Microsoft Management Console (MMC)是微软管理控制台,是一个专门用于管理的控制台。其设计主要用于为Windows管理员提供一个统一的、规范的管理接口和操作平台。近期,Check Point Research研究人员在控制台中发现了多个允许攻击者传输恶意payload的漏洞。漏洞CVE编号为CVE-2019-0948,微软已于6
Microsoft Management Console (MMC)是微软管理控制台,是一个专门用于管理的控制台。其设计主要用于为windows管理员提供一个统一的、规范的管理接口和操作平台。
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第1张
近期,Check Point Research研究人员在控制台中发现了多个允许攻击者传输恶意Payload的漏洞。漏洞CVE编号为CVE-2019-0948,微软已于6月11日发布的补丁中进行了修复。
漏洞描述 错误配置的WebView导致的多个XSS漏洞 MMC有一个集成的Snap-In组件中含有ActiveX控制、Link to Web Address等多种机制。
攻击者选择Link to Web Address snap-in后,就科研插入一个url到该服务器中,服务器中含有一个含有恶意payload的html页。
受害者打开恶意.msc文件后,就会打开一个web-view,恶意payload就会执行。
研究人员成功地插入了含有恶意payload的恶意URL链接,该恶意payload可以重定向到SMB服务器可以获取用户的NTLM哈希值。
还可以通过前面提到的web-view来在受害者主机上执行VBS脚本。 攻击者选择ActiveX Control snap-in(所有ActiveX controls都受到该漏洞影响)并保存到文件.msc中。在文件.msc的StringsTables部分,攻击者可以修改第三个字符串的值为攻击者控制的恶意URL,其中含有一个含有恶意payload的html页面。研究人员成功地插入含有恶意payload的恶意URL,恶意payload可以重定向到SMB服务器,并获取用户NTLM哈希值。
还可能通过前面提到的web-view在受害者机器上执行VBS脚本。
受害者打开恶意.msc文件后,就会在MMC窗口中打开一个web-view并执行恶意payload。 错误配置的XML parser产生的XXE漏洞 受害者打开MMC并选择event viewer snap-in,点击Action,然后点击Import Custom View。一旦含有XXE payload的恶意XML被选择,任何从受害者主机处发送的文件都会发给攻击者。这是由于MMC定制视图功能中定义的错误配置的XML parser造成的。
PoC Link to Web Address snap-in Cross-Site Scripting (XSS): 攻击者加入新的snap-in:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第2张
受害者选择Link to Web Address snap in:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第3张
然后攻击者在path处输入含有恶意payload的服务器地址:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第4张
攻击者保存.msc
文件并发送给受害者:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第5张
恶意.msc
文件含有到攻击者服务器的路径:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第6张
受害者打开恶意.msc
文件,vbs代码就会执行:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第7张
ActiveX Control snap-ins 以Adobe Acrobat DC Browser example为例:
攻击者添加新的 snap-in:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第8张
攻击者选择ActiveX Control snap-in:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第9张
选择ActiveX Control机制,以Adobe Acrobat DC Browser为例:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第10张
攻击者保存.msc
文件并发送给受害者:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第11张
含有到攻击者服务器的路径的.msc
文件:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第12张
受害者打开恶意.msc
文件后,VBS代码就会执行:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第13张
错误配置的XML Parser导致的XXE漏洞: 添加新的snap-in:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第14张
攻击者选择event viewer snap-in:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第15张
受害者选择Action,然后点击Import Custom View选项:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第16张
受害者选择攻击者发送的恶意XML:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第17张
含有XXE payload的恶意XML会读取c:\Windows\win.ini
文件内容,并通过HTTP/GET
请求发送给远程服务器:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第18张
反过来调用xml.dtd
:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第19张
期望的文件内容会从客户端console应用发送到远程服务器:
CVE 2019 0948:Microsoft Management Console (MMC)漏洞 漏洞 Microsoft Management Console (MMC) CVE 2019 0948 漏洞分析 第20张
原文:https://research.checkpoint.com/microsoft-management-console-mmc-vulnerabilities/