-: Eerder hebben we geleerd hoe je een ondetecteerbare
achterdeur maakt, wat geweldig is, maar we leverden deze
achterdeur door hem eenvoudigweg te downloaden op de doelcomputer.
Nu, dit zal waarschijnlijk niet werken in het echte leven.
Je doelwit zal nooit zomaar een uitvoerbaar bestand downloaden
en uitvoeren als je hem dat vraagt.
Daarom wil ik je in deze lezing een
slimmere leveringsmethode laten zien, waarbij we een update spoofen.
Dus wanneer een specifiek programma op de doelcomputer
controleert op updates, zal het zeggen dat er een update is.
En als ze die update installeren,
installeren ze eigenlijk een achterdeur.
De enige beperking van deze methode
is dat je de man in het midden moet zijn.
Het maakt niet uit hoe, maar
je moet de verbindingen kunnen onderscheppen.
Dus je kunt dit doen met ARP spoofing, of met
een vals toegangspunt zoals ik je eerder liet zien, of met een andere
methode waarmee je de verbindingen kunt
onderscheppen.
Dus meestal hebben programma's een specifiek domein dat ze gebruiken om
te controleren op updates.
Dus laten we zeggen dat de gebruiker
hier een specifiek programma heeft dat iets wil bijwerken, het
stuurt een verzoek naar een specifiek domein.
En laten we zeggen dat dit domein, in dit
geval, updateserver is. com.
Dit wordt naar de DNS-server gestuurd.
De DNS-server zal antwoorden met
het IP van de updateserver, die we hier hebben.
En dan stuurt de gebruiker een rechtstreeks verzoek
naar de updateserver, op zoek naar updates.
Als er updates zijn, zal de updateserver
reageren met de updates.
Nu, als we de man in het midden zijn, als we
in staat zijn om alle verzoeken en antwoorden te onderscheppen,
dan wanneer we een verzoek krijgen voor updateserver.
com,
in plaats van het IP van de updateserver te geven,
kunnen we het IP van een hackerserver geven.
Deze server draait een speciaal programma genaamd Evil Grade.
En Evil Grade zal de gebruiker vertellen
dat, "Ja, er is een update. En in plaats van ze een echte update
te geven, zal het ze een achterdeur geven.
Dus als de gebruiker instemt met de installatie van deze update,
installeert hij eigenlijk een achterdeur op zijn systeem.
Laten we dit praktisch doen, dan wordt het nog duidelijker.
Hier heb ik mijn Kali machine.
Dit is de aangepaste afbeelding die ik maakte voor deze cursus.
Daarom is Evil Grade erin voorgeïnstalleerd.
Dus eerst moeten we navigeren naar de
plaats waar het geïnstalleerd is.
We gaan het cd commando gebruiken om dat te doen.
En het is geïnstalleerd in /opt/evilgrade#.
En om het binaire, het programma
zelf uit te voeren, gaan we... /evilgrade.
Het gebruik van Evil Grade
is heel eenvoudig en lijkt erg op Metasploit.
Dus, om een lijst te krijgen
van alle programma's waarvan we de updates kunnen
kapen, gaan we showmodules doen.
En zoals je kunt zien, heb
je veel bekende
programma's zoals WinZip, VMware, Skype, Safari, enzovoort.
We doen dit met een programma dat DAP heet, Download
Accelerator Plus.
Dus, we hebben het hier.
Dus om een specifieke module
te configureren, hoeven we alleen maar
de naam van
de module te configureren, en dat is DAP.
Dus u kunt DAP vervangen
door elke module die u wilt configureren
met elk programma dat u wilt kapen.
Dus ik druk op Enter.
En zoals je kunt zien zegt
hij nu dat ik in de DAP-module zit en ik ga opties tonen om alle
opties te zien die ik kan instellen.
Dus zoals je ziet krijgen we een lijst met alle
opties die we kunnen instellen en de belangrijkste
optie die we willen veranderen is de Agent.
Dit is het pad naar het programma
dat als update wordt geïnstalleerd.
Dus in ons geval gaan we dit vervangen door de achterdeur die
we in de vorige lezing hebben gemaakt.
Dus om deze optie te veranderen, gaan we de
naam van de optie instellen
op de plaats waar ik mijn achterdeur heb.
En mijn backdoor
staat
in /var/www/html/ backdoor. exe.
Dus, zoals u kunt zien, is het
formaat van het veranderen van opties zeer vergelijkbaar met Bettercap en Metasploit.
We doen set, gevolgd door de opties die we
willen veranderen, gevolgd door de waarde.
Dus ik druk op Enter en dat is klaar.
Het volgende dat ik wil aanpassen is
de Endsite, dat is de website die geladen wordt zodra
de update succesvol is.
Ik weet dat er een foutmelding komt,
daarom ga ik het veranderen.
Je hoeft het niet bij elke module te veranderen.
Dus nogmaals, om dit te veranderen,
doen we gewoon set
endsite, en ik stel het in
op het basisdomein, wat speedbit is. com.
En tenslotte, voordat we
alles uitvoeren, ga ik nog een laatste keer de opties tonen
om er zeker van te zijn dat alles is ingesteld zoals ik het wil.
Dus ik heb de agent ingesteld op /var/www/html/backdoor.
exe.
Dat is perfect.
En ik heb de Endsite ingesteld zoals ik het wil.
Dus ik ben er klaar voor.
En alles wat we nu moeten doen is gewoon
typen, start, om Evil Grade te starten.
Dus nu, als Evil Grade een verzoek krijgt voor
een update, zal het zeggen, "Ja, er is een update," en het zal
de achterdeur bedienen. exe als de update.
Het enige probleem is dat het nu nooit verzoeken
zal krijgen omdat ik geen verbindingen onderschep.
