《因特网及商务应用》教案
《因特网及商务应用》教案
《因特网及商务应用》教案
4.14 远程登录与控制
局域网内文件共享的条件
知道局域网中计算机的IP地址或主机名
如：
教师机：192.168.1.107 （a107） 学生机：192.168.1.70 （a70）
局域网内计算机互访必须在同一个“工作组”之下 我的电脑->右键->属性->计算机名->更改：
《因特网及商务应用》教案
开启网络的文件和打印机共享
网上邻居->右键\\属性\\上网的图标（如：本地连接）->右键\\属性\\常规：
开启文件夹共享
某文件夹->右键->共享->“如果您知道„”->只启用文件共享
《因特网及商务应用》教案
修改共享文件夹读写属性
局域网内共享文件夹的访问方式
方法一
网上邻居->邻近的计算机（或：整个网络->Microsoft Windows网络）->工作组名->主机名 方法二
网上邻居->搜索->输入：主机名
方法三
IE访问
《因特网及商务应用》教案
局域网、因特网上的远程登录条件
知道对方计算机（远程计算机，下同）IP地址
各种专用软件，如：
QQ珊瑚虫版、QQ传美版等
FolkOicq（QQ补丁），可显示IP，最新版FolkQQ0530SE_B2 嗅探专家等
对方计算机必须开启网络的文件和打印机共享 微软默认方式：开启
对方计算机不需要开启文件夹共享 对方计算机必须开启IPC$连接共享功能 微软默认方式：开启
知道对方计算机具有管理员权限的用户名、密码
微软默认具有管理员权限的用户名：Administrator 微软默认密码：空
什么是IPC$连接共享
IPC$(Internet Proce Connection)是共享\"命名管道\"的资源，用户可通过正确的用户名和密码获得相应的权限，实现远程查看、控制、管理计算机的共享资源。
当对方计算机开启IPC$后,连接者甚至可以与目标主机建立一个空的连接而无需用户名与密码，利用这个空的连接，连接者可得到目标主机上的用户列表，配合使用一些字典工具，进行密码探测（枚举法的暴力破解）。 Windows默认安装,允许IPC$的远程登录和共享功能，且打开了所有的默认共享,即所有的逻辑盘(c$,d$,e$......)和系统目录winnt、windows的admin$。 只有NT/2000/XP才可以建立IPC$连接，98/me是不能建立IPC$连接的。 关闭/禁止IPC$ 共享的几种方法
运行regedit，修改注册表（WIN2000）
禁止默认的共享：
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services \\lanmanserver\\parameters， 新建一个键名：
如果是服务器，则：AutoShareServer，键值设为“0” （推荐） 如果是客户机，则：AutoShareWks，键值设为“0” （推荐） 类型：“REG_DWORD” （“双字节值”） 禁止建立空连接：
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\LSA， 将键名为：RestrictAnonymous的键值改为： 1：匿名用户无法列举主机用户列表（推荐） 2：匿名用户无法连接你的IPS$共享，(推荐) 关闭“server”服务，使IPC$失效
控制面板\\管理工具\\服务\\server服务->右键：属性\\常规\\启动类型：停止服务、并禁用。(不推荐) 注：server为系统服务，停后会影响需调用server服务的程序实现。
《因特网及商务应用》教案
关闭共享组件
关闭网络共享文件或打印机(推荐)
关闭共享文件夹（包括显式、隐式）
关闭显式共享文件夹
已共享文件夹->右键->“共享„”->不共享该文件夹(推荐)
《因特网及商务应用》教案
关闭隐式（默认）共享文件夹
管理工具->计算机管理->共享->右键->停止共享 尤其是关闭IPC$(强烈推荐)
DOS窗口的打开
开始->运行->CMD，输入下面举例的DOS命令 DOS命令的使用
停止“server”服务
net stop lanmanserver 注：server为系统服务，停后会影响需调用server服务的程序实现。 删除IPS$和默认共享（但重启后还会有） net share ipc$ /del net share admin$ /del net share c$ /del net share d$ /del „„
