-
-
CVE2015-6128(MS15-134)漏洞分析
-
发表于:
2015-12-16 16:37
1305
-
CVE2015-6128(MS15-134)漏洞分析
原理：
修改嵌入到doc文档中的OLE对象（foo.txt）的CLSID（planted.doc的偏移0x2650处）为{394c052e-b830-11d0-9a86-00c04fd8dbf7}或{975797fc-4e2a-11d0-b702-00c04fd8dbf7}或{f778c6b4-c08b-11d2-976c-00c04f79db19}。
这三个CLSID对应的注册表键（HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{394c052e-b830-11d0-9a86-00c04fd8dbf7}）包含内容为els.dll名称为InProcServer32的值。
当打开planted.doc并单击其中的foo.txt时，会加载els.dll。
进而会通过loadlibrary使用dll名（不含路径）加载elsext.dll。当该dll与doc位于相同目录时，实现该dll被加载。
测试实例：
MS15-134.rar
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
