ネットワークの普及 - を維持するためのアクセス許可

まず、権利の維持します：

攻撃者のアクセス許可は通常、次のはるかに便利に、移植後のサーバのバックドアを取得するには、攻撃者が彼らの現在の権利を維持するためにバックドア技術の一部を使用して、サーバーを取得した場合。

攻撃が見つけることができるので、それは、特権を維持するためにバックドアを残すことが必要である、目標の損失が生じ、連続制御の目的は、シェルの一部を削除します。

第二に、Windowsシステムのログインアカウントを取得します：

システムログインアカウントストアの場所：C：\ WINDOWS \ System32に\ CONFIG \ SAM。

Windowsシステムでは、SAM（セキュリティアカウントマネージャ、セキュリティアカウント管理）メカニズムを使用して、ユーザーアカウント、ユーザーアカウントやハッシュ暗号化後のパスワードのセキュリティ管理では、SAMデータベースに格納されています。

Cに保存されたSAMデータベース：\ WINDOWS \ SYSTEM32 \ CONFIG \ SAMファイル、ユーザーがシステムにログインしたときに、私たちが最初にログインする前に経由確認し、SAMファイルに保存されているアカウント情報と比較されなければなりません。SAMファイルシステムは、直接ではなく内容を読むことができない、それをコピーまたは削除、保護を提供します。

• SAMファイル2つの暗号化モード：

LM暗号化：パスワードアップ、パスワードが14未満である場合には、より少ない0でいくつかのパディングより14、すべてが暗号化された各グループにおいて7が、その後一緒にスプライス、最終的なもので、大文字に変換され、次いで、2つのグループに分けLMハッシュ、基本的にDES暗号化。

NTLMの暗号化は：第1の暗号化一方向ハッシュMD4標準、その後、エンコードされたユーザーのパスワードをUnicodeに変換しました

それは長いNTLM暗号化されたパスワードを使用することができますので、LMは、多くの異なる敏感でなく、より小さく、より簡単に割れたブロックにパスワードなしでできるように、NTLMの暗号化セキュリティ暗号化よりも低いです。NTLMので、純粋な環境の中で、閉じられた蘭マネージャー暗号化する必要があります。

管理者：500：AAD3B435B51404EEAAD3B435B51404EE：AFFFEBA176210FAD4628F0524BFE1942 ::: 注：AFは42にパスワードです

• 無料非ツールのバージョンを殺すために：

wce.exe

QuarksPwDump.exe

Pwdump7.exe

gethash.exe

mimikatz

• Windowsの管理者パスワードを読み取ります。

使用レジストリエクスポートハッシュ：	\ハッシュ\ sam.hive：HKLM \ SAM C保存REG REG HKLM保存\システムのC：\ハッシュ\ system.hive
エクスポートSAMファイル：	シャドウコピー（一般的に、ドメインコントローラで使用されるとき、数万ユーザー）
その他の方法：	ProcDump（またはlsadump）+ mimikatz PowerShellの+ mimikatz のPowerShell + getpasshash PowerShellを他のツール+

• ハック：

オンラインハック：	http://cmd5.com https://somd5.com
ローカルブレイク：	ブルートフォース LM暗号化 カイン
NTLM暗号化：	ophcrack +レインボーテーブル（レインボーテーブルをダウンロードします。http：//ophcrack.sourceforge.net/tables.php）

• 明示の原則アカウントをクロール：

LSASS.EXE直接亀裂にパスワード情報の処理から得られ、クラックがないべき網羅方法が、直接逆計算アルゴリズムに従って。

LSASS.EXEは、ローカルセキュリティ機関サービスのためのシステムプロセスです。

• 注意事項

（1）LMは、パスワードが14より大きい場合、自動的にNTLMを使用してWindowsのみハッシュ対応NTLM利用可能である暗号化、LM-パスワード完全0になり、14文字以下の暗号ハッシュを格納することができますディスプレイ。

一般ハッシュツールを使用して、（2）古いよりも除いて、対応する派生値LMとNTLM、パスワード<= 14の数は、次に値LMが存在するであろうと言うことで、LMの0を有しますバージョンは、LMを参照してください。aad3b435b51404eeaad3b435b51404ee表示を開始すると、パスワードが空白であるか、14個の以上の数字を示しています

WIN2K3がWIN2K3 LM暗号化などの前に（3）は、NTLMを使用して、システムWIN2K3無効LMの暗号化、暗号化した後、デフォルトで有効になって

（4）LM方式的加密会存在一个对应的NTLM hash值

获取linux/unix系统登陆账号：

linux/unix账号信息存储位置：	/etc/passwd /etc/shadow
root:$1$Bg1H/4mz$X89TqH7tpi9dX1B9j5YsF.:14838:0:99999:7:::	当id为1时，使用md5加密，id为5，采用SHA256进行加密，id为6采用SHA512进行加。
破解：	John the ripper

安装后门程序：

• 常见的后门技术列表：

1、	攻击者在获取服务器权限后，通常会用一些后门技术来维持服务器权限，服务器一旦被植入后门，攻击者如入无人之境。
2、	隐藏、克隆账户。
3、shift后门：	原理：          利用cmd.exe重命名，并覆盖原来的粘连键。当我们再次触发粘连键时，相当于运行了cmd.exe  流程：          使用以下命令，将cmd.exe 重命名并替换掉shift（粘滞键）(sethc.exe)功能，这样在通过远程桌面登录服务器之后，在输入帐号密码处，按5次shift即可弹出cmd的命令行，权限为system。
4、	启动项、计划任务。
5、DLL劫持技术：	原理：         你安装了酷狗播放器，而酷狗播放器在播放音乐的时候必须调用Windows系统下一个标准动态链接库mp3play.dll，那么黑客就自己开发一个恶意的mp3play.dll，然后再找一个MP3歌曲，将这个恶意的DLL和歌曲放在同一个文件夹下，然后打包压缩发给受害者。 注：         如果受害者用右键将这个压缩包中的MP3文件和DLL文件都解压缩到了一个目录中（90%的人会这样干），那么当受害者点击这个MP3文件的时候，酷狗就会先去寻找mp3play.dll进行加载，而微软设计的加载dll顺序是先从默认文件本身的目录进行寻找，于是那个虚假的、恶意的mp3play.dll就先被加载运行了。
6、	Powershell后门。
7、	远控软件。