浅析2004年出现的4种新后门技术

核心提示： 反弹木马的工作模式如下：受害者（被植入反弹木马服务端的计算机）每间隔一定时间就发出连接控制端的请求，这个请求一直循环到与控制端成功连接；接下来控制端接受服务端的连接请求，浅析2004年出现的4种新后门技术(2)，两者之间的信任传输通道建立；最后，控制端做的事情就很普通了—&md

反弹木马的工作模式如下：受害者（被植入反弹木马服务端的计算机）每间隔一定时间就发出连接控制端的请求，这个请求一直循环到与控制端成功连接；接下来控制端接受服务端的连接请求，两者之间的信任传输通道建立；最后，控制端做的事情就很普通了——取得受害者的控制权。由于是受害者主动发起的连接，因此防火墙在大多数情况下不会报警，而且这种连接模式还能突破内网与外部建立连接，入侵者就轻易的进入了内部的计算机。

虽然反弹木马比起一般木马要可怕，但是它有天生的致命弱点：隐蔽性还不够高，因为它不得不在本地开放一个随机端口，只要受害者有点经验，认出反弹木马不是难事。于是，另一种木马诞生了。

2、不安分的正常连接

现在有很多用户都安装了个人HTTP服务器，这就注定了机器会开着80端口，这很正常，但是有谁知道，这个看似正常的端口，却会给你带来新一轮噩梦！隐藏通道（Tunnel），一个给无数网络管理员带来痛苦的新技术，它让一个正常的服务变成了入侵者的利器。

当一台机器被种植Tunnel后，它的HTTP端口就被Tunnel重新绑定了——传输给WWW服务程序的数据，也在同时传输给背后的Tunnel，入侵者假装浏览网页（机器认为），却发送了一个特殊的请求数据（符合HTTP协议），Tunnel和WWW服务都接收到这个信息，由于请求的页面通常不存在，WWW服务会返回一个HTTP404应答，而Tunnel却忙开了……

首先，Tunnel发送给入侵者一个确认数据，报告Tunnel存在；然后Tunnel马上发送一个新的连接去索取入侵者的攻击数据并处理入侵者从HTTP端口发来的数据；最后，Tunnel执行入侵者想要的操作。由于这是“正常”的数据传输，防火墙一样没看见。但是目标没开放80端口怎么办呢？擅自开一个端口等于自杀。但是入侵者不会忘记那个可爱的NetBIOS端口——长年累月开放的139端口，和它分享数据，何乐不为？ Tunnel技术使后门的隐蔽性又上了一个级别，可是这并不代表无懈可击了，因为一个有经验的管理员会通过Sniffer看到异常的景象…… Tunnel攻击被管理员击溃了，可是，一种更可怕的入侵正在偷偷进行中……