2023年冰河木馬實(shí)驗(yàn)報(bào)告

實(shí)驗(yàn)報(bào)告

實(shí)驗(yàn)名稱網(wǎng)絡(luò)攻防綜合實(shí)驗(yàn)指導(dǎo)教師李曙紅

實(shí)驗(yàn)類型設(shè)計(jì)實(shí)驗(yàn)學(xué)時(shí)2實(shí)驗(yàn)時(shí)間2023.06.29

一、實(shí)驗(yàn)?zāi)康?/p>

1.。本次實(shí)驗(yàn)為考核算驗(yàn)，需要獨(dú)立設(shè)計(jì)完畢一次網(wǎng)絡(luò)攻防的綜合實(shí)驗(yàn)?設(shè)計(jì)的實(shí)驗(yàn)中要涉及以下幾個(gè)方面

內(nèi)容：

(1)構(gòu)建一個(gè)具有漏洞的服務(wù)器,運(yùn)用漏洞對(duì)服務(wù)器進(jìn)行入侵或襲擊；

(2)。運(yùn)用網(wǎng)絡(luò)安全工具或設(shè)備對(duì)入侵與襲擊進(jìn)行檢測(cè)；

(3)能有效的對(duì)漏洞進(jìn)行修補(bǔ)，提高系統(tǒng)的安全性,避免同種襲擊的威脅。

2網(wǎng)絡(luò)攻防綜合實(shí)驗(yàn)將從實(shí)驗(yàn)設(shè)計(jì)、實(shí)驗(yàn)過程、實(shí)驗(yàn)結(jié)果、實(shí)驗(yàn)報(bào)告幾個(gè)方面，對(duì)學(xué)生的綜合實(shí)驗(yàn)?zāi)芰M(jìn)

行考核與評(píng)分，具體評(píng)分標(biāo)準(zhǔn)參考“評(píng)分標(biāo)準(zhǔn)”文檔。

二、實(shí)驗(yàn)規(guī)定

1.2人一組，規(guī)定每人分工不同，例如一人負(fù)責(zé)網(wǎng)絡(luò)襲擊,一個(gè)負(fù)責(zé)網(wǎng)絡(luò)防范。在實(shí)驗(yàn)過程和實(shí)驗(yàn)報(bào)告中要體

現(xiàn)兩人的不同分工。

2.每組獨(dú)立設(shè)計(jì)完畢實(shí)驗(yàn)，不能雷同。

3.實(shí)驗(yàn)過程中以下三個(gè)階段需上機(jī)演示給指導(dǎo)老師察看：完畢網(wǎng)絡(luò)襲擊、檢測(cè)到襲擊、完畢網(wǎng)絡(luò)防范。

4.完畢實(shí)驗(yàn)報(bào)告，能解釋在實(shí)驗(yàn)使用到的技術(shù)或工具的基本原理。

三、實(shí)驗(yàn)環(huán)境

可以自由使用信息安全實(shí)驗(yàn)室的PC機(jī)，局域網(wǎng),Linux服務(wù)器,Windows服務(wù)器，防火墻，入侵檢測(cè)系統(tǒng)

等。

四、實(shí)驗(yàn)設(shè)計(jì)方案、實(shí)驗(yàn)過程及實(shí)驗(yàn)結(jié)果

作為一款流行的遠(yuǎn)程控制工具，在面世的初期，冰河就曾經(jīng)以其簡(jiǎn)樸的操作方法和強(qiáng)大的控制

力令人膽寒，可以說達(dá)成了談冰色變的地步。鑒于此，我們就選用冰河完畢本次實(shí)驗(yàn)。

若要使用冰河進(jìn)行襲擊，則冰河的安裝（是目的主機(jī)感染冰河）是一方面必須要做的。

冰河控制工具中有三個(gè)文獻(xiàn)：Readme,txt,G—Client.exe,以及G_Server.exeo

Readme.txt簡(jiǎn)樸介紹冰河的使用。G_ClienTexe是監(jiān)控端執(zhí)行程序,可以用于監(jiān)控遠(yuǎn)程計(jì)

算機(jī)和配置服務(wù)器。G_Server.exe是被監(jiān)控端后臺(tái)監(jiān)控程序（運(yùn)營(yíng)一次即自動(dòng)安裝,開機(jī)自啟動(dòng),

