论文部分内容阅读
每一次的新漏洞出现。都是黑友们一次学习入侵的好机会。这次微软又爆出的一个MS08-014漏洞，再次让我们有了入侵练手的实战机会。特别是喜欢通过—些少见手法进行攻击的朋友，这次的漏洞可以帮助我们制作出偏门木马，将木马四处散播……
MS08-014漏洞简介
MS08-014漏洞全称为“Microsoft Excel中的漏洞可能允许远程执行代码”，如果用户打开特制的Excel文件，这些漏洞可能允许远程执行代码。成功利用这些漏洞的攻击者可以完全控制受影响的系统。包括安装程序后门，查看、更改或删除数据。或者创建拥有完全用户权限的新帐户等。MS08-014漏洞安全更新的等级为“严重”，受此漏洞影响的软件版本包括：Excel 2000Service Pack 3、Excel 2002 SP 3、Excel 2003 S P 2、Excel Viewer 2003、Excel 2007等。
MS08-014漏洞制作木马
利用MS08-014漏洞，可以制作出特殊格式的木马，也就是Excel木马。制作的方法很简单，从网上下载MS08-014漏洞利用工具。解压到C盘“ms08014”文件夹中备用。再用Excel 2000/2003新建一个Excel表格文件，可以简单输入几个数据，文件后缀名，xls。这里假设文件名为“test.xls”。然后用灰鸽子、上兴或Byshell等木马。生成一个木马服务端程序。这里文件名为“muma.exe”
将“test.xls”和“muma.exe”复制到“c:/ms08014”文件夹中，点击“开始”——“运行”。输入命令“CMD”。回车后打开命令提示符窗口。依次执行如下命令
cd/
cd c:/ams08014
ms08-014.exe
命令执行后。可以看到漏洞利用工具命令格式为：
ms08_0140exe explfile exefile
其中，“explfile”参数代表是用于溢出的excel文件。“exefile”用于指定木马文件名。因此这里执行如下命令：
ms08_014.exe test.xls muma.exe
命令执行成功后。提示信息“Gene ratingtest.xls exploits file”说明生成溢出文件成功。这时。在“c:/ms08014”文件夹中，“test.xls”文件会被捆绑入指定的木马程序。体积会发生变化，但文件格式还是不便。我们就有了一个特殊的xls木马了。
前两条命令，是用于切换到MS08-014漏洞利用工具所在文件夹的。有许多朋友在看我们的黑客书和文章时，都没有注意命令工具的路径问题，随便打开一个命令窗口，不切换路径，就直接执行工具命令，因此出现“不是内部或外部命令，也不是可运行的程序”的错误。因此，这里提醒菜鸟们，掌握一点基本的DOS命令是学习黑客必须的基础。
xls木马效果及免杀
当在有漏洞的主机上。打开上面制作好的xls木马文件时。Excel软件会运行，然后无提示出错误关闭，此时木马已经在后台悄悄的运行了。xls木马非常隐蔽。而且在普通情况下不会被杀毒软件所查杀，比如瑞星、江民等杀毒软件在默认情况下都不会查杀xls木马的。不过像卡巴斯基之类的杀毒软件，则会检测并查杀xls木马，因此需要对xls木马进行免杀。
xls木马的免杀分为两部分，首先。在捆绑木马到xls文件中之前。需要先对木马文件进行免杀。例如，在上面的过程中。先将“muma.exe”免杀后。就可以大大提高xls木马运行的成功率。对于国内的几款杀毒软件。是百分之百可以突破的。另外。对生成的xls木马也需要进行免杀。这样才能突破卡巴斯基的检测。xls木马的免杀与普通的木马一样，把它当成一个exe文件，利用我们曾经介绍过的MYCCLI具进行免杀就可以了。这样连卡巴斯基也对xls木马视而不见了。
QQ巧传木马
xls格式的木马比较少见，但是对于许多办公制作表格的电脑用户来说，却是极为常见的。对于这类用户来说。看到一个程序游戏，可能会提高警惕，但是对于xls表格，则会非常放心的打开运行。因此可以通过邮件发送、网盘共享、U盘携带等各种方式，传播XLS木马。
对于普通的电脑用户来说。只要系统中装有Excel软件并且没有打上漏洞补丁。同样也逃不脱xls木马攻击的命运。而且 xls木马有一个好处，可以直接通过QQ传播，而普通的其它格式木马，会被QQ所阻挡，或者即使通过QQ发送后。也会被重命名而无法执行。而xls木马在QQ默认的中安全等级下。可以直接进行传输，并且文件传输后。不会被重命名。
巧用xIs木马提权
