搜索

[9321] 2015-09-08_木马的前世今生：上线方式的发展及新型上线方式的实现

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-17
2015-09-08_木马的前世今生：上线方式的发展及新型上线方式的实现 木 马 的 前 世 今 生 ： 上 线 方 式 的 发 展 及 新 型 上 线 方 式 的 实 现 F r e e B u f   2 0 1 5 - 0 9 - 0 8 0 x 0 0   前 言 前 言 在 讲 文 章 主 题 之 前 ， 我 们 还 是 习 惯 性 地 聊 ( c h e ) 一 ( c h e ) 聊 ( d a n ) 。 远 程 控 制 木 马 大 家 都 不 陌 生 ， 尤 其 是 早 期 接 触 黑 客 技 术 的 人 ， 应 该 可 以 发 现 早 在 2 0 0 7 - 2 0 0 9 年 ， 这 段 时 间 内 ， 国 内 的 “ 黑 客 技 术 ” 正 是 蓬 勃 发 展 的 时 期 ， 那 个 时 候 ， 可 谓 是 “ 战 乱 纷 争 ， 万 马 奔 腾 ” 的 年 代 ， 当 时 流 行 各 种 黑 客 技 术 ， 其 中 就 包 括 远 程 控 制 技 术 。 各 种 远 程 控 制 木 马 满 天 飞 ， 无 论 是 最 早 葛 军 编 写 的 “ 灰 鸽 子 ” ， 还 是 各 种 后 起 之 秀 的 R A T ， 简 直 不 胜 枚 举 ， 各 种 被 阉 割 的 x x x 专 用 版 ， 各 种 新 出 的 x x x R A T 。 如 各 类 国 产 远 控 木 马 、 上 兴 、 P C S h a r e 、 黑 防 的 B y S h e l l 、 黑 洞 、 冰 河 、 S R A T 、 暗 组 的 D R A T 、 X R A T 、 维 度 等 等 ， 包 括 国 外 的 一 些 C / S , B / S 型 的 远 控 木 马 也 传 入 了 国 内 ， 各 家 似 乎 都 在 比 拼 谁 的 功 能 多 ， 谁 的 免 杀 好 ， 谁 的 反 杀 软 技 术 强 。 于 是 ， 各 种 H O O K   S S D T ， R o o t k i t 级 别 的 木 马 比 比 皆 是 。 可 是 ， 后 来 因 为 国 家 的 管 控 ， 各 种 黑 客 论 坛 ， 黑 客 网 站 ， 黑 客 杂 志 相 继 关 闭 或 消 失 。 远 控 木 马 编 写 技 术 和 木 马 免 杀 技 术 也 不 再 那 么 流 行 ， 当 初 写 木 马 做 免 杀 的 “ 高 手 ” ， 如 今 早 已 从 网 络 中 销 声 匿 迹 。 引 用 王 家 卫 导 演 的 《 一 代 宗 师 》 里 边 的 一 句 话 — — “ 有 的 成 了 里 子 ， 有 的 成 了 面 子 ， 都 是 时 势 使 然 。 ” 当 然 ， 客 观 的 讲 ， 造 成 这 种 形 势 的 原 因 也 是 国 内 安 全 行 业 的 进 一 步 发 展 所 致 。 不 过 ， 我 相 信 依 旧 有 一 帮 人 还 在 这 个 领 域 埋 头 探 索 ， 在 努 力 ， 木 马 依 旧 可 以 绕 过 各 种 杀 软 。 毕 竟 ， “ 攻 永 远 超 前 于 防 ” 。 0 x 0 1   传 统 木 马 上 线 方 式 概 述 传 统 木 马 上 线 方 式 概 述 好 了 ， 聊 ( c h e ) 完 了 。 该 进 入 文 章 主 题 了 。 今 天 ， 不 谈 别 的 ， 只 “ 浅 谈 ” 木 马 上 线 技 术 的 发 展 。 最 早 的 远 控 木 马 都 是 “ 主 动 连 接 ” ， 通 俗 的 讲 是 这 样 的 ： 假 如 你 要 控 制 某 人 的 主 机 A ， 你 得 在 主 机 A 上 执 行 木 马 ，   木 马 执 行 后
