如何查找木马回连地址

普通C2 先科普一下,C2就是command&control server，命令控制服务器 假设有这么一种情况 说明 主机名 C2的客户端 A C2 B 受害-主机V V 受害主机V与C2连接，C2的客户端也就是我们攻击者的CS页面控制的是C2，C2客户端可以让C2给受害主机发送命令让受害者主机执行，执行后的结果会返回到C2，C2再返回给CS客户端。 所以流量走势为： 发送命令： C2服务端--------->C2---------->受害主机V 接收回

话不多说，我们直奔主题！首先，我们需要编写一个简单的Python脚本，然后看看在系统中执行命令时会涉及到哪些组件，并将输出以一个二维码图片的形式输出。接下来，我们还需要编写另外一个小型脚本来读入这个图片，并将结果显示在终端控制台中。我们可以直接在手机上扫描这个二维码，然后就可以看到Windows目录被输出出来了。 下面给出的是二维码样例： 很好，你扫描之后就可以看到结果了。因此理论上来说，这种方式应该也可以在代理和C2服务器之间建立直接连接。因此，我决定继续使用Python作为Web服务器，然后使用

2.1 环境（P19）

2022年7月20日，天穹威胁监测系统监测到IoT蜜罐系统中的D-Link Dir817LW路由器遭受来自澳大利亚IP的攻击。系统显示目标设备被攻击成功，并且下载了恶意样本。实验室相关人员第一时间对该攻击事件样本进行分析，发现该次攻击投递的恶意样本为具备RAT功能的恶意程序。

垃圾数据填充会经常运用在各种方式的WAF绕过中，是一种很常见的手段，WAF在设置的时候为了防止自身占用太多资源，以至于干扰了正常服务的提供，因此每次收到超长超大的数据包时，会放弃检测，或者是只检测部分内容，这样我们如果构造这样的畸形数据包，就可以把payload语句放在数据包的尾部，即可绕过WAF的检测。在正常情况下，Content-Disposition后面的内容没有用引号包裹，而name和filename的内容则会用引号包裹。

扩展名检查：MIME 类型检查：文件内容检查：文件大小限制：目录路径限制：文件类型检测：服务器配置：后端逻辑检查：2. ASP.NET 一句话木马 3. JSP 一句话木马 蚁剑 设置一句话木马连接webshell，密码为123设置代理，配置与burpsuit内相同127.0.0.1:8081打开虚拟终端随便输入一个命令，bp抓包冰蝎 生成木马，配置传输协议，传输协议选择base64。点击生成服务端，将木马上传到服务器，配置webshell配置代理服务器连接成功后，在命令端随便输入命令，bp抓包哥斯拉 生成

根据经验，文件上传后，文件有时会直接以文件名的形式放在专属的upload目录中，通常是/upload/1.php，有时会加上当前日期，比如/upload/2024-01-01/1.php，或者其他不修改文件的所在目录，可以使用字典去爆破。有参时：每个参数使用“----------------------------220024558220537725772788875484”分隔开来。选择test.php文件上传，在burpsiute拦截的包修改filename为“test.php. . ”，发送。

1.js前端检验文件类型2.校验上传文件类型/大小/内容/路径3.校验请求头content-type字段4.文件上传后存储到存储桶5.文件上传后以时间戳方式重写文件名6.设置可执行目录白名单。

其实也可以不用外部的木马控制端来连接，只需要本机不停发送信息到控制端就可以了。因为这样更加隐蔽啊。那么就是有一个奇怪的软件在联网。

观察sliver的源码发现，Sliver的C2木马连接服务端有5种类型的消息，使用内置路径段随机生成请求路径，所有路径将具有以下扩展名之一，不同的文件扩展名指示了请求的类型。guid=xxxx，xxxx类似于base64编码，最后会用=填充（有时候能用base64解码，有时候不能，而且解出来的编码也很像base64编码）// 设置生成的agent文件的类型，有三种1->C# 2->powershell 3->python。将生成的恶意文件（两个，一个是lib，一个是out）放到受害者主机上。

利用内网穿透，将C2回连端口映射到其他公网地址，以达到测试程序通过其他公网地址进行回连，隐藏C2真实IP。

对于“驱动人生”挖矿木马、wannamine之类已知的可以通过流行病毒处置引擎查杀的木马，如果全盘扫描没有结果时，可以尝试用快速扫描；原因是文件查杀引擎和流行病毒处置引擎是并行关系，当主机性能较低时，可能会导致流行病毒处置引擎超时。

C2 数据表示、寻址方式与指令系统 1 数据表示 数据表示 定义：机器硬件能直接识别和引用的数据类型 条件：相应的运算指令和运算硬件（处理部件） 分类：基本数据表示、高级数据表示、自定义数据表示 目标：缩小高级语言和机器语言间的语义差别；提高性能/价格；节省处理时间和存储空间 实现：最小的存储空间、最简单的存取算法 tips：数据表示是数据类型的子集 ​ 数据表示的确定实质上是软、硬件的取舍问题 数据结构 目标：最大限度满足应用要求、最简化的方法实现

检测层面关键指标工具/方法网络层非常用端口外联、境外IP高频连接Netstat、防火墙日志、流量分析主机层异常服务登录、凭据访问日志、特权使用Windows事件日志、Sysmon情报层IP/域名信誉、关联样本分析威胁情报平台、VirusTotal这次溯源经历让我深刻认识到：网络安全防御是一场不对称的战争。攻击者只需要找到一个薄弱点，而防御者需要保护整个面。但正是这种挑战，让我们的工作充满价值。

本次教程教大家如何当自己的服务器被入侵后如何溯源找到幕后黑客本次教程由，本次演示的由赞助发布。

目前常见的木马有三种：正向连接木马、反弹连接木马、收信木马。了解也木马连接原理，有助于我们更好防御。 目前常见的木马有三种：正向连接木马、反弹连接木马、收信木马。正向连接木马，所谓正向，就是在中马者在机器上开个端口，而我们去连接他的端口。而我们要知道他的IP，才能够连接他。123就是他机器上开的端口。由于到现在，宽带上网(动态IP)和路由器的普遍，这个软件就有很大的不足。动态I

单位做了杀毒和漏扫服务器，想如果想远程一台机器（以下称为C），那么C开的远程端口如果不是默认端口，用漏扫能扫出C的所有开放端口吗？于是新建一个任务，指定只扫C机的IP，哦豁，竟然有个特洛伊木马，说开在6000端口，有个未知的服务。 在哪里呢？打开服务（services.msc），上下看了看，没找着！于是禁用了防火墙所有的入站、出站规则，先慢慢找吧 接着，打开cmd窗口，输入"netstat -ano"，果然发现了一个本地的源端口6000，已经与本地的一个高位端口建立联接，它的进程号是9152，于是找这个

导航条意义蓝色表示常规的指令函数黑色节与节之间的间隙银白色数据内容粉色表示外部导入符号暗黄色表示ida未识别的内容IDA主界面意义IDA View三种反汇编视图:文本视图、图表视图、路径视图Hex View十六进制窗口Imports导入函数窗口Struceures结构体窗口Exports导出函数窗口Enums枚举窗口Strings字符串窗口一开字符串，二找 main 函数；三按 F5 看逻辑，四重命名理清思路；五写脚本逆算法，六交 flag 拿分数。