可任意改名，運(yùn)營(yíng)時(shí)無彳壬何提醒）。運(yùn)營(yíng)G_Server.exe后，該服務(wù)端程序直接進(jìn)入內(nèi)存,并把感染機(jī)

的7626端口開放。而使用冰河客戶端軟件（G_C1lent.exe）的計(jì)算機(jī)可以對(duì)感染機(jī)進(jìn)行遠(yuǎn)程

控制。

冰河木馬的使用：

1、自動(dòng)跟蹤目的機(jī)屏幕變化，同時(shí)可以完全模擬鍵盤及鼠標(biāo)輸入，即在同步被控端屏幕變化的

同時(shí)，監(jiān)控端的一切鍵盤及鼠標(biāo)操作將反映在被控端屏幕（局域網(wǎng)合用）。

2、記錄各種口令信息：涉及開機(jī)口令、屏?？诹?、各種共享資源口令及絕大多數(shù)在對(duì)話框中出

現(xiàn)的口令信息。

3、獲取系統(tǒng)信息:涉及計(jì)算機(jī)名、注冊(cè)公司、當(dāng)前用戶、系統(tǒng)途徑、操作系統(tǒng)版本、當(dāng)前顯示

分辨率、物理及邏輯磁盤信息等多項(xiàng)系統(tǒng)數(shù)據(jù)。

4、限制系統(tǒng)功能:涉及遠(yuǎn)程關(guān)機(jī)、遠(yuǎn)程重啟計(jì)算機(jī)、鎖定鼠標(biāo)、鎖定系統(tǒng)熱鍵及鎖定注冊(cè)表等

多項(xiàng)功能限制。

5、遠(yuǎn)程文獻(xiàn)操作:涉及創(chuàng)建、上傳、下載、復(fù)制、傷處文獻(xiàn)或目錄、文獻(xiàn)壓縮、快速瀏覽文本

文獻(xiàn)、遠(yuǎn)程打開文獻(xiàn)（正常方式、最小化、最大化、隱藏方式）等多項(xiàng)文獻(xiàn)操作功能。

6、注冊(cè)表操作:涉及對(duì)主鍵的瀏覽、增刪、復(fù)制、重命名和對(duì)鍵值的讀寫等所有注冊(cè)表操作功

能。

7、發(fā)送信息：以四種常用圖標(biāo)向被控端發(fā)送簡(jiǎn)短信息。

8、點(diǎn)對(duì)點(diǎn)通訊：以聊天室形式同被控端進(jìn)行在線交談等。

實(shí)驗(yàn)過程：

一、襲擊

1、入侵目的主機(jī)

一方面運(yùn)營(yíng)G_C1ient.exe,掃描主機(jī)。

查找IP地址:在“起始域”編輯框中輸入要查找的IP地址，例如欲搜索IP地址“10.1.1

3.1”至“10.1.13..255”網(wǎng)段的計(jì)算機(jī)，應(yīng)將“起始域”設(shè)為“192.168.1”，將“起始地

址”和“終止地址”分別設(shè)為“1”和“255”（由于我們是在宿舍做的，IP地址在100?120之間），

然后點(diǎn)“開始搜索”按鈕，在右邊列表框中顯示檢測(cè)到已經(jīng)在網(wǎng)上的計(jì)算機(jī)的IP地址。

從上圖可以看此搜索結(jié)果中，每個(gè)IP前都是ERR。地址前面的“ERR:”表達(dá)這臺(tái)計(jì)算機(jī)無法

控制。

所以，為了可以控制該計(jì)算機(jī)，我們就必須要讓其感染冰河木馬。

1、遠(yuǎn)程連接

使用Dos命令：netuse\\ip\ipc$

如下圖所示：

a命令提示符-1□1x|

S

!C：XDocunentsandSettingsXAdninistrator>netuseW10.1.13.214\ipc$

命令成功完成。

C:\DocumentsandSettingsX^dninistrator>netuseX：\\10.1.13.214\C$

命令成功完成。

XDocunentsandSettingsXAdninistratoi*>)

