誰來教我滲透測試——黑客應該掌握的Windows基礎

菜鳥小白的學習分享發表於2020-07-29
黑客Windows

今天我們看看作為一個黑客對於Windows應該掌握哪些基礎知識，主要內容包含以下四個方面：

  1. 系統目錄、服務、埠和登錄檔；

  2. 黑客常用的DOS命令及批處理檔案的編寫；

  3. 黑客常用的快捷鍵，以及如何優化系統；

  4. 登入密碼破解、手動清除木馬病毒。

系統目錄、服務、埠和登錄檔

系統目錄

首先我們看看Windows系統都有哪些基本目錄，他們的作用都是幹什麼的。

  • Windows——作業系統的目錄，有兩個關鍵的位置滲透測試比較關心：

    • Windows/System32——存放的的系統配置檔案，

    • Windows/System32/config資料夾中的SAM檔案為密碼檔案，電腦密碼忘記之後可以使用PE系統登入，刪除這個檔案，再啟動系統即可

  • program files——軟體安裝的目錄；

  • 使用者——使用者的配置檔案；

  • perflogs——是Windows7的日誌資訊，如磁碟掃描錯誤資訊，刪掉可以但不建議刪，刪掉反而會降低系統速度，perfLogs是系統自動生成的。

服務

服務是一種應用程式型別，它在後臺執行。服務應用程式通常可以在本地和通過網路為使用者提供一些功能，例如客戶端/服務端應用程式、web伺服器、資料庫伺服器以及其他基於伺服器的應用程式。

如何開啟服務：

  • 方法一、右擊我的電腦開啟“計算機管理”；

  • 方法二、Ctrl+r開啟執行，輸入services.msc回車開啟。

常見的服務：

  • web服務：提供web網站訪問的服務；

  • dns服務：提供IP、域名解析的服務；

  • dhcp服務：提供IP地址自動獲取的服務；

  • 郵件服務：提供郵件收發的服務；

  • telnet服務：提供telnet的服務；

  • ssh服務；

  • ftp服務；

  • smb服務：提供檔案共享的服務。

埠

計算機“埠”是英文port的義譯，可以認為是計算機與外界通訊交流的出口。按照埠號可分為三大類：

  • 公認埠（well know ports）

  • 註冊埠（resistered ports）

  • 動態/私有埠（dynamic and/or private ports）

埠的作用

一臺擁有IP的主機不可能只提供一種服務，那它如何通過一個IP提供多種服務呢？這裡利用的就是IP+埠的方式來區分不同服務的。

PS：需要注意的是，埠並不是一一對應的，比如你訪問一個網站伺服器時，訪問的是“80”埠，但是你的電腦並不是通過“80”埠和www伺服器進行通訊，它可能使用的是“5555”這樣的隨機埠訪問的www伺服器“80”埠。

常用埠：

  • http協議代理伺服器常用埠：80/8080/3128/9080

  • ftp（檔案傳輸）協議代理伺服器常用埠：21

  • telnet（遠端登入）：23

  • TFTP（Trivial File Transfer Protocol）：69（udp）

  • SSH（安全登入）、SCP（檔案傳輸）、埠重定向：預設埠號為22（tcp）

  • SMTP（郵件發）：25（tcp）（木馬Antigen、Email Password Sender、Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy都開放這個埠）

  • POP3（post office Protocol）郵件收：110（tcp）

  • tomcat：8080

  • win2003遠端登入：3389

  • Oracle資料庫：1521

  • mssql：1433（tcp、udp）

  • QQ：1080（udp）

黑客通過埠可以幹啥：

  • 資訊收集

  • 目標探測

  • 服務判斷

  • 系統判斷

  • 系統角色分析

登錄檔

登錄檔（registry）是Windows的一個重要的資料庫，用於儲存系統和應用程式的設定資訊。

開啟登錄檔的方法：

  • 在執行輸入框開啟regedit後回車

登錄檔的作用：

Windows作業系統中的一個核心資料庫，存放著各種引數沒直接控制著Windows的啟動、硬體驅動程式的裝載以及一些Windows應用程式的執行，從而在整個系統中起著核心作用。這些資訊包括了軟、硬體的相關配置和狀態資訊，比如登錄檔中儲存有應用程式和資源管理器外殼的初始條件、首選項和解除安裝資料等，聯網計算機的整個系統的設定和各種許可，副檔名與應用程式的關聯，硬體部件的描述、狀態和屬性，效能記錄和其它底層的系統狀態資訊，已經其他資料等。

