文档建议反馈控制台
首页
学习
活动
专区
工具
TVP
最新优惠活动
文章/答案/技术大牛
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

红队 | CS加载宏上线初探

那么关于宏的安装和录制就不在这里详述了，我们再来把视线转向我们今天的主角——宏病毒 宏病毒是一种寄存在文档或模板的宏中的计算机病毒，存在于数据文件或模板中（字处理文档、数据表格、数据库、演示文档等），使用宏语言编写...在Word和其他微软Office系列办公软件中，宏分为两种 内建宏：局部宏，位于文档中，对该文档有效，如文档打开（AutoOpen）、保存、打印、关闭等 全局宏：位于office模板中，为所有文档所共用...顾名思义，“执行32位或者64位的DLL文件”。它的作用是执行DLL文件中的内部函数，这样在进程当中，只会有 Rundll32.exe，而不会有DLL后门的进程，这样，就实现了进程上的隐藏。...当然，这些Rundll32.exe执行的DLL文件是什么，我们都可以从系统自动加载的地方找到。 对于Rundll32.exe这个文件，意思上边已经说过，功能就是以命令行的方式调用动态链接程序库。...VBA stomping VBA 在 Office 文档中可以以下面三种形式存在 1、源代码: 宏模块的原始源代码被压缩，并存储在模块流的末尾。

2.7K30
您找到你想要的搜索结果了吗？
是的
没有找到

攻击者如何使用 XLL 恶意软件感染系统

与 Visual Basic for Applications (VBA) 等其他脚本接口相比，此功能使用户能够更强大地扩展 Excel 的功能，因为它支持更多功能，例如多线程。...但是，XLL 文件是可移植的可执行文件，遵循许多电子邮件网关已经阻止的动态链接库 (DLL) 的格式。我们建议组织考虑以下缓解措施： 配置您的电子邮件网关以阻止包含 XLL 附件的入站电子邮件。...在此示例中，包含恶意代码的加载项是在 .NET 中开发的，位于MODDNA资源中。...在过去的几个月里，我们已经看到恶意软件系列，如 Dridex、Agent Tesla、Raccoon Stealer 和 Formbook，在系统初始感染期间使用 XLL 文件交付。...为了创建这些文件，攻击者很可能使用图 1 所示论坛中宣传的构建器。我们发现许多恶意加载项是使用 Excel-DNA 生成的，但是，我们分析的一些 XLL 恶意软件是定制的更多地使用加密来掩饰其功能。

2.1K10

贼心不死，海莲花APT组织一季度攻击活动揭秘

如，攻击首先使用了word的主程序为白文件，加载恶意文件wwlib.dll： ? ? ? 释放诱饵文档到临时目录，并打开： ?...然后再次使用白加黑的技术，使用360se的主程序做为白文件，加载恶意的chrome_elf.dll： ?...读取自身.text区段地址，如果没读取成功就读取safemon.dll的： ? ? 读取ummrzhwp.Emf，使用同样的方法解密，完后加载： ? ?...4、下发文件分析 在攻击者攻陷机器后，攻击者还会持续的对受控机进行攻击：会通过脚本释放新的与该机器绑定木马，此木马主要通过两种加载器实现只能在该机器上运行，加载器也是使用白加黑技术，如使用googleupdate.exe...如不断的变换加载方式、混淆方法、多种多样的诱饵形式等，还使用新的Nday进行攻击，如该波攻击中的WinRAR ACE漏洞（CVE-2018-20250）。

1.7K20

常用功能加载宏——调用微信截图

但这个功能在使用的时候，不是很方便，电脑版微信的截图功能就比较丰富，使用也很方便。 使用VBA来调用微信的dll就可以实现在Excel里使用微信的截图功能了： ?...，所以要使用API，首先定义微信dll的API： Private Declare Function PrScrn Lib "PrScrn.dll" () As Long VBA在加载dll的时候，默认是在系统目录中查找对应的...dll的，所以，可以先把PrScrn.dll复制一份到系统目录，但不建议轻易去操作系统目录，我们使用另外一种方法来加载dll。...As Long Dim dllpath As String '指定dll的文件路径 dllpath = "…………\PrScrn.dll" '加载dll...或者微信安装目录没有PrScrn.dll，也可以百度搜索PrScrn.dll，下载存放到电脑上，然后设置程序中的dllpath就可以。

