ด้วยความที่ผมไม่ว่าง ขออธิบายข้อหลักๆในการใช้เพียงเท่านี้ครับ ส่วน Opiton อื่นๆที่เหลือ อยากให้คุณลองไปเรียนรู้และประยุกต์ใช้เอาเองนะครับ เพราะตอนที่ผมเขียนอยู่นี้ เครื่องไม่ได้ต่อ Internet อยู่ ซึ่งจะทำให้ลำบากแก่การเข้าใจ


การใช้งาน netstat (แบบดอส)

สังเกตว่า 2 ภาพด้านล่างเป็นการใช้ 2 option การแสดงผลก็ต่างกันนิดหน่อย แต่ความหมายแต่ละบรรทัดมีค่าเท่ากัน เพียงแต่การแสดงแตกต่างเป็นชื่อกับตัวเลข (เลข IP/Prot) นั่นเอง



(ตอนที่ยังไม่ต่อ Internet)



สังเกตเฉพาะบรรทัดที่ผมได้ทำเป็นแถบสีขาวก่อน (รูปด้านบน 2 รูปที่ผมได้ทำ)


1. Proto   TCP -- คือโปรโตคอลที่เครื่องกำลังเชื่อมต่ออยู่

2. Local Address   qillip:telnet -- [ชื่อ เครื่อง qillip] : [telnet Service (port ที่เครื่องได้เปิด)]  ซึ่งตอนนี้เป็นหรือบริการที่เปิด และเราจะรู้ได้ตรงนี้เอง เช่นพวกโทรจัน Trojan หรือโปรแกรมบางโปรแกรมมักจะเปิด Service หรือบริการที่เปิดรอ เพื่อจะเข้ามาควบคุมเครื่องหรือมีการแชร์เครื่อง เพื่อใช้ในการถ่ายโอนข้อมูลระหว่างเครื่องในระบบ Network

3. Foreign Address   qillip:0 -- ชื่อเครื่อง [qillip] : [เครื่องที่เชื่อมต่อกับเครื่องที่คุณได้ใช้อยู่] ที่เป็นเลข 0 เพราะว่าผมยังไม่ได้ต่อเน็ต

4. State   LISTENING -- สถานะการติดต่อ ซึ่งจะมีอยู่หลายแบบคือ ตรงนี้ขอข้ามไปก่อนครับว่าหมายถึงอะไร


และต่อจากนี้  เพื่อให้เข้าใจง่ายขึ้น ผมจะขอยกตัวอย่างข้ามขั้นตอน เพราะปรกติแล้ว การใช้งานทั่วไป มักจะใช้คำสั่ง C:\>netstat -an หรือ C:\>netstat -a เวลาใช้ พิมพ์แค่ netstat -a หรือ netstat -an ที่ Dos Prompt เพราะว่าจะทำให้มีการดูเป็นรูปแบบที่ง่ายขึ้น ส่วน Option อื่นลองไปใช้เองดู ซึ่งใช้เดี่ยวๆหรือคู่กันไปก็ได้ ที่ผมได้แนะนำมาแบบนี้ คำสั่งทั้ง 2 ตัวที่ผมได้ยกขึ้นมานี้ได้ครอบคลุมการดูเกือบทั้งหมดแล้ว เพียงแต่คุณต้องไปศึกษาว่า Port แต่ละหมายเลขเป็นบริการของอะไร เป็นโทรจันหรือไม่ อาจเป็นโปรแกรม Remote ก็ได้ ซึ่งโปรแกรม Remote จะสามารถหลบการแสกนจากโปรแกรม Anti Virus / Trojan Scan

จากตัวอย่างที่ผมได้ทำเป็นแถบสีขาวให้ดูจาก 2 รูปด้านบน ที่บริการที่ผมได้เปิด Local Address=qillip:telnet ตรง telnet คุณต้องรู้ว่า telnet คือ port 23 หรืออาจพิมพ์คำสั่ง netstat -an เพื่อตรวจดูหมายเลข port ซึ่งจะอยู่บรรทัดเดียวกันดัง 2 รูปข้างต้น (ถ้าใช้ในเวลาเดียวกัน 2 Option ทั้ง -a และ -an และ -n คุณลองใช้ดูครับ การแสดงผลจะได้ค่าที่เหมือนกัน แต่แตกต่างที่จะเป็นชื่อบริการที่คุณได้เปิดหรือเป็นแบบตัวเลข IP)

