網絡安全知識 詳解IPC$攻擊及防御

　　不過話雖這樣說,但我個人認為這些文章講解的并不詳細,對于第一次接觸ipc$的菜鳥來說,簡單的羅列步驟并不能解答他們的許多迷惑。 

　　二 什么是ipc$

　　IPC$(Inte.net Process Connection)是共享"命名管道"的資源(大家都是這么說的)，它是為了讓進程間通信而開放的命名管道，可以通過驗證用戶名和密碼獲得相應的權限,在遠程管理計算機和查看計算機的共享資源時使用。

　　利用IPC$,連接者甚至可以與目標主機建立一個空的連接而無需用戶名與密碼(當然,對方機器必須開了ipc$共享,否則你是連接不上的)，而利用這個空的連接，連接者還可以得到目標主機上的用戶列表(不過負責的管理員會禁止導出用戶列表的)。

　　我們總在說ipc$漏洞ipc$漏洞,其實,ipc$并不是真正意義上的漏洞,它是為了方便管理員的遠程管理而開放的遠程網絡登錄功能,而且還打開了默認共享,即所有的邏輯盤(c$,d$,e$......)和系統目錄winnt或windows(admin$)。

　　所有的這些,初衷都是為了方便管理員的管理,但好的初衷并不一定有好的收效,一些別有用心者(到底是什么用心?我也不知道,代詞一個)會利用IPC$，訪問共享資源,導出用戶列表,并使用一些字典工具，進行密碼探測,寄希望于獲得更高的權限,從而達到不可告人的目的。

　　解惑:

　　1)IPC連接是Windows NT及以上系統中特有的遠程網絡登陸功能，其功能相當于Unix中的Telnet,由于IPC$功能需要用到Windows NT中的很多DLL函數，所以不能在Windows 9.x中運行。

　　也就是說只有nt/2000/xp才可以建立ipc$連接,98/me是不能建立ipc$連接的(但有些朋友說在98下能建立空的連接,不知道是真是假,不過現在都2003年了,建議98的同志換一下系統吧,98不爽的)

2)即使是空連接也不是100%都能建立成功,如果對方關閉了ipc$共享,你仍然無法建立連接

　　3)并不是說建立了ipc$連接就可以查看對方的用戶列表,因為管理員可以禁止導出用戶列表

　　三 建立ipc$連接在hack攻擊中的作用

　　就像上面所說的,即使你建立了一個空的連接,你也可以獲得不少的信息(而這些信息往往是入侵中必不可少的),訪問部分共享,如果你能夠以某一個具有一定權限的用戶身份登陸的話,那么你就會得到相應的權限,顯然,如果你以管理員身份登陸,嘿嘿,就不用我在多說了吧,what u want,u can do!!

　　(基本上可以總結為獲取目標信息、管理目標進程和服務,上傳木馬并運行,如果是2000server，還可以考慮開啟終端服務方便控制.怎么樣?夠厲害吧!)

　　不過你也不要高興的太早,因為管理員的密碼不是那么好搞到的,雖然會有一些傻傻的管理員用空口令或者弱智密碼,但這畢竟是少數,而且現在不比從前了,隨著人們安全意識的提高,管理員們也愈加小心了,得到管理員密碼會越來越難的:(

　　因此今后你最大的可能就是以極小的權限甚至是沒有權限進行連接,你會慢慢的發現ipc$連接并不是萬能的,甚至在主機不開啟ipc$共享時,你根本就無法連接。

　　所以我認為,你不要把ipc$入侵當作終極武器,不要認為它戰無不勝,它就像是足球場上射門前的傳球,很少會有致命一擊的效果,但卻是不可缺少的,我覺得這才是ipc$連接在hack入侵中的意義所在。

　　四 ipc$與空連接,139,445端口,默認共享的關系

　　以上四者的關系可能是菜鳥很困惑的一個問題,不過大部分文章都沒有進行特別的說明,其實我理解的也不是很透徹,都是在與大家交流中總結出來的.(一個有良好討論氛圍的BBS可以說是菜鳥的天堂)

　　1)ipc$與空連接:

　　不需要用戶名與密碼的ipc$連接即為空連接,一旦你以某個用戶或管理員的身份登陸(即以特定的用戶名和密碼進行ipc$連接),自然就不能叫做空連接了。

　　許多人可能要問了,既然可以空連接,那我以后就空連接好了,為什么還要費九牛二虎之力去掃描弱口令,呵呵,原因前面提到過,當你以空連接登陸時,你沒有任何權限(很郁悶吧),而你以用戶或管理員的身份登陸時,你就會有相應的權限(有權限誰不想呀,所以還是老老實實掃吧,不要偷懶喲)。

         2)ipc$與139,445端口:

　　ipc$連接可以實現遠程登陸及對默認共享的訪問;而139端口的開啟表示netbios協議的應用,我們可以通過139,445(win2000)端口實現對共享文件/打印機的訪問,因此一般來講,ipc$連接是需要139或445端口來支持的。

　　3)ipc$與默認共享

　　默認共享是為了方便管理員遠程管理而默認開啟的共享(你當然可以關閉它),即所有的邏輯盤(c$,d$,e$......)和系統目錄winnt或windows(admin$),我們通過ipc$連接可以實現對這些默認共享的訪問(前提是對方沒有關閉這些默認共享)

[1]     

原文轉自：http://www.kjueaiud.com