搜索

[16340] 2021-01-19_自己动手编写远控工具及检测思路

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-01-19_自己动手编写远控工具及检测思路 自 己 动 手 编 写 远 控 工 具 及 检 测 思 路 t a m m y p i   F r e e B u f   2 0 2 1 - 0 1 - 1 9 P S ： 本 文 仅 用 于 技 术 讨 论 与 交 流 ， 严 禁 用 于 任 何 非 法 用 途 ， 违 者 后 果 自 负 在 学 习 攻 击 渗 透 的 过 程 中 ， 不 免 会 接 触 远 控 工 具 。 远 控 工 具 一 般 包 含 服 务 端 和 客 户 端 ， 服 务 端 运 行 在 攻 击 者 的 V P S 主 机 上 ， 客 户 端 运 行 在 被 攻 击 机 器 上 。 服 务 端 向 客 户 端 发 送 指 令 ， 客 户 端 执 行 指 令 并 将 结 果 回 传 给 服 务 端 ， 从 而 达 到 通 过 网 络 远 程 控 制 被 攻 击 主 机 的 效 果 。 现 有 的 远 控 工 具 很 多 ， 从 大 名 鼎 鼎 的 冰 河 到 C H A O S 。 但 是 直 接 使 用 现 有 的 远 控 工 具 ， 一 方 面 会 担 心 工 具 被 人 加 入 了 后 门 在 运 行 的 过 程 中 自 己 反 而 成 了 被 控 制 方 ， 另 一 方 面 只 会 使 用 工 具 也 会 沦 为 “ 脚 本 小 子 ” 而 不 知 道 其 背 后 的 原 理 。 本 文 详 细 介 绍 了 一 款 最 小 功 能 集 的 远 控 工 具 的 实 现 细 节 ， 按 照 步 骤 动 手 实 现 ， 不 仅 可 以 对 于 远 控 工 具 的 背 后 思 路 有 了 更 深 的 体 会 ， 也 可 以 巩 固 自 己 在 多 线 程 、 网 络 编 程 等 方 面 的 知 识 。 一 、 一 、 总 体 结 构 总 体 结 构 图 1 . 总 体 结 构 同 一 般 的 远 控 工 具 一 致 ， 我 们 要 实 现 的 这 款 工 具 也 是 包 含 服 务 端 和 客 户 端 。 服 务 端 运 行 在 V P S 主 机 上 ， 监 听 4 4 3 端 口 。 由 于 4 4 3 为 H T T P S 协 议 端 口 ， 这 样 被 攻 击 主 机 上 即 使 监 控 到 存 在 外 联 4 4 3 端 口 的 流 量 ， 也 不 太 容 易 引 起 重 视 。 所 以 在 模 拟 攻 击 者 的 过 程 中 ， 可 以 选 用 一 些 常 用 端 口 作 为 服 务 端 的 监 听 端 口 。 服 务 端 和 客 户 端 使 用 T C P 协 议 进 行 通 信 ， 利 用 多 线 程 服 务 端 处 理 多 个 客 户 端 同 时 在 线 的 情 况 。 客 户 端 捕 获 异 常 ， 当 与 服 务 端 的 通 信 连 接 断 开 触 发 异 常 时 ， 延 时 5 秒 后 重 新 发 送 连 接 请 求 。 这 样 即 使 服 务 端 出 现 了 中 途 退 出 的 情 况 ， 重 新 运 行 后 客 户 端 也 可 以 重 新 上 线 。 二 、 实 现 细 节 二 、 实 现 细 节 2 . 1   服 务 端 服 务 端 服 务 端 主 要 做 两 件 事 情 ：
使 用 s o c k e t 监 听 4 4 3 端 口 ， 使 用 独 立 的 线 程 完 成 与 客 户 端 的 通 信 ， 对 于 指 定 客 户 端 下 发 指 令 并 打 印 指 令 执 行 结 果 在 主 线 程 中 死 循 环 监 听 攻 击 指 令 输 入 （ 如 s n a p s h o t 对 于 被 攻 击 机 进 行 截 屏 、 c m d 在 被 攻 击 机 上 执 行 系 统 命 令 ） 图 2 . 服 务 端 记 录 客 户 端 连 接 流 程 图 2 即 是 服 务 端 记 录 客 户 端 连 接 的 流 程 。 客 户 端 发 来 的 第 一 条 消 息 会 是 “ H E L O , 客 户 端 I P ” ， 服 务 端 会 解 析 第 一 条 消 息 ， 并 以 客 户 端 I P 为 k e y 将 客 户 端 的 s o c k e t 保 存 到 字 典 里 。 后 续 ， 当 需 要 与 指 定 的 客 户 端 进 行 通 信 时 ， 直 接 从 字 典 里 根 据 I P 拿 到 对 应 客 户 端 的 s o c k e t 进 行 消 息 的 发 送 和 接 收 即 可 。
