首页 > 电脑主机 >

Intranet渗透-Android木马进入高级攻击阶段

电脑杂谈　发布时间：2020-04-13 08:07:40　来源：网络整理

安卓局域网聊天软件_win7局域网共享文件夹_安卓局域网安全

作者: aqniu 2016年12月2日，星期五

I. 概述

最近，360 home火实验室（Fiberhome Lab）发现成千上万个样本被称为“ DressCode”的恶意代码感染. 该恶意代码使用流行的SOCKS代理反弹技术突破了Intranet防火墙限制并窃取Intranet数据. 通过代理通过内部网络绕过防火墙的这种方法在PC上并不新鲜，但是使用移动终端作为跳板实现对企业内部网络的渗透仍然是第一次.

SOCKS是一种网络传输协议. SOCKS协议位于传输层和应用程序层之间，因此可以代理TCP和UDP网络流量. SOCKS主要用于客户端和外部服务器之间的数据传输，所以SOCKS如何工作？例如: A想要访问站点B，但是A与B之间存在防火墙，阻止A直接访问站点B. A的网络中有一个SOCKS代理C，并且C可以直接访问站点B. 因此A通知C访问站点B，因此C在A和B之间架起了一座桥梁以进行信息传输. 工作流程大致分为以下5个步骤:

代理将请求消息发送到代理服务器. 代理服务器回答. 代理需要将目标IP和端口发送到代理服务器. 代理服务器与目标连接. 连接成功后，需要将座席发送的信息发送到目的地，再将目的地发送到代理的信息发送. 代理已完成.

由于SOCKS协议是用于在服务器和客户端之间转发TCP会话的协议，因此它可以轻松穿透企业应用程序层防火墙；它独立于应用程序层协议，并支持许多不同的应用程序层服务，例如TELNET，FTP，HTTP等. SOCKS协议通常使用1080端口进行通信，可以有效地避免对普通防火墙的过滤并实现终端的连接. 在墙的里面和外面.

第二，地理分布

安卓局域网安全_win7局域网共享文件夹_安卓局域网聊天软件

360 Internet Security Center数据显示，截至目前，“ DressCode”恶意代码已传播多达24万个，并且已广泛分布于世界各地. 感染了这种恶意代码的手机在世界范围内的分布如下. 如图所示:

dresscode%e6%9c%a8%e9%a9%ac%e5%9c%a8%e4%b8%96%e7%95%8c%e5%90%84%e5%9c%b0%e7%9a%84%e5%88%86%e5%b8%83%e6%83%85%e5%86%b5

“ DressCode”木马在世界各地的分布

数据显示，已有200多个国家的用户安装了带有恶意代码“ DressCode”的应用程序. 恶意代码主要托管在流行的手机游戏中，并且其扩散能力非常强，包括美国和. 德国，法国和欧美其他发达国家是受灾最严重的地区. 中国的情况不容乐观，企业内部网安全也面临着前所未有的挑战.

三，详细分析

该木马的主要攻击过程如下:

在手机上安装木马后，它将首先连接到C＆C服务器. 连接成功后，木马将与C＆C服务器建立对话通道. 该木马将读取C＆C服务器发送的命令. “开始执行此命令后，它将连接到攻击者主机上的SOCKS客户端，并且攻击者和内部网络中的Trojan程序已建立了一条信息传输通道.

win7局域网共享文件夹_安卓局域网安全_安卓局域网聊天软件

SOCKS服务器读取SOCKS客户端发送的数据. 这些数据包括目标Intranet应用程序服务器的IP地址和端口以及客户端指令. 如下图所示:

socks%e6%9c%8d%e5%8a%a1%e7%ab%af%e8%8e%b7%e5%8f%96%e5%ae%a2%e6%88%b7%e7%ab%af%e6%8c%87%e4%bb%a4%e7%ad%89%e4%bf%a1%e6%81%af

SOCKS服务器获取诸如客户指令之类的信息

客户端传递的命令主要包括CONNECT和BIND.

