HID進階攻擊姿勢：利用PowerShell腳本進行檔案竊取

0×01 引言

又到了期中考試了，我又要去偷答案了，一直發現遠端下載下傳運作exe的方式不太好，容易報毒是以這裡打算用ps腳本。

0×02 關于HID

HID是Human Interface Device的縮寫，由其名稱可以了解HID裝置是直接與人互動的裝置，例如鍵盤、滑鼠與遊戲杆等。不過HID裝置并不一定要有人機接口，隻要符合HID類别規範的裝置都是HID裝置。一般來講針對HID的攻擊主要集中在鍵盤滑鼠上，因為隻要控制了使用者鍵盤，基本上就等于控制了使用者的電腦。攻擊者會把攻擊隐藏在一個正常的滑鼠鍵盤中，當使用者将含有攻擊向量的滑鼠或鍵盤，插入電腦時，惡意代碼會被加載并執行。

0×03 準備工具

一台外網主機(直接電腦接網線寬帶撥号也可以)

一個HID攻擊工具(燒鵝或者Badusb)

FTPserver(搭建一個FTP伺服器用來接收竊取到的檔案)

PHPstudy(搭建http伺服器用來存放ps腳本等)

7z.exe / 7z.dll(存放到http伺服器下,之後會利用它來進行壓縮後在上傳，盡量減小上傳速度)

0×04 代碼部分(以下代碼可能具有攻擊性,請勿用于非法用途)

1.[get.bat](擷取需要的檔案存放位置，并儲存到c:\temp.bat)[該代碼存放于伺服器http根目錄下]

2.[get.ps1](清除運作記錄，下載下傳伺服器中的7z.dll / 7z.exe / get.bat到c盤到相應位置,處理c:\temp.bat為7z壓縮為c:\Ram.7z,上傳c:\Ram.7z到FTP伺服器根目錄下,删除所有下載下傳的檔案!!!一共需要改4處IP位址!!!)[該代碼存放于伺服器http根目錄下記得設定FTP伺服器密碼為admin admin]

3.[get.ino](以管理者權限下載下傳get.ps1到本地c:\users\public目錄!!!需要改1處IP位址!!!UAC閃過之後要記得拔出)[修改IP後直接刷入]