-: Wcześniej nauczyliśmy się
tworzyć niewykrywalnego backdoora, co jest świetne, ale
dostarczyliśmy go po prostu pobierając go na
docelowy komputer.
Teraz to prawdopodobnie nie zadziała w prawdziwym życiu.
Twój cel nigdy nie pobierze pliku wykonywalnego i uruchomi
go, jeśli go o to poprosisz.
Dlatego w tym wykładzie
chcę pokazać inteligentniejszą metodę dostarczania, w której będziemy fałszować aktualizację.
Kiedy więc określony program na komputerze
docelowym sprawdzi dostępność aktualizacji, powie, że jest aktualizacja.
A kiedy zainstalują
tę aktualizację, faktycznie zainstalują backdoora.
Jedynym ograniczeniem tej metody
jest to, że musisz być mężczyzną pośrodku.
Nie ma znaczenia
jak, ale musisz być w stanie przechwycić połączenia.
Możesz więc użyć tego w spoofingu
ARP lub używając fałszywego punktu dostępowego, jak pokazałem wcześniej, lub
używając dowolnej innej metody, która pozwoli
ci przechwycić połączenia.
Dlatego zwykle programy mają określoną domenę, której używają
do sprawdzania aktualizacji.
Powiedzmy, że mamy tutaj
użytkownika, który ma określony program, który chce coś
zaktualizować, wyśle on żądanie do określonej domeny.
I powiedzmy, że ta domena, w tym przypadku,
jest to serwer aktualizacji. com.
Zostanie to wysłane do serwera DNS.
Serwer DNS odpowie
adresem IP serwera aktualizacji, który mamy tutaj.
Następnie użytkownik wyśle bezpośrednie żądanie do
serwera aktualizacji, szukając aktualizacji.
Jeśli istnieją aktualizacje, serwer aktualizacji
odpowie, wysyłając aktualizacje.
Teraz, jeśli jesteśmy człowiekiem
pośrodku, jeśli jesteśmy w stanie przechwycić
wszystkie żądania i odpowiedzi, to wtedy, gdy otrzymamy żądanie
aktualizacji serwera. com,
zamiast podawać adres IP serwera aktualizacji,
możemy podać adres IP serwera hakerskiego.
Na tym serwerze działa specjalny program o nazwie Evil Grade.
A Evil Grade powie użytkownikowi: „Tak,
jest aktualizacja. "
I zamiast serwować im rzeczywistą
aktualizację, udostępni im backdoora.
Jeśli więc użytkownik zgodzi się na zainstalowanie
tej aktualizacji, w rzeczywistości zainstaluje backdoora w swoim systemie.
Zróbmy to praktycznie, a stanie się to jeszcze jaśniejsze.
Właśnie tutaj mam moją maszynę Kali.
To jest niestandardowy obraz, który zrobiłem na potrzeby tego kursu.
Dlatego ma w nim preinstalowany Evil Grade.
Więc najpierw musimy przejść do lokalizacji, w której
jest zainstalowany.
Użyjemy do tego polecenia cd.
I jest zainstalowany w /opt/evilgrade#.
A potem, aby uruchomić plik binarny, sam program,
zrobimy . /Evilgrade.
Teraz korzystanie z Evil Grade jest bardzo proste
i bardzo podobne do Metasploita.
Tak więc, aby uzyskać listę wszystkich
programów, które możemy przejąć ich
aktualizacje, pokażemy moduły.
Jak
widać, masz wiele znanych programów, takich jak WinZip, VMware,
Skype, Safari i tak dalej.
Teraz będziemy
to robić w programie o nazwie DAP, Download Accelerator Plus.
Więc mamy to tutaj.
Aby skonfigurować konkretny moduł, wystarczy, że
wpiszemy nazwę modułu configure, czyli
DAP.
Możesz więc
zastąpić DAP dowolnym modułem, który chcesz
skonfigurować z dowolnym programem, który chcesz przejąć.
Więc wcisnę Enter.
Jak widać, mówi, że jestem w module DAP
i pokażę opcje, aby zobaczyć wszystkie
opcje, które mogę ustawić.
Jak widać, otrzymujemy listę wszystkich
opcji, które możemy ustawić, a główną opcją, którą chcemy
zmienić, jest Agent.