bd

2、磁盤映射。

本實(shí)驗(yàn):將目的主機(jī)的C:盤映射為本地主機(jī)上的X:盤

如下圖所示

機(jī)命令提示符-Inlx

C：\DocunentsandSettingsXHdninistratoi*>netuse\\10.1.13.214\ipc$

I命令成功完成。

C：XDocunentsandSettings\Adninistrator>netuseX：W10.1.13.214\C$

命令成功完成。

C：\DocumentsandSettings\Adninistrator^

bd

X,to.1.13.214,上的C$a：）

文件更）編輯量）查看9收藏?工具（X）幫助國(guó)）

Q后退,1?十|/搜索文件夾I因^

地址@）|^gXA30^

文件和文件夾任務(wù)會(huì)§122口123

J創(chuàng)建一個(gè)新文件夾

通將這個(gè)文件夾發(fā)布到

Webab□caonima

其它位置*

Dev-Cppdiyitidiyiti1

我的電腦J

我的文檔

Documentsand

共享文檔HL-232-340Intel

Settings

網(wǎng)上鄰居口

KeilProgramFilesProgramData

詳細(xì)信息V口

tctestJtext

thirdwWINDOWS

新建文件夾HinRAR壓縮文件g^client.ex

1,721KB

JLink.logmain,c

寸木寸擋r*rcmiyroF；1a

26個(gè)對(duì)象OJD1個(gè)隱藏對(duì)象）怙.12MB-[QIntern

3、將本地主機(jī)上的G_Server.exe拷貝到目的主機(jī)的磁盤中，并使其自動(dòng)運(yùn)營(yíng)。

如下圖所示：

X,to.1.13.214,上的C$a：)-1□!

文件更）編輯⑥查看9收藏?工具豆）幫助國(guó)）________________________________________________

Q后退,|/搜索文件夾|因,

地址@)|*x：\30^

文件和文件夾任務(wù)會(huì)

123

J創(chuàng)建一個(gè)新文件夾

通將這個(gè)文件夾發(fā)布到

?Webcaomma

其它位置*

diyiti1

我的電腦

我的文檔

IDocumentsand

共享文檔一JHL-232-340Intel

Settings

網(wǎng)上鄰居

ProgramFilesProgramData

詳細(xì)信息

text

26個(gè)對(duì)象OJOI個(gè)隱藏對(duì)象）

上圖中，目的主機(jī)的C盤中沒有G_Server.exe程序存在。

此時(shí)，目的主機(jī)的C盤中已存在冰河的G_Server.exe程序，使用D。s命令添加啟動(dòng)事件，如下圖

所示：

上TO.1.13.214'上的C$CX：)/0I.

文件①)編輯量)查看(V)收藏&)工具(T)幫助出)|,中

。局8▼。▼優(yōu)|戶搜索文豚|國(guó)：_________

地址@)fex\3H轉(zhuǎn)到

1U

文件和文件夾任務(wù)會(huì)n

0創(chuàng)建一個(gè)新文件夾

/Dev-Cppdiyiti1

d將這個(gè)文件夾發(fā)布到

?Web

IDocumentsand

Intel

\Settings

其它位置會(huì)

4我的電腦

/KeilProgramData

Q我的文檔

o共享文襠

T網(wǎng)上鄰居

1tctext

詳細(xì)信息㈡P

thirdwiinjows

㈡國(guó)

靛:6姬批處理文件

新建文件夾

1KB

畫

G_Server.exeJLink.logmain,c

MicrosoftGi)Win.文本文檔Csourcefile

HMicrosoft公司01KBc1KB

復(fù)件aaa.bat

MS-DOS批處理文件

1KB

zs個(gè)對(duì)象Sui個(gè)隱藏對(duì)象)1.94MB@Internet

一方面，獲取目的主機(jī)上的系統(tǒng)時(shí)間，然后根據(jù)該時(shí)間設(shè)立啟動(dòng)事件。

此時(shí)，在目的主機(jī)的Dos界面下，使用at命令，可看到:

菽命令提示符

登錄失?。何粗挠脩裘蝈e(cuò)誤密科。

C:\DocumentsandSettingsX^dninistrator>netuseW10.1.13.214\ipc§

命令成功完成。

C：\DocunentsandSettingsXfidninistrator>netuseX:W10.1.13.214\C§

命令成功完成。

C：\DocunentsandSettingsXAdninistrator>nettine\\10.1.13.214

\\10.1.13.214的當(dāng)前時(shí)間是2016/6/29上午04：56

命令成功完成。

C：\DocumentsandSettingsXAdninistratoi*>atW10.1.13.21404：56C：\\G_Seruer

新加了一項(xiàng)作業(yè)，其作業(yè)ID=1

C：\DocunentsandSettings\Adninistratoi*>at

列表是空的。

C："ocumentsandSettings3dm:Lnistrator).