会 开 启 一 个 你 提 前 配 置 好 的 端 口 ， 之 后 ， 你 要 与 该 主 机 A 建 立 连 接 ， 在 主 控 端 上 输 入 该 主 机 A 的 I P 和 端 口 ， 才 能 进 行 控 制 。 不 过 ， 后 来 因 为 互 联 网 的 进 一 步 发 展 ， 公 网 控 制 内 网 就 出 现 了 一 定 的 问 题 。 于 是 ， “ 被 动 连 接 ” 型 的 木 马 上 线 技 术 就 出 现 了 ， 和 “ 主 动 连 接 ” 的 形 式 刚 好 相 反 ， 是 木 马 即 被 控 端 主 动 来 连 接 主 控 端 。 主 控 端 开 启 一 个 端 口 ， 被 控 端 去 连 接 你 配 置 好 的 I P 地 址 。 “ 被 动 连 接 ” 也 叫 “ 反 弹 连 接 ” 。 谈 到 这 个 不 得 不 提 两 种 经 典 的 木 马 上 线 方 式 。 一 种 就 是 F T P 上 线 方 式 ， 另 外 一 种 就 是 D N S 域 名 解 析 上 线 方 式 。 灰 鸽 子 F T P 上 线 方 式 如 下 图 ： 在 你 的 F T P 服 务 器 上 写 入 一 个 i p . t x t ， 内 容 就 是 你 的 主 控 端 监 听 的 I P 地 址 和 端 口 。 当 你 的 I P 地 址 改 变 之 后 ， 你 只 需 要 再 次 更 新 这 个 i p . t x t 的 内 容 即 可 。 在 配 置 木 马 的 时 候 ， 只 需 要 按 照 F T P 上 线 方 式 的 格 式 配 置 上 线 地 址 。 如 下 图 ：
对 于 D N S 域 名 解 析 上 线 ， 一 直 是 木 马 上 线 的 最 主 要 的 方 式 ， 曾 经 最 流 行 的 就 是 3 3 2 2 和 花 生 壳 。 木 马 执 行 后 会 解 析 你 配 置 好 的 域 名 ， 然 后 去 连 接 对 应 的 I P 地 址 的 端 口 ， 进 行 通 信 。 0 x 0 2   新 型 木 马 上 线 方 式 新 型 木 马 上 线 方 式 从 大 量 的 A P T 攻 击 案 例 中 可 以 发 现 ， 当 今 的 木 马 在 运 行 的 隐 蔽 性 ， 通 信 的 穿 透 性 ， 功 能 的 多 样 性 ， 跨 平 台 性 等 方 面 有 了 很 大 的 突 破 。 在 研 究 分 析 过 程 中 ， 有 部 分 木 马 的 上 线 方 式 ， 开 始 采 用 第 三 方 域 名 进 行 通 信 。 这 无 疑 增 强 了 木 马 的 隐 蔽 性 和 反 追 踪 能 力 。 上 线 方 式 的 说 明 ， 请 看 下 图 ：
这 种 木 马 使 用 的 第 三 方 域 名 实 际 上 是 利 用 第 三 方 网 站 能 够 写 入 并 及 时 修 改 自 己 的 通 信 数 据 。 木 马 编 写 者 往 往 会 寻 找 知 名 的 网 站 ， 至 少 不 会 出 现 宕 机 的 情 况 ， 以 保 持 肉 鸡 的 持 久 性 控 制 。 这 样 的 网 站 很 多 ， 比 如 说 博 客 类 网 站 等 等 。 可 以 提 前 发 表 一 篇 博 文 ， 并 在 博 文 里 插 入 控 制 命 令 ， 之 后 特 制 的 木 马 ， 就 会 去 获 取 控 制 命 令 ， 同 时 木 马 也 可 以 模 拟 编 辑 博 文 ， 写 入 执 行 结 果 的 数 据 。 由 于 T C P 通 信 涉 及 到 s o c k e t 对 象 的 问 题 ， 部 分 木 马 会 专 门 使 用 支 持 p h p 的 第 三 方 网 站 。 并 拿 到 w e b s h e l l 后 ， 上 传 一 个 进 行 数 据 转 发 的 p h p 文 件 。 这 种 情 况 下 ， 控 制 被 控 端 的 流 畅 度 可 以 得 到 保 证 。 而 一 般 情 况 下 ， 采 用 这 种 方 式 的 木 马 都 是 使 用 了 H T T P 协 议 进 行 通 信 ， 由 于 H T T P 协 议 是 无 连 接 的 。 