图7 远程FTP访问
图8 数据捕获窗口
图9 显示捕获数据
可以看到远程主机B访问主机A上的FTP服务时输入的用户名“ftp-user”，密码“ftp-user-password”，登录成功后做的操作“NLST”，以及退出操作“QUIT”。
图10 表达式筛选
如果监听的数据量很大，则可单击【Windows网络监视器】窗口菜单“显示”→“筛选器(F)…”，选中左侧对话框中的“Protocol = = Any”，单击“编辑表达式(P)…”→“全部禁用”；在右侧“被禁用的协议”对话框中选择“FTP”协议，单击“启用(E)”按钮，运行结果如图10所示。
单击“确定”按钮回到【显示筛选器】窗口，再单击“确定”按钮，出现筛选后的FTP访问信息，可以清楚地看到完整的远程访问FTP服务过程，如图11所示。
图11 筛选后的数据
由此可见，用网络监听技术可以捕获多数明文数据的敏感信息。 3、系统服务入侵与防范
基于认证的网络服务攻击主要有针对IPC$、Telnet和计算机管理三种入侵技术，攻击的前提是，使用这些服务的用户名和密码过于简单，已经被入侵者掌握。常用的DOS网络入侵命令如下：
? net user：系统帐号类操作； ? net localgroup：用来管理工作组； ? net use：远程连接、映射操作； ? net send：信使命令；
? net time：查看目标计算机的系统时间； ? at：用来建立计划任务；
? netstat -n：查看本机网络连接状态；
? nbtstat -a IP：查看指定IP主机的NetBIOS信息。
可以参照Windows系统F1帮助文件中的“命令行”来了解这些命令的详细描述和参数。
4、木马实例入侵实例
灰鸽子是国内第三代木马的标准软件，也是国内首次成功地使用反弹端口技术中第二种方式创建的木马，同时也支持传统方式连接，具有强大的远程控制功能，并且能够方便地控制动态IP地址和局域网内的远程主机。灰鸽子的主界面如图12所示。
图12 灰鸽子主界面
灰鸽子可以控制系统为Windows 9X/me/NT/2000/XP/2003的远程主机，当服务端设置成自动上线型时，可以有外网控制外网、外网控制内网及同在一局域网三种控制方式；当服务端配置为主动连接型时，可以有外网控制外网、内网控制外网及同在一局域网三种控制方式。其中外网为有互联网IP地址的计算机，内网为在局域网内部可以上网的计算机，如网吧中的普通计算机。
使用灰鸽子“反弹端口”进行连接的一般思路为：设置中间代理，配置服务程序，种植木马，域名更新IP，等待远程主机自动上线，控制远程主机。
⑴ 设置中间代理
灰鸽子使用的是反弹端口技术的第二种连接方式，是通过免费域名提供的动态IP映射来实现中间代理，下面介绍具体的设置方法。
在配置服务器端程序之前，需要申请动态域名，动态域名是随时可以更新映射IP的域名，这种域名恰恰实现了“中间代理”保存客户端IP、端口的功能。这里建议使用灰鸽子自带的功能来申请126.com域名。
打开灰鸽子客户端后，选择“文件(F)”→“自动上线”或单击如图13所示主界面上“自动上线”按钮来打开【自动上线】窗口，然后选择“注册免费域名”选项卡，申请126.com免费域名。各参数填好后单击“注册域名”按钮进行注册，参数填写如图14所示。
图14 注册域名
各参数功能解释如下：
? “域名”：只要满足域名书写规范(字母、数字、下划线)，并且没有被注册的域名即可。
? “密码”：用来管理域名的密码。
? “您的E-mail”：用来和入侵者联系的E-mail。如果填入的E-mail不存在同样可以注册成功。
? “本机IP地址”：填入一个对远程主机可见的IP地址，以后远程主机就用这个IP地址与入侵者联系。
现在来验证免费域名是否注册成功，打开浏览器，键入“http://WinVsWin.126.com”，如果回显中含有本机IP地址，那么就说明申请中间代理成功。
2. 配置服务程序
成功申请了中间代理之后，下一步就要对木马服务端程序进行设置。首先，选择“文件(F)”→“配置服务程序”或单击主界面上的“配置服务程序”按钮打开【服务器配置】窗口，进行如下设置。
(1) 选择“连接类型”选项卡，然后选中“自动上线型”并填入刚才注册的域名，这个域名是用来让远程主机主动去连接的(对应第二种反弹端口方式中的第(2)步)，其他的不变，如图6.23所示。
(2) 选择“安装信息”选项卡，填好后如图15所示。
图15 连接类型设置