登錄檔的結構：

  • HKEY_CLASSES_ROOT：管理檔案系統。根據在Windows中安裝的應用程式的副檔名，改根鍵指明其檔案型別的名稱，相應開啟該檔案所要呼叫的程式等等資訊

  • HKEY_CURRENT_USER：管理系統當前的使用者資訊。在這個根鍵中儲存了本地計算機中存放的當前登入的使用者資訊，包括使用者登入使用者名稱和暫存的密碼。在使用者登入Windows 98時，其資訊從HKEY_USERS中相應的項拷貝到HKEY_CURRENT_USER中。

  • HKEY_LOCAL_MACHINE（提權的時候經常使用）：管理當前系統硬體配置。在這個根鍵中儲存了本地計算機硬體配置資料，此根鍵下的子關鍵包括在SYSTEM.DAT中，用來提供HKEY_LOCAL_MACHINE所需的資訊，或者在遠端計算機中可訪問的一組鍵中。

  • HKEY_USERS：管理系統的使用者資訊。在這個根鍵中儲存了存放在本地計算機口令列表中的使用者標識和密碼列表。同時每個使用者的預配置資訊都儲存在HKEY_USERS根鍵中。HKEY_USERS是遠端計算機中訪問的根鍵之一。

  • HKEY_CURRNT_CONFIG：管理當前使用者的系統配置。在這個根鍵中儲存著定義當前使用者桌面配置（如顯示器等等）的資料，該使用者使用過的文件列表（MRU），應用程式配置和其它有關當前使用者的Windows 98 中文版的安裝的資訊。

利用登錄檔防病毒：

黑客入侵一般都會修改啟動項的登錄檔，給自己留一個後門，或者直接留下病毒程式。所以我們可以關注啟動項的登錄檔是否存在異常專案，來判斷是否有病毒入侵。

黑客常用的DOS命令和批處理檔案

color ： 改變cmd顏色（主要是裝B使用的，個人認為比較炫酷的效果是color a）

ping -t -l 65550 ip： 死亡之ping（傳送大於64K的檔案並一直ping就成了死亡之ping）

ipconfig： 檢視ip

ipconfig /release ： 釋放ip

ipconfig /renew： 重新獲得ip

systeminfo： 檢視系統資訊

arp -a： 獲取所有介面下區域網的所有IP和mac

net view ： 檢視區域網內其他計算機名稱

shutdown -s -t 180 -c “你被黑了，系統馬上關機”：其中-s代表關機，-r代表重啟，-t 後面接時間秒數，-c後面接彈出框顯示的內容，-a表示取消之前的shutdown命令

dir： 檢視目錄

cd ： 切換目錄

start www.baidu.com ： 開啟網頁

start 1.txt： 開啟1.txt檔案（使用應用程式開啟）

type 1.txt： 開啟1.txt（在dos下開啟文字）

“copy con c:\123.txt

hello cainiaoxiaobai

ctrl+z

回車”： 建立123.txt檔案，內容是“hello cainiaoxiaobai”

md 目錄名： 建立目錄

rd 123： 刪除資料夾

ren 原檔名 新檔名： 重新命名檔名

del： 刪除檔案

copy： 複製檔案

move： 移動檔案

tree： 樹形列出資料夾結構

telnet：

net use k: \192.168.1.1\c$： 將網路中的c盤對映為本地的K盤

net use k: \192.168.1.1\c$ /del：刪除這個對映

net start: 檢視開啟了哪些服務

net start 服務名： 開啟服務

net stop 服務名： 停止某服務

net user 使用者名稱 密碼 /add： 建立使用者

ner user guest /active:yes： 啟用guest使用者

net user：檢視有哪些使用者

net user 賬戶名： 檢視賬戶屬性

net localgroup administrators 使用者名稱 /add ： 把“使用者”新增到管理員中使其具有管理員許可權，注意：administrators後面加s用複數

