使用 apache mod_rewrite 方法隨機提供 payloads

新聞 06-17

本文中講述的方法更適用於真實滲透測試環境中，因為電子郵件釣魚往往是威脅到整個公司，而不是只威脅到紅隊的測試環境。因為電子郵件釣魚具有高針對性，並且手動設置攻擊載荷對攻擊來說也是很麻煩的。所以請閱讀這篇文章，我會通過設置一個apache重定向器或者直接設置一個伺服器，通過RewrieMap從預定義的攻擊payload列表中隨機選取payload進行提供。

apache中RewriteMap方法允許外部的程序比如腳本，資料庫，文本文件等映射到伺服器內部。在官方文檔中使用最多的例子：如果一家網店的url結構想從item-1234到iphone-7-white，那麼網站管理員無需更改任何硬編碼的代碼，只需當訪問item-1234時，apache來提供iphone-7-white這一url。RewriteMap提供了大量修改這些資源的方法。我們會使用RewriteMap從一個文本文檔中提取的payload轉換為URI，並且當被訪問時，進行302跳轉，使目標能夠訪問到我們隨機的payload文件。

下圖就是攻擊的主要內容：

環境配置

apache環境需要更改一些設置以便伺服器環境支持mod_rewrite以及RewriteMap方法。這些設置的詳細信息都在我之前的一篇文章中寫過。長話短說，打開位於/etc/apache2/的apache2.conf文件，通過增加以下代碼重寫htaccess文件：

Options Indexes FollowSymLinks

AllowOverride None

Require all granted

如果你的重定向器的網站根目錄不是默認的/var/www,你需要去更改一下AllowOverride的響應目錄。

在配置伺服器的文檔中，我們需要在底部添加：

RewriteMap payloads "rnd:/var/www/payloads.txt"

這一行代碼就告訴mod_rewrite方法，當我們使用RewriteMap調用payload變數時，就會從/var/www/payloads.txt提取。apache用戶必須具有讀取這一文件的許可權。並且應該儲存在web根目錄之外，比如在這個例子中，就是在/var/www/html目錄之外。

創建/var/www/payloads.txt文件，並且在文件中寫入如下內容：

windows payload.lnk|payload.hta|payload.exe

上述代碼中windows就是觸發的key，以及payload.link,payload.hta,payload.exe則是變數。當RewriteMap函數被調用時，此時就會提供windows這個Key,然後通過管道符號分割的變數就會隨機選取一個。我們可以增加多次payload名字，以便它可以更大概率的輸出。這個文件可以立即更新，所以修改這個文件之後無需重啟apache服務。如果你確定有的payload不起作用了，你完全可以在payload.txt中刪除。

通過以下命令開啟依賴的mod_rewrite模塊，重啟apache服務。

a2enmod rewrite proxy proxy_http && service apache2 restart

啟動的最後一步就是創建htaccess文件，比如在/var/www/html/.htaccess文件寫入如下內容：

RewriteEngine OnRewriteCond % ^/payload/?$

RewriteRule ^.*$ /$ [L,R=302]

RewriteCond % ^/payload.(exe|lnk|hta)

RewriteRule ^.*$ http://192.168.188.134% [P]

以下是規則的詳細劃分：Enable the rewrite engine

If the request』s URI starts with 『payload』 with an optional trailing slash at the end of the URI,

rewrite the entire request to a random value pulled from the RewriteMap file linked to "payloads" with the key "windows" This is a temporary redirect and the last rule that should be evaluated/applied to the request.

If the request』s URI starts with 『payload』 and ends with the file extension exe, lnk, or hta,

rewrite the entire request to serve the request URI from IP 192.168.188.134 (the payload server IP), and keep the user s address bar the same (obscure the teamserver s IP).

現在，服務端已經完全配置好了。

當用戶連續兩次訪問http://spoofdomain.com/payload時，第一次會提供可執行文件，第二次會提供html 應用程序(HTA)。

GIF/313K