Instructeur : D'accord, donc
dans cette vidéo, nous allons utiliser Veil pour créer une porte dérobée.
Donc la première chose que je vais faire est de faire une
liste pour lister les
outils disponibles, et je vais utiliser
le numéro un, parce que nous voulons utiliser l'évasion.
Et puis je vais lister mes charges utiles.
Et vous avez dit dans
la conférence précédente, je veux utiliser go meterpreter reverse HTTPS, c'est
donc le numéro 15.
Je vais donc en utiliser 15.
Et ça va lister...
Tout d'abord, il va me
montrer des informations sur cette charge utile particulière.
Et ensuite, il me montrera les options que je peux définir pour
cette charge utile.
Ainsi, la principale option que vous
souhaitez définir et la plus importante est l'adresse IP.
C'est donc l'adresse IP
sur laquelle vous allez recevoir les connexions.
Comme nous l'avons dit, nous allons avoir une connexion inversée.
Et nous devons définir
l'adresse IP à laquelle la charge utile
ou la porte dérobée tentera de se reconnecter.
Et dans
notre cas, nous voulons recevoir la connexion vers cette machine Kali.
Nous allons donc définir l'hôte IP
sur l'adresse IP de la machine Kali actuelle.
Maintenant, pour obtenir l'adresse IP de ma
machine Kali, je dois exécuter ifconfig.
Je vais donc diviser l'écran en faisant un clic droit
et en cliquant sur diviser horizontalement.
Et je vais juste réduire ça un peu
et nous allons lancer ifconfig.
Vous pouvez maintenant voir que l'adresse IP ici est 10. 20. 14. 213.
C'est l'IP de ma machine Kali.
C'est l'adresse IP de la
machine que j'utilise comme machine attaquante.
C'est donc là que je veux que la connexion revienne
afin que je puisse pirater l'ordinateur cible
une fois la porte dérobée exécutée.
Je vais donc mettre lhost à 10. 20. 14. 213.
Vous pouvez donc définir n'importe laquelle de ces options à l'aide de la commande set.
Donc, tout ce que vous avez à faire est d'écrire l'ensemble,
suivi des options que vous souhaitez modifier.
Donc dans ce cas, nous voulons changer le lhost.
Et nous voulons changer cela à 10. 20. 14. 213.
Maintenant, le lport est défini sur 80, ce qui est vraiment bien,
car c'est le port utilisé par les serveurs Web.
Donc, comme
je l'ai dit, la connexion donnera l'impression que la
personne cible se connecte à un
site Web et cela ne sera pas suspect.
Mais je ne veux pas
utiliser ce port car j'aurai un serveur Web qui fonctionnera
dessus et nous en reparlerons plus tard.
Je vais donc changer cela en 8080.
8080 est un autre port utilisé par les serveurs Web,
il n'est donc toujours pas
suspect et devrait toujours contourner les pare-feu.
Donc, je vais juste définir, de la même
manière que nous l'avons fait auparavant avec lhost, nous
allons faire lport,
à la valeur à laquelle nous voulons définir cette option.
Et nous allons le mettre à 8080.
Maintenant, si je fais à nouveau des options pour
répertorier toutes les options, vous verrez que les
lhosts sont passés à 10. 20. 14. 213, et
le lport est passé à 8080.
Maintenant, si vous générez la porte dérobée comme
celle-ci, vous contournerez tous les programmes antivirus à l'exception d'AVG.
J'ai déjà essayé, c'est comme ça que je le sais.
Et ce n'est pas
suffisant car nous voulons tout contourner.
Maintenant, la façon dont les programmes antivirus
fonctionnent est qu'ils ont une très grande base de données de signatures.
Ces signatures correspondent à
des fichiers contenant du code nuisible.
Donc, ce qu'ils font, c'est comparer la signature de votre fichier,
de votre porte dérobée, à tous les fichiers de cette énorme base de données.
Si votre fichier correspond à l'un de ces
fichiers, ils le signaleront comme un virus ou un logiciel malveillant.
Si ce n'est
pas le cas, ils penseront qu'il s'agit d'un fichier normal
et qu'il ne s'agit pas d'un logiciel malveillant.
Donc, le point principal ici
est que nous allons essayer de modifier le fichier,
notre porte dérobée, autant que possible pour le
rendre plus unique afin qu'il contourne la base
de données de signatures et puisse contourner les programmes antivirus.
Maintenant, comme je l'ai dit, Veil le fait déjà pour nous.
Il crypte la porte dérobée, l'obscurcit, l'injecte dans
la mémoire pour qu'elle ne
soit pas détectée.
Et il fait du bon travail.
Il contourne à peu
près tout, à l'exception d'un seul programme antivirus.
Donc, juste pour contourner ce dernier programme antivirus, je vais
définir des options facultatives qui
ne feront vraiment pas beaucoup de différence.
Ils vont juste rendre la porte dérobée un peu différente.
Donc, la première chose que je vais modifier, ce sont les processeurs.
Et c'est le nombre minimum de processeurs
à utiliser par la porte dérobée.
Je ne vais pas définir un
nombre énorme parce que cela empêchera ma porte dérobée de fonctionner.
Je vais juste le
définir sur un, ce qui n'est vraiment rien, mais
je vais juste définir cette
option pour que le code soit un peu différent.
Alors je vais faire le set.
Encore une fois, de la même manière que nous définissons le
lport et le
lhost, nous allons simplement mettre le nom
de l'option, qui correspond aux processeurs.
