域名隐性转跳(查出反向木马的反向连接域名)
域名隐性转跳(查出反向木马的反向连接域名)
2024-11-05 04:58:40  作者:诱惑力  网址:https://m.xinb2b.cn/know/oma463348.html


像木马的主要种植手段是通过IE的众多漏洞,bt下载时不小心运行,或者来路不明的软件,使未打补丁的用户点击之后下载运行了木马程序,而这些用户基本都是拥有动态IP的个人用户,若不使用反向连接的方式,势必无法长久控制。  下面让我们来讨论一下如何查出木马的最关键的要素――反向连接域名,知道了反向连接域名,你就可以随时了解到幕后元凶究竟在哪,是否在线等隐私资料,甚至可以进行域名劫持,从而使他所控制的单位全都连到你所设置的IP上去,可见反向域名一旦暴露,要抓住幕后黑手是轻而易举的事情。木马反向连接必须先向域名服务器发送查询要求,然后由域名服务器返回查询结果――域名对应的IP,有了IP之后再去连接主控端。而许多木马都通过修改系统文件,进程插入,API HOOK等众多方式实现了在系统中服务隐藏,进程隐藏,文件隐藏,端口隐藏,所以此时系统的输出已经不是可靠的输出了,可能你的抓包数据已经被恶意篡改,抹去了木马的相关数据(事后发现我的测试对象灰鸽子并没有这么做…但不排除别的木马会这么做…)。于是我想到了通过物理上的方法,木马虽然可以在系统中隐藏,但是这个域名查询的请求无论如何都会经过网线或者无线信号传送出去。  为了查出反向连接域名,构建以下网络拓扑结构:一台NOTEBOOK和一台PC连接在HUB上,ADSL MODEM接到HUB的UPLINK口上(注意:一般HUB的UPLINK口与旁边的接口绝对不能同时使用),选用HUB而不是宽带路由器的原因是我没钱…呵呵,其实真正的原因是HUB可以把任意一个端口发送的数据转发到除了本身端口外的其他任何一个端口,所以NOTEBOOK网卡的所有数据都会流经 PC的网卡,NOTEBOOK系统中可能被木马隐藏的网络数据,都会毫无保留地暴露在PC机的网卡上。  需要真正透彻理解从而提高技术还是需要实践,下面我就拿国内比较著名的灰鸽子木马做试验,尝试找出灰鸽子木马的反向连接域名(大家完全可以用别的木马做测试,因为我的机器不小心中了灰鸽子所以才将计就计)。PC机上的监听工具选择了TcpDump的WINDOWS版本WinDump,现在想来多余了,PC 上装着LINUX呢,可以直接使用TcpDump。WinDump的使用需要先安装WinPcap 3.1–点击可直接下载,然后下载WinDump version 3.9.3–点击可直接下载,就可以直接运行了。  监听前介绍一下NOTEBOOK的状态,中了灰鸽子木马。查到服务名的方法很简单,使用入侵检测工具icesword,那么更容易了,打开就可以查看到所有进程和所有服务,无论是否隐藏的,一目了然发现IEXPLORER进程和lente服务是隐藏的(见图1和图2),于是禁止lente服务。(假如没有 icesword也没问题,进入安全模式,system32文件夹下搜索_hook.dll,发现一个systen_Hook.dll,明显是灰鸽子,注册表中搜索systen,发现关联的服务名为lente),把中了灰鸽子的NOTEBOOK一切有关网络的第三方开机自启动程序都禁止,防止引起不必要的域名查询混淆监听结果,把lente服务改成Manual方式,最后启动服务,在PC机上观察监听结果。  图1,点击可放大


  图2,点击可放大


  其中192.168.1.2是NOTEBOOK的IP地址,202.96.209.6是NOTEBOOK的主域名服务器,并且没有设置辅助域名服务器。 PC机的IP地址是192.168.1.3,这不太重要,因为是通过HUB连接的,只要启用网卡,无论设置成怎么样都会监听到NOTEBOOK的数据。  监听NOTEBOOK向默认域名服务器(202.96.209.6)的域名查询请求(图3):  图3