下圖為設(shè)定期間到達(dá)之前(即G_Server.exe執(zhí)行之前)的注冊(cè)表信息，可以看到在注冊(cè)

表下的：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run,其默

認(rèn)值并無任何值。

/er2003EnterpriseEdition?VMwareWorkstation

查看(V)慮擬機(jī)(M)分組(T)?n(W)幫助(H)Bones?aa?Ha?igiSBH

^J^^Wjndow^e^e^OoTEntT?1

品WindowsXPProfessionalX

當(dāng)目的主機(jī)的系統(tǒng)時(shí)間到達(dá)設(shè)定期間之后，G_Server.exe程序自動(dòng)啟動(dòng)，且無任何提醒。

;Server2003EnterpriseEdition-VMwareWorkstation

■M（v）SXIVUM）劍BCD皿帥g■叩Oe二回直圓口SBH如③

fiUbuntuWindowsServer2003Ent-’、；與WindowsXPProfessionalX

；注冊(cè)表編輯器三回兇

文件9磐汽藏夾?幫助QI）

__IKununcoT嘮默認(rèn)）C:\VINDOTS\xyst.EXE

IRunOnceEx.J-

__JRunServices回PMIME2002AREG.SZC:\WIND0tS\syster*32\IME\TINTLGNT\nHrSETP.E.

S-_JSetup

ME2002ASyncREG_SZC:\WINDOTS\Syst?r?32\UIE\TINTU；NT\TINrSETP,E.

二|Sh?r?dDllsareToolsREG_SZ"C:\Progra?Files\VMwar?\VMitareToolsWMwar.

SI1ShellExtensions回VWwareUserProcessREG_SZ“C:\FrogranFiles\VMware\VM?areTool姑恤ar.

ShellConpatibility

ShellScrap

_3Sh?llS?rvic?ObjactD?l?yLoad

從上圖可以看到，HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curre

ntVersion\Run的默認(rèn)值發(fā)生了改變。

變成了：C:\\WINDOWSWSYSTEM\\Kernel32.exe

這就說明冰河木馬安裝成功，擁有G_Client.exe的計(jì)算機(jī)都可以對(duì)此計(jì)算機(jī)進(jìn)行控制了。

此時(shí)，再次使用G_C1ient.exe搜索計(jì)算機(jī)，可得結(jié)果如下圖所示:

從搜索結(jié)果可以看到，我們剛安裝了冰河木馬的計(jì)算機(jī)（其IP：10.1.13,214）的IP地址前

變成了“OK：”，而不是之前的“ERR:"。

下面對(duì)該計(jì)算機(jī)進(jìn)行連接控制:

VMwareWorkstation

【機(jī)(M)分組(T)除口(W)部助(H)B30QJ吟2?1彈EJEDH彈③

文件電)編輯電)

沱冰河V2.2[DARKSUN專版]

。后退◎

文件［R］編輯［的設(shè)置&J幫助⑻

地址9)回

C:\Documont居里嗡CKe

文件和文件夾任務(wù)題題國(guó)安

應(yīng)用6】［

一當(dāng)前連接：|192168.1112端口：［7628—也問口令：f

里命名這個(gè)文件_rJ

分

0移動(dòng)這個(gè)文件口文件營(yíng)理器I電命令控制臺(tái)I

復(fù)需怩個(gè)文件

我的電腦一文件名稱F件大小(字節(jié))最后更新時(shí)間

9將這個(gè)文件發(fā)布至LocalHost

以電子郵件形式學(xué)+(192.168.1.112

X文件

刪除這個(gè)文件

其它位置

我的文檔

共享文檔

我的電腦

網(wǎng)上鄰居

詳細(xì)信息

口令有誤，拒絕執(zhí)行命令

上圖顯示，連接失敗了，為什么呢？其實(shí)因素很簡(jiǎn)樸，冰河木馬是訪問口令的，且不同版本的訪

問口令不盡相同，本實(shí)驗(yàn)中，我們使用的是冰河V2.2版,其訪問口令是05181977,當(dāng)我們?cè)谠L

問口令一欄輸入該口令(或者右擊“文獻(xiàn)管理器”中的該IP,“修改口令”)，并點(diǎn)擊應(yīng)用，即可連接

成功。

al-VMwareWorkstation

鴕機(jī)(M)分組(T)SD(W)幫助(H):■叩叵I與；目強(qiáng)於：旺亙回口「百面畫"色駕

XWindowsServer2003Enterpri,..X臣WindowsXPProfessional

冰河

文件隹〕編輯(￡)