图 3 . 服 务 端 处 理 指 令 流 程 图 3 则 是 服 务 端 处 理 指 令 的 流 程 。 目 前 服 务 端 接 收 的 指 令 如 下 ： l s :   打 印 当 前 全 部 客 户 端 I P s n a p s h o t : 对 于 指 定 客 户 端 所 在 机 器 进 行 截 屏 。 示 例 ： s n a p s h o t   $ { c l i e n t _ i p } c l i p b o a r d : 获 取 客 户 端 所 在 机 器 的 剪 贴 板 内 容 。 示 例 ： c l i p b o a r d   $ { c l i e n t _ i p } c m d : 在 指 定 客 户 端 所 在 机 器 执 行 系 统 命 令 。 示 例 :   c m d   $ { c l i e n t _ i p }   $ { c o m m a n d } s h o w d r i v e r : 展 示 客 户 端 所 在 机 器 的 全 部 盘 符 。 示 例 ： s h o w d r i v e r   $ { c l i e n t _ i p } g e t f i l e l i s t : 获 取 客 户 端 所 在 机 器 指 定 路 径 下 的 文 件 列 表 。 示 例 ： g e t f i l e l i s t   $ { c l i e n t _ i p }   $ { p a t h } g e t f i l e : 获 取 客 户 端 所 在 机 器 指 定 文 件 。 示 例 ： g e t f i l e   $ { c l i e n t _ i p }   $ { f i l e p a t h } 当 服 务 端 接 收 l s 指 令 时 ， 直 接 将 记 录 有 客 户 端 s o c k e t 字 典 的 k e y 列 表 打 印 出 来 即 可 。 当 收 到 的 是 其 他 指 令 时 ， 由 于 指 令 的 第 二 个 参 数 是 客 户 端 I P ， 那 么 根 据 I P 得 到 对 应 的 客 户 端 s o c k e t ， 使 用 s o c k e t 将 指 令 发 送 给 客 户 端 ， 并 打 印 客 户 端 s o c k e t 的 返 回 结 果 即 可 。 2 . 2   客 户 端 客 户 端 客 户 端 主 动 连 接 服 务 端 的 4 4 3 端 口 。 在 初 次 连 接 上 时 ， 主 动 发 送 一 条 “ H E L O , 客 户 端 I P ” 消 息 标 记 自 己 。 后 续 客 户 端 则 是 持 续 循 环 等 待 服 务 端 发 送 过 来 的 指 令 ， 并 根 据 指 令 真 实 的 在 被 攻 击 上 进 行 截 图 、 获 取 文 件 列 表 等 操 作 ， 并 将 结 果 回 传 给 服 务 端 。 客 户 端 会 捕 获 异 常 ， 当 s o c k e t 出 现 异 常 后 ， 等 待 5 秒 尝 试 重 连 。
图 4 . 客 户 端 处 理 指 令 流 程 三 、 重 点 问 题 解 决 三 、 重 点 问 题 解 决 3 . 1 持 久 化 持 久 化 一 个 远 控 工 具 除 了 支 持 服 务 端 下 发 指 令 ， 客 户 端 执 行 指 令 并 回 传 结 果 的 功 能 外 ， 还 需 要 可 以 对 于 自 己 进 行 持 久 化 。 所 谓 持 久 化 ， 即 保 证 客 户 端 进 程 被 杀 死 或 者 被 攻 击 主 机 关 机 后 ， 也 可 以 在 被 攻 击 主 机 再 次 开 机 时 启 动 。 进 行 持 久 化 有 如 下 几 种 方 法 ： 写 注 册 表 将 执 行 文 件 复 制 到 启 动 目 录 将 自 己 注 入 其 他 系 统 进 程 这 几 种 方 法 各 有 优 缺 点 ， 将 执 行 文 件 复 制 到 启 动 目 录 一 般 需 要 管 理 员 权 限 ， 在 执 行 客 户 端 进 程 的 用 户 没 有 管 理 员 权 限 时 ， 复 制 会 导 致 “ P e r m i s s i o n   d e n i e d ” 错 误 。 而 写 注 册 表 和 注 入 进 程 的 行 为 ， 通 常 会 被 杀 软 作 为 高 危 项 检 测 到 。 由 于 我 们 的 这 款 远 控 工 具 只 是 学 习 使 用 ， 所 以 不 考 虑 绕 过 杀 软 的 方 法 ， 使 用 写 注 册 表 的 方 式 将 自 己 设 置 为 开 机 自 启 动 ： 图 5 . 写 注 册 表 开 机 自 启 动
