CVE-2017-8570分析

CVE-2017-8570

样本利用了RTF文档在VISTA以后的系统中会自动释放Package对象到%tmp%目录的特性，另一个OLE2Link对象用来触发漏洞，漏洞触发成功后会直接加载%tmp%目录下的sct脚本执行。

国外的研究员公布了样本生成工具，备份

ppsx版本的exp

生成POC

python packager_composite_moniker.py -s calc.sct -o example.rtf

[+] RTF file written to: example.rtf

分析

新建一个 .txt ，以 写字板 的方式打开，可以以文件创建的方式插入文件，另存为 .rtf 文件，打开后可以发现在 %tmp% 发现插入的文件。

参考

https://bbs.pediy.com/thread-246483.htm

https://www.freebuf.com/vuls/144054.html

https://www.freebuf.com/vuls/161607.html

https://www.freebuf.com/vuls/168829.html

https://www.howtogeek.com/358854/what-is-an-rtf-file-and-how-do-i-open-one/

https://justhaifei1.blogspot.com/2017/07/bypassing-microsofts-cve-2017-0199-patch.html

https://github.com/rxwx/CVE-2017-8570

http://blog.bitflow.studio/phishing/cve-2017-8570-a-k-a-the-composite-moniker-proof-of-concept/

http://rewtin.blogspot.com/2017/04/cve-2017-0199-practical-exploitation-poc.html?m=1

https://www.freebuf.com/articles/system/131969.html

https://docs.microsoft.com/zh-cn/windows/desktop/com/composite-monikers

https://msdn.microsoft.com/en-us/library/dd942265.aspx

▼

更多精彩推荐，请关注我们

▼