（1）CONNECT指令

当SOCKS客户端要与目标应用程序服务器建立连接时，它将首先发送CONNECT命令. 收到CONNECT命令后，SOCKS服务器将根据读取的IP地址和端口连接到目标应用程序服务器. ，请求结果将发送到SOCKS客户端. 此时，目标应用程序服务器和SOCKS服务器安卓局域网安全，SOCKS服务器和SOCKS客户端已建立了会话通道，木马充当数据中继站，攻击者和应用程序服务器可以随意转发. 数据被转发，转发过程如图:

%e6%9c%a8%e9%a9%ac%e8%bd%ac%e5%8f%91%e6%95%b0%e6%8d%ae%e8%bf%87%e7%a8%8b

win7局域网共享文件夹_安卓局域网安全_安卓局域网聊天软件

木马数据转发过程

用于数据转发的SOCKS协议的实现代码如下:

%e6%9c%a8%e9%a9%ac%e8%bd%ac%e5%8f%91%e6%95%b0%e6%8d%ae%e7%9a%84%e4%bb%a3%e7%a0%81

图4木马数据转发代码

那么您如何通过这两个连接的数据传输通道窃取数据？以HTTP协议为例，假设攻击者想访问位于内部网的HTTP服务器安卓局域网安全，则攻击者首先通过SOCKS客户端将HTTP请求数据发送给SOCKS服务器. SOCKS服务器读取数据后，立即发送数据. 数据转发到应用程序服务器. 应用服务器收到HTTP请求后，将HTTP响应数据发送给Trojan. 木马检查响应数据，然后立即将其转发给攻击者. 这样，攻击者就可以通过木马完成对Intranet HTTP服务器的访问.

（2）BIND指令

当攻击者需要访问Intranet FTP应用服务器时，SOCKS代理客户端需要向服务器发送BIND指令. SOCKS协议支持PORT模式以传输FTP数据. PORT模式下传输数据的主要过程如下:

win7局域网共享文件夹_安卓局域网聊天软件_安卓局域网安全

FTP客户端首先与FTP服务器建立控制连接以发送命令. 当客户端需要接收数据时，它将在此通道上发送PORT命令. FTP服务器必须与客户端建立新连接才能传输数据. PORT命令包含客户端用于接收数据的端口. 传输数据时，服务器连接到客户端的指定端口，以通过其自己的端口（默认值为20）发送数据.

SOCKS代理服务器收到BIND命令后，木马将使用本地IP和匿名端口生成服务器Socket A，并通过已建立的数据转发通道将本地IP和端口发送给攻击者；等待目标应用服务器连接（主要是FTP服务器）.

（3）攻击FTP服务器的过程

当攻击者想要从内部FTP服务器窃取数据时，他将首先发送CONNECT命令. 收到此命令后，内部网络中的SOCKS服务器将尝试与FTP服务器建立控制流. 如果FTP服务器响应此请求，则建立最终的FTP控制流；攻击者建立与SOCKS服务器的新TCP连接，并在新TCP连接上发送BIND请求. 收到BIND请求后，SOCKS服务器创建一个新的Socket，并等待目标FTP服务器连接，并将第一个BIND响应数据包发送给SOCKS客户端. SOCKS客户端收到第一个BIND响应数据包后，攻击者通过FTP控制流向FTP服务器发送PORT命令，以通知FTP服务器主动建立与Socket A的连接. FTP服务器接收PORT命令并主动连接至Socket答: SOCKS服务器从FTP服务器接收连接请求，将第二个响应数据包发送到SOCKS客户端，然后SOCKS服务器开始转发数据流. 这样，攻击者就可以通过木马完成对来自Intranet文件服务器的数据盗窃.

上面的攻击过程如下所示:

%e9%bb%91%e5%ae%a2%e6%94%bb%e5%87%bbftp%e6%9c%8d%e5%8a%a1%e5%99%a8%ef%bc%8c%e7%aa%83%e5%8f%96%e6%95%b0%e6%8d%ae%e7%9a%84%e8%bf%87%e7%a8%8b