-: In precedenza, abbiamo imparato a
creare una backdoor non rilevabile, il che è
fantastico, ma abbiamo fornito questa backdoor semplicemente scaricandola sul
computer di destinazione.
Ora, questo probabilmente non funzionerà nella vita reale.
Il tuo obiettivo non scaricherà mai un eseguibile e
lo eseguirà se gli chiedi di farlo.
Pertanto, in questa lezione,
voglio mostrarti un metodo di consegna più intelligente in cui falsificheremo un aggiornamento.
Quindi, quando un programma specifico sul computer di
destinazione verifica la presenza di aggiornamenti, dirà che c'è un aggiornamento.
E quando installano
quell'aggiornamento, installeranno effettivamente una backdoor.
L'unica limitazione a questo
metodo è che devi essere l'uomo nel mezzo.
Non importa come,
ma devi essere in grado di intercettare le connessioni.
Quindi puoi fare questo uso nello spoofing ARP,
o usando un punto di accesso falso come ti ho mostrato prima,
o usando qualsiasi altro metodo che ti permetta
di intercettare le connessioni.
Quindi, di solito, i programmi hanno un dominio specifico che usano
per controllare gli aggiornamenti.
Quindi diciamo che abbiamo
l'utente qui che ha un programma specifico che vuole aggiornare
qualcosa, invierà una richiesta a un dominio specifico.
E diciamo che questo dominio, in questo
caso, è updateserver. com.
Questo verrà inviato al server DNS.
Il server DNS risponderà
con l'IP del server di aggiornamento, che abbiamo qui.
E quindi l'utente invierà una richiesta diretta al
server di aggiornamento, alla ricerca di aggiornamenti.
Se sono presenti aggiornamenti, il server di
aggiornamento risponderà con gli aggiornamenti.
Ora, se siamo l'uomo nel
mezzo, se siamo in grado di intercettare
tutte le richieste e le risposte, quando riceviamo una richiesta
per updateserver. com, invece
di fornire l'IP del server di aggiornamento,
possiamo effettivamente fornire l'IP di un server di hacker.
Questo server esegue un programma speciale chiamato Evil Grade.
E Evil Grade dirà all'utente che "Sì,
c'è un aggiornamento. "E
invece di fornire loro un aggiornamento
effettivo, servirà loro una backdoor.
Quindi, quando l'utente accetta di installare
questo aggiornamento, installerà effettivamente una backdoor sul proprio sistema.
Facciamolo praticamente, e diventerà ancora più chiaro.
Proprio qui, ho la mia macchina Kali.
Questa è l'immagine personalizzata che ho realizzato per questo corso.
Pertanto ha Evil Grade preinstallato.
Quindi, per prima cosa, dovremo navigare nella posizione in
cui è installato.
Useremo il comando cd per farlo.
Ed è installato in /opt/evilgrade#.
E poi per eseguire il binario, il programma stesso,
faremo . /malgrado.
Ora, usare Evil Grade è molto semplice e
molto simile a Metasploit.
Quindi, per ottenere un elenco di tutti i
programmi che possiamo dirottare i loro
aggiornamenti, mostreremo i moduli.
E
come puoi vedere, hai molti programmi famosi come WinZip, VMware,
Skype, Safari e così via.
Ora lo
faremo su un programma chiamato DAP, Download Accelerator Plus.
Quindi, ce l'abbiamo qui.
Quindi, per configurare un modulo specifico, tutto
ciò
che dobbiamo fare è digitare configure module name,
che è DAP.
Quindi puoi sostituire
DAP con qualsiasi modulo che desideri
configurare con qualsiasi programma che desideri dirottare.
Quindi premo Invio.
E come puoi vedere sta dicendo che ora sono all'interno del
modulo DAP e mostrerò le opzioni per vedere
tutte le opzioni che posso impostare.
Quindi, come puoi vedere, otteniamo un elenco
di tutte le opzioni che possiamo impostare e l'opzione principale che
vogliamo cambiare è l'agente.
