IPC $の「悪意」の使用

それはデフォルトのスケジュールされたタスクが共有やリモート管理者レベルの権限またはアカウントに対応する動作を持っているかどうか。

IPC $とは何ですか

$ IPC （インターネット接続プロセス）プロセス間通信を可能とすることにより、名前付きパイプを開くことで、共有リソース、「名前付きパイプ」、信頼されたユーザー名とパスワードを提供するセキュアなチャネルと、このチャネルを確立することができる2つの側面を接続し、リモートコンピュータへのアクセスを可能にする、データ交換を暗号化。デフォルトでは、業務管理者レベルの権限を共有したり、親戚のアカウント、およびセキュリティポリシーで共有モデルを変更することができます。

いわゆる空気接続：空の接続時にユーザー名とパスワードを指定することでnet use \\IP\IPC$ "" /user:""、そのようなA接続を確立することができますが、何も権限があります。

使用IPC $

例IPC $によって、ほとんどのオンライン攻撃はで、トロイの木馬のファイルをアップロードし、リモートホストのデフォルトの共有フォルダでは開かれていat命令ますが、直接得ることができるので、スケジュールされたタスクの実行モードを追加SYSTEMシェル許可を。

しかし、その要件もありIPC$、既定共有が存在は、あなたがファイルをアップロードすることができますが、もし他のホストIPC $はそう、削除されたが、コマンドでスケジュールされたタスクによる方法はありません。

次のように記録されたプロセス：

net use \\靶机IP（或者计算机名）\ipc$プローブは、リモートホストに接続することができる独自のユーザー名とパスワードを使用します（コマンドは、デフォルトでは現在のユーザーアカウントとパスワードの試行を使用しています）
トロイの木馬のコピーcopy 木马文件 \\靶机\靶机路径
at \\靶机IP 时间木马

実行のwin7の将来のバージョンでatコマンドの実行が報告されます：「ATコマンド廃止されている、SchTasks.exeを使用してください」、（2012R2を含む）前に2012年に少なくともバージョンでは、彼のために気にしない、それは使用可能ですが、私は思うここかATコマンドを使用します。

ATコマンドのためのタスクの権限を作成するには、SYSTEMアップしていると、シェルを実行すると、SYSTEMです。

ATコマンドの動作モードがあるタスクを作成するには：ユーザーがスケジュールされたタスクを実行するためにログインするかどうか。

schtasksこのコマンドは、リモートホスト上のタスクを作成する場合は、リモートホストのAdministratorsグループにユーザーを必要としています。

schtasksデフォルトのユーザー権限を指定するためのタスクを作成するだけでなく、ユーザーがスケジュールされたタスクを実行するためにログインする必要があり。あなたができる/RUユーザーがログインしていない場合には（SYSTEMなど）を実行、ユーザーオプションを指定して、このタスクを実行するように指定することができます。
schtasks /create /s \\远程主机 /u 用户名 /P 密码 /tr "执行的操作" /tn 任务名 /st 开始时间 /sc once /ru "SYSTEM" /f

ターゲットマシンの共有ファイルフォルダへの接続方法について

弱いパスワードを吹き、それは従来の方法です。
別のケースでは、ターゲットホストゴーストモードインストールを使用して、その代わりに同じホストゴーストイメージを使用している場合は、同じ権利で同じSIDを持つことになります、ネットのシェアを指示することができるはずです。

また、あなたはできるwmicリモートでコマンドを実行するコマンド：
ビスタ/ 2008年以降導入、Windowsのコマンドは、WMIC、リモートコンピュータを操作することができます。権利の問題パスに注意して（成功のための戻り0、戻り9つのショーはアクセスが拒否されました）

操作：

リモートシステムが開始する必要がWindows Management Instrumentationサービスを
リモートシステムでのローカルセキュリティポリシーが网络访问: 本地帐户的共享和安全模式に設定されています经典-本地用户以自己的身份验证

wmic /node:目标 /user:用户名 /password:密码 process call create "执行的命令"

詳細な使用方法は、参照することができCMDコマンドラインよりも強力：浸透を使用した後、WMIC

IPC $を削除します。net share IPC$ /del
回復IPC $：net share IPC$