2.7K20

如何在Excel里加载第三方插件，让你的Excel功能更加强大！！！

今天是小魔方的第三篇推送教程，要谈的话题是如何在Excel里加载第三方插件工具！...虽然我们大部分人对于VBA不甚了解，但是毕竟这个世界上还是有很多大神的，很多VBA爱好者为office系列开发了很多简单易用、免费高效的第三方插件，今天就教大家怎么在Excel里面加载这些插件！...这些加载项分为两类：一类是以Excel加载宏格式（文件后缀名为“.xla”【2007版之前的后缀名】、“.xlam”【2007版本之后的后缀名】）存储的；另一类是以.dll文件封装的com加载宏。...第二种com加载宏加载比较简单，下载软件之后默认安装，系统会自动把.dll文件载入到Excel的相应的com加载宏目录里，打开Excel文件就可以在主界面菜单栏里面看到！...今天要给大家分享两款，Excel中制作高级图表的必备神器，顺便演示一下怎么调用加载宏： 第一个是Ec_Chart_Alignment.xlam ,这款插件的主要功能是，可以将Excel图表的数据标签轻松批量移动到绘图区的上

7.3K50

攻击者开始使用 XLL 文件进行攻击

这些加载项都是为了使用户能够利用高性能函数，为 Excel 工作表提供 API 调用接口。与 VBA 等其他接口相比，该方式能够更有效地扩展 Excel 的能力，使其支持更多功能，例如多线程。...△ 提示信息 攻击者通常将代码置于 xlAutoOpen函数中，该函数会在加载项被激活时立即触发执行。这意味着，与要求用户启用宏的 VBA 宏不同，受害者只要打开就会执行恶意代码。...△ XML 文件 包含恶意代码的加载项是使用 .NET 开发的，位于 MODDNA资源中。要分析该恶意代码，需要将资源保存到硬盘并使用 LZMA 算法进行解压缩。...△ 提取 XLL 文件 自定义生成的加载项 其他不使用 Excel-DNA 的 XLL 文件中，一个 Downloader 大小只有 4.5 KB，但吸引了研究人员的注意。...为了混淆程序控制流，样本中包含许多连续的 jmp指令。 △ 动态调试截图 经过分析后，研究人员发现可执行代码后有一段加密数据。数据在循环中解密，首先确定数据的位置与大小，紧接着进行异或解密。

1.4K10

11.反恶意软件扫描接口 (AMSI)

创建 PowerShell 进程后，AMSI.DLL 将从磁盘加载到其地址空间。 在 AMSI.DLL 中，有一个称为 AmsiScanBuffer() 的函数，本质上是用于扫描脚本内容的函数。...Office VBA + AMSI 当然amsi也可以检测vba和Java script 在实战中，使用宏攻击（钓鱼）也是我们常用的手法，所以我们要知道amsi对宏文件的检测流程 在微软文档中我们可以看到...通过阅读理解微软文档我们可以知道amsi对宏的检测查杀流程： 1.word等等钓鱼文件加载宏 2.VBA宏运行时,运行时会有一个循环的缓冲区中记录数据和参数调用Win32,COM, VBA等等api的情况...我们可以看一个例子来理解amsi检测查杀vba的流程： 跟powershell一样我们也使用远程加载powershell恶意代码。这样更贴近实战。...后记 对于 Windows 用户，任何在 Windows 10 的内置脚本主机上使用混淆和规避技术的恶意软件都会在比以往任何时候都更深的层次上进行自动检查，从而提供额外的保护级别。

4.2K20

『新认知』原来python也可以完整地调用VBA的功能驱动OFFICE自动化

经过学习后，发现其实只要使用win32com这个库，就可以将VBA的代码直接移植到python上使用。...功能上是和当前VBA的宿主相关，例如Excel版本越高，VBA的功能越多，相应的win32com这个库也可以自动增加这些功能，本质上win32com只是一个桥梁，使用python可以驱动COM组件，COM...不过按童大谦老师的【代替VBA!用python轻松实现Excel编程】一书里说的，极个别接口还是有些异常的。 我专门测试了一下，拿Excel比较新的接口如PowerQuery。...而不是使用pythonnet，后者是对.NET的非托管的dll起作用。如果硬着来，效果比较差，例如以下的代码，需要使用反映的方式才能操作COM组件。 那有哪些软件是COM组件暴露，哪些不是？...当然如果要使用C#来实现这些新的接口，如果没有引用Excel16的dll，就没有智能提示，只能用动态类型来处理，也一样可以的。

