黑客零接触 (第一章 信息收集)(转)[@more@]前 言
由于工作的原因，开始接触一些网络方面的知识。所以，所学的都是一些皮毛。不敢登上大雅之堂，将自己的学习笔记整理出来，只是愿与大家一些分享。
从零开始，从今天开始。
(本笔记以电子工业出版社的《黑客攻防实战入门》为蓝本，加以平时收集的龙族论坛的贴子)
第一章 信息搜集
“无论目标网络的规模有多大、安全指数有多高，只要是人类参与设计的网络就必然存在着人为因素，而任何人为因素都有可能导致网络设计的缺陷。”
事实证明，如果入侵者获得的信息越多，他们发现的漏洞就越多，侵入网络的可能性就越大。
网站信息
一、相关知识
IP地址：（略）
查询IP地址的DOS命令：
Win 9X： winipcfg
Win 2000：ipconfig
Ping命令：Ping命令有“突石问路”的味道，也可以接合ARP命令查询目标主机的MAC地址，或者进行DdoS攻击。
常用参数：
-t 一直Ping下去，直到用Ctrl + C 结束。
-a Ping的同时，把IP地址转换成主机名。
-n count 设定ping的次数。
-l size 设定ICMP包的大小，默认32，大小0-65500。
如果返回的结果是“Request timed out。”来看，目标主机不是活动的，即目标主机不在线或在防火墙后面，这样的主机是不容易入侵的。不过，现在很多防火墙都限制了接收ping包的大小。Ping小包可以通过，大包则出现“Request timed out”提示。
另外，从返回的TTL结果也可以推测目标主机究竟属于何种操作系统。
操作系统 默认TTL返回值
UNIX类 255
Windows 98 32
Win NT/2000/2003 128
Compaq Tru64.5.0 64
当然，网管可以通过修改注册表来改变默认的TTL返回值，以此迷惑入侵者。
HLM System CurrentControlSet Services Tcpip Parameters下
DefaultTTL改为设定值。
二、基本信息搜集
1、由域名得到网站的IP地址。
方法1：Ping命令
ping 域名
例如：ping
方法2：nslookup命令
在DOS下键入nslookup命令，在“>”提示符下输入域名。
方法3：第三方软件。
2、由IP地址得到目标主机的地理位置。
现在网上有很多这种工具了，在这里提供两个网站，可以查询：
http://www.intron.ac/service/index.html
http://ip.loveroot.com
3、网站基本信息查询
商业网站一般都有红盾标志，是国家工商局用来管理经营性网站的红盾标志，下面记录了网站的备案登记信息。可以直接点击此“红盾”键接，就会看到工商局公布的关于此网站的一些基本信息。
国家工商局网站： Http://www.hd315.gov.cn
三、域名注册信息搜集
一个网站在正式发布之前，需要向有关机构申请域名。而且这些域名信息常常是公开的，任何人都可以查询它。然而正是这个域名信息，会暴露给入侵者很多的敏感信息。
通常，可以轻易得到的信息有：注册人的姓名、联系电话、传真、E-mail、注册机构、通讯地址、邮篇以及有效失效时间。
1、中国互联网信息中心 (Http://www.cnnic.com.cn)
可以查询到所有以CN结尾的域名注册信息。
2、中国万网 (Http://www.net.cn)
中国万网，号称中国最大的域名和网站托管服务提供商，提供.com.、cn、.net等域名的注册。不过，查询结果好象是英文的。
查询时，只需要在首页注册时，输入相查询的域名即可。
3、另外一些域名注册服务商，例如：中国新网、华夏名网等等，都是可以查询的。
四、网络结构探测
若要对一个网站发侵，入侵者必须首先了解目标网络的基本结构。只有清楚掌握了目标网络中的防火墙、服务器的位置后，才会进行进一步的入侵。
在Windwos平台，可以使用以下一些方法。
1、VisualRoute探测
VisralRoute是图形化的路由跟踪工具。也可以在该网站上使用网站提供的VisualRoute功能。（ Http://www.linkwan.com/vr/ ）
2、tracert命令推断
