【钓鱼】基于office的一些钓鱼技法

Z3r4y2025-01-27 9:32

excel宏

word宏

[Word DDE](#Word DDE)

[office OLE+LNK](#office OLE+LNK)

利用模板文件注入宏指令

excel宏

先启用excel宏

插入宏表

如下写入

将A1改为Auto_Open(文件打开时自动执行宏)

保存后打开文件，成功命令执行

word宏

同样先开启宏

添加成功后点击宏

新建AutoOpen

复制代码

Sub AutoOpen()
Shell ("calc")
End Sub

保存文件

再次打开成功执行命令

下面用office2016来演示

Word DDE

插入域

嵌入恶意公式

复制代码

{DDEAUTO c:\\windows\\system32\\cmd.exe "/k calc.exe"}

保存后再次打开，成功执行命令

office OLE+LNK

在文件里插入一个恶意快捷方式

先随便创建一个快捷方式，让其指向powershell，并用-command指定恶意命令

复制代码

%SystemRoot%\system32\WindowsPowerShell\v1.0\powershell.exe -command calc
%SystemRoot%\system32\WindowsPowerShell\v1.0

去下一个pdf风格的png文件，改后缀为ico文件

Application pdf - 文件和文件夹图标

在word中插入对象

选择package，更改为之前准备好的pdf图标

再选择之前创建的恶意快捷方式

已经被官方ban了

这里建议更改Ink文件的图标

再重新嵌入文档

这样虽然还是会被直接拦截，但被钓鱼的用户可能会复制出来运行

复制出来

双击运行成功执行命令

利用模板文件注入宏指令

1.制作包含宏的恶意模版文件（.dotm）

参照上面word宏的制作方式

2.将恶意模版文件上传至服务器。

3.新建并保存一个使用任意模版的docx文件。

将docx后缀改为zip

解压docx文件，修改 word\_rels\settings.xml.rels文件的Target属性，将其指向部署恶意模版文件的服务器。

使用zip格式压缩文件，并重新命名后缀为docx。

打开docx文件，成功执行命令