实现一个远程宏模板执行恶意代码

最新推荐文章于 2023-06-30 14:30:35 发布

Iam0x17

最新推荐文章于 2023-06-30 14:30:35 发布

阅读量765

点赞数

分类专栏：病毒分析

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文链接：https://blog.youkuaiyun.com/weixin_44001905/article/details/109583271

版权

病毒分析专栏收录该内容

26 篇文章

订阅专栏

文章目录

原理
实现
总结

原理

word远程宏模板是利用word文档加载附加模板时向远程服务器发起请求而达成攻击的目的，请求并加载远程的恶意宏模板可用来执行恶意行为

文档本身无恶意代码，内容中只有指向远程服务器地址的url，可以绕过安全软件的静态查杀

实现

创建宏模板

在这里生成了两种宏模板，一种是cs生成的后门，一种是测试的弹框宏代码

使用CS，生成宏代码

在这里插入图片描述

创建一个docx文件，Alt+F11 启动vb编辑器，将代码粘贴进去，另存为dotm文件

在这里插入图片描述

测试弹框的宏代码

在这里插入图片描述

创建加载远程宏文档文件

创建一个docx文件，将docx解压，修改./word/_rels/下的settings.xml.rels文件

在这里插入图片描述

重新打包

在这里插入图片描述

运行

使用phpstudy搭建一个临时的web服务器，将两种模板放入网站根目录

在这里插入图片描述

运行后会捕捉到如下界面

在这里插入图片描述

发现存在安全警告，说明宏模板已经被加载进来

在这里插入图片描述

点击启用内容，会弹出宏模板的弹框

在这里插入图片描述

将服务器的宏模板换为cs后门的宏代码时，会出现如下提示，需要在信任中心进行设置才能运行

在这里插入图片描述

总结

实现远程宏模板主要有几个关键点

1.需要创建一个带./word/_rels/settings.xml.rels文件的docx

2.在更改远程地址后压缩解压后的DOCX文档目录，不能在父目录下压缩，要以仅存储形式压缩

评论

被折叠的条评论为什么被折叠?

到【灌水乐园】发言

查看更多评论

添加红包

成就一亿技术人!

hope_wisdom

发出的红包

实付元

使用余额支付

点击重新获取

扫码支付

钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。