Et nous allons mettre cela au numéro un.
Et je vais aussi définir
une autre option, qui est l'option sommeil.
Et cela permet essentiellement à la porte dérobée de dormir
pendant un certain nombre de secondes
que vous définissez avant d'exécuter le code malveillant que vous
avez là-dedans, avant d'exécuter la charge utile.
Donc je vais mettre ça à six.
Encore une fois, aucune vraie raison à cela.
Je fais seulement
cela pour que la porte dérobée soit un peu différente.
Donc je vais mettre le sommeil à six.
Je vais donc appuyer sur
Entrée et je vais refaire des
options, pour m'assurer que toutes les options
sont définies comme je le souhaite.
J'ai donc bien défini mon adresse IP.
J'ai mon port, j'ai mes processeurs et j'ai mon sommeil.
Je vais donc générer la porte dérobée.
Et maintenant, il me demande de nommer cette porte dérobée quelque chose.
Je vais donc nommer cette porte dérobée rev_https_8080.
Juste pour que nous puissions nous rappeler quelle
charge utile et quel port utiliser pour cette porte dérobée
à l'avenir.
Maintenant, la porte dérobée est générée
et vous pouvez voir qu'elle nous indique le module utilisé
et nous indique où la porte dérobée est stockée.
Donc la porte dérobée est stockée dans ce chemin ici, donc
je vais la copier.
Allons de l'avant et vérifions si la porte dérobée est
détectée par des programmes antivirus.
Vous pouvez maintenant utiliser la fonctionnalité intégrée de Veil à
l'aide de la commande checkvt, mais
cette fonctionnalité n'utilise que la signature du fichier et n'est pas
précise à cent pour cent.
Parfois, il
vous dit que le fichier contournera tous les
antivirus, mais qu'il sera effectivement détecté.
Vous pouvez également utiliser VirusTotal, mais
je ne le recommande pas et ne le faites
pas, car si
vous le faites, votre porte dérobée deviendra moins efficace.
Parce que VirusTotal partage les résultats de ses analyses
avec des programmes antivirus.
Ce que
nous allons faire, c'est utiliser un site Web appelé NoDistribute.
Alors on va y aller maintenant.
Donc je vais juste Google pour NoDistribute.
Et ce que cela va faire, c'est similaire à VirusTotal.
La seule
différence est que les résultats de l'analyse ne seront
pas partagés avec les programmes antivirus, donc cela n'affectera pas votre porte dérobée.
Je vais donc cliquer sur Parcourir pour accéder à mon fichier.
Et je vais juste copier où le fichier est stocké.
Donc, Veil me dit maintenant qu'il
est stocké à cet emplacement, dans usr/share/veil-output/compiled.
Alors je vais
copier ça et je vais venir ici.
Je vais cliquer sur le stylo et
je vais coller l'emplacement.
Je vais cliquer
sur Ouvrir et scanner le fichier.
Je vais inclure un lien vers ce
site Web dans les ressources de
cette conférence, ainsi qu'une alternative au cas où cela ne fonctionnerait pas pour vous.
Et comme
vous pouvez le voir, le fichier contourne tous les programmes antivirus.
Nous pouvons donc utiliser cette porte dérobée contre n'importe quel
appareil, et nous serons sûrs que l'appareil
ou l'ordinateur ne pourra pas détecter ce fichier comme un virus.
Maintenant, gardez à
l'esprit que vous n'obtiendrez pas toujours des résultats parfaits comme celui-ci.
Les programmes antivirus mettent toujours à jour leur base de données
et Veil met également toujours à jour la
façon dont ils génèrent les backdoors.
C'est donc un peu comme un cycle complet.
Veil essaie toujours de contourner les antivirus et
les antivirus essaient toujours de détecter
les dernières portes dérobées.
Donc, tout d'abord, vous voulez vous assurer
que vous utilisez la dernière
version de Veil et vous devrez expérimenter les différentes
charges utiles et différentes options jusqu'à ce que cela fonctionne.
C'est la méthode la
plus basique pour générer des backdoors indétectables.
Je couvre en fait des méthodes plus avancées dans
mon cours d'ingénierie sociale et dans mon
cours Python, où je vous
montre en fait comment écrire votre propre porte dérobée, qui
est la meilleure méthode.
Mais ces méthodes sont plus complexes,
et ce cours est conçu pour être un cours général
qui vous présentera la plupart des domaines du piratage
sans plonger profondément dans aucun.
Donc, si vous souhaitez apprendre des méthodes
plus avancées de contournement et de
programmes antivirus, consultez ces cours dans la conférence bonus,
la dernière conférence du cours.
Mais de toute façon, vous n'avez pas à vous en soucier pour l'instant.
Si vous ne parvenez pas à contourner un grand nombre d'antivirus,
vous pouvez simplement désactiver Windows Defender ou l'antivirus
sur la machine Windows cible pour le moment à
des fins de test,
juste pour avoir une idée sur la façon de générer
des backdoors et comment interagir avec eux .
Et puis, si vous
voulez en savoir plus, vous pouvez consulter ces
autres cours car ces autres cours s'appuieront sur
ce que vous allez apprendre ici.
Vous devrez donc apprendre ces compétences ici de toute façon.
Consultez également la vidéo YouTube
dans les ressources de cette conférence
pour avoir un avant-goût de l'apparence de ces méthodes
et de leur efficacité.