主 要 的 步 骤 就 是 首 先 将 自 己 复 制 到 临 时 目 录 ， 并 且 改 名 为 s v h o s t . e x e ( 与 系 统 进 程 s v c h o s t . e x e 一 字 之 差 ) ， 同 时 将 自 己 写 入 注 册 表 的 开 机 自 启 动 项 。 3 . 2   T C P   S o c k e t 通 信 粘 包 问 题 通 信 粘 包 问 题 由 于 我 们 实 现 服 务 端 和 客 户 端 的 通 信 是 用 的 T C P 协 议 ， 而 T C P 协 议 容 易 出 现 粘 包 问 题 ， 导 致 服 务 端 接 收 到 的 客 户 端 回 传 的 图 片 或 者 文 件 是 损 坏 状 态 ， 无 法 正 确 打 开 。 所 谓 粘 包 即 客 户 端 发 送 给 服 务 端 的 多 个 包 被 粘 在 了 一 起 ， 它 产 生 的 主 要 原 因 在 于 接 收 到 数 据 包 放 在 了 缓 冲 区 里 ， 如 果 缓 冲 区 包 写 入 的 速 度 大 于 服 务 端 从 缓 冲 区 取 的 速 度 ， 服 务 端 就 会 取 到 首 尾 相 连 的 多 个 包 。 为 了 让 服 务 端 可 以 正 确 的 区 分 接 收 到 的 数 据 ， 解 决 粘 包 问 题 ， 我 们 需 要 将 传 输 的 数 据 进 行 格 式 化 。 我 们 定 义 ： 一 条 消 息 的 头 部 4 个 字 节 为 消 息 内 容 长 度 头 部 后 面 再 跟 消 息 内 容 图 6 . 发 送 格 式 化 的 消 息 当 服 务 端 接 收 到 数 据 时 ， 先 解 析 头 部 4 个 字 节 得 到 消 息 的 长 度 ， 再 根 据 这 个 长 度 得 到 消 息 正 文 。 图 7 . 处 理 格 式 化 的 消 息 3 . 3   客 户 端 打 包 为 客 户 端 打 包 为 e x e 我 们 的 这 款 远 控 工 具 使 用 的 p y t h o n 语 言 进 行 开 发 ， 而 客 户 端 主 要 运 行 在 w i n d o w s 主 机 上 。 由 于 w i n d o w s 主 机 默 认 并 没 有 安 装 p y t h o n 环 境 ， 所 以 需 要 将 客 户 端 打 包 为 e x e 使 得 它 可 以 直 接 在 w i n d o w s 主 机 上 进 行 运 行 。 将 p y t h o n 打 包 为 e x e 主 要 使 用 p y I n s t a l l e r 这 款 神 器 ， 使 用 - F 参 数 生 成 单 个 执 行 文 件 ， 使 用 - w 参 数 表 示 运 行 时 去 掉 控 制 台 窗 口 。 打 包 完 成 后 ， d i s t 目 录 下 即 会 出 现 生 成 的 e x e 文 件 。
图 8 . 将 客 户 端 打 包 成 e x e 四 、 四 、 效 果 演 示 效 果 演 示 服 务 端 运 行 时 ， 当 客 户 端 上 线 时 ， 会 打 印 客 户 端 的 I P 。 图 9 . 服 务 端 运 行 效 果 使 用 l s 命 令 ， 可 以 打 印 当 前 已 经 上 线 的 全 部 客 户 端 I P ：
图 1 0 . 打 印 全 部 客 户 端 可 以 对 于 客 户 端 所 在 机 器 进 行 截 屏 ： 图 1 1 . 对 于 客 户 端 所 在 机 器 进 行 截 屏 五 、 源 码 下 载 地 址 五 、 源 码 下 载 地 址 h t t p s : / / g i t h u b . c o m / t a m m y p i / r e m o t e _ c o n t r o l _ t o o l 强 调 ： 请 注 意 ， 本 源 码 仅 供 学 习 使 用 ， 请 勿 用 作 非 法 用 途 。 六 、 检 测 思 路 六 、 检 测 思 路 在 对 于 这 类 远 控 工 具 进 行 检 测 时 ， 重 要 的 特 征 有 以 下 两 点 ： 1 . 注 册 表 写 入 动 作 、 复 制 自 身 动 作 2 . 虽 然 与 常 用 端 口 进 行 通 信 ， 但 是 数 据 包 的 特 征 却 明 显 并 非 为 对 应 协 议 的 特 征 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理