  PC机命令行输入:windump –vvnXi2 src 192.168.1.2 and dst 202.96.209.6 命令中vv表示更详细的显示输出,n表示用数字表示服务端口和用IP表示已知域名的IP,src 192.168.1.2 and dst 202.96.209.6 表示只监听来自192.168.1.2并且目标是202.96.209.6的数据包,当然可以根据需要随机应变。  监听NOTEBOOK接受到默认域名服务器(202.96.209.6)的域名查询响应(图4):  图4


  从以上监听数据来看,灰鸽子服务的启动过程中只向域名服务器查询了ns1.3322的IP地址,并且域名服务器返回的结果告诉我 ns1.3322的IP地址是61.177.95.125,查询类型为A,即最普通的域名到IP的查询。当然ns1.3322绝不可能是那个反向连接域名,因为这是希望动态域名解析的主DNS服务器。灰鸽子居然向我的默认DNS服务器查询另外一个DNS服务器的IP,或许是使用别的域名服务器,为了掩人耳目?我停止了PC机上的监听,准备改成监听ns1.3322和NOTEBOOK之间的数据,果然不出所料,得到以下结果。  监听NOTEBOOK向域名服务器ns1.3322的域名查询请求(图5):  图5


  监听NOTEBOOK收到域名服务器ns1.3322的域名查询响应(图6):  图6


  从给ns1.3322的域名查询请求中可以看到,中了灰鸽子的NOTEBOOK向ns1.3322发送了一个查询域名 65200.huigezi的请求,查询类型为MX,即邮件交换记录,也就是发向邮件地址someone@65200.huigezi 的邮件将会到达的的主机的地址(注意这里的MX记录正好是和原来的域名一样,其实完全可以不一样的,若MX记录为163,那么这封邮件就发送到 163这台主机去了)。至此已经可以清晰地看出这个灰鸽子的反向域名为65200.huigezi,我ping了一下,发现这与我刚开机时ICESWORD里看到的IEXPLORER进程连接某IP的8000端口的那个IP相同,可以确定结果完全正确。反向域名成功获得。不过这里出现一个技术疑问,nslookup后发现huigezi的域名服务器为ns1.3322,但是为何会直接向ns1.3322服务器查询呢?应该是我设置的域名服务器去问ns1.3322,然后告诉我查询结果,并且缓存查询结果,我对于这个过程是一无所知的,就像我的域名服务器原来就知道答案一样,我猜测是木马的自我保护方式,各位有更好的解释的话指点我下,谢谢了。得到域名后接下来可以做的事很多,我也不一一例举了(其实是域名劫持的综合技术要求很高,我没那水准…),不过假如你实在是很气愤的话,比如对方删了你硬盘重要文件等等,我可以告诉你,110找网警…  在整个监听过程中遇到过许多麻烦,比如NOTEBOOK上有其他程序访问网络,导致PC机上的终端输出狂闪不止,根本没法看,保存在文件里的话,也找得头晕,重启系统无数次等等…我始终相信技术是可以灵活使用的,创新的思路尤其重要,可能会有很意想不到的结果,无论是成功或者失败,去尝试一下总会获得一些经验,学到一点东西(在此稍点一下,名叫LOVEBOOM[DFCG][FCG][CUG]的家伙反编译了灰鸽子的客户端找出了灰鸽子的配置信息,当然包括反向连接域名,技术厉害哦,呵呵,不过遇到一个木马就反编译一个那就-_-,说笑的,偶很佩服他)。通过监听与域名服务器的通讯的方式从原理上来说对于一切木马都有效,所以我不太使用反向连接的木马,很早以前就觉得不安全。大家有技术上的问题可以和我一起学习探讨。  花絮:我的灰鸽子是BT下载死神漫画的时候机缘巧合中的,看到bleach000.exe,一个JPG图像的图标(我把系统中的显示已知文件名的后缀选项去掉的),来不及了,我太喜欢黑崎一户了,手快了…

