“后门”的攻击与防御

但犹如天缘以前在简单介绍防火墙一文中所说的，大多数的防火墙因为效率及方便性考虑，一般都被管理员配置为“外紧内松”的模式——从外面发起的访问受防火墙限制，而从内部主动发起的连接请求则不受任何限制。常见的如windows xp sp2中自带的防火墙以及部分对带宽要求比较高，安全性要求不是特别高的娱乐、生活小区网络。因此，如果反向来连接，由受防火墙保护的目标机朝我们的攻击机器发起连接则就可以达到绕过防火墙通信的目的。（如下图，此次的连接目的就达到了）

接下来说说关于端口的事情，大家都知道前1024是系统默认的保护端口，在某些系统上运行这些端口是需要root权限的，而且为了和常见服务不发生冲突，则一般都把后门程序的端口设置得比较靠后一些。至于取什么端口，完全是个人爱好了，在《透视木马开发技术(上)(中)(下) 》中有详细介绍到windows下木马程序的端口自更改的实现，各位可以参考。关于后门程序的自身隐藏及远程连接的实现，我们在下面的一个小例子里面介绍。

实战演练

Ok，下面我们就开始一次模拟的攻击之旅吧。

首先记得一个宗旨——破坏者的目的是把对方的系统摧毁掉，而我们的目的是秘密潜入并放置我们的程序，最后把战场收拾干净——如果用游戏来比喻，前者是属于“合金弹头”后者则是“合金装备”了。

首先是进入对方的系统并获取权限。由于是模拟攻击，且漏洞利用并不是此文的重点，所以在此我们就当作是获取了一台linux机器的root权限了吧。值得一提的是这一步并没有大家想象中困难，一般来说比较简单的方法是利用的漏洞是没有升级的bind服务（dns服务器）的漏洞来达到目的，因为使用这个服务的机器配置一般不错，而且网络速度也会很不错，并且bind虽然可以chroot但是很多懒惰的管理员没有这样做（这就是天缘前段时间写制作一个chroot bind服务器的原因）——值得一提的是目前中国大陆教育网中有相当一部分的dns机器中的bind都是用的没有升级的旧版本，所以也存在漏洞。关于对旧版本bind的漏洞利用在各大安全站点都可以查到。其实一般一个新做的系统很少有漏洞，但使用过一段时间以后漏洞就渐渐多了，因为管理员不升级、不维护，所以很容易被攻击。