tracert是路由跟踪命令，通过该命令返回的结果，可以获得本地到达目标主机所经过的网络设备。
用法及参数：tracert 域名或IP
-d 不需要把IP地址转换成域名
-h maxmun_hops 允许跟踪的最大跳数
五、搜索引擎
现在获得信息的最主要方法。
百度、Google、北大天网、中文雅虎等。
资源搜集
一、共享资源
1、在Win下，共享资源就是指系统中的“共享”磁盘、“共享文件夹”等。对于一般的共享，下面都会有一个“托手”标志，而对于“$”为结尾的共享是没有“托手”标志的，属于隐藏共享。
2、建立共享的条件：
需要有足够的权限；已安装“Microsoft网络文件和打印机共享”组件；已安装NetBEUI协议。
如果没有安装NetBEUI协议，则只能使用IP地址来互相访问资源，如果安装了，便可以通过计算机名来访问共享资源了。
3、搜索共享资源。
可以利用扫描器，关于综合扫描器，我们在后面会有介绍。
可以使用一些早些的、专门的共享的扫描器，例如：IpScan、Legion。
4、利用漏洞破解Windows 9x共享密码。
软件Pqwak2.exe
存在该漏洞的系统有：Win 95、Win 98、Win 98 SE。
5、利用共享资源入侵
通常有以下方法：
方法1、利用autorun.inf自动执行木马。
对于磁盘、光盘的根目录、或者共享文件夹目录下，只要新建一个autorun.inf，便可实现自动运行。这样，当用户进入该驱动器或文件夹下时，不需要鼠标单击，系统便会自动执行autorun.inf指向的“可执行文件”。
Autorun.inf的格式：
[autorun]
open=路径可执行文件名
方法2：开机自动运行。
这种方法有多种方式可以实现。
①、“开始 / 程序 / 启动”菜单：
Win 9x的启动组路径为：C:WindowsStart menu
Win 2000的启动组路径为：C:Documents and Settings用户名「开始」菜单程序启动
这种方法比较“菜”，容易被用户发现。
②、C:中的Autoexec.bat文件。
这种方法比较“菜”，容易被用户发现。
③、利用注册中的Run键值。
HLM Software Microsoft Windows CurrentVersion Run
HLM Software Microsoft Windows CurrentVersion RunOnce
HLM Software Microsoft Windows CurrentVersion RunOnceEx
HCU Software Microsoft Windows CurrentVersion Run
这种方法比较隐蔽，一般用户难以发现。
④、利用注册表修改系统服务，让木马进驻系统服务。(重点介绍)
对于98：
HLM Software Microsoft WindowsCurrentVersion RunServices
添加一个新字符串数值。如果程序的名字叫做“test”，就建立一个名为“test”的字符串数值，然后在数据域中输入执行程序的完整路径。
打开记事本，输入以下内容，文件存为.reg文件。
REGEDIT4
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices
“test"=c:windows est.exe
对于2000：
HLM System CurrentControlSet Services
HLM System ControlSet001 Services
HLM System ControlSet002 Services
打开记事本，输入以下内容，文件存为.reg文件。
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesmytest]
"Type"=dword:00000001
"Start"=dword:00000002
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):63,3A,65,98,65,2E
"DisplayName"= "mytest"
"ObjectName"= "LocalSystem"
"Description"= "这是我的实验!"