冰河V2.2[DARKSUH專版]

。后退?0

文件［已編輯國(guó)］設(shè)置修］幫助3

地址①)3c：

文件和文件夾任務(wù)*

當(dāng)前連接：|192168.11123端口：商訪問口令：,*******應(yīng)用⑸|

重命名這個(gè)文件r［

移動(dòng)這個(gè)文件口文件管理器|電命令控制臺(tái)|

復(fù)制這個(gè)文件

繆我的電腦文件名稱I文件大小序節(jié))最后更新時(shí)間

將這個(gè)文件發(fā)布至LocalMost

叁

以電子郵件花式3192.168.1.112Documentsand

文件日困

IInetpub

刪除這個(gè)文件+CjDocTimentsand

ProgramFiles

[+：口Inetpub

_JSystemVolume

+|__JProgramFiles

2JWINBOWS

其它位置+口SystemVolume

~1wmpub

+QWINDOWS

桌面回AUTOEXEC.BAT02011-10-3014:56:00

>Cjwmpub

我的文檔回bootini1922011-10-3014:45:42

旬bootfont,bin3227302003-3-2720:00:00

共享文檔

回CONFIG.SYS02011-10-3014:56:00

我的電腦

同G_Server.exe2663832000-7-1023:15:56

網(wǎng)上鄰居詞10.SYS02011-10-3014:56:00

同MSDOS.SYS02011-10-3014:56:00

MlNTDETECT.COM475482003-3-2720:00:00▼

詳細(xì)信息

共有16個(gè)對(duì)象

連接成功了，我們就可以在“命令控制臺(tái)”下對(duì)該計(jì)算機(jī)進(jìn)行相關(guān)的控制操作了。

比如說：

1、屏幕控制。

圖像格式有BMP和JEPG兩個(gè)選項(xiàng)，建議你選JEPG格式，由于它比較小,便于網(wǎng)絡(luò)傳輸?！皥D像

色深”第一格為單色，第二格為16色，第三格為256色，依此類推。“圖像品質(zhì)”重要反映的是圖像

的清楚度。按“擬定”按鈕后便出現(xiàn)遠(yuǎn)程計(jì)算機(jī)的當(dāng)前屏幕內(nèi)容。

%冰河V2.2[DARKSUN專版]Io回I表.1

文件的編輯［E］設(shè)置［G］幫助［H］

&國(guó)0

當(dāng)前連接：iLocalHost三］端口：1^626訪問口令：I應(yīng)用［S］

-J文件管理器與命令控制臺(tái)

令

類命令

&口

制

類命令

@s控

絡(luò)

類命令

網(wǎng)

S--

件

類命令

E--s文

S--

S-由-

冊(cè)

表讀寫

注

置

類命令

a設(shè)

清從左側(cè)列表中選擇相關(guān)命令

設(shè)立相關(guān)屬性

■WindowsXPProfessional-VMwareWorkstation

文件都查號(hào)(V)虛擬機(jī)(M)分組(T)窗口(W)幫助(H)■la1330?IE）回直）（3陰

WindowsXPProfessional-VMwereWorkstation

文件侏a?s（v）4m（M）ja（T）ea（w）分期舊）B加⑦⑥：3"心藥門而?I回回值

■.蜜怙用X虛ubuifjX屆\Yn3vs5er，”.”0：B-tCT，;…X[時(shí)

r用像R示即回立

立伴修?ia<E）連專但）他）[R（I）*6bQfiI薩

。后遢?.t

文件再土小I盤故I修改RWII■性I

---------------------------------文

3臬面FrD"3s、<、willS?iGik?>>:20111030匕00

文

口in“氤2011-10-301530

m文

口Prob**FI1?B2011-10-311415R

5丫班9名夠文

國(guó)235次叁（*：）Onjroo/s文2011-10-301532

BJ3本地電史（C.）C）s22011-10-301458

回

圖3DVD而動(dòng)IS（D:）G_Serv?r.?x?