搜索

[13396] 2018-11-09_初探伪装在Office宏里的反弹Shell

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-11-09_初探伪装在Office宏里的反弹Shell 初 探 伪 装 在 O f f i c e 宏 里 的 反 弹 S h e l l s i 1 e n c e   F r e e B u f   2 0 1 8 - 1 1 - 0 9 0 x 0   背 景 背 景 通 常 的 钓 鱼 邮 件 场 景 中 通 常 的 钓 鱼 邮 件 场 景 中 o f f i c e 的 安 全 问 题 一 直 都 受 到 关 注 ， 恶 意 宏 文 档 制 作 简 单 ， 兼 容 性 强 ， 并 且 攻 击 成 本 较 的 安 全 问 题 一 直 都 受 到 关 注 ， 恶 意 宏 文 档 制 作 简 单 ， 兼 容 性 强 ， 并 且 攻 击 成 本 较 小 ， 所 以 整 体 占 比 较 大 。 但 是 使 用 恶 意 宏 进 行 攻 击 ， 往 往 需 要 用 户 进 行 交 互 ， 攻 击 的 隐 蔽 性 不 强 ， 结 合 小 ， 所 以 整 体 占 比 较 大 。 但 是 使 用 恶 意 宏 进 行 攻 击 ， 往 往 需 要 用 户 进 行 交 互 ， 攻 击 的 隐 蔽 性 不 强 ， 结 合 P o w e r s h e l l 的 攻 击 方 式 二 者 结 合 还 是 可 以 搞 一 点 大 事 情 的 。 的 攻 击 方 式 二 者 结 合 还 是 可 以 搞 一 点 大 事 情 的 。 前 段 时 间 在 接 触 到 一 些 基 于 鱼 叉 邮 件 攻 击 的 案 例 时 针 对 里 面 的 银 行 木 马 与 攻 击 方 式 进 行 了 简 单 的 分 析 ， 对 p o w e r s h e l l 与 o f f i c e 的 宏 巧 妙 结 合 的 方 式 产 生 了 一 些 兴 趣 。 0 x 1   主 要 思 路 主 要 思 路 宏 病 毒 是 一 种 寄 存 在 文 档 或 模 板 的 宏 中 的 计 算 机 病 毒 。 一 旦 打 开 这 样 的 文 档 ， 其 中 的 宏 就 会 被 执 行 ， 于 是 宏 病 毒 就 会 被 激 活 ， 转 移 到 计 算 机 上 ， 并 驻 留 在 N o r m a l 模 板 上 。 我 们 通 过 工 具 生 成 一 个 有 p o w e r s h e l l d o w n l o a d e r 功 能 的 一 个 e x c e l ， v i c t i m 服 务 器 打 开 此 e x c e l 之 后 会 从 C C 服 务 器 下 载 并 执 行 一 个 基 于 p o w e r s h e l l 的 p a y l o a d 到 本 地 的 计 算 机 后 就 可 以 通 过 C C 服 务 器 当 中 的 M e t a s p l o i t 操 控 V i c t i m 服 务 器 。 0 x 2   攻 击 方 法 攻 击 方 法 首 先 在 k a l i 下 面 生 成 一 个 p o w e r s h e l l 的 后 门 ， 设 置 好 相 关 的 参 数 。 本 地 开 启 h t t p 的 服 务 器 ， k a l i 2 集 成 好 了 a p a c h e 的 服 务 ， 将 生 成 好 的 后 门 改 名 为 p a y l o a d . t x t 后 门 复 制 到 网 站 的 根 目 录 。 通 过 浏 览 器 访 问 ， 确 认 可 以 访 问 成 功 。
之 后 本 地 设 置 好 M e t a s p l o i t 的 参 数 ， 开 始 监 听 ， 这 里 的 p a y l o a d 主 要 r e v e r s e _ h t t p s 可 以 避 开 一 些 基 于 流 量 检 测 的 安 全 设 备 。 在 g i t h u b 下 载 一 个 p o w e r s h e l l 工 具 用 于 生 成 e x c e l 后 门 ， 这 里 使 用 了 G e n e r a t e - M a c r o 一 个 评 价 很 不 错 的 小 工 具 。 连 接 如 下 ： h t t p s : / / g i t h u b . c o m / e n i g m a 0 x 3 / G e n e r a t e - M a c r o
