前言

笔者发现国内很少有系统介绍BeEF框架的文章,所以笔者决定写一个系列。内容涉及攻击浏览器的技术,主要介绍这些技术的原理,并如何操作BeEF来实现,不涉及浏览器本身漏洞(门槛太高,笔者有心无力)。

预备知识

在看这个系列之前,读者最好要有一定知识储备。首先是对HTTP协议(CORS、 CSP等)要有一定的理解,其次是理解Web安全的常见攻击技术的原理和防御方法(比如XSS、CSRF、SQL inject等), 最后如果读者懂javascript语言就更好(可选,笔者的js也不咋地)。笔者认为学习BeEF框架的难度大概和学习Metasploit、 Burp Suite 的难度差不多。

下面给出学习这些知识的参考:

HTTP 协议相关文档:  https://developer.mozilla.org/zh-CN/docs/Web/HTTP

浏览器攻击技术原理:  黑客攻防技术宝典浏览器实战篇 (书)

BeEF 框架相关文档:   https://github.com/beefproject/beef/wiki

同源策略

说到攻击浏览器,那么就一定要说同源策略(Same Origin Policy,  SOP)。 同源策略是用于限制不同来源的资源之间的交互。在浏览器上定义了对于不同的页面,如果他们的主机名、协议和端口都相同,即为同源。记得三个要素主机名、协议和端口。来个例子:

http://www.A.com/index.html  的js是不能读/写 http://www.B.com/index.html, https://www.A.com/index.html,  http://www.A.com:8080/index.html 的内容。

BeEF框架

BeEF( The Browser Exploitation Framework) 是由Wade Alcorn 在2006年开始创建的,至今还在维护。是由ruby语言开发的专门针对浏览器攻击的框架。这个框架也属于cs的结构,具体可以看下图:

渗透测试框架 | 浏览器攻击框架BeEF Part one-孤独常伴zombie(僵尸)即受害的浏览器。zombie是被hook(勾连)的,如果浏览器访问了有勾子(由js编写)的页面,就会被hook,勾连的浏览器会执行初始代码返回一些信息,接着zombie会每隔一段时间(默认为1秒)就会向BeEF服务器发送一个请求,询问是否有新的代码需要执行。BeEF服务器本质上就像一个Web应用,被分为前端UI, 和后端。前端会轮询后端是否有新的数据需要更新,同时前端也可以向后端发送指示, BeEF持有者可以通过浏览器来登录BeEF 的后台管理UI。

BeEF 安装和配置

BeEF 需要ruby 2.3 + 和 SQLite (或者mysql/postgres)。

在kali下使用BeEF

kali默认已经安装BeEF了。BeEF是Favorites 菜单中的一个(可以看出它的受欢迎程度和地位了),其标志是一个蓝色的公牛。命令是beef-xss:

渗透测试框架 | 浏览器攻击框架BeEF Part one-孤独常伴

打开五秒后,它还会使用浏览器打开管理页面的UI,默认帐号密码是:beef/beef,默认管理页面的UI 地址是:http://127.0.0.1:3000/ui/panel

kali已经把beef-xss做成服务了,推荐使用systemctl 命令来启动或关闭beef服务器

[/crayon]

在ubuntu17.10中安装BeEF

如果只是作为测试或者学习,使用kali中beef就已经足够了。如果是希望在真实环境中使用,那么就需要一台拥有独立ip的主机(能被访问),下面笔者介绍在一台vps,系统是ubuntu 17.10系统中安装的过程, 如果没有vps, 可以跳过这一部分。

首先在vps中,初始用户一般是root。root是没法安装某些ruby的一些扩展包(考虑到安全问题),所以需要一个降权的用户。

[/crayon]
接着就是安装beef了

[/crayon]
笔者在安装过程中遇到/var/lib/gems/2.3.0, /usr/local/bin 这两个目录没有写权限的错误,下面是解决方法:

[/crayon]
环境不同也许读者会遇到别的错误。遇到错误可以先看一下错误信息,看看能否自行解决,如果不行,那么就查找网上帮助。在互联网中,想要找一个问题的答案,使用错误信息来搜索往往是最快的。

把beef从sudo, root 组中移除:

[/crayon]
最后运行beef, 建议别使用root来运行beef服务器, 既然已经创建了一个id为beef的用户,那么以后都以这个用户来运行beef服务器会更好。

[/crayon]

配置BeEF

kali下的BeEF配置文件在  /usr/share/beef-xss/config.yaml,其它的配置文件也在这个目录的子目录下,往后在使用某些功能时,需要修改对应的配置文件。自主安装的BeEF配置文件会在BeEF的主目录下config.yaml,建议修改几个地方:

[/crayon]

小试牛刀

接下来实际使用BeEF,体验一下。先开启BeEF服务器,接着用浏览器访问管理页面http://127.0.0.1:3000/ui/panel, 使用设置的用户/密码登录。

接着访问有勾子的页面http://127.0.0.1:3000/demos/basic.html 这里的主机名和端口号要按照你设置的来修改, 这里要注意一下kali下beef版本的勾子不支持IE8,最新版或者旧一些的版本可以。所以要使用其他浏览器来访问有勾子的页面。

下面给出一个写有勾子的页面,把创建文件test.html,并把下面内容写到其中:

[/crayon]
接着使用一个浏览器来打开,那么这个浏览器就会被hook了。

查看管理页面UI会是类似下面图:

渗透测试框架 | 浏览器攻击框架BeEF Part one-孤独常伴

渗透测试框架 | 浏览器攻击框架BeEF Part one-孤独常伴选一个简单的模块来试试, 下图是选用了Host –> Detect Virtual Machine 模块来查看受害浏览器是否在虚拟机上运行的:

渗透测试框架 | 浏览器攻击框架BeEF Part one-孤独常伴BeEF的入门使用就是这么简单,所有的功能都已经写好了,我们只需要选择模块,设置参数(有时不需要),点击Execute 就可以了。 当然必须知道这些模块的作用才行。

读者可能发现在每个模块的前面都有一个有色(绿色,灰色,橙色,红色)的小圆标志。

渗透测试框架 | 浏览器攻击框架BeEF Part one-孤独常伴

在内部,BeEF可以检测出哪些命令模块可以在当前受害的浏览器工作, 并用颜色表示:

绿色:命令模块可以在目标浏览器上运行,且用户不会感到任何异常

橙色:命令模块可以在目标浏览器上运行,但是用户可能会感到异常(比如可能会有弹窗,提示,跳转等)

灰色:命令模块尚未针对此目标进行验证,即不知道能否可运行

红色:命令模块不适用于此目标

结语

到这里,第一部分对于BeEF的介绍就结束了。读者可以自己测试一下有绿色的命令模块,熟悉一下。希望读者在读完本篇之后会对BeEF有一个清晰的认识, 如果没有,也不用担心,这个系列还有好几篇,慢慢的读者就会明白BeEF了,并且会惊讶于它的能力。最后,欢迎在评论里纠错,或者有什么疑问也可以留言。

* 本文作者:NT00