返回
域名隐性转跳（查出反向木马的反向连接域名）
域名隐性转跳（查出反向木马的反向连接域名）
2024-06-02 03:54:47  作者:诱惑力  网址:https://m.xinb2b.cn/know/oma463348.html

域名隐性转跳（查出反向木马的反向连接域名）(1)

像木马的主要种植手段是通过IE的众多漏洞，bt下载时不小心运行，或者来路不明的软件，使未打补丁的用户点击之后下载运行了木马程序，而这些用户基本都是拥有动态IP的个人用户，若不使用反向连接的方式，势必无法长久控制。　　下面让我们来讨论一下如何查出木马的最关键的要素――反向连接域名，知道了反向连接域名，你就可以随时了解到幕后元凶究竟在哪，是否在线等隐私资料，甚至可以进行域名劫持，从而使他所控制的单位全都连到你所设置的IP上去，可见反向域名一旦暴露，要抓住幕后黑手是轻而易举的事情。木马反向连接必须先向域名服务器发送查询要求，然后由域名服务器返回查询结果――域名对应的IP，有了IP之后再去连接主控端。而许多木马都通过修改系统文件，进程插入，API HOOK等众多方式实现了在系统中服务隐藏，进程隐藏，文件隐藏，端口隐藏，所以此时系统的输出已经不是可靠的输出了，可能你的抓包数据已经被恶意篡改，抹去了木马的相关数据（事后发现我的测试对象灰鸽子并没有这么做…但不排除别的木马会这么做…）。于是我想到了通过物理上的方法，木马虽然可以在系统中隐藏，但是这个域名查询的请求无论如何都会经过网线或者无线信号传送出去。　　为了查出反向连接域名，构建以下网络拓扑结构：一台NOTEBOOK和一台PC连接在HUB上，ADSL MODEM接到HUB的UPLINK口上（注意：一般HUB的UPLINK口与旁边的接口绝对不能同时使用），选用HUB而不是宽带路由器的原因是我没钱…呵呵，其实真正的原因是HUB可以把任意一个端口发送的数据转发到除了本身端口外的其他任何一个端口，所以NOTEBOOK网卡的所有数据都会流经 PC的网卡，NOTEBOOK系统中可能被木马隐藏的网络数据，都会毫无保留地暴露在PC机的网卡上。　　需要真正透彻理解从而提高技术还是需要实践，下面我就拿国内比较著名的灰鸽子木马做试验，尝试找出灰鸽子木马的反向连接域名（大家完全可以用别的木马做测试，因为我的机器不小心中了灰鸽子所以才将计就计）。PC机上的监听工具选择了TcpDump的WINDOWS版本WinDump，现在想来多余了，PC 上装着LINUX呢，可以直接使用TcpDump。WinDump的使用需要先安装WinPcap 3.1–点击可直接下载，然后下载WinDump version 3.9.3–点击可直接下载，就可以直接运行了。　　监听前介绍一下NOTEBOOK的状态，中了灰鸽子木马。查到服务名的方法很简单，使用入侵检测工具icesword，那么更容易了，打开就可以查看到所有进程和所有服务，无论是否隐藏的，一目了然发现IEXPLORER进程和lente服务是隐藏的（见图1和图2），于是禁止lente服务。（假如没有 icesword也没问题，进入安全模式，system32文件夹下搜索_hook.dll，发现一个systen_Hook.dll，明显是灰鸽子，注册表中搜索systen，发现关联的服务名为lente），把中了灰鸽子的NOTEBOOK一切有关网络的第三方开机自启动程序都禁止，防止引起不必要的域名查询混淆监听结果，把lente服务改成Manual方式，最后启动服务，在PC机上观察监听结果。　　图1，点击可放大

域名隐性转跳（查出反向木马的反向连接域名）(2)

　　图2，点击可放大

域名隐性转跳（查出反向木马的反向连接域名）(3)

　　其中192.168.1.2是NOTEBOOK的IP地址，202.96.209.6是NOTEBOOK的主域名服务器，并且没有设置辅助域名服务器。 PC机的IP地址是192.168.1.3，这不太重要，因为是通过HUB连接的，只要启用网卡，无论设置成怎么样都会监听到NOTEBOOK的数据。　　监听NOTEBOOK向默认域名服务器（202.96.209.6）的域名查询请求（图3）：　　图3

