參與評(píng)論

評(píng)論

登錄后參與評(píng)論

全部評(píng)論(1條)

• 

  crystallyne 2005-12-09 00:00:00

  ipc$空會(huì)話是一種很常見的入侵模式！ 簡(jiǎn)單的介紹一下什么是ipc$ 在Windows NT 4.0中是使用挑戰(zhàn)響應(yīng)協(xié)議與遠(yuǎn)程機(jī)器建立一個(gè)會(huì)話的，如果建立成功將成為一個(gè)安全隧道，建立雙方通過它互通信息 一些常用的命令 建立連接 net use \\ip\ipc$ "" /user:"" -------------------建立連接 net view \\IP --------------------查看遠(yuǎn)程主機(jī)的共享 net time \\IP --------------------查看遠(yuǎn)程主機(jī)的時(shí)間 nbtstat -A IP --------------------查看遠(yuǎn)程主機(jī)用戶名列表 防止方法 1 禁止空連接進(jìn)行枚舉(此*作并不能阻止空連接的建立) 運(yùn)行regedit，找到如下主鍵[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA]把RestrictAnonymous = DWORD的鍵值改為：1 如果設(shè)置為"1"，一個(gè)匿名可以連接到IPC$共享，但限制通過這種連接得到列舉SAM帳號(hào)和共享等信息；在Windows 2000 中增加了"2"，限制所有匿名訪問除非特別授權(quán)，如果設(shè)置為2的話，可能會(huì)有一些其他問題發(fā)生，建議設(shè)置為1。 或在本地安全設(shè)置－本地策略－安全選項(xiàng)－在'對(duì)匿名連接的額外限制'中做相應(yīng)設(shè)置 2 禁止默認(rèn)共享 察看本地共享資源 運(yùn)行-cmd-輸入net share 刪除共享（重起后默認(rèn)共享仍然存在） net share ipc$ /delete net share admin$ /delete net share c$ /delete net share d$ /delete（如果有e，f，……可以繼續(xù)刪除） 停止server服務(wù) net stop server /y （重新啟動(dòng)后server服務(wù)會(huì)重新開啟） 禁止自動(dòng)打開默認(rèn)共享（此*作并未關(guān)閉ipc$共享） 運(yùn)行-regedit 找到如下主鍵[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters]把AutoShareWks（DWORD）的鍵值改為:00000000。 如果上面所說(shuō)的主鍵不存在，就新建(右擊-新建-雙字節(jié)值）一個(gè)主健再改鍵值。 這兩個(gè)鍵值在默認(rèn)情況下在主機(jī)上是不存在的，需要自己手動(dòng)添加。 3 關(guān)閉ipc$和默認(rèn)共享依賴的服務(wù):server服務(wù) 控制面板-管理工具-服務(wù)-找到server服務(wù)（右擊）-屬性-常規(guī)-啟動(dòng)類型-選已禁用 這時(shí)可能會(huì)有提示說(shuō)：XXX服務(wù)也會(huì)關(guān)閉是否繼續(xù)，因?yàn)檫€有些次要的服務(wù)要依賴于lanmanserver，不要管它。 4 屏蔽139，445端口 由于沒有以上兩個(gè)端口的支持，是無(wú)法建立ipc$的，因此屏蔽139，445端口同樣可以阻止ipc$入侵。 5 設(shè)置復(fù)雜密碼，防止通過ipc$窮舉出密碼。

  贊(10)

  回復(fù)(0)

  評(píng)論

  評(píng)論

  登錄后參與評(píng)論