一、实验目的与要求：

灰鸽子木马是网络上常见的并且功能强大的远程后门软件。采用dll注入技术，开启服务程序，从而实现远程控制的目的。

通过本实验项目，了解 IPC$漏洞原理、掌握 IPC$漏洞攻击方法；了解通过木马对被控制主机的攻击过程、学习使用灰鸽子进行远程控制的方法。

二、实验环境

操作机(WindowsXP)、目标机（Windows Server 2003）、灰鸽子客户端软件。

试验拓扑：

操作机 目标机

三、实验内容

利用系统默认共享漏洞，建立IPC$管道连接，映射远程目标主机默认共享；木马的制作、上传恶意程序、远程控制和攻击。

四、实验过程

（1）启动目标主机。运行CMD窗口net share命令查看系统默认共享是否打开；在Win2003操作系统中admin$,IPC$,C$默认打开。如果没有打开，可以在主机上运行net share admin$等命令开启；

图1 查看默认共享是否开启

（2）操作机在CMD窗口下使用net use \\远程主机ip “密码” /user: “用户名” 命令与目标主机建立IPC$连接通道；

图2 建立IPC连接通道

（3）使用net use z: \\目标主机IP\c$命令将目标主机的C盘影射为本地Z盘；

图3 映射C盘

图4 本地映射成功

（4）操作机使用灰鸽子制作木马，首先需要配置服务程序。点击“配置服务程序”，在“自动上线设置”里，配置本地主机的IP和连接密码；

图5 配置IP和密码

（5）为了保证服务端程序运行的隐蔽性，把“安装选项”里的“安装后自动删除安装文件”选中；

图6 自动删除安装包

（6）在启动项设置里，设置服务器端程序注册为服务以后，在管理工具/服务中显示的本服务的名称和信息，可以起到隐藏木马程序的效果。

图7 设置显示名称

（7）在保存路径里选择木马程序的保存位置，最后生成服务器端程序；

图8 生成服务器端程序

（8）将制作好的木马程序放到之前通过IPC连接通道映射的C盘里，并点击安装；之后启动目标机，等待一定时间后灰鸽子客户端里“自动在线主机”会列出可连接的主机，此时输入之前设置的连接密码，等待连接成功后，就会在“自动上线主机”下已经列出运行了服务端程序的实验台的盘符。此时可以通过文件管理、远程控制命令、注册表编辑器和命令广播对远程的主机进行操作；

图9 木马种植成功

在使用IPC$默认共享映射远程主机C盘后，通过灰鸽子客户端制作木马程序，来放到远程主机C盘，并点击运行后，就在远程主机上留下后门程序，方便以后对远程主机的控制等操作；在制作木马程序时通过设置安装后删除安装包和设置启动后显示名称与服务等操作来实现对木马程序的伪装，使其隐蔽性很高，不易被发现。