(ตอนนี้ผมได้ต่อ Internet) ดังรูปด้านล่าง




ีสีเหลือง เป็นสถานะ ESTABLISHED

Local Address ซึ่ง IP ผมคือ 203.118.74.149 ได้เปิด port 135 เอาไว้และเข้ามาที่เครื่องทาง port นี้
Foreign Address เป็น IP ของเครื่องที่มา hack เครื่องผมคือ 203.118.82.158
State เป็นสถานะ ESTABLISHED  หมายความว่า เป็นการเชื่อมต่อระหว่างเครื่อง 2 เครื่องได้แล้ว พูดอีกแบบคือ มีเครื่องอื่นได้เข้ามาในเครื่องผมแล้ว


สีฟ้า เป็นสถานะ LISTENING

Local Address ซึ่ง IP ผมคือ 203.118.74.149 ได้เปิด port 139
Foreign Address ยังไม่มีเครื่องใดมาทำการติดต่อ
State เป็นสถานะ LISTENING  คือรอการติดต่อ ซึ่งเครื่องอื่นสามารถเข้าได้ทางนี้

** ให้สังเกตเครื่องคุณ ถ้าได้มีตัวนี้อยู่บรรทัดไหน ให้สังเกตที่บรรทัดเดียวกันว่า เครื่องคุณได้เปิด Port ไหนเอาไว้บ้าง **


สีม่วง เป็นสถานะ TIME_WAIT

Local Address ซึ่ง IP ผมคือ 203.118.74.149 ได้เปิด port 139
Foreign Address เครื่องที่มี IP 203.118.74.110 ได้กำลังแสกนเครื่องผมอยู่  เพื่อหาช่องโหว่
State เป็นสถานะ TIME_WAIT คือเค้ากำลังแสกนเครื่องผมโดยผ่าน port 139  กำลังแสกน หรืออีกความหมายคือ เครื่องนั้นอาจกำลังถอด password เครื่องคุณอยู่ก็ได้


TIP :  ซึ่งตอนนี้คุณคงอ่าน และคงสามารถที่จะเดาได้ว่าแต่ละบรรทัดที่โปรแกรมแสดงหมายความว่าอะไรบ้าง แต่ถ้าใช้ Option ดังรูปข้างบน (ต่อ Internet) ให้พิมพ์คำสั่ง netstat -a  เพื่อจะแสดงเป็นชื่อ ซึ่งบางทีในสถานะ ESTABLISHED หมายความว่า มีเครื่องอื่นได้เข้ามาในเครื่องผมแล้วนั้น อาจเป็นเว็บไซด์ที่คุณกำลังดาว์นโหลดอยู่ก็ได้ คำสั่ง netstat -a จะแสดงเป็นชื่อเว็บต่างๆ ซึ่งถ้าใช้คำสั่ง netstat -an จะแสดงเป็นตัวเลข IP ยากต่อการเดา และการดูจริงๆคุณต้องสังเกตที่ port ที่เครื่องคุณด้วยว่าเป็น port ที่ใช้ทำอะไร


HACK :  ถ้าคุณกำลัง chat อยู่ ไม่ว่าจะเป็น icq , msn , yahoo ect.. ก็ตาม และได้มีการรับ/ส่งไฟล์ระหว่างเครื่องเกิดขึ้น ให้พิมพ์คำสั่ง netstat -an หรือ netstat -a หรือ netstat -n ก็ได้ โปรแกรมนี้จะมีการแสดงเลข IP ต่างๆที่คุณได้ติดต่ออยู่ และคุณรู้ IP เครื่องเป้าหมายแล้ว อิอิ ถ้ามีความรู้ในเรื่องอื่น ก็นำมาใช้ได้เลย


นี่คือการทำงานโดยใช้ดอสแบบทั่วไป ให้คุณลองดูว่าเครื่องคุณได้เปิด Port อะไรไว้บ้าง ถ้ามีการเปิดที่เยอะมาก คุณต้องรู้ว่าแต่ละ Port ไหนโปรแกรมอะไรเป็นตัวเปิด โดยทำการค้นหาได้จากโปรแกรมที่คุณใช้ได้ถนัด ซึ่งแล้วแต่คนจะถนัดทางไหน และหัวข้อต่อไป ผมจะอธิบายการใช้โปรแกรมอีกตัว ซึ่งใช้ได้ดีมากสำหรับการหาโปรแกรมตัวแสบ ที่แอบมาเปิด port  และยังสามารถใช้งานได้อีกหลายอย่าง แทนโปรแกรม NETSTAT ได้ดีอีกด้วย แถมยังมีโปรแกรมให้ HACK เครื่องแถมมาด้วย

