2024年5月7日发(作者：泥卿)
维普资讯
ｌ技术实用技术
｝ＮｅＩ ｒＯＩ’ｋ‘殳ＣＯＩｌｌＰ Ｌｌｌｅ ｒ Ｓ ｅｃ Ｌｌ ｒｉＩＹ
与３３８９端口相关的漏洞分析和解决方法
解放军信息工程大学电子技术学院 张立航潘正运
兰州大学信息科学与工程学院
摘要
贾雪梅
该文介绍了Ｗｉｎｄｏｗｓ系统存在的输入法隐患一与５５８９端口相关的漏洞及其缺陷，讨论了它的成因，如何
发现系统是否存在此漏洞，漏洞可利用的方式，在分析的基础下，对此漏洞提出了解决方案。
关键词５５８９端口输入法隐惠解决方案
地溢出Ｅｘｐｌｏｉｔ，然后用ＦＴＰ打开这个文件，就可将所有的东西
一
、
与３３８９端口相关的输入法漏洞介绍
下载下来。下载完之后我们就得到一个反向连接过来的Ｓｈｅｌｌ，
添加一个管理员账号，看有没有别的用户登录，如果有的话，
随着计算机技术，网络技术的飞速发展和普及应用，网络
安全已日渐成为人们关注的焦点问题之一，各种系统漏洞层出
不穷，攻击者能够利用这些漏洞攻击目标主机。输入法漏洞是
使用嗅探工具找到其他的密码，或者配合一些插件获取登录时
候的密码。对于除了开一些像ＴＣＰ ２１，８０端口以外，其他端
几都被过滤掉，只有找一个已获取权限的账户做一个接力赛，
若有台８０端口的服务器，做一个中转，先停掉ＷＷＷ服务，然
后监听８０和３３３３这２个端口，其中８０端口是对刚才溢出的机
器把３３８９的数据重定向过来的，而３３３３是等待连接的端口。
如刚一运行就有访问Ｗｅｂ（８０）的数据，将监听工具上传到刚才
提好权限的机器上面，连接本地的３３８９端口和远程机器的８０
端口一最好这两个程序同时运行，这时我们用终端客户服务端
连接到３３３３端口，中间通过若干数据转发，就可进行连接了，
再次扫描一下，３３８９的端口就可以访问了。
系统漏洞的一种，当安装系统时，其中有一项是超级终端服务，
该服务所开放的端口号为３３８９，３３８９是Ｗｉｎｄｏｗｓ的一个正常
的服务，只是没有打上１１、丁而开的３３８９（终端服务）端口，它是
微软为了方便用＿ｒＬＩ远程管理而设，攻击者可以利用输入法漏洞
来入侵。中文Ｗｉｎｄｏｗｓ ２０００存在有输入漏洞，其漏洞就是用
户在登录Ｗｉｎｄｏｗｓ ２０００时，利用输入法的帮助文件可以获得
Ａｄｍｉｎｉｓｔｒａｔｏｒｓ组权限。通过３３８９入侵系统，可以说是入侵者
的最爱，因为可以通过图形 而，就像操作本地计算机一样来
控制远程计算机。
（２）Ｗｉｎｄｏｗｓ２０００ Ｐｒｏｆｅｓｓｉｏｎａｌ的３３８９终端服务
二、对开３３８９端口的
输入法漏洞主机的发现和控制
１
．
Ｗｉｎｄｏｗｓ２０００ Ｐｒｏｆｅｓｓｉｏｎａｌ并不支持３３８９终端服务，只
有Ｗｉｎｄｏｗｓ２０００ Ｓｅｒｖｅｒ版以上才能安装终端服务，其实Ｗｉｎ～
ｄｏｗｓ ２０００的各个版本都使用了同样的程序、动态链接库，它
们之间最大的差别是在注册表中，Ｗｉｎｄｏｗｓ ２０００三合一光盘
就证明了这一点。因此只要将Ｐｒｏｆｅｓｓｉｏｎａｌ版的注册表中的相
通过扫描来获取开３３８９端口的输入法漏洞的主机
对某一公网ＩＰ段主机采用多线程方式进行扫描，可获取
远程操作系统的类型、版本、标准端口，收集所扫描主机是否
存在ＳＱＬ－ＳＥＲＶＥＲ、ＳＭＴＰ－ＳＥＲＶＥＲ、ＦＴＰ—ＳＥＲＶＥＲ、
ＰＯＰ３－ＳＥＲＶＥＲ、ＮＴ－ＳＥＲＶＥＲ弱口令，ＮＴ服务器ＮＥＴＢＩＯＳ
信息，ＮＴ服务器ＮＥＴＢ１０Ｓ信息、注册表信息等。
关项目改为Ｓｅｒｖｅｒ及以上版本，就可以在Ｐｒｏｆｅｓｓｉｏｎａｌ版中安
装终端服务了。对于Ｗｉｎｄｏｗｓ２０００ Ｐｒｏｆｅｓｓｉｏｎａｌ的主机，将
专业版的主机用转换工具转换后，对获得账户的主机Ｔｅｌｎｅｔ上
后，查看已变为Ｓｅｒｖｅｒ版，将如下的注册表键值导入肉鸡的注
册表中：
Ｗｉｎｄｏｗｓ Ｒｅｇｉｓｔｒｙ Ｅｄｉｔｏｒ Ｖｅｒｓｉｏｎ ５．００
（１）论坛或有ＦＴＰ服务的主机利用
