首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 茶余饭后
    3. 发新帖
CVE2015-6128(MS15-134)漏洞分析
发表于: 2015-12-16 16:37 1270

CVE2015-6128(MS15-134)漏洞分析

KantSFun 活跃值
2015-12-16 16:37
1270
原理：
修改嵌入到doc文档中的OLE对象（foo.txt）的CLSID（planted.doc的偏移0x2650处）为{394c052e-b830-11d0-9a86-00c04fd8dbf7}或{975797fc-4e2a-11d0-b702-00c04fd8dbf7}或{f778c6b4-c08b-11d2-976c-00c04f79db19}。
这三个CLSID对应的注册表键（HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{394c052e-b830-11d0-9a86-00c04fd8dbf7}）包含内容为els.dll名称为InProcServer32的值。
当打开planted.doc并单击其中的foo.txt时，会加载els.dll。
进而会通过loadlibrary使用dll名（不含路径）加载elsext.dll。当该dll与doc位于相同目录时，实现该dll被加载。
测试实例：
MS15-134.rar

[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法

上传的附件：
收藏
免费 ・0
支持
分享
最新回复 (0)
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//