** การกระทำใดๆที่ละเมิดสิทธิผู้อื่นโดยเจตนา มันไม่ดีเลยนะครับ และถ้าคุณคิดที่จะทำ ผมขอแนะว่า ต้องมีสติรู้ว่ากำลังทำอะไรอยู่ ทำเพื่ออะไร ผลที่คุณจะได้จะคุ้มค่าหรือไม่ **


ที่ผมชอบใช้แบบ dos เพราะว่าชีวิตจริงคุณไม่ได้เล่นแค่เครื่องคุณเองเครื่องเดียว แต่คุณต้องไปทำอะไรต่างๆที่เครื่องอื่น และโปรแกรมนี้มีอยู่ในเครื่องทุกเครื่องอยู่แล้ว ซึ่งไม่ว่าเครื่องไหนที่เป็นระบบ Window คุณก็ใช้คำสั่งนี้ได้ เพราะไม่งั้นคุณต้องหอบโปรแกรมไปติดตั้ง ยุ่งยาก ผมจึงอยากให้ใช้เป็นพวกโปรแกรมในดอสนี่แหละ พระเอกตัวจริงเวลาเครื่องมีปัญหา


PORT

WINDOW นั้น เปิด Port ไหนเป็นมาตรฐาน??
98 + ME จะเปิด port 139 , 445
2000 Pro จะเปิด port 139 , 445
2000 Advance Server จะเปิด port 53 , 88 , 139 , 445


TROJAN PORT

31 : Master Paradise
121 : BO jammerkillahV
456 : HackersParadise
555 : Phase Zero
666 : Attack FTP
1001 : Silencer
1001 : Silencer
1001 : WebEx
1010 : Doly Trojan 1.30 (Subm.Cronco)
1011 : Doly Trojan 1.1+1.2
1015 : Doly Trojan 1.5 (Subm.Cronco)
1033 : Netspy
1042 : Bla1.1
1170 : Streaming Audio Trojan
1207 : SoftWar
1243 : SubSeven
1245 : Vodoo
1269 : Maverick's Matrix
1492 : FTP99CMP
1509 : PsyberStreamingServer Nikhil G.
1600 : Shiva Burka
1807 : SpySender
1981 : ShockRave
1999 : Backdoor
1999 : Transcout 1.1 + 1.2
2001 : DerSpaeher 3
2001 : TrojanCow
2023 : Pass Ripper
2140 : The Invasor Nikhil G.
2283 : HVL Rat5
2565 : Striker
2583 : Wincrash2
2801 : Phineas Nikhil G.
3791 : Total Eclypse (FTP)
4567 : FileNail Danny
4950 : IcqTrojan
4950 : IcqTrojen
5000 : Socket23
5011 : OOTLT
5031 : NetMetro1.0
5400 : BladeRunner
5400 : BackConstruction1.2
5521 : IllusionMailer
5550 : XTCP 2.0 + 2.01
5569 : RoboHack
5742 : Wincrash
6400 : The tHing
6669 : Vampire 1.0
6670 : Deep Throat
6883 : DeltaSource (DarkStar)
6912 : Shitheep
6939 : Indoctrination
7306 : NetMonitor
7789 : iCkiller
9872 : PortalOfDoom
9875 : Portal of Doom
9989 : iNi-Killer
9989 : InIkiller
10607 : Coma Danny
11000 : SennaSpyTrojans
11223 : ProgenicTrojan
12076 : Gjamer
12223 : Hackด99 KeyLogger
12346 : NetBus 1.x (avoiding Netbuster)
12701 : Eclipse 2000
16969 : Priotrity
20000 : Millenium
20034 : NetBus Pro
20203 : Logged!
20203 : Chupacabra
20331 : Bla
21544 : GirlFriend
21554 : GirlFriend
22222 : Prosiak 0.47
23456 : EvilFtp
27374 : Sub-7 2.1
29891 : The Unexplained
30029 : AOLTrojan1.1
30100 : NetSphere
30303 : Socket25
30999 : Kuang
31787 : Hack'a'tack
33911 : Trojan Spirit 2001 a
34324 : Tiny Telnet Server
34324 : BigGluck TN
40412 : TheSpy
40423 : Master Paradise
50766 : Fore
53001 : RemoteWindowsShutdown
54320 : Back Orifice 2000 (default port)
54321 : Schoolbus 1.6+2.0
61466 : Telecommando
65000 : Devil 1.03