对扫描结果，找一个容易突破的地方，或者是通过ＲＰＣ
ＤＣ０Ｍ之类的漏洞，或通过往ＣＧＩ论坛注入一些代码，从突
破的地方得到一个ＳｈｅＵ。Ｓｅｒｖｅｒ－Ｕ的问题也可以利用，先扫
描后，看看Ｗｉｎｄｏｗｓ２０００系统的版本及开了那些服务，打了
那些补丁。对于存在的Ｓｅｒｖｅｒ－Ｕ，ＦＴＰ Ｓｅｒｖｅｒ，可通过本地
提升权限进行溢出，写个小的文件到此主机，并让它下载到本
Ⅱ｛Ｉ ：１ ０Ｃ ＭＡａ眦
“Ｅｎａｂｌｅｄ“＝“０“
ＡＩ Ｍ０（匝＼Ｗｈ ＯⅡＥｒｔＶ＿日 ｔ、 叫
时｝ｑ ＩＯＣ越 ＭＡ ｍ Ｍｂ（ Ｗｈｂ Ｔ＼Ｏ班ｍ ｎ 、Ⅵ 田
‘‘ＳｈｕｔｄｏｗｎＷｉｔｈｏｕｔｌｏｇｏｎ＝“０“
Ｋ＼ １ＱＣ Ｍ 、 Ｎ ｛Ｅ ｄ 、 ｃ 献、 、
计算虮安呈２。。６・９ ２６
维普资讯
“ＥｎａｂｌｅＡｄｍｉｎＴＳＲｅｍｏｔｅ”＝ｄｗｏｒｄ：０００００００１
［ＨＫＥＷＺ￣）ＣＡＬ￣ＭＡＣＨ１ＮＥ７ ＳＹＳＴＥＭ，ＣｍＴｍｔＣｍｔｍｌＥｅｔ＼Ｓｅｔｖｋｘｓ．．．．ＴｅｒｍＤＤＪ
“Ｓｔａｒｔ”＝ｄｗｏｒｄ：０００００００２
［ＨⅪ １ ０ｃＡＩ ＭＡＣＩｍ岖、ＳＹｓＴ Ｍ、ＣⅢ日１ｔＣ［１１ｈｄＳ鱼 Ｏｅｓ、 １ １ 玑 删
Ｓｔａｒｔ”＝ｄｗｏｒｄ：０００００００２
［ＨＫＥＹ ＵＳＥＲ ．ＤＥＦＡＵＩ Ｔ，Ｋｅｙｂｏａｒｄ Ｌａｙｏｕ Ｔｏｇｇ１ｅ】
”Ｈｏｔｋｅｙ”＝’’１”．
ｃｏｎｔｒｏｌｓｅｔ、Ｃｏｎｔｒｏｌ＼Ｔｅｒｍｉｎａｌ ｓｅｒｖｅｒ＼Ｗｉｎｓｔａｔｉｏｎｓ＼Ｒｄｐ－
通过使用“ｒｏｔ．ｖｂｓ”脚本
ｔｃｐ＼ｆＥｎａｂｌｅＷｉｎＳｔａｔｉｏｎ，将“ｆＥｎａｂｌｅＷｉｎＳｔａｔｉｏｎ”的值由０改
Ｓｃｒｉｐｔ ＲＯＴＳ．ｖｂｓ＜目标ＩＰ＞＜用户名＞＜密码＞［月艮务端
口】【自动重启选项】
重启后即可对此漏洞进行利用。
（３）Ｌｉｎｕｘ通过３３８９端口遥控Ｗｉｎｄｏｗｓ
在Ｌｉｎｕｘ中配置好终端服务的控制端，在“添加／删除
为ｌ，点击“确定“就可远程登录主机了；或通过利用３３８９．
ｖｂｅ，运行命令：ｃｓｃｒｉｐｔ ３３８９．ｖｂｅ｝．｝．｝．｝管理员账户
码” ／ｆｒ；或上传３３８９．ｂａｔ：
“密
：ｅｃｈｏ［Ｃｏｍｐｏｎｅｎｔｓ］＞ｃ：＼ｓｑｌ
ｅｃｈｏ ＴＳＥｎａｂｌｅ＝ｏｎ＞＞ｃ：＼ｓｑｌ
ｓｙｓｏｃｌｎｇｒ／ｉ：Ｃ：＼ｗｉｎｎｔＸｉｎｆ＼ｓｙｓｏｃ．ｉｎｆ／ｕ：Ｃ：＼ｓｑｌ／ｑ，
Ｗｉｎｄｏｗｓ组件”窗口中选中“终端”服务后，将模式设置为
“远程管理模式”并予以安装。就可以让Ｌｉｎｕｘ通过终端命令
￥ｒｄｅｓｋｔｏｐ Ｕ“账户名”、“ＩＰ地址”遥控Ｗｉｎｄｏｗｓ。
２
．
通过批处理文件建立长久的控制，如在ｔｅｌｎｅｔ下直接建立批处
理文件即可，首先键入“ｃｏｐｙ ｃｏｎ ３３８９．ｂａｔ”，写完后，按
对开３３８９端口的输入法漏洞主机进行长期的控制
“ｃｔｒｌ＋ｚ”，则在１二作文件夹下生成一个批处理文件，隐藏它，就
可以长期有效，就可以远程连接了。
实现通过３３８９端口登录系统，切换输入法直至在左下角
对Ｗｉｎ ｄ Ｏ Ｗ Ｓ ２ ０ ０ ０的终端客户服务端隐藏，用
终端客户服务端连接远程主机时，了解进程察看的
人会通过Ｗ ｉ ｎ ｄ Ｏ Ｗ Ｓ任务管理器不时察看在用进
程，所以应做到对终端客户服务端的进程、文件进
行隐藏。在ｔ ｅｌ ｎ ｅ ｔ上对方时，可使用上传的工具
将出现输入法状态条。用右键点击状态条上的徽标，弹出“帮
助“（如果发现“帮助”呈灰色，对方发现并已经不上了这个
漏洞），打开“帮助“一栏中的“操作指南”，在最上面的任务
栏点击右键，会弹出一个菜单，打开“跳至ＵＲＬ”。此时将出
现Ｗｉｎｄｏｗｓ２０００的系统安装路径和要求我们添入的路径的空
白栏。比如，该系统安装在Ｃ盘上，就在空白栏中填入“Ｃ：
＼ｗｉｎｎｔＸｓｙｓｔｅｍ３２＼”，然后按“确定”，于是我们就成功地绕过
