Статья Атака с BeeF-Over-Wan

Добрый день , Уважаемые Форумчане,Друзья и Гости форума.

Сегодня мы разберём один из самостоятельных атакующих модулей,работающего с BEEF.
Принцип работы основан на подключении сервиса ngrok.

Сама утилита относится к категории Browser Exploitation Framework
Надо отметить,что браузеры всё более становятся защищены от проведения таких атак.
Но метод обладает некой разновидностью и пока имеет право на существование.

Модуль также генерирует файл hook.js по пути /var/www/html/hook.js
Активирует инструмент beef,который слушает ,как известно ,порт 3000

Установка:

# git clone https://github.com/stormshadow07/BeeF-Over-Wan.git
# cd BeeF-Over-Wan.git/
# python BeeFOverWan.py - запуск на Kali Linux
# python2 BeeFOverWan.py -запуск на Arch Linux
# chmod +x BeeFOverWan.py - при необходимости сделать файл исполняемым.

Смысл состоит в том ,что с ngrok атакующий стартует этот сервис на портах 80 и 3000
Также должен быть запущен apache.

# ./ngrok http 80

# ./ngrok http 3000

Мы получаем ссылки с характерными адресами,перенаправлениями и двумя разными каналами.
Всё это работает в сети категории WAN , т.е глобальной.

И теперь , при запуске инструмента , он потребует последовательного ввода
наших ссылок , только без указания протокола http , иначе , появится ошибка (http/http)

BeeF-Over-Wan сам преобразует и сгенерирует необходимую ссылку.
Её можно будет сократить и отправить тестируемому объекту ,применив СИ.

В завершении , ждём подключения и ловим браузеры тестируемых субъектов в Beef со всеми правилами.
Спасибо всем за внимание,тестируем ,отписываемся о результатах и до новых встреч.

 

[z3r0c10wn]

Чуть чуть дополню:

> ngrok.yml

tunnels:
first-app:
    addr: 80
    proto: http
second-app:
    addr: 3000
    proto: http

ngrok start --all

Так будет значительно удобнее.

 

[9sochi]

Подскажите пожалуйста
почему beef настроенный на вдс ссылка вида с белым IP 185.x.x.x:3000/ui/panel не запускается у меня на моей машине. На вдс без проблем работает в браузере. Спасибо

 

[Vertigo]

почему beef настроенный на вдс ссылка вида с белым IP 185.x.x.x:3000/ui/panel не запускается у меня на моей машине.

Beef надо настраивать в файле config.yaml
Он здесь может быть ограничен подсетью 16, или 24
Должен быть в Вашем случае установлен пакет rvm и ruby ( На последнем написан Beef)
Переходим на страницу /demos/basic.html. ,где подгрузится hook.js
Далее,обычно применяется фишинг.
Если понадобится подключить Metasploit , то extensions/metasploit в этом же файле конфигурации.
Настройки,к слову , можно оставить по-умолчанию в данном случае.
А так ,редактируйте файл config.yaml по-соотношению с Вашими подребностями.
[automerge]1522672073[/automerge]
В дополнение ,рекомендую вот эту статью

 

[9sochi]

Спасибо большое! Да beef работает, hook.js подлавливает браузер. Покопаюсь в config.yaml. Наверное там стоит и правда ограничение выхода извне.

 

[Strannik....]

Объяснить кто-нибудь с какой целью это проводится?

 

[bycat]

STEP 1 : Add these Lines To ngrok.yml [Location .ngrok2/ngrok.yml ]
tunnels:
first-app:
addr: 80
proto: http
second-app:
addr: 3000
proto: http

потом вел вот так
tunnels:tunnels: first-app: addr: 80 proto: http second-app: addr: 3000 proto: http

ШАГ 1: Добавьте эти строки в ngrok.yml [Location .ngrok2 / ngrok.yml]
tunnels: first-app: addr: 80 proto: http second-app: addr: 3000 proto: http

и как правильно водить по вертикали или горизонтали?
В обоих случаях мне выдается вот такая ошибка
# ngrok start - -all

ERROR: Failed to read configuration: Error reading configuration file '/root/.ngrok2/ngrok.yml': YAML parsing error: yaml: line 1: mapping values are not allowed in this context
ERROR:

ОШИБКА: Ошибка чтения конфигурации: Ошибка чтения файла конфигурации '/root/.ngrok2/ngrok.yml': ошибка анализа YAML: yaml: строка 1: значения отображения в этом контексте не допускаются
ОШИБКА:

 

[Citizen0]

и как правильно водить по вертикали или горизонтали?