การใช้งานโปรแกรม Essential NetTools

หา download ได้ที่ http://www.web-hack.ru/download/info.php?go=4



1. เมื่อเรียกโปรแกรมมา ให้กดที่วงกลมเลข 1 เพื่อเป็นการเรียกโปรแกรม netstat การแสดงผลจะเหมือนโปรแกรม netstat

2. เลข IP เครื่องที่กำลังรันโปรแกรมนี้ ก็คือเครื่องคุณเอง

3. Port ที่เครื่องนี้ได้เปิดอยู่

4. เลข IP เครื่องอื่นๆที่เข้ามาติดต่อกับเครื่องที่กำลังรันโปรแกรมนี้ คือเครื่องที่มา hack คุณ หรือเป็น IP เว็บต่างๆที่คุณได้เข้าชมอยู่

5. port ที่เครื่องอื่นๆเปิด เพื่อจะมาติดต่อกับเครื่องผม หรือเครื่องที่กำลังรันโปรแกรมนี้

6. เป็นสถานะการติดต่อ

7. เหมือนกับข้อ 4 แต่อันนี้จะเป็นชื่อเครื่องนั้นหรือเว็บที่เราเปิดอยู่ โดยชื่อนี้จะแทน IP ก็ได้เหมือนเวลาพิมพ์เข้าเว็บต่างๆ (ผมพยายามพูดแบบพื้นๆนะ)


ขอข้ามขั้นตอนก่อน ต่อจากข้างบน (เครื่องโดน hack)  ถ้ามีเครื่องอื่นที่เข้ามา คุณสามารถยกเลิกการติดต่อได้โดยคลิกขวาที่บรรทัดที่คุณสงสัยว่า IP นั้นเข้ามาละเมิดเครื่องคุณ และทำตามรูปข้างล่างนี้ ซึ่งการที่คุณจะสามารถเอาเครื่องที่เชื่อมต่อกับคุณ (hack คุณอยู่) ซึ่งสงสัยว่าใช่แน่ๆ จากรูปด้านล่างนี้ มีเครื่องที่มี IP 203.18.74.110 ได้กำลังแสกนเครื่องผมที่ Port 139 หรือ netbios-ssn อยู่ ผมรู้ได้เราะว่าสถานะที่ State = TIME_WAIT

แต่ถ้าสถานะที่ State = ESTABLISHED  หมายถึงได้มีการเชื่อมต่อที่สมบูรณ์แล้ว คืออาจมีการรับ/ส่งไฟล์ หรือโดน hack อยู่ก็เป็นได้ คุณสามารถที่จะคลิกขวาที่บรรทัดนั้น แล้วเลือก Terminate Conneciton Del เพื่อเป็นการยกเลิกการเชื่อมต่อระหว่างเครื่องคุณกับเครื่องนั้นๆ แต่ตัวอย่างที่ผมทำให้ดูนั้นเป็น Port การเชื่อมต่อของ MSN (การยกเลิกเชื่อมต่อนั้น สถานะที่ State = ESTABLISHED เท่านั้นถึงจะทำได้)




การหาโปรแกรมที่เปิด Port

เมื่อคุณทราบว่าเครื่องได้มีการเปิด Port ที่คุณไม่ต้องการให้เปิด อาจเป็นพวกโปรแกรมโทรจันต่างๆที่แอบเข้ามาเปิด ซึ่งคุณสามารถหาที่อยู่โปรแกรมได้โดย คลิกขวาที่บรรทัดที่มีการเปิด Port ที่คุณคิดว่าเป็นโทรจัน หรือคุณต้องการที่จะปิด Port นั้นๆ และเลือก File Properties หรืออาจเลื่อน Tab ด้านล่างของหน้าต่างบนไปทางขวา แล้วดูตรงช่องขวาสุด (ดูจากรูปบนนี้นะคับ แต่เลือกอีกอัน) โปรแกรมจะบอกว่า ไฟล์อะไรและอยู่ที่ไหนที่ทำให้เปิด Port นั้นๆแล้วตามไปลบได้เลยครับ

