Приветствую! В этой статье речь пойдет, о таком виде атаки на целевой хост, как Pastejacking.
Если кратко, то этот метод заключается в том, что жертва атаки копирует (Ctrl+C) с нашего ресурса, инструкции/команды для командной строки, которые с виду легитимны, но на самом деле в буфер обмена, с ними попадает вредоносный код. Целью является получение сессии meterpreter, этим и займемся.
В качестве основного инструмента мы будем использовать PasteZort.
В качестве атакующей системы: Kali Linux 2017.3.
Целевая система: Windows 8.1. Last Update.
Рабочая среда: Локальная сеть, интернет.
Для начала, необходимо получить PasteZort, скачиваем его со страницы разработчиков на Github.
Затем, необходимо, файлу encode.rb в директории PasteZort разрешить выполнение:
Теперь, все готово к запуску, но нужно немного поработать, для получения результата. Дело в том, что PasteZort генерирует html файл с вредоносным содержимым, и когда цель перейдет на наш ресурс, если все оставить по умолчанию, она может что-то заподозрить:
Для этого, предлагаю, создать копию доверенного ресурса и на его странице разместить информацию с вредоносным кодом. И затем запустить у себя на сервере, поделившись с целью ссылкой.
Самый простой способ загрузить себе сайт, это использовать утилиту wget. Со следующими параметрами:
После выполнения данной команды в директорию site.com будет загружена локальная копия сайта . Чтобы открыть главную страницу сайта нужно открыть файл index.html.
Запускаем PasteZort и формируем полезную нагрузку:
И запускаем handler Metasploit:
Переместим файл из папки /var/www/index.html в любую другую папку, он понадобится нам позже. Затем копируем скачанный сайт, полностью, включая все папки в директорию /var/www.
Убедимся, что все работает, зайдем с целевого хоста на наш клонированный сайт.
Теперь, все в той же папке /var/www редактируем файл index.html, а именно, нам нужно перенести в него полезную нагрузку из index.html, который мы отложили ранее. Ну и сделать это максимально правдоподобным, включаем своего внутреннего СИ.
Редактируем его примерно следующим образом:
Сохраняем наш труд и заходим на сайт повторно, в случае, успеха картина будет такой:
Копируем команду, предложенную сайтом, открываем CMD на целевом хосте и вставляем ее внутрь:
Нажимать ничего не нужно, команда выполнится скрытно, CMD закроется, а на атакующем хосте, откроется активная сессия meterpreter.
С локальной сетью понятно. Через внешнюю сеть метод тоже работает, необходимо просто пробросить порты:
Для того, кого смущает IP-адрес вместо удобочитаемого доменного имени инструкция в подарок:
На этом все, спасибо за внимание.
P.S. И проверяйте, что вы на самом деле копируете.
Если кратко, то этот метод заключается в том, что жертва атаки копирует (Ctrl+C) с нашего ресурса, инструкции/команды для командной строки, которые с виду легитимны, но на самом деле в буфер обмена, с ними попадает вредоносный код. Целью является получение сессии meterpreter, этим и займемся.
В качестве основного инструмента мы будем использовать PasteZort.
В качестве атакующей системы: Kali Linux 2017.3.
Целевая система: Windows 8.1. Last Update.
Рабочая среда: Локальная сеть, интернет.
Для начала, необходимо получить PasteZort, скачиваем его со страницы разработчиков на Github.
Код:
git clone https://github.com/Zettahack/PasteZort
Код:
cd /PasteZort
ls –a
chmod +x PasteZort.pyЗатем, необходимо, файлу encode.rb в директории PasteZort разрешить выполнение:
Теперь, все готово к запуску, но нужно немного поработать, для получения результата. Дело в том, что PasteZort генерирует html файл с вредоносным содержимым, и когда цель перейдет на наш ресурс, если все оставить по умолчанию, она может что-то заподозрить:
Для этого, предлагаю, создать копию доверенного ресурса и на его странице разместить информацию с вредоносным кодом. И затем запустить у себя на сервере, поделившись с целью ссылкой.
Самый простой способ загрузить себе сайт, это использовать утилиту wget. Со следующими параметрами:
Код:
wget -r -k -l 1 -p -E -nc http://site.com/Запускаем PasteZort и формируем полезную нагрузку:
Код:
./PasteZortИ запускаем handler Metasploit:
Переместим файл из папки /var/www/index.html в любую другую папку, он понадобится нам позже. Затем копируем скачанный сайт, полностью, включая все папки в директорию /var/www.
Убедимся, что все работает, зайдем с целевого хоста на наш клонированный сайт.
Теперь, все в той же папке /var/www редактируем файл index.html, а именно, нам нужно перенести в него полезную нагрузку из index.html, который мы отложили ранее. Ну и сделать это максимально правдоподобным, включаем своего внутреннего СИ.
Редактируем его примерно следующим образом:
Сохраняем наш труд и заходим на сайт повторно, в случае, успеха картина будет такой:
Копируем команду, предложенную сайтом, открываем CMD на целевом хосте и вставляем ее внутрь:
Нажимать ничего не нужно, команда выполнится скрытно, CMD закроется, а на атакующем хосте, откроется активная сессия meterpreter.
С локальной сетью понятно. Через внешнюю сеть метод тоже работает, необходимо просто пробросить порты:
Для того, кого смущает IP-адрес вместо удобочитаемого доменного имени инструкция в подарок:
Код:
https://www.digitalocean.com/community/tutorials/apache-ubuntu-14-04-lts-ruНа этом все, спасибо за внимание.
P.S. И проверяйте, что вы на самом деле копируете.
