4木马攻击实验

《4木马攻击实验》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、木马攻击实验【实验内容】灰鸽子木马是网络上常见的并且功能强人的远程后门软件。采用dll注入技术，开启服务程序，从而实现远程控制的冃的。本实验以灰鸽子木马为例进行如下实验内容：(1)木马制作⑵木马种植(3)查看木马验证和系统状态(4)卸载灰鸽子木马【实验原理】木马，全称为特洛伊木马(TrojanHorse)o“特洛伊木马”这一词最早出先在希腊神话传说中。计算机木马程序一般具有以下几个特征：主程序有两个，一个是服务端，另一个是控制端。服务端需要在主机执行。当控制端连接服务端主机后，控制端会向服务端主机发出命令

2、。阳服务端主机在接受命令后，会执行相应的任务。灰鸽子是国内一款箸名后门软件,是国内后门软件的集大成者。具有丰富而强人的功能、灵活多变的操作、良好的隐藏性。客户端简易便捷的操作使刚入门的初学者都能充当黑客。当使用在合法悄况下时，灰鸽了是一款优秀的远程控制软件。但如果拿它做一些非法的事，灰鸽子就成了很强大的黑客工具。【实验环境】Windows实验台所需工貝：灰鸽子客八端软件【实验步骤】启动Windows实验台，并设置实验台的IP地址，以实验台为1=1标.1：机进行实验。个别实验学生可以以2人一组的形式，互为攻

3、击方和被攻击方來进行。一、木马制作(1)根据攻防实验制作灰鸽了木马，配置安装冃录，如图2.4.3-1所示。⑵启动项配置，如图2.43-2所示。图2.4.3-1图2.43-2⑶高级设置，选择使用浏览器进程启动。并生成服务器程序，如图2.4.3・3所示。r图2.4.3・3二、木马种植(1)通过漏洞或溢岀得到远程主机权限，上传并运行灰鸽子木马。(2)本地对植入灰鸽子的主机进行连接，看是否能连接灰鸽子。三、木马分析(1)察看端口瓷甞的眷户端服务器启动Z后，会发现本地灰鸽子客户端冇主机上线，说明灰鸽了已绎启动成功，

4、如图2.43-4所示。图243・4查看远程主机的开放端口如图2.43-5所示，肉鸡192.168.50.151止在与木地192.168.50.40连接，表示肉鸡已经上线，可以对英进行控制。~c：TCP0.0.0.0：10290.0.0.0:0LISTENINGTCP0.0.0.0：14330.0.0.0:0LISTENINGTCP192.168.50.151:1390.0.0.0:0LISTENINGTCP192.168.50.151:445192.168.50.40:1429ESTABLISHEDTCP

5、192.168.50.151:1031192.168.50.1:139TIME^UAITTCP192.168.50.151:1034192.168.50.1:139TIME.WAITTCP192.168.50.151:1036192.168.50.40:8000ESTABLISHEDUDP0.0.0.0：445：UDP0.0.0.0：500UDP0.0.0.0：1026M：MUDP0.0.0.0：1030M：MUDP0.0.0.0：1434：UDP0.0.0.0：3456M：MUDP0.0.0.0：450

6、0M：MUDP127.0.0.1:53M：MUDP127.0.0.1:123：UDP127.0.0.1:1025UDP127.0.0.1:1032M：MUDP127.0.0.1:3456M：MUDP192.168.50.151:53：UDP192.168.50.151:123UDP192.168.50.151:137M：MUDP192.168.50.151:138M：MC：DocunentsandSettingsrtdninistratoi>exe图2A3-5(2)查看进程启动icesWord检查开放

7、进程,进程中多出TIEXPLORE.exe进程,如图2.43-6所示；这个进程即为启动灰鸽子木马的进程，起到了隐藏灰鸽子自身程序的目的。文件转储插件外观帮助一X需log国功能进程：31进程•炳口启动组进程映像名称进程IDI程序名称I基本忧先级EPROCESS—▲I^SVCMDST.EXE908C:Wlim0WSSystefn32SVCH0ST.EXE80x821066D02jSVCWJST.EXE972C:WnrD0WSSystem32SVCH0ST.EXE80x822S6D88GfMSDTC.

8、EXE1188C:VIllD0WSSystem32MSDTC.EXE80x8215CB58l^mscorsw.exe1304C:HHDOISMicrosoft.NETFramworkv2.0.50720.・・80x821DD558_3dhs.exe1344C:WlimOWSSystefn32DNS.EXE80x8212S3E0221inetinfo.exe1388C:WnrD0WSSystem32INET