To jest ścieżka do
programu, który zostanie zainstalowany jako aktualizacja.
Więc w naszym przypadku
zastąpimy to backdoorem, który stworzyliśmy w poprzednim wykładzie.
Aby zmienić tę opcję, ustawimy
agentowi nazwę opcji na lokalizację, w której mam moje
tylne drzwi.
A moje tylne drzwi znajdują się w /var/www/html/
backdoor. exe.
Jak widać, format zmiany opcji jest bardzo
podobny do Bettercap i Metasploit.
Robimy set, a następnie opcje, które chcemy zmienić,
a następnie wartość.
Więc wcisnę Enter i gotowe.
Następną rzeczą, którą chcę zmodyfikować, jest Endsite, czyli
strona internetowa, która
zostanie załadowana po pomyślnej aktualizacji.
Teraz wiem, że to zwróci nie znaleziony błąd, dlatego
zamierzam to zmienić.
Nie musisz tego zmieniać w każdym module.
Więc znowu, aby to
zmienić, po prostu ustawimy stronę
końcową, a ja ustawię ją tylko na podstawową domenę, którą jest
speedbit. com.
I na koniec, zanim wszystko
uruchomimy, pokażę opcje po raz ostatni, aby
upewnić się, że wszystko jest ustawione tak, jak chcę.
Więc mam
agenta ustawionego na /var/www/html/backdoor. exe.
To idealne.
I mam stronę końcową ustawioną tak, jak chcę.
Więc jestem gotowy do drogi.
A wszystko, co musimy teraz zrobić,
to po prostu wpisać, zacząć, aby rozpocząć Zły Stopień.
Więc teraz, jeśli Evil Grade dostanie prośbę o aktualizację,
powie: „Tak, jest
aktualizacja” i będzie obsługiwać tylne drzwi. exe jako aktualizacja.
Jedynym problemem jest to, że nigdy nie otrzyma żadnych
żądań, ponieważ nie przechwytuję połączeń.
Nadal nie jestem mężczyzną pośrodku.
Dlatego staniemy się mężczyzną pośrodku
używając Bettercap.
Jak powiedziałem, możesz użyć dowolnej metody,
którą chcesz zostać
człowiekiem pośrodku, ale teraz zrobimy to za pomocą spoofingu ARP.
Więc użyję Bettercap, używając dokładnie tego samego polecenia,
którego używaliśmy wcześniej.
Więc po prostu robimy
Bettercap, biorąc pod uwagę, że interfejs jest podłączony
do sieci i daje mu
ten spoof caplet, aby uruchamiał atak spoofingu
ARP, umieszczając mnie w środku połączeń.
Nacisnę Enter, a to będzie działać bez błędów.
Więc to jest idealne.
Musimy również użyć Bettercap, aby przeprowadzić atak fałszowania DNS i sfałszować
każde żądanie aktualizacji. speedbit. com.
Jest to domena, której program docelowy używa
do sprawdzania aktualizacji,
a my chcemy sfałszować do niej żądania DNS,
więc zwracają tutaj adres IP maszyny Kali, która działa
w trybie Evil Grade.
Więc Evil Grade daje im fałszywą aktualizację.
Teraz szczegółowo omówiłem sposób spoofingu DNS
w pełnym wykładzie.
Więc jeśli nie pamiętasz,
jak to działa, wróć i zrewiduj
ten wykład, ponieważ teraz zrobię to trochę szybko.
Więc skopiuję tę
domenę i wyczyszczę ten ekran tutaj.
I ustawimy fałszowanie DNS aż nazbyt prawdziwe.
Ustawimy również fałszowanie DNS, domeny, na domenę,
którą chcemy sfałszować.
Na koniec uruchomimy
spoofer DNS, włączając spoof DNS, idealnie.
Teraz działa i nadal
wie, że sfałszuje każdą prośbę o
aktualizację. speedbit. com
na adres IP mojej maszyny Kali.
IP mojej maszyny Kali działa na poziomie Evil Grade.
Evil Grade powie: „Tak, jest nowa
aktualizacja” i posłuży im jako backdoor, który mamy tutaj.
