|
聲明：本人堅(jiān)決反對(duì)利用文章內(nèi)容進(jìn)行惡意攻擊行為，一切錯(cuò)誤行為必將受到懲罰，綠色網(wǎng)絡(luò)需要靠我們共同維護(hù)，推薦大家在了解技術(shù)原理的前提下，更好的維護(hù)個(gè)人信息安全、企業(yè)安全、國家安全。 Office宏分離免殺的方式是在目標(biāo)用戶的office開啟宏功能的前提下，誘騙其使用office辦公軟件打開文檔，通過加載遠(yuǎn)程的惡意宏代碼，達(dá)到控制目標(biāo)主機(jī)權(quán)限的目的。 1、在桌面基礎(chǔ)創(chuàng)建文檔名稱：beta.docx
3、打開Cobaltstrike后滲透工具，選擇Attacks->Package->MS Office Macro
4、選擇生成的Payload，這里選擇使用Beacon http，會(huì)連到主機(jī)的IP地址是192.168.146.128
6、將代碼復(fù)制到word文檔中開發(fā)工具->Visual Basic的代碼窗口中。右上角選擇Auto_Open，當(dāng)使用者在打開word文檔時(shí)，簿會(huì)自動(dòng)運(yùn)行宏提示信息。
(1)查詢異常的網(wǎng)絡(luò)連接情況 netstat -ano | findstr '192.168.146.*'
（2）根據(jù)PID找到可執(zhí)行文件名稱
（3）查找16584的命令行 wmic process where processid=16584 get commandline /format:csv
（4）查詢?cè)揚(yáng)ID的父進(jìn)程對(duì)應(yīng)的PID號(hào)
(5) 查找父PID7524的命令行
|
|
|
