发现一个木马,竟然偷传我珍藏几十G的视频!
我是一个木马程序
我是一个木马程序,被捆绑在了一个浏览器安装包中,随着浏览器的安装,我就这么轻易的闯进这台电脑里了。
我躲在了 temp 目录下,这里文件众多,来来往往人多眼杂反而不容易被发现。
没多会儿,我才发现,好家伙,这台电脑里可不止我一个木马,我算是来的晚的了,这电脑主人真是个菜鸟,一点安全意识都没有!
“喂,新来的,你闯入这里是干嘛的?”,一位个子不大的程序发现了我,我瞅了一眼,差不多20KB上下。
“你是谁,我的任务可不能告诉你”,我回答到。
“别紧张,我也是木马程序,看你这样子不说我也猜得到,八成是准备来偷数据的吧?不过我看你是要白跑一趟了,这里除了几十个G的视频文件,有价值的啥也没有”,那小子不屑的说着。
我没有搭理他,独自找了个安静的地方,观察观察,见机行事。
端口反弹
时间很快到了晚上,电脑里的程序们一个个的都休息了,CPU总算是空闲起来,我准备好数据和代码,打算大干一场。
我正忙得满头大汗,白天那小子不知啥时候又出现了。
“好家伙,没看出来啊,你竟然是个挖矿木马!”,那小子坏笑道。
“嘘!小声点”,我赶紧堵上了他的嘴。
这小子力气还挺大,奋力挣开,“怕啥,这里没有杀毒软件,咱们可以随便玩!”
“难怪我进来的如此容易,连杀毒软件都没有,这电脑主人心也是够大的!”
说完,我准备监听一个端口,等待外边的同伙连进来,保持联络。
“你在干嘛?”,小个子问到。
“监听端口啊,等我的同伙连上来,这样我们就能搭上线了”
“你这样不行的,这里虽然没有杀毒软件,但还是有防火墙的,外边轻易是连不进来的。”,小个子说到。
“那咋办?”
“外面不让连进来,你可以主动连出去啊!你可以伪装成浏览器,连接你外边兄弟的80端口,防火墙看到是80,会当做普通的上网请求,一般都会放行的,这种控制端和服务端反向连接的操作,叫做端口反弹,你出来混都没人教你吗,就这水平还来当木马?”
这家伙说的我都有些不好意思了,按照他的建议,我成功连接到了我的控制服务器,随时等待他给我下发指令。
就这样保持了几天,每到晚上空闲时候,我就开始工作,一直非常顺利,直到···
DNS隐蔽通信
那天,小个子气喘吁吁的跑来,告诉了我一个坏消息:“不好了,就在刚刚,电脑主人安装了杀毒软件,最近都低调一些,咱们都保持静默吧!”
我赶紧掐断了通信连接,不敢轻举妄动。
一连过了好几天,我有点着急了,老这么潜伏着也不是办法,得跟外面取得联系啊!外面的兄弟肯定急坏了!
小个子看出了我的焦虑,给我出了个点子:“可以试试用DNS协议把数据偷偷传出去”
“DNS?这怎么传数据?”
“你可以把数据用base64编码以后,作为域名字段,通过发送DNS解析请求的方式把数据发出去啊!就像这样:”,小个子给我画了个示意图。
“这一个域名才能传输多少数据,你这不行!”,我表示了质疑。
“你笨啊,一个请求不够,你就多发几个嘛!”
说的也是,我打算试一下,看看靠不靠谱。
你还别说,我居然成功的把数据传了出去,不过在杀毒软件眼皮子底下顶风作案,心里还是挺忐忑的。
ICMP隐蔽通信
这一招用了没几天就不好使了,数据老发送失败,八成是被盯上了,我又找到了那个小个子木马。
“看来用DNS域名太高调了一点,别着急,还可以用ICMP协议来传输。”,这小子又给我出了一招。
“这是啥协议?”
