危险漫步博客
新鲜的“黑客思维”就是从全新的角度看待黑客技术,从更高的层面去思考;专注于黑客精神及技术交流分享的独立博客。
文章2289 浏览18791701

对DDOS的一次入侵

这天在论坛看到有人发贴,题目很令人惊奇——史上最强DDOS攻击器,此软件说是可以穿硬防,30只鸡就可以D死冰盾,我一看是这么牛的软件,就赶紧下载了一个回来,打算测试一下,但是打开软件,却要求我按照提示去注册一个测试帐号,使用新注册的帐号登录软件并抓包,抓包后显示了一个地址。

PING了一下这货和主站,返回的IP并不相同,说明它们并不在同一个服务器上,这里拿下验证服务嚣才是重点,主站就先不管它了。使用整理的加强版WWWSCAN扫描敏感目录和文件,结果扫描出一个网页文件,打开后发现里面记录了一个IP:“61.191.191.97:8081”,这看起来有些像是肉鸡上线的端口,其它的什么信息就都没有了。使用TELNET连接61.191.191,97的端D8081,发现可IbLTELNET通,TELNET对方的3389端口也是开着的,我查了一下,显示这个服务器上有个网站,发现是又卖肉鸡,又卖马还收徒,最牛的还是他的骗术和后门。

整理一下入侵的思路和目的,我主要就是想搞个VIP帐号,但是网站又非常安全,看来只能C段嗅探了,使用super_lnjection扫描IP为180这个网段的服务器,主要是担心跨段太大目标不在同一网段内。经过一段时间的扫描和入侵,终于搞下了一个ASP的WEBSHELL,但提权无果,我只好继续换了个ASPX的网站来拿WEBSHELL,这回提权成功了(ASPX使用MSSQL数据库提权容易多了),PING了一下1 74.1 39.92.52,又使用“ARP -A”命令刷新了一下ARP列表,显示在上面,看来可以嗅探。

下载了一个最新版的CAIN安装好,使用之前注册的测试用户登录软件,CAIN成功抓取到了用户密码e主要测试能否抓到数据和ARP防火墙),使用nmap扫描服务器可以TELNET通的端口,发现有21、80、3389,其它的端口不行,先嗅探21、80、3389。不久就嗅探到了一个网站的用户,使用这个用户登录DDOS软件,显示为终身用户。看来自己的人品还不错,既然能够登录软件,那么此人就应该跟这个软件或者作者有很大的关联。返回的IP是174.139.92152,之前使用hiying查询C段没看到有这个网站,应该是新建的还投有收录,我决定拿到这个站点的SHELL。网站版权显示为“Poweled By PIBlog3 v3.1.6.227 CopyRight 2005 - 2008,鞍山一中”,应该是对方就读的学校,现在小HACK可真多啊,在百度上搜索了一下PJBlog3拿SHELL的方法:1、后台模块设置;2、在线修改Template/Link.asp文件,插入一句话木马,成功的在后台模块插入了一句话井且上传大马,这里我使用了一款别人制作的TOOLS大马,感觉很不错。里面的ASPX刺探功能支持ASPX.接着我又上传BIN的ASPX大马以方便提权,最后在利用ASPX的IISSpy功能时一个很有趣的情况出现了。在目录上传了一个TXT文件,但访问却提示不存在,应该是之前托放在上面但现在已经放弃使用了。不过跳到目标域名目录下,发现全部是以用户名创建的HTML文档,当然adminhtml也在,看了一下它上鸡的方式,是服务器验证而不是动态域名验证,这个验证的坏处就是如果修改HTML下的上鸡IP,那么这些鸡就会全部转到我的软件上了。

在里面有100多个HTML文件,也就是说有100多个用户,如果全部转到我的IP上,不知道能上多少鸡呢,当然这只能再找时间进行测试了!继续看下提权,服务器是VM,我试了好几个ODAY都没有成功,WEB和数据库也是分离的,只错先嗅探着了。它的验证也在服务器上,以后还可以做个破解版昵。

到晚上17点44分,吃完饭我等不急了,就修改了admin.html鸡头(admin叫鸡头没错)的IP,把鸡全部转发到了自己的服务器上,我的目的已经达到了,当然其他的工作还有很多,比如说进一步的渗透等等,以后有时间再玩吧,当然大家也可以去试试,和危险漫步交流一下心得。