冰河木马实验报告

1、实验名称实验类型实验报告网络攻防综合实验设计实验学时指导教师实验时间李曙红2016.06.291.实验目的本次实验为考核实验，需要独立设计完成一次网络攻防的综合实验。设计的实验中要包括以下几个方面内容:(1)(2)2构建一个具有漏洞的服务器，利用漏洞对服务器进行入侵或攻击；利用网络安全工具或设备对入侵与攻击进行检测；能有效的对漏洞进行修补，提高系统的安全性，避免同种攻击的威胁。网络攻防综合实验将从实验设计、实验过程、实验结果、实验报告几个方面，对学生的综合实验能力进行考核与评分，具体评分标准参考“评分标准”文档。二、实验要求.2人一组，要求每人分工不同，例如一人负责网络攻击，一个

2、负责网络防范。在实验过程和实验报告中要 体现两人的不同分工。每组独立设计完成实验，不能雷同。实验过程中以下三个阶段需上机演示给指导老师察看：完成网络攻击、检测到攻击、完成网络防范。 完成实验报告，能解释在实验使用到的技术或工具的基本原理。三、实验环境可以自由使用信息安全实验室的PC机，局域网，Linux服务器，Windows服务器，防火墙，入侵检测系统等。四、实验设计方案、实验过程及实验结果作为一款流行的远程控制工具，在面世的初期，冰河就曾经以其简单的操作方法和强大的控制 力令人胆寒，可以说达到了谈冰色变的地步。鉴于此，我们就选用冰河完成本次实验。若要使用冰河进行攻击，则冰河的安装（是目标主机

3、感染冰河）是首先必须要做的。冰河控制工具中有三个文件：Readme.txt，G_Client.exe，以及G_Server.exe。Readme.txt简单介绍冰河的使用。G_Client.exe是监控端执行程序，可以用于监控远程计算机 和配置服务器。G_Server.exe是被监控端后台监控程序（运行一次即自动安装，开机自启动，可任 意改名，运行时无任何提示）。运行G_Server.exe后，该服务端程序直接进入内存，并把感染机的 7626端口开放。而使用冰河客户端软件（G_Client.exe ）的计算机可以对感染机进行远程控制。冰河木马的使用：1、 自动跟踪目标机屏幕变化，同时可以完全模

4、拟键盘及鼠标输入，即在同步被控端屏幕变化的 同时，监控端的一切键盘及鼠标操作将反映在被控端屏幕（局域网适用）。2、记录各种口令信息：包括开机口令、屏保口令、各种共享资源口令及绝大多数在对话框中出 现的口令信息。3、获取系统信息：包括计算机名、注册公司、当前用户、系统路径、操作系统版本、当前显示 分辨率、物理及逻辑磁盘信息等多项系统数据。4、限制系统功能：包括远程关机、远程重启计算机、锁定鼠标、锁定系统热键及锁定注册表等 多项功能限制。5、远程文件操作：包括创建、上传、下载、复制、伤处文件或目录、文件压缩、快速浏览文本 文件、远程打开文件（正常方式、最小化、最大化、隐藏方式）等多项文件操作功能。

5、:包括对主键的浏览、增删、复制、重命名和对键值的读写等所有注册表操作功&注册表操作能。以四种常用图标向被控端发送简短信息。:以聊天室形式同被控端进行在线交谈等。7、发送信息：8、点对点通讯实验过程:一、攻击1、入侵目标主机首先运行G_Client.exe，扫描主机。查找IP地址：在“起始域”编辑框中输入要查找的IP地址，例如欲搜索IP地址“ ” 至“ 55 ”网段的计算机，应将“起始域”设为“ 192.168.1 ”，将“起始地址”和“终止 地址”分别设为“ 1”和“ 255”（由于我们是在宿舍做的，IP地址在100120之间），然后点“开始 搜索

6、”按钮，在右边列表框中显示检测到已经在网上的计算机的IP地址。摆素结果;逛始也址：厂 0 线止比址：匣33333333353331* J1 1- 1 1- 14 111 1- 11 1 1I 1I9O123O45S752376 Qi g ctf 9 JI 111 11 3 4 411111£2£22cj22cnI正在33描子10. 1.13.211 .从上图可以看出，搜索结果中，每个IP前都是ERR地址前面的“ ERR”表示这台计算机无法 控制。所以，为了能够控制该计算机，我们就必须要让其感染冰河木马。1、远程连接使用 Dos命令：net use ipipc$ 如下图所示：

