Hallå!

Jag äger 2 WinXP burkar som är ihopkopplade bakom en router. Den ena av dom är infekterad med en bifrost server, och jag vill nu få den andra infekterad. Hade tänkt att detta går lättast genom netbios så jag provade lite gamla tjyvknep.. varken enum eller winfo gav någonting, men GetAcct säger att han har ett admin konto som heter "Administrator" iallafall. Har provat net use x: \\192.168.1.100\C$ admin /u:Administrator över remote shell i bifrost, men det ger bara "System error 5 has occurred. Access is denied". Måste han vara inloggad för att det ska fungera eller borde det gå ändå? Datorn har också sin DCPlusPlus mapp utdelad, så jag hade tänkt byta ut .exe-filen mot en dcplusplus bindad till min RAT, men eftersom han låter dc stå på nästan dygnet runt så går det inte så bra att byta ut filen, något som kan lösa det?

Några andra netbios verktyg som kan vara användbara mot en winxp sp2 burk ? Någon exploit jag borde prova?
Någon som vet något bruteforce/dictionary-attack prog. som borde fungera? enums dictionary-attack sade att ordet högst på listan var rätt även vad jag hade där ;S
Något annat tips på hur jag kan få han infekterad över nätverket? Har bindat filen med de flesta prog. som ligger utdelade, men dessa används väldigt sällan förutom då dc som står på nästan hela tiden..

Sysinternals har några stycken:
http://www.sysinternals.com/Utilities/PsTools.html

Öppnade du en nullsession innan du körde enum?

Tror att administratörsanvändaren är lokal om inget annat anges. Fortsätt med att testa byta ut hans DC klient mot en egen preparerad, någon gång kommer det att ge resultat.

Något du kan göra under tiden är att sniffa nätverket. Testa och skriv en egen launcher till ettercap som automatiserar sniffningen och döljer aktiviteten (kör ettercap i bakgrunden, pipe'a ut informationen i CLI mode, typ) . Den vanlige användaren är inte precis känd för sin goda lösenordsvariation, så om du sniffar upp hans lunarstormslösenord så kanske du automatiskt får hans användarlösenord. Alla sätt är bra, även de dåliga.

Hmm, visste inte det där om nullsessioner, tack för infot!
Den här sidan har lite användbar information om hur man utnyttjar respektive skyddar sig mot det:
http://www.brown.edu/Facilities/CIS/CIRT/h...etbiosnull.html
Jag antar att det var det här kommandot du menade swestres när du skrev om att öppna en nullsession?
net use \\MY.SUB.NET.IP\IPC$ "" /u:""

Hmm, verkar vara något lurt:
C:\Documents and Settings\server pc>winfo 192.168.1.100 -n

Winfo 2.0 - copyright © 1999-2003, Arne Vidstrom
- http://www.ntsecurity.nu/toolbox/winfo/

Trying to establish null session...

Error : Unable to establish a null session.
Reason: You may already be connected with another account.

Hur löser jag det? Går det att "logga ut" på något sätt om det nu är så att jag "already is connected" ?

EDIT: Borde det inte gå att ordna något batchscript eller liknande som försöker byta ut filen hela tiden? Så att den byts såfort filen blir "ledig"?

Jepp. Det är lite föråldrat, så jag skulle inte bli förvånad om det inte funkade i winXP sp2.

Annars kan man väl fortfarande köra MITM på SMB trafiken?



Ja, du kan kolla aktiva sessioner med net.exe. Nu är mitt minne suddit på den punkten, men jag tror det räcker med att skriva net use för att kolla det. Sen kör du net use session /DELETE eller något. Jag vet inte.


Jo, kan man scripta batchscript så Jag hade skrivit något program för det. Jag kan göra det nu tom. Återkommer med koden.

Tadam, det var det jobbigaste jag någonsin gjort. Jag borde fan få Nobelpriset. Jag har inte testat den, men allvarligt... Vad skulle kunna gå fel? (se nedan)

Skulle CopyFile inte fungera över SMB, så får man mounta den med WNetAddConnection2() eller något. Jag är inte så hemma på WinAPI.

