如何远程管理计算机

如果入侵者能够与远程主机成功建立IPC$连接，那么该远程主机就完全落入了入侵者之手。此时，入侵者不使用入侵工具也可以实现远程管理Windows系统的计算机。比如使用Windows系统自带的“计算机管理”工具就可以方便地让入侵者进行账号、磁盘、服务等计算机管理。

2.2.1 初识“计算机管理”
1．打开“计算机管理”
方法一：通过“控制面板”→“管理工具”→“计算机管理”打开。

方法二：通过在“运行”对话框中键入“compmgmt.msc /s”命令打开。

打开“计算机管理”界面如图2-22所示。


2．关于“计算机管理”
使用“计算机管理”可通过一个合并的桌面工具管理本地或远程计算机。它将几个Windows 2000管理实用程序合并到一个控制台树中，可以轻松地访问特定计算机的管理属性和工具。使用“计算机管理”可以：

è 监视系统事件，如登录时间和应用程序错误；

è 创建和管理共享；

è 查看连接到本地或远程计算机的用户列表；

è 启动和停止系统服务，如任务计划程序和后台处理程序；

è 设置存储设备的属性；

è 查看设备配置和添加新的设备驱动程序；

è 管理服务器应用程序和服务，如域名系统（DNS）服务或动态主机配置协议（DHCP）服务。

注意：必须是Administrators组的成员才能完全使用“计算机管理”。如果不是Administrators组的成员，将没有查看或修改管理属性的权限，并且没有执行管理任务的权限。

2.2.2 远程管理
1．相关知识
（1）Telnet服务

Telnet用于提供远程登录服务，当终端用户登录到提供这种服务的主机时，就会得到一个Shell（命令行），通过这个Shell，终端用户便可以执行远程主机上的任何程序。同时，用户将作为这台主机的终端来使用该主机的CPU和内存资源，实现完全控制远程主机。Telnet登录控制是入侵者常常使用的方式。

（2）Telnet命令：telnet IP [PORT]

参数说明：

è “IP”：开有Telnet服务主机的IP地址。

è “PORT”：Telnet服务的监听端口，默认端口为23号。如果不填该参数则表示连接到23端口，因此，telnet 192.168.0.1与telnet 192.168.0.1 23是完全一样的。

2．实例
任务：开启远程计算机“计划任务”和“Telnet”服务。

步骤一：建立IPC$连接。

（略）

步骤二：管理远程计算机。

首先打开“计算机管理”，然后在“计算机管理”界面中通过“操作（A）”→“连接到另一台计算机（C）”，如图2-23所示

在弹出的“选择计算机”窗口中“名称”栏中填入目标主机的IP“192.168.27.128”，然后单击“确定”按钮，显示界面如图2-24所示。

在上述过程中，如果出现“输入用户名和密码”的对话框，那么就需要再次输入用户名和密码。值得说明的是，该用户名和密码可以与建立IPC$连接时候使用的相同，也可以不相同，这都不会影响以后的操作，但是这个用户一定要拥有管理员权限。

步骤三：开启“计划任务”服务（Task Scheduler）。

在“计算机管理”窗口中，鼠标左键单击“服务和应用程序”前面的“+”来展开项目，然后在展开的项目中选择“服务”，如图2-25所示。


在图2-25右侧窗口中所列即是远程计算机的服务列表，每个服务的具体功能可以查看与其对应的“描述”。在“名称”中找到“Task Scheduler”，如图2-26所示


双击“Task Scheduler”打开设置对话框，如图2-27所示。


在“Task Scheduler的属性”窗口中，把“启动类型”选择为“自动”，然后在“服务状态”中单击“启动（S）”按钮来启动Task Scheduler服务。这样设置后，该服务会在每次开机时自动启动。为了更好地了解启动方式，下面介绍一下启动类型。