重新开启IPC$共享 net share ipc$ net share c$=c: net share d$=d: „„
查看已经开启的Windows系统服务（后台服务） Net start Net start servername（开启指定的系统服务） Net stop servername （关闭指定的系统服务） 查看本地共享资源 net share
《因特网及商务应用》教案
其它方式
安装防火墙
重要端口实施屏蔽（详见附件） 139 445(Windows 2000／2003 Server系统下作用和139端口完全相同) 1
39、445的用途
通过网上邻居访问局域网的共享文件、打印机时发挥作用
远程登录的DOS命令
net use \\xxx.xxx.xxx.xxx\\IPC$ \"\" /user:\"administrator\"（建立连接） net use x: \\xxx.xxx.xxx.xxx\\c$（共享文件夹映射到本机的x:盘符） net use z: \\IPC$(访问远程计算机) net user guest /active:yes (激活对方的Guest用户) net user guest 1234 (将Guest的密码改为1234) net localgroup administrators guest /add (将Guest升级为Administrator) net use * /del（取消连接）
IPC$连接失败的原因
你的系统不是NT或以上操作系统 对方没有打开IPC$默认共享
注册表被修改 server 已停止
DOS命令关闭了默认共享驱动盘 网络的文件和打印机共享被关闭
对方未开启139或445端口(或被防火墙屏蔽) 你的命令输入有误(如：缺少了空格等) 用户名或密码错误(空连接除外) 根据返回的错误号分析IPC$连接失败的原因
错误号5
拒绝访问：很可能你使用的用户不是管理员权限的，先提升权限； 错误号51 Windows 无法找到网络路径 : 网络有问题； 错误号53，找不到网络路径 目标未开机； IP地址错误
目标lanmanserver服务未启动 目标有防火墙（端口过滤）； 误号67，找不到网络名
你的lanmanworkstation服务未启动 目标删除了IPS$；
错误号1219，提供的凭据与已存在的凭据集冲突： 你已经和对方建立了一个IPS$，请删除再连。 错误号1326
《因特网及商务应用》教案
未知的用户名或错误密码。
错误号1792，试图登录，但是网络登录服务没有启动： 目标NetLogon服务未启动。（连接域控会出现此情况） 错误号2242，此用户的密码已经过期：
目标有帐号策略，强制定期要求更改密码。
IPS$连不上的问题比较复杂，除了以上的原因，还会有其他一些不确定因素。
《因特网及商务应用》教案
扫描工具软件
目前流行的端口扫描利器
国内的流光、xscan、x-way等
国外的shadow security scanner、superscan、nmap等
流光 简介
被喻为中国 《因特网及商务应用》教案
Dameware Nt在局域网内的远程登录（入侵）实例
远程登录教师机（本机）
略
教师机远程登录学生机
教师机远程登录学生机（批量）
略
从学生机远程登录教师机
略
《因特网及商务应用》教案
远程监视学生机的设置
《因特网及商务应用》教案
远程监视学生机的效果
《因特网及商务应用》教案
Dameware Nt在因特网上的远程登录（入侵）实例
查看私人信息 查看QQ目录 开启默认共享盘 停止对方的杀毒软件
将远程计算机驱动盘映射到本机（用于上传文件、病毒、木马等，真酷！） 通过本机“我的电脑”打开映射驱动盘（对应着对方整个逻辑盘）
查看远程计算机的IE收藏夹信息 可修改、删除、上传文件 修改对方Administrator密码 进入远程计算机的DOS界面 查看对方的IPConfig/all信息
释放木马，实现远程监视（监视对方桌面的活动情况）
远程控制->输入：用户名（具有管理员权限的用户名）、密码->连接（1） 在对方计算机上安装客户端程序（安装木马）（2） 客户端程序的重要设置（3） 上述截图全略
远程桌面的监视，实例1
《因特网及商务应用》教案
远程桌面的监视，实例2
特别提示：不设防的计算机中不要存放在个人隐私。如： 简历、照片 家庭住址、电话
账户名、身份证号、信用卡号、密码