Oj, tack, ska testa, återkommer!
edit: Fick null session med winfo att fungera nu, men "Access denied" på allt :/

Du har till har den förbrukaren / lösenord till gör sådan , om du skränande minas din förbrukaren / passera försök l0pht spricka. eller Försök en NetBIOS Dyre Styrka. Hoppas den här hjälper

-lm


http://www.hackingspirits.com/eth-hac/tools/brute_force.html
THC-Hydra

Dude, no offence but that translator of yours really sucks ass You should probably write in english, I think we can understand that better.

Lets play a translation game, it's always fun

offence taken!

I'm not even sure what I stated, I believe I said something similar to:
If you get a access denied, you should (if local) attempt to use a file such as l0pht crack and if non local try a brute force with THC-Hydra.

thath's the shit
go for that Liquid Metal said and good luck!

Liquid Metal: offence taken, as in you were insulted? In that case, I apologize. If not, never mind.

Förlåt för bumpning

Men...hade tråkigt inatt och jag letade reda på en bra pingande server, jag gjorde ett ping svep och fick fram att det var en Win 2K burk. Använde GetAcct och fick fram admin användar namnet, körde sen enum med en stor, maffig pass lista. Konstigt nog fick jag rätt på första lösenordet (Som för övrigt var root) Jag blev överlycklig och använde sen net use kommandot för att kunna skriva kommandon i remote. Men här tog det stop, inget hände....det blev ingen remote shell som det blir för snubben från microsoft (How hackers enter windows). Testade nu att göra samma sak på min server burk (Där jag kan admin user och pass) Stog att passet root var rätt, men...det är helt fel...jag matade in ett helt annat pass. Någon som vet var felet är? Finns det något annat program än enum? Skulle även vara lite praktiskt med bruteforce istället för dictionary.

Tacksam för hjälp

Det beror på att i lite mer patchade system nu flr tiden så finns det utlåsningar som märker om det är en bruteforce attack går att lösa med lite nyare bruteforcer tror jag rätta mig om jag har fel.

Hade precis samma problem med enum, sade att första passet var rätt fast det inte var det. Jag gav upp och orkade inte greja men jag har för mig att precis som Edika säger så ska det finnas nyare program som löser detta:)

Du råkar inte veta av något program som liknar enum? Har sökt som en galning på google.

Nää det behövs inte som swestres sa eller vem det var så om man öppnar en null session så funkar det

Testade att öppna en NULL session mot min server burk men lyckades inte, kan det bero på att jag kör Win XP SP2 på den?

Nepp, gjorde en mot min brors dator och det funka klockrent

Hmm...testade att köra Getacct nu igen och det funkar fin fint på datorer inom mitt LAN, men..när jag testar mot datorer utan för mitt lan så går det käpprätt åt skogen. Men det var ju inte om det jag skulle posta om...detta är min fråga: Körde getacct mot min srv burk och fick fram användarnamnet...själv så vet jag att lösenordet är ********* och jag försöker skapa en remote shell med hjälp av kommandot "net use \\<ip adress> <lösenord> /u:<användar login>. Det står att kommandot utfördes men jag kan fortfarande inte skriva kommandon på min srv burk från min vanliga PC.

Nu vet jag ju själv att netbios hacking hör till den lite gamla, goda tiden...men....hoppas att någon vet vad felet är =)

Prova att köra psexec kanske :/

Har testat det nu...funkar fortfarande inte..det står bara att ADMIN$ inte är utdelad...
Tror att jag får lämna det här bakom mig...det är nog lite för gammalt.

Vad betyder Null Session?

och behöver 20 står exakt på fjärde raden? eller kan den stå varsomhälst när man skriver kommandot?

När man inte uppger något lösenord om jag inte missminner mig.

