开发学院网络安全黑客技术 利用rcmdsvc.exe伪装“合法”系统后门实现入侵 阅读

利用rcmdsvc.exe伪装“合法”系统后门实现入侵

 2010-09-30 16:54:02 来源:WEB开发网   
核心提示: 下面我们就可以用Windows 2000 Resource Kit中的rcmd.exe小工具进行远程连接了,并且连接后拥有管理员权限,利用rcmdsvc.exe伪装“合法”系统后门实现入侵(2),可以添加管理员用户,如图四:下面该sc.exe(Service Control的缩写)出场了, 总结

利用rcmdsvc.exe伪装“合法”系统后门实现入侵

下面我们就可以用Windows 2000 Resource Kit中的rcmd.exe小工具进行远程连接了,并且连接后拥有管理员权限,可以添加管理员用户,如图四:

利用rcmdsvc.exe伪装“合法”系统后门实现入侵

下面该sc.exe(Service Control的缩写)出场了,这个工具是在命令行方式下管理系统中的服务的,在Windows 2000 Resource Kit或者Windows xp中都可以找到该工具,来看一下sc.exe是如何把Remote Command Service服务伪装成Messenger这个服务的:

1、删除Messenger服务。在cmd窗口里输入:sc delete Messenger,回车,可以看到命令完成,如图五:

利用rcmdsvc.exe伪装“合法”系统后门实现入侵

2、把Remote Command Service服务改名为Messenger,在进行这步前,需要重新启动一下。在cmd窗口里输入:sc config rcmdsvc DisplayName= Messenger,回车,可以看到命令完成,如图六:

利用rcmdsvc.exe伪装“合法”系统后门实现入侵

这时候我们到“控制面板”――“管理工具”――“服务”里,就可以看到Remote Command Service服务名变成了Messenger,如图七:

利用rcmdsvc.exe伪装“合法”系统后门实现入侵

但是“描述”的内容为空,为了使这个服务看起来更“合法”,我们把Messenger的“描述”也加上,在cmd窗口里输入:sc description rcmdsvc 发送和接收系统管理员或者“警报器”服务传递的消息。我们到“服务”里就可以看到rcmdsvc 的“描述”被加上了Messenger的“描述”,如图八就是伪装过的Remote Command Service服务,只不过服务名称还是rcmdsvc。

利用rcmdsvc.exe伪装“合法”系统后门实现入侵

3、再重新用net start命令启动一下rcmdsvc服务,就可以用rcmd.exe进行连接了。

总结:由于被入侵方需要满足IPC$开启和没开防火墙等条件,而现在大多数的网络服务提供商已经把139和445端口屏蔽掉了,所以这种后门方式在局域网中比较常用。

上一页  1 2 

Tags:利用 rcmdsvc exe

编辑录入:爽爽 [复制链接] [打 印]
[]
  • 好
  • 好的评价 如果觉得好,就请您
      0%(0)
  • 差
  • 差的评价 如果觉得差,就请您
      0%(0)
赞助商链接