所 以 不 会 涉 及 到 s o c k e t 对 象 的 问 题 。 只 要 被 控 端 为 自 己 生 成 一 个 独 一 无 二 的 I D ， 即 可 与 其 他 被 控 端 区 别 开 来 。 只 要 在 编 写 代 码 的 时 候 ， 对 接 受 数 据 ， 发 送 数 据 ， 执 行 控 制 命 令 这 三 个 功 能 模 块 做 好 处 理 ， 控 制 的 流 畅 度 还 是 可 以 得 到 一 定 的 提 升 。 采 用 第 三 方 域 名 上 线 的 木 马 ， 在 隐 蔽 性 方 面 有 了 很 大 突 破 ， 而 且 这 种 做 法 ， 也 可 以 提 高 木 马 的 穿 透 性 ， 对 于 一 些 防 火 墙 来 说 ， 至 少 知 名 的 网 站 总 归 是 允 许 进 行 数 据 通 信 的 。 0 x 0 3   第 三 方 域 名 上 线 方 式 的 实 现 思 路 第 三 方 域 名 上 线 方 式 的 实 现 思 路 先 把 思 路 搞 清 楚 。 木 马 上 线 采 用 的 第 三 方 网 站 为 " 博 客 园 " ， 注 册 两 个 帐 号 ， 一 个 为 主 控 端 用 于 发 出 控 制 命 令 所 使 用 的 账 号 A ， 另 一 个 是 被 控 端 发 送 本 机 信 息 以 及 控 制 命 令 执 行 结 果 所 使 用 的 账 号 B 。 用 账 号 A 创 建 两 篇 文 章 ， 一 篇 为 木 马 上 线 测 试 ( 下 文 简 称 文 章 A ) ， 一 篇 为 木 马 功 能 测 试 ( 下 文 简 称 文 章 B ) 。 被 控 端 处 理 上 线 事 务 的 线 程 设 计 思 路 如 下 ：
上 线 信 息 的 格 式 ： [ 主 机 名 称 ] & [ 当 前 时 间 ] & [ 主 机 唯 一 I D ] 对 于 [ 主 机 唯 一 I D ] ， 如 果 是 第 一 次 上 线 会 生 成 此 I D ， 如 果 不 是 则 会 读 取 已 经 生 成 好 的 I D 。 主 控 端 处 理 主 机 上 线 事 务 的 线 程 设 计 思 路 如 下 ：
由 于 这 种 上 线 方 式 采 用 的 实 际 上 是 H T T P 协 议 通 信 的 ， 所 以 无 法 像 T C P 通 信 一 样 ， 存 在 相 关 的 S O C K E T 事 件 。 所 以 ， 主 控 端 还 需 要 有 一 个 处 理 主 机 是 否 在 线 的 线 程 ， 设 计 思 路 如 下 ：
另 外 ， 为 了 防 止 文 章 A 的 评 论 区 有 很 多 评 论 ， 主 控 端 在 获 取 完 评 论 信 息 ( 主 机 上 线 信 息 ) ， 之 后 ， 添 加 一 个 删 除 文 章 A 的 评 论 的 线 程 即 可 。 0 x 0 4   第 三 方 域 名 上 线 方 式 的 简 单 代 码 实 现 第 三 方 域 名 上 线 方 式 的 简 单 代 码 实 现 接 下 来 ， 我 们 用 简 单 的 代 码 实 现 这 个 d e m o 。 为 了 快 速 实 现 这 种 木 马 上 线 方 式 ， 主 控 端 采 用 C #   W i n F o r m 实 现 ， 客 户 端 采 用 P y t h o n 实 现 。 搞 清 楚 了 设 计 思 路 ， 用 什 么 编 程 语 言 去 实 现 就 是 次 要 的 事 情 了 。 下 面 是 被 控 端 启 动 后 ， 向 文 章 A 提 交 评 论 ( 上 线 信 息 ) 的 截 图 ：
发 送 上 线 信 息 后 ， 文 章 A 的 评 论 截 图 如 下 ：
