在網(wǎng)絡安全事件頻發(fā)的今天，很多人都在抱怨，為什么我的系統(tǒng)被入侵了，我的主頁被修改了，在入侵后，我采取了一些安全加固措施，可是沒過幾天又發(fā)現(xiàn)系統(tǒng)被入侵了！分析根本原因就是系統(tǒng)仍然存在安全隱患，可能是沒有徹底清除系統(tǒng)后門，可能是系統(tǒng)的密碼一直都掌握在黑客手中，本文作為安天365團隊“系統(tǒng)口令攻擊與防范”安全研究中的一個子課題，將全面分析遠程終端密碼的截取和防范。

一、遠程終端密碼泄露分析

1.最新遠程終端技術APP

對于大型企業(yè)來說，一般都部署有遠程終端，微軟最新的服務器操作系統(tǒng)Windows 2008 Server中更是重點打造遠程終端。終端服務器遠程APP是Windows Server 2008中新的遠程應用演示方法。在遠程連接的一些參數(shù)上進行了調整，增加了一些新的功能，據(jù)說性能也有較大提高！

2.遠程終端密碼泄露分析

在大型網(wǎng)絡中，由于網(wǎng)絡環(huán)境復雜，因此服務器之間往往通過遠程終端來維護和管理，這種管理在方向不太固定，多是發(fā)散。有的可能是通過一臺主機登錄多臺主機，也有的可能是通過多臺主機來登錄同一臺主機，也可能是混亂交叉登錄，黑客在入侵網(wǎng)絡某一臺主機后，肯定會想辦法收集網(wǎng)絡內(nèi)部或者跟外部獨立主機之間的遠程終端登錄用戶名稱和密碼。收集方法不外乎三種：

（1）使用GetHashes、Pwdump等工具獲取系統(tǒng)的Hash密碼值，然后通過LC5以及彩虹表來進行破解，破解成功后得到系統(tǒng)密碼，這些密碼極有可能是遠程終端的密碼。

（2）在被控制計算機上安裝鍵盤記錄，通過鍵盤記錄來獲取用戶在登錄3389遠程終端過程所輸入的用戶名和密碼。這種方法有一定的限制，鍵盤記錄在遠程終端窗口最大化時有可能無法記錄遠程終端登錄密碼。

（3）使用WinlogonHacK工具軟件截取遠程登錄時所輸入的正確密碼。這也是本文要重點介紹的部分。當然除了以上三種外，還有一些其它的泄露途徑。

二、WinlogonHack工具軟件截取密碼原理

1.Gina.dll與Msgina.dll

Gina.dll在NT/2000中交互式的登陸支持是由WinLogon調用Gina.dll實現(xiàn)的，Gina.dll提供了一個交互式的界面為用戶登陸提供認證請求。WinLogon會和Gina.dll進行交互，缺省是msgina.DLL(在System32目錄下)。微軟同時也為我們提供了接口，我們可以自己編寫Gina.dll來代替Msgina.dll。
不知道什么原因，微軟的Gina.dll在Windows XP以及后續(xù)版本中都不再出現(xiàn)，原來的Gina.dll改為Msgina.dll（加了ms表示是微軟的，嘿嘿！）。Msgina.dll在WindowsXP系統(tǒng)中默認大小為967,680 字節(jié)（945K），在Windows 2003中其大小為1,180,672 字節(jié)（1153K），如果不是這個大小，估計就有問題了。

2.Msgina.dll文件被損壞和修改將導致嚴重錯誤

在DLL知識庫（http://www.dofile.com/dlllibrary/msgina/）中是這樣描述的：msgina.dll是Windows登陸認證策略相關模塊，該模塊用于完成所有用戶登陸和驗證功能，如果系統(tǒng)中的這個文件被修改或者破壞，將導致系統(tǒng)無法使用3389進行登錄，如圖1所示，這個系統(tǒng)的Msgina.dll文件就被破壞了，從而導致用戶無法遠程登錄3389終端服務器。

圖1 Msgina.dll被損壞或者被修改導致無法遠程登錄遠程終端