了身份验证，进入了系统的ｓｙｓｔｅｍ３２目录。在该目录下找到
“
ｈ Ｘ ｄ ｅ¨０ ０对终端程序进行隐藏。或者对终端服务
的端口进行修改，打开注册表，找到类似的键值：
ＨＫＥＹ—ＬＯＣＡＬ
ＭＡＣＨＩＮＥ＼Ｓｙｓｔｅｍ＼ＣｕｒｒｅｎｔＣｏｎｔｒｏｌ
ＳｅｔＣｏｎｔｒｏｌ＼ＴｅｒｍｉｎａｌＳｅｒｖｅｒ＼Ｗｄｓ＼Ｒｅｐｗｄ＼ＴｄｓＸＴｃｐ
看到Ｐ Ｏ ｒ ｔ ｎ ｕ ｍ ｂ ｅ ｒ，ｏ ｘ ｄ ３ ｄ是个１ ６进制值，只要
选择十进制，就会看到３ ３ ８ ９，把它改过来就可防 ｎｅｔ．ｅｘｅ”，为“ｎｅｔ．ｅｘｅ”创建一个快捷方式，右键点击该快捷
止远程主机用户检查任务管理器察看进程的Ｔ Ｃ Ｐ
连接端口发现连接到终端客户服务的３ ３ ８９端口。并且
修改：Ｈ Ｋ Ｅ Ｙ—Ｌ Ｏ Ｃ Ａ Ｌ—Ｍ Ａ Ｃ Ｈ Ｉ Ｎ Ｅ＼Ｓ Ｙ ＳＴＥＭ＼
ＣＵｒｒｅｎｔＣＯｎｔｒｏｌＳｅｔ＼ＣＯｎｔｒｏｌ＼ＴｅｒｍｉｎａｌＳｅｒｖｅｒ＼
方式，在“属性”一＞“目标”一＞“Ｃ：＼ｗｉｎｎｔ＼ｓｙｓｔｅｍ３２Ｅｎｅｔ．
ｅｘｅ”后面空一格，填入“ｕｓｅｒ ｇｕｅｓｔ／ａｃｔｉｖｅ：ｙｅｓ”点“确定”。
这一步的目的在于用“ｎｅｔ．ｅｘｅ”激活被禁用的Ｇｕｅｓｔ账户，当
然也可以利用“ｕｓｅｒ用户名密码／ａｄｄ”，创建一个新账户，
但容易引起怀疑，但Ｇｕｅｓｔ自己已被激活。然后再修改该快捷
ＷｉｎＳｃａｔｉ０ｎ＼ＲＤＰ—Ｔｃｐ下的ＰｏｒｔＮｕｍｂｅｒ值，默认是３３８９，我
们改成任何其他十进制数据。然后重启远主机即可。
终端客户服务端连接成功后，为做到长期的控制，可上传
一
方式，填入“ｕｓｅｒ ｇｕｅｓｔ密码”，运行，于是Ｇｕｅｓｔ便有了密
码。最后，再次修改，填入“ｌｏｃａｌｇｒｏｕｐ ａｄｍｉｎｉｓｔｒａｔｏｒｓ ｇｕｅｓｔ
／ａｄｄ”，将Ｇｕｅｓｔ变成系统管理员。
个处理过的木马服务端，运行后，将一个不常使用的服务程
序改为木马的服务端程序，通过木马控制远程主机。
对于曾入侵过的远程主机，为了避免被跟踪，采用一些工
具清除日志或者使用以下的方法：通过ＩＰＣ￥连接或是ｔｅｌｎｅｔ
到对方上，上传Ｗｉｎ２０００自带的工具到对方＼￥ａｄｍｉｎ目录下，
将我们建立的批处理文件：包含停止ｗ３ｓｖｃ服务，停止进程
ｅｖｅｎｔ．１ｏｇ，删除根目录中ｌｏｇｆｉｌｅｓ下的文件及日志文件，然后上
传到对方的根目录下。最后到事件察看器中重删除所有的日
三 与３３８９端口相关的
输入法漏洞的解决方案
统计发现，经过精心配置的Ｗｉｎｄｏｗｓ ２０００￣务器可以防
止９０％以上的入侵和渗透，但是，系统安全是一个整体，是一
个连续的过程，随着新漏洞的出现和服务器应用的变化，系统
２７ Ｉ计算觚安呈２００６．９
维普资讯
技术实用技术
Ｎｅ【、 Ｏ ｒｋ＆Ｃｏｎ１Ｐｕｌｅｌ‘Ｓｅｃ Ｌｌ ｒｉｌｙ
的安全状况也在不断变化着。３３８９为终端客户服务的端ｇｌ，此
问题的解决依赖于管理和技术两个方面，可通过屏蔽端口，设
他主机的相同的应用程序进行通信。
对于ｔｅｌｎｅｔ服务：允许远程用户登录到系统并且使用命令
行运行控制台程序。 置防火端，安装杀毒软件，代理上网，及停止不必要的多余系
统服务等措施。
１
、
Ｔｅｒｍｉｎａｌ Ｓｅｒｖｉｃｅ服务：提供多会话环境，允许客户端设
备访问虚拟的Ｗｉｎｄｏｗｓ２０００Ｐｒｏ－
及时升级输入法，对系统及时打补丁
为了自己的主机安全，我们通常都下载最新的输入法版
本，虽然这 是万全之策，但也算对系统作了必要的维护。
对于初安装的系统，应当尽可能全地打上各种补丁，像
Ｗｉｎｄｏｗｓ ２０００ ＳＰ４，Ｗｉｎｄｏｗｓ ＸＰ ＳＰ２等。防止此漏洞被攻
击者利用。
２
、
Ｆｅｓｓｉｏｎａｌ桌面绘画，以及运行于其上面的Ｗｉｎｄｏｗｓ
程序。
Ｔａｓｋ Ｓｃｈｅｄｕｌｅｒ服务：允许程序在指定时间运行。
Ｗｏｒｋｓｔａｔｉｏｎ服务：提供网络链接和通讯。