特别提示：不设防的计算机中不要做在线交易。如： 网上购物支付 网上银行转账 网上炒股
特别声明
通过实例，提醒我们必须严重关注自己的计算机安全、学会基本的防范技巧。 不鼓励使用黑客工具软件，如想尝试，请见阅读《黑客守则》，不得违法。 本案属内部交流，不得外传。 无作业，不考试。
《因特网及商务应用》教案
4.15 黑客守则（简）
千万不要破坏别人的文件或数据。恶意破坏别人的软件或数据将导致法律责 任。
千万不要修改任何文件, 如果为了要进入而修改的,达到目的后请还原。 不要轻易的将你要 Hack 的站点告诉你不信任的朋友。 不要在 bbs/论坛上谈论关于你 Hack 的任何事情。 不要入侵、攻击或破坏电信/政府机关的主机。 不在电话中谈论关于你 Hack 的任何事情。 不得删除或修改已侵入电脑中的帐号。 不将你已破解的帐号与你的朋友分享。 入侵期间不要随意离开你的电脑。 将你的笔记放在安全的地方。 „„
4.16 随堂作业 4.17 思考题
目前流行的远程登录利器（至少5个） 如何防范远程登陆（至少5个）
关闭IPC$ 关闭server 添加复杂的管理员密码 少用有安全漏洞、有争议的软件 安装能实时监视的防护类软件, 微软补丁及时更新 „„
《因特网及商务应用》教案
4.18 附录一
部分重要端口的作用和开启关闭方法
135端口
在许多“网管”眼里，135端口是最让人捉摸不透的端口，因为他们中的大多数都无法明确地了解到135端口的真正作用，也不清楚该端口到底会有哪些潜在的危险。直到一种名为“IEen”的专业远程控制工具出现，人们才清楚135端口究竟会有什么样的潜在安全威胁。
IEen工具能够借助135端口轻松连接到Internet上的其他工作站，并远程控制该工作站的IE浏览器。例如，在浏览器中执行的任何操作，包括浏览页面内容、输入帐号密码、输入搜索关键字等，都会被IEen工具监控到。甚至在网上银行中输入的各种密码信息，都能被IEen工具清楚地获得。除了可以对远程工作站上的IE浏览器进行操作、控制外，IEen工具通过135端口几乎可以对所有的借助DCOM开发技术设计出来的应用程序进行远程控制，例如IEen工具也能轻松进入到正在运行Excel的计算机中，直接对Excel进行各种编辑操作。
怎么样？135端口对外开放是不是很危险呀？当然，这种危险毕竟是理论上的，要想真正地通过135端口入侵其他系统，还必须提前知道对方计算机的IP地址、系统登录名和密码等。只要你严格保密好这些信息，你的计算机被IEen工具攻击的可能性几乎不存在。
为什么IEen工具能利用135端口攻击其他计算机呢？原来该工具采用了一种DCOM技术，可以直接对其他工作站的DCOM程序进行远程控制。DCOM技术与对方计算机进行通信时，会自动调用目标主机中的RPC服务，而RPC服务将自动询问目标主机中的135端口，当前有哪些端口可以被用来通信。如此一来，目标主机就会提供一个可用的服务端口作为数据传输通道使用。在这一通信过程中，135端口的作用其实就是为RPC通信提供一种服务端口的映射功能。说简单一点，135端口就是RPC通信中的桥梁。 137端口
137端口的主要作用是在局域网中提供计算机的名字或IP地址查询服务，一般安装了NetBIOS协议后，该端口会自动处于开放状态。
要是非法入侵者知道目标主机的IP地址，并向该地址的137端口发送一个连接请求时，就可能获得目标主机的相关名称信息。例如目标主机的计算机名称，注册该目标主机的用户信息，目标主机本次开机、关机时间等。此外非法入侵者还能知道目标主机是否是作为文件服务器或主域控制器来使用。 138端口
1
37、138端口都属于UDP端口，它们在局域网中相互传输文件信息时，就会发生作用。而138端口的主要作用就是提供NetBIOS环境下的计算机名浏览功能。
非法入侵者要是与目标主机的138端口建立连接请求的话，就能轻松获得目标主机所处的局域网网络名称以及目标主机的计算机名称。有了计算机名称，其对应的IP地址也就能轻松获得。如此一来，就为黑客进一步攻击系统带来了便利。 139端口
139端口是一种TCP端口，该端口在你通过网上邻居访问局域网中的共享文件
《因特网及商务应用》教案
或共享打印机时就能发挥作用。
139端口一旦被Internet上的某个攻击者利用的话，就能成为一个危害极大的安全漏洞。因为黑客要是与目标主机的139端口建立连接的话，就很有可能浏览到指定网段内所有工作站中的全部共享信息，甚至可以对目标主机中的共享文件夹进行各种编辑、删除操作，倘若攻击者还知道目标主机的IP地址和登录帐号的话，还能轻而易举地查看到目标主机中的隐藏共享信息。 445端口
