前言：

对于攻击者或渗透测试者来说，最大的挑战是绕过一个目标的安全控制。

想要攻击目标网络中的系统往往很困难，通常要绕过防火墙，代理服务器，入侵检测系统等等防护体系。

一个最好的解决思路就是：将客户端作为攻击目标，与网络中的客户端进行交互，客户端防护相对薄弱。借助客户端访问目标系统的便利性、通过社会工程的方法，一旦攻击成功并且建立了稳定的通信，攻击者便能连接到目标网络。事实证明这种类型的攻击是绕过网络安全控制最有效的方法之一。

通过本文你将学到——客户端攻击技术—宏攻击

VBScript宏攻击

    VBScript是一个微软开发的脚本语言。它目前已经集成在了Windows中，最典型的就是Office，因此，它成为了客户端攻击首选语言。

    下面我们将用到Msfvnom命令行为

执行后我们收到了payload，该payload分为两部分

第一部分是宏代码

第二部分是shellcode代码

接下来，我们新建一个WORD/PPT/EXCEL

打开工具-视图-宏

创建一个名为test的宏，再将宏代码拷贝到Sub test()到End Sub区间

最后将shellcode代码拷贝至文档主体

为了使攻击成为可能，最后通过改变字体颜色，加入适当内容等等以混淆隐藏shellcode

最后我们将在Metasoloit中设置一个监听会话

将文件发送给目标，一旦打开，就会在攻击者控制台生成一个反向Shell

目标上的Windows上没有任何感知

最重要的是它会在你打开所有文档中运行，而且无需启用宏。之所以会如此，因为它已经在所有文档中生效，它将生成一个后门在C盘用户临时文件中，关掉文档也无济于事，因为它已经运行。

宏当前的设置情况

分析

通过木马查杀，效果感人。大部分杀毒引擎都无法检测到。因此它具有很强的免杀能力

通过查看本地资源监视器，我们可以找到一个通讯进程，指向的则是刚才设置的主机IP和8080端口

根据pid查找文件路径的命令

wmic process get name,executablepath,processid|findstr 5256找到文件在C盘USERS下

宏病毒清理

在生成宏的位置删除宏，找到文件删除该后门文件即可

原文出处：https://www.cnblogs.com/yuleitest/p/10197720.html