è 自动：开机后自动启动该服务

è 手动：开机后需要手动来启动该服务

è 已禁用：禁用该服务

步骤四：开启“Telnet”服务。

在服务列表中找到“Telnet”，如图2-28所示


在图2-28所示的“状态”中可知Telnet服务并没有启动，双击打开Telnet服务的属性窗口，按照步骤三的方法将该服务的启动类型设置为“自动”，将服务状态设置为“已启动”，如图2-29所示

步骤五：断开连接。

关闭“计算机管理”后，本机与远程主机的IPC$连接并没有断开，需要手工敲入命令来断开IPC$连接。键入命令“net use * /del或net use \\192.168.27.128\IPC$ /del”断开IPC$连接。

2.2.3 查看信息
在“计算机管理”中列出了一些关于系统硬件、软件、事件、日志、用户等信息，这些信息是非常敏感的，对于主机的安全来说是至关重要的。计算机管理的远程连接为入侵者透露了相当多的软件和硬件信息。需要说明的是，虽然能够与远程主机建立IPC$连接，并能够使用“计算机管理”来管理远程主机，但是并不是每台远程主机都“愿意”泄露关键信息，或者说只有很少部分的主机会泄露这些信息。下面介绍一般情况下能够被查看到的信息。

1．日志
事件查看器用来查看关于“应用程序”、“安全性”、“系统”这三个方面的日志，如图2-30所示。


下面说明一下每种日志的作用，Windows系统以三种日志方式记录重要事件。

（1）应用程序日志

应用程序日志包含由应用程序或系统程序记录的事件。例如，数据库程序可在应用日志中记录文件错误。程序开发员决定记录哪一个事件。

（2）系统日志

系统日志包含Windows 2000的系统组件记录的事件。例如，在启动过程将加载的驱动程序或其他系统组件的失败记录在系统日志中。Windows 2000 预先确定由系统组件记录的事件类型。

（3）安全日志

安全日志可以记录安全事件，如有效的和无效的登录尝试，以及与创建、打开或删除文件等资源使用相关联的事件。管理器可以指定在安全日志中记录什么事件。例如，如果已启用登录审核，登录系统的尝试将记录在安全日志里。

事件查看器显示这些事件的类型：错误、警告、信息、成功审核、失败审核。查看日志是每一个管理员的必须做的日常事务。通过查看日志，管理员不仅能够得知当前系统的运行状况、健康状态，而且能够通过登录成功或失败审核来判断是否有入侵者尝试登录该计算机，甚至可以从这些日志中找出入侵者的IP。因此，事件日志是管理员和入侵者都十分敏感的部分。入侵者总是要想方设法清除掉这些日志。

2．共享信息及共享会话
通过“计算机管理”可以查看该机的共享信息和共享会话（IPC$也属于这种会话）。在“共享”中可以查看该机开放的共享资源，如图2-31所示。


除了查看共享资源外，还可以通过此处来建立共享，如图2-32所示。

管理员也可以通过“会话”来查看计算机是否与远程主机存在IPC$连接，借此获取入侵者的IP地址。如图2-33，其中IP地址为“192.168.27.1”的计算机和IP地址为“192.168.27.128”的计算机存在连接


3．用户和组
通过“计算机管理”，可以查看远程主机用户和组的信息，如图2-34所示。不过不能在这里执行“新建用户”和“删除用户”的操作

2.2.4 开启远程主机服务的其他方法
前面介绍了入侵者如何通过Windows自带的管理工具来开启远程主机上的服务，除此之外，还有许多方法可以做到。

1．通过“BAT文件”和“计划任务服务”开启远程主机服务
在2.1节中得出了一个结论，如果入侵者能够使用管理员账号与远程主机成功建立IPC$连接，那他们就可以通过at命令在远程主机上执行任何命令。下面以开启远程主机“Telnet服务”为例来介绍如何通过“BAT文件”和“计划任务服务”开启远程主机服务。

