网站钓鱼——挂马技术手段介绍

更多网安实战内容,可前往无问社区查看icon-default.png?t=O83Ahttp://wwlib.cn/index.php/artread/artid/10194.html

网站挂马目前已经成为流氓软件以及红队人员快速获取目标主机权限的常用手段之一,在长时间的实战中也是出现了层出不穷的钓鱼方法,这次分享一下实际场景中出现次数较高的几种挂马方式。

方式 1:HTA 木马

这是当之无愧的当下最流行的一种挂马技术,目前默认最高可支持IE10 版本浏览器的钓鱼。

使用这项技术,如果想在浏览器端直接运行需要目标的浏览器开启ActivexX 控件,且允许控件的运行,详细配置要求可查看下图。

图片

在安全等级为低的情况下,默认配置如下

图片

在这种配置下也可以正常运行我们的HTA 后门程序,但是在运行时可能会进行弹窗提示。

图片

所以在实战中可以针对目标特点选择诱导其修改配置或者是采用默认配置进行攻击。

以下使用html 编写一个VBSCRIPT 的案例脚本,这里只是一个仅限于前端的交互脚本, 而图中使用的网页文件是 html 格式的,所以 VBSCRIPT 是支持多种格式的网页文件去执行的。

图片

由于vbs 语言有着非常强大的系统交互能力,所以他能做的工作非常的丰富, 而如果要实现复杂的系统操作则需要使用.hta(Html Application)文件进行攻击。

例如我们通过以下代码可以将访问到这个页面的主机的 cmd 文件复制到C 盘根目录。

图片

图片

方式 2:JS 劫持

这种攻击手段可以在不修改下载文件信息的情况下,替换用户实际下载的文件或者访问的网站。在存在 XSS 漏洞且流量较大的网站使用此攻击方式会有比较不错的攻击效果。

查看下实际页面及源码,因为是案例素材所以比较简单,实际情况下页面内容会更丰富难以辨别。

图片

查看页面源代码,能看到这是一个下载 1.zip 的超链接,而实际上我们在 main.js 中已经绑定了事件,用户在点击下载时会下载我们所指定的后门文件。

图片

图片

图片

方式 3:浏览器漏洞

通过浏览器漏洞去挂马或者控制目标主机是目前使用最广泛攻击的手段。

部分浏览器漏洞清单,见下图

图片

使用浏览器正常去访问页面,未发现异常。

图片

实际上已经上线。

图片

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/bicheng/53613.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

【北京迅为】《STM32MP157开发板使用手册》-第十三章 编译QtE5.12文件系统

iTOP-STM32MP157开发板采用ST推出的双核cortex-A7单核cortex-M4异构处理器,既可用Linux、又可以用于STM32单片机开发。开发板采用核心板底板结构,主频650M、1G内存、8G存储,核心板采用工业级板对板连接器,高可靠,牢固耐…

内网中的RDP利用

学习参考 https://www.freebuf.com/articles/network/276242.html能跟着实操的都实操一下。熟悉一些命令,过程。 实验环境:win2008,192.168.72.139 两个用户: administrator,shizuru RDP服务 确定/开启 RDP服务确…

Chainlit集成Mem0使用一个拥有个性化AI记忆的网页聊天应用

前言 Mem0 简介,可以看我上一篇文章《解决LLM的永久记忆的解决方案-Mem0实现个性化AI永久记忆功能》。本篇文章是对Mem0 实战使用的一个示例。通过Chainlit 快速实现ui界面和open ai的接入,通过使用Mem0 实现对聊天者的对话记录的记忆。 设计实现基本原…

828华为云征文|部署多媒体流媒体平台 Plex

828华为云征文|部署多媒体流媒体平台 Plex 一、Flexus云服务器X实例介绍1.1 云服务器介绍1.2 性能模式1.3 计费模式 二、Flexus云服务器X实例配置2.1 重置密码2.2 服务器连接2.3 安全组配置 三、部署 Plex3.1 Plex 介绍3.2 Docker 环境搭建3.3 Plex 部署3.4 Plex 使…

张家辉新作《重生》内地票房逆袭

由张家辉领衔主演的电影《重生》在票房大获成功,击败多部同期中西强片,成为今年暑期档的最大黑马。张家辉在片中饰演的角色原本拥有幸福家庭,为了复仇走上亡命之徒的道路,影片中他再度展现了影帝级别的演技,受到网民和…

CCF推荐A类会议和期刊总结(计算机网络领域)- 2022

CCF推荐A类会议和期刊总结(计算机网络领域)- 2022 在中国计算机学会(CCF)的推荐体系中,A类会议和期刊代表着计算机网络领域的顶尖水平。这些会议和期刊不仅汇集了全球顶尖的研究成果,还引领着该领域的前沿发…

