利用Bettercap对某国产浏览器中间人漏洞执行攻击(2)

攻击效果

如上图所示，我们能够在不在靶机上安装证书的情况下，通过urlcheck的返回结果获取到本来该被SSL保护的URL，读出了bing搜索中的搜索内容（123）。

同时通过手动改包，我们能够修改网站的标识（把Bing改成了Google），显示了这个漏洞也可能被用于辅助社会工程学攻击。

这些结果很棒，但是作为黑客我们是不会满足于手动抓包改包这样只有概念验证性功能的实验的，我们需要将这个漏洞自动化利用。

幸运的是，bettercap对于拓展其功能有着良好的支持。

漏洞利用之bettercap caplets编写 bettercap的攻击脚本编写规则

bettercap允许我们用caplets编写自动化脚本进行攻击。caplets指的是后缀为.cap的脚本，能够直接执行bettercap的交互终端命令而不需要一条一条地手动输入，类似于metasploit的rc脚本。同时如果用它来修改http.proxy这个http流量拦截模块，我们可以轻易指定加载该cap目录下的js脚本而不需要考虑绝对路径。

bettercap提供了如下几个命令来帮助用户管理已有的caplets。

caplets.show#显示已有的caplets. caplets.paths# 显示caplets的搜索路径 caplets.update# 安装或更新caplets.

可以知道bettercap默认的caplets搜索路径有三个。

/usr/local/share/bettercap/caplets /usr/local/share/bettercap/caplets/caplets /usr/share/bettercap/caplets

在默认情况下，自带的caplets被放置在/usr/share/bettercap/caplets/，用户可以创建目录来和其余的模块隔开，bettercap会自动递归这些目录来查找可用的caplets。

在了解了caplets的基本编写规则之后，我们看看如何拓展原有的http嗅探模块来嗅探url。

自定义bettercap的http.proxy模块

bettercap的http.proxy模块提供一个http的透明代理，能够监听并修改流量，并且可以允许用户编写js代码来自定义其行为。它可以和bettercap的arp.spoof模块配合实现中间人攻击。

该模块有着如下参数可以设置

参数默认设置描述
http.port 80 需要转发的端口的流量
http.proxy.address <本机地址> 本地代理绑定的地址
http.proxy.port 8080 本地代理的端口
http.proxy.sslstrip false 是否打开sslstrip
http.proxy.script 用于操控模块的js 脚本路径
http.proxy.injectjs 注射进受害机的
http.proxy.blacklist 不进行代理的黑名单（用逗号隔开，支持wildchard)
http.proxy.whitelist 当黑名单启用的时候需要通过代理的白名单（用逗号隔开)我们将会用到该模块的两个命令