Steuerung übernehmen mit Remotefreigabe IPC$

[dacky2000 10]

Hallo,

 

letztens hat sich einer über die IPC$ auf einem Netzwerkrechner eingeloggt und mit dessen Hilfe über IPC$ meinen Rechner "ferngesteuert".

Die Rechner sind nicht gesichert, weil interne Schulungsumgebung.

 

Ich will einfach nur nachvollziehen, wie er das gemacht hat, ich kann mich nicht über IPC$ einloggen, selbst wenn ich das Passwort kenne.

 

Kann mir jemand erklären, wie das geht?

 

Gruß Jörg

[Oblivion 10]

Hi Jörg,

von wo aus hat er sich wie eingeloggt, durchs LAN oder WAN? Hat er sich mit der IPC$-Freigabe verbunden?

Müsste man schon genauer wissen.

 

Udo

[dacky2000 10]

Hi Jörg,

von wo aus hat er sich wie eingeloggt, durchs LAN oder WAN? Hat er sich mit der IPC$-Freigabe verbunden?

Müsste man schon genauer wissen.

 

Udo

 

Ja er hat sich übers LAN eingeloggt und mit der IPC$ Freigabe verbunden.

 

Folgender Ablauf:

Mir war aufgefallen, obwohl keine Freigabe eingerichtet war das jemand auf meine Daten zugegriffen hat. In den Freigaben war ein Rechner meiner Arbeitsgruppe auf der IPC$ Freigabe eingetragen. Hab mit Ethereal mitgeschnitten und den betreffenden Rechner ausgemacht.

Der Nutzer schwor hoch und heilig das er es nicht war, also auch bei ihm mitgeschnifft und dabei festgestellt das ein Rechenr aus einem anderen Raum sich erst mit dessen IPC$ verbunden hat und von da auf meinen Rechner weiterverbunden hat.

 

Er hAt dabei Zugriff auf meinen Bildschirm gehabt und Daten verändert, während meiner Eingabe.

 

Soweit, relativ klar, ich weiß nur nicht wie.

 

Wenn ich einen Rechner aufrufe

\\IP oder Rechnername\IPC$ dann kommt eine Passwortabfrage. Doch die ich meist nicht weiterkomme, obwohl ich das Paswort des Versuchsrechenrs kenne.

 

Entweder kommt "falsches Passwort" oder in einem Fall akzeptierte er das Passwort und ich komm aber nicht weiter.

Wie konnte der betreffende den Rechner so steuern?

 

Jörg

[IThome 10]

Mit NET USE \\RECHNER kannst Du Dich an dem Rechner anmelden, Kennwort angeben und hast dann eine Verbindung mit \\RECHNER\IPC$. Ist das Administratorkennwort bekannt, könnte beispielsweise der Telnetserverdienst gestartet werden, mit dem man allerlei Schabernack anstellen kann. Ebenso kann man sowas mit PSEXEC machen ... Was genau er da gemacht und welche Daten er verändert hat, keine Ahnung ...

[Oblivion 10]

Wenn er Zugriff auf deinen Bildschirm (du meinst Tastatur und Maus?) hatte, muss er ja irgend einen Dienst wie Netmeeting oder DameWare verwendet haben. Mir ist nur nicht ganz klar, wieso er sich mit ipc$ verbunden haben soll...

[IThome 10]

Dateien auf dem Bildschirm kann man ja auch via Console verändern, in dem man direkt in das Profilverzeichnis wechselt ...

[Oblivion 10]

stimmt, daran hab ich nicht gedacht.