8210

Red Team 工具集之攻击武器库

其中一种就是使用动态数据交换（DDE）协议。 DDE 协议是一套消息和指示的集合。通过发送消息以及共享内存实现应用程序的数据共享和交换。...https://github.com/trustedsec/unicorn Shellter Shellter 是一个动态的 shellcode 注入工具，也是有史以来第一个真正动态的 PE 感染器。...https://github.com/threatexpress/metatwin WePWNise 这个工具可以生成能够注入到 Office 文档中的 VBA 脚本，生成的 VBA 脚本在执行的时候可以自动识别系统...powershell）中是否使用了 AMSI，然后通过各种方式绕过 AMSI 的扫描。...https://github.com/cobbr/PSAmsi Reflective DLL injection 这个反射 DLL 注入是采用反射编程的思想将 DLL 注入到指定的进程中，我们可以将 payload

2.6K00

白加黑免杀制作（详细）

，但是当我真正尝试的时候才发现很多问题，如： 网上关于如何编写 dll 的资料不全或太过片面 在 dll 的 dllmain 函数中执行 shellcode 导致死锁 如何在 dll 中截取主线程直接上线...本文就会从 dll 开发基础讲起，如何开发和调试 dll，到如何在 dll 中上线木马，dllmain 中上线与 exe 上线的不同，如何在 dll 导出函数中执行上线，以及可能遇见的问题如何解决等。...文件、lib 库、dll 库、exe 执行文件，使用方法如下： # 查看 dll 库中包含哪些函数 dumpbin /exports a.dll # 查看 exe 中加载了哪些动态库 dumpbin...： （2）dll 动态调用特点 dll 动态调用即使用 LoadLibrary(Ex) 函数加载的 dll 了。...此外微软还列举了 DllMain 中不能使用的一些函数如直接或间接使用 LoadLibrary(Ex)、GetStringTypeA 等，CreateProcess 和 CreateThread 可以调用但存在风险

3.8K51

权限维持方法小结

PS：xp系统会忽略LoadAppInit_DLLs注册表项 严格来讲，此dll注入不是注入到所有运行进程，而是注入到加载Use***.dll的进程中 HKEY_LOCAL_MACHINE\SOFTWARE...Common Files\microsoft shared\OFFICE14\MSPTLS.DLL 利用Office加载项 Word WLL Excel XLL Excel VBA add-ins PowerPoint...linux操作系统的动态链接库在加载过程中，动态链接器会先读取LD_PRELOAD环境变量和默认配置文件/etc/ld.so.preload，并将读取到的动态链接库文件进行预加载，即使程序不依赖这些动态链接库...1、文件完整性检测 修改了默认的动态链接库后文件完整性发生变化，可以使用rpm等来校验 首先获取系统中的动态链接器的文件路径(interp段指定了动态链接器的位置) readelf -a /bin/ps.../ps -f 表示同时跟踪fork和vfork出来的进程 -e trace=file 表示只跟踪有关文件操作的系统调用 清除 清除调用的对应恶意文件即可 3、strace后门 使用strace检测预加载型动态链接库后门

3.1K10

渗透测试与开发技巧

快捷方式的参数隐藏技巧 将payload放置在260个空字符之后，这样无法在文件属性查看payload，可以用来在快捷方式中隐藏payload，欺骗用户点击，隐蔽执行代码 参考： 《渗透技巧——快捷方式文件的参数隐藏技巧...——程序的降权启动》 降权方法2：使用msdtc 使用msdtc会以system权限加载oci.dll，但在管理员权限cmd执行： msdtc -install 启动的calc.exe为high权限 参考...VBA add-ins PowerPoint VBA add-ins POC：https://github.com/3gstudent/Office-Persistence 参考： 《Use Office...Injection 通过DLL劫持，劫持Explorer.exe对fxsst.dll的加载 Explorer.exe在启动时会加载c：\Windows\System32\fxsst.dll(服务默认开启...指定的名称对应，如果不对应，可在项目-属性-程序集名称中修改，否则生成的dll无法使用 使用csc.exe: eg. using System; using System.Diagnostics; namespace

4.3K20

VFP调用Selenium入门篇（一）

都是用它注册DLL,VFP才能调用) 会看到7个文件，功能如下： • SeleniumBasic.dll和SeleniumBasic.tlb：这两个是类型库，提供了VBA环境中用到的SeleniumBasic...在VBA工程中需要添加引用SeleniumBasic.tlb（我们VFP主要就是利用VBA来调用它） • RegAsm.bat：用于注册dll，因为释放到你电脑以后，只是把文件放到磁盘上了，要让dll和...tlb发挥作用，还需要向注册表中写入内容。...当你不再需要V3时，用管理员权限运行这个bat，可以从注册表中移除写入的内容。相当于软件的卸载。...• WebDriver.dll和WebDriver.Support.dll：.NET语言所需的动态链接库 接下来我们使用VS2015对象浏览器查看一下这个SeleniumBasic.DLL,VFP的对象浏览器很弱

