Exp2 后门原理与实践 20204308李文艳

1. 基础问题

1.1 例举你能想到的一个后门进入到你系统中的可能方式？

• 插入不明来源的U盘
• 安装网上一些不正规的破解软件
• 在一些非正规的网站下载资源
• 在钓鱼网站上点击不安全的链接
• 陌生人发来的邮件中，不明的文件或者链接
• 打开文档宏，执行的代码中注入后门

1.2 例举你知道的后门如何启动起来(win及linux)的方式？

• Win：任务计划程序，设置开机自启动，安装伪装成服务，和其他文件捆绑，利用powershell。
• Linux：通过cron指令制定任务来启动程序、各种脚本，和其他文件捆绑。

1.3 Meterpreter有哪些给你印象深刻的功能？

让我印象最深的是窃听窃照，甚至是键盘敲击的记录。
这些在此之前通过阅读斯诺登《永久记录》中，描述了美国能够监听民众摄像头、在键盘上敲击的字母等场景，当时只是感到很震惊和不可思议。
如今自己通过实验，利用Meterpreter自己就可以将这些操作实践成功，这让我对这些不再震惊与无知，并明白实现这样一件事情对于黑客来说是轻而易举的。

1.4 如何发现自己有系统有没有被安装后门？

• 检查是否有不常用端口开放；
• 检查是否有系统文件被修改；
• 检查是否有可疑程序被执行；
• 观察系统运行速度和内存有没有明显变化；
• 观察注册表等。

2. 实验总结与体会

2.1 细节决定成败

在做实验过程中出现了许多小问题，在之后的问题排除过程中可以发现近80%的问题是由于小细节，比如单词拼写错误，缺少空格等，这些问题只要再细心一些就可以避免。

2.2 理解原理很重要

理解实验背后的原理，才能够在出现问题时更好的去寻找问题的原因。这次实验在何时使用何方的IP地址这一问题，就考验了我们对实验的理解。反连接，也就是靶机在“不知情”的情况下连接了攻击机，而攻击机需要实时地监听靶机。

2.3 提升网络安全意识

通过这样比较基础的后门实践，让我再次产生了一种危机感，斯诺登曝光的棱镜门事件美国监控全球，在实验前我只是感到不可思议和震惊，通过这次事件了解了能够实现其中监控的一个小原理，这让我感到自己又懂了些小知识 （半桶水都没有） 。 同时通过后门原理的学习，让我更加注重科学安全上网，尽量不落入一些后门、木马等全套，防范意识得到了一定程度的提高。

2.4 学会利用好的工具

通过网络攻防这么课程，开启了我的第一篇小博客。课堂上和看见其他课题负责人的实验报告之后，我决定去用博客来写实验报告。在这个过程中，我自主去了解其格式，markdown 语法，下载markdown 编译器（Typora）。这篇实验报告下来确实感觉markdown语言去做笔记很方便，很开心开启了我学习生涯的不一样的做笔记形式~

Live and learn

3. 实践过程记录

3.0 环境准备

为了方便之后实验中后门程序的运行，提前关闭Windows主机上的杀毒软件和防火墙。

3.0.1 获取IP地址

因为本次实验需要演示两主机间互相连接、反弹连接、注入后门等操作，因此需要先查询主机ip地址。

Windows：打开cmd窗口，输入ipconfig
查询到本机ip地址为172.30.7.176

Linux：打开命令行窗口，输入ifconfig
查询到虚拟机IP地址为192.168.191.128

3.0.2 ncat、socat、Meterpreter基础知识

• ncat

  ncat即Netcat。Netcat用于从TCP/UDP连接中读取或发送网络数据。ncat可用来做端口扫描、端口转发、连接远程系统等。
  参数解释：
  -l：监听端口，监听入站信息
  -p：后跟本地端口号
  -v：显示端口的信息
  -vv：显示端口更详细的信息

• socat

  socat可以看做是 Netcat 的加强版。Socat的主要特点就是在两个数据流之间建立双向通道，且支持众多协议和链接方式，如IP，TCP，UDP，IPv6，pipe，exec，system，open，proxy，openssl，socket等。
  功能​：端口转发​、​端口映射​、​端口监听、​tcp/udp连接​、​文件传送​、​nat映射​、使用openssl加密传输​

• Meterpreter

  Meterpreter号称“黑客瑞士军刀”，首先他有五大模块功能：渗透攻击（Exploit）、攻击载荷（Payload）、Shellcode、模块（Module）、监听器（Listener），功能强大

3.1 使用netcat获取主机操作Shell，cron启动

3.1.1 Windows获取Linux Shell

本实验使用的端口号均为本人学号：4308

• Windows用命令 ncat.exe -l -p 4308 监听4308端口，等待其他机器连接该端口。