18,356
社区成员
发帖
与我相关
我的任务
分享求助反弹端口技术
网上出现的一批新木马，都采用了反弹端口技术。
有谁可以讲一讲其是如何实现的，有事例的话与我联系。
king_w100@163.com
wzy_100@hotmail.com
有谁可以讲一讲其是如何实现的，有事例的话与我联系。
king_w100@163.com
wzy_100@hotmail.com
...全文
请发表友善的回复…
发表回复
w100 2003-12-23
- 打赏
- 举报
这些资料好像网上可以看到。
warton 2003-12-23
- 打赏
- 举报
也就是被控制的机器主动找到一个ftp之类的中转站点，从上面取出一个地址，然后连接上去。而这个被连接的机器一般开的是80端口（防火....）,这样，被连接的机器就可以控制你了..
warton 2003-12-23
- 打赏
- 举报
“反弹端口”型木马的主动连接方式
什么叫“反弹端口”型木马呢？作者经过分析防火墙的特性后发现：大多数的防火墙对于由外面连入本机的连接往往会进行非常严格的过滤，但是对于由本机发出的连接却疏于防范(当然有的防火墙两方面都很严格)。于是，与一般的木马相反，“反弹端口”型木马的服务端(被控制端)使用主动端口，客户端(控制端)使用被动端口，当要建立连接时，由客户端通过FTP主页空间告诉服务端：“现在开始连接我吧！”，并进入监听状态，服务端收到通知后，就会开始连接客户端。为了隐蔽起见，客户端的监听端口一般开在80，这样，即使用户使用端口扫描软件检查自己的端口，发现的也是类似“TCP 服务端的IP地址:1026，客户端的IP地址:80 ESTABLISHED”的情况，稍微疏忽一点你就会以为是自己在浏览网页。防火墙也会如此认为，大概没有哪个防火墙会不给用户向外连接80端口吧。这类木马的典型代表就是“网络神偷”。由于这类木马仍然要在注册表中建立键值，因此只要留意注册表的变化就不难查到它们。
什么叫“反弹端口”型木马呢？作者经过分析防火墙的特性后发现：大多数的防火墙对于由外面连入本机的连接往往会进行非常严格的过滤，但是对于由本机发出的连接却疏于防范(当然有的防火墙两方面都很严格)。于是，与一般的木马相反，“反弹端口”型木马的服务端(被控制端)使用主动端口，客户端(控制端)使用被动端口，当要建立连接时，由客户端通过FTP主页空间告诉服务端：“现在开始连接我吧！”，并进入监听状态，服务端收到通知后，就会开始连接客户端。为了隐蔽起见，客户端的监听端口一般开在80，这样，即使用户使用端口扫描软件检查自己的端口，发现的也是类似“TCP 服务端的IP地址:1026，客户端的IP地址:80 ESTABLISHED”的情况，稍微疏忽一点你就会以为是自己在浏览网页。防火墙也会如此认为，大概没有哪个防火墙会不给用户向外连接80端口吧。这类木马的典型代表就是“网络神偷”。由于这类木马仍然要在注册表中建立键值，因此只要留意注册表的变化就不难查到它们。
