本文介绍了如何利用Excel的IYQ（Web查询）功能制作钓鱼邮件，通过引导受害者打开含有恶意IYQ代码的Excel文件，实现计算器弹出或者反弹shell的效果。详细步骤包括准备环境、构造payload、生成IYQ文件并测试其效果，同时提醒注意AV软件的检测和免杀策略。
0x00 环境准备
1、操作系统：windows7
2、microsoft office版本：office 2010
0x01 了解IYQ的基本概念
可以将IYQ简单的理解成内置在excel中的一种特殊‘web浏览器’（不能加载脚本），通过IQY【即web查询】语句，可以直接将各类web上的列表数据轻松引入到当前的excel中，而正是因为这样，从而给了我们利用excel制作钓鱼邮件的机会，假如你要引入的web数据是入侵者事先准备好的一段payload iqy恶意代码，那结果就不言而喻了。
0x02 利用IYQ弹出计算器测试
一、在我们自己的服务器的网站目录下放一个payload.html文件，内容是IYQ代码
# IYQ代码
=cmd|'/c calc.exe '!A0
检验一下正常访问
接下来就是设置excel来拉取我们自己服务器上的payload文件
最低0.47元/天 解锁文章
656
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