域名隐性转跳（查出反向木马的反向连接域名）(4)

　　PC机命令行输入：windump –vvnXi2 src 192.168.1.2 and dst 202.96.209.6 命令中vv表示更详细的显示输出，n表示用数字表示服务端口和用IP表示已知域名的IP，src 192.168.1.2 and dst 202.96.209.6 表示只监听来自192.168.1.2并且目标是202.96.209.6的数据包，当然可以根据需要随机应变。　　监听NOTEBOOK接受到默认域名服务器（202.96.209.6）的域名查询响应（图4）：　　图4

域名隐性转跳（查出反向木马的反向连接域名）(5)

　　从以上监听数据来看，灰鸽子服务的启动过程中只向域名服务器查询了ns1.3322的IP地址，并且域名服务器返回的结果告诉我 ns1.3322的IP地址是61.177.95.125，查询类型为A，即最普通的域名到IP的查询。当然ns1.3322绝不可能是那个反向连接域名，因为这是希望动态域名解析的主DNS服务器。灰鸽子居然向我的默认DNS服务器查询另外一个DNS服务器的IP，或许是使用别的域名服务器，为了掩人耳目？我停止了PC机上的监听，准备改成监听ns1.3322和NOTEBOOK之间的数据，果然不出所料，得到以下结果。　　监听NOTEBOOK向域名服务器ns1.3322的域名查询请求（图5）：　　图5

域名隐性转跳（查出反向木马的反向连接域名）(6)

　　监听NOTEBOOK收到域名服务器ns1.3322的域名查询响应（图6）：　　图6

域名隐性转跳（查出反向木马的反向连接域名）(7)

　　从给ns1.3322的域名查询请求中可以看到，中了灰鸽子的NOTEBOOK向ns1.3322发送了一个查询域名 65200.huigezi的请求，查询类型为MX，即邮件交换记录，也就是发向邮件地址someone@65200.huigezi 的邮件将会到达的的主机的地址（注意这里的MX记录正好是和原来的域名一样，其实完全可以不一样的，若MX记录为163，那么这封邮件就发送到 163这台主机去了）。至此已经可以清晰地看出这个灰鸽子的反向域名为65200.huigezi，我ping了一下，发现这与我刚开机时ICESWORD里看到的IEXPLORER进程连接某IP的8000端口的那个IP相同，可以确定结果完全正确。反向域名成功获得。不过这里出现一个技术疑问，nslookup后发现huigezi的域名服务器为ns1.3322，但是为何会直接向ns1.3322服务器查询呢？应该是我设置的域名服务器去问ns1.3322，然后告诉我查询结果，并且缓存查询结果，我对于这个过程是一无所知的，就像我的域名服务器原来就知道答案一样，我猜测是木马的自我保护方式，各位有更好的解释的话指点我下，谢谢了。得到域名后接下来可以做的事很多，我也不一一例举了（其实是域名劫持的综合技术要求很高，我没那水准…），不过假如你实在是很气愤的话，比如对方删了你硬盘重要文件等等，我可以告诉你，110找网警…　　在整个监听过程中遇到过许多麻烦，比如NOTEBOOK上有其他程序访问网络，导致PC机上的终端输出狂闪不止，根本没法看，保存在文件里的话，也找得头晕，重启系统无数次等等…我始终相信技术是可以灵活使用的，创新的思路尤其重要，可能会有很意想不到的结果，无论是成功或者失败，去尝试一下总会获得一些经验，学到一点东西（在此稍点一下，名叫LOVEBOOM[DFCG][FCG][CUG]的家伙反编译了灰鸽子的客户端找出了灰鸽子的配置信息，当然包括反向连接域名，技术厉害哦，呵呵，不过遇到一个木马就反编译一个那就-_-，说笑的，偶很佩服他）。通过监听与域名服务器的通讯的方式从原理上来说对于一切木马都有效，所以我不太使用反向连接的木马，很早以前就觉得不安全。大家有技术上的问题可以和我一起学习探讨。　　花絮：我的灰鸽子是BT下载死神漫画的时候机缘巧合中的，看到bleach000.exe，一个JPG图像的图标（我把系统中的显示已知文件名的后缀选项去掉的），来不及了，我太喜欢黑崎一户了，手快了…

