-: ก่อนหน้านี้ เราได้เรียนรู้วิธีสร้างแบ็คดอร์ที่ตรวจไม่พบ
ซึ่งดีมาก แต่เราส่งแบ็คดอร์นี้ได้โดยการดาวน์โหลดที่คอมพิวเตอร์เป้าหมาย
ตอนนี้อาจจะไม่ได้ผลในชีวิตจริง
เป้าหมายของคุณจะไม่เพียงแค่ดาวน์โหลดไฟล์ปฏิบัติการและเรียกใช้หากคุณขอให้พวกเขาทำเช่นนั้น
ดังนั้น ในการบรรยายนี้ ฉันต้องการแสดงวิธีการจัดส่งที่ชาญฉลาดกว่าให้คุณเห็น
ซึ่งเราจะปลอมแปลงการอัปเดต
ดังนั้นเมื่อโปรแกรมเฉพาะที่คอมพิวเตอร์เป้าหมายตรวจสอบการอัปเดต
จะบอกว่ามีการอัพเดต
และเมื่อพวกเขาติดตั้งการอัปเดตนั้น
พวกเขาจะติดตั้งแบ็คดอร์จริงๆ
ข้อจำกัดเดียวของวิธีนี้คือคุณต้องเป็นคนตรงกลาง
ไม่สำคัญว่าอย่างไร
แต่คุณต้องสามารถสกัดกั้นการเชื่อมต่อได้
ดังนั้น คุณสามารถใช้ในการปลอมแปลง ARP หรือใช้จุดเชื่อมต่อปลอมตามที่ฉันได้แสดงให้คุณเห็นก่อนหน้านี้
หรือใช้วิธีอื่นใดที่จะช่วยให้คุณสกัดกั้นการเชื่อมต่อได้
โดยปกติ โปรแกรมจะมีโดเมนเฉพาะที่ใช้ตรวจสอบการอัปเดต
สมมติว่า เรามีผู้ใช้ที่นี่ที่มีโปรแกรมเฉพาะที่ต้องการอัปเดตบางอย่าง
มันจะส่งคำขอไปยังโดเมนเฉพาะ
และสมมุติว่าโดเมนนี้ ในกรณีนี้ เป็นเซิร์ฟเวอร์อัพเดต
คอม
สิ่งนี้จะถูกส่งไปยังเซิร์ฟเวอร์ DNS
เซิร์ฟเวอร์ DNS จะตอบสนองด้วย
IP ของเซิร์ฟเวอร์การอัพเดท ซึ่งเรามีอยู่ที่นี่
จากนั้นผู้ใช้จะส่งคำขอโดยตรงไปยังเซิร์ฟเวอร์อัปเดตเพื่อค้นหาการอัปเดต
หากมีการอัปเดต เซิร์ฟเวอร์การอัพเดตจะตอบสนองด้วยการอัพเดต
ตอนนี้ หากเราเป็นคนตรงกลาง หากเราสามารถสกัดกั้นคำขอและการตอบกลับทั้งหมดได้
เมื่อเราได้รับคำขอให้อัปเดตเซิร์ฟเวอร์
com
แทนที่จะให้ IP ของเซิร์ฟเวอร์อัปเดต เราสามารถให้
IP ของเซิร์ฟเวอร์แฮ็กเกอร์ได้
เซิร์ฟเวอร์นี้กำลังเรียกใช้โปรแกรมพิเศษที่เรียกว่า Evil Grade
และ Evil Grade จะบอกผู้ใช้ว่า "ใช่
มีการอัพเดท " และแทนที่จะให้การอัปเดตจริงแก่พวกเขา
มันจะให้บริการลับๆ
ดังนั้นเมื่อผู้ใช้ตกลงที่จะติดตั้งการอัปเดตนี้
พวกเขาจะติดตั้งแบ็คดอร์ในระบบของตน
ลองทำสิ่งนี้จริง ๆ แล้วมันจะชัดเจนยิ่งขึ้น
ที่นี่ฉันมีเครื่องกาลีของฉัน
นี่คือภาพที่กำหนดเองที่ฉันทำขึ้นสำหรับหลักสูตรนี้
ดังนั้นจึงมี Evil Grade ติดตั้งไว้ล่วงหน้า
ก่อนอื่น เราต้องไปที่ตำแหน่งที่ติดตั้งไว้
เราจะใช้คำสั่ง cd เพื่อทำสิ่งนั้น
และมันถูกติดตั้งใน /opt/evilgrade#
จากนั้นเพื่อรันไบนารี ตัวโปรแกรมเอง
เราจะทำ /อีวิลเกรด.
