17.2 无管道正向CMD后门
WSASocket 无管道正向CMD,使用WSASocket
函数创建一个TCP套接字,并绑定到一个本地地址和端口上。然后使用CreateProcess
函数创建一个新的CMD
进程,并将标准输入、输出和错误输出重定向到套接字的句柄上。这样,客户端可以通过网络连接到这个套接字,发送CMD
命令并获取命令输出结果。这种方式称为无管道正向CMD
,因为CMD
进程的输入输出是通过套接字而非管道进行的。
WSASocket 函数用于创建重叠IO套接字,重叠 I/O(Overlapped I/O)
是一种异步 I/O(Asynchronous I/O)
机制,它可以在执行 I/O
操作时同时进行其他的操作或处理,提高了系统的并发性和效率。
在传统的同步 I/O
操作中,当一个线程请求进行 I/O
操作时,必须等待操作完成后才能进行其他任务的处理。然而,在网络应用场景下,因为 I/O
操作的延迟较高,线程等待 I/O
完成的时间往往比较长,从而影响系统的资源利用率和性能。
与之相反,重叠 I/O
操作则不需要等待I/O
操作的完成,线程可以在 I/O
操作进行的同时执行其他任务,当 I/O
操作完成后,系统会通过事件通知机制通知线程进行相应的处理。这种机制可以提高系统的并发性和响应速度,使系统更加高效和灵活。
重叠 I/O
通常使用异步 I/O
完成端口(IOCP
)机制实现。IOCP 是一种基于事件驱动的 I/O
模型,它提供了一种高效的异步 I/O
操作方式,不仅可以提高系统的并发性和响应速度,还可以减少系统资源的占用,从而达到提高系统性能的效果。
SOCKET WSASocket( |
在调用 WSASocket()
函数创建 socket
套接字时,可以通过设置 dwFlags
参数的 WSA_FLAG_OVERLAPPED
标记来启用重叠 I/O
操作模式。启用重叠 I/O
操作模式后,应用程序就可以使用异步 I/O
操作进行数据的读取、发送、接收等操作,同时进行其他的计算和处理操作。
要使用重叠 I/O
操作机制,应用程序需要更改套接字的 I/O
模式。在传统的 I/O
操作模式中,应用程序通过同步的方式向套接字发送或接收数据,然后等待操作完成。而在重叠 I/O
操作模式中,应用程序使用非阻塞的方式进行数据读取和发送操作,不会阻塞线程和进程的执行,同时可以用事件通知机制来处理 I/O
操作的完成。
|
如上所示代码使用 WSASocket()
函数创建了一个 TCP
套接字,并使用 bind()
和 listen()
函数将套接字绑定到本地 IP
和端口,然后不断地接受客户端的连接请求并为每个客户端请求启动一个新的 CMD
进程。在 CMD
进程启动后,将其标准输入、输出和错误输出重定向到已连接的套接字上,这将使得客户端可以通过网络接收到 CMD
的输出结果。同时,在 CMD
进程退出后,服务器会等待一段时间然后关闭套接字并释放资源。
读者可自行编译上述代码片段,并运行起来此时程序会启用9999
端口等待客户端的连接,客户端可使用netcat
程序通过nc -t 127.0.0.1 9999
的方式连接到目标进程内,此时读者可实现任意的命令执行;