Loading...

利用Win2K下的空会话(null session)入侵服务器 

发布时间:2004-04-09 08:00:00  来源:  作者:  点击:294

i、 introduction
ii、 about tcp port 445
iii、the null session
iv、 break through "restricanonymous=1"
v、 conclusion
终于有时间可以写自己的东西了。呵呵,直入主题,不废话了。
i、 introduction
关于win2k下面的空会话,已经是一个很老的话题了。当然,也一直被认为是win2
k自带的一个后门。当建立一个空会话之后,对于一台配置不到位的win2k服务器来说,
那么将能够得到非常多的信息,比如枚举帐号等等。
ii、 about tcp port 445, win2000的tcp 445端口
smb(server message block)协议在nt/2000中用来作文件共享,在nt中,smb运行
于nbt(netbios over tcp/ip)上,使用137,13Array(udp),13Array(tcp)端口。在2000中
,smb可以直接运行在tcp/ip上,而没有额外的nbt层,使用tcp 445端口。因此在2000上
应该比nt稍微变化多一些。
可以在“网络连接/属性/tcpip协议/属性/高级/wins中设置启用或者禁用nbt(net
bios over tcp/ip)。
当2000使用网络共享的时候,就面临着选择13Array或者445端口了。下面的情况确定会
话使用的端口:
1、如果客户端启用了nbt,那么连接的时候将同时访问13Array和445端口,如果从445端口得
www.bitsCN.com

到回应,那么客户端将发送rst到13Array端口,终止这个端口的连接,接着就从445端口进行
smb的会话了;如果没有从445端口而是从13Array得到回应,那么
就从13Array端口进行会话;如果没有得到任何回应,那么smb会话失败。
2、如果客户端禁用了nbt,他就将只从445端口进行连接。当然如果服务器(开共享端)
没有445端口进行smb会话的话,那么就会访问失败了,所以禁用445端口后,对访问nt机
器的共享会失败。
3、如果服务器端启用nbt,那么就同时监听udp 137、138端口和tcp13Array,445。如果禁用
nbt,那么就只监听445端口了。
所以对于2000来说,共享问题就不仅仅是13Array端口,445端口同样能够完成。
iii、the null session,关于空会话
null会话(空会话)使用端口也同样遵循上面的规则。null会话是同服务器建立的
无信任支持的会话。一个会话包含用户的认证信息,而null会话是没有用户的认证信息
,也就好比是一个匿名的一样。
没有认证就不可能为系统建立安全通道,而建立安全通道也是双重的,第一,就是 bbs.bitsCN.com
建立身份标志,第二就是建立一个临时会话密匙,双方才能用这个会话进行加密数据交
换(比如rpc和com的认证等级是pkt_privacy)。不管是经过ntlm还是经过kerberos认证
的票据,终究是为会话创建一个包含用户信息的令牌。(这段来自joe finamore)
根据win2000的访问控制模型,对于空会话同样需要提供一个令牌。但是空会话由于
是没有经过认证的会话,所以令牌中不包含用户信息,因此,建立会话双方没有密匙的
交换,这也不能让系统间发送加密信息。这并不表示空会话的令牌中不包含sid,对于一