Questo è il percorso del
programma che verrà installato come aggiornamento.
Quindi, nel nostro caso, lo
sostituiremo con la backdoor che abbiamo creato nella lezione precedente.
Quindi, per cambiare questa opzione,
imposteremo all'agente il nome dell'opzione nella posizione in cui ho
la mia backdoor.
E la mia backdoor è in /var/www/html/
backdoor. EXE.
Quindi, come puoi vedere, il formato delle opzioni di
modifica è molto simile a Bettercap e Metasploit.
Impostiamo, seguito dalle opzioni che vogliamo modificare, seguite
dal valore.
Quindi premo Invio e il gioco è fatto.
La prossima cosa che voglio modificare è Endsite, che è il
sito web che verrà
caricato una volta che l'aggiornamento avrà successo.
Ora, so che questo restituirà un errore non trovato, ecco
perché lo cambierò.
Non devi cambiarlo con ogni modulo.
Quindi, di nuovo, per
cambiare questo, imposteremo il sito
finale e lo imposterò solo sul dominio di base, che è
speedbit. com.
E infine, prima di eseguire
tutto, mostrerò le opzioni un'ultima volta
per assicurarmi che tutto sia impostato come voglio.
Quindi ho
l'agente impostato su /var/www/html/backdoor. EXE.
È perfetto.
E ho impostato Endsite nel modo in cui lo voglio.
Quindi sono pronto per partire.
E tutto ciò che dobbiamo
fare ora è digitare, start, per avviare Evil Grade.
Quindi in questo momento, se Evil Grade riceve una richiesta per
un aggiornamento, dirà "Sì,
c'è un aggiornamento" e servirà alla backdoor. exe come aggiornamento.
L'unico problema è che non riceverà mai alcuna richiesta in questo
momento perché non sto intercettando le connessioni.
Non sono ancora l'uomo nel mezzo.
Pertanto, diventeremo l'uomo nel mezzo
usando Bettercap.
Come ho detto, puoi usare qualsiasi metodo
tu voglia per diventare l'uomo
nel mezzo, ma lo faremo solo usando lo spoofing ARP in questo momento.
Quindi userò Bettercap usando lo stesso identico comando che
abbiamo usato prima.
Quindi stiamo solo facendo Bettercap,
dato che l'interfaccia si è connessa alla rete e
gli ha dato questo caplet di
spoofing in modo che esegua un attacco di
spoofing ARP, mettendomi nel mezzo delle connessioni.
Premo Invio e questo verrà eseguito senza errori.
Quindi è perfetto.
È inoltre necessario utilizzare Bettercap per eseguire un attacco di spoofing DNS e falsificare
qualsiasi richiesta di aggiornamento. speedbit. com.
Questo è il dominio che il programma di destinazione
utilizza per verificare
la disponibilità di aggiornamenti e vogliamo falsificare le richieste DNS
su questo, in modo che restituiscano l'IP della macchina Kali proprio
qui, che esegue Evil Grade.
Quindi Evil Grade dà loro l'aggiornamento falso.
Ora, ho spiegato come eseguire lo spoofing DNS nei dettagli
in una lezione completa prima.
Quindi, se non ricordi come
funziona, per favore torna indietro e rivedi
questa lezione perché lo farò un po' velocemente adesso.
Quindi copierò questo
dominio e cancellerò questa schermata qui.
E imposteremo lo spoof DNS fin troppo vero.
E imposteremo anche lo spoofing DNS, i domini, sul
dominio che vogliamo falsificare.
Infine, avvieremo lo
spoofer DNS eseguendo lo spoofing DNS, perfetto.
Ora funziona e sa
ancora che falsificherà qualsiasi richiesta di
aggiornamento. speedbit. com
all'IP della mia macchina Kali.
L'IP della mia macchina Kali esegue Evil Grade.
Evil Grade dirà: "Sì, c'è un nuovo
aggiornamento" e servirà loro la backdoor che abbiamo proprio qui.
