伪造 bdm1 更新

17 Mar 2025 | 4 分钟阅读

现在，我们有了一个无法检测的后门，但我们仍然没有找到一种有效的方法将这个后门传递到目标计算机。在现实生活中，如果我们要求目标下载并运行一个可执行文件，它可能不会下载并运行它，所以我们现在正在研究如何伪造更新，以便用户会想要下载并在他们的机器上安装该可执行文件。

只有当我们在连接过程中时，此方案才有效。例如，通过手机重定向流量，实施中间人攻击或使用伪造的网络时。

在本节中，我们将研究使用 ARP 欺骗的 DNS 欺骗。这意味着我们与目标机器位于同一网络中。在我们的示例中，该网络是有线的。我们将使用一个名为 Evilgrade 的工具来充当服务器，以生成伪造的更新。使用以下链接，我们可以下载 Evilgrade
https://github.com/PacktPublishing/Fundamentals-of-Ethical-Hacking-from-Scratch

一旦我们下载并运行了 evilgrade 命令，我们将运行 show modules 命令以查看程序列表，并且我们可以劫持更新，如下面的屏幕截图所示

在上面的屏幕截图中，有 67 个程序可以劫持更新，包括一些流行的程序，如 Nokia、Safari、Google、Analytics 和 Download Accelerator Plus，这是我们将在本示例中使用的程序。

现在，我们将运行 configure dap 命令来使用 DAP 模块。然后，我们将使用 show options 来显示所有可用的可配置选项，如下面的屏幕截图所示

在上面的屏幕截图中，我们将重点关注 agent，因此我们需要将 ./agent/agent.exe 路径替换为将作为更新安装的程序路径。在我们的例子中，我们想安装一个后门作为更新。

在 生成 Veil 后门 部分，我们使用了一个 reverse_http 有效负载，它不适用于 DAP。但在本节中，我们将使用一个名为 backdoor.exe 的不同后门，它使用 reverse_http 有效负载。

注意：要创建这样的后门，请参考“生成 Veil 后门”部分中的步骤。

现在，我们将更改 agent，使其执行我们的后门而不是更新，如下面的命令所示

我们将命令中的路径替换为放置 reverse_http 后门的路径。然后我们将运行 show options 命令以检查它是否已正确配置，如下面的屏幕截图所示

我们还可以在这里设置我们想要的任何其他选项。我们只需输入 set option 名称，后跟 option 的值。

将来，也许这个网站将无法工作，因此如果它在目标计算机上显示错误，我们将把这个网站更改为我们想要的任何网站。我们将把它更改为 update.speedbit.com。

当一切准备就绪时，我们将运行 start 命令来启动服务器，如下面的屏幕截图所示

现在，任何时候 Evilgrade 收到更新请求，它都会告诉请求更新的人有我们的后门更新。为此，我们需要将来自 update.speedbit.com 网站的任何请求重定向到 Evilgrade。

我们将使用 DNS 欺骗 攻击来完成此切换。使用此方法，我们可以将来自 update.speedbit.com 的任何请求欺骗到 Evilgrade（以及我们自己的 IP 地址）。

现在，我们使用 Leafpad 和 leafpad /etc/mitmf/mitmf.conf 命令打开 mitmf.conf 文件。然后为了避免与 Evilgrade 冲突，我们将 DNS 服务器的端口更改为 5353，如下面的屏幕截图所示

如果我们查看我们的 A 记录，我们将看到我们现在正在将对 update.speedbit.com 的任何请求重定向到 10.0.2.15，这是我们自己的 IP 地址，Evilgrade 正在其上运行。

现在，我们将使用以下命令运行 MITMF

按 Enter 键。DNS 欺骗完成。现在 Evilgrade 正在运行，我们的后门可以从 update.speedbit.com 下载并执行

要侦听连接，请更改 msfconsole 终端上的选项。为此，我们将使用 exploit/multi/handler 模块，将有效负载设置为 windows/meterpreter/reverse_http，将 LHOST 设置为 10.0.2.15，这是我们的 Kali 机器 IP，将 LPORT 设置为 8080，如下面的屏幕截图所示