Ik ben nog steeds niet de man in het midden.
Daarom worden we de man in
het midden met Bettercap.
Zoals ik al zei, je kunt elke methode
gebruiken om de man in het midden te worden, maar we gaan
het nu doen met ARP spoofing.
Dus ik ga Bettercap gebruiken met precies hetzelfde
commando dat we eerder gebruikten.
Dus we doen gewoon Bettercap, gegeven
dat de interface verbonden is met het
netwerk en geven het deze spoof caplet zodat het een ARP
spoofing aanval uitvoert, waardoor ik
in het midden van de verbindingen zit.
Ik druk op Enter, en dit loopt zonder fouten.
Dus dat is perfect.
We moeten ook Bettercap gebruiken
om een DNS spoofing aanval uit te voeren en elk verzoek om een update te spoofen. speedbit. com.
Dit is het domein dat het
doelprogramma gebruikt om te controleren op updates,
en we willen DNS verzoeken
hiernaar spoofen, zodat ze het IP van de Kali machine
hier retourneren, die Evil Grade draait.
Dus Evil Grade geeft ze de valse update.
Ik heb al eerder in een volledige lezing
in detail uitgelegd hoe je DNS spoofing doet.
Dus als je niet meer weet hoe dit
werkt, ga dan terug en herzie deze lezing,
want ik ga het nu een beetje snel doen.
Dus ik ga dit domein kopiëren en dit
scherm leegmaken.
En we gaan de DNS spoof helemaal waar maken.
En we stellen ook de DNS-spoof, de domeinen,
in op het domein dat we willen spoofen.
Tenslotte gaan we de DNS spoofer starten door
DNS spoof te doen op, perfect.
Nu werkt het en het weet nog steeds dat het
elk verzoek om een update
zal bespioneren. speedbit. com naar het IP van mijn Kali machine.
Het IP van mijn Kali machine draait Evil Grade.
Evil Grade zal zeggen, "Ja, er is een nieuwe update,"
en het zal ze de achterdeur geven die we hier hebben.
En zo wordt de backdoor automatisch
uitgevoerd op de doelcomputer.
Het enige probleem is dat de achterdeur wordt uitgevoerd,
maar we luisteren hier niet naar inkomende verbindingen.
Dus, we willen echt toegang krijgen.
Daarom moeten we luisteren naar inkomende verbindingen
met Metasploit, zoals ik je eerder liet zien.
Ik heb mijn multi/handler al geconfigureerd.
Nogmaals, ik heb dit uitgebreid behandeld.
Dus als je niet meer weet hoe het
moet, ga dan terug naar die lezing.
Op dit moment ga ik alleen de opties
laten zien die ik hier heb ingesteld.
En je kunt zien dat ik hier een windows/meterpreter/reverse
http gebruik, omdat ik eigenlijk een andere backdoor gebruik in mijn Evil Grade,
deze backdoor hier.
Het is geen omgekeerde HTTPS zoals in eerdere lezingen.
Het is eigenlijk een omgekeerde HTTP backdoor omdat
ik om een of andere reden merkte dat de
HTTPS backdoors niet werken met Evil Grade.
Daarom heb ik speciaal voor deze lezing
een reverse HTTP backdoor gemaakt.
Dus ik stel mijn payload in op dezelfde
payload die wordt gebruikt in mijn backdoor.
Ik zet mijn IP hier in.
Ik stel de LPORT in op 8080.
Dus alles is perfect.
Ik ga exploiteren om te luisteren naar inkomende verbindingen.
En nu zijn we er klaar voor.
Laten we dit nog een keer doornemen als we naar de
doelcomputer gaan en controleren op updates.
Op dit moment onderschept deze computer verbindingen
vanwege Bettercap.
En het zal ook elk verzoek
om updates vervalsen. speedbit. com naar deze IP.
Dit is het IP waar Evil Grade werkt.
Evil Grade gaat zeggen, "Ja, er is een nieuwe update. De update is deze executable.
De doelcomputer zal deze executable aannemen.
Het zal het uitvoeren omdat het denkt dat het een update is.
Als dit wordt uitgevoerd, stuurt het een verbinding
naar ons in onze multi/handler.
Dus laten we naar de doelcomputer gaan en kijken
of dit werkt zoals we verwachtten.
Dus ik heb Download Accelerator Plus
al gedownload, het programma dat we proberen zijn updates
te kapen en heb het geïnstalleerd.
Dus ik dubbelklik erop om het programma te starten.
Nu vraagt het me om het
als standaard download manager in te stellen,
ik zeg nee.
En ik ga naar Help en klik op Nu
bijwerken.
We zeggen ja, kijk voor updates alsjeblieft.
Ik haal het vinkje weg en klik op Volgende.
Het controleert nu op updates.
En het vertelt ons dat er een nieuwe update is.
Dus we zeggen Next.
En het vertelt ons hier, dat het een kritieke update is.
Dus ik heb zoiets van, ja, ik wil dit installeren.
Dit zal de update voor mij downloaden en installeren.
En het is nog steeds niet gedaan.
Alles is klaar.
We gaan het volgende zeggen, dank je wel.
En afwerking.
Als we nu teruggaan naar de Kali machine, zie je dat
we een omgekeerde
verbinding hebben vanaf het doelwit.
Om dit te bevestigen kunnen we sysinfo doen
om meer informatie te zien.
En perfect.
Zoals je ziet, zitten we in de doelcomputer.
En nu hebben we volledige toegang
tot die computer en kunnen we alles doen wat een normale gebruiker op zijn systeem kan doen.
Nu zal ik meer vertellen over post-exploitatie
en hoe de computer te besturen met behulp van deze meterpreter-toegang
in het gedeelte over post-exploitatie.
Maar nu zijn we erin geslaagd een computer
te hacken met een valse update.