7、2、磁盘映射。本实验：将目标主机的C:盘映射为本地主机上的 X:盘 如下图所示3、将本地主机上的G_Server.exe拷贝到目标主机的磁盘中，并使其自动运行。 如下图所示：上图中，目标主机的C盘中没有G_Server.exe程序存在。此时，目标主机的C盘中已存在冰河的G_Server.exe程序，使用Dos命令添加启动事件，如下图所 示：10. 1.13,214-上的 CJ (I；-jnjxl文怦附 蝙®© S看® 收厳 工具 帝助迅）地址|0：k二J H转到vUjWlhxrill iL文件利文件夬任箝3创淒一于新立f牛夹«1稱这亍文厝夹Jte有到我箱

8、电艙 我S3丈殆 些拿文梢 阿上邻SD D- DDhCppdifitidiyitiLKV b b£牛对掠ma 1僱载对竦）llocunents uul SittingsH>£32-340，-.IntelEeiltcthir4新建立件天tMtFr<igr*ni Filesa. larWiiJlAE压縮立件1,721 EBG_Server. e£& MlCr*s<>ft (R) ttiH. Micrrsoft 益'司JU nt. log 文本文档1 EBtSJCtaaa balMS-DOS批处理文件1 KBFir o gr ar

9、l) it i肛TOO昨Imain, cC Source fileI Wt ' 1 EB11 94 HlInterntt首先，获取目标主机上的系统时间，然后根据该时间设置启动事件。C:Docunents And命令成功完成.SettingsMdnin isti*ator>netu£e.214ipc$G：Dq cunents and命令成功完成。Ge tt:ingsSA(liiin Is tratov>netuse K： M0.1 _13.214CSC：XDocunents and14 的当前时间是 2016/6/29 上午 04:56Settin

10、gsdnin isti*atoi*>nettime M0.1 *13.214G： Do Cline n't s and Ge ttinsSAdnln istratoi'>at W10.1 .13 -214 Q4 = 5G C： C_Seruer 新加了一项作业，其作业ID = 1k：DoGiAn#ntG Anri SettingsMldnin i8ti*atoi*>此时，在目标主机的 Dos界面下，使用 at命令，可看到:HKEY_LOCAL_MACHINESoftwareMicrosoftWi ndows Curre ntVersio nRun下图为设定时间

11、到达之前（即G_Server.exe执行之前）的注册表信息，可以看到在注册表下的: ，其默认值并无任何值。rti 2D0J EM-cr ；?rii-r Ldilibi - VM卄hc 讥#uL, uC*?(V1 ffiUlfllMl佃 E 8匚的 JHWO 丄亠昌SIS_J IF匚 mEPH '_ VAltif hiQ-ilLUL ij n；-2j DpUmbkr口uX庄_i pdllCL«S 卩二j 山匕eQIB»_3I:J EHrraESDDCi jPJCTEZZIDLaEsm 列略世亡lotls 團陷Uri Iky hxvERECSZ畑a脈31 Tra:nsV

12、iyE7«iiFZ；r3rrL.WTTzrrsETF i C. l-OK n3i xyi-TUTSETP. ' .H 5昭比Fl七利E廿小谒飞.W 忡 4 fbl-Vb'uVa u hVrtv«iQ 丫应讥曲2 . LRurOn比陆 J PufHTar*._3 EiItt_J Sk.rJkll. _J :kl EiL-lil Sb4UCpib4lLtTIf匡H- I SLilSerit_VJ ：4DLj Atllvl-AyLbbJj 春IbJy：仏二)5呻即b J T 亡 T Fb*Ti(7亠J TWm二J血祁UlinJ QRL蕭訐TiL口EHOFTH适rV

