利用DOCX文档远程模板注入执行宏

利用DOCX文档远程模板注入执行宏

原理：

与传统的宏启用文档相比，这种攻击的好处是多方面的。在对目标执行网络钓鱼攻击时，您可以将.docx的文档直接附加到电子邮件中，并且您不太可能根据文件的拓展名去阻止它。

Word远程模板执行宏就是利用Word文档加载附加模板时的缺陷所发起的恶意请求而达到的攻击目的，所以当目标用户点开攻击者发给他的恶意word文档就可以通过向远程服务器发送恶意请求的方式，然后加载模板执行恶意模板的宏。
这种攻击更常见的原因是，发送的文档本身是不带恶意代码的，能过很多静态的检测。

环境

两个word文档

1. 第一个是启用宏的模板，或是.dotm文件，它将包含恶意VBA宏
2. 第二个是看似没有危害的.docx文件，它本身不包含恶意代码，只有指向恶意模板文件的目标链接
3. cobalt strike

利用

1. 直接用的cobalt strike生成的宏代码
2. 就不啰嗦了
   
3. 自行测试宏是否生效
   
4. 生成一个正常的docx文件，