net user guest 12345： 使用者guest使用者登入後用將密碼改為12345

net password 密碼： 更新系統登入密碼

net share： 檢視本地開啟的共享

net share ipc$： 開啟ipc$共享

net share ipc$ /del： 刪除ipc$共享

net share c$ /del：刪除C:共享

netstat -a：檢視開啟了哪些埠，常用的有netstat -an

netstat -n：檢視埠的網路連線情況

netstat -v：檢視正則進行的工作

at id號：開啟已註冊的某個計劃任務

at /delete：停止所有計劃任務，用引數/yes則不需要確認就可以直接停止

at id號 /delete：停止某個已註冊的計劃任務

at：檢視所有的計劃任務

attrib 檔名（目錄名）：檢視某檔案（目錄）的屬性

attrib 檔名 -A -R -S -H或+A +R +S +H：去掉（新增）某檔案的存檔，只讀，系統，隱藏屬性；用+則表示新增某屬性

批處理檔案

批處理檔案是dos命令的組合檔案，寫在批處理檔案的命令會被逐一執行。字尾名為“.bat”。

新建批處理檔案有兩種方式：

  • 新建一個文字文件，儲存時把字尾改為bat

  • 使用命令建立

    copy con 123.bat

net user test 123456 /add

net localgroup administrators test /add

Ctrl+Z

回車

windows常用快捷鍵和系統優化

快捷鍵

F1： 顯示當前程式或者Windows的幫助內容

F2： 當你選中一個檔案的話，這就意味著“重新命名”

F3： 當你在桌面上的時候是開啟“查詢：所有檔案”的對話方塊

Alt+F4： 關閉當前應用程式中的當前文字（如word中）

F5： 重新整理

Ctrl+F5： 強行重新整理

Ctrl+F6： 切換到當前應用程式中的下一個文字（加Shift可以跳到前一個視窗）

F10或Alt： 啟用當前程式的選單欄

Windows鍵或Ctrl+Delete： 開啟開始選單

Ctrl+Alt+Delete： 開啟關閉程式對話方塊

Delete： 刪除被選擇的選擇專案，如果是檔案，將被放入回收站

Shift+Delete： 刪除被選擇的選擇專案，如果是檔案，將被直接刪除，而不是放入回收站

Ctrl+N： 新建一個檔案

Ctrl+O： 開啟“開啟檔案”對話方塊

Ctrl+P： 開啟“列印”對話方塊

Ctrl+S： 儲存當前操作的檔案

Ctrl+X： 剪下被選擇的專案到剪下板

Ctrl+Insert或Ctrl+C： 複製被選擇的專案到剪下板

Shift+Insert或Ctrl+V： 貼上剪下板中的專案到當前檔案

Ctrl+Z或Alt+Backspace： 撤銷上一步的操作

Alt+Shift+Backspace： 重做上一步被撤銷的操作

Windows鍵+M： 最小化所有被開啟的視窗

Windows鍵+Ctrl+M： 重新恢復上一項操作前視窗的大小和位置

Windows鍵+E： 開啟資源管理

Windows鍵+F： 開啟“查詢：所有檔案”對話方塊

Windows鍵+R： 開啟“執行”對話方塊

Windows鍵+L： 鎖屏

Alt+Tab： 切換當前程式

Alt+F4：關閉當前應用程式

系統優化

1、修改啟動項

Windows+R開啟執行輸入框，輸入“msconfig”命令，開啟系統配置視窗後找到“啟動”選項，將不需要的應用程式去掉勾選

image
image

2、加快系統啟動速度

同樣方式開啟系統配置視窗，在引導中點選“高階選項”，在彈出視窗將處理器的數量選擇為最多

image
image

3、提高視窗切換提速

右擊計算機屬性/效能資訊和工具/調整視覺效果，先點選讓Windows選擇計算機的最佳設定，然後再點選自定義，將最後的“在最大化和最小化時動態顯示視窗”去掉勾選。

image
image

登入密碼的破解和手動清除木馬

Windows登入密碼的破解：

  • 使用U盤破解，將U盤製作為PE系統啟動盤，然後利用pe的Windows密碼清除功能，進行密碼刪除

  • 使用工具破解：lc5、彩虹表

手動清除木馬：

  • 查詢開機啟動項

  1. 可以通過登錄檔進行查詢“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run”，一般木馬都是通用碟符作為路徑碟符

  2. 也可以通過系統配置項中看開機啟動項

  3. 在啟動資料夾中進行檢視

    “C:\Users\test使用者名稱\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup”

  • 查詢服務
  1. win+R開啟執行，輸入services.msc回車開啟服務視窗
  • 檢視網路埠連線

    1. 在cmd命令視窗下輸入“netstat -anp”

    2. 常見的木馬埠“4444/8888/9527”

相關文章