你也喜欢“钓鱼“吗?

金灰

于 2024-09-14 13:27:19 发布

阅读量741

点赞数 13

分类专栏：网络安全 # 红队APT # 应急响应文章标签：驱动开发网络网络安全安全安全架构网络攻击模型安全威胁分析

本文链接：https://blog.csdn.net/2303_80857229/article/details/142255894

版权

应急响应同时被 3 个专栏收录

17 篇文章 0 订阅

订阅专栏

红队APT

16 篇文章 0 订阅

订阅专栏

网络安全

12 篇文章 0 订阅

订阅专栏

免责声明:本文仅做分享!

什么是网络钓鱼

网络钓鱼是通过伪造银行或其他知名机构向他人发送垃圾邮件，意图引诱收信人给出敏感信息(如用户名、口令、帐号 ID 、 ATM PIN 码或信用卡详细信息)的一种攻击方式。

流程

寻找大鱼,打窝处 : hr,运维,开发人员,销售,等等窝点. 信息搜集,找对象.

制作饵料 : 看着像真的, 没有风险等. 马子要强,内容要像.

抛竿,放长线 : 發发发. 社工.

--->等待大鱼上钩.

攻击手法

0-隐藏自己

cdn, 代理转发,

购买网络账号, 匿名

免杀马

ShellcodeLoader：GitHub - xf555er/ShellcodeLoader: This is my FirstRepository

基本加载器思路为shellcode申请内存(可读可写) -> 载入内存 -> 执行内存

改图标加签名.

360QVM_bypass (GitHub - Pizz33/360QVM_bypass: 通过生成不同hash的ico并写入程序中，实现批量bypass360QVM)的基础上，进行修改增加签名功能。360QVM_bypass-public (https://github.com/S9MF/my_script_tools/blob/main/360QVM_bypass-public/README.md)

过沙箱

延长马子的存活时间.

cs插件:

PushPlus2：my_script_tools/CS插件/README.md at main · S9MF/my_script_tools · GitHub

Aggressor Script：Aggressor Script

1-office宏

正常的office宏, 客户打开后都会看到 是否要启用宏, 这样的特征很明显.

那我们可以利用 文件分离 的方法.直接上线.(不用询问是否启用宏.)

Office--加载宏-CS上线_怎么修改启用宏的文档图标为正常图标 cs-CSDN博客

创建xxx.dotm

cs -- 生成 office宏 -- 复制

在桌面新建一个docx文档,点击开发工具 --> V B

在 ThisDocument 里黏贴刚才复制的office宏.

点击保存 , 点击否.

然后就另存为一个启用宏的模版. (.dotm)

将此文件放到服务器上,保证可以访问.

创建xxx.docx

然后再新建一个docx文档,

添加一个模版 , 随便写点内容...

另存为xxx.docx

然后将后缀改为zip,

打开,找到这个文件 -- 双击.

修改后面 target 的值为你服务器上 xxx.dotm 文件的访问网址.

http://ip/xxx.dotm

修改完后,保存

再将zip后缀修改为docx,

得到 xxx.docx

开钓:

将此docx文档上传运行. (未做免杀)

2-RLO + 自解压

钓鱼隐藏--文件后缀&压缩文件&捆绑文件_rlo文件-CSDN博客

捆绑EXE

捆绑exe释放正常文件，无法打开 / 文件已损坏.

3-快捷方式lnk

快捷方式(lnk)--加载&HTA-CS上线_mshta 上线cs-CSDN博客

人家制作 lnk 的思路:

【红队战法】多角度钓鱼

远程下载, 加载内存, 上线.

4-邮件伪造

钓鱼邮件指利用伪装的电邮，欺骗收件人将账号、口令等信息回复给指定的接收者；或引导收件人连接到特制的网页，这些网页通常会伪装成和真实网站一样，如银行或理财的网页，令登录者信以为真，输入信用卡或银行卡号码、账户名称及密码等而被盗取。

Swaks

SPF劫持上线.

邮件钓鱼--有无SPF演示--Swaks_kali伪造邮件-CSDN博客

Swaks是kali自带的一款邮件伪造工具，通过swaks可以向任意目标发送任意内容的邮件

swaks的用法：
--from <发件人的邮箱> 
--ehlo <伪造邮件头> 
--body <邮件正文内容> 
--header <邮件头信息，subject为邮件标题> 
--data <源邮件> 
--attach <附件文件>

Gophish

Gophish是一个开源的钓鱼工具包，自带web面板，对于邮件编辑、网站克隆、数据可视化、批量发送等功能的使用带来的极大的便捷。

邮件钓鱼--平台框架-优化内容效率-Gophish项目_gophish 发信任配置-CSDN博客

5-网站克隆

setoolkit

网页钓鱼-克隆修改--劫持口令&下载后门_口令劫持-CSDN博客

不仅可以记录用户提交的数据，还可以进行注入攻击

1) Social-Engineering Attacks【社工攻击(常用)】
   2) Penetration Testing (Fast-Track)【渗透测试（快速的）】
   3) Third Party Modules【第三方模块】
   4) Update the Social-Engineer Toolkit【更新社工工具包】
   5) Update SET configuration【升级配置】
   6) Help, Credits, and About【帮助】