合碳智能 × Milvus:探索化学合成新境界——逆合成路线设计

合碳智能(C12.ai)成立于2022年,致力于运用AI和具身智能技术,为药物研发实验室提供新一代智能化解决方案,推动实验室从自动化迈向智能化,突破传统实验模式与人员的依赖,解决效率和成本的瓶颈&…

flume系列之:查看flume系统日志、查看统计flume日志类型、查看flume日志

遍历指定目录下多个文件查找指定内容 服务器系统日志会记录flume相关日志 cat /var/log/messages |grep -i oom查找系统日志中关于flume的指定日志 import osdef search_string_in_files(directory, search_string):count = 0

解决浏览器自动将http网址转https

删除浏览器自动使用https的方式 在浏览器地址栏输入:chrome://net-internals/#hsts PS:如果是edge浏览器可输入:edge://net-internals/#hsts 在Delete domain security policies搜索框下,输入要删除的域名,然后点击delete 解决方法&#…

linux系统下PostgreSQL的使用

文章目录 前言一、安装pgsql数据库二、安装c和c驱动三、使用1、头文件2、源文件3、main文件4、编译 前言 最近工作中使用到了pgsql,主要是使用其c驱动完成数据库创建及增删改查等操作… 一、安装pgsql数据库 使用命令如下: sudo apt-get install postgresql安装完成,使用如…

CCF编程能力等级认证GESP—C++3级—20240907

CCF编程能力等级认证GESP—C3级—20240907 单选题(每题 2 分,共 30 分)判断题(每题 2 分,共 20 分)编程题 (每题 25 分,共 50 分)平衡序列回文拼接 单选题(每题 2 分,共 …

回收玻璃减薄中的氢氟酸

回收玻璃减薄中的氢氟酸是一个重要的环保和资源再利用环节。在玻璃减薄过程中,氢氟酸作为主要的化学蚀刻剂,与玻璃基板表面的二氧化硅等成分发生反应,实现玻璃的减薄。然而,随着反应的进行,氢氟酸的浓度会逐渐降低&…

MyQql性能诊断与实践

获取更多免费资料,见下图

专项练习-数据库SQL-177题(下)

※食用指南:文章内容为牛客网《专项练习-数据库SQL》177道选择题,重点笔记,用于重复思考错题,加深印象 练习传送门:专项练习-数据库SQL-177题 目录: 1、维护参照完整性约束的策略 2、数据库事务的特性&a…

证书学习(四)X.509数字证书整理

目录 一、X.509证书 介绍1.1 什么是 X.509证书?1.2 什么是 X.509标准?1.3 什么是 PKI?二、X.509证书 工作原理2.1 PKI 的基础——加密算法2.2 PKI 证书编码三、X.509证书 结构3.1 证书字段3.2 证书扩展背景: 我们在日常的开发过程中,经常会遇到各种各样的电子证书文件,其…

微信小程序跳转到另一个微信小程序

引用:http://www.xmdeal.com/mobanjiaocheng/254.html 第一种方法: wx.navigateToMiniProgram 官方文档:https://developers.weixin.qq.com/miniprogram/dev/api/navigate/wx.navigateToMiniProgram.html wx.navigateToMiniProgram({appId…

新电脑Win11系统想要降级为Win10怎么操作?

前言 现在的电脑大部分都是Windows 11系统,组装机还好一些,如果想要使用Windows 10,只需要在安装系统的时候选择Windows 10镜像即可。 但是对于新笔记本、厂商的成品机、一体机来说,只要是全新的电脑,基本上都是Wind…

快速入门游戏领域,开发游戏需要哪些技术?

在这个充满创意和技术的时代,游戏行业成为众多创新人才追求梦想的热土。对于准备踏入这个充满挑战与机遇的领域的新人来说,了解游戏开发流程是至关重要的。 游戏市场蓬勃发展,游戏行业未来行情可观,在这个充满创意和技术的时代&a…

8. GIS数据分析师岗位职责、技术要求和常见面试题

本系列文章目录: 1. GIS开发工程师岗位职责、技术要求和常见面试题 2. GIS数据工程师岗位职责、技术要求和常见面试题 3. GIS后端工程师岗位职责、技术要求和常见面试题 4. GIS前端工程师岗位职责、技术要求和常见面试题 5. GIS工程师岗位职责、技术要求和常见面试…

论文阅读清单

目录 三维重建 视觉语言模型 三维重建 [2408.15235v1] Learning-based Multi-View Stereo: A Survey (arxiv.org) 视觉语言模型 表征 [2407.20229] Improving 2D Feature Representations by 3D-Aware Fine-Tuning (arxiv.org)