2021年来写一个vbs中GetObject在渗透测试中的利用

我在freebuf上过一篇文章《捡拾VBS应用层里的明珠》，里边提到过如果在VBS直接调用classid，需要用wsf后缀文件来完成。当时是对GetObject这个方法没有深入来了解。用wsf如何调用呢？举个例子（保存成1.wsf）：

<Job ID="myjob"> 
<object id="ShellWindows" classiD="clsiD:9BA05972-F6A8-11CF-A442-00A0C90A8F39"/>
<script language="VBScript">
set obj =ShellWindows.item()
obj.Document.Application.ShellExecute "cmd.exe","/c calc.exe","c:\windows\system32","",0
</script>
</Job>

其实VBS可以直接用GetObject来调用classid的。主要有以下几种方法：

"iis:<metabasepath>"
"java:<classname>"
"script:<absolutepath>"	
"clsid:<clsid>"	
"WinMgmts:<string>"	
"OBJREF:<base64encodedstring>"
"queue:<clsid/progid>"
"new:<clsid/progid>"

所以我们用VBS来调用clsid,示例代码如下：

Dim Shell
Set Shell = GetObject("new:72C24DD5-D70A-438B-8A42-98424B88AFB8")
Shell.Run "cmd /c calc.exe"

其实就是一个new关键字。最近看到了Joey@天玄安全实验室写的一篇文章《COM 对象的利用与挖掘》，作者也挖到了一个新的利用vbs执行命令的方法，代码如下：

Set execl = GetObject("new:00020812-0000-0000-C000-000000000046")
execl.ExecuteExcel4Macro ("CALL(""shell32"", ""ShellExecuteA"", ""JJJCJJH"", -1, 0, ""CALC"", 0, 0, 5)")

其实GetObject这个方法，还有一些好玩的特性，举个例子：

Set objFso = CreateObject("Scripting.FileSystemObject")
Set objFso1 = GetObject("", "Scripting.FileSystemObject")

WScript.Echo TypeName(objFso)
WScript.Echo TypeName(objFso1)

如果没有上边代码第一行，那个objfso1就是空值了。