- : Auparavant, nous avons appris
à créer une porte dérobée indétectable, ce qui est génial,
mais nous avons livré cette porte dérobée en la téléchargeant
simplement sur l'ordinateur cible.
Maintenant, cela ne fonctionnera probablement pas dans la vraie vie.
Votre cible ne se contentera jamais de télécharger un exécutable et de
l'exécuter si vous lui demandez de le faire.
Par conséquent, dans cette conférence, je
veux vous montrer une méthode de livraison plus intelligente où nous allons usurper une mise à jour.
Ainsi, lorsqu'un programme spécifique sur l'ordinateur cible recherche des
mises à jour, il dira qu'il y a une mise à jour.
Et lorsqu'ils installeront cette mise
à jour, ils installeront en fait une porte dérobée.
La seule limitation à cette
méthode est que vous devez être l'homme du milieu.
Peu importe comment,
mais vous devez être capable d'intercepter les connexions.
Vous pouvez donc faire cette utilisation dans l'usurpation
ARP, ou en utilisant un faux point d'accès comme je vous l'ai montré
précédemment, ou en utilisant toute autre méthode qui
vous permettra d'intercepter les connexions.
Donc, généralement, les programmes ont un domaine spécifique qu'ils utilisent pour vérifier
les mises à jour.
Disons donc que nous avons
ici l'utilisateur qui a un programme spécifique qui souhaite mettre à jour
quelque chose, il enverra une demande à un domaine spécifique.
Et disons que ce domaine, dans ce
cas, c'est updateserver. com.
Celui-ci sera envoyé au serveur DNS.
Le serveur DNS répondra avec l'adresse
IP du serveur de mise à jour, que nous avons ici.
Et puis l'utilisateur enverra une demande directe au serveur de mise
à jour, à la recherche de mises à jour.
S'il y a des mises à jour, le serveur de mise
à jour répondra avec les mises à jour.
Maintenant, si nous sommes l'homme du
milieu, si nous sommes capables d'intercepter toutes
les requêtes et les réponses, alors quand nous recevons une requête
pour updateserver. com, au
lieu de donner l'adresse IP du serveur de mise à
jour, nous pouvons en fait donner l'adresse IP d'un serveur pirate.
Ce serveur exécute un programme spécial appelé Evil Grade.
Et Evil Grade dira à l'utilisateur : "Oui, il y a
une mise à jour. " Et
au lieu de leur servir une véritable mise à
jour, cela leur servira une porte dérobée.
Ainsi, lorsque l'utilisateur accepte d'installer cette mise à
jour, il installera en fait une porte dérobée sur son système.
Faisons cela de manière pratique, et cela deviendra encore plus clair.
Ici, j'ai ma machine Kali.
C'est l'image personnalisée que j'ai faite pour ce cours.
Par conséquent, Evil Grade est pré-installé.
Donc, d'abord, nous devrons naviguer jusqu'à l'emplacement où
il est installé.
Nous allons utiliser la commande cd pour le faire.
Et il est installé dans /opt/evilgrade#.
Et puis pour exécuter le binaire, le programme lui-même, nous
allons faire . /vilgrade.
Maintenant, utiliser Evil Grade est très simple et
très similaire à Metasploit.
Donc, pour obtenir une liste de tous les programmes dont
nous pouvons détourner leurs mises à jour, nous
allons faire afficher les modules.
Et
comme vous pouvez le constater, vous disposez de nombreux programmes célèbres
tels que WinZip, VMware, Skype, Safari, etc.
Maintenant, nous
allons le faire sur un programme appelé DAP, Download Accelerator Plus.
Donc, nous l'avons ici.
Donc, pour configurer un module spécifique,
il
suffit de taper le nom du module configure,
qui est DAP.
Ainsi, vous pouvez remplacer
DAP par n'importe quel module que vous
souhaitez configurer avec n'importe quel programme que vous souhaitez pirater.
Je vais donc appuyer sur Entrée.
Et comme vous pouvez le voir, je suis maintenant dans le module
DAP et je vais afficher les options pour voir
toutes les options que je peux définir.
Comme vous pouvez le voir, nous obtenons une liste
de toutes les options que nous pouvons définir et la principale option que
nous voulons changer est l'agent.