对以上四种服务，均可以停止，点击“开始一设置一控制
端口封锁
面板一管理工具一服务”对某项服务双击依次在“常规”的启
动类型中，选择“已禁用”，在“登录“中选择“禁用”后点击
“确定”即可。
在Ｗ．Ｉ］ｄｏｗｓ２０００／ＸＰ中，在管理工具中的本地安全策略
中进入一个集中管理控制台“本地安全设置”主界面。通过菜
单栏上的命令设置各种安全策略，进行导出列表及导入策略等
５、取消默认共享
ＷｉｎｄＯｗｓ２０００中加入了一些默认共享，这些共享是
操作。它主要包括账户策略，本地策略、公钥策略和ＩＰ安全
策略四大类。设置筛选器列表。在本地安全策略中的ＩＰ安全
策略从管理ＩＰ筛选器列表和筛选器操作添加ＩＰ筛选器。在管
理ＩＰ筛选器列表，分别填入名称和描述，接着对ＩＰ筛选器向
导设置原地址和目标地址。进入指定ＩＰ原地址后，在原地址
ａｄｎｌｉ ｎ￥，ｉ ＰＣ￥，Ｃ￥，ｄ￥等，其中ａ ｄｎｌｉｎ￥是指目录Ｃ：
＂
，
，
ｗｉｎｎｔ＼ｓｙｓｔｅｍ３２，最直接的方法就是删除这些默认共享，方法
就是修改注册表：
｝Ⅱ ＝Ｙ Ｉ ＯＣＡＩ．ＭＡａ姗、Ｓ、 ⅡＭ＼
中的任何ＩＰ地址下，在ＩＰ通讯目标中选择我的ＩＰ地址。在ＩＰ
协议类型中的选择协议类型下，选择ＴＣＰ，进入ＩＰ协议端口
ｌ ａ ｎ ｍ ａ ｎ ｓ ｅ ｒ ｖ ｅ ｒ＼ｐ ａ ｒ ａ ｎｌ ｅ ｔ ｅ ｒ ｓ下添加一双字节键
ＡｕｔｏＳｈａｒｅＷｋｓ＝０就可以了。不过，也可建立一个批处理文
件。
Ｎｅｔ ｓｔｏｐ ｓｃｈｅｄｕｌｅ／Ｙ
Ｎｅｔ ｓｔｏｐ ｒｅｍｏｔｅｒｅｇｉｓｔｒｙ／Ｙ
ｎｅｔ ｓｔｏｐ ｌａｎｍａｎｓｅｒｖｅｒ
框，因为大多数ＩＰ网络协议都建立在常用的ＩＰ端口上，所
以我们现在可以对这些端口进行设置。在筛选器向导的设
置ＩＰ协议端口里第一栏为任意端口，第二栏为到此端口并
添上“３３８９”。进行上述设置后。ＩＰ筛选器列表下多了一个
策略。进行筛选器操作。在管理筛选操作选项卡中的筛选操
作向导里添上禁用３３８９连接，并选择阻止，这样３３８９就被
禁用了。
３
、
保存为ｄｅｌｓｈａｒｅ．ｂａｔ，放到启动项里，每次开机自动删
除，如果需要开启可以直接使用命令：ｎｅｔ ｓｈａｒｅ ｉｐｃ￥打开
即可。
对系统账户的处理
这一个漏洞的存在，严重地破坏了Ｗｉｎｄｏｗｓ操作系统的
安全性，本文介绍了解决此漏洞的一些方法。但随着网络技术
的发展，新的漏洞将会不断出现，以上所提出的解决方法对新
系统账号很可能被人利用，Ｗｉｎｄｏｗｓ ２０００支持很多服务，
而且很多服务在安装完成后会有默认的账号，这些账号大部分
都是Ｇｕｅｓｔ组的，虽说如此，但是现在，已经有很多漏洞可以
利用它。以提升自己本地机的权限，像ｄｅｂｕｇ，ｎｅｔ ｄｄｅ等，所
以，开启着Ｇｕｅｓｔ组的账号仍然是很危险的。（其危险在于这
些ｇｕｅｓｔ账号在默认情况下密码都是为空）。因此，我们要禁用
不使用的账号和全部的Ｇｕｅｓｔ账号，如果需要外部人员访问服
务器的话，那么可以适当的开启Ｇｕｅｓｔ账号，但是一定要加上
密码。
４
、
出现漏洞的解决也提供了很好的解决方法。
参考文献
ｆ１】Ｉｃｅｙｅｓ．菜鸟先飞．黑客ｘ档案２００３－－２００４年舍订刊（中卷）：
４１２－４１ ６．
【２】（美）科默（Ｃｏｍｅｒ，Ｄ．Ｅ．）著，赵刚译。用ＴＣＰ／ＩＰ进行网
际互联。第１卷，客户～服务器编程与应用：Ｌｉｎｕｘ／ＰＯＳＩＸ套接
停用不必要的服务
字版／一北京：电子工业出版社，２００１．４．
在Ｗｉｎｄｏｗｓ２０００中，系统把所有的应用程序都注册为一
【５Ｊ曹国钧等编。Ｗｉｎｄｏｗｓ９８／２０００注册表应用４６０例。北京：科
学出版社，２００２．
个服务，所以可以说每个应用程序部拥有一个自己的套接字，
拥有自己的套接字就说明了该应用程序可以独立地在网络与其 【４】Ｓｉｎｉｃ．教育网内玩ｈａｃｋ．黑客防线２００４年第１１期．
计算南ｎ安至
２００６．９ ｉｌ ２８