“ICMP(Internet Control Message Protocol)就是Internet控制报文协议,用于在IP主机、路由器之间传递控制消息。控制消息是指网络通不通、主机是否可达、路由是否可用等网络本身的消息。 你看这是它的数据格式:”
“我知道了,可以在报文的数据部分传输我要发送的内容”
“不错!ICMP这玩意不是传输层的协议,不会打开和使用端口,没那么容易引起关注,连ping程序都是使用它来工作的,你可以冒充成他来偷偷跟外面通信”,小个子木马非常自信的说到。
这家伙懂的还挺多,按照他教我的,我又用ICMP协议偷偷跟外面联系上了,希望这一次别再被发现了。
HTTP隐蔽通信
可惜,天不遂人愿啊,这一次比之前管用的时间更短,才第三天就失效了!
“好家伙,这安全软件可以啊,看来逼我放大招了,咱们这次换成HTTP来传输”,小个子木马说到。
“啥?用HTTP?那不是更容易暴露吗?”,我问到。
“你不知道,最危险的地方反而是最危险的地方。HTTP流量上网那么大,混在里面不容易引起察觉!况且,我还有绝招呢···”,这家伙故作神秘,话说了一半又咽了回去。
“你快说,可急死我了”,我催促到。
“为了不引起注意,传输的数据得做一下编码处理。HTTP不是基于文本的传输协议嘛,咱们可以用tab表示1,空格表示0,这样就算被抓到了也是一片空白,看不出个啥,怎么样?”
好家伙,这一招确实很妙啊!
我赶紧把数据重新进行了编码,封装在一个又一个的HTTP数据包中,挨个发了出去。
一连过了几天都没有被发现,看来这一招还挺好使。
就在我洋洋得意之际,小个子木马又传来了一个坏消息:“赶紧找地方躲起来吧,那安全软件在全盘扫描了···”
我赶紧断开了所有的通信连接,关闭了所有活动的进程,不知道能不能躲过这一劫~
【完】
隐藏是一个木马最最最重要的能力,没法隐藏那就是出师未捷身先死。
而隐藏主要包括三个方面:
文件隐藏
进程隐藏
通信隐藏
这篇文章用故事的方式介绍了一些木马常用的隐藏通信的方式,文章比较简单,但实际情况远比这复杂。
在真实应用中,隐藏通信最核心的就是把信息数据隐藏在正常的通信流量中传递出去而不被发现,这涉及到网络协议、加解密技术甚至信息论与编码知识的综合运用。
面对文中出现的几种方式,如果你要来做安全检测,你打算怎么判定是可疑流量还是正常的通信呢?欢迎留言交流
技术群邀请函
△扫码添加小助手姐姐
备注:姓名/昵称-职业-研究方向
学生可加入「小詹学Python@学生专属」社群
发现一个木马,竟然偷传我珍藏几十G的视频!相关推荐
- 在使用谷歌时发现一个诡异问题cookie传不过去
在使用谷歌时发现一个诡异问题cookie传不过去 查找相关资料发现这是谷歌的一个新属性SameSite导致的, SameSite 属性 Cookie 的SameSite属性用来限制第三方 Cookie ...
- 发现一个木马的新的捆绑方式
大家注意!!近期发现某些非官方站点上下载的Tomcat安装包中有后门,进而成为黑客安装木马的工具,黑客可以很轻易的下载上传该服务器上的任何文件,再次提示:请务必从官方站点下载Tomcat!! 钟声 2 ...
- 如何申请开启抖音长视频权限,看这里,怎样拍摄上传抖音六十秒长视频
抖音现在越来越火,粉丝量已高达数亿,但很多抖音用户没有60秒长视频权限,没有长视频权限的话,就只能发15秒内的视频,有很多时候这个15秒并不能完成我们的需求,有很多背景音乐也是几十秒的,如下图所示: ...