1.9K30

恶意软件分析– Ursnif Trojan

Ursnif通常是通过带有嵌入式VBA宏的恶意文档传递的，该宏文件被高度混淆，并且充当了丢弃程序。其变体之一试图直接从数字钱包中窃取加密货币。它还使用语言检查来进行本地化和沙盒逃避检测。...Ursnif通常是通过带有嵌入式VBA宏的恶意文档传递的，该宏文件被高度混淆，并且充当了丢弃程序。其变体之一试图直接从数字钱包中窃取加密货币。它还使用语言检查来进行本地化和沙盒逃避检测。...（DLL）（即Mulla.dll）的temp目录中删除了一个压缩文件。...当我们在十六进制编辑器中捕获并查看它时，我们发现内存的第一个偏移量表明这是一个动态链接库（.dll）文件。...进一步研究mulla.dll，我们发现了用于开发的Borland Delphi 3.0语言。使用自定义打包技术来防止DLL的反编译。

1.7K20

VB6.0 支持鼠标滚轮教程的案例分享

操作步骤如下：1、下载这是一个自解压的包，其中包含VB6IDEMouseWheelAddin.dll和其源程序，将其解压到桌面即可。...2、选择直接使用VB6IDEMouseWheelAddin.dll，或者无聊地将源程序自行编译出一个新的VB6IDEMouseWheelAddin.dll。...3、在cmd里运行：regsvr32 VB6IDEMouseWheelAddin.dll 运行前请将当前路劲切换（cd命令）到桌面，或者将这个dll复制到cmd默认路径下。4....运行目录下的“VBA Mouse Wheel Fix.reg”。 5、运行VB6.0。 6、点击菜单中 外接程序（A） =》 外接程序管理器（A）。...7、在列表中，选择“MouseWheel Fix”，在“外接程序管理器“ 右下角的 加载行为 中将前两项勾上，即 在启动中加载（S） 和 加载/卸载（L）。 8、确定，退出VB6.0。9.

1.6K00

基于OEA框架的客户化设计（一） 总体设计

本文主要从以下几个方面来叙述如何在OEA框架中设计和实现客户化框架： OEA客户化框架设计目标 方案设计 具体实现 设计目标 支持实体类的扩展。 支持实体扩展包的动态加载。...支持界面扩展及界面扩展包的动态加载。 各版本间自定义界面元素，可以基于现有的特定版本修改一些内容。 各版本间支持自定义内容文件，如果没有使用，则使用默认版本的内容文件。...DLL文件的组织比较简单，只需要各客户版本把自己的DLL放在一个版本特定的目录下，程序动态加载就行了。     这里我定出了以下规则：所有需要客户化的DLL都放在客户各自的文件夹根目录下。    ...各客户有自己的文件夹，如客户A有文件夹/Files/A/。文件夹名在配置类中标明。 程序中，可以文件寻找引擎指定要使用的文件的相对路径，如使用LOGO，则指定/Images/Logo.jpg。.../// /// 获取所有此版本中需要加载的实体类Dll集合。

1.8K80

CobalStrike 4.0 生成后门几种方式 及 主机上线后基础操作

使用VBA选项来静默派生一个MicrosoftExcel实例并运行一个恶意的宏来将payload注入到内存中。...executable（生成可执行攻击脚本） powershell（生成一个powershell的脚本） VBA（生成一个vba的脚本，使用mshta命令执行） 这里借鉴一个网上的方法，生成一个powershell...这个DLL会派生一个32位的进程，并且将你的监听器迁移至其上。这两个DLL选项都会导出一个开始功能，此功能与rundll32 .exe相兼容。使用rundll32 .exe来从命令行加载你的DLL。...(心跳时间) Exit #退出 interact打开beacon后执行的操作: 1. argue 进程参数欺骗 2. blockdlls 阻⽌⼦进程加载⾮Microsoft DLL 3. browserpivot...注⼊进程 15. dllload 使⽤LoadLibrary将DLL加载到进程中 16. download 下载⽂件 17. downloads 列出正在进⾏的⽂件下载 18. drives 列出⽬标盘符

3.2K10
点击加载更多

扫码

添加站长 进交流群

领取专属 10元无门槛券

手把手带您无忧上云

扫码加入开发者社群

相关资讯

热门标签

更多标签

活动推荐

    运营活动

    活动名称
    广告关闭

    腾讯云开发者

    扫码关注腾讯云开发者

    扫码关注腾讯云开发者

    领取腾讯云代金券

    热门产品

    热门推荐

    更多推荐

    Copyright © 2013 - 2024 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

    深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 深公网安备号 44030502008569

    腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号 | 京公网安备号11010802020287

    领券