Så tillexempel. "Gäst"-kontot på XP har tillexempel alltid Null Session? Och dom kontona som man skapat själv men inte satt in något lösenord på, dom har också Null Session?
Eller betyder Null Session att man går in på ett lösenordskyddat konto och på något sätt "bypass" lösenet?
Och om man lyckas komma åt en dators hårddisk med net use och ska skriva in lösenordet för den inloggade användaren. Och då vet vi att den som är inloggad nu inte har något lösenord, utan bara loggar in med ett användarnamn. Hur gör man då när man ska skriva in ett lösenord för den användaren när man frågas om det, med användandet av "net use"?

Den första posten som startade denhär tråden står det något om att man måste göra remote shell i Bifrost? Så man kan inte göra net send x: \ENDATORSIP\\C$ i CMD för att komma åt någon dators filer?

och vad var detdära att man kunde skriva CDISK istället för C$ på en hemsida som dök upp på google?


EDIT: jag lyckades komma åt någon dators C:. WOW!! Men för att göra det så gick jag in i Mina Nätverksplatser och sedan klickade jag på den datorn som jag senare skulle ansluta till. Då poppade det en ruta up där man skulle skriva in ID och PW. Jag gjorde det och sedan skrev jag in net use K: \\datornsNamn\C$ och så kom det fram "Komandot utfört" .
men då undrar jag vad man kan skriva i CMD för att ansluta med ID och PW. Vad kan man skriva då? Ska man skriva detdära som står högst upp i denna tråd på den aktuella sidan? men jag fattar inte riktigt. kan någon ge mer exempel tack?

EDIT2: ojojj, nu kom jag på hur man gjorde då. oww, man kan komma åt allting på alla datorer nu bara man vet ett IDmed PW som är Admin! WOW!!
men undrar jag om man kan starta något på en dator? nu kan man ju bara läsa till sin dator och skriva tillden utsatta datorn. kunde man det med Remote Shell eller vad det var? att man styr datorn med CMD eller något? och så skriver man in namnet på ett program som finns på den styrda datorn i dendära Remote Shell och så startas den på datorn? Kan man det? eller måste man lägga dit en RAT av något slag alltså?

Du skriver istället net use X: \\<ip adress> osv...

därigenom tilldelar du den andra datorn enhetsbeteckningen X: (precis som din egen hårddisk ligger som C: (oftast)) och sendan skriver du bara X: i cmd och vips! du har tillgång till den datorn precis som om det var en extra hårddisk i din dator.

Som ovanstående skrev så är detta samma sak som sker genom att "ansluta en nätverksenhet" i Windows.

Hmm, på en sida såg jag att man kunde hacka PWt till en dator man vill komma in i.
På http://www.darknet.org.uk/2006/09/remote-n...os-hackhacking/ stod något om att man kundeskriva c:\>net use \\[ip address of target machine]\ipc$ "" /user:"" och så kunde man komma åt filerna utan at behöva skriva in något PW. Hmm, men när jag skriver så så kommer detta upp:


Vad är det för fel? eller har jag inte förstått? eller måste jag ha något mer program? kan någon ge exempel och utveckla lite mer om hur man kan komma in på en dator med hjälp av IPC$ ?

Resurser med ett dollartecken efter betyder att de är "hemligt utdelade", t.ex. Win XP Home har C: utdelat från början, dock är det dolt så andra datorer i nätverket kan inte se dessa utdelade resurser (administratörer kan), men skriver de \\IP\C$ så kommer de åt mappen. Där igenom kan du ju då förmodligen komma åt SAM för att få tag i lösenord. IPC är en resurs som möjliggör för program på din dator att prata med program på andra datorer i ditt nätverk. Dock vet jag inte var du kommer om du försöker ansluta till resursen IPC..

För att förtydliga lite vad jag skrev i förra inlägget så kan man styra den anslutna datorn helt också, typ remote cmd. Då kör man: net use \\IP pass /u:användare och får då en tillbaka "Kommandot har utförts".
Sedan är det bara att köra "psexec \\IP cmd" så har man kontrollen över datorn (vad jag kommer ihåg så förutsätter detta dock att admin$ är utdelat eller något i den stilen). Testa köra ipconfig eller något annat kommando för att se att du verkligen är ansluten till rätt datorn innan du börjar köra dina program eller annat.