说明: "ImagePath"项必须用HEX的16进制来填写,例如WinHEX软件。
例如，调出WinHEX软件，输入木马的路径：c:winntsystem32mytest.exe，则会编译出。注意，所有的数字需要用逗号隔开。
然后将此文件导入系统，使用以下命令：
regedit /s mytest.reg
这种方法比较厉害，用户很难发现。
名称 类型 数据
Displayname REG_SZ 想要添加服务的名称
Description REG_SZ 服务的描述
ImagePath REG Expand SZ 程序的路径
Start REG_DWORD 0，2，3，4
2代表自动启动
3代表手动启动服务
4代表禁用服务
0代表系统对底层设备驱动（一般不需要这个）
ErrorControl REG_DWORD 1
Type REG_DWORD 10 or 20
一般应用程序都是10，其它的对应为20
ObiectName REG_SZ LocalSystem 显示本地登录
备注：可以通过Regedit打开注册表，详细地对比已经开启的服务项来进行修改。在WIN XP / 2003下可以完全手工来添加REG EXPAND SZ类型，在修改Win XP/2003下直接修改ImagePath键值。
由于工作的原因，开始接触一些网络方面的知识。所以，所学的都是一些皮毛。不敢登上大雅之堂，将自己的学习笔记整理出来，只是愿与大家一些分享。
从零开始，从今天开始。
(本笔记以电子工业出版社的《黑客攻防实战入门》为蓝本，加以平时收集的龙族论坛的贴子)
第一章 信息搜集
“无论目标网络的规模有多大、安全指数有多高，只要是人类参与设计的网络就必然存在着人为因素，而任何人为因素都有可能导致网络设计的缺陷。”
事实证明，如果入侵者获得的信息越多，他们发现的漏洞就越多，侵入网络的可能性就越大。
网站信息
一、相关知识
IP地址：（略）
查询IP地址的DOS命令：
Win 9X： winipcfg
Win 2000：ipconfig
Ping命令：Ping命令有“突石问路”的味道，也可以接合ARP命令查询目标主机的MAC地址，或者进行DdoS攻击。
常用参数：
-t 一直Ping下去，直到用Ctrl + C 结束。
-a Ping的同时，把IP地址转换成主机名。
-n count 设定ping的次数。
-l size 设定ICMP包的大小，默认32，大小0-65500。
如果返回的结果是“Request timed out。”来看，目标主机不是活动的，即目标主机不在线或在防火墙后面，这样的主机是不容易入侵的。不过，现在很多防火墙都限制了接收ping包的大小。Ping小包可以通过，大包则出现“Request timed out”提示。
另外，从返回的TTL结果也可以推测目标主机究竟属于何种操作系统。
操作系统 默认TTL返回值
UNIX类 255
Windows 98 32
Win NT/2000/2003 128
Compaq Tru64.5.0 64
当然，网管可以通过修改注册表来改变默认的TTL返回值，以此迷惑入侵者。
HLM System CurrentControlSet Services Tcpip Parameters下
DefaultTTL改为设定值。
二、基本信息搜集
1、由域名得到网站的IP地址。
方法1：Ping命令
ping 域名
例如：ping
方法2：nslookup命令
在DOS下键入nslookup命令，在“>”提示符下输入域名。
方法3：第三方软件。
2、由IP地址得到目标主机的地理位置。
现在网上有很多这种工具了，在这里提供两个网站，可以查询：
http://www.intron.ac/service/index.html
http://ip.loveroot.com
3、网站基本信息查询
商业网站一般都有红盾标志，是国家工商局用来管理经营性网站的红盾标志，下面记录了网站的备案登记信息。可以直接点击此“红盾”键接，就会看到工商局公布的关于此网站的一些基本信息。
国家工商局网站： Http://www.hd315.gov.cn
三、域名注册信息搜集
一个网站在正式发布之前，需要向有关机构申请域名。而且这些域名信息常常是公开的，任何人都可以查询它。然而正是这个域名信息，会暴露给入侵者很多的敏感信息。
通常，可以轻易得到的信息有：注册人的姓名、联系电话、传真、E-mail、注册机构、通讯地址、邮篇以及有效失效时间。
1、中国互联网信息中心 (Http://www.cnnic.com.cn)
可以查询到所有以CN结尾的域名注册信息。
2、中国万网 (Http://www.net.cn)
中国万网，号称中国最大的域名和网站托管服务提供商，提供.com.、cn、.net等域名的注册。不过，查询结果好象是英文的。
查询时，只需要在首页注册时，输入相查询的域名即可。
3、另外一些域名注册服务商，例如：中国新网、华夏名网等等，都是可以查询的。
四、网络结构探测
若要对一个网站发侵，入侵者必须首先了解目标网络的基本结构。只有清楚掌握了目标网络中的防火墙、服务器的位置后，才会进行进一步的入侵。
在Windwos平台，可以使用以下一些方法。
1、VisualRoute探测
VisralRoute是图形化的路由跟踪工具。也可以在该网站上使用网站提供的VisualRoute功能。（ Http://www.linkwan.com/vr/ ）
2、tracert命令推断
tracert是路由跟踪命令，通过该命令返回的结果，可以获得本地到达目标主机所经过的网络设备。
用法及参数：tracert 域名或IP
-d 不需要把IP地址转换成域名