ตอนนี้ การใช้ Evil Grade นั้นง่ายมากและคล้ายกับ
Metasploit มาก
ดังนั้น เพื่อให้ได้รายชื่อโปรแกรมทั้งหมดที่เราสามารถไฮแจ็กการอัปเดตได้
เราจะแสดงโมดูล
และอย่างที่คุณเห็น
คุณมีโปรแกรมที่มีชื่อเสียงมากมาย เช่น WinZip, VMware,
Skype, Safari และอื่นๆ
ตอนนี้ เรากำลังจะทำสิ่งนี้ในโปรแกรมที่เรียกว่า
DAP ดาวน์โหลด Accelerator Plus
ดังนั้นเราจึงมีที่นี่
ดังนั้นในการกำหนดค่าโมดูลเฉพาะ สิ่งที่เราต้องทำคือเพียงแค่พิมพ์
"กำหนดค่าชื่อโมดูล" ซึ่งก็คือ DAP
ดังนั้น คุณจึงสามารถแทนที่
DAP ด้วยโมดูลใดๆ ที่คุณต้องการกำหนดค่าด้วยโปรแกรมใดๆ
ที่คุณต้องการจี้
ดังนั้นฉันจะกด Enter
และอย่างที่คุณเห็นมันบอกว่าตอนนี้ฉันอยู่ในโมดูล
DAP และฉันจะแสดงตัวเลือกเพื่อดูตัวเลือกทั้งหมดที่ฉันสามารถตั้งค่าได้
อย่างที่คุณเห็น เราได้รายการตัวเลือกทั้งหมดที่เราสามารถตั้งค่าได้
และตัวเลือกหลักที่เราต้องการเปลี่ยนคือตัวแทน
นี่คือเส้นทางไปยังโปรแกรมที่จะติดตั้งเป็นการอัพเดท
ในกรณีของเรา เราจะแทนที่สิ่งนี้ด้วยแบ็คดอร์ที่เราสร้างขึ้นในการบรรยายครั้งก่อน
เพื่อเปลี่ยนตัวเลือกนี้
เราจะตั้งชื่อตัวเลือกให้ตัวแทนในตำแหน่งที่ฉันมีแบ็คดอร์ของฉัน
และแบ็คดอร์ของฉันอยู่ใน
/var/www/html/ backdoor
exe.
อย่างที่คุณเห็น รูปแบบของการเปลี่ยนแปลงตัวเลือกนั้นคล้ายกับ
Bettercap And Metasploit มาก
เราตั้งค่าแล้ว ตามด้วยตัวเลือกที่เราต้องการเปลี่ยนแปลง
ตามด้วยค่า
ฉันจะกด Enter เสร็จแล้ว
สิ่งต่อไปที่ฉันต้องการแก้ไขคือ Endsite ซึ่งเป็นเว็บไซต์ที่จะโหลดเมื่อการอัปเดตสำเร็จ
ตอนนี้ ฉันรู้ว่าสิ่งนี้จะส่งคืนข้อผิดพลาดที่ไม่พบ นั่นคือเหตุผลที่ฉันจะเปลี่ยนมัน
คุณไม่จำเป็นต้องเปลี่ยนทุกโมดูล
อีกครั้ง เพื่อเปลี่ยนสิ่งนี้
เราจะตั้งค่า endsite และฉันจะตั้งค่าเป็นโดเมนพื้นฐาน
ซึ่งก็คือ speedbit
คอม
และสุดท้าย ก่อนที่เราจะรันทุกอย่าง ฉันจะแสดงตัวเลือกเป็นครั้งสุดท้ายเพื่อให้แน่ใจว่าทุกอย่างได้รับการตั้งค่าตามที่ฉันต้องการ
ดังนั้นฉันจึงตั้งค่าเอเจนต์เป็น
/var/www/html/backdoor exe.
