20145304 刘钦令 Exp2 后门原理与实践
基础问题回答
(1)例举你能想到的一个后门进入到你系统中的可能方式？
- 浏览网页时，或许会触发网站中隐藏的下载代码，将后门程序下载到默认地址。
- 下载的软件有后门。
(2)例举你知道的后门如何启动起来(win及linux)的方式？
- 开机自启动。
- 隐藏在常用软件中，点击软件便启动。
(3)Meterpreter有哪些给你映像深刻的功能？
- 印象都很深刻，简直吓人，开启摄像头，虽然做实验时并未成功，提示操作失败，上网查也没有找出解决方案，不清楚是自己的操作问题还是他人也无法打开，但感觉应该是操作的问题。录制音频、视频，感觉可以监控一个人的生活，捕捉桌面、捕获击键记录可以轻松的知道你所以的用户名以及对应的密码。
(4)如何发现自己有系统有没有被安装后门？
- 依靠防火墙和安全软件。
- 查看进程和端口，有没有比较可疑的东西。
实验总结与体会
这次实验，让我真正体验到了之前听说的一些入侵攻击方法，因为攻击者和被攻击者都是自己，所以实验过程中惊喜与惊吓并存，想到之前自己不及时打补丁，没有定期查毒杀毒，对于一些警告选择强行执行等行为，默默的贴住了摄像头。
未关闭MSF时，我打开了防火墙与安全软件，不一会儿出现了安全警告，提示键盘记录被读取，好感激我电脑上的安全软件。但目前我们的实验所用的后门很基础，所以电脑还是处在一定的风险中。
养成良好的使用计算机的习惯很重要。
实践过程记录
准备工作
-
查看win IP
-
查看Linux IP
使用netcat获取主机操作Shell，cron启动
1.Win获得Linux Shell
win下启动netcat.exe，监听端口5304
在Linux环境下，使用nc -e 反向连接win主机的5304端口
win便可获得Linux的shell
2.Linux获得Win Shell
linux使用nc监听5304端口
win下使用ncat.exe -e 反向连接Linux主机的5304端口
Linux便可获得win的shell
3.nc传输数据
win下监听端口5304
Linux连接该端口
连接建立后，便可开始通话
3.启动cron
crontab -e编辑一条定时任务，我好像并不是第一次编辑，可能是直接用老师的虚拟机，所以文件直接打开。- 在最后一行添加内容如下图所示，实验时接近16：06，所以设置在每个小时第6分钟执行后面的指令
- 在06分时获得Linux的shell
使用socat获取主机操作Shell, 任务计划启动
-
1.新建触发器，依次点击控制面板、管理工具、任务计划程序、创建任务、填写名称后新建触发器。
-
2.设置开始任务的时机，较方便可选工作站锁定时，这样，在设置完后，只需将计算机锁定再开启便可触发该任务。
-
3.操作设置中将程序路径设置为socat.exe文件路径，添加参数处将绑定cmd.exe绑定到端口5304
-
4.锁定后开启。
-
5.执行下图命令，获得win的shell
使用MSF meterpreter生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell
-
1.关闭被攻击主机的防火墙与安全软件。
-
2.生成后门程序文件。
-
3.用nc传送文件到win
-
4.在Linux下使用
msfconsole进入msf,设置payload、反弹IP与端口（为该Linux的IP和端口，与后门程序中所写相同）
-
5.开启监听
-
6.在win的cmd下打开后门程序
-
7.Linux获得win的shell
使用MSF meterpreter生成获取目标主机音频、摄像头、击键记录等内容，并尝试提权
使用help可查找相关指令
-
1.截获音频
-
2.使用摄像头拍照
-
3.使用摄像头录像
-
4.截屏
-
5.捕获击键内容
-
6.提权