-h maxmun_hops 允许跟踪的最大跳数
五、搜索引擎
现在获得信息的最主要方法。
百度、Google、北大天网、中文雅虎等。
资源搜集
一、共享资源
1、在Win下，共享资源就是指系统中的“共享”磁盘、“共享文件夹”等。对于一般的共享，下面都会有一个“托手”标志，而对于“$”为结尾的共享是没有“托手”标志的，属于隐藏共享。
2、建立共享的条件：
需要有足够的权限；已安装“Microsoft网络文件和打印机共享”组件；已安装NetBEUI协议。
如果没有安装NetBEUI协议，则只能使用IP地址来互相访问资源，如果安装了，便可以通过计算机名来访问共享资源了。
3、搜索共享资源。
可以利用扫描器，关于综合扫描器，我们在后面会有介绍。
可以使用一些早些的、专门的共享的扫描器，例如：IpScan、Legion。
4、利用漏洞破解Windows 9x共享密码。
软件Pqwak2.exe
存在该漏洞的系统有：Win 95、Win 98、Win 98 SE。
5、利用共享资源入侵
通常有以下方法：
方法1、利用autorun.inf自动执行木马。
对于磁盘、光盘的根目录、或者共享文件夹目录下，只要新建一个autorun.inf，便可实现自动运行。这样，当用户进入该驱动器或文件夹下时，不需要鼠标单击，系统便会自动执行autorun.inf指向的“可执行文件”。
Autorun.inf的格式：
[autorun]
open=路径可执行文件名
方法2：开机自动运行。
这种方法有多种方式可以实现。
①、“开始 / 程序 / 启动”菜单：
Win 9x的启动组路径为：C:WindowsStart menu
Win 2000的启动组路径为：C:Documents and Settings用户名「开始」菜单程序启动
这种方法比较“菜”，容易被用户发现。
②、C:中的Autoexec.bat文件。
这种方法比较“菜”，容易被用户发现。
③、利用注册中的Run键值。
HLM Software Microsoft Windows CurrentVersion Run
HLM Software Microsoft Windows CurrentVersion RunOnce
HLM Software Microsoft Windows CurrentVersion RunOnceEx
HCU Software Microsoft Windows CurrentVersion Run
这种方法比较隐蔽，一般用户难以发现。
④、利用注册表修改系统服务，让木马进驻系统服务。(重点介绍)
对于98：
HLM Software Microsoft WindowsCurrentVersion RunServices
添加一个新字符串数值。如果程序的名字叫做“test”，就建立一个名为“test”的字符串数值，然后在数据域中输入执行程序的完整路径。
打开记事本，输入以下内容，文件存为.reg文件。
REGEDIT4
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices
“test"=c:windows est.exe
对于2000：
HLM System CurrentControlSet Services
HLM System ControlSet001 Services
HLM System ControlSet002 Services
打开记事本，输入以下内容，文件存为.reg文件。
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesmytest]
"Type"=dword:00000001
"Start"=dword:00000002
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):63,3A,65,98,65,2E
"DisplayName"= "mytest"
"ObjectName"= "LocalSystem"
"Description"= "这是我的实验!"
说明: "ImagePath"项必须用HEX的16进制来填写,例如WinHEX软件。
例如，调出WinHEX软件，输入木马的路径：c:winntsystem32mytest.exe，则会编译出。注意，所有的数字需要用逗号隔开。
然后将此文件导入系统，使用以下命令：
regedit /s mytest.reg
这种方法比较厉害，用户很难发现。
名称 类型 数据
Displayname REG_SZ 想要添加服务的名称
Description REG_SZ 服务的描述
ImagePath REG Expand SZ 程序的路径
Start REG_DWORD 0，2，3，4
2代表自动启动
3代表手动启动服务
4代表禁用服务
0代表系统对底层设备驱动（一般不需要这个）
ErrorControl REG_DWORD 1
Type REG_DWORD 10 or 20
一般应用程序都是10，其它的对应为20
ObiectName REG_SZ LocalSystem 显示本地登录
备注：可以通过Regedit打开注册表，详细地对比已经开启的服务项来进行修改。在WIN XP / 2003下可以完全手工来添加REG EXPAND SZ类型，在修改Win XP/2003下直接修改ImagePath键值。
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/10617542/viewspace-949483/ ，如需转载，请注明出处，否则将追究法律责任。
请登录后发表评论
登录
全部评论
