Office-DOC加载宏-上线CS

原理

将直接加载远程带有宏的恶意模版使用。

• 缺点
  目标主机的网速决定了加载远程模版的速度。有可能文件打开的会特别慢(例如将远程模版放在github)，受害者可能在文件打开一半的时候强制关闭word。
• 优点
  因为是远程加载，所以免杀效果十分不错。基本不会被杀毒软件拦截。

实现

第一步：制作一个恶意的模版并确保能够上线

这里以cs的宏木马为例。

获取到恶意的VB代码后打开word，在工具栏的空白区域右键，点击自定义功能区

勾选开发工具选项。

此时就会出现开发工具这一栏

此时点击Visual basic，将恶意代码复制到project的指定地点如下图所示

然后关闭代码框，将这个word文件另存为一个dotm模版文件

这时候可以先测试一下模版能否上线，操作为在模版文件上右键，双击是无法打开模版文件的，在模版文件上双击默认是以此模版创建新文件，切记。

点击启用内容即可上线。


测试完成。

第二步：制作远程加载恶意宏模版的docx文件

1.将恶意文件上传到服务器

首先将刚才已经制作好的含有恶意代码的模版文件上传到服务器上，这里采用github来做这个实验，点击下图中上传的恶意文件。

会进入下图这个页面

复制这个页面的url

并在url后面加上?raw=true,最终结果如下，把这行保存下来等下会用到。
https://github.com/shanfenglan/test/blob/master/Doc1.dotm?raw=true

2.加载服务器上的恶意文件

打开word找一个任意的模版双击使用，然后什么都不用改直接保存在任意路径下。


将文件改名，改为zip结尾。

将其解压缩

进入word文件夹中的_rels,找到settings.xml.rels文件

编辑这个文件，将其的target属性的值改为我们上面的那个url，也就是
https://github.com/shanfenglan/test/blob/master/Doc1.dotm?raw=true，然后保存退出。

接下来将刚才解压生成的文件压缩回去，并且改名为后缀名为docx的文件。

结果

直接双击1.docx文件

打开后会是这个样子我们不用管他，点击确定就好，然后点击启用内容。

发现木马上线

然后把这个文件扔到vitrual total上查杀病毒，发现只有两家公司的杀毒软件认为其是病毒

至此实验结束。

总结

众所周知，docx文件无法执行宏代码，所以发送docx文件的时候对方容易放松警惕，从而提高进攻的成功率。