[内网渗透]—CS生成office宏钓鱼

简介

​ 宏是一个批量处理程序命令，正确地运用它可以提高工作效率。微软的office软件允许用户自己编写，叫VBA的脚本来增加其灵活性，进一步扩充它的能力。如完打开word文件同时要打开某个文件的功能，必须要自己编写一段称之为宏的脚本。具体做法是在“工具”菜单“宏”－“宏”弹出的对话框输入宏名，然后按“创建”按钮会打开visual basic编辑器，你就可以编程了，这个就是宏。最直观的例子：鼠标宏就是如此。

​ 简单来说WORD宏可以让用户编写VBA脚本来灵活操作WORD，是Office软件设计者为了让人们使用软件进行工作时，避免一再重复相同的动作，而设计出来的一种工具。

宏病毒使用攻击场景

​ 宏病毒是一种常见的计算机病毒，寄存在文档或模板中，并不会直接感染可执行程序。但是打开携带宏病毒的文档，其中的命令就会被执行，导致文档所在电脑主机被感染。

攻击者编写存在WORD宏病毒的WORD文件 -> 利用社会工程学投递WORD并令对方打开点击启用宏 -> 目标上线

​ 关于如何投递宏文件让目标点击，此涉及到社会工程学。如结合一些时事来进行定向钓鱼攻击，比如结合新冠疫情，健康信息等内容的二次交互，导致目标启用宏感染。

测试

1、生成宏代码，“攻击->生成后门->office宏钓鱼”，之后选择监听器，点击生成后即可复制宏代码

2、创建一个word或excel文件，选择"视图->宏->查看宏"，在弹出的对话框自定义宏名，点击"创建"

3、之后会打开Visual Basic，将宏代码复制进去保存即可

4、将文档保存文宏文件格式

5、此时将docm文档发送给受害者，当受害者打开后，点击启用内容，即可成功上线(若关闭了安全警告，打开即上线)

参考

CobaltStrike 生成office宏病毒进行钓鱼攻击 - 春告鳥 - 博客园 (cnblogs.com)