个空会话,lsa提供的令牌的sid是s-1-5-7,这就是空会话建立的sid,用户名是 anony
mous logon。这个用户名是可以在用户列表中看到的。但是是不能在sam数据库中找到,
属于系统内置的帐号。
(关于这部分对null session的分析,可以参照:《null sessions in nt/2000》http
://rr.sans.org/win/null.php)
null会话几乎成为了微软自己安置的后门,但是微软为什么要来设置这样一个“后
门”呢?我也一直在想这个问题,如果null会话没有什么重要的用途,那么微软也应该
不会来设置这样一个东西。好不容易才在微软上找到这个:
当在多域环境中,要在多域中建立信任关系,首先需要找到域中的pdc来通过安全通 bbs.bitsCN.com
道的密码验证,使用空会话能够非常容易地找到pdc,还有就是关于一些系统服务的问题
。而且lmhosts的#include就需要空会话的支持,可以参考文章:
http://support.microsoft.com/default.aspx?scid=kben-us;q121281
还有http://support.microsoft.com/default.aspx?scid=kben-us;q124184
其实建立一个空会话的条件也非常严格。首先要能够满足上面的,也就是打开tcp
13Array和tcp 445端口。我们可以从一次关闭这两个端口的情况中看得出来。服务器关闭44
5和13Array端口,然后我们来进行空会话的连接。首先,客户端打算
连接的是445端口,然后再试图连接13Array端口。当然最后还是失败了。
仅仅开放这两个端口还不行,服务器还必须得打开ipc$共享。如果没有ipc共享,即
使共享一个文件,有权限为anonymous logon,也不能建立会话,即使权限设置为完全控
制,出现的连接错误依然是权限不够。这和其他帐号是不一样的。如果要允许一个文件
夹共享能够类似ipc$(命名管道而非共享)能够使用空会话,那么需要修改注册表:
hkey_local_machine\system\currentcontrolset\services\lanmanserver\parameters 中国.网管联盟
\中的:nullsessionshares,
添加新的共享名,这样才能建立一个共享的空会话。这时,将不依赖ipc的存在了。(即
使这样的空会话对于后面的突破也是一点没可取之处的,因为没有了ipc$命名管道,rp
c不可取了,这下知道ipc这个命名管道的具体实现了。呵呵)
虽然空会话建立的要求很严格,但是那都是默认建立的。既然是默认的,对于使用
win2k系统的服务器来说,就还是有利用的价值。最明显的就是空会话可以很方便地连接
到其他的域,枚举用户、机器等。这也就是扫描软件进行探测的原理。我举个简单的程序
例子来说明这个用途,并枚举用户组和用户。
#include <windows.h>
#include <stdio.h>
#include <lm.h>
#pragma comment (lib, "mpr.lib")
#pragma comment (lib, "netapi32.lib")
void explorer_groups(char *);
void main( int argc, char *argv[ ] )
{
dword ret;
char username[100] = "", password[100] = "";
char server[100] = "", ipc[100] = "";
netresource net;
if (argc == 1) {