แต่ถ้าจะให้ดี คุณต้องมีความรู้เกี่ยวกับการใช้ regedit เพื่อที่คุณจะต้องไปหา KEY-VALUE-DATA ใน regedit เป็นการถอนรากถอนโคนโปรแกรมที่มาเปิด Port เครื่องของคุณ ซึ่งผมจะขอเอาข้อความใน Pantip ที่เคยได้โพสในกระทู้ แต่ถ้าแค่เอาออกเฉยๆ

start >> run  พิมพ์ regedit  กด enter

โปรแกรมโทรจันส่วนใหญ่มันจะอยู่ที่ Registry ตามข้างล่างนี้ครับ ให้ลองไปหาดูที่นี่ก็ได้

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce

มันจะมีตัวแปร Value ทางด้านขวามือเพื่อที่จะเรียกโปรแกรมโทรจัน ลบได้เลยครับ แต่ถ้าคุณอยากที่จะหาแบบละเอียด เอาให้หมดจด ก็วิธีด้านล่างนี่เลยครับ

ไปที่เมนู edit >> find จะมีหน้าต่างค้นหาขึ้นมา ติ๊กเครื่องหมายถูกให้หมดนะคับ จากนั้นพิมพ์ "ชื่อไฟล์ที่ได้เปิด Port" (ไม่ต้องใส่ฟันหนูนะ) แล้วกดปุ่ม find เมื่อเจอคุณสามารถที่จะลบได้เลย แต่ส่วนใหญ่จะอยู่หน้าต่างด้านขวาของโปรแกรม regedit  ซึ่งเป็นตัว data ใช้ในการรันโปรแกรม (ถ้าคุณแน่ใจว่าเป็นโทรจันจริงๆลบได้เลย) จากนั้นให้คุณไป search/find ในไดรว์ C, D ของคุณต่อไปว่าไฟล์ที่ว่านั้นได้เก็บอยู่ที่ไหน ให้ตามไปลบอีกที

แต่ยังอยากเก็บโปรแกรมที่ว่าอยู่ ให้ไปที่ start >> run  พิมพ์ msconfig แล้วคุณหาเมนู Tab StartUp และหาโปรแกรมที่ว่าในนั้น พอเจอแล้วเอาเครื่องหมายถูกหน้าโปรแกรมที่ว่าออก

คำเตือน  ในการที่จะลบ คุณจำเป็นต้องเข้าใจว่า ตรงที่ๆคุณได้เจอนั้นลบไปแล้ว จะไม่เกิดปัญหาที่จะตามมาทีหลัง เพราะบางทีอาจทำให้เครื่องมีปัญหาตามมาทีหลัง คุณอาจปล่อยทิ้งไว้ก็ได้ ต้องแน่ใจจริงๆว่าที่คุณได้ลบไป เป็นโปรแกรมที่คุณไม่ต้องการให้รันมาทุกครั้ง (โทรจัน) เมื่อตอนคุณบูทเครื่อง

เมื่อได้ลบใน REGISTRY ไปแล้ว ค่อยตามไปลบในไดรว์ที่คุณเจอตามปรกติ ซึ่งโปรแกรมได้บอกที่อยู่ของไฟล์มาแล้ว จากที่อธิบายมาข้างบน หรือคุณอาจไปปิด Service ที่เครื่องคุณได้เปิด โดยการไปที่ Start >> Run  พิมพ์ Services.msc ; ใช้ได้กับ Win200/XP จะมีหน้าต่างขึ้นมาดังรูปข้างล่างนี้ ส่วน Win 98/ME คุณแค่ตามไปลบที่อยู่ของไฟล์กับที่ REGISTRY



ทางหน้าต่างด้านขวานั้น เป็นตัวที่เปิด/ปิด Service ต่างๆ และมีคำอธิบายต่างๆอยู่แล้ว พร้อมทั้งมีการบอกสถานะต่างๆด้วยว่า ได้ทำงานแบบใด (Auto-Manual-Disadle) กำลังทำอยู่หรือไม่ (Start-หรือเป็นช่องว่างๆ) สามารถที่จะกำหนดได้ว่าจะให้เป็นแบบไหน แต่ผมแนะว่าถ้าไม่แน่ใจใน Service นั้นๆที่คุณสงสัย ให้กำหนดการทำงาน Service เป็นแบบ Manual จะดีกว่า