主 控 端 的 截 图 如 下 ： 功 能 测 试 的 通 信 流 程 和 上 线 测 试 的 流 程 思 路 是 相 似 的 。 在 这 里 就 不 在 赘 述 ， 这 种 上 线 方 式 虽 然 采 用 了 H T T P 协 议 通 信 但 是 和 直 接 使 用 封 装 的 H T T P 协 议 或 者 是 浏 览 器 访 问 ， 是 有 一 定 的 区 别 的 。 它 无 法 进 行 大 批 量 的 数 据 传 输 ， 像 文 件 传 输 这 样 的 功 能 虽 然 也 可 以 实 现 ， 但 是 " 用 户 体 验 " 很 差 ， 所 以 这 种 上 线 方 式 的 木 马 ， 大 多 被 用 来 当 作 一 个 隐 蔽 的 后 门 木 马 ， 只 需 要 有 一 个 文 件 下 载 和 C M D   S h e l l 的 功 能 。 0 x 0 5   总 结 总 结 采 用 第 三 方 域 名 上 线 方 式 的 木 马 设 计 思 路 ， 已 经 很 明 确 了 ， 但 是 在 实 际 实 现 的 过 程 中 还 存 在 一 些 不 足 。 包 括 上 文 中 用 c o d e 去 实 现 ， 也 有 很 多 处 理 事 务 线 程 和 上 线 性 能 等 方 面 需 要 进 一 步 改 进 。 所 以 代 码 在 此 就 不 提 供 了 。 大 家 了 解 了 这 种 思 路 就 好 。 另 外 ， 对 于 将 账 号 B 的 登 录 信 息 写 入 客 户 端 ， 是 否 存 在 一 定 风 险 ？ 对 于 这 个 问 题 ， 大 可 不 必 细 究 。 “ 博 客 园 ” 的 登 录 信 息 会 被 登 录 页 面 的 j s 使 用 k e y 进 行 加 密 然 后 提 交 ， 即 使 你 分 析 出 了 登 录 信 息 也 是 加 密 过 的 ， 并 非 原 始 明 文 密 码 。 另 外 ， 登 录 成 功 后 ， 会 有 一 个 s e s s i o n 或 者 c o o k i e ， 可 以 直 接 拿 来 当 作 发 表 评 论 ( 主 机 上 线 信 息 ) 的 令 牌 使 用 。 也 可 以 将 c o o k i e 的 生 命 周 期 加 长 ， 延 长 控 制 时 间 。 文 章 中 还 有 很 多 " 易 喷 点 " ， 欢 迎 来 " 喷 " 。 0 x 0 6 一 点 题 外 话 一 点 题 外 话 对 于 木 马 上 线 域 名 的 分 析 和 追 踪 ， 在 这 篇 文 章 《 浅 谈 从 反 木 马 角 度 分 析 怎 样 提 高 木 马 反 跟 踪 能 力 》 中 作 者 提 出 了 在 木 马 上 线 方 式 的 时 候 使 用 U D P + T C P 协 议 的 方 法 来 迷 惑 安 全 研 究 人 员 。 实 际 上 ， 这 种 办 法 起 不 到 任 何 作 用 。 因 为 ， 要 分 析 木 马 的 上 线 域 名 ， 最 直 接 最 有 效 的 办 法 就 是 用 w i r e s h a r k 抓 包 ， 过 滤 出 d n s 协 议 的 数 据 包 ， 很 快 就 能 分 析 出 来 。 即 使 你 在 编 写 木 马 的 时 候 ， 并 未 对 上 线 地 址 采 用 “ 硬 编 码 ” ， 或 者 使 用 动 态 数 组 动 态 生 成 ， 又 或 者 你 进 行 了 各 种 加 密 ， 又 或
者 直 接 写 入 内 存 等 “ 软 编 码 ” 手 段 ， 这 些 只 能 对 木 马 上 线 地 址 的 静 态 分 析 起 到 一 定 的 保 护 作 用 ， 如 果 去 动 态 调 试 跟 踪 ， 也 是 可 以 得 到 上 线 地 址 的 。 对 于 使 用 域 名 生 成 算 法 ( D G A ) 生 成 的 域 名 ， 目 前 已 经 有 相 应 的 机 器 学 习 的 手 段 去 检 测 是 否 为 木 马 的 C & C 域 名 。 不 过 目 前 看 起 来 ， 目 前 对 于 木 马 上 线 地 址 的 隐 藏 ， 最 好 的 办 法 就 是 使 用 第 三 方 域 名 ， 这 样 可 以 极 好 的 保 护 木 马 操 纵 者 。 * 本 文 作 者 ： 丝 绸 之 路 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理