13、crzia&吒鈕-=心rr心丹心血血e当目标主机的系统时间到达设定时间之后,G_Server.exe程序自动启动，且无任何提示。R7lh"r L LJ Tir:v5KTi5iair fKvar. Tiid1i.w祜研亡 T6d.S'*vrRdofis fl-'工吐53： T1 Fwr 200 占 tnl K啪 n 士 £d*11W - 'Cibtwrdl £ Wb4 jh-jllstriw aeuMi 密aE；殴帜)fl DB (V*5 I Oi35'迺已® 011 匚EO 花召HKEY LOCAL MACHINE

14、SoftwareMicrosoftWindowsCurrentVersionRun从上图可以看到， 的默认值发生了改变。变成了： C:WINDOWSSYSTEMKemel32.exe这就说明冰河木马安装成功，拥有 G_Clie nt.exe的计算机都可以对此计算机进行控制了。此时，再次使用G Client.exe搜索计算机，可得结果如下图所示:虫援素计aft搀素结果：lOOXJI03iOCKOLKOOiOEOEQCKOXOQ：0疋ERlCCC VC CC octree3333333 3333332222222 222222IC. 1 13 1TWn-Ti±1I对？网'g i.

15、 i3探索完半共找到怡台计算机，其中占召可用从搜索结果可以看到，我们刚安装了冰河木马的计算机（其IP: 14）的IP地址前变成了 “OK:”，而不是之前的“ ERR:”。F面对该计算机进行连接控制:VMwaic W=pkilJL»Mn(Mj SMS 忙 «OlWl 梅呵:H J胡上也也归 E e M前I ra因昼IE gfc* Sen am WrpriX 陰鼻匚冋.更丈峠tu湖5时锣5惶】 帘肋MlIT护*1豐供TM1«-F £3 C：、Itg0、gId芦dw 3rd' 旦删灶沆丼 占応T窪仲誉怖弓龙件曲製二"龙什趣塾

16、畐 5B *«適右矗严屯再嬴；耳"LH?n as口：何J-y :_i文IT百證雷 * 11 ¥归判台勺口i山找的电址七jVV a_L H'j 1立存a蛾丈件犬屮?弓）：!&.£史ih対目貝面冷irr gE 渤班 用上趣1«上图显示，连接失败了，为什么呢？其实原因很简单，冰河木马是访问口令的，且不同版本的访问口令不尽相同，本实验中，我们使用的是冰河V2.2版，其访问口令是05181977,当我们在访问口令一栏输入该口令（或者右击“文件管理器”中的该 IP，“修改口令”），并点击应用，即可连 接成功。轻期#U时池巳奁口 MO Sri

17、tfH) JU 国 Q I S Qi 35 H 5 ® S 回0 巒.X 岭 WMwaL. X<35 反C；冷冰河75.3 LniRI师n专fed旦囲地:jt IC' iHocur.tal玄件in立件吏ft*蝴n砂Xfiri>5±'i 宜 4 S越遂亍丈呻 荽Sllir-丈昨 樽过7'?1:4发:?首 kJ电于飢片年式戈T惮删除过T_ir性左件工1需if】世S氐站扫皿1刮I鼻H nr亟靈省血 ;丨i9nffi. i. i£ZJ龍n :辰骑 诲#口爭：*卄钳和*d跨MS I电彷寻拦制台J!-r'-J闻再苓野孟W电EJIrf

18、calH第t.n A 12 ：6a 1 11£=|l| I_IUh3 : O昭in CJ H'afrn Tvlnf 爭"u卉 VoliTZ * |2J KHOre l*J'flpytXf+± 小 <?节：1总后更时刊2jDc-cwieiils iziiErr- JTr.ctfcL Ji Pest 5 *lLtI 1品=七亡.V jLui* 1.-_f ttiraofs_J rrth|_ul jl MrHj£>EC JOTW buid. baij b4frllU lua因 HI3HG.囂 5>b|tiT Dg因皿畀

19、3;T3TEwlNrrnrcT ecuI曲J££7»047549aoji-Lci-JO ii bti luci 2Oia-LO-3O 34 吧 *； £OQO-0-2T £O;U：DQ 2CU1叫片恥11關切 ?rnr)-7-in 严-5 邛 2C-L>3O 11 56:00 Oll-Lt>-3D 14 SE .00 2003-3-£T so re OO扶育厲!词苏I连接成功了，我们就可以在“命令控制台”下对该计算机进行相关的控制操作了。 比如说：1、屏幕控制。“图像图像格式有BMP和JEPG两个选项，建议你选JEPG格式