และคุณต้องเข้าไปดูในแต่ละ Service เองแต่ละตัว ก็คือพวกโปรแกรมที่เปิด Port  ซึ่งต้องดับเบิ้ลคลิกเข้าไปว่า มีโปรแกรมไหนเปิดบริการแชร์ต่างๆที่ไม่จำเป็น ให้เอาออกได้ แต่คุณต้องระวังให้ดี บางอย่างถ้าคุณเอาออกไป เครื่องอาจมีอาการแปลกๆก็ได้ครับ ทางที่ดีควรจดไว้ทุกครั้งว่า ค่าเดิมเป็นอย่างไร และเปลี่ยนอะไรไปบ้าง และทุก Service ที่เห็นในนั้น เมื่อคุณเบิ้ลคลิกเข้าไป จะมีหน้าต่างขึ้นมา มันจะบอกว่าเป็นไฟล์อะไรที่รัน Service รวมทั้ง Option ด้วย ดังรูป



ตรงเลข 1 จะบอกไฟล์ที่รัน Service ตัวนั้นๆ พร้อมทั้ง Option ต่างๆที่ได้รันขึ้นมาเมื่อคุณบูทเครื่อง ตรงนี้อยากให้ทุกท่านได้เปิดดูโปรแกรม Essential NetTools ไปด้วยว่าตรงกับ Port ไหน

ตรงเลข 2 จะเป็นการกำหนดให้ Service ตัวนั้นๆทำงานแบบไหน ถ้าเป็นเรื่องเกี่ยวกับ Port ไม่ควรให้เป็นแบบ Auto ควรจะตั้งให้เป็นแบบ Manual จะดีกว่า คือคุณสามารถที่จะเรียกขึ้นมาก็ได้ แต่ถ้าคุณไม่เรียก Service นั้นก็ไม่ทำงาน และคุณสามารถยกเลิกได้ด้วยเมื่อเลือก Disable

ตรงเลข 3 ต่อจากเลข 2 นิดๆ ก่อนที่คุณจะเลือก Disable Service ตัวนั้นๆที่คุณไม่ต้องการให้มันรันขึ้นมาตอนบูทเครื่อง (เปิด Port) ให้คุณลองกดปุ่ม Stop เพื่อเป็นการทดสอบดูก่อน ว่ามีผลกระทบแบบไหน เมื่อเราได้ปิด Service ตัวนั้นๆ ถ้าไม่มีปัญหาใดๆเกิดขึ้น ค่อยไป Disable Service ตัวนั้นๆตามหมายเลข2 ที่ได้ชี้


โดยปรกติแล้ว ถ้าคุณใช้โปรแกรมในดอส netstat -an เพื่อดูการเชื่อมต่อใน Internet ระหว่างเครื่องคุณกับเครื่องอื่นๆ คุณจะต้องคอยพิมพ์ไปเรื่อยๆด้วยคำสั่งเดิมซ้ำ เพื่อดูการเชื่อมต่อที่ update ตลอดเวลา แต่โปรแกรม netstat ในโปรแกรม Essential NetTools จะมีการ update ทุกๆ 5 วินาที ซึ่งเป็นข้อดีของโปรแกรมนี้ เป็นค่า Default ของโปรแกรมอยู่แล้ว สามารถที่จะเปลี่ยนเวลาให้เร็ว/ช้าได้ เป็นวินาทีตามที่คุณต้องการ และการเซ็ทค่าอื่นๆในโปรแกรม เพื่อให้ง่ายต่อการเข้าใจ ดังรูปด้านล่างนี้ ก่อนอื่นให้ทำตามนี้ก่อน (ไปที่เมนู Settings >> Option...)


