20212917于欣月 2021-2022-2 《网络攻防实践》第十一周作业

目录



1.实验要求及过程

任务一:Web浏览器渗透攻击实验

任务:使用攻击机和Windows靶机进行浏览器渗透攻击实验,体验网页木马构造及实施浏览器攻击的实际过程。
所需环境:
1.攻击机:BT4 Linux攻击机或Windows XP Attacker 攻击机, 使用其中安装的Metasploit渗透攻击框架软件;
2.靶机:未打补丁的Windows靶机,可使用Windows 2KS靶机或Windows XP靶机。
实验步骤;
3.选择使用Metasploit中的MS06-014渗透攻击模块(ie_createobject);
4.选择PAYLOAD为任意远程Shell连接;
5.设置服务器地址(SVRHOST或LHOST)和URL参数,运行exploit,构造出恶意网页木马脚本;
6.在靶机环境中启动浏览器,验证与服务器的连通性,并访问恶意网页木马脚木URL;
7.在攻击机的Metasploit软件中查看渗透攻击状态,并通过成功渗透攻击后建立起的远桯控制会话SESSION,在靶机上远程执行命令。

具体过程

(1)在kali中使用msfconsole指令打开metasploit,然后使用search MS06-014查看漏洞的相关信息,使用选择漏洞use exploit/windows/browser/ie_createobject选择漏洞,然后show payloads查看可用负载。
(2)设置payload为set payload windows/shell/bind_tcp,设置攻击机地址192.168.43.187,设置靶机地址为192.168.43.202,然后执行run。这部分与之前有次实验类似,不多加赘述。

(3)根据上步得到的Local IP,通过靶机的浏览器访问该地址,浏览器返回一串字符。这个时候我们观察攻击机的行为,果然已经建立起了一个会话,攻击成功。

任务二:取证分析实践—网页木马攻击场景分析

实践过程:
①首先你应该访问start.html,在这个文件中给出了new09.htm的地址,
②在进入 htm 后,每解密出一个文件地址,请对其作 32 位 MD5 散列,以散列值为文件名到http://192.168.68.253/scom/hashed/哈希值下去下载对应的文件(注意:文件名中的英文字母为小写,且没有扩展名),即为解密出的地址对应的文件。
③如果解密出的地址给出的是网页或脚本文件,请继续解密。
④如果解密出的地址是二进制程序文件,请进行静态反汇编或动态调试。
⑤重复以上过程直到这些文件被全部分析完成。

具体过程

(1)首先将pdf中的第一段代码复制到记事本,命名为start.html文件,然后打开,搜索“new09.htm”,能够找到两处:

(2)从这两处可以看出start.html文件在引用new09.htm文件时没有写绝对路径,所以new09.htm文件与start.html文件在同一目录下,查看new09.htm

(3)可以看到new09.htm文件中,用iframe引用了一个http://aa.18dd.net/aa/kl.htm文件,又用javascript引用了一个http://js.users.51.la/1299644.js文件。我们对它们分别作MD5散列,分别为7f60672dcd6b5e90b6772545ee219bd3。

(4)打开两个文件,第一个是想要的,第二个不是想要的

(5)第一个文件中的内容看起来很复杂,但实际上这是一种被称为XXTEA+Base64的加密方法,对付这种加密方法,我们只要找到它的加密密钥就可以。注意上面的倒数第三行,即:

(6)将\x73\x63\x72\x69\x70\x74使用十六进制转字符串的操作,即可得到密钥script:

(7)使用XXTEA解密工具,用密钥script解密文件。

(8)加密者又用了另一种加密方法,也就是十六进制加密,对引号内的内容解密,得:

(9)可以看到这个文件利用到的应用程序漏洞有“Adodb.Stream”、“MPS.StormPlayer”、POWERPLAYER.PowerPlayerCtrl.1”和“BaiduBar.Tool”,分别对应利用了微软数据库访问对象、暴风影音、PPStream 和百度搜霸的漏洞。这些都是现在网络用户使用非常频繁的软件。另外,这个文件还引用三个 js 文件和一个压缩包(bd.cab,解开后是 bd.exe)。

(10)分别计算http://aa.18dd.net/aa/1.js、http://aa.18dd.net/aa/b.js、http://aa.18dd.net/aa/pps.js和http://down.18dd.net/bb/bd.cab的md5值:

链接 MD5
http://aa.18dd.net/aa/1.js 5d7e9058a857aa2abee820d5473c5fa4
http://aa.18dd.net/aa/b.js 3870c28cc279d457746b3796a262f166
http://aa.18dd.net/aa/pps.js 5f0b8bf0385314dbe0e5ec95e6abedc2
http://down.18dd.net/bb/bd.cab 1c1d7b3539a617517c49eee4120783b2

(11)依次查看文件


十六进制加密,解开得

该代码前面部分下载了一个http://down.18dd.net/bb/014.exe 的可执行文件,后面部分是对ADODB漏洞的继续利用。


这里使用了packed加密方法,解密结果为:

我们可以看到关键字shellcode,根据参考文件,shellcode是一个下载器,因此需要寻找其中的URL,最后找到的结果为 http://down.18dd.net/bb/bf.exe 得到一个可执行文件。

这回改八进制加密了,同样解开:

又是shellcode,如法炮制,得到了它对应的可执行文件路径:http://down.18dd.net/bb/pps.e


  • 这是一个压缩文件,解压缩可以得到一个叫bd.exe文件。
    (12)此时我们便有了四个exe文件,再将计算先前的三个文件的md5值然后下载:
    |链接 | MD5 |
    | :---: | :---: |
    |http://down.18dd.net/bb/014.exe|ca4e4a1730b0f69a9b94393d9443b979|
    |http://down.18dd.net/bb/bf.exe|268cbd59fbed235f6cf6b41b92b03f8e|
    |http://down.18dd.net/bb/pps.exe|ff59b3b8961f502289c1b4df8c37e2a4|

可以看到这四个文件大小相同,进一步对文件内容进行MD5散列计算:

(13)MD5值完全一样,因此可以知道这四个文件内容完全相同。使用超级巡警工具,查看可执行文件的加壳情况,发现用Delphi写的:

(14)用IDA反编译打开bd.exe,可以看到很多链接

(15)下载可运行的20个文件:
MD5(http://down.18dd.net/kl/0.exe,32) = f699dcff6930465939a8d60619372696
MD5(http://down.18dd.net/kl/1.exe,32) = 0c5abac0f26a574bafad01ebfa08cbfa
MD5(http://down.18dd.net/kl/2.exe,32) = 7ab83edbc8d2f2cdb879d2d9997dd381
MD5(http://down.18dd.net/kl/3.exe,32) = 6164f8cd47258cf5f98136b9e4164ec0
MD5(http://down.18dd.net/kl/4.exe,32) = c8620b1ee75fd54fbc98b25bd13d12c1
MD5(http://down.18dd.net/kl/5.exe,32) = a23cbbf6c2625dcc89ec5dc28b765133
MD5(http://down.18dd.net/kl/6.exe,32) = 7d023fd43d27d9dc9155e7e8a93b7861
MD5(http://down.18dd.net/kl/7.exe,32) = d6fe161bbf5e81aaf35861c938cb8bd1
MD5(http://down.18dd.net/kl/8.exe,32) = acc2bad4a01908c64d3640a96d34f16b
MD5(http://down.18dd.net/kl/9.exe,32) = 1f627136e4c23f76fa1bb66c76098e29
MD5(http://down.18dd.net/kl/10.exe,32) = c6c24984d53478b51fe3ee2616434d6f
MD5(http://down.18dd.net/kl/11.exe,32) = 248b26c81f565df38ec2b0444bbd3eea
MD5(http://down.18dd.net/kl/12.exe,32) = d59f870b2af3eebf264edd09352645e0
MD5(http://down.18dd.net/kl/13.exe,32) = 2506d70065b0accd2c94a0833846e7d8
MD5(http://down.18dd.net/kl/14.exe,32) = f9a339dc1a9e3e8449d47ab914f89804
MD5(http://down.18dd.net/kl/15.exe,32) = 18f9de3590a7d602863b406c181a7762
MD5(http://down.18dd.net/kl/16.exe,32) = 7d63bd5108983d6c67ed32865fefc27b
MD5(http://down.18dd.net/kl/17.exe,32) = 6536161fd92244f62eaac334c36db897
MD5(http://down.18dd.net/kl/18.exe,32) = 6c8d161464e5be8983f7fa42d5e09177
MD5(http://down.18dd.net/kl/19.exe,32) = 4b8597eeb55c107181bd5eb3aa8bfe3e
(16)利用腾讯电脑管家对这些文件进行扫描,提示这些文件均存在木马病毒

任务三:攻防对抗实践—web浏览器渗透攻击攻防

攻击方使用Metasploit构造出至少两个不同Web浏览端软件安全漏洞的渗透攻击代码,并进行混淆处理之后组装成一个URL,通过具有欺骗性的电子邮件发送给防守方。
防守方对电子邮件中的挂马链接进行提取、解混淆分析、尝试恢复出渗透代码的原始形态,并分析这些渗透代码都是攻击哪些Web浏览端软件的哪些安全漏洞。

具体过程

攻击方IP:192.168.199.121
防守方IP:192.168.199.230
(1)按照第一个实验的步骤使用MS06-014漏洞生成URL,http://192.168.199.121:8080/A4r2btE

(2)打开链接,查看网页源代码,可以看到中间使用了大量的空格、水平制表符和回车等,这样能够对关键指令做字符串拼接处理,防止被杀毒软件发现,此时kali已经建立了连接

(3)使用word将空格、水平制表符(t)和回车(p)等删掉,得到完整代码。可以发现document.location加载payload,且下一行跟了一个可执行文件YAAHus.exe猜测该文件是通过之前的URL下载到靶机上的

(4)打开靶机任务管理器查看正在运行的进程,可以发现上述可执行文件正在运行:

(5)对于刚才的源代码在vart=newArray数据,去除引号和加号处理,可以得到如下内容,查询这些内容可以知道攻击方利用了MS06-014漏洞。

2.学习中遇到的问题及解决

  • 问题1:输入set payload windows/meterpreter/reverse_tcp创建不了session。

  • 答:换了一个payload,windows/shell/bind_tcp。

  • 问题2:处理源代码刚开始不知道用什么工具

  • 答:查找发现word就行,在替换部分空格就打个空格,制表符为t,回车为p等。

3.学习感想和体会

  • 本次实验强调分析能力,很显然还需要进一步提升。对于第二部分的实验,属于走流程模式,文件内容都给出了直接解密分析即可,就是比较繁琐,算是了解了基础流程。
posted @ 2022-05-28 01:41  雲深不知处  阅读(111)  评论(0编辑  收藏  举报