20、，因为它比较小，便于网络传输。 色深”第一格为单色，第二格为16色，第三格为256色，依此类推。“图像品质”主要反应的是图像 的清晰度。按“确定”按钮后便出现远程计算机的当前屏幕内容。沐河 VZ2 DAkKEUNKEj丈已田 El设青疋1耕囱H& WBLJL SBI CZI 1HI応甲rsi三I fSn：両访i可口令：r:3文件管埋器%命笔控制令令令令肓令命命命命谟命墨类粪粪羔类令制缩件闍蛊一口控厨文注谡®QQeQQ回；甲砂田叶.由请从左例列表中迭择相关命令设置相关属性J.XP * jf" jiL tI 一 VWwMH *="='Oirf-4

21、9;i1d1ri到工 Gb 曼亡71 kKiuM 淀仁 gs财I迥助列 a DB 口© 匡.371窈辺15> 勺回固 dh fe墻址価 X » Uncta_X :靳轧* 塑彗塚bk* X-Intxi护V|(3 財ii t I fttt i二文Bf. ( -.>. *9tfix Hl)_nw-ifwP d £i-h.Uh<>诞 Hl；9'iO-n LC « aO-：D-TI L5 STCTll-lO-? L-1 LbJUUJ -U JJ LL 4 Siin-TrTl I J FP mXL-JO U L5ZBl SO 主Stt

22、F?BuT注a EBI Ji IC'lptIICuiUH?ah富It MjJIt 呵lAtlMii 荀：JT.ti M：ja£眉 衣崙i * 一*金耀回® I i 一* 壬匕* B戈件S二?务 Ph 二ixjyii二I崭哼_3丁9Stufl Iar -rf |拠1, vasiH11 Ah 1niriATV n hJzfl=A3TII-in-3I L9- 3aLjMo, MetIff*Sl；q|b口 It 1511 ; rrncT.-i立曲3DII-I0-U IS 3g_t"P*iw*ZOinO-TP L< w A HVRr同D Vim冊335C-T-

23、IT? 31 胸hVMwa-e WorirttJtion爼阿 港m n（w）哥幻HMSB© l RSI 埠匚.谏卅 0 2 fDAHKSUlTft Irf*fr览址J 3 iDauwl團 3! 9 IT当科.锚：L6e"lTl£3 胡口：_j立什它3* 9的兽珈台l+'X再它粧BM檸对達午SW卜豈P* 月送1文伴抚布d 训口辛fiE戶比式肖fl瓦£捏和0文件轴辛吐迅B类谕专具H捕昇fte賞ffi転文君 郭盛.电® 网I丄算町发送信息”主要是让操作者选择合适的览”觉得满意后点 发送”即可。爭 Windows sewer J04U tdI評

24、勵如李血MaerulXI 林战 m 丄 H 11-175 &r JI煤|匚蚪夷I八X崎prbe Lditoft - l?,TfH5rt mkstston 恫(M) 链E 主匚(W) 在閒旧歸口看曲：Wkde= 信.电IF丈w吟却 西按型:艇二毎Fi类型：廡口虫冈IJ 顼览I h厂鑒禮”马图标类型”和按钮类型”，然后在 信息正文”里写上要发送的信息，按 juTT汩 口 a 回 SIGD 0H 爲示1 = Jjcuzln ui4 StiItncs丈件菲2W1-10-3D t5:0e:二 Mu 5*寸坪XE041-10-5D t5r3D1 JPror T»le丈半專EJ|-in-3

25、l 14 15口YlWnflft*-£0M-|n-3D 15-2limpizb亡甘EQIl-in-3n I4-5Bjf ijcrrtr. txQZ51 EB 应用ZEro-7-LO 口：丄5P天1I關滾巨期lULLdN三口琴列、=口 X3、进程控制» 亶01 edfflHb 时“ gvf，rta-iM) 9 nCEQ 5：忌跟 MIQgQ 豐匡園谆怖IT7nUuaf Jln4Ji tl*航 鬲IilLiwS 亦h*B 3lUfl&Tltr|_rt.址爭，:.AH VP. p- ruAHEHrirt-fe血上 K Ji -><S.讲河XT!(r>5：

26、jnrfMb若 mxq;#tk应创 nc舉若制 耳EE创伫|Cc<BiCTi4nx Tt-HZ ri'ihckcdlHLLt-n-S)u I.H»lLiitcr “i 诃g" llrj lr£« Llri FLoJcWinq! *idzn 'Fhvhfvhkr F-III 11R !Fi*y*n> Hateer、 umdI一、进程管理”是 查看进程”，了解远程计算机正在使用的进程，便于控制。4、修改服务器配置xtPfK-rir- mI 7M*n W二 kvwli>>-<4 VI 虔Ffi SQiTj *JW.