การใช้งาน NBScan

เป็นโปรแกรมอีกตัวที่ผมชอบใช้ ซึ่งโปรแกรมนี้อยู่ใน Essential NetTools โปรแกรมจะบอกรายละเอียดชื่อเครื่องต่างในวงแลน อินเตอร์เน็ตที่คุณใช้อยู่ จากรูปด้านล่างนี้ ผมได้ Copy IP เครื่องผมไว้ตรงโปรแกรม Netstat เพื่อที่จะทำการแสกนวง Network จาก Internet ที่ผมใช้อยู่ โดยการคลิ๊กขวาที่ IP ของเครื่องผมเอง (ขออธิบายแบบผ่านๆ เพราะไม่ต้องเข้าใจมาก คุณก็ทำได้)



การ Copy Local IP Address คือการ Copy IP ของเครื่องเรานั่นเอง แต่ถ้าคุณเลือก Copy Remote IP Address จะเป็นการ Copy IP เครื่องที่ได้มีการเชื่อมต่อกับคุณอยู่ ซึ่งอาจเป็น WebSite หรือเครื่องอื่นๆ คุณจะรู้ได้จากการสังเกตที่ Rem. Port ครับ แต่จากรูปด้านบน ผมได้ Copy IP เครื่องของผมเองครับ เพื่อจะนำไปใช้ในโปรแกรม NBScan เมื่อได้ Copy IP เครื่องของผมเองแล้ว ให้เรียกโปรแกรม NBScan ดังรูปด้านล่าง



Hack ในวง Network ของวงที่คุณใช้อยู่ จะง่ายกว่าการไป Hack วงอื่นๆ เช่นคุณใช้ KSC แต่จะไป Hack TA จะต้องใช้เทคนิคเพิ่มขึ้นอีก แต่หลักการเดียวกันครับ จะทำให้ยาก และวิธีการดูวง Network ให้สังเกตที่ IP ก็พอครับ แต่ถ้าอยากรู้ลึก ลองไปหาอ่านเอาเอง ผมจะอธิบายคร่าวๆ อย่างตอนนี้ผมมี IP = 203.152.4.42 วงของผมก็จะมีเครื่องที่มี IP ตั้งแต่ 203.152.4.1 ถึง IP 203.152.4.255

1. เป็นการเรียกโปรแกรม NBScan

2. ให้นำ IP ที่คุณได้ Copy มาวางในช่องนี้ จะเห็นว่า IP ของผมได้เป็น 203.152.4.42 การที่จะแสกน วง Network จาก Internet ที่ผมใช้อยู่ต้องเปลี่ยนช่วง โดยเปลี่ยนแค่ตัวเลขชุดท้ายสุดเท่านั้น เป็น 1-255 เพราะไม่ว่าคุณจะมี IP ใดๆก็ตาม เปลี่ยนแค่ชุด IP ตัวท้ายสุดเท่านั้น

3. ผลจากการแสกนวง Network จาก Internet ที่ผมใช้ เครื่องที่อยู่ในวงเดียวกับผม และผมได้คลิ๊กเครื่องที่ชื่อ VPN_JB ซึ่งมี IP = 203.152.4.52

4. ความหมายของ NetBIOS Service Code ซึ่งต้องสังเกตตัวที่อยู่หน้าโค้ดเครื่องหมายนี้

<00> -- คือจะเป็นตัวบอกถึงชื่อเครื่องและชื่อบริการ
<03> -- คือชื่อเครื่องและบางเป็นชื่อของ Admin ที่ได้ Login (อันนี้สำคัญ ถ้าเจอเข้า คุณอาจ Hack เพื่อเอา Password โดยใช้ชื่อที่อยู่ข้างหน้าโค้ดอันนี้)
<20> -- คือ Server Service และอาจเป็นชื่อผู้ใช้ทั่วไปในเครื่อง
<1D> -- คือ Master Browser
<1E> -- คือ Browser Service Election
<1B> -- คือ Domain Master Browser

ที่ผมอธิบายไปนั้น เอาแบบที่สำคัญเท่านั้น (เป็นภาษาไทย) ตรงที่เราจะต้องเน้นมีอยู่ 2 โค้ด ได้แก่ <00> , <03> ซึ่งเป็นสิ่งสำคัญการรวมข้อมูลก่อนการ Hack ซึ่งหลักๆเราจะสังเกตุ <03> เพราะเป็นชื่อของ Admin ที่ใช้งานอยู่ ซึ่งถ้าเราถอดรหัส Password ได้แล้ว เราก็จะสามารถควบคุมเครื่องเป้าหมายได้ง่ายขึ้น โดยเราจะไม่สนใจ <20> เลย เพราะเป็นแค่ชื่อบัญชีผู้ใช้ธรรมดาก็ได้ ถึงถอดรหัสได้ ก็ทำอะไรไม่ได้อยู่ดี เราสนแต่ Admin ลองคิดดูว่าถ้าคุณกลัวโดน Hack ก็พยายามอย่าใช้ชื่อบัญชี Admin ล็อกอินเข้าอินเตอร์เน็ตนะครับ (ซึ่งข้อมูลเกี่ยวกับชื่อ Admin ที่ได้มาจากโปรแกรมนี้นั้น อาจไม่ใช่ 100% เสมอไป) แต่ก็มีความเป็นไปได้สูงครับ