  • 年组词（汉字年怎么组词）
  • 2024-06-02汉字年怎么组词新年[xīnnián]元旦和元旦以后的几天老年[lǎonián]六七十岁以上的年纪百年[bǎinián]指很多年或很长时期：百年大业百年不遇年代[niándài]时代；时期；时间（多指过去较远的）：年。
  • 思美人现场版 思美人受邀时尚星秀盛典
  • 2024-06-02思美人现场版 思美人受邀时尚星秀盛典《思美人》剧组与时尚星秀领导合影10月13日，“2016时尚星秀年度人物盛典”在北京工人体育馆举行红毯上星光熠熠，众多明星齐聚一堂《思美人》剧组自杀青以来首次亮相，主演张馨予、李雨轩和宁心代表剧组出席。
  • 男子装残疾坐轮椅（男子忘坐轮椅被揭发）
  • 2024-06-02男子忘坐轮椅被揭发据《世面》报道，4月12日，意大利佛罗伦萨一名55岁男子假装残疾12年，终因忘记坐轮椅被揭穿2007年，他伪造了一场交通事故并骗过医生拿到残疾证明，12年间他通过国家补助获利约14万欧元（约人民币10。
  • 如何正确的学习加减法 13写作课怎样做加减法
  • 2024-06-02如何正确的学习加减法 13写作课怎样做加减法好文章信息总量要大知识、解释够不够全面，描述够不够详细等，这些都是信息量写作先做加法、再做减法加法提高信息总量，减法提高价值密度陌生概念解释，提及事情说明白，提到人说是谁对方跟你说了一件事，你一脸茫然。
  • 网页无法打开（网页无法打开处理方法）
  • 2024-06-02网页无法打开处理方法网页无法打开处理方法如下网络正常但上不了网去修改DNSDNS在机子的网络属性里面修改协议版本TCP/IPv4的属性改为指定的公共DNS比较稳妥注意分辨上不了网站是否是服务器的问题。
  • 儿童乘飞机需要买机票吗（婴儿要买飞机票吗）
  • 2024-06-02婴儿要买飞机票吗这两天，“家长掩护孩子坐飞机逃票”持续进入微博热搜榜那婴儿要买飞机票吗?婴儿要买飞机票吗不论多大的孩子，坐飞机都得买票婴儿与儿童的划分是按年龄来的两周岁以下算婴儿，两岁以上，十二周岁以下属于儿童1.婴。
  • 国家地理摄影展巡展贵阳怎么样（动静影像跨越时空的对话）
  • 2024-06-02动静影像跨越时空的对话盛夏7月，贵阳迎来了国家地理经典影像大展贵州首展，本次展出集结了100余幅国家地理杂志优秀摄影作品，这也吸引了不少摄影爱好者前来打卡观看《国家地理》是全球享有盛名的杂志，相信你对此并不陌生，因为一大批。
  • 在职研究生报考方式有什么不同（在职研究生怎么报考）
  • 2024-06-02在职研究生怎么报考　在职研究生怎么报考?流程是怎样的?　　随着在职研究生越来越为人所知，目前报考读在职研的人有很多，不过还是有部分人不清楚在职研究生是什么?之前我们了解完在职研究生报考条件，今天我们一起来了解一下在职研。
  • 可以形容国泰民安的典故（人们都盼望风调雨顺）
  • 2024-06-02人们都盼望风调雨顺自从新冠肺炎疫情发生以来，身处“风暴”中心——武汉——的笔者，每每看到有关疫情的报道，心情也会随之跌宕起伏：恐惧、焦虑、痛心、感动、敬佩······虽然困居斗室，感觉却像在一首悲壮而激昂的交响乐中行进。
  • 橙红年代胡蓉韩进（橙红年代韩进甘愿为胡蓉挨枪子）
  • 2024-06-02橙红年代韩进甘愿为胡蓉挨枪子随着《橙红年代》的播出，剧情的发展，每一个角色都性格鲜明，令广大剧迷们欲罢不能当然，除了贩毒犯罪和侦查破案情节设置吸引眼球，剧中的感情线也是一大看点：李纨喜欢刘子光，刘子光喜欢胡蓉，胡蓉喜欢刘子光，而。