E in questo modo la backdoor verrà eseguita automaticamente
sul computer di destinazione.
L'unico problema è che la backdoor verrà eseguita, ma
qui non ascoltiamo le connessioni in entrata.
Quindi, vogliamo davvero ottenere l'accesso.
Pertanto, dobbiamo ascoltare le connessioni in
entrata utilizzando Metasploit come ti ho mostrato prima.
Ora, ho già configurato il mio multi/gestore.
Di nuovo, l'ho trattato in dettaglio.
Quindi, se non ricordi
come farlo, torna a quella lezione.
In questo momento, mostrerò solo le opzioni
per mostrarti le opzioni che ho impostato qui.
E puoi
vedere che sto usando un windows/meterpreter/reverse http qui, perché in realtà
sto usando una backdoor diversa nel mio
Evil Grade, questa backdoor proprio qui.
Non è un HTTPS inverso come mostrato nelle lezioni precedenti.
In realtà è una backdoor HTTP inversa
perché per qualche motivo ho notato che le backdoor HTTPS
non funzionano con Evil Grade.
Ecco perché ho creato una backdoor HTTP inversa
appositamente per questa lezione.
Quindi sto impostando il mio carico utile sullo stesso carico
utile utilizzato nella mia backdoor.
Sto impostando il mio IP qui.
Sto impostando LPORT su 8080.
Quindi tutto è perfetto.
Eseguirò exploit per ascoltare le connessioni in entrata.
E ora siamo pronti per partire.
Quindi ora esaminiamo questo ancora una
volta quando andiamo al computer di destinazione e controlliamo gli aggiornamenti.
In questo momento, questo computer sta intercettando le connessioni
a causa di Bettercap.
E falsificherà anche qualsiasi richiesta
di aggiornamenti. speedbit. com a questo IP.
Questo è l'IP su cui sta lavorando Evil Grade.
Evil Grade dirà: "Sì, c'è un nuovo aggiornamento. "L'aggiornamento
è questo eseguibile.
Il computer di destinazione prenderà questo eseguibile.
Lo eseguirà perché pensa che sia un aggiornamento.
Quando questo viene eseguito, ci invierà una
connessione qui nel nostro multi/handler.
Quindi andiamo al computer di
destinazione e vediamo se funzionerà effettivamente come previsto.
Quindi ho già scaricato Download Accelerator Plus, il programma
che stiamo cercando di dirottare i suoi aggiornamenti
e l'ho installato.
Quindi farò doppio clic su di esso per avviare il programma.
Ora, mi sta
solo chiedendo di impostarlo come download manager
predefinito, dirò di no.
Andrò su Aiuto
e cliccherò su Aggiorna ora.
Diremo di sì, controlla gli aggiornamenti per favore.
Deselezionare questo, fare clic su Avanti.
Sta controllando gli aggiornamenti ora.
E ci sta dicendo che c'è un nuovo aggiornamento.
Quindi diremo Avanti.
E qui ci sta dicendo che è un aggiornamento critico.
Quindi dirò, sì, voglio installarlo.
Questo scaricherà l'aggiornamento per me e lo installerà.
E non è ancora finita.
Tutto è stato fatto.
Diremo dopo, grazie mille.
E finito.
Ora, se torniamo alla macchina Kali,
puoi vedere che qui abbiamo una connessione
inversa dal bersaglio.
Solo per confermare ciò, possiamo fare sysinfo
per vedere più informazioni.
E perfetto.
Come puoi vedere, siamo all'interno del computer di destinazione.
E ora abbiamo pieno accesso a quel computer
e possiamo fare tutto ciò che l'utente normale può fare sul proprio sistema.
Ora parlerò di più del post sfruttamento
e di come
controllare il computer utilizzando questo
accesso meterpreter nella sezione post sfruttamento.
Ma in questo momento siamo riusciti a violare un computer
usando un falso aggiornamento.