬網的配置文檔.

　　踩點一下net localgroup administrators,默認的administrator,沒辦法只好先踩一下密碼,先用弱口令試了一下,不通,再把論壇整理的密碼檔試了一下,發現中標了,hoho.

　　在shell下執行net use //127.0.0.1/ipc$Content$nbsp;"pwd" /user:"administrator",命令執行成功,hoho

　　先接下呢,就是轉發一下端口,登上了終端,中上了后門.

　　四 步步滲透

　　再擴大東西就沒什么好說的了,完全的老東西了,在dvbbs后臺上馬啦,整個網段掃啦,字典ipc$掃啊等等.

　　最后利用后臺掛馬意外的拿了某管理員的機子,偷登了一下Q,在他們群共享傳了個小馬,說好東西,結果又上了一批,再經過一些處理,整個段被搞得差不多了,也收工了,本來想測試一個東西的,因為看到一個小工具

　　思路如下:

　　arp攻擊加會話劫持,每臺機子都會跑到MS官方去打補丁,打補丁肯定要下東西并安裝D,也就是說,最后肯定會下載并執行一個可執行程序.exe類的,那么,如果我們結果arp攻擊,把其.exe文件給替換掉呢?嘿嘿

　　拿下一個網絡不是輕松多了嘛.所以說,Bill的僵尸網絡是最牛X的

　　五 總結

　　如有雷同,實屬巧合,文章拙劣,博君一笑!!!

　　文章錯別字較多,看得懂就可以,吼吼吼~~~~~

　　Linzi aT Bug.Center.Team 07.03