Il s'agit du chemin d'accès au programme
qui sera installé en tant que mise à jour.
Donc, dans notre cas, nous allons remplacer
cela par la porte dérobée que nous avons créée dans la conférence précédente.
Donc, pour changer cette option, nous
allons définir pour l'agent le nom de l'option à l'emplacement où j'ai
ma porte dérobée.
Et ma porte dérobée est dans /var/www/html/
backdoor. EXE.
Ainsi, comme vous pouvez le voir, le format de modification
des options est très similaire à Bettercap et Metasploit.
Nous définissons, suivis des options que nous voulons modifier, suivis
de la valeur.
Je vais donc appuyer sur Entrée et c'est fait.
La prochaine chose que je veux modifier est le Endsite, qui est
le site Web qui sera
chargé une fois la mise à jour réussie.
Maintenant, je sais que cela renverra une erreur introuvable, c'est pourquoi
je vais la changer.
Vous n'êtes pas obligé de le changer à chaque module.
Donc, encore une fois,
pour changer cela, nous allons simplement définir
endsite, et je vais simplement le définir sur le domaine de base, qui
est speedbit. com.
Et enfin, avant de tout lancer,
je vais afficher les options une dernière fois
pour m'assurer que tout est défini comme je le veux.
J'ai donc
défini l'agent sur /var/www/html/backdoor. EXE.
C'est parfait.
Et j'ai le Endsite réglé comme je le veux.
Alors je suis prêt à partir.
Et tout ce que nous devons
faire maintenant, c'est simplement taper, commencer, pour démarrer Evil Grade.
Donc, pour le moment, si Evil Grade reçoit une demande de mise à jour, il dira
« Oui, il y a une
mise à jour » et il servira la porte dérobée. exe comme mise à jour.
Le seul problème est qu'il ne recevra jamais de demandes pour
le moment car je n'intercepte pas les connexions.
Je ne suis toujours pas l'homme du milieu.
Par conséquent, nous allons devenir l'homme du milieu
en utilisant Bettercap.
Comme je l'ai dit, vous pouvez utiliser n'importe
quelle méthode pour devenir l'homme
du milieu, mais nous allons le faire en utilisant l'usurpation d'ARP pour le moment.
Je vais donc utiliser Bettercap en utilisant exactement la même commande
que nous utilisions auparavant.
Nous faisons donc simplement
Bettercap, étant donné que l'interface s'est connectée au
réseau et lui a donné ce
caplet d'usurpation pour qu'il exécute une attaque d'usurpation
d'ARP, me mettant au milieu des connexions.
Je vais appuyer sur Entrée, et cela fonctionnera sans erreur.
Alors c'est parfait.
Nous devons également utiliser Bettercap pour lancer une attaque d'usurpation DNS et usurper toute demande
de mise à jour. bit de vitesse. com.
C'est le domaine que le programme cible utilise
pour vérifier les
mises à jour, et nous voulons usurper les requêtes
DNS, afin qu'ils renvoient l'adresse IP de la machine Kali ici
même, qui exécute Evil Grade.
Donc Evil Grade leur donne la fausse mise à jour.
Maintenant, j'ai expliqué en détail comment faire de l'usurpation DNS
dans une conférence complète auparavant.
Donc, si vous ne vous souvenez pas
comment cela fonctionne, veuillez revenir en arrière et réviser
cette conférence parce que je vais le faire un peu rapidement maintenant.
Je vais donc copier ce
domaine et je vais effacer cet écran ici.
Et nous allons rendre l'usurpation DNS trop vraie.
Et nous allons également définir l'usurpation DNS, les domaines, sur le
domaine que nous voulons usurper.
Enfin, nous allons commencer
l'usurpation DNS en faisant de l'usurpation DNS, parfait.
Maintenant, ça marche et on sait
toujours qu'il va usurper toute demande de mise
à jour. bit de vitesse. com
à l'adresse IP de ma machine Kali.
L'adresse IP de ma machine Kali exécute Evil Grade.
Evil Grade dira: "Oui, il y a une nouvelle
mise à jour", et cela leur servira la porte dérobée que nous avons ici.
