Cobalt-Strike Office宏利用与免杀

【Cobalt-Strike Office宏利用与免杀】的更多相关文章

Cobalt-Strike Office宏利用与免杀

1.打开Cobalt-Strike生产Office宏病毒. 首先需要设置监听器.因为钓鱼的目标比较单纯,在这里就不采用域前置技术. 然后使用攻击模块,生产Office宏病毒. 设置好监听器. 生成宏病毒 2.将宏病毒放入word 首先打开Word,在审阅中编辑宏: 创建新的宏: 将生成的宏病毒放入Microsoft Word目录下的ThisDocument,注意如果宏位置写错了很容易报错. 按下Ctrl+S,将文件保存为启用宏的Word文档,注意这里的作者需要修改,否则默认会使用账户名此时带宏…

(转载）Cobalt Strike tutorial下针对CVE-2017-0199利用

CVE-2017-0199利用OLE对象嵌入Word / RTF文档的方式,使得可以在没有用户交互的情况下执行其内容.OLE由许多不同的程序支持,OLE通常用于使在另一个程序中可用的程序中创建的内容.例如,可以在第二个RTF文件中插入和呈现RTF文档.然而,如果链接的RTF文件被替换为HTML应用程序(HTA)有效载荷,则mshta代理将执行它,从而导致远程命令执行,不需要用户交互. 在本文中,我们将解释创建一个有效的概念RTF文件的基础过程,该文件将执行Cobalt Strike Beacon…

payload免杀之Installutil.exe&csc.exe利用

0x00 前言 C#的在Windows平台下的编译器名称是Csc.exe.Installutil.exe工具是一个命令行实用程序,允许您通过执行指定程序集中的安装程序组件来安装和卸载服务器资源,可以执行dll,exe,txt等.这两个东西一般情况下是配合使用.所以就不单独拿出来讲了. 0x01 利用过程 1.下载shellcode.cs wget https://github.com/222222amor/exp_notes/blob/master/InstallUtil-Shellcode-c…

Office宏病毒免杀（1）

使用github开源工具EvilClippy进行宏病毒混淆免杀:https://github.com/outflanknl/EvilClippy/releases 注意需要将这两个文件下载在同一个文件夹下,不要只下载EvilClippy.exe而忘记下载OpenMcdf.dll: 关于evilClippy,有: EvilClippy是一款专用于创建恶意MS Office测试文档的跨平台安全工具,它可以隐藏VBA宏和VBA代码,并且可以对宏代码进行混淆处理以增加宏分析工具的分析难度.当前版本的Ev…

使用Cobalt Strike来钓鱼（MS Office Macro）

Cobalt Strike操作点击Cobalt Strike主界面中attacks->packages->ms office macro 弹出界面选择Listener,单机确定对话框中给出每一步仔细操作,单机copy macro按钮 word操作点击上方标签视图标签在该标签中点击宏按钮,弹出的对话框中输入宏名字,然后单机创建按钮首先清空所有代码,然后将复制的代码粘贴到编辑器中,关闭宏编辑窗口保存退出双击再次运行保存的文档当目标机器运行文档以后,Cobalt Strike会接受到…

payload免杀之msbuild利用

0x00 前言红队必备技巧免杀之一,现在主要是.net4.0下实现.待我过几天有空实现一下.net2.0. 0x01 免杀过程利用cs生成c#的payload,如图所示: 将paypload内容填充到里面, <Project ToolsVersion="4.0" xmlns="http://schemas.microsoft.com/developer/msbuild/2003"> <!-- This inline task executes…

Office宏的基本利用

前言 Office宏,译自英文单词Macro.宏是Office自带的一种高级脚本特性,通过VBA代码,可以在Office中去完成某项特定的任务,而不必再重复相同的动作,目的是让用户文档中的一些任务自动化.而宏病毒是一种寄存在文档或模板的宏中的计算机病毒.一旦打开这样的文档,其中的宏就会被执行,于是宏病毒就会被激活,转移到计算机上,并驻留在Normal模板上. Visual Basic for Applications(VBA)是Visual Basic的一种宏语言,是微软开发出来在其桌面应用程序…