Người tường thuật: Trong
bài giảng này, tôi muốn chỉ cho bạn một phương pháp phân phối backdoor khác.
Trong phương pháp này, chúng tôi sẽ đợi mục tiêu
của chúng tôi tải xuống tệp thực thi
và chúng tôi sẽ backdoor tệp thực thi này khi
nó đang được tải xuống.
Vì vậy, khi họ chạy tệp thực thi của
mình, họ sẽ nhận được tệp mà họ mong đợi, nhưng
đồng thời, một cửa hậu sẽ chạy ở chế độ nền, cho phép chúng tôi truy
cập đầy đủ vào máy tính của họ.
Hạn chế duy nhất cho điều này,
là bạn cần phải là người đàn ông ở giữa.
Không quan trọng bạn xoay sở như thế nào để đạt được vị trí này,
nhưng bạn cần có khả năng chặn các kết nối, vì vậy bạn
có thể backdoor tải xuống một cách nhanh chóng.
Bây giờ để làm điều này, chúng tôi sẽ sử
dụng một công cụ có tên là Backdoor Factory Proxy.
Tôi đã cài đặt công cụ này cho bạn trong hình
ảnh tùy chỉnh mà tôi đã tạo cho khóa học này, vì vậy
tất cả những gì chúng ta phải làm là truy cập máy Kali của chúng tôi ngay
tại đây và điều hướng đến vị trí mà tôi đã cài đặt nó.
Để điều hướng đến một vị trí cụ
thể, bạn có thể chỉ cần nhấp vào
đây và nhấn dấu gạch chéo từ bàn phím
để mở thanh đường dẫn hoặc bạn có thể nhấn lại Control và L từ
bàn phím để mở thanh đường dẫn.
Khi cái này được mở,
chúng ta cần đi đến đường dẫn nơi công cụ này được
cài đặt và nó được cài đặt trong / opt / BDFProxy.
Tại đây, bạn có tệp thực thi thực sự của chương
trình và bạn có tệp cấu hình.
Vì vậy, tôi sẽ nhấp đúp vào tệp cấu hình
để thay đổi cấu hình và điều chính mà bạn
muốn thay đổi ở đây là proxyMode, chúng tôi có
nó ngay tại đây.
Nó sẽ được đặt thành bình thường theo mặc định
và bạn muốn thay đổi nó thành trong suốt.
Điều tiếp theo mà chúng tôi muốn sửa đổi là IP của máy
tính hiện tại của tôi, vì như tôi đã nói,
công cụ này sẽ backdoor mọi tệp mà mục tiêu tải xuống.
Vì vậy, chúng ta cần cho công cụ này biết
IP của tôi, để khi backdoor được thực
thi trên máy tính mục tiêu, nó sẽ biết nơi kết nối.
Vì vậy, bạn có thể lấy IP của mình bằng cách chạy ifconfig,
như tôi đã chỉ cho bạn trước đây.
Tôi đã làm điều này và tôi biết IP của tôi là 10. 0. 2. 15.
Vì vậy, tôi sẽ tìm kiếm nơi nó cho biết Windows ở đây.
Đây là cấu hình cho các mục tiêu Linux.
Nếu bạn đang nhắm mục tiêu Linux,
thì bạn cũng muốn sửa đổi IP ở đây, nhưng tôi sẽ chỉ nhắm mục
tiêu đến Windows, vì vậy tôi sẽ xem xét nơi nó
nói Windows, như bạn có thể thấy ở đây, và tôi
sẽ thay đổi máy chủ lưu trữ thành IP
của tôi, là 10. 0. 2. 15 và tôi cũng sẽ cuộn
xuống để thay đổi nó cho Windows 64 và một lần nữa, tại đây, bạn muốn
đặt nó thành 10. 0. 2. 15 và chúng tôi
tốt để đi.
Vì vậy, tôi sẽ Control + S để lưu và Control + Q để thoát và chúng
tôi đã sẵn sàng sử dụng công cụ.
Vì vậy, hãy nhớ rằng công cụ được cài đặt trong / opt / BDFProxy
và chương trình chạy công cụ là tệp này ngay tại đây,
bdfproxy. py
Do đó, chúng tôi sẽ đi đến thiết bị đầu cuối
của mình, chúng tôi sẽ điều hướng đến nơi công cụ
được cài đặt, vì vậy chúng tôi sẽ thực hiện cd / opt / BDFProxy /.
Tôi sẽ nhấn Enter, và nếu tôi thực hiện nhanh,
bạn sẽ thấy chúng tôi có tệp chương trình ở đây.
