钓鱼＆文件名反转＆office远程模板

本文内容涉及程序/技术原理可能带有攻击性，仅用于安全研究和教学使用，务必在模拟环境下进行实验，请勿将其用于其他用途。
因此造成的后果自行承担，如有违反国家法律则自行承担全部法律责任，与作者及分享者无关

0x01 件名反转

在渗透过程中，有时需要通过钓鱼来来传播一些木马文件，而这些木马文件需要精心的伪装。RLO即 Start Of Right-to-Left override。我们可以通过选择插入Unicode控制字符RLO来达到反转文件名的效果

以CobaltStrike生成的木马BypassAV.exe为例
1、生成木马文件



2、加入我们想让这个木马伪装为zip的文件
由于RLO是从右向左的顺序，我们编辑文件选择重命名，在.exe前输入piz

3、在BypassAV后piz前的位置右键选择Unicode控制字符，然后选择RLO

4、查看文件属性文件后缀已经变成了zip

0x02 自解压释放执行

自解压是捆绑文件的一种做法，利用WinRAR将正常文件与木马压缩在一起，并创建一个可以自解压的exe文件，在解压过程后可以自动运行释放的文件

操作步骤
1、我们将生成的木马与需要压缩的文件放在同一级目录(也可不同级目录)，将木马文件命名为envchk.exe

2、右键全选需要压缩的文件，然后点击"添加到压缩文件"

3、选择创建自解压格式压缩文件

4、在高级选项中选择自解压选项

5、配置解压路径，级运行后程序的释放路径
这里我们配置成C:\PragramData目录

6、在设置选项卡中设置程序解压后需要运行的程序
这里的路径填写文件解压后的绝对路径或相对路径

7、在模式中的安静模式配置为全部隐藏

8、配置快捷方式
在高级>快捷方式中添加快捷方式

9、点击完成生成自解压包

10、运行生成的自解压把发现软件可以正常打开，CS也可以正常上线

查看Programdata目录，可以看到文件是成功释放的

0x3 Office加载远程模板

远程宏模板技术，就是利用使用模板创建的文档在启动时会加载模板的原理，将其加载的正常模板替换为带有宏病毒的恶意模板，主要涉及一下两个文档：

1、docx：正常使用模板创建的文档

2、dotm：带有宏病毒的恶意宏模板文件相比与直接发送宏文档，这种方法发送的docx文档会更隐蔽一下，也不会被杀软检测到，因为这个文档本身时不含有宏的。

office远程加载模板
1、首先创建一个宏模板文件

2、选择宏位置为当前文档，然后创建宏

3、将宏代码写入并保存为dotm文件

4、将宏模板文件上传至互联网

5、使用模板创建一个docx文档

6、将文档保存后，后缀名改成zip格式，并将word_res\settings.xml.res文件解压出来

7、修改settings.xml.res中的tartget字段，将其替换为互联网上的宏病毒模板文件，并将文件压缩会文档

8、打开修改过的文档，看到从文档在打开时从互联网下载了带有宏病毒的模板

9、然后点击启用宏，发现CS已上线