社会工程学 | office宏分离免杀及应急处置
声明:本人坚决反对利用文章内容进行恶意攻击行为,一切错误行为必将受到惩罚,绿色网络需要靠我们共同维护,推荐大家在了解技术原理的前提下,更好的维护个人信息安全、企业安全、国家安全。
Office宏分离免杀的方式是在目标用户的office开启宏功能的前提下,诱骗其使用office办公软件打开文档,通过加载远程的恶意宏代码,达到控制目标主机权限的目的。
1
Office宏木马
1、在桌面基础创建文档名称:beta.docx
2、进入word文档后,开启开发者工具
3、打开Cobaltstrike后渗透工具,选择Attacks->Package->MS Office Macro
4、选择生成的Payload,这里选择使用Beacon http,会连到主机的IP地址是192.168.146.128
5、 点击复制宏代码
6、将代码复制到word文档中开发工具->Visual Basic的代码窗口中。右上角选择Auto_Open,当使用者在打开word文档时,簿会自动运行宏提示信息。
7、Ctrl+S保存后,会提示,点击否,选择保存类型:beta.dotm
8、鼠标右键单击beta.dotm文件,选择打开,(此处注意不能双击打开,双击是无法打开模版文件的,在模版文件上双击默认是以此模版创建新文件),然后可以看到能正常反弹shell。接下来就可以做免杀处理了。
9、将后门宏文件beta.dotm上传到公网服务器中,开启apache服务即可
10、创建一个简历模板,更改后缀位压缩文件的格式为.zip,并进行减压。
11、将zip文件解压,进入/word/_rels目录下,打开settings.xml.rels宏文件,将该段代码修改为以下内容,意思就是执行开启宏后,会执行访问下载服务器上的dotm宏文件并执行!!
12、然后将内容重新压缩后,在修改zip为docx类型,修改后就可以打开简历了。
2
应急处置
(1)查询异常的网络连接情况
netstat -ano | findstr "192.168.146.*"
(2)根据PID找到可执行文件名称
tasklist | findstr 16584
(3)查找16584的命令行
wmic process where processid=16584 get commandline /format:csv
(4)查询该PID的父进程对应的PID号
wmic process where processid=16584 get parentprocessid /format:csv
(5) 查找父PID7524的命令行
相关文章
- Python项目44-前后端分离项目(前戏)
- Mac版office全家桶Office 2019中文正式版
- Java 动静分离_如何做前后端动静分离
- Office LTSC 2021 for Mac(office全家桶)v16.65中文版
- 【说站】python如何用循环遍历分离数据
- Microsoft Office LTSC 2021 Mac(office全家桶)
- mycat读写分离配置文件详解_mycat实现读写分离
- VR助力!这对3岁大的连颅双胞胎被成功分离
- Amoeba 实现MySQL读写分离
- GreatSQL 开源数据库 & NVIDIA InfiniBand存算分离池化方案:实现高性能分布式部署
- Microsoft Office LTSC 2021 for Mac(office系列全套装) v16.71激活版
- 2022 IoTDB Summit:IoTDB PMC 曹高飞《Apache IoTDB 秒级扩容能力与存算分离实践》
- Redis读写分离搭建的完整步骤
- Office for Mac 带来强劲新功能(office macos)
- 使用MSSQL进行读写分离配置教程(mssql读写分离教材)
- 构建基于读写分离的MSSQL数据库服务(读写分离mssql)
- Redis为何需要分离部署(redis需要分离吗)
- Redis读写分离面试指南(redis读写分离面试题)
- Redis读写分离视频教程简单快捷实现高可用(redis+读写分离视频)
- 基于Redis读写分离架构的实现(redis读写分离的架构)
- 实现Redis读写分离让效率优化无极限(redis读写分离的实现)
- Redis 读写分离高效实现读写能力切换(redis 读写分离切换)
- SQLServer数据库分离与附加(图文教程)