Et de cette façon, la porte dérobée sera automatiquement
exécutée sur l'ordinateur cible.
Le seul problème est que la porte dérobée sera exécutée,
mais nous n'écoutons pas les connexions entrantes ici.
Donc, nous voulons vraiment avoir accès.
Par conséquent, nous devons écouter les connexions entrantes
à l'aide de Metasploit, comme je vous l'ai déjà montré.
Maintenant, j'ai déjà configuré mon multi/handler.
Encore une fois, j'ai couvert cela en détail.
Donc, si vous ne vous souvenez
pas comment le faire, veuillez revenir à cette conférence.
Pour le moment, je vais juste afficher les
options pour vous montrer les options que j'ai définies ici.
Et vous pouvez
voir que j'utilise un http windows/meterpreter/reverse ici, parce que j'utilise en
fait une porte dérobée différente dans mon
Evil Grade, cette porte dérobée ici.
Ce n'est pas un HTTPS inversé comme indiqué dans les conférences précédentes.
Il s'agit en fait d'une porte dérobée HTTP
inversée car, pour une raison quelconque, j'ai remarqué que les portes dérobées
HTTPS ne fonctionnaient pas avec Evil Grade.
C'est pourquoi j'ai créé une porte dérobée HTTP inversée
spécifiquement pour cette conférence.
Je règle donc ma charge utile sur la même charge utile que
celle utilisée dans ma porte dérobée.
Je mets mon IP ici.
Je règle le LPORT sur 8080.
Donc tout est parfait.
Je vais lancer exploit pour écouter les connexions entrantes.
Et maintenant, nous sommes prêts à partir.
Alors maintenant, revoyons cela une fois de
plus lorsque nous allons sur l'ordinateur cible et recherchons les mises à jour.
À l'heure actuelle, cet ordinateur intercepte les connexions
à cause de Bettercap.
Et ça va aussi usurper toute demande
de mises à jour. bit de vitesse. com à cette IP.
C'est l'IP où Evil Grade travaille.
Evil Grade va dire : "Oui, il y a une nouvelle mise à jour. " La
mise à jour est cet exécutable.
L'ordinateur cible prendra cet exécutable.
Il l'exécutera car il pense que c'est une mise à jour.
Lorsque cela sera exécuté, il nous enverra une
connexion ici dans notre multi/handler.
Allons donc sur l'ordinateur cible
et voyons si cela fonctionnera réellement comme prévu.
J'ai donc déjà téléchargé Download Accelerator Plus, le programme dont
nous essayons de détourner ses mises à jour et
je l'ai installé.
Je vais donc double-cliquer dessus pour démarrer le programme.
Maintenant, il me demande
juste de le définir comme gestionnaire de téléchargement par
défaut, je vais dire non.
Et je vais aller à Aide
et je vais cliquer sur Mettre à jour maintenant.
Nous allons dire oui, vérifiez les mises à jour s'il vous plaît.
Je vais juste décocher ceci, cliquez sur Suivant.
Il vérifie les mises à jour maintenant.
Et cela nous dit qu'il y a une nouvelle mise à jour.
Alors on va dire Suivant.
Et ça nous dit ici, c'est une mise à jour critique.
Alors je serai comme, ouais, je veux installer ça.
Cela téléchargera la mise à jour pour moi et l'installera.
Et ce n'est toujours pas que c'est fait.
Tout est fini.
Nous allons dire ensuite, merci beaucoup.
Et fini.
Maintenant, si nous revenons à la machine
Kali, vous pouvez voir que nous avons une connexion
inversée ici depuis la cible.
Juste pour confirmer cela, nous pouvons faire sysinfo
pour voir plus d'informations.
Et parfait.
Comme vous pouvez le voir, nous sommes à l'intérieur de l'ordinateur cible.
Et maintenant, nous avons un accès complet à cet
ordinateur et pouvons faire tout ce que l'utilisateur normal peut faire sur son système.
Maintenant, je vais parler davantage de la post-exploitation et
de la façon de
contrôler l'ordinateur à l'aide de cet
accès meterpreter dans la section post exploitation.
Mais en ce moment, nous avons réussi à pirater un ordinateur en
utilisant une fausse mise à jour.