In deze lezing
wil ik je een andere achterdeurmethode laten zien.
In deze methode wachten we tot ons doelwit een
uitvoerbaar bestand downloadt, en
we zullen dit bestand backdooren terwijl
het wordt gedownload.
Dus als ze hun uitvoerbaar bestand uitvoeren,
krijgen ze het bestand dat ze verwachten, maar tegelijkertijd
draait er een achterdeur op de achtergrond, die ons volledige toegang geeft
tot hun computer.
De enige beperking is dat
je de man in het midden moet zijn.
Het maakt niet uit hoe je deze positie bereikt, maar je
moet verbindingen kunnen onderscheppen, zodat
je de downloads on the fly kunt backdooren.
Om dit te doen, gebruiken we een programma
genaamd Backdoor Factory Proxy.
Ik heb dit gereedschap al voor je geïnstalleerd
in de aangepaste image die ik voor deze cursus heb gemaakt,
dus we hoeven alleen maar naar onze Kali machine te gaan en te navigeren naar
de locatie waar ik het heb geïnstalleerd.
Om naar een specifieke locatie te navigeren,
kunt u hier gewoon klikken en op de voorwaartse
schuine streep van uw toetsenbord drukken
om de padbalk te openen, of u kunt opnieuw op Control en L van uw toetsenbord
drukken om de padbalk te openen.
Zodra dit is geopend,
moeten we naar het pad gaan waar dit gereedschap is geïnstalleerd
en het is geïnstalleerd in /opt/BDFProxy.
Hier heb je het eigenlijke uitvoerbare programma
en het configuratiebestand.
Dus ik ga dubbelklikken op het configuratiebestand
om de configuratie te veranderen, en het belangrijkste
dat je hier wilt veranderen is de proxyMode, die we hier
hebben.
Standaard staat het op normaal, en dat
wil je veranderen in transparant.
Het volgende dat we willen wijzigen is het IP van mijn huidige
computer, want zoals ik al zei, zal deze tool
elk bestand dat het doelwit download backdooren.
Dus we moeten dit gereedschap mijn IP vertellen,
zodat wanneer de achterdeur wordt uitgevoerd
op de doelcomputer, hij weet waar hij naartoe moet.
Dus je kunt je IP krijgen door ifconfig uit te voeren,
zoals ik je eerder liet zien.
Ik heb dit al gedaan en ik weet dat mijn IP 10 is. 0. 2. 15.
Dus ik ga kijken waar hier Windows staat.
Dit is de configuratie voor de Linux-doelen.
Als je je richt op Linux, dan
moet je hier ook het IP veranderen, maar ik richt
me alleen op Windows, dus ik ga kijken waar
Windows staat, zoals je hier kunt zien,
en ik verander de host in mijn IP,
dat is 10. 0. 2. 15 en ik ga ook naar beneden
scrollen om het te veranderen voor Windows 64, en nogmaals, hier wil je het instellen
op 10. 0. 2. 15 en we zijn er
klaar voor.
Dus ik ga Control+S om op te slaan, en Control+Q om af te sluiten, en we zijn
klaar om het gereedschap te gebruiken.
Dus onthoud, het gereedschap is geïnstalleerd in /opt/BDFProxy, en het
programma dat het gereedschap uitvoert is dit bestand hier,
bdfproxy. py.
Daarom gaan we naar onze terminal,
we navigeren naar waar het gereedschap
is geïnstalleerd, dus we doen cd /opt/BDFProxy/.
Ik druk op Enter, en als ik een snelle ls doe, zie
je dat we hier het programmabestand hebben.
En omdat je dit in het groen ziet, betekent
het dat het een uitvoerbaar bestand is, dus we
kunnen het uitvoeren door punt forward slash te doen, gevolgd door
de bestandsnaam, die bdf_proxy is. py.
Ik druk op enter en dit loopt zonder fouten,
dus het is perfect.
Dus dit programma draait nu op zichzelf,
en zodra het een verzoek ontvangt voor een EXE, gaat het
dat uitvoerbare programma backdooren.
Maar zoals het nu is, zal
het geen verzoeken ontvangen.
Daarom moeten we verzoeken ernaar omleiden.
Om dat te doen, moeten we eerst de man in het midden worden, en
zoals ik al zei, kun je dit doen met ARP-spoofing, je kunt het doen door
een vals toegangspunt te gebruiken en je te richten op de clients
die verbinding met je maken, of je kunt dit hulpmiddel
gebruiken wanneer je erin slaagt
de man in het midden te worden, ongeacht hoe je erin slaagt
dit te doen.
Ik ga het doen met ARP spoofing, omdat dat het makkelijkst is.
Dus we gaan bettercap gebruiken,
precies zoals we het eerder gebruikten.
Dus we geven het de interface, dat is eth0, en dan geef ik het
mijn ARP spoofing caplet, zodat het me in het midden van de verbindingen
plaatst, waardoor ik gegevens kan onderscheppen
en ze tijdens de vlucht kan wijzigen.
Dus ik druk op Enter.
Dit loopt zonder problemen, dus het is perfect.
Dus nu onderschep ik de gegevens telkens
als deze Windows machine hier,
het doel, iets probeert te downloaden, wordt
het hier onderschept in bettercap, maar BDFProxy kan nog
steeds niet zien dat er een download is omdat dit twee aparte
programma's zijn.
