通过Chrome扩展程序开展中间人攻击

这是一个熟悉 Chrome 扩展程序的实验案例，该扩展程序在较高级别上按以下方式工作：

1. CursedChrome 扩展程序已添加到受感染计算机上的 Chrome 中;

2. 受感染计算机的 Chrome 会重新连接到攻击者控制的 CursedChrome C2 服务器。Comromised 计算机的 Chrome 现在充当受感染网络的代理;

3. 攻击者现在可以通过受感染计算机的 Chrome 代理 Web 请求，并访问受感染用户/计算机可以访问的任何内部 Web 应用程序。

这种技术的美妙之处在于，攻击者的 Web 请求利用了存储在受感染的 Chrome 浏览器中的 cookie，这意味着如果受感染的用户登录到攻击者感兴趣的某个 Web 应用程序，则攻击者不再需要对该应用程序进行身份验证即可访问它，因为他们的 HTTP 请求将重用来自受感染的 Chrome 的现有 cookie，并且将被允许进入被要求提供凭据。

扩展作者将整个过程可视化如下

以下是本实验中涉及的系统列表：

• 18.130.61.92 - 被诅咒的Chrome C2服务器;

• 10.0.0.7 - 攻击者计算机WS01;

• x.x.x.x - 计算机网络之外的其他网络中的计算机遭到入侵。WS01

流程

CursedChrome C2服务器

在 CursedChrome C2 服务器上，拉取 CusedChrome git 存储库，输入它并使用以下命令启动 CursedChrome 服务器：docker-compose

git clone https://github.com/mandatoryprogrammer/CursedChrome.git /opt/
cd /opt/CursedChrome
docker-compose up -d redis db
docker-compose up cursedchrome

运行上述操作后，您应该会看到以下屏幕：docker-compose

保存用户名和密码以备后用，因为在连接到 CursedChrome C2 Web 控制台时需要这些：

USERNAME: admin
PASSWORD: 9iax0t2gpbd9skqf0p2z8ry53k9s144x

此外，请注意，CursedChrome的Web控制台正在侦听并打开HTTP代理 - 我们稍后在设置本地SSH隧道时将需要这些，以便我们可以从攻击计算机访问这些服务。127.0.0.1:8118127.0.0.1:8080 WS01

植入CursedChrome扩展的受感染主机

在受感染的计算机上，我们需要安装 CursedChrome扩展

这取决于你将如何做，但出于演示目的，我只是启用并单击并将其指向 CursedChrome 存储库中的文件夹。该扩展现已安装：Developer modeLoad unpacked.extension

攻击者

在攻击者机器上，让我们设置几个本地 SSH 隧道。

适用于 CursedChrome Web 控制台的 SSH 隧道

为了通过 访问 CursedChrome 的 C2 Web 控制台，我们需要以下 SSH 隧道到 CursedChrome 的 C2 服务器：http://localhost:1111

ssh [email protected] -L1111:localhost:8118 -f -N

用于 CursedChrome HTTP 代理的 SSH 隧道

为了通过 CursedChrome 的 C2 Web 代理代理代理我们的 HTTP 流量，使用 FoxyProxy，我们需要以下隧道：

ssh [email protected] -L2222:localhost:8080 -f -N

设置隧道后，我们可以尝试通过导航到访问 Web 控制台，如果一切正常，您应该会看到一个登录面板：http://localhost:1111

输入您在设置 CursedChrome 服务器后获得的管理员凭据，您现在应该登录到面板，您将在其中看到机器人/受感染计算机的 CursedChrome 扩展程序回调回 CursedChrome C2：docker-compose

记下机器人的用户名和密码，因为在配置 FoxyProxy 时会用到它。

将 CursedChrome CA 证书安装到 FireFox

重要 不要忘记导出代理 CA 证书（请参阅连接的机器人面板下方的大下载按钮）并将其安装到 FireFox，因为这是该技术工作所必需的。

配置 FireFox 扩展 FoxyProxy

现在我们准备设置 FoxyProxy（FireFox 扩展）。

代理 IP 和端口应该是（请记住，我们之前为此设置了本地 SSH 隧道），用户名/密码应该是 CursedChrome 的 C2 Web 控制台的“连接的机器人”面板中看到的：127.0.0.1:2222

将 FireFox 配置为使用您刚刚设置的 FoxyProxy，然后您就可以访问受感染计算机网络上的某些内部 Web 应用程序，否则您将无法访问这些应用程序。

关键时刻

完成所有设置后，下图显示了我如何能够代表受感染用户访问 Bitbucket，而无需知道他们在攻击 VM 外部的网络上的凭据：MantvydasWS01

原文始发于微信公众号（SQ安全渗透）：通过Chrome扩展程序开展中间人攻击