2024年5月7日发(作者：泥卿)
维普资讯
ｌ技术实用技术
｝ＮｅＩ ｒＯＩ’ｋ‘殳ＣＯＩｌｌＰ Ｌｌｌｅ ｒ Ｓ ｅｃ Ｌｌ ｒｉＩＹ
与３３８９端口相关的漏洞分析和解决方法
解放军信息工程大学电子技术学院 张立航潘正运
兰州大学信息科学与工程学院
摘要
贾雪梅
该文介绍了Ｗｉｎｄｏｗｓ系统存在的输入法隐患一与５５８９端口相关的漏洞及其缺陷，讨论了它的成因，如何
发现系统是否存在此漏洞，漏洞可利用的方式，在分析的基础下，对此漏洞提出了解决方案。
关键词５５８９端口输入法隐惠解决方案
地溢出Ｅｘｐｌｏｉｔ，然后用ＦＴＰ打开这个文件，就可将所有的东西
一
、
与３３８９端口相关的输入法漏洞介绍
下载下来。下载完之后我们就得到一个反向连接过来的Ｓｈｅｌｌ，
添加一个管理员账号，看有没有别的用户登录，如果有的话，
随着计算机技术，网络技术的飞速发展和普及应用，网络
安全已日渐成为人们关注的焦点问题之一，各种系统漏洞层出
不穷，攻击者能够利用这些漏洞攻击目标主机。输入法漏洞是
使用嗅探工具找到其他的密码，或者配合一些插件获取登录时
候的密码。对于除了开一些像ＴＣＰ ２１，８０端口以外，其他端
几都被过滤掉，只有找一个已获取权限的账户做一个接力赛，
若有台８０端口的服务器，做一个中转，先停掉ＷＷＷ服务，然
后监听８０和３３３３这２个端口，其中８０端口是对刚才溢出的机
器把３３８９的数据重定向过来的，而３３３３是等待连接的端口。
如刚一运行就有访问Ｗｅｂ（８０）的数据，将监听工具上传到刚才
提好权限的机器上面，连接本地的３３８９端口和远程机器的８０
端口一最好这两个程序同时运行，这时我们用终端客户服务端
连接到３３３３端口，中间通过若干数据转发，就可进行连接了，
再次扫描一下，３３８９的端口就可以访问了。
系统漏洞的一种，当安装系统时，其中有一项是超级终端服务，
该服务所开放的端口号为３３８９，３３８９是Ｗｉｎｄｏｗｓ的一个正常
的服务，只是没有打上１１、丁而开的３３８９（终端服务）端口，它是
微软为了方便用＿ｒＬＩ远程管理而设，攻击者可以利用输入法漏洞
来入侵。中文Ｗｉｎｄｏｗｓ ２０００存在有输入漏洞，其漏洞就是用
户在登录Ｗｉｎｄｏｗｓ ２０００时，利用输入法的帮助文件可以获得
Ａｄｍｉｎｉｓｔｒａｔｏｒｓ组权限。通过３３８９入侵系统，可以说是入侵者
的最爱，因为可以通过图形 而，就像操作本地计算机一样来
控制远程计算机。
（２）Ｗｉｎｄｏｗｓ２０００ Ｐｒｏｆｅｓｓｉｏｎａｌ的３３８９终端服务
二、对开３３８９端口的
输入法漏洞主机的发现和控制
１
．
Ｗｉｎｄｏｗｓ２０００ Ｐｒｏｆｅｓｓｉｏｎａｌ并不支持３３８９终端服务，只
有Ｗｉｎｄｏｗｓ２０００ Ｓｅｒｖｅｒ版以上才能安装终端服务，其实Ｗｉｎ～
ｄｏｗｓ ２０００的各个版本都使用了同样的程序、动态链接库，它
们之间最大的差别是在注册表中，Ｗｉｎｄｏｗｓ ２０００三合一光盘
就证明了这一点。因此只要将Ｐｒｏｆｅｓｓｉｏｎａｌ版的注册表中的相
通过扫描来获取开３３８９端口的输入法漏洞的主机
对某一公网ＩＰ段主机采用多线程方式进行扫描，可获取
远程操作系统的类型、版本、标准端口，收集所扫描主机是否
存在ＳＱＬ－ＳＥＲＶＥＲ、ＳＭＴＰ－ＳＥＲＶＥＲ、ＦＴＰ—ＳＥＲＶＥＲ、
ＰＯＰ３－ＳＥＲＶＥＲ、ＮＴ－ＳＥＲＶＥＲ弱口令，ＮＴ服务器ＮＥＴＢＩＯＳ
信息，ＮＴ服务器ＮＥＴＢ１０Ｓ信息、注册表信息等。
关项目改为Ｓｅｒｖｅｒ及以上版本，就可以在Ｐｒｏｆｅｓｓｉｏｎａｌ版中安
装终端服务了。对于Ｗｉｎｄｏｗｓ２０００ Ｐｒｏｆｅｓｓｉｏｎａｌ的主机，将
专业版的主机用转换工具转换后，对获得账户的主机Ｔｅｌｎｅｔ上
后，查看已变为Ｓｅｒｖｅｒ版，将如下的注册表键值导入肉鸡的注
册表中：
Ｗｉｎｄｏｗｓ Ｒｅｇｉｓｔｒｙ Ｅｄｉｔｏｒ Ｖｅｒｓｉｏｎ ５．００
（１）论坛或有ＦＴＰ服务的主机利用