在本期的《抓肉鸡还得老将出马》中。我们介绍了抓鸡的简单方法，但是没有讲解如何进行权限提升。有许多权限设置严格的网站。即使拿到的Webshell，也很难以管理员权限执行上传的其它木马程序，利用xls木马则可以直接提升权限。方法很简单。
确定网站漏洞
要利用xls提权，当然首先得确定网站上是否安装了Excel软件，如果没有安装。那么也无从提权。
在“Webshell Control 2.0”中连接上传的asp木马后门。然后查看“C:/Program files”或“D:/Programfiles”文件夹，看看其中是否有“Microsoft Office/Office12/”文件夹。并查看是否存在Excel程序文件。这里得到Excel程序安装路径为“C:/Program Files/Microsoft OfficekOffice12/excel.exe”。
上传x18木马
在“Webshell Control 2.0”中连接上传的asp木马后门，在当前路径上，右键点击右侧窗口中的空白处，在弹出菜单中选择“上传”命令，打开文件上传对话框。在“本地”后浏览指定本地的xls木马，在“远程”中设置上传后的路径。点击“上传”按钮。很快就可以将xls木马上传成功。上传完成后，查看网站服务器目录，检测xls木马文件是否上传成功，并且确定文件上传后的路径。这里xfs木马上传路径为“d:/WEB/test.xls”。
运行xls提权
现在，我们要想办法让xls木马在网站服务器上运行。只要xls文件运行后，捆绑在其中的木马也会被运行。当然，在普通情况下，直接上传木马并运行，由于不具备足够的权限，因此木马无法完成服务安装、注入等系统级操作。不过我们上传的这个xls木马文件，它在打开时会造成Excel软件溢出，获得系统管理员的权限，从而使用木马以足够的权限执行了。木马被执行后。反弹连接到我们的控制站上，即可以这样就简单的完成了Webshell的提权。
在“Webshell Control 2.0”中。点击工具栏上的“shell”窗口，打开Shell命令窗口。在下方的输入框中输入如下命令：
C:/Program Files/Microsoft Office/Office12/excelexe d:/WEB/test/test.xls
点击“执行”按钮，即可在网站服务器上自动调用Excel打开我们上传的xls木马了。如果网站服务器上存在漏洞。此时虽然没有返回提示，但是已经溢出Excel提权。并成功执行木马了。打开木马控制器，就可以等待肉鸡自动上线了。
MS08-014漏洞简介
MS08-014漏洞全称为“Microsoft Excel中的漏洞可能允许远程执行代码”，如果用户打开特制的Excel文件，这些漏洞可能允许远程执行代码。成功利用这些漏洞的攻击者可以完全控制受影响的系统。包括安装程序后门，查看、更改或删除数据。或者创建拥有完全用户权限的新帐户等。MS08-014漏洞安全更新的等级为“严重”，受此漏洞影响的软件版本包括：Excel 2000Service Pack 3、Excel 2002 SP 3、Excel 2003 S P 2、Excel Viewer 2003、Excel 2007等。
MS08-014漏洞制作木马
利用MS08-014漏洞，可以制作出特殊格式的木马，也就是Excel木马。制作的方法很简单，从网上下载MS08-014漏洞利用工具。解压到C盘“ms08014”文件夹中备用。再用Excel 2000/2003新建一个Excel表格文件，可以简单输入几个数据，文件后缀名，xls。这里假设文件名为“test.xls”。然后用灰鸽子、上兴或Byshell等木马。生成一个木马服务端程序。这里文件名为“muma.exe”
将“test.xls”和“muma.exe”复制到“c:/ms08014”文件夹中，点击“开始”——“运行”。输入命令“CMD”。回车后打开命令提示符窗口。依次执行如下命令
cd/
cd c:/ams08014
ms08-014.exe
命令执行后。可以看到漏洞利用工具命令格式为：
ms08_0140exe explfile exefile
其中，“explfile”参数代表是用于溢出的excel文件。“exefile”用于指定木马文件名。因此这里执行如下命令：
ms08_014.exe test.xls muma.exe
命令执行成功后。提示信息“Gene ratingtest.xls exploits file”说明生成溢出文件成功。这时。在“c:/ms08014”文件夹中，“test.xls”文件会被捆绑入指定的木马程序。体积会发生变化，但文件格式还是不便。我们就有了一个特殊的xls木马了。
