信息对抗技术-后门 研究生课程 教学课件.ppt

信息对抗技术 韩 宏 后门程序 当我们入侵到系统后，如何为自己未来的工作留下方便之门呢？ 最简单就是安装一个程序，可以方便自己随时访问该主机。形象的说，这就是一个“后门”。 后门的功能 关键是对系统的控制 可以接受控制台方式的命令，就像一个telnet. 可以远程控制GUI,比如监视对方的屏幕，控制对方的主机。 最简单的后门 最简单的后门就是一个处于监听方式的网络服务程序。 获得一个远程shell 为了获得远程shell，我们有两种方法： （1）是每次收到client发送的命名后，调用命令解释器，再windows下我们调用Winexec或CreateProcess，构造一个进程，而该进程就是命令解释器(shell)—cmd.exe. 在unix/linux下可以用system命令。 CreateProcess(nil, PChar(cmd /c + cmdline), nil, nil, False, 0, nil, nil, SI, PI) 比如执行dir c:命令就可以写成： CreateProcess(nil, PChar(cmd /c dir c:, nil, nil, False, 0, nil, nil, SI, PI) (2)直接修改cmd.exe的输入输出和错误输出管道。用命名管道替换他们。然后将网络接收到的字符串输入到管道，并从管道读出数据，而这些数据就是cmd的输出。 构造一对管道 BOOL CreatePipe( PHANDLE hReadPipe, // address of variable for read handle PHANDLE hWritePipe, // address of variable for write handle LPSECURITY_ATTRIBUTES lpPipeAttributes, // pointer to //security attributes DWORD nSize // number of bytes reserved for pipe ); 查询管道中是否有数据可读 BOOL PeekNamedPipe( HANDLE hNamedPipe, // handle to pipe to copy from LPVOID lpBuffer, // pointer to data buffer DWORD nBufferSize, // size, in bytes, of data buffer LPDWORD lpBytesRead, // pointer to number of bytes read LPDWORD lpTotalBytesAvail, // pointer to total number of //bytes available LPDWORD lpBytesLeftThisMessage // pointer to unread bytes //in this message ); 从管道中读取数据用ReadFile BOOL ReadFile( HANDLE hFile, // handle of file to read LPVOID lpBuffer, // address of buffer that receives data DWORD nNumberOfBytesToRead, // number of bytes to read LPDWORD lpNumberOfBytesRead, // address of number of bytes read LPOVERLAPPED lpOverlapped // address of structure for data ); 和cmd绑定的步骤 首先构造两对管道，一对替换标准输出和错误输出，一对替换标准输入 然后用CreateProcess执行cmd.exe 然后通过正常的listen, bind,accept打开一个服务 通过管道和socket收发数据 构造两对管道，一对替换标准输出和错误输出，一对替换标准输入 var