本 地 生 成 e x c e l 的 后 门 e x c e l 文 档 设 置 好 相 关 的 参 数 选 项 ， 比 较 温 馨 的 是 会 自 动 的 将 宏 与 文 档 打 包 到 一 起 ， 目 前 只 支 持 h t t p 协 议 和 h t t p s 协 议 ， 在 选 择 后 门 的 自 启 动 方 式 这 里 还 是 有 很 多 选 择 ， 设 置 计 划 任 务 也 是 很 多 后 门 常 用 的 手 段 之 一 。 v i c t i m 端 打 开 此 文 档 后 启 用 宏 之 后 ， 会 执 行 相 关 的 宏 代 码 连 接 到 M e t a s p l o i t 的 客 户 端 ， 使 用 s h e l l 命 令 可 以 可 以 获 得 一 个 命 令 行 对 应 的 w i n d o w s 系 统 此 时 应 该 会 拉 起 一 个 c m d . e x e
0 x 3   进 程 拉 起 顺 序 进 程 拉 起 顺 序 在 v i c t i m 端 口 查 看 相 关 进 程 可 以 发 现 依 次 的 启 动 顺 序 为 ： s v c h o s t . e x e - >   W m i P r v S E . e x e   - >   p o w e r s h e l l . e x e   - > p o w e r s h e l l . e x e   - > c m d . e x e 待 用 户 执 行 了 宏 代 码 之 后 ， 会 调 用 w i n d o w s 系 统 的 当 中 的 w m i 拉 起 p o w e r s h e l l 进 行 下 载 并 连 接 远 程 C C 端 。 关 键 代 码 如 下 ： 可 以 在 第 一 个 p o w e r s h e l l . e x e 的 启 动 参 数 找 到 痕 迹
第 一 个 p o w e r s h e l l . e x e 之 后 拉 起 第 二 个 p o w e r s h e l l . e x e 执 行 保 存 在 p a y l o a d . t x t 里 面 的 恶 意 代 码 ， 会 设 置 自 启 动 。 之 后 在 执 行 了 s h e l l 命 令 执 行 ， 第 二 个 p o w e r s h e l l . e x e 会 主 动 拉 起 一 个 c m d . e x e   进 行 远 程 命 令 执 行 。 0 x 4   其 他 行 为 其 他 行 为 可 以 在 注 册 表 当 中 找 到 已 经 设 置 好 的 自 启 动 项 目 ， 主 要 内 容 保 存 在 C 盘 C : U s e r s P u b l i c c o n f i g . v b s 目 录 下 并 设 置 隐 藏 属 性 。 生 成 开 机 启 动 的 恶
意 文 件 代 码 如 下 ： 添 加 到 注 册 表 的 恶 意 代 码 如 下 ： 通 过 抓 包 分 析 获 取 到 的 流 量 数 据 基 本 都 是 是 乱 码 , 流 量 分 析 起 来 有 一 定 的 困 难 。 0 x 5   总 结 总 结 1 . 如 果 投 递 特 定 主 题 及 内 容 的 电 子 邮 件 来 进 行 攻 击 ， 安 全 意 识 薄 弱 的 用 户 很 容 易 中 招 。 攻 击 者 从 远 程 获 取 恶 意 软 件 或 者 攻 击 负 载 p o w e r s h e l l 脚 本 经 过 混 淆 之 后 进 行 b a s e 6 4 编 码 ， 对 于 检 测 这 些 攻 击 行 为 无 论 是 静 态 扫 描 还 是 动 态 检 测 都 造 成 了 一 定 的 难 度 。 2 . o f f i c e 本 身 也 有 C V E 2 0 1 7 - 0 2 6 2 、 C V E – 2 0 1 7 – 8 7 5 9 、 C V E - 2 0 1 7 - 0 1 9 9 、 C V E - 2 0 1 7 - 1 1 8 8 2 等 多 个 安 全 问 题 ， 攻 击 手 法 也 有 了 较 多 的 差 异 性 ， 作 为 普 通 用 户 在 日 常 的 工 作 生 活 当 中 还 是 应 该 提 升 自 身 的 安 全 意 识 ， 安 装 杀 毒 软 件 支 持 国 产 o f f i c e ， 对 于 陌 生 的 邮 件 一 定 要 慎 点 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： s i 1 e n c e ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理