  • 文员都包括什么职位(文员是什么岗位)
  • 2024-11-05文员是什么岗位“文员”其实是一个大类职业的统称,一般来说,又可以分为广义文员和狭义文员广义的文员概念,是指用人单位主价值链条上的核心岗位以外的、主要工作是在办公室内从事文件、文字子昂管工作的人员比如,在一家生产制作。
  • 男人为什么喜欢年轻的女人呢(为什么姑娘更喜欢)
  • 2024-11-05为什么姑娘更喜欢加拿大医学领域网站「MedicaDaily-医学日报」的一项调查表明,女生往往喜欢更「好色」的男生憋想歪了,人家说的「色」不是指喜欢开车、三句话没说完就开始平地加速的油腻男,而是指在穿着方面,搭配掌控。
  • 几种强大的史前生物(这五种强悍的史前生物)
  • 2024-11-05这五种强悍的史前生物泰坦蟒,种名为塞雷洪的史前生物,其化石最早在南美洲的哥伦比亚被人们发现通过化石勘测发现,泰坦蟒平均体长可达12米,体重超过一吨,无疑是一个现代版巨蟒放大数十倍的庞然大物泰坦蟒三眼恐龙虾,我国民间称其为。
  • 冠词分为哪三类(冠词帽子怎么戴它)
  • 2024-11-05冠词帽子怎么戴它冠词=名词的“帽子”包括不定冠词a/an,定冠词the和零冠词不能单独使用,总是和名词手拉手冠词分类一、不定冠词a/an顾名思义,不规定,那就是泛指,用在可数名词单数前,表示“一个”1、名词单数单词开。
  • 香菇芹菜肉馅饺子好不好(对芹菜香菇肉馅的饺子念念不忘怎么办)
  • 2024-11-05对芹菜香菇肉馅的饺子念念不忘怎么办随着国内疫情逐渐被控制,越来越多的餐饮店都已经开门营业了,别人都是去吃火锅、烧烤之类的,我却先去了饺子店可能有人会问,在家的这段时间饺子还没吃够吗?我想说,吃够是不会吃够的,但是在家吃的饺子基本上就是。
  • 14元麻辣烫事件(六百块一顿的东北麻辣烫)
  • 2024-11-05六百块一顿的东北麻辣烫“和同事急头白脸吃了顿麻辣烫,结账时两人花了三百块”不知不觉中,记忆中以“便宜大碗”著称的麻辣烫,变得越来越贵了曾几何时,几块钱就能在街边的苍蝇馆子吃到一碗用料满满、荤素均衡的麻辣烫;如今在购物中心窗。
  • 烤虾的腌制方法(烤虾的腌制方法简单介绍)
  • 2024-11-05烤虾的腌制方法简单介绍烤虾腌制方法一:(1)主料:对虾500克辅料:料酒25克、精盐适量、白糖30克、味精5克,花生油100克、香油25克、大料2克、葱段75克、姜片50克、清汤适量(2)做法:将对虾冲洗,减去虾须、虾腿,。
  • 舌尖上的春天寻找山野美食 快来尝尝桃园里的春菜
  • 2024-11-05舌尖上的春天寻找山野美食 快来尝尝桃园里的春菜春,是一个治愈的时节也是一个可以用美食回味的季节万物皆在和煦春光里美好生长惊蛰过后阳山人的餐桌多了几道春菜在这个限定的月份里我们一起来“咬春”~荠菜荠菜是阳山人春天的心头好春季餐桌的“最佳配角”大家会。
  • 番茄海带排骨能一起烧汤吗(西红柿和海带可以一起炖排骨汤吗)
  • 2024-11-05西红柿和海带可以一起炖排骨汤吗西红柿和海带可以一起炖排骨汤吗1、可以,但是海带性凉,排骨滋补,炖在一起具有滋阴温补的功效西红柿的主要营养是维生素,所以不能久煮,只有在海带排骨汤熬好了出锅之前放进去,再烧开即可2、西红柿海带排骨汤做。