无孔不入 电子表格也可藏木马

    每一次的新漏洞出现，都是黑友们一次学习入侵的好机会。这次微软又爆出的一个MS08-014漏洞，再次让我们有了入侵练手的实战机会。特别是喜欢通过一些少见手法进行攻击的朋友，这次的漏洞可以帮助我们制作出偏门木马，将木马四处散播……

    MMS08-014漏洞简介

    MS08-014漏洞全称为“Microsoft Excel中的漏洞可能允许远程执行代码”，如果用户打开特制的Excel文件，这些漏洞可能允许远程执行代码。成功利用这些漏洞的攻击者可以完全控制受影响的系统，包括安装程序后门，查看、更改或删除数据，或者创建拥有完全用户权限的新帐户等。MS08-014漏洞安全更新的等级为“严重”，受此漏洞影响的软件版本包括：Excel 2000ServicePack 3、Excel 2002SP 3、Excel 2003 S P2、Excel Viewer 2003、Excel 2007等。

    MS08-014漏洞制作木马

    利用MS08-014漏洞，可以制作出特殊格式的木马，也就是Excel木马。制作的方法很简单，从网上下载MS08-014漏洞利用工具，解压到C盘“ms08014”文件夹中备用。再用Excel 200012003新建一个Excel表格文件，可以简单输入几个数据、文件后缀名.xls，这里假设文件名为“test.xls”。然后用灰鸽子、上兴或Byshell等木马、生成一个木马服务端程序，这里文件名为“muma.exe”。

将“t e s t.x f s”和“muma.exe”复制到“c:\ms08014”文件夹中，点击“开始”→“运行”，输入命令“CMD”，回车后打开命令提示符窗口。依次执行如下命令： 

    cd\

    cd c：\ms08014

    ms08-014.exe

    提示：前两条命令，是用于切换到MS08-014漏洞利用工具所在文件夹的。有许多朋友在看我们的黑客书和文章时，都没有注意命令工具的路径问题，随便打开一个命令窗口，不切换路径，就直接执行工具命令，因此出现“不是内部或外部命令，也不是可运行的程序”的错误。因此，这里提醒菜鸟们，掌握一点基本的DOS命令是学习黑客必须的基础。

    命令执行后，可以看到漏洞利用工具命令格式为：

    ms08_014.exe expffile exefile

    其中，“explfile”参数代表是用于溢出的excel文件，“exefile”用于指定木马文件名。因此这里执行如下命令：

    ms08_014.exe test.xls muma.exe

    命令执行成功后，提示信息“Gene rating test.xls exploits file!!”，说明生成溢出文件成功。这时，在“c：\ms08014”文件夹中，“test.xls”文件会被捆绑入指定的木马程序，体积会发生变化，但文件格式还是不便。我们就有了一个特殊的xls木马了。

    xls木马效果及兔杀

    当在有漏洞的主机上，打开上面制作好的xls木马文件时，Excel软件会运行，然后无提示出错误关闭，此时木马已经在后台悄悄的运行了。xls木马非常隐蔽，而且在普通情况下不会被杀毒软件所查杀，比如瑞星、江民等杀毒软件在默认情况下都不会查杀xls木马的。不过像卡巴斯基之类的杀毒软件，则会检测并查杀xls木马，因此需要对xls木马进行免杀。

    xls木马的免杀分为两部分，首先，在捆绑木马到xls文件中之前，需要先对木马文件进行免杀。例如，在上面的过程中，先将“muma.exe”免杀后，就可以大大提高xls木马运行的成功率，对于国内的几款杀毒软件，是百分之百可以突破的。另外，对生成的xls木马也需要进行免杀，这样才能突破卡巴斯基的检测。xls木马的免杀与普通的木马一样，把它当成一个exe文件，利用我们曾经介绍过的MYCCL工具进行免杀就可以了。这样连卡巴斯基也对xls木马视而不见了。

    QQ巧传木马

    xls格式的木马比较少见，但是对于许多办公制作表格的电脑用户来说，却是极为常见的。对于这类用户来说，看到一个程序游戏，可能会提高警惕，但是对于xls表格，则会非常放心的打开运行。因此可以通过邮件发送、网盘共享、U盘携带等各种方式，传播xLS木马。

    对于普通的电脑用户来说，只要系统中装有Excel软件并且没有打上漏洞补丁，同样也逃不脱xls木马攻击的命运。而且xls木马有一个好处，可以直接通过QQ传播，而普通的其它格式木马，会被QQ所阻挡，或者即使通过QQ发送后，也会被重命名而无法执行。而xls木马在QQ默认的中安全等级下，可以直接进行传输，并且文件传输后，不会被重命名。

    巧用xIs木马提权确定网站漏洞

    要利用xls提权，当然首先得确定网站上是否安装了Excel软件，如果没有安装，那么也无从提权。

    在“Webshell Control 2.0”中连接上传的asp木马后门，然后查看“C：Prog ram files”或。D：\Program files”文件夹，看看其中是否有“Microsoft Office/Office12/”文件夹，并查看是否存在Excel程序文件。这里得到Excel程序安装路径为“C：\Program Files\Microsoft Office\Office12\excel.exe”。

    提示：如果有的网站权限设置太BT，直接就无法瓷看”C：\Program files”或“D：\rogram files”文件夹，也可以直接尝试溢出提权。

    上传xls木马

    在“Webshell Control 2.0”中连接上传的asp木马后门，在当前路径上，右键点击右侧窗口中的空白处，在弹出菜单中选择“上传”命令，打开文件上传对话框。在“本地”后浏览指定本地的xls木马，在“远程”中设置上传后的路径。点击“上传”按钮，很快就可以将xls木马上传成功。上传完成后，查看网站服务器目录，检测xls木马文件是否上传成功，并且确定文件上传后的路径。这里xls木马上传路径为“d：/WEB/test/test.xls”。

    运行xls提权

    现在，我们要想办法让xls木马在网站服务器上运行，只要xls文件运行后，捆绑在其中的木马也会被运行。当然，在普通情况下，直接上传木马并运行，由于不具备足够的权限，因此木马无法完成服务安装、注入等系统级操作。不过我们上传的这个xls木马文件，它在打开时会造成Excel软件溢出，获得系统管理员的权限，从而使用木马以足够的权限执行了。木马被执行后，反弹连接到我们的控制站上，即可以这样就简单的完成了Websheff的提权。

    在“Webshell Control 2.0。中，点击工具栏上的“shell”窗口，打开Shell命令窗口。在下方的输入框中输入如下命令：