网络后门与隐身

《网络后门与隐身》由会员分享，可在线阅读，更多相关《网络后门与隐身（8页珍藏版）》请在金锄头文库上搜索。

1、网络后门与隐身网络后门与隐身1、 开启远程计算机的 TELNET 查看虚拟机 TELNET 服务状态，控制面板/管理工具/服务/ 在本地机上执行 cscript RTCS.vbe 192.168.1.9 y 123 1 23”， 其中 cscript 是操作系统自带的命令 RTCS.vbe 是该工具软件脚本文件 IP 地址是要启动 Telnet 的主机地址 administrator 是用户名 123456 是密码 1 是登录系统的验证方式 23 是 Telnet 开放的端口在次查看虚拟机 TELNET 状态，发现已经启动 执行完成后，对方的 Telnet 服务就被开启了。在 DOS 提示符下

2、，登录目标主机的 Telnet 服务，首先输入命令“Telnet 192.168.1.9”，因为 Telnet 的用户名和密码是明文传递的，首先 出现确认发送信息对话框，如图所示输入用户名密码，有时要几次才能登陆登陆成功，如界面这个时候就进入对方的命令行，可进行拷贝、IPCONGFIG、net use 等功能了2、 建立 WEB、TELNET 服务 在虚拟机运行 NETSTAT -AN 查看计算机端口状态，发现 707、808 端口开放在本地主机的 IE 地址栏输入 HTTP：/192.168.1.9：808，可看到远程主机磁盘内容将本地机 C 盘的文件 1.txt 和 REG.EXE 文件上

3、传到对方的计算机系统目录下（也可以利用 IPC$连接后上传文件，见下图） ，也可以下载远程主机的文件,下面将上传得文件加入到对方主机的启动项中 在本地机中打开对方的命令行状态，执行 reg.exe add HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun /v service /d 1.txt在本地机的命令行输入 telnet 192.168.1.9 707 可登陆到对方计算机，进行 TELNET， 但此时对方的 23 号端口或服务中 TELNET 可以没有打开（请思考原因）请清除打开开启 707、808 端口的后门程序 3、 删除日志查看主机系统日志

4、和 IIS 日志查看虚拟机 IIS 日志 system32logfiles，可以看到本地主机多次访问 它，以下操作设法删除它上传工具软件 CLEANIISLOG利用工具获得目标计算机的用户名和密码利用 IPC$与目标主机建立连接net use 目标 IPipc$ password /user:name，连接成功将工具软件 CLEANIISLOG 上传对方主机的系统目录下，命令为：copy CLEANIISLOG.exe192.168.1.9 c$winntsystem32 如图清除远程主机 IIS 日志 在对方主机的命令行 CLEANIISLOG.exe ex050625.log 要删除的 IP 删除前部分远程主机日志删除成功的界面使用工具软件 clearel.exe，可以方便的清除系统日志，首先将该文件上传到对方主 机，然后删除这三种日志的命令格式为： Clearel System Clearel Security Clearel Application Clearel All观察删除前后远程计算机日志