bitsCN.nET中国网管博客


exit(1);
}
strncpy(server,argv[1],100);
printf("server: %s\n", server);
sprintf(ipc,"\\\\%s\\ipc$",server);
net.lplocalname = null;
net.lpprovider = null;
net.dwtype = resourcetype_any;
net.lpremotename = (char*)&ipc;
printf("setting up session... ");
ret = wnetaddconnection2(&net,(const char *)&password,(const char *)&use
rname,0);
if (ret != error_success)
{
printf("ipc$ connect fail.\n");
exit(1);
}
else printf("ipc$ connect success.\n");
explorer_groups((char*)&server);
printf("disconnect server... ");
ret = wnetcancelconnection2((char*)&ipc,0,true);
if (ret != error_success)
{
printf("fail.\n");
exit(1);
}
else printf("success.\n");
exit (0);
}
void explorer_groups(char *server)
{
dword ret, read, total, resume = 0;
int i;
lpvoid buff;
char comment[255];
wchar_t wserver[100];

bitsCN_com


do {
ret = netlocalgroupenum(wserver, 1, (unsigned char **)&buff, max_pre
ferred_length, &read, &total, &resume);
if (ret != nerr_success && ret != error_more_data)
{
printf("fail\n");
break;
}
plocalgroup_info_1 info = (plocalgroup_info_1) buff;
for (i=0; i<read; i++) {
printf("group: %s\n",info[i].lgrpi1_name);
widechartomultibyte(cp_acp, 0, info[i].lgrpi1_comment , -1, comm
ent,255,null,null);
printf("\tcomment: %s\n",comment);
dword ret, read, total, resume = 0;
ret = netlocalgroupgetmembers((const unsigned short*)&wserver, i
nfo[i].lgrpi1_name, 2, (unsigned char **)&buff, 1024, &read, &total, &resume
);
if (ret != nerr_success && ret != error_more_data) {
printf("fail\n");en
break;
}
plocalgroup_members_info_2 info = (plocalgroup_members_info_2) b
uff;
for (unsigned i=0; i<read; i++) {
printf("\t\t%s\n", info[i].lgrmi2_domainandname);
DL.bitsCN.com网管软件下载

printf("\t\t\tsid:%d\n", info[i].lgrmi2_sid);
printf("\t\t\tsidusage:%d\n",info[i].lgrmi2_sidusage);
}
netapibufferfree (buff);
}
netapibufferfree (buff);
} while (ret == error_more_data );
}
这是一个简单的例子。当然可以查询更多的东西。类似,就不再重复了。枚举用户
名是很重要的用途,因为接下来可以做的就是进行密码的猜解,这对系统安全构成的威
胁是非常大的。
想到有威胁,就需要知道怎么防范。防范很简单。不过这里需要提醒的是关于注册
表(或者安全策略中)中可以设置restrictanonymous为1,这样可以禁止空连接进行枚
举。因为很多安全配置介绍中都是这样做的,因为如果设置为2的
话,有一些问题会发生。比如一些win的服务出现问题等等。但是,restricanonymous设
置为1并不会组织用户帐号的枚举。因为空连接是一样能够建立的,并不是说阻止了空连
接的建立。但是我们这里需要来突破!!
iv、 break through "restricanonymous=1",突破restricanonymous=1的限制进行用户
枚举
虽然我们还是能够建立空连接,但是却没有那些net函数的访问权限了。这个可以看
msdn上关于对网络管理函数的安全问题。但是,有一个突破点,呵呵,那就是猜测。这

中国.网管联盟


个需要联系到访问控制模型上了。就象前面对null会话说到的那样,null会话获得anon
ymous logon 用户名的sid(安全标志符),系统用sid来标志这个用户,同时创建令牌
。而这个令牌才是系统对用户的访问权限标志,并不是用帐户名来确定。现在我们需要
的是sid,因为令牌中包含了帐户的sid,对于系统来说,sid是不变的。sid是在帐户或
者组创建的时候就建立好了。可是每个win2k系统为相同用户名的帐户创建的sid并不相
同。
我们来先分析这个重要的sid。sid的格式是:s-r-x-y(1)-y(2)-……-y(n)。其中s
表示该字符串是sid,r是sid的版本号,对于2000来说,这个就是1,然后x是标志符的颁
发机构 (identifier authority)。对于2000内的帐户,颁发机构就是nt,值是5。然
后y表示一系列的子颁发机构,前面几项是标志域的,最后一个y(n)标志着域内的帐户和
组。也就是说,对于多数帐户来说,区别在与这个y(n)。
现在需要分析一下sam结构中对帐户的管理。展开注册表的sam之后,
hkey_local_machine\sam\sam\domains\builtin\aliases\members,存储着重要的帐户
内容。找到本地的域,然后展开,得到的就是本地帐号的所有sid列表。分析其规律,因
为有些是系统规定的y(n),所以就有规律了。其中的000001f4,十进制的500,这一定是
www_bitscn_com