Và bởi vì bạn thấy nó có màu xanh lục, điều đó
có nghĩa là nó là một tệp thực thi, vì vậy chúng tôi
có thể chạy nó bằng cách thực hiện dấu gạch chéo lên phía trước, theo
sau là tên tệp, đó là bdf_proxy. py
Tôi sẽ nhấn enter và điều này sẽ chạy không có
lỗi, vì vậy nó hoàn hảo.
Vì vậy, chương trình này hiện đang tự
chạy và ngay sau khi nó nhận được yêu cầu cho EXE,
nó sẽ quay lại cửa hậu thực thi đó.
Nhưng hiện tại, nó sẽ không
nhận được bất kỳ yêu cầu nào.
Do đó, chúng ta cần chuyển hướng các yêu cầu đến nó.
Để làm được điều đó, trước tiên chúng ta cần trở thành người đứng
giữa và như tôi đã nói, bạn có thể làm điều này bằng cách sử dụng ARP giả mạo,
bạn có thể làm điều đó bằng cách sử dụng một điểm truy cập giả và nhắm
mục tiêu các khách hàng kết nối với bạn hoặc bạn có thể
sử dụng công cụ này bất cứ khi nào
bạn xoay sở để trở thành người đứng giữa, bất kể bạn xoay sở như
thế nào để thực hiện việc này.
Tôi sẽ làm điều đó với ARP giả mạo, bởi vì nó là dễ dàng nhất.
Vì vậy, chúng tôi sẽ sử dụng bestcap,
giống hệt như cách chúng tôi đã sử dụng trước đây.
Vì vậy, chúng tôi cung cấp cho nó giao diện, đó là eth0,
và sau đó tôi cung cấp cho nó caplet giả mạo ARP của tôi để
nó đưa tôi vào giữa các kết nối, cho phép tôi
chặn dữ liệu và sửa đổi nó một cách nhanh chóng.
Vì vậy, tôi sẽ nhấn Enter.
Điều này sẽ chạy mà không có vấn đề gì, vì vậy nó hoàn hảo.
Vì vậy, bây giờ tôi đang chặn dữ liệu
bất cứ lúc nào máy Windows
này ngay tại đây, đó là mục tiêu, cố gắng
tải xuống thứ gì đó, tóm lại là nó sẽ bị chặn ở đây, nhưng
BDFProxy vẫn không thể thấy rằng có tải xuống
vì chúng hai chương
trình riêng biệt.
Vì vậy, những gì chúng tôi muốn làm là chúng tôi cần liên kết tất
cả dữ liệu mà chương trình này nhìn thấy với chương trình này ngay tại đây.
Và để làm điều đó, chúng tôi sẽ sử dụng một tường
lửa được cài đặt sẵn trong hầu hết các hệ thống
Linux có tên là iptables và sử dụng iptables, chúng tôi
có thể chỉ định các quy tắc mà các gói tin phải tuân theo.
Vì vậy, tôi sẽ xóa màn hình của mình
ở đây và tôi sẽ sử dụng iptables để sửa đổi một bảng có tên
là nat và thêm một quy tắc định tuyến trước sẽ áp dụng cho
các gói TCP, điều đó sẽ đến đích, cổng 80 và chúng tôi muốn
chuyển hướng này đến cổng 8080, nơi chúng tôi có BDFProxy
đang chạy và chờ để backdoor các bản
tải xuống.
Vì vậy, lệnh rất đơn giản, chúng tôi đang sử dụng
một chương trình có tên là iptables để sửa đổi một bảng có tên là nat.
Chúng tôi sẽ thêm một quy tắc định
tuyến trước sẽ áp dụng cho các gói TCP
sẽ đến cổng đích 80 và chúng tôi sẽ chuyển hướng
chúng đến cổng 8080, nơi chúng tôi có chương trình
này, BDFProxy đang chạy, đang đợi các tệp backdoor
cho tôi. .
Vì vậy, tôi sẽ nhấn Enter.
Và tôi viết sai chính tả ở đây, có một "r. "Và điều này chạy không
có lỗi, vì vậy điều đó hoàn hảo.
Vì vậy, bây giờ chúng tôi đang sử dụng mã tốt hơn để chặn dữ liệu.
Tất cả dữ liệu này sẽ được chuyển hướng bằng cách sử
dụng quy tắc này đến BDFProxy, quy tắc này sẽ chờ
xem có EXE được tải xuống hay không, nó
sẽ backdoor nó và sau đó phục vụ nó trở lại mục tiêu.
Khi mục tiêu thực thi EXE, sẽ thực thi một cửa
sau sẽ gửi kết nối lại cho tôi.