EDIT: psexec hittas på www.sysinternals.com

Jaha,

1. Men varför står det "Åtkonst nekad. Systemfel 5" när man försöker ansluta till en XPdator? Var det något med att, på XP fungerade inte NetBIOS?

2. Om jag Kopiera:r SAM och systemfilen till min dator från en Win2000 dator står det att den används. Hur gör jag för att komma åt den? Finns det program för det? Eftersom att ophcrack kan ju komma åt SAM filen på den lokala datorn så finns det väl program som också kan det?

3. IPC... Så det är en resurs som gör att program kan prata med varandra? tillexempel om man kör CS på lan så används IPC-saken på något sätt iallafall?

4. På en hemsida stod det ju att man kan få lösenordet genom IPC-saken. Jag förstod inte alls vad dom menade. Hur skulle man göra? Någon som kan förklara vad dom menar?

5. hmm,, psexec? var det gratis eller var det kanske massa strul med det, hmm? admin$ ? vad var det nu igen?

1. Lokaltjänst inaktiverad?(services.msc) /exempelvis netsend är inaktiverat som standard i xp. Förmodar att microsoft har inaktiverat, som standard fler "farliga".

2. SAM filen är ej tillgänglig i inloggat läge, låst/skyddad, måste boota upp med en live cd. /Med ophcrack är windows utloggat/avstängt

5. Ja, psexec är gratis.

1. vad är lokaltjänst? När det är avaktiverat, ska man inte kunna använda sig av NetBIOS-"hacking"? Det är då aktiverat på Win2000?

2. Men han sa ju det att man förmodligen kan få tag i SAM-filen? Och hur får ophcrack tag i den då? när windows är på och har ophcrack installerat och startar den. så kan man ju trycka på "Load from local SAM" och då kommer den ju åt SAM filen på datorn? men man själv kan inte det manuellt? Vad är det för sätt? Kan inget annat program göra det? och vad är detdära Remote SAM?

nu brukar jag inte ta till vara på min tid genom att sitta och knäcka SAM-filer.. Men det låter väl ganska troligt att windows uppehåller SAM-filen när operativsystemet är igång just på grund av att man helt enkelt inte ska kunna kopiera filen. Men vissa program kan det ändå säger du.. rimligtvis bör det ju isåfall gå till på så vis att de helt enkelt öppnar filen, vilket ju går fast windows "använder" den samtidigt, och sedan helt enkelt sparar allt innehåll i en ny fil som den döper... jooodåååå... SAM.

rätta mig någon om jag har fel men det känns naturligt att det skulle gå till på detta viset.

det finns väl sedan kommandopromptbaserade applikationer som fungerar som ophtcrack.. Då är det ju helt enkelt bara att ladda ner en sådan applikation via ftp eller tftp till användarens dator och sedan köra den lokalt där.

jahaja, men hur ver det dära dom menade med att man kan gå in på datorn med hjälp av IPC$?

Blir det totalt omöjligt att komma åt filer på en dator genom netbios om det kommer upp "error 5 Åtkomst nekad"? Fins det ingen väg in i datorn om deta dyker upp?

Är det omöjligt att knäcka ett lösenord om det är krypterat med SYSTEMfilen och man bara har SAMfilen att trixa med??

Så om det går att öppna SAM och systemfilen med en HEXeditor kanske vad vet jag. Och sedan sparar man den? någon som kan prova en gång lite fort sådära bara?

För att kunna få tillgång till sam filen när windows är igång måste du ha administratörs privilegier och injecta någonting i lsass.exe som får tag i innehållet i SAM filen.

ok, så det är omöjligt att nå samfilen om man är inloggad som Gäst osv ?

och vad är det egentligen dom menar med att man kan nå en dators filer med hjälp av IPC$ ? nånn som kan svara lite kort?

EDIT: och vad är admin$ för något då?

Nej, det går inte att få tag i Sam filen via ett gäst konto, du måste ha admin rättigheter.

När du kör t.ex. "net use \\127.0.0.1 användarnamn" så kommer du att bindas till IPC$, vet dock inte vad IPC är men det har iallafall med netBIOS att göra. Checka google.