对扫描结果，找一个容易突破的地方，或者是通过ＲＰＣ
ＤＣ０Ｍ之类的漏洞，或通过往ＣＧＩ论坛注入一些代码，从突
破的地方得到一个ＳｈｅＵ。Ｓｅｒｖｅｒ－Ｕ的问题也可以利用，先扫
描后，看看Ｗｉｎｄｏｗｓ２０００系统的版本及开了那些服务，打了
那些补丁。对于存在的Ｓｅｒｖｅｒ－Ｕ，ＦＴＰ Ｓｅｒｖｅｒ，可通过本地
提升权限进行溢出，写个小的文件到此主机，并让它下载到本
Ⅱ｛Ｉ ：１ ０Ｃ ＭＡａ眦
“Ｅｎａｂｌｅｄ“＝“０“
ＡＩ Ｍ０（匝＼Ｗｈ ＯⅡＥｒｔＶ＿日 ｔ、 叫
时｝ｑ ＩＯＣ越 ＭＡ ｍ Ｍｂ（ Ｗｈｂ Ｔ＼Ｏ班ｍ ｎ 、Ⅵ 田
‘‘ＳｈｕｔｄｏｗｎＷｉｔｈｏｕｔｌｏｇｏｎ＝“０“
Ｋ＼ １ＱＣ Ｍ 、 Ｎ ｛Ｅ ｄ 、 ｃ 献、 、
计算虮安呈２。。６・９ ２６
维普资讯
“ＥｎａｂｌｅＡｄｍｉｎＴＳＲｅｍｏｔｅ”＝ｄｗｏｒｄ：０００００００１
［ＨＫＥＷＺ￣）ＣＡＬ￣ＭＡＣＨ１ＮＥ７ ＳＹＳＴＥＭ，ＣｍＴｍｔＣｍｔｍｌＥｅｔ＼Ｓｅｔｖｋｘｓ．．．．ＴｅｒｍＤＤＪ
“Ｓｔａｒｔ”＝ｄｗｏｒｄ：０００００００２
［ＨⅪ １ ０ｃＡＩ ＭＡＣＩｍ岖、ＳＹｓＴ Ｍ、ＣⅢ日１ｔＣ［１１ｈｄＳ鱼 Ｏｅｓ、 １ １ 玑 删
Ｓｔａｒｔ”＝ｄｗｏｒｄ：０００００００２
［ＨＫＥＹ ＵＳＥＲ ．ＤＥＦＡＵＩ Ｔ，Ｋｅｙｂｏａｒｄ Ｌａｙｏｕ Ｔｏｇｇ１ｅ】
”Ｈｏｔｋｅｙ”＝’’１”．
ｃｏｎｔｒｏｌｓｅｔ、Ｃｏｎｔｒｏｌ＼Ｔｅｒｍｉｎａｌ ｓｅｒｖｅｒ＼Ｗｉｎｓｔａｔｉｏｎｓ＼Ｒｄｐ－
通过使用“ｒｏｔ．ｖｂｓ”脚本
ｔｃｐ＼ｆＥｎａｂｌｅＷｉｎＳｔａｔｉｏｎ，将“ｆＥｎａｂｌｅＷｉｎＳｔａｔｉｏｎ”的值由０改
Ｓｃｒｉｐｔ ＲＯＴＳ．ｖｂｓ＜目标ＩＰ＞＜用户名＞＜密码＞［月艮务端
口】【自动重启选项】
重启后即可对此漏洞进行利用。
（３）Ｌｉｎｕｘ通过３３８９端口遥控Ｗｉｎｄｏｗｓ
在Ｌｉｎｕｘ中配置好终端服务的控制端，在“添加／删除
为ｌ，点击“确定“就可远程登录主机了；或通过利用３３８９．
ｖｂｅ，运行命令：ｃｓｃｒｉｐｔ ３３８９．ｖｂｅ｝．｝．｝．｝管理员账户
码” ／ｆｒ；或上传３３８９．ｂａｔ：
“密
：ｅｃｈｏ［Ｃｏｍｐｏｎｅｎｔｓ］＞ｃ：＼ｓｑｌ
ｅｃｈｏ ＴＳＥｎａｂｌｅ＝ｏｎ＞＞ｃ：＼ｓｑｌ
ｓｙｓｏｃｌｎｇｒ／ｉ：Ｃ：＼ｗｉｎｎｔＸｉｎｆ＼ｓｙｓｏｃ．ｉｎｆ／ｕ：Ｃ：＼ｓｑｌ／ｑ，
Ｗｉｎｄｏｗｓ组件”窗口中选中“终端”服务后，将模式设置为
“远程管理模式”并予以安装。就可以让Ｌｉｎｕｘ通过终端命令
￥ｒｄｅｓｋｔｏｐ Ｕ“账户名”、“ＩＰ地址”遥控Ｗｉｎｄｏｗｓ。
２
．
通过批处理文件建立长久的控制，如在ｔｅｌｎｅｔ下直接建立批处
理文件即可，首先键入“ｃｏｐｙ ｃｏｎ ３３８９．ｂａｔ”，写完后，按
对开３３８９端口的输入法漏洞主机进行长期的控制
“ｃｔｒｌ＋ｚ”，则在１二作文件夹下生成一个批处理文件，隐藏它，就
可以长期有效，就可以远程连接了。
实现通过３３８９端口登录系统，切换输入法直至在左下角
对Ｗｉｎ ｄ Ｏ Ｗ Ｓ ２ ０ ０ ０的终端客户服务端隐藏，用
终端客户服务端连接远程主机时，了解进程察看的
人会通过Ｗ ｉ ｎ ｄ Ｏ Ｗ Ｓ任务管理器不时察看在用进
程，所以应做到对终端客户服务端的进程、文件进
行隐藏。在ｔ ｅｌ ｎ ｅ ｔ上对方时，可使用上传的工具
将出现输入法状态条。用右键点击状态条上的徽标，弹出“帮
助“（如果发现“帮助”呈灰色，对方发现并已经不上了这个
漏洞），打开“帮助“一栏中的“操作指南”，在最上面的任务
栏点击右键，会弹出一个菜单，打开“跳至ＵＲＬ”。此时将出
现Ｗｉｎｄｏｗｓ２０００的系统安装路径和要求我们添入的路径的空
白栏。比如，该系统安装在Ｃ盘上，就在空白栏中填入“Ｃ：
＼ｗｉｎｎｔＸｓｙｓｔｅｍ３２＼”，然后按“确定”，于是我们就成功地绕过