步骤一：编写BAT文件。

打开记事本，键入“net start telnet”命令，然后另存为TEL.BAT。其中“net start”是用来开启服务的命令，与之相对的命令是“net stop”。“net start”后为服务的名称，表示开启何种服务，在本例中开启Telnet服务。

步骤二：建立IPC$连接，把TEL.BAT文件拷贝到远程主机。

步骤三：使用“net time”命令查看远程主机的系统时间，然后使用“at”命令建立计划任务。

需要说明的是，如果远程主机禁用了Telnet服务，那么这种方法将会失败，也就是说，这种方法只能开启类型为“手动”的服务。

2．使用工具netsvc.exe开启远程主机服务
netsvc是微软公司NT系统中附带的一个管理工具，用于开启远程主机上的服务，这种方法不需要通过远程主机的“计划任务服务”。

① 命令格式：netsvc \\IP SVC /START。

② 参数说明：

è “IP”为目标主机IP

è “SVC”为预开启的服务名

è “/START”表示开启服务

③ netsvc中的自带的说明如下。

netsvc servicename \\computername /command

servicename Name of the service

computername Name of the computer to administer.

/command One of the following:

/query Queries the status of the service.

/start Starts the service.

/stop Stops the service.

/pause Pauses the service.

/continue Starts the paused service.

/list Lists installed services（omit servicename）

Example: NETSVC server \\joes486 /query

Example: NETSVC "Clipbook Server" \\popcorn /stop

Example: NETSVC alerter \\joes486 /pause

Example: NETSVC /list \\joes486

在MS-DOS中键入“netsvc \\192.168. 27.128 schedule /start”命令，开启远程主机192.168. 27.128中的“计划任务服务”。在MS-DOS中键入“netsvc \\192.168.27.128 telnet /start”命令，开启远程主机的Telnet服务，如图2-35所示。


1．问：使用“计算机管理”与远程主机连接失败，为什么？

答：以下任意一种情况都可能造成连接失败。

① 没有获取远程主机的管理员账号和密码。

② 目标主机禁用了Server服务。

③ 错误的IP地址。如果本地机与远程主机不在同一局域网内，则应该使用IP地址而不是“主机名”进行连接。

④ 目标主机不是WinNT/2000/XP/2003系列操作系统。

2．问：使用“计算机管理”与远程主机成功建立连接，但启动“计划任务”时却出现了如图2-36所示的对话框，结果导致开启“计划任务”服务失败，为什么？


答：可能有两种情况。

① 所用账号没有管理员权限。

② 使用“计算机管理”连接目标主机之前没有与它建立IPC$连接。

下面通过一个实例来说明第二种情况。已知192.168.27.128这台计算机的管理员账号和密码，如果不建立IPC$连接而直接使用“计算机管理”与之连接，在连接的时候一定会弹出要求“输入用户名和密码”的窗口，即使输入拥有管理权限的账号和密码，单击“确定”按钮后，虽然也能得到192.168.27.128的计算机管理界面，但是当修改“Task Scheduler”的启动属性时，可能会发生“拒绝访问”错误。由此可见，在使用“计算机管理”前先与远程主机成功建立IPC$连接，可以增加远程管理的成功率。

3．问：虽然使用“计算机管理”与远程主机建立连接，但无法查看该主机上的“本地用户和组”，这是为什么呢？

答：出现这种情况是正常的，大多数远程主机都不能被查出这个信息。但是入侵者同样可以通过其他方法来查看“本地用户和组”，后面章节将介绍。

4．问：使用“计算机管理”与远程主机建立连接，开启“Telnet服务”均成功，但却无法登录远程主机，这是由于开启Telnet服务失败，还是由于其他原因造成的呢？

答：由于Telnet的功能强大，微软公司在设计Windows 2000各版本及Windows XP/2003操作系统时，为了增加Telnet服务的安全性而添加的一项NTLM验证，正是这个NTLM验证导致非授权主机的Telnet登录失败。