- iphone android传照片大小,iPhone竟然可以传文件到安卓机?99%的人都不知道
原标题:iPhone竟然可以传文件到安卓机?99%的人都不知道 iPhone换了安卓手机, 旧iPhone手机上的数据该怎么办? 是全部按delete键(X)? 忘了一切,让数据随风? 还是一个个从旧 ...
- 滤了asa,cer,cdx,php,aspx等脚本类型的上传情况下添加一个ashx的上传类型
今天日一站 发现后台可以设置上传类型,但是asp,asa,cer等等都不行,上传之后就提示下载 尝试着关闭了下了,还是不行,后来找到了一位前辈写的文章 过滤了asa,cer,cdx,php,aspx等 ...
- vue 文件及描述信息一起上传_用Vue实现一个大文件上传和断点续传
前言 这段时间面试官都挺忙的,频频出现在博客文章标题,虽然我不是特别想蹭热度,但是实在想不到好的标题了-.-,蹭蹭就蹭蹭 :) 事实上我在面试的时候确实被问到了这个问题,而且是一道在线 coding ...
- 从偶然的机会发现一个mysql特性到wooyun waf绕过题
从偶然的机会发现一个mysql特性到wooyun waf绕过题 MayIKissYou | 2015-06-19 12:00 最近在测试的时候,偶然的机会发现了一个mysql的特性, 为啥是偶然的机会 ...
- 一篇非常有用的文章-《台湾清华彭明辉教授的研究生手册》如何发现一个研究课题?
一.研究生期间要学什么? 我认为研究生期间学生应该学三件事情: 1)建立合理的知识结构:尽量广地涉猎学科基本知识,尽量深地了解所研究领域的方方面面过去和现在. 2)掌握独立研究的方法和技能:尽量多的学 ...
- Golang 如何限制木马图片上传服务器
目录 项目背景 问题 解决 项目背景 自己开发了一个云对象存储服务,用于存储某个项目中所有的文件资源. 问题 在进行安全测试时,自己遇到了一个问题:无法限制木马病毒模拟的图片文件进行上传.看似是一个图 ...
最新文章
- python操作文件open_python:open/文件操作
- 人工智能正在永远改变药理学
- php缓存mysql表_PHP 中的数据库缓存原理
- SourceTree 基本介绍
- head()函数python_Python中的Pandas DataFrame head()方法
- HDU2049 组合数学 错排公式
- cocos ScrollView(滚动容器)加载大量item导致的卡顿问题解决方案
- JAVA 类加载 随记
- 如何申请注销腾讯视频账号
- 520送你一份WebStorm的主题包,附带使用图文教程
- 富文本 NSAttributedString
- 5工程添加emwin库_手把手教你打造专属自己的远程私有库——上
- Atitit httpclient 概述 rest接口
- 美通企业日报 | 猫途鹰联手携程打造中国顶级旅行平台;强生战略合作阿里旗下Lazada...
- 基于ESP32制作流光溢彩氛围灯
- 计算机辅助药物设计 开发新药,前沿新知 | 计算机辅助药物设计应用现状
- adb install -r -d的含义
- Windows商店应用内购接入
- 告别硬编码,MySQL 如何实现按某字段的不同取值进行统计?
- 29Python时间序列分析(美国消费者信心指数及维基百科点击量EDA,含实例数据)
热门文章
- 玩cf出现outofmemory_完美解决outofmemory|Win7系统CF出现out of memory的解决方法
- PHP中使用redis 执行lua脚本
- redis管道pipeline的运用
- 反思避免只是小聪明:更加稳重 更加踏实
- Linux之提高Nginx的安全性:受限server_tokens /user_agents/buffer_size/连接数/请求方法/外链/不用模块 使用日志/TLS/HTTPS/升级
- CI框架json无法Unicode转中文解决方案
- linux 条件变量函数,Linux线程同步之条件变量
- mysql数据冗余_MySQL冗余数据的三种方案
- git for windows_干货分享 | 嵌入式必备技能之Git的使用
- 使用yml多环境配置