一个固定的,标志系统建立时候的内置管理员帐号administrator,000001f5就是guest
帐号了。然后看到了一个跳跃到了000003e8,这是其他帐号的开始,比如 tsinternetu
ser帐户以及自定义的帐户了。
到了这里,我们还需要函数的支持。lookupaccountname()和lookupaccountsid(),
这两个函数是允许空会话使用的。上面通过空会话来建立连接然后使用net*函数枚举帐
户已经被restrictanonymous禁止了。因此,sid成为我们的突破口。不过sid对于一台机
器来说是固定的,但是并不是说跟其他的机器的sid是一样的,我们需要进行一定的猜测
,用来获得sid中不同的部分,就是几个子颁发机构。哈哈,我们猜测的东西就是用户名
。假象系统存在的用户名,比如tsinternetuser,guest帐户等。然后通过这些帐户名获
得sid的前面部分,然后根据前面部分进行枚举,将最后一个子颁发机构进行递加,从而
获得每个帐户的sid,然后又回过来,利用函数lookupaccountsid()进行用户名的查询。
这样就达到了枚举帐户的目的了,而且是在 restrictanonymous=1 的情况下。
我写了一个程序,我猜测的帐号是guest。大致思路在这里介绍了,把代码贴在这里
太占篇幅,原代码和执行程序可以在我的主页(www.opengram.com)下载。

www_bitscn_com


v、 conclusion
不过,即便我们花费这么大精力能够突破restricanoymous=1的限制,但是防范起来
简直太容易了。取消掉ipc$命名管道,就让null session完全没有用了。
-----------------------
reference:
1、msdn
2、http://www.microsoft.com/msj/defaultframe.asp?page=/msj/02ArrayArray/security/sec
urity02ArrayArray.htm&nav=/msj/02ArrayArray/newnav.htm
3、《the use of tcp port 445 in windows 2000》 arne vidstrom

  • 以上内容由 华夏名网 搜集整理,如转载请注明原文出处,并保留这一部分内容。

      “华夏名网” http://www.sudu.cn 和 http://www.bigwww.com 是成都飞数科技有限公司的网络服务品牌,专业经营虚拟主机,域名注册,VPS,服务器租用业务。公司创建于2002年,经过6年的高速发展,“华夏名网”已经成为我国一家知名的互联网服务提供商,被国外权威机构webhosting.info评价为十大IDC服务商之一。

    华夏名网网址导航: 虚拟主机 双线主机 主机 域名注册 cn域名 域名 服务器租用 酷睿服务器 vps vps主机

  • 上一篇:如何用9行代码干掉Windows XP,2000 下一篇:如何盗取网页密码(附源代码) 
    FeedSky
    订阅到鲜果
    订阅到Google
    订阅到抓虾
    技术资讯
    推荐资讯
    网站备案经验谈 工信部备...(4916次点击)
    移动电信联通介入域名注册...(2768次点击)
    消息称网站未备案将一律关...(4158次点击)
    事情很紧急 大部分站长如...(2793次点击)
    微软因收取XP降级费而被...(2372次点击)
    巨鲸CEO陈戈:看好互联...(3729次点击)
    搜狐副总裁王小川:搜索不...(3570次点击)
    没有回头客的垃圾站 如何...(2359次点击)
    百度google没收录也...(2529次点击)
    并非主流 CN域名一元体...(2438次点击)
    最新更新
    百度关闭部分竞价系统,凤...(3416次点击)
    数万中小企业翘首以待“....(3234次点击)
    整治网络视听低俗之风 四...(3245次点击)
    国内首个IPV6网站认证...(3990次点击)
    国内首家VIA成员:金山...(2412次点击)
    分析师称网络广告市场6月...(2322次点击)
    未备案网站将被贴标 投资...(3215次点击)
    对于天价cn短域名 我们...(3623次点击)
    Mozilla要求微软公...(2355次点击)
    戴尔通过Twitter销...(2336次点击)
    相关资讯
    xml轻松学习手册(3)xml...
    xml轻松学习手册(4)xml...
    xml轻松学习手册(5)xml...
    了解web页面工具语言xml(...
    了解web页面工具语言xml(...
    了解web页面工具语言xml(...
    了解web页面工具语言xml(...
    了解web页面工具语言xml(...
    了解web页面工具语言xml(...
    xml技术上传文件_xml技巧