-: Więc trojany, które do tej pory stworzyliśmy, są bardzo fajne.
Mogą przekazywać programy antywirusowe.
Uruchamiają dwa fragmenty kodu, pierwszy działa
w tle, który
uruchamia nasz własny kod, i
właśnie to chcemy zrobić.
Na przykład otwórz port lub połącz się z
nami ponownie i
daj nam powłokę, która uruchomi
kolejny fragment kodu, którego oczekuje użytkownik.
Aby mógł wyświetlić obraz.
Może odtwarzać pliki MP3 lub wyświetlać pliki PDF.
Ta funkcja bardzo utrudnia wykrycie.
Najlepszą rzeczą do zrobienia jest sprawdzenie
właściwości pliku i upewnienie
się, że jest to, co twierdzi.
Mamy tutaj nasze zdjęcie git i
widzimy, że to JPG.
Wygląda więc jak obrazek
i ma
ikonę, a jeśli go uruchomię, zrobię
zdjęcie, tak jak widzieliśmy w poprzednich filmach.
Cóż, chodźmy prawym przyciskiem myszy i
przejdźmy do właściwości, a kiedy
przejdziemy do właściwości.
Zobaczysz, że jest to aplikacja, to nie jest zdjęcie.
To samo dotyczy plików PDF, to samo dotyczy plików MP3.
Powinien powiedzieć MP3, jeśli był to MP3.
Jeśli powinien powiedzieć PDF, jeśli to był PDF, i
powinien powiedzieć JPG, jeśli jest to JPG.
Cóż, w tym przypadku
widzimy, że to powiedzenie, a wciąż nie można go uruchomić, jest wykonywalne.
Mówiąc o szczegółach, zobaczysz, że jest
to aplikacja.
Więc to nie
jest zdjęcie, jeśli to było zdjęcie, powinno ci powiedzieć, że to zdjęcie.
Odtąd dowiemy się, że oszukuje nas to.
Kolejną rzeczą, na którą możesz grać z nazwą
pliku, będzie można go zresetować,
jeśli zmienisz nazwę pliku na cokolwiek innego.
Zobaczysz, że to plik exe,
a nie JPEG.
Więc jeśli to zrobię, zmień to na test.
Zobaczysz, że nazwa została zmieniona w celu przetestowania.
Załóżmy teraz, że ten
trojan został połączony z plikiem wykonywalnym.
Więc jeśli go uruchomisz, to spodziewałeś się, że dostaniesz exe,
i z wyjątkiem aplikacji.
Załóżmy więc, że jest połączony z
akceleratorem pobierania plus.
Zamiast tego w połączeniu z takim obrazem.
Zadanie będzie trudniejsze,
ponieważ i tak oczekujesz aplikacji.
Spróbujmy to uruchomić.
Teraz oczywiście znowu z obrazem i plikiem PDF, Windows powie
ci, że
próbujesz uruchomić, plik wykonywalny, ale jeśli używasz,
jeśli oprócz pliku wykonywalnego, to
i tak go uruchomisz.
Tak jak w przypadku
tego, a to oczywiście odtworzy plik
wykonywalny, którego
szukasz, i wyśle sesję zwrotną do Kali.
Więc zamierzam
przejść do narzędzia o nazwie menedżer zasobów.
I z tego narzędzia, jeśli przejdziesz do karty sieci.
Jestem już na karcie sieci,
będziesz mógł zobaczyć wszystkie otwarte porty na swoim komputerze.
Widzimy tutaj, że mamy port 8080 i jego połączenie z adresem
IP, który jest 10. 20 14 203.
Teraz oczywiście 8080 nie jest zbyt podejrzane.
Więc nawet gdyby miał 180 lat, nie mógłby wyglądać tak
podejrzanie, a także pochodzić z procesu zwanego przeglądarką, który znowu
nie jest zbyt podejrzany.
Podejrzaną częścią jest adres zdalny.
Ma więc dostęp do adresu 10. 20 14 203, że
jutro nawet nie wiemy, co to jest.
Jeśli była to witryna internetowa, umieszczenie jej w
przeglądarce powinno zabrać Cię na stronę internetową
lub na serwer tej witryny.
W większości przypadków, jeśli był to komputer hakera, nie zabierze
Cię on na stronę ani nic,
a wtedy dowiesz się, że ta osoba jest napastnikiem.
Aby to zweryfikować, możesz użyć narzędzi o
nazwie Reverse DNS Lookup.
To, co robi, to w zasadzie nadanie mu adresu
IP i powinno powiedzieć, do jakiej witryny internetowej należy ten adres IP.
Lub do której domeny należy ten adres IP.
A więc niech mamy przykład na Facebooku.
Powiedzmy więc w swoim menedżerze zasobów, że widziałeś adres
IP i podejrzewasz go.
Tak naprawdę zdobędę właściwy adres IP na
Facebooku.
Powiedzmy na przykład, że widzisz ten adres IP.
Na porcie 80 jest połączenie z tym adresem IP.
Więc jeśli skopiujesz to i przejdziesz do Google (pisanie), i
tak w przypadku odwrotnego DNS.
Zamieszczę tutaj adres IP.
Adres IP widoczny w twoich zasobach i
sprawdź go.
Jeśli jest to odpowiednia strona
internetowa, nie ma się czym martwić.
Jeśli wygląda podejrzanie,
będziesz wiedzieć, że podejrzewa to podejrzana osoba.
Teraz, jeśli widziałeś coś takiego, i
to trafia na
Facebooka i przeglądasz go na Facebooku.
To jest teraz kształtowanie za pomocą Facebooka.
Więc istnieje połączenie między tobą a Facebookiem.