27、 w«l &詢陀 W ：J 箕 n 3 E O R 吋二 匸 i時汙3t34-孤争4 J'X.t!TPMIFl-WE*>趣幽jsia*亘昙£<ifei耐M.Z1 ”Di crTiJA：fifl-.：irj奎审* J£M=| 4« i-a iffgrfti *电拥fcfelt 'tisilitne王电5曳TtfiQM去査F过，立庁S费 rarnLH nr 塑里 5 If fvihirr 聊亍c： T9S 一逋卩龙疔"代汕网:卩聯帝 >*UCI IfthCI ixnubl ridl<U 匸T«

28、;*4屮ETITHe l/ni9S,熾眠"3枠一 9* ft 己.p«hT9rW XM 叫仕 EiinF , I啊1 呻*.$3耳rrEliZI5、冰河信使泳詞 V2.2 DARKSUN专版童b验g I晶冰河信僮当前達接：阪B文件管哩器令納令学石令命命命命渎命类粪类凳表类令制络件册a口控阿文注设& :0.:0:.:® &Bi 用 £哈昭害怕了吧！ 1 !岌送fSJ关田LC实现了。以上是一些常用的控制命令，不过，冰河的强大功能当然远远不尽于此，在此就不 各类控制命令如下图所示：淖河 T2. 2 CDAKZSmrM当询险奁:门號 MS 1.

29、113g立忤普建器為®控制台*H 0TCETCH尸iong匚(W)耕助 nKSSnnSSSBS tsgsuaoiu冰河 ¥2. 2 EAKKSD®专ftgjB_ B叮国觀0 Q血anP百丨屈WiiKiowsXP FrofesskHidl诙倉型LT文件 、文件 、立件件塩楣 U件球式*当miS搖：11"t 11?n文件莒理器 *余揑制白、文件十d 口變宪命令 叶n控制类谕會 £ d网络类命令 吒Q文件类希令 E a注fit表读写誰值康取 箋值写入茎髓瞎删 壬龍亘制 王§¥£饰名:-0设5理弗更撫陽衆更«汁宜

30、机名 O犯曇黑渤PS3j 辅口 ： 両访问口令: 两石赢雄SM詹盘 l¥al gtyp ft/mm e ± :子键haedwaeeVSAMI SECURITY Sa(FTIAKE SYSTTEH、 共5亍子健1圭键：hKEY卫dLJlACHIIEl二j浏唸1k键值艾。手节；数据类型知，无法读取键值I杯嵐*|4(*耳1*：4(#尊#*电*衲*电4用1*"1*噸*卓*厳*J*电X单常*K常单常X戟*專噸常单常*厳常“L V塑据猊擡收主毕/<二、防范与清除冰河当冰河的 G_SErver.exe这个服务端程序在计算机上运行时，它不会有任何提示，而是在win dows

31、/system 下建立应用程序“ kernel32.exe ”和“ Sysex plr.exe ”。若试图手工删除， “Sysexplr.exe ”可以删除，但是删除“ kernel32.exe ”时提示“无法删除 kernel32.exe:指定文 件正在被windows使用”，按下“ Ctrl+Alt+Del ”时也不可能找到“ kernel32.exe ”，先不管它，重 新启动系统，一查找，“Sysexplr.exe ”一定会又出来的。可以在纯DOS模式下手工删除掉这两个文 件。再次重新启动，你猜发生了什么？再也进不去Win dows系统了。“运行”中输入“regedit ”Current

