了解关于木马的秘密
信息安全公益宣传，信息安全知识启蒙。
加微信群回复公众号：微信群；QQ群：16004488
最早的远控木马都是“主动连接”，通俗的讲是这样的：假如你要控制某人的主机A，你得在主机A上执行木马， 木马执行后会开启一个你提前配置好的端口，之后，你要与该主机A建立连接，在主控端上输入该主机A的IP和端口，才能进行控制。
不过，后来因为互联网的进一步发展，公网控制内网就出现了一定的问题。于是，“被动连接”型的木马上线技术就出现了，和“主动连接”的形式刚好相反，是木马即被控端主动来连接主控端。主控端开启一个端口，被控端去连接你配置好的IP地址。
“被动连接”也叫“反弹连接”。谈到这个不得不提两种经典的木马上线方式。一种就是FTP上线方式，另外一种就是DNS域名解析上线方式。
灰鸽子FTP上线方式如下图：
在你的FTP服务器上写入一个ip.txt，内容就是你的主控端监听的IP地址和端口。当你的IP地址改变之后，你只需要再次更新这个ip.txt的内容即可。
在配置木马的时候，只需要按照FTP上线方式的格式配置上线地址。
如下图：
对于DNS域名解析上线，一直是木马上线的最主要的方式，曾经最流行的就是3322和花生壳。木马执行后会解析你配置好的域名，然后去连接对应的IP地址的端口，进行通信。
新型木马上线方式
从大量的APT攻击案例中可以发现，当今的木马在运行的隐蔽性，通信的穿透性，功能的多样性，跨平台性等方面有了很大的突破。
在研究分析过程中，有部分木马的上线方式，开始采用第三方域名进行通信。这无疑增强了木马的隐蔽性和反追踪能力。
上线方式的说明，请看下图：
这种木马使用的第三方域名实际上是利用第三方网站能够写入并及时修改自己的通信数据。木马编写者往往会寻找知名的网站，至少不会出现宕机的情况，以保持肉鸡的持久性控制。这样的网站很多，比如说博客类网站等等。可以提前发表一篇博文，并在博文里插入控制命令，之后特制的木马，就会去获取控制命令，同时木马也可以模拟编辑博文，写入执行结果的数据。
由于TCP通信涉及到socket对象的问题，部分木马会专门使用支持php的第三方网站。并拿到webshell后，上传一个进行数据转发的php文件。这种情况下，控制被控端的流畅度可以得到保证。
而一般情况下，采用这种方式的木马都是使用了HTTP协议进行通信，由于HTTP协议是无连接的。所以不会涉及到socket对象的问题。只要被控端为自己生成一个独一无二的ID，即可与其他被控端区别开来。只要在编写代码的时候，对接受数据，发送数据，执行控制命令这三个功能模块做好处理，控制的流畅度还是可以得到一定的提升。
采用第三方域名上线的木马，在隐蔽性方面有了很大突破，而且这种做法，也可以提高木马的穿透性，对于一些防火墙来说，至少知名的网站总归是允许进行数据通信的。
第三方域名上线方式的实现思路
先把思路搞清楚。木马上线采用的第三方网站为"博客园"，注册两个帐号，一个为主控端用于发出控制命令所使用的账号A，另一个是被控端发送本机信息以及控制命令执行结果所使用的账号B。用账号A创建两篇文章，一篇为木马上线测试(下文简称文章A)，一篇为木马功能测试(下文简称文章B)。
被控端处理上线事务的线程设计思路如下：
上线信息的格式：
[主机名称]&[当前时间]&[主机唯一ID]对于[主机唯一ID]，如果是第一次上线会生成此ID，如果不是则会读取已经生成好的ID。
主控端处理主机上线事务的线程设计思路如下：
由于这种上线方式采用的实际上是HTTP协议通信的，所以无法像TCP通信一样，存在相关的SOCKET事件。所以，主控端还需要有一个处理主机是否在线的线程，设计思路如下：
另外，为了防止文章A的评论区有很多评论，主控端在获取完评论信息(主机上线信息)，之后，添加一个删除文章A的评论的线程即可。
第三方域名上线方式的简单代码实现
接下来，我们用简单的代码实现这个demo。为了快速实现这种木马上线方式，主控端采用C# WinForm实现，客户端采用Python实现。搞清楚了设计思路，用什么编程语言去实现就是次要的事情了。
下面是被控端启动后，向文章A提交评论(上线信息)的截图：
发送上线信息后，文章A的评论截图如下：
主控端的截图如下：
功能测试的通信流程和上线测试的流程思路是相似的。在这里就不在赘述，这种上线方式虽然采用了HTTP协议通信但是和直接使用封装的HTTP协议或者是浏览器访问，是有一定的区别的。它无法进行大批量的数据传输，像文件传输这样的功能虽然也可以实现，但是"用户体验"很差，所以这种上线方式的木马，大多被用来当作一个隐蔽的后门木马，只需要有一个文件下载和CMD Shell的功能。
采用第三方域名上线方式的木马设计思路，已经很明确了，但是在实际实现的过程中还存在一些不足。包括上文中用code去实现，也有很多处理事务线程和上线性能等方面需要进一步改进。所以代码在此就不提供了。大家了解了这种思路就好。另外，对于将账号B的登录信息写入客户端，是否存在一定风险？对于这个问题，大可不必细究。
“博客园”的登录信息会被登录页面的js使用key进行加密然后提交，即使你分析出了登录信息也是加密过的，并非原始明文密码。另外，登录成功后，会有一个session或者cookie，可以直接拿来当作发表评论(主机上线信息)的令牌使用。也可以将cookie的生命周期加长，延长控制时间。