А посмотреть первоисточник? stormshadow07/BeeF-Over-Wan
Или документацию по ngrok

Ссылка скрыта от гостей

 

[NSNL.dll]

Объяснить кто-нибудь с какой целью это проводится?

Атакующий ловит браузер тестируемого субъекта и затем может использовать на нём функции Beef. Их там полно, например всяческие эксплойты под разные системы и т.д.

 

[bycat]

Там наборчик шуток стоит можно над браузером жертвы пошутить =)

 

[☠xrahitel☠]

Объяснить кто-нибудь с какой целью это проводится?

потом берешь любой софт ставишь ссылку и раскидываешь по бордам можешь прям тут протестить (шутка)

 

[TROOPY]

При запуске Beef-Over-wan выдает это:

Traceback (most recent call last):
  File "BeeFOverWan.py", line 8, in <module>
    from termcolor import colored
ImportError: No module named termcolor

Как это исправить?

 

[centr]

pip install termcolor

 

[TROOPY]

pip install termcolor

Спасибо. Что-то я затупил)

 

[DarkAres]

А видосик не подбросите, а то я ничего путного не найду.

 

[Tayrus]

Клевый инструмент, но у меня он не заработал.
Вот ошибка:

Слова автора: "I said this because when i tried to run ngrok for this script , i got error saying you have to buy premium to open multiple tunnels ". Тут он говорит, что нужно купить премиум чтобы открыть много туннелей.
Я переделал скрипт(и он заработал), а именно: русифицировал, добавил возможность создания туннеля без премиума(через API), исправил пару незначительных ошибок.

Ссылка на скачку:

https://drive.google.com/file/d/1mmUPSdPOMtuUvbb7sTAkhpK4CfOBSDmO/view?usp=sharing

Инструкция: запускаем ngrok так: ./ngrok http 80(в конфиг ничего не вставляем, просто запускаем). Потом запускаем скрипт, когда вас будут просить ввести ссылку вводим ту ссылку, которая перенаправляет на localhost:80 без протокола и порта! Затем когда нас еще просят ввести ссылку вводим ссылку, которая перенаправляет на localhost:3000 без протокола и порта! На этом все!) Наслаждайтесь)

 

[mackgomeryberns]

Клевый инструмент, но у меня он не заработал.
Вот ошибка:

Слова автора: "I said this because when i tried to run ngrok for this script , i got error saying you have to buy premium to open multiple tunnels ". Тут он говорит, что нужно купить премиум чтобы открыть много туннелей.
Я переделал скрипт(и он заработал), а именно: русифицировал, добавил возможность создания туннеля без премиума(через API), исправил пару незначительных ошибок.

Ссылка на скачку:

https://drive.google.com/file/d/1mmUPSdPOMtuUvbb7sTAkhpK4CfOBSDmO/view?usp=sharing

Инструкция: запускаем ngrok так: ./ngrok http 80(в конфиг ничего не вставляем, просто запускаем). Потом запускаем скрипт, когда вас будут просить ввести ссылку вводим ту ссылку, которая перенаправляет на localhost:80 без протокола и порта! Затем когда нас еще просят ввести ссылку вводим ссылку, которая перенаправляет на localhost:3000 без протокола и порта! На этом все!) Наслаждайтесь)

Я бро сделал по твоему совету, все запустилось и все, ошибка соеденения и ппц( что панель не работает если по ссылке перейти и не ловит никого

 

[Tayrus]

Я бро сделал по твоему совету, все запустилось и все, ошибка соеденения и ппц( что панель не работает если по ссылке перейти и не ловит никого

Уже ngrok не фурычит

 

[mackgomeryberns]

Уже ngrok не фурычит

ппц(

получается либо статический ip от провайдера (самый дешевый вариант) либо, vpn?,vps,vds

 

[NNullday]

Ngrok не будет работать с 2 потоками сразу в обычной версии (бесплатной)