了身份验证，进入了系统的ｓｙｓｔｅｍ３２目录。在该目录下找到
“
ｈ Ｘ ｄ ｅ¨０ ０对终端程序进行隐藏。或者对终端服务
的端口进行修改，打开注册表，找到类似的键值：
ＨＫＥＹ—ＬＯＣＡＬ
ＭＡＣＨＩＮＥ＼Ｓｙｓｔｅｍ＼ＣｕｒｒｅｎｔＣｏｎｔｒｏｌ
ＳｅｔＣｏｎｔｒｏｌ＼ＴｅｒｍｉｎａｌＳｅｒｖｅｒ＼Ｗｄｓ＼Ｒｅｐｗｄ＼ＴｄｓＸＴｃｐ
看到Ｐ Ｏ ｒ ｔ ｎ ｕ ｍ ｂ ｅ ｒ，ｏ ｘ ｄ ３ ｄ是个１ ６进制值，只要
选择十进制，就会看到３ ３ ８ ９，把它改过来就可防 ｎｅｔ．ｅｘｅ”，为“ｎｅｔ．ｅｘｅ”创建一个快捷方式，右键点击该快捷
止远程主机用户检查任务管理器察看进程的Ｔ Ｃ Ｐ
连接端口发现连接到终端客户服务的３ ３ ８９端口。并且
修改：Ｈ Ｋ Ｅ Ｙ—Ｌ Ｏ Ｃ Ａ Ｌ—Ｍ Ａ Ｃ Ｈ Ｉ Ｎ Ｅ＼Ｓ Ｙ ＳＴＥＭ＼
ＣＵｒｒｅｎｔＣＯｎｔｒｏｌＳｅｔ＼ＣＯｎｔｒｏｌ＼ＴｅｒｍｉｎａｌＳｅｒｖｅｒ＼
方式，在“属性”一＞“目标”一＞“Ｃ：＼ｗｉｎｎｔ＼ｓｙｓｔｅｍ３２Ｅｎｅｔ．
ｅｘｅ”后面空一格，填入“ｕｓｅｒ ｇｕｅｓｔ／ａｃｔｉｖｅ：ｙｅｓ”点“确定”。
这一步的目的在于用“ｎｅｔ．ｅｘｅ”激活被禁用的Ｇｕｅｓｔ账户，当
然也可以利用“ｕｓｅｒ用户名密码／ａｄｄ”，创建一个新账户，
但容易引起怀疑，但Ｇｕｅｓｔ自己已被激活。然后再修改该快捷
ＷｉｎＳｃａｔｉ０ｎ＼ＲＤＰ—Ｔｃｐ下的ＰｏｒｔＮｕｍｂｅｒ值，默认是３３８９，我
们改成任何其他十进制数据。然后重启远主机即可。
终端客户服务端连接成功后，为做到长期的控制，可上传
一
方式，填入“ｕｓｅｒ ｇｕｅｓｔ密码”，运行，于是Ｇｕｅｓｔ便有了密
码。最后，再次修改，填入“ｌｏｃａｌｇｒｏｕｐ ａｄｍｉｎｉｓｔｒａｔｏｒｓ ｇｕｅｓｔ
／ａｄｄ”，将Ｇｕｅｓｔ变成系统管理员。
个处理过的木马服务端，运行后，将一个不常使用的服务程
序改为木马的服务端程序，通过木马控制远程主机。
对于曾入侵过的远程主机，为了避免被跟踪，采用一些工
具清除日志或者使用以下的方法：通过ＩＰＣ￥连接或是ｔｅｌｎｅｔ
到对方上，上传Ｗｉｎ２０００自带的工具到对方＼￥ａｄｍｉｎ目录下，
将我们建立的批处理文件：包含停止ｗ３ｓｖｃ服务，停止进程
ｅｖｅｎｔ．１ｏｇ，删除根目录中ｌｏｇｆｉｌｅｓ下的文件及日志文件，然后上
传到对方的根目录下。最后到事件察看器中重删除所有的日
三 与３３８９端口相关的
输入法漏洞的解决方案
统计发现，经过精心配置的Ｗｉｎｄｏｗｓ ２０００￣务器可以防
止９０％以上的入侵和渗透，但是，系统安全是一个整体，是一
个连续的过程，随着新漏洞的出现和服务器应用的变化，系统
２７ Ｉ计算觚安呈２００６．９
维普资讯
技术实用技术
Ｎｅ【、 Ｏ ｒｋ＆Ｃｏｎ１Ｐｕｌｅｌ‘Ｓｅｃ Ｌｌ ｒｉｌｙ
的安全状况也在不断变化着。３３８９为终端客户服务的端ｇｌ，此
问题的解决依赖于管理和技术两个方面，可通过屏蔽端口，设
他主机的相同的应用程序进行通信。
对于ｔｅｌｎｅｔ服务：允许远程用户登录到系统并且使用命令
行运行控制台程序。 置防火端，安装杀毒软件，代理上网，及停止不必要的多余系
统服务等措施。
１
、
Ｔｅｒｍｉｎａｌ Ｓｅｒｖｉｃｅ服务：提供多会话环境，允许客户端设
备访问虚拟的Ｗｉｎｄｏｗｓ２０００Ｐｒｏ－
及时升级输入法，对系统及时打补丁
为了自己的主机安全，我们通常都下载最新的输入法版
本，虽然这 是万全之策，但也算对系统作了必要的维护。
对于初安装的系统，应当尽可能全地打上各种补丁，像
Ｗｉｎｄｏｗｓ ２０００ ＳＰ４，Ｗｉｎｄｏｗｓ ＸＰ ＳＰ２等。防止此漏洞被攻
击者利用。
２
、
Ｆｅｓｓｉｏｎａｌ桌面绘画，以及运行于其上面的Ｗｉｎｄｏｗｓ
程序。
Ｔａｓｋ Ｓｃｈｅｄｕｌｅｒ服务：允许程序在指定时间运行。
Ｗｏｒｋｓｔａｔｉｏｎ服务：提供网络链接和通讯。