Vì vậy, tất cả những gì tôi phải làm ngay
bây giờ ở đây là lắng nghe các kết nối đến.
Và bạn có thể làm điều này bằng cách sử dụng multi / handler,
như tôi đã chỉ cho bạn trước đây.
Hoặc nếu lười, bạn thực sự có thể sử dụng tệp tài nguyên
mà nhà máy backdoor tạo cho chúng tôi.
Vì vậy, tệp này ngay tại đây sẽ tự động khởi động
trình xử lý đa / và lắng nghe các kết nối đến cho tất
cả các trọng tải mà chúng ta gieo
trong tệp cấu hình của BDFProxy.
Để chạy điều này, tất cả những gì chúng ta phải làm trước
hết là chạy MSFconsole như bình thường.
Và chúng ta sẽ
nói, "Tôi muốn cung cấp cho bạn một tệp tài nguyên" và sau
đó cung cấp cho nó đường dẫn đầy đủ cho tệp tài nguyên này.
Bây giờ, hãy nhớ rằng tệp này được tạo bởi BDFProxy
được lưu trữ trong / opt / BDFProxy.
Do đó, vị trí của tệp này sẽ nằm
trong / opt / BDFProxy, theo sau là tên tệp.
Vì vậy, nếu tôi nhấn Enter
ngay bây giờ, MSFconsole sẽ chạy và nó sẽ tải tất cả mã được
lưu trữ trong tệp tài nguyên, tệp
này sẽ tự động khởi động trình xử lý đa /
và định cấu hình nó với các IP mà
chúng tôi đã chỉ định khi định cấu hình BDFProxy.
Vì vậy, bây giờ mọi thứ đang chạy và chúng tôi đã sẵn sàng để bắt đầu.
Vì vậy, chúng ta hãy đi đến máy tính mục tiêu
và hãy giữ nó đơn giản khi kiểm tra,
vì vậy tôi sẽ cố gắng tải xuống một
cái gì đó từ một trang web HTTP.
Vì vậy, chúng tôi sẽ đi đến speedbit. com và chúng tôi sẽ
nhấp vào TẢI XUỐNG.
Điều này thực sự sẽ tải xuống, mà tôi
đã chỉ cho bạn cách lấy cắp các bản cập nhật của nó.
Bạn sẽ nhận được bản tải xuống
bình thường, chúng tôi sẽ lưu nó vào phần tải xuống
của chúng tôi, phần này sẽ tự động chuyển đến phần
tải xuống, vì vậy tôi đã mở nó ở đây.
Như bạn có thể thấy, nó có một biểu tượng thực
sự thích hợp cho chương trình, đây là
biểu tượng bình thường mà bạn sẽ nhận được nếu tải
xuống SpeedBit và nếu bạn nhấp đúp vào nó và chạy nó, nó
chỉ là một tệp thực thi.
Bạn thực sự sẽ nhận được trình cài đặt
bình thường, vì vậy nếu đây là một người
thực sự, họ sẽ không thực sự nghi
ngờ vì họ đang cài đặt chương trình mà họ muốn.
Nhưng những gì họ không biết là chương trình này đã được sửa
lại ngay lập tức khi nó đang được tải xuống.
Vì vậy, nếu chúng ta quay lại máy Kali của mình,
bạn sẽ thấy Metasploit đang nói rằng
có một phiên mới được mở.
Vì vậy, tất cả những gì tôi phải làm bây giờ là nhấn Enter trên bàn phím của mình.
Sau đó, tôi sẽ thực hiện các phiên
-l để liệt kê tất cả các phiên có sẵn.
Và như bạn có thể thấy, chúng ta có một phiên
mới ở đây và để tham gia vào phiên này, để tương
tác với nó, tôi sẽ thực hiện phiên -i, tiếp theo là ID của phiên, là
số một, và tôi ' m bên trong
phiên đồng hồ đo của tôi ngay bây giờ bên trong
máy tính mục tiêu.
Vì vậy, để xác minh điều này, tôi sẽ làm sysinfo.
Và như bạn có thể thấy, tôi đang ở trong MS Edge ngay bây giờ và
tôi có thể điều khiển chiếc máy này và
làm bất cứ điều gì mà người dùng bình thường có thể làm trên máy tính của họ.
Và như tôi đã nói, tôi sẽ hướng dẫn bạn cách
điều khiển máy tính này từ xa trong phần sau khai thác.
Nhưng hiện tại, chúng tôi có toàn quyền truy cập vào máy tính
đó và chúng tôi đã quản lý để thực hiện việc này bằng cách sao
lưu một tệp mà người dùng bình thường yêu cầu tải xuống
khi tệp đó đang được tải xuống.