32、VersionRun 下面发现重装系统后，再次运行G_Server.exe这个服务端程序，在“开始”打开注册表，在 HKEY_LOCAL_MACHINESofwareMicrosoftWindows ="C:WINDOWSSYSTEMKernel32.exe" 的存在，说明它是每次启动自动执行的。下图为卸载冰河木马前的注册表信息：1X¥1FX刊絶尸s咗j亠 Oc>3-_&nr3就 EdH_g -丈s辛血 WCTHt&n n- S3 SIS si-if口 M>i:-匚 wo&few】 CJ wu1j-3w-rfufd-:匚眇4uq

33、ll 一利匚肾Til TrF3比si3 ffi LE syp " L n ;*L & - £LkLL£cr44- Lj ?1显？"*0>戈】-ffl 口i E.c wvyB-nD£3i-R o ?tr*-T .匚lt4s知肝启-;CJXKL- thf:h-m-lj-皿g-Q =£1 fif-士 miLvruu*Cj 单 TL址 j od-z:，匕 D H UL一u齿s ffi?二压 IWFW< -Jya s 2 UAMSMgrsol»»gfwK3鶴即曰-HQ*册 B.T.HHEX LDrALJI

34、AC;gaBsllFSUIS -E-M-SHS"曹；亀BIBEUECE 餾"，首TmEHR-'TUB'Li+jMBlmfTplIT-: E品=j导盒 1u H UGb骨曲曲a阶1£ -亠 bri-n4*4*- 9 - 丄口 F,負B 口 Ftdp喷 TilME re 匚炖：kJ IftlE* 止 D £ps 30 JJFn匕-乔Iii; ?nd3H- hl 机： 匕I咅養1.1 y-OLa f F匚聶专lrM A- L3a3a 国 MHUOBZ 二hi 也 nF-ugh 邑 2*a53aLlsi二阳書 s二一亍s 鼻"馬 l4y

35、 y.s.s ylll-o-JCJ 】 w.s MBlps a asJ 岂巳 EnrtrrptiwB -uhlbll - <ssf w¥旷虫即n ss u nrs 暑3 吕 0 0 疗愎-D 口 E & n 0n 显 u仏iun-匚 VI - - c孑亍旨 - 爭C_J炉片u -:八sxliDLl, -Q 仁 SJ_=G1 WIESE. 母 b SJll 口，9 二i I，f HJ-.t-J yiEcrlp (，u笙巴轟q王"？暑 -洞 一於 dis-lc -刃Lj «甲目 tb".匚-H41 貝phFF 匣T'T;!.兰L he&

36、#163;l-ph L .昌一 厂&當学* Cj-:CJ N目 Hr = 卅rrstnc-H-E" -13劭巴一 雪匚 ?±* 上5r;哥罠yr底世V，芒喝三就F#一北曙Hz" BW审：】 n Lb.冒； haastF Mrn 勦ww -应口 七四三一glK罠S2叫 35蚩 “ -Kw Lea LL12同曲E匿屮 <5:迸拙训訓 偻普 可劭 :«初.幕型" :象耳 W:E£ W.口 出:cms$ 侖MtML空 £3«M s - T &皿u咻-一$璽丘-1g蔼.H世- “rrr 西GJ LrVr

37、l-ptiir L-d-lluil "讪td臨-ir 训生"liHm,e s*S(V> 翻辽JW甘迪U產OCW： 坯刊-'-I r - RJr I- k Z < . 7.s u匚D A93 EQS©齐XP ；*T7fr ssiorzd3(： I妙 lU5 ID 迪I当lij应：HI叵I 11;jdBJjdNHLI韋 L |tt段ffhSl±U1LL AtrT1.C4-=RhirdDlliElul 1 ?x-l -ir-LI，EL麹曇啰a «凰厦宙S厂庄云TilJtEH昔板1B3菠盯电;f?jsn 卫jCiUldS血垃 DPI Afl*tQ n伞类Xa-(5-(5曲3矣R冷)I1F0< 倉译tta 进1?甘寺 世口皆速丄戈件MS电宿LA亍*宗箱貯拄pff自E韋壬Emmln “rii'.I+ _I StullCdlD-Lll'bLlLtj- I _|占hil5讹如 : m.叮讣轉严WrCbj務也 i 二TiliByB.ii+ _I 1冲两+ _|山股封!' Thr"TITellelh L lI < _J