ADMIN$ är "Remote Admin" eller vad man ska säga. om du kör "net use \\127.0.0.1/ADMIN$ användarnamn" så kommer du få admin rättigheter på datorn du anslutit till, då kan du t.ex. köra "psexec" för att öppna t.ex. ett "remote shell".



Hoppas att du förstår det där

När du har anslutit till ADMIN$ kan du även göra andra prylar på Remote maskinen så som att lägga till register värden utan att använda dej utav psexec.
Detta öppnar t.ex. fjärrskrivbord på remote maskinen: reg.exe ADD "\\192.168.0.2\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f>nul 2>&1

Marcus Murray demonstrerar det här lite bättre på på Technet annars "how hackers enter windows".

Kanske blev lite rörigt, men men...

Så IPC$ är något som lixom är ett "hjälpmedel" för kommunikation på windows kan man säga?

Så om man använder pcexec så behöver man inget admin lösenord?

[

en annan sak:
när man loggar in på Windows 2000 server, då får man den mapp, med det namn man loggade in som, i denhärdatorn. Jag loggade då in med ett allmänt (för alla) användarnamn som heter "Kurs". Kan man lägga till en till mapp genom net use? Tillexempel min egna, som jag är mitt personliga login? texempel när jag har loggat in på kurs: " net use \\Server1\MITTLOGIN$ * /USER:MITTLOGIN " . Jag provad, men det verkade inte gå så bra. Systemerror 1219 kom fram. Vad nu detta är.
Nånn som vet vad jag kan göra eller vad jag gör för fel?

]

http://en.wikipedia.org/wiki/Ipc_share



Sneglade lite snabbt på tidigare inlägg bara, men... psexec behöver också behörighet.

Om det funkar utan lösenord beror på kontot och inställningar i Windows. Många gånger har admin inget lösenord hos hemanvändare. I samband med att SP2 installeras (om jag minns rätt) nekas dock nätverksåtkomst för användare som inte har något lösenord.



1219 är "ERROR_SESSION_CREDENTIAL_CONFLICT". Du kan bara logga in mot en dator med ett användarnamn i taget. Detta innebär alltså att du redan har en anslutning mot servern med "ANVÄNDARE1", och försöker att även logga in som "ANVÄNDARE2".

Koppla ifrån tidigare anslutningar så bör du kunna ansluta, eller i alla fall få "bättre" felmeddelanden.

Här har du en lista på "standard-felmeddelanden": http://msdn2.microsoft.com/en-us/library/ms681381.aspx

Angående administrationskonton utan lösenord så är jag nästan säker på att det inte går att ansluta till sådant konto överhuvudtaget, i alla fall i de senare versionerna av Windows.

Inte sedan Windows XP SP2.
Därav fungerar inte PSEXEC på samma sätt längre.

Den användare du väljer att logga in som via PSEXEC måste ha lokala administrativa rättigheter, och den lokala sharen admin$ måste vara aktiv.
Det stoppas även av windows firewall.

Inte många som använder Windows firewall

Lär ju vara nästan lika många som använder XP SP2, brandväggen är ju aktiverad i sitt standardläge.

Jo, jag vet att den är på som standard, men, de flesta som jag känner brukar i alla fall alltid inaktivera den och sedan installera någon annan brandvägg.

men alltså, de som vet att man inte behöver ha på den osv är ju på dethär forumet. Dom som inte vet så mycket, utan bara använder datorn till vanliga saker, har ju på winFirewall tillockmed när det redan kan finnas en i routern, men det vet dom itne och så bryr dom sig inte.

Hemanvändare har den på, företag släcker den ofta för att kunna rulla centraliserade uppdateringstjänster och dylikt som kan störas (bland annat SMS, microsofts managmentserver som slår via WMI).

Småföretag rullar däremot mer vanligt uppdateringarna via MS-update, då står även firewalls på.

De som främst släcker ner den tror jag, utan konkurrens från andra grupper, är yngre män/pojkar som spelar nätverksspel och inte vill behöva göra manuella undantag för att det ska fungera.