Dus we moeten alle gegevens die dit programma
ziet, koppelen aan dit programma hier.
En om dat te doen, gaan we een firewall gebruiken
die voorgeïnstalleerd is op de meeste Linux
systemen, genaamd iptables, en met iptables kunnen we
regels specificeren die pakketten moeten volgen.
Dus ik ga mijn scherm hier leegmaken,
en ik ga iptables gebruiken om een tabel genaamd nat aan te passen
en een pre-routing regel toe te voegen die zal gelden voor TCP
pakketten, die naar een bestemming gaan, poort 80, en we willen
dit omleiden naar poort 8080, waar we BDFProxy hebben draaien
en wachten om de downloads te backdooren.
Dus, heel simpel commando, we gebruiken een
programma genaamd iptables om een tabel genaamd nat aan te passen.
We gaan een pre-routing regel toevoegen
die van toepassing is op TCP pakketten die
naar bestemmingspoort 80 gaan, en we gaan ze omleiden
naar poort 8080, waar we dit programma, BDFProxy hebben
draaien, wachtend om bestanden voor mij te backdooren.
Dus ik druk op Enter.
En ik heb port hier verkeerd gespeld, er staat een "r". En dit loopt zonder fouten, dus dat is perfect.
Dus nu gebruiken we bettercap om gegevens te onderscheppen.
Al deze gegevens worden met deze regel omgeleid
naar BDFProxy, die wacht en kijkt of er een EXE
wordt gedownload, deze backdoort, en dan
terugstuurt naar het doel.
Als het doelwit de EXE uitvoert, voert hij een achterdeur
uit die de verbinding naar mij terugstuurt.
Dus alles wat ik nu moet doen is luisteren naar
inkomende verbindingen.
En u kunt dit doen met behulp van de multi/handler,
zoals ik u eerder liet zien.
Of als je lui bent, kun je het
bronbestand gebruiken dat de achterdeurfabriek voor ons maakt.
Dus dit bestand hier zal automatisch de multi/handler
starten en luisteren naar inkomende verbindingen
voor alle payloads die we in het configuratiebestand
van BDFProxy zaaien.
Om dit uit te voeren, hoeven we alleen maar zoals
gewoonlijk MSFconsole te draaien.
En we zeggen, "Ik wil je een bronbestand
geven" en geven
dan het volledige pad voor dit bronbestand.
Onthoud wel dat dit bestand is aangemaakt door BDFProxy
dat is opgeslagen in /opt/BDFProxy.
Daarom komt de locatie van dit bestand in /opt/BDFProxy
te staan, gevolgd door de bestandsnaam.
Dus als ik nu op Enter druk, zal MSFconsole draaien en alle code laden die
is opgeslagen in het resource-bestand,
dat automatisch de multi/handler zal starten en configureren
met de IP's die we hebben opgegeven
toen we BDFProxy configureerden.
Dus nu draait alles en zijn we klaar om te gaan.
Dus laten we naar de doelcomputer gaan en laten we het
simpel houden bij het testen, dus ik
ga proberen iets te downloaden
van een HTTP website.
Dus we gaan naar speedbit. com en we klikken op
DOWNLOAD.
Dit zal dat downloaden, wat ik je heb laten
zien hoe je zijn updates kunt kapen.
Je krijgt een normale download, we gaan het opslaan
in onze downloads,
dit gaat automatisch naar downloads,
dus die heb ik hier al open staan.
Zoals u kunt zien, heeft het een echt pictogram
voor het programma, dit is het normale pictogram
dat u krijgt als u SpeedBit downloadt,
en als u erop dubbelklikt en het uitvoert, is het
gewoon een uitvoerbaar bestand.
Je krijgt het normale installatieprogramma,
dus als dit een echt persoon was, zullen ze
niet echt achterdochtig worden omdat ze het programma
installeren dat ze wilden.
Maar wat ze niet weten is dat dit programma tijdens
het downloaden een backdoored heeft gekregen.
Dus als we teruggaan naar onze Kali machine,
zie je dat Metasploit zegt dat er een nieuwe
sessie is geopend.
Dus alles wat ik nu moet doen is op Enter drukken op mijn toetsenbord.
Dan doe ik sessies -l om alle beschikbare
sessies op te sommen.
En zoals je kunt zien, hebben we hier een
nieuwe sessie en om in deze sessie te komen,
om ermee te communiceren, doe ik sessions
-i, gevolgd door de ID van de sessie, wat nummer één is, en ik
zit nu in mijn meterpreter
sessie op de doelcomputer.
Dus om dit te verifiëren, ga ik sysinfo doen.
En zoals je kunt zien, zit ik nu in de MS Edge,
en kan ik deze machine besturen en alles doen wat een normale gebruiker
op zijn computer kan doen.
En zoals ik al zei, ik zal je laten zien hoe je deze computer op afstand kunt
bedienen in het gedeelte na de aanval.
Maar voor nu hebben we volledige toegang tot die computer en we hebben
dit voor elkaar gekregen door een bestand te backdooren
dat de normale gebruiker vroeg te downloaden terwijl
dat bestand werd gedownload.