ทีนี้จากเครื่อง VPN_JB ซึ่งมี IP = 203.152.4.52 ที่ผมได้คลิ๊กเลือกมา ทำให้ได้รู้ว่า Admin เครื่องนี้คือชื่อ VPN_JB  ซึ่งดูได้จากชื่อที่อยู่หน้าโค้ด <03> จะเป็นข้อมูลที่มีประโยชน์มากในการถอดรหัสโดยการใช้โปรแกรม NetAudit ที่มีมาในโปรแกรมนี้ ซึ่งจะทำให้รู้ถึงชื่อ Admin ซึ่งเป็นเรื่องที่จำเป็นอย่างยิ่ง เพราะการถอด Password นั้น เราต้องรู้ชื่อ Admin ที่ใช้เครื่องนั้นๆพร้อมกับไฟล์ Password ซึ่งหาได้ทั่วไป และในโปรแกรมนี้ก็มีแถมมาให้ด้วย ลงมือกันเลย



1. เป็นการเรียกโปรแกรม NetAudit

2. ใส่ IP Address เครื่องที่ต้องการจะ Hack ซึ่งผมได้เอาเครื่องตัวอย่างจากข้างบน

3. เป็นการดึงเอาคำต่างๆมาจากไฟล์ในโปรแกรมนี้ ซึ่งอยู่ในโฟล์เดอร์ C:\Program Files\EssNetTools3 เพื่อที่จะนำมาถอดรหัส ซึ่งไฟล์ที่ว่านี้ชื่อ userlist.txt จะเป็นไฟล์ที่ใช้เก็บชื่อ User ต่างๆ กับ passlist.txt เป็นไฟล์เก็บคำที่เป็น Passwords แต่ในการใช้งานจริงๆ คุณไม่สามารถเปลี่ยนชื่อไฟล์ 2 ตัวนี้ได้ แต่คุณสามารถเพิ่มชื่อและ Passwords เข้าไปในทั้ง 2 ไฟล์นี้ได้ โดยการกดที่ปุ่มหรือคุณจะเอาคำที่เป็น Passwords มาจากไฟล์อื่นๆมาใส่ในไฟล์ passlist.txt เลยก็ได้

** ขอแนะว่า  ไฟล์ userlist.txt ต้องลบชื่อ Users ที่มีอยู่ให้น้อยที่สุด เพราะว่าคุณจะไปเสียเวลากับการที่โปรแกรมยิง Pass ไปที่เครื่องเป้าหมายในชื่อ User ที่ไม่มีในเครื่องนั้น ทางที่ดีควรใช้แต่ชื่อ User ที่มีอยู่ในเครื่องเป้าหมายเท่านั้น

4. กดเพื่อเริ่มถอดรหัส Password เครื่องเป้าหมาย

และเมื่อคุณสามารถถอดรหัสได้แล้ว คุณสามารถที่จะ Map Drive เครื่องฝ่ายตรงข้ามได้ สามารถดูโฟล์เดอร์ต่างๆในเครื่อง ซึ่งการ Map Drive ทำได้โดยการเปิด Window Explorer แล้วไปที่เมนู Tools >> Map Network Drive



1. จะเป็นการเลือกไดรว์ที่เราต้องการให้โปรแกรมนั้นสร้างมาในเครื่องของเราครับ แต่ภายในไดร์วนี้ จะมีแต่ข้อมูลของเครื่องที่เราไป Map มาได้ คือเราจะเห็นโฟล์เดอร์ต่างๆจากเครื่องเป้าหมายที่เราได้ ชื่อคนใช้ที่เป็น Admin กับ Password มาแล้วจากข้างต้น

2. ให้ใส่ IP และ Share ของเครื่องเป้าหมาย เช่น \\203.152.4.52\IPC$ หรือ \\203.152.4.52\C$

คงพอแค่นี้ก่อนนะครับ  แล้วอาจมีอื่นๆมาเพิ่มเติมทีหลัง