ที่สมบูรณ์แบบ
และฉันได้ตั้งค่า Endsite ในแบบที่ฉันต้องการแล้ว
ดังนั้นฉันจึงพร้อมที่จะไป
และสิ่งที่เราต้องทำตอนนี้ก็แค่พิมพ์
เริ่ม และเริ่มต้น Evil Grade
ดังนั้นตอนนี้ หาก Evil Grade ได้รับคำขอให้อัปเดตระบบจะบอกว่า
"ใช่ มีการอัพเดท" และจะให้บริการแบ็คดอร์
exe เป็นการอัปเดต
ปัญหาเดียวคือจะไม่ได้รับคำขอใด ๆ ในขณะนี้เพราะฉันไม่ได้สกัดกั้นการเชื่อมต่อ
ฉันยังไม่ใช่คนตรงกลาง
ดังนั้น เราจะเป็นคนตรงกลางโดยใช้
Bettercap
อย่างที่ฉันบอกไป คุณสามารถใช้วิธีใดก็ได้ที่คุณต้องการให้เป็นคนตรงกลาง
แต่ตอนนี้เราจะใช้วิธีปลอมแปลง ARP
ฉันจะใช้ Bettercap โดยใช้คำสั่งเดียวกันกับที่เราเคยใช้มาก่อน
ดังนั้นเราจึงกำลังทำ Bettercap
เนื่องจากอินเทอร์เฟซที่เชื่อมต่อกับเครือข่ายและให้
caplet ปลอมนี้เพื่อเรียกใช้การโจมตี
ARP spoofing ทำให้ฉันอยู่ตรงกลางของการเชื่อมต่อ
ฉันจะกด Enter และสิ่งนี้จะทำงานโดยไม่มีข้อผิดพลาด
นั่นจึงสมบูรณ์แบบ
นอกจากนี้เรายังต้องใช้ Bettercap เพื่อเรียกใช้การโจมตี DNS spoofing และปลอมแปลงคำขอให้อัปเดต
สปีดบิต คอม
นี่คือโดเมนที่โปรแกรมเป้าหมายใช้เพื่อตรวจสอบการอัปเดต
และเราต้องการปลอมคำขอ DNS ไปที่สิ่งนี้ ดังนั้นพวกเขาจึงส่งคืน
IP ของเครื่อง Kali ที่นี่ ซึ่งใช้งาน Evil Grade
ดังนั้น Evil Grade จึงให้การอัปเดตปลอมแก่พวกเขา
ก่อนหน้านี้ฉันได้กล่าวถึงวิธีการปลอมแปลง DNS อย่างละเอียดในการบรรยายฉบับเต็มก่อนหน้านี้
ดังนั้น ถ้าคุณจำไม่ได้ว่ามันทำงานอย่างไร
โปรดกลับไปแก้ไขการบรรยายนี้ เพราะตอนนี้ฉันจะทำมันอย่างรวดเร็ว
ผมจะคัดลอกโดเมนนี้
และล้างหน้าจอนี้ที่นี่
และเราจะตั้งค่าการปลอมแปลง DNS ให้เป็นจริงด้วย
และเราจะตั้งค่าการปลอมแปลง DNS โดเมน เป็นโดเมนที่เราต้องการปลอมแปลงด้วย
สุดท้าย เราจะเริ่มการปลอมแปลง
DNS โดยทำการปลอมแปลง DNS สมบูรณ์แบบ
ตอนนี้ใช้งานได้แล้ว และยังรู้ว่าจะมีการปลอมคำขอให้อัปเดตใดๆ
สปีดบิต com
ไปยัง IP ของเครื่อง Kali ของฉัน
IP ของเครื่อง Kali ของฉันใช้ Evil Grade
Evil Grade จะบอกว่า "ใช่ มีการอัพเดทใหม่"
และจะให้บริการแบ็คดอร์ที่เรามีอยู่ที่นี่
และด้วยวิธีนี้ แบ็คดอร์จะทำงานโดยอัตโนมัติบนคอมพิวเตอร์เป้าหมาย
ปัญหาเดียวคือประตูหลังจะถูกดำเนินการ แต่เราไม่ได้ฟังการเชื่อมต่อที่เข้ามาที่นี่
ดังนั้นเราจึงต้องการเข้าถึงจริงๆ
ดังนั้นเราจึงต้องฟังการเชื่อมต่อขาเข้าโดยใช้
Metasploit ตามที่ฉันแสดงให้คุณเห็นก่อนหน้านี้
ตอนนี้ ฉันได้กำหนดค่า multi/handler แล้ว
อีกครั้งฉันครอบคลุมรายละเอียดนี้
ดังนั้น หากคุณจำไม่ได้ว่าต้องทำอย่างไร
โปรดกลับไปที่การบรรยายนั้น
ตอนนี้ ฉันแค่จะแสดงตัวเลือก เพื่อแสดงตัวเลือกที่ฉันตั้งไว้ที่นี่
และคุณจะเห็นว่าฉันใช้