对以上四种服务，均可以停止，点击“开始一设置一控制
端口封锁
面板一管理工具一服务”对某项服务双击依次在“常规”的启
动类型中，选择“已禁用”，在“登录“中选择“禁用”后点击
“确定”即可。
在Ｗ．Ｉ］ｄｏｗｓ２０００／ＸＰ中，在管理工具中的本地安全策略
中进入一个集中管理控制台“本地安全设置”主界面。通过菜
单栏上的命令设置各种安全策略，进行导出列表及导入策略等
５、取消默认共享
ＷｉｎｄＯｗｓ２０００中加入了一些默认共享，这些共享是
操作。它主要包括账户策略，本地策略、公钥策略和ＩＰ安全
策略四大类。设置筛选器列表。在本地安全策略中的ＩＰ安全
策略从管理ＩＰ筛选器列表和筛选器操作添加ＩＰ筛选器。在管
理ＩＰ筛选器列表，分别填入名称和描述，接着对ＩＰ筛选器向
导设置原地址和目标地址。进入指定ＩＰ原地址后，在原地址
ａｄｎｌｉ ｎ￥，ｉ ＰＣ￥，Ｃ￥，ｄ￥等，其中ａ ｄｎｌｉｎ￥是指目录Ｃ：
＂
，
，
ｗｉｎｎｔ＼ｓｙｓｔｅｍ３２，最直接的方法就是删除这些默认共享，方法
就是修改注册表：
｝Ⅱ ＝Ｙ Ｉ ＯＣＡＩ．ＭＡａ姗、Ｓ、 ⅡＭ＼
中的任何ＩＰ地址下，在ＩＰ通讯目标中选择我的ＩＰ地址。在ＩＰ
协议类型中的选择协议类型下，选择ＴＣＰ，进入ＩＰ协议端口
ｌ ａ ｎ ｍ ａ ｎ ｓ ｅ ｒ ｖ ｅ ｒ＼ｐ ａ ｒ ａ ｎｌ ｅ ｔ ｅ ｒ ｓ下添加一双字节键
ＡｕｔｏＳｈａｒｅＷｋｓ＝０就可以了。不过，也可建立一个批处理文
件。
Ｎｅｔ ｓｔｏｐ ｓｃｈｅｄｕｌｅ／Ｙ
Ｎｅｔ ｓｔｏｐ ｒｅｍｏｔｅｒｅｇｉｓｔｒｙ／Ｙ
ｎｅｔ ｓｔｏｐ ｌａｎｍａｎｓｅｒｖｅｒ
框，因为大多数ＩＰ网络协议都建立在常用的ＩＰ端口上，所
以我们现在可以对这些端口进行设置。在筛选器向导的设
置ＩＰ协议端口里第一栏为任意端口，第二栏为到此端口并
添上“３３８９”。进行上述设置后。ＩＰ筛选器列表下多了一个
策略。进行筛选器操作。在管理筛选操作选项卡中的筛选操
作向导里添上禁用３３８９连接，并选择阻止，这样３３８９就被
禁用了。
３
、
保存为ｄｅｌｓｈａｒｅ．ｂａｔ，放到启动项里，每次开机自动删
除，如果需要开启可以直接使用命令：ｎｅｔ ｓｈａｒｅ ｉｐｃ￥打开
即可。
对系统账户的处理
这一个漏洞的存在，严重地破坏了Ｗｉｎｄｏｗｓ操作系统的
安全性，本文介绍了解决此漏洞的一些方法。但随着网络技术
的发展，新的漏洞将会不断出现，以上所提出的解决方法对新
系统账号很可能被人利用，Ｗｉｎｄｏｗｓ ２０００支持很多服务，
而且很多服务在安装完成后会有默认的账号，这些账号大部分
都是Ｇｕｅｓｔ组的，虽说如此，但是现在，已经有很多漏洞可以
利用它。以提升自己本地机的权限，像ｄｅｂｕｇ，ｎｅｔ ｄｄｅ等，所
以，开启着Ｇｕｅｓｔ组的账号仍然是很危险的。（其危险在于这
些ｇｕｅｓｔ账号在默认情况下密码都是为空）。因此，我们要禁用
不使用的账号和全部的Ｇｕｅｓｔ账号，如果需要外部人员访问服
务器的话，那么可以适当的开启Ｇｕｅｓｔ账号，但是一定要加上
密码。
４
、
出现漏洞的解决也提供了很好的解决方法。
参考文献
ｆ１】Ｉｃｅｙｅｓ．菜鸟先飞．黑客ｘ档案２００３－－２００４年舍订刊（中卷）：
４１２－４１ ６．
【２】（美）科默（Ｃｏｍｅｒ，Ｄ．Ｅ．）著，赵刚译。用ＴＣＰ／ＩＰ进行网
际互联。第１卷，客户～服务器编程与应用：Ｌｉｎｕｘ／ＰＯＳＩＸ套接
停用不必要的服务
字版／一北京：电子工业出版社，２００１．４．
在Ｗｉｎｄｏｗｓ２０００中，系统把所有的应用程序都注册为一
【５Ｊ曹国钧等编。Ｗｉｎｄｏｗｓ９８／２０００注册表应用４６０例。北京：科
学出版社，２００２．
个服务，所以可以说每个应用程序部拥有一个自己的套接字，
拥有自己的套接字就说明了该应用程序可以独立地在网络与其 【４】Ｓｉｎｉｃ．教育网内玩ｈａｃｋ．黑客防线２００４年第１１期．
计算南ｎ安至
２００６．９ ｉｌ ２８