W ten sposób backdoor zostanie automatycznie uruchomiony
na komputerze docelowym.
Jedynym problemem jest to, że backdoor zostanie uruchomiony,
ale nie nasłuchujemy tutaj połączeń przychodzących.
Więc naprawdę chcemy uzyskać dostęp.
Dlatego musimy nasłuchiwać połączeń przychodzących
za pomocą Metasploit, jak pokazałem wcześniej.
Teraz mam już skonfigurowany multi/handler.
Ponownie omówiłem to szczegółowo.
Więc jeśli nie pamiętasz, jak
to zrobić, wróć do tego wykładu.
W tej chwili pokażę opcje,
aby pokazać opcje, które ustawiłem tutaj.
Widać,
że używam tutaj windows/meterpreter/reverse http, ponieważ faktycznie używam
innego backdoora w moim Złym
Poziomie, tego backdoora tutaj.
Nie jest to odwrócony HTTPS, jak pokazano w poprzednich wykładach.
W rzeczywistości jest to backdoor HTTP
odwrotny, ponieważ z jakiegoś powodu zauważyłem, że backdoory HTTPS
nie działają z Evil Grade.
Dlatego specjalnie na potrzeby tego wykładu
stworzyłem backdoora HTTP.
Dlatego ustawiam ładunek na ten sam ładunek, który jest
używany w moim backdoorze.
Ustawiam tutaj swój adres IP.
Ustawiam LPORT na 8080.
Więc wszystko jest idealne.
Uruchomię exploit, aby nasłuchiwać połączeń przychodzących.
A teraz jesteśmy gotowi do drogi.
Przejdźmy teraz do tego jeszcze
raz, kiedy przechodzimy do komputera docelowego i sprawdzamy dostępność aktualizacji.
W tej chwili ten komputer przechwytuje połączenia
z powodu Bettercap.
A także sfałszuje każdą prośbę
o aktualizacje. speedbit. com do tego adresu IP.
To jest adres IP, w którym działa Evil Grade.
Evil Grade powie: „Tak, jest nowa aktualizacja. Aktualizacja
to ten plik wykonywalny.
Komputer docelowy pobierze ten plik wykonywalny.
Uruchomi go, ponieważ myśli, że to aktualizacja.
Kiedy to zostanie wykonane, wyśle do nas
połączenie w naszym multi/obsłudze.
Przejdźmy więc do komputera docelowego
i zobaczmy, czy rzeczywiście zadziała tak, jak oczekiwaliśmy.
Więc już pobrałem Download Accelerator Plus, program,
który próbujemy przejąć jego aktualizacje, i
zainstalowałem go.
Więc po prostu kliknę dwukrotnie, aby uruchomić program.
Teraz prosi
mnie tylko o ustawienie go jako domyślnego
menedżera pobierania, powiem nie.
Idę do
Pomocy i kliknę Aktualizuj teraz.
Powiemy tak, sprawdź aktualizacje proszę.
Po prostu odznaczę to, kliknij Dalej.
Sprawdza teraz dostępność aktualizacji.
I mówi nam, że jest nowa aktualizacja.
Więc powiemy Dalej.
I mówi nam tutaj, że jest to krytyczna aktualizacja.
Więc powiem, tak, chcę to zainstalować.
Spowoduje to pobranie aktualizacji i zainstalowanie jej.
I nadal nie jest tak, że to się skończyło.
Wszystko jest zrobione.
Powiemy dalej, bardzo dziękuję.
I koniec.
Teraz, jeśli wrócimy do maszyny
Kali, widzicie, że mamy tu odwrotne
połączenie od celu.
Aby to potwierdzić, możemy zrobić sysinfo, aby
zobaczyć więcej informacji.
I idealnie.
Jak widać, jesteśmy wewnątrz komputera docelowego.
A teraz mamy pełny dostęp do tego komputera
i możemy robić wszystko, co normalny użytkownik może zrobić w swoim systemie.
Teraz opowiem więcej o posteksploatacji i o
tym, jak sterować
komputerem za pomocą tego
dostępu meterpreter w sekcji posteksploatacyjnej.
Ale w tej chwili udało nam się włamać do komputera
za pomocą fałszywej aktualizacji.