windows/meterpreter/reverse http ที่นี่ เพราะจริงๆ แล้วฉันใช้แบ็คดอร์อื่นในระดับ Evil ของฉัน
แบ็คดอร์นี้ตรงนี้
ไม่ใช่ HTTPS แบบย้อนกลับดังที่แสดงในการบรรยายครั้งก่อน
จริงๆ แล้วมันเป็น backdoor HTTP แบบย้อนกลับ
เพราะด้วยเหตุผลบางอย่าง ฉันสังเกตว่าแบ็คดอร์ HTTPS
ไม่ทำงานกับ Evil Grade
นั่นเป็นเหตุผลที่ฉันสร้างแบ็คดอร์ HTTP แบบย้อนกลับสำหรับการบรรยายนี้โดยเฉพาะ
ดังนั้นฉันจึงตั้งค่าเพย์โหลดของฉันเป็นเพย์โหลดเดียวกันกับที่ใช้ในแบ็คดอร์ของฉัน
ฉันกำลังตั้งค่า IP ของฉันที่นี่
ฉันกำลังตั้งค่า LPORT เป็น 8080
ดังนั้นทุกอย่างสมบูรณ์แบบ
ฉันจะเรียกใช้การหาประโยชน์เพื่อฟังการเชื่อมต่อที่เข้ามา
และตอนนี้เราก็พร้อมที่จะไป
ทีนี้มาทบทวนกันอีกครั้งเมื่อเราไปที่คอมพิวเตอร์เป้าหมายและตรวจหาการอัปเดต
ขณะนี้ คอมพิวเตอร์เครื่องนี้กำลังสกัดกั้นการเชื่อมต่อเนื่องจาก
Bettercap
และมันยังจะปลอมแปลงคำขอให้อัปเดตด้วย
สปีดบิต มาที่ IP นี้
นี่คือ IP ที่ Evil Grade ทำงาน
Evil Grade จะบอกว่า "ใช่ มีการอัพเดทใหม่ " การอัปเดตนี้สามารถเรียกใช้งานได้
คอมพิวเตอร์เป้าหมายจะดำเนินการนี้
มันจะเรียกใช้เพราะมันคิดว่ามันเป็นการอัพเดท
เมื่อสิ่งนี้ถูกดำเนินการ มันจะส่งการเชื่อมต่อถึงเราที่นี่ใน
multi/handler ของเรา
ลองไปที่คอมพิวเตอร์เป้าหมายและดูว่าสิ่งนี้จะได้ผลจริงตามที่เราคาดไว้หรือไม่
ฉันได้ดาวน์โหลด Download Accelerator Plus ซึ่งเป็นโปรแกรมที่เราพยายามจะขโมยข้อมูลอัปเดตและติดตั้ง
ผมจะดับเบิลคลิกเพื่อเริ่มโปรแกรม
ตอนนี้มันแค่ขอให้ฉันตั้งค่าเป็นตัวจัดการการดาวน์โหลดเริ่มต้น
ฉันจะปฏิเสธ
ฉันจะไปที่ Help
แล้วคลิก Update Now
เราจะตอบว่าใช่ ตรวจสอบการอัปเดตโปรด
ฉันจะยกเลิกการเลือกสิ่งนี้ คลิกที่ถัดไป
ขณะนี้กำลังตรวจสอบการอัปเดต
และมันกำลังบอกเราว่ามีการอัพเดทใหม่
ดังนั้นเราจะพูดต่อไป
และมันกำลังบอกเราว่านี่คือการอัปเดตที่สำคัญ
ฉันจะเป็นแบบ ใช่ ฉันต้องการติดตั้งสิ่งนี้
นี่จะดาวน์โหลดการอัปเดตสำหรับฉันและติดตั้ง
และก็ยังไม่เสร็จ
ทุกอย่างเสร็จสิ้น
เราจะพูดต่อไป ขอบคุณมาก.
และเสร็จสิ้น
ทีนี้ ถ้าเรากลับไปที่เครื่องกาลี
คุณจะเห็นว่ามีการเชื่อมต่อย้อนกลับจากเป้าหมาย
เพียงเพื่อยืนยันสิ่งนี้ เราสามารถทำ sysinfo
เพื่อดูข้อมูลเพิ่มเติม
และสมบูรณ์แบบ
อย่างที่คุณเห็น เราอยู่ในคอมพิวเตอร์เป้าหมาย
และตอนนี้เราสามารถเข้าถึงคอมพิวเตอร์เครื่องนั้นได้อย่างเต็มที่และสามารถทำทุกอย่างที่ผู้ใช้ทั่วไปสามารถทำได้ในระบบของพวกเขา
ตอนนี้ ฉันจะพูดเพิ่มเติมเกี่ยวกับโพสต์การหาประโยชน์และวิธีควบคุมคอมพิวเตอร์โดยใช้การเข้าถึงตัวตรวจสอบมิเตอร์นี้ในส่วนหลังการเอารัดเอาเปรียบ
แต่ตอนนี้ เราสามารถแฮ็คเข้าสู่คอมพิวเตอร์โดยใช้การอัปเดตปลอม