-: Die Trojaner, die wir bisher erstellt haben, sind sehr cool.
Sie können Antivirenprogramme umgehen.
Sie führen zwei Code-Teile aus, der erste
wird im Hintergrund ausgeführt,
der unseren eigenen Code ausführt, und
genau das wollten wir tun.
Öffnen Sie beispielsweise einen Port oder stellen Sie eine Verbindung zu
uns her, und geben Sie
uns eine Shell, auf der ein weiterer
Code ausgeführt wird, den der Benutzer erwartet.
Es könnte also ein Bild anzeigen.
Es kann eine MP3-Datei abspielen oder eine PDF-Datei anzeigen.
Diese Funktionalität macht es sehr schwer zu erkennen.
Das Beste, was zu tun ist, ist, zuerst die
Eigenschaften der Datei zu überprüfen und
sicherzustellen, dass es das ist, was behauptet zu sein.
Also haben wir hier unser Git-Bild und wir
können sehen, dass es JPG ist.
Es sieht also wie ein Bild
aus und hat
ein Symbol. Wenn ich es starte, wird ein Bild
angezeigt, wie wir es in den vorherigen Videos gesehen haben.
Klicken Sie mit der rechten Maustaste und gehen
Sie zu den Eigenschaften, und wenn
wir zu den Eigenschaften gehen.
Sie werden sehen, dass dies eine Anwendung ist, es ist kein Bild.
Das Gleiche gilt für PDF, das Gleiche gilt für MP3.
Es sollte MP3 heißen, wenn es ein MP3 war.
Wenn sollte PDF sagen, wenn es PDF war, und es sollte
ein JPG sagen, wenn es ein JPG ist.
Nun, in diesem Fall können wir
sehen, dass es ein Sprichwort ist, und es ist immer noch ein Nein-Start, es ist ausführbar.
Wenn Sie sich die Details ansehen, werden Sie feststellen, dass es sich
um eine Anwendung handelt.
Es ist also kein
Bild. Wenn es ein Bild war, sollte es Ihnen sagen, dass es ein Bild ist.
Von hier aus wissen wir also, dass wir uns dadurch täuschen lassen.
Eine andere Sache, die Sie mit dem Dateinamen spielen können
und die Sie zurücksetzen können, wenn
Sie die Datei einfach in etwas anderes umbenennen.
Sie werden sehen, das ist eine
Exe-Datei und keine JPEG-Datei.
Also, wenn ich es einfach mache, ändere es zum Testen.
Sie werden sehen, dass der Name zum Testen geändert wurde.
Nehmen wir nun an, dieser
Trojaner wurde mit einer ausführbaren Datei kombiniert.
Wenn Sie es also ausführen, hatten Sie damit gerechnet, eine Exe zu erhalten,
und Sie haben eine Anwendung ausgeschlossen.
Nehmen wir also an, dass es mit
Download Accelerator Plus kombiniert ist.
Stattdessen, wenn es mit einem Bild wie diesem kombiniert wird.
Die Aufgabe wird also
schwieriger, weil Sie sowieso eine Bewerbung erwarten.
Versuchen wir also, dies auszuführen.
Jetzt, natürlich wieder mit dem Bild und mit dem PDF, werden Sie
in Windows darüber
informiert, dass Sie versuchen, eine ausführbare Datei auszuführen. Wenn
Sie jedoch eine ausführbare Datei ausführen,
werden Sie sie trotzdem ausführen.
In diesem Fall wird
die gesuchte ausführbare Datei abgespielt
und
eine Verssitzung an Kali gesendet.
Also werde
ich zu einem Tool namens Ressourcenmanager gehen.
Und von diesem Tool, wenn Sie auf die Registerkarte Netzwerk gehen.
Befindet sich bereits in der
Registerkarte "Netzwerk", können Sie alle offenen Ports in Ihrem Computer sehen.
Und wir können hier sehen, dass wir Port 8080 haben und eine Verbindung zu einer
IP-Adresse herstellen, die 10 ist. 20. 14. 203.
Jetzt ist 8080 offensichtlich nicht sehr verdächtig.
Selbst wenn es also 180 wäre, könnte es nicht so verdächtig
aussehen, und es kommt auch von einem Prozess namens Browser, der
wiederum nicht sehr verdächtig ist.
Der verdächtige Teil ist die entfernte Adresse.
Es wird also auf eine Adresse von 10 zugegriffen. 20. 14. 203, dass
wir nicht einmal wissen, was es ist.
Wenn es sich um eine Website handelte, sollten Sie beim
Einfügen in den Browser zu einer Website oder
zu einem Server dieser Website weitergeleitet werden.
Und in den meisten Fällen, wenn dies ein Hacker-Computer war, werden Sie
nicht zu einer Website oder etwas anderem weitergeleitet,
und Sie werden dann wissen, dass diese Person ein Angreifer ist.
Um dies zu überprüfen, können Sie die Tools
Reverse DNS Lookup verwenden.
Das bedeutet im Grunde, dass Sie ihm eine IP
geben, und es sollte Ihnen sagen, zu welcher Website diese IP gehört.
Oder zu welcher Domain diese IP gehört.
Lassen Sie uns ein Beispiel auf Facebook haben.
Nehmen wir also an, Sie haben in Ihrem Ressourcenmanager eine
IP-Adresse gesehen und sind misstrauisch.
Also bekommst du tatsächlich eine richtige IP-Adresse für
Facebook.
Nehmen wir zum Beispiel an, Sie sehen diese IP.
An Port 80 besteht eine Verbindung zu dieser IP.
Also, wenn Sie diese kopieren und auf Google gehen (Typisierung),
und solche für Reverse DNS.
Also werde ich die IP hier eintragen.
Die IP, die Sie in Ihren Ressourcen sehen und
die Sie nachschlagen.
Wenn es sich um eine richtige Website handelt,
gibt es nichts, worüber man sich Sorgen machen müsste.
Wenn es verdächtig aussieht,
wissen Sie, dass es sich um eine verdächtige Person handelt.
Nun, wenn Sie so etwas gesehen haben
und es zu Facebook
geht, und wenn Sie in Facebook browsen.
Dann ist jetzt mould your using Facebook.
Es besteht also eine Verbindung zwischen dir und Facebook.