445端口也是一种TCP端口，该端口在Windows 2000 Server或Windows Server 2003系统中发挥的作用与139端口是完全相同的。具体地说，它也是提供局域网中文件或打印机共享服务。不过该端口是基于CIFS协议（通用因特网文件系统协议）工作的，而139端口是基于SMB协议（服务器协议族）对外提供共享服务。同样地，攻击者与445端口建立请求连接，也能获得指定局域网内的各种共享信息。 到了这里，相信你对各端口开放时存在的安全威胁早已是恐慌不已了。毕竟，对这些端口放任不管的话，随时都可能引来“飞来横祸”。别急，下面本文特意为你提供了一些安全防范措施，让你根据实际需要，有选择、有针对性地关闭服务端口，以切断外来入侵途径。 关闭135端口
关闭135端口最直接有效的方法，就是将RPC服务停止掉。具体方法为：在“管理工具”菜单项下面，单击“服务”选项；在弹出的“服务”窗口中，将“Remote Procedure Call”选中，再单击右键菜单中的“属性”命令，弹出图1所示的设置窗口；在启动类型设置项处，选中“已禁用”选项，并单击“确定”按钮。
以后需要重新启用RPC服务时，必须打开注册表编辑窗口，找到“HKEY_LOCAL_ MACHINE\\SYSTEM\\CurrentControlSet\\Services \\RpcSs”子键，双击该子键下面的“Start”项，将其数值设置为“0x02”，然后把系统重新启动一下就OK了。
上面的关闭方法有很大的局限性，因为一旦停止了RPC服务，服务器中的许多功能都有可能失效。例如数据库查询功能、Outlook功能、远程拨号功能等，都不能正常工作了。因此这种关闭方法只能适合在简单的Web服务器或DNS服务器中使用。
由此可见，简单地关闭RPC服务，会“殃及池鱼”。考虑到只有采用DCOM开发技术设计出来的应用程序，才会调用RPC服务，因此只要禁止使用系统中的DCOM，同样也会达到禁用RPC服务的目的。要禁用DCOM设置的话，可以按下面方法来进行：依次单击“开始” | “运行”命令，打开运行对话框，输入“dcomcnfg.exe”命令，单击回车键后，打开一个如图2所示的设置窗口。选中该窗口的“默认属性”标签，在其后的标签页面中，将“在这台计算机上启用分布式COM”选项选中，最后单击“确定”按钮，退出设置窗口。这样一来，任何黑客或非法入侵者都不能对计算机中的DCOM应用程序进行远程操作，至此你也就实现了间接关闭135端口的目的。 除了上面的方法外，你还可以采取另外一种相对复杂的办法来关闭135端口。这种方法是先用UltraEdit工具，打开系统文件夹system32下面的rpc.dll文件。然后在该程序的主界面中，依次执行“搜索” | “查找”命令，并在弹出的查找对话框中，输入十六进制数“3100330035”，再单击一下“查
《因特网及商务应用》教案
找下一个”按钮，最后打开如图3所示的界面，在这里你必须将“3100330035”，修改为“3000300030”，这样就可以将“135端口”，修改为“000”了，接着将该文件重新换名保存。 下面，你必须将系统切换到DOS状态下，用换名保存后的文件，覆盖以前的rpc.dll文件。要是无法直接覆盖的话，可以进入到系统的安全操作模式下，再运行系统Support Tools中的pulist工具，将当前所有进程显示出来。接着，到网上下载一个名为pskill的工具，运行并利用它杀掉当前运行的svchost.exe进程。最后再用换名保存后的文件，覆盖rpc.dll文件。相比而言，该方法比较烦琐，对Windows系统不太熟悉的朋友，最好不要用它，以免给系统造成破坏。 关闭1
37、138端口
考虑到基于TCP/IP协议下的NetBIOS服务，几乎都是通过1
37、138端口实现的，因此你只要将基于TCP/IP协议下的NetBIOS服务停止掉，就能实现间接关闭1
37、138端口的目的。现在就来看看停止NetBIOS服务的具体步骤。先用鼠标右键单击桌面上的“网上邻居”图标，从弹出的快捷菜单中，执行“属性”命令，打开“Internet协议（TCP/IP）”参数设置窗口；再单击一下“高级”按钮，并在随后弹出的设置框中，选中“WINS”标签；打开如图4所示的标签页面，选中“禁用TCP/IP上的NetBIOS（S）”，