前两条命令，是用于切换到MS08-014漏洞利用工具所在文件夹的。有许多朋友在看我们的黑客书和文章时，都没有注意命令工具的路径问题，随便打开一个命令窗口，不切换路径，就直接执行工具命令，因此出现“不是内部或外部命令，也不是可运行的程序”的错误。因此，这里提醒菜鸟们，掌握一点基本的DOS命令是学习黑客必须的基础。
xls木马效果及免杀
当在有漏洞的主机上。打开上面制作好的xls木马文件时。Excel软件会运行，然后无提示出错误关闭，此时木马已经在后台悄悄的运行了。xls木马非常隐蔽。而且在普通情况下不会被杀毒软件所查杀，比如瑞星、江民等杀毒软件在默认情况下都不会查杀xls木马的。不过像卡巴斯基之类的杀毒软件，则会检测并查杀xls木马，因此需要对xls木马进行免杀。
xls木马的免杀分为两部分，首先。在捆绑木马到xls文件中之前。需要先对木马文件进行免杀。例如，在上面的过程中。先将“muma.exe”免杀后。就可以大大提高xls木马运行的成功率。对于国内的几款杀毒软件。是百分之百可以突破的。另外。对生成的xls木马也需要进行免杀。这样才能突破卡巴斯基的检测。xls木马的免杀与普通的木马一样，把它当成一个exe文件，利用我们曾经介绍过的MYCCLI具进行免杀就可以了。这样连卡巴斯基也对xls木马视而不见了。
QQ巧传木马
xls格式的木马比较少见，但是对于许多办公制作表格的电脑用户来说，却是极为常见的。对于这类用户来说。看到一个程序游戏，可能会提高警惕，但是对于xls表格，则会非常放心的打开运行。因此可以通过邮件发送、网盘共享、U盘携带等各种方式，传播XLS木马。
对于普通的电脑用户来说。只要系统中装有Excel软件并且没有打上漏洞补丁。同样也逃不脱xls木马攻击的命运。而且 xls木马有一个好处，可以直接通过QQ传播，而普通的其它格式木马，会被QQ所阻挡，或者即使通过QQ发送后。也会被重命名而无法执行。而xls木马在QQ默认的中安全等级下。可以直接进行传输，并且文件传输后。不会被重命名。
巧用xIs木马提权
在本期的《抓肉鸡还得老将出马》中。我们介绍了抓鸡的简单方法，但是没有讲解如何进行权限提升。有许多权限设置严格的网站。即使拿到的Webshell，也很难以管理员权限执行上传的其它木马程序，利用xls木马则可以直接提升权限。方法很简单。
确定网站漏洞
要利用xls提权，当然首先得确定网站上是否安装了Excel软件，如果没有安装。那么也无从提权。
在“Webshell Control 2.0”中连接上传的asp木马后门。然后查看“C:/Program files”或“D:/Programfiles”文件夹，看看其中是否有“Microsoft Office/Office12/”文件夹。并查看是否存在Excel程序文件。这里得到Excel程序安装路径为“C:/Program Files/Microsoft OfficekOffice12/excel.exe”。
上传x18木马
在“Webshell Control 2.0”中连接上传的asp木马后门，在当前路径上，右键点击右侧窗口中的空白处，在弹出菜单中选择“上传”命令，打开文件上传对话框。在“本地”后浏览指定本地的xls木马，在“远程”中设置上传后的路径。点击“上传”按钮。很快就可以将xls木马上传成功。上传完成后，查看网站服务器目录，检测xls木马文件是否上传成功，并且确定文件上传后的路径。这里xfs木马上传路径为“d:/WEB/test.xls”。
运行xls提权
现在，我们要想办法让xls木马在网站服务器上运行。只要xls文件运行后，捆绑在其中的木马也会被运行。当然，在普通情况下，直接上传木马并运行，由于不具备足够的权限，因此木马无法完成服务安装、注入等系统级操作。不过我们上传的这个xls木马文件，它在打开时会造成Excel软件溢出，获得系统管理员的权限，从而使用木马以足够的权限执行了。木马被执行后。反弹连接到我们的控制站上，即可以这样就简单的完成了Webshell的提权。
在“Webshell Control 2.0”中。点击工具栏上的“shell”窗口，打开Shell命令窗口。在下方的输入框中输入如下命令：
C:/Program Files/Microsoft Office/Office12/excelexe d:/WEB/test/test.xls
点击“执行”按钮，即可在网站服务器上自动调用Excel打开我们上传的xls木马了。如果网站服务器上存在漏洞。此时虽然没有返回提示，但是已